Tre agenti passano i loro controlli su ogni decisione. Messi insieme scartano sempre lo stesso tipo di pratica, e nessun registro segna un'irregolarità.
Non è un guasto. È l'aritmetica di un controllo che guarda una decisione alla volta quando l'effetto che conta è la somma.
Succede quando due o più agenti condividono qualcosa: lo stesso modello, la stessa base documentale, lo stesso segnale di ritorno. Da quel momento la loro prudenza smette di essere indipendente. E le domande da fare prima di accendere il terzo agente diventano tre: cosa condividono, cosa misuri sull'insieme, cosa succede quando lo scarto cresce.
Perché tre agenti prudenti sbagliano nella stessa direzione
Prendi una società di servizi con tre automazioni accese. Una smista le richieste in arrivo e decide quali lavorare subito. Una prepara i preventivi. Una decide a chi concedere il pagamento differito. Sono tre flussi diversi, costruiti in momenti diversi, e ognuno ha la sua regola di controllo: a parità di dati in ingresso, stessa decisione.
Ognuna delle tre supera quel controllo su tutte le decisioni. Sempre.
Ma tutte e tre leggono lo stesso archivio: lo storico del cliente. E su un cliente nuovo, o piccolo, o che ha lavorato poco con te, quell'archivio ha meno righe. Meno righe significa una stima più incerta, e un sistema costruito bene, davanti a una stima incerta, è prudente. Sconta. Abbassa.
È qui che il conto si rompe. Ogni agente sconta la propria incertezza in modo corretto e documentato, e lo fa in isolamento. Ma l'incertezza non è distribuita a caso: è sistematicamente più alta sulla stessa categoria di clienti. Quindi i tre sconti non si annullano a vicenda. Si sommano, e vanno tutti nella stessa direzione.
Il risultato, dopo qualche mese, è che le pratiche dei clienti senza storico vengono smistate più in basso, preventivate più care e finanziate meno. Nessuno l'ha deciso. La prudenza di tre sistemi che leggono lo stesso archivio è una prudenza sola, contata tre volte.
E il segnale di ritorno peggiora le cose. Se i tre si tarano sugli insoluti, sui resi o sul carico di lavoro — cioè su un risultato che risente delle loro stesse decisioni passate — la deriva si alimenta da sola. Meno pratiche di quel tipo lavorate, meno dati su quel tipo, stima ancora più incerta, ancora più prudenza.
La simulazione del paper, e quanto vale fuori dal paper
Questo meccanismo ha un nome e una dimostrazione formale, in un lavoro uscito su arXiv il 23 settembre 2026: Compliant with Local Controls, Collectively Discriminatory, di Jose Manuel de la Chica Rodríguez, Juan Manuel Vera Díaz e Pablo Delgado Romero. Il paper non dichiara affiliazioni, si presenta come un'agenda di ricerca e non come una validazione in produzione, e precisa di non essere una prova che Santander usi i sistemi descritti.
Il contesto è il credito bancario, che non è il tuo. Ma il meccanismo che descrivono non ha bisogno di una banca: gli serve che due o più componenti condividano uno stato, un'autorità delegata, uno strumento o un segnale di ritorno. È la definizione che danno loro, e regge anche con tre automazioni in una società di servizi.
La parte formale è modesta e gli autori lo dicono: è un controesempio, non un teorema su tutti i sistemi possibili. Dimostra che esistono sistemi in cui ogni componente supera il proprio controllo su ogni decisione mentre l'insieme viola un vincolo collettivo. Per chi deve rispondere dell'effetto, un controesempio basta: significa che può succedere senza che nessun controllo se ne accorga.
Poi c'è la simulazione. Duecento componenti che valutano richieste di credito di due gruppi con la stessa affidabilità reale, ma con una differenza di rumore nella stima — 0,65 contro 0,30 — perché su un gruppo i dati sono più scarsi. Quattrocento passi di adattamento, venti ripetizioni. Con i soli controlli locali, la disparità nel tasso di approvazione fra i due gruppi sale da 0,05 a 0,41: otto volte il limite che gli autori si erano dati, con zero violazioni dei controlli sul singolo. Con il monitoraggio sull'aggregato e il contenimento attivi, la stessa popolazione sotto la stessa pressione resta a 0,052.
Gli agenti della simulazione sono regole matematiche, non modelli linguistici. Lo scenario è costruito apposta per mostrare il meccanismo. La regola di contenimento legge direttamente il dato che deve correggere, cosa che in produzione non succede. E nel capitolo sui limiti gli autori scrivono: «Effect sizes will not transfer to production; mechanism structure is the claim.» Le dimensioni dell'effetto non si trasferiscono alla produzione — quello che si trasferisce è la forma del problema.
L'«otto volte» vale per lo scenario degli autori. Quello che si porta via chi legge è che il numero può crescere per molto tempo senza che un solo registro segni un'irregolarità.
Quello che i tuoi agenti condividono senza che nessuno l'abbia deciso
La prima cosa da fare è un elenco.
Due agenti si influenzano a vicenda anche quando non si parlano, e nelle aziende con cui lavoriamo non si parlano quasi mai: sono stati costruiti in momenti diversi, magari da fornitori diversi, e nessuno li ha mai pensati insieme. Il collegamento passa da altro.
Lo stesso modello. Se i flussi chiamano lo stesso modello, ereditano insieme le sue inclinazioni e insieme i suoi aggiornamenti. Il giorno in cui il fornitore cambia versione, cambiano tutti e tre.
La stessa base documentale. L'archivio, il gestionale, la cartella dei documenti su cui fanno ricerca. È il collegamento più comune e il meno visibile, perché sembra un pregio: finalmente tutti leggono gli stessi dati. È anche il motivo per cui tutti hanno la stessa lacuna nello stesso punto.
Lo stesso segnale di ritorno. Gli insoluti, i resi, i reclami, le ore di lavorazione. Qualunque numero che i flussi usano per tararsi e che le loro decisioni contribuiscono a produrre.
Lo stesso strumento. Se due agenti passano dalla stessa integrazione per scrivere sul gestionale, un limite o un errore di quella integrazione li ferma insieme.
Questo elenco si scrive in mezza giornata e non richiede nessuno strumento nuovo. Tenerlo aggiornato è il lavoro vero, ed è la stessa disciplina che serve per sapere a nome di chi scrive ogni agente: lì la domanda è chi esegue e su direttiva di chi, qui è con chi divide il pavimento. Sono due colonne dello stesso registro.
La misura che manca: dove finiscono le pratiche di un certo tipo
Un controllo sul singolo risponde alla domanda: questa decisione è coerente con le regole? Una misura sull'insieme risponde a un'altra: dove finiscono, nel complesso, le pratiche di un certo tipo?
La seconda non si ricava dalla prima, e serve un dato che oggi quasi nessuno raccoglie: la distribuzione degli esiti per categoria.
In pratica significa scegliere due o tre tagli che contano per la tua azienda — il cliente nuovo contro il cliente storico, l'ordine piccolo contro quello grande, la filiale contro la sede — e guardare ogni settimana quale quota di ciascuna categoria viene approvata, scartata, messa in coda o mandata a una persona. Su una finestra di un mese, perché su un giorno solo il rumore copre tutto.
È una tabella, non un progetto. Quello che la rende utile è la soglia: prima di guardarla, scrivi di quanto le due quote possono legittimamente differire. Una differenza c'è quasi sempre e spesso è giusta — un cliente senza storico è davvero più rischioso. Il punto è sapere in anticipo quanto, perché senza una soglia scritta prima, qualunque scarto trova una spiegazione dopo.
Accorgersene prima: comportamento osservato contro comportamento atteso
Una misura sugli esiti scatta quando l'effetto è già visibile: la quota è fuori soglia, il danno è fatto. C'è un modo di guardare più in là, e consiste nel confrontare la forma complessiva di quello che gli agenti fanno — come si distribuiscono le loro decisioni fra le categorie che hai deciso di monitorare — con una fotografia presa quando il sistema funzionava come doveva. Nel paper questo indicatore si chiama M².
Nella seconda simulazione, costruita con una deriva in due tempi, questo confronto suona in mediana 65 passi prima della violazione osservabile, contro i 12 del monitor che guarda solo l'esito vietato, con lo stesso numero di campioni e lo stesso tasso di falsi allarmi. Anche qui lo scenario è costruito apposta perché il primo movimento avvenga fuori dall'esito controllato, ed entrambi i rilevatori alla fine distinguono perfettamente i casi: l'unica differenza informativa è il tempo. E il metodo vede solo quello che guardi — se il danno lascia intatta la distribuzione che hai scelto, o se la fotografia di riferimento era già storta, non lo vede.
Il criterio resta anche per chi questo conto non lo farà mai: un allarme tarato sul danno arriva quando il danno c'è. Se vuoi anticipare, devi guardare qualcosa che si muove prima, e accettare che ti faccia alzare qualche volta per niente.
L'autorità si abbassa senza spegnere niente
Trovato lo scarto, resta la domanda pratica: e adesso?
La risposta che si dà da sola è spegnere il flusso, e per questo quasi nessuno la usa: costa troppo, si torna al manuale, e chi l'ha proposta la volta prima non la propone più. Così il flusso resta acceso mentre qualcuno indaga, che è l'unica opzione peggiore.
L'alternativa che il paper mette al centro è graduare. Gli autori descrivono cinque livelli di autonomia, dal livello in cui ogni risultato passa da una persona prima di essere eseguito fino a quello in cui si fa solo un audit a posteriori e si guardano le eccezioni. Un agente sta a un livello, e quel livello si muove.
La parte che conta è l'asimmetria: si sale con una firma, si scende da soli. Alzare l'autonomia di un agente richiede un'approvazione umana documentata, prove, un limite di tempo e una verifica periodica. Abbassarla no: uno scarto sull'aggregato o una serie di decisioni che si avvicinano al limite la abbassano subito, e la discussione si fa dopo, con il sistema già in una posizione più prudente.
Tradotto in un'azienda con tre agenti, tre livelli bastano, e li puoi scrivere oggi:
- Esegue e basta. È dove stanno adesso.
- Esegue, ma sopra una soglia chiede. L'importo, il cliente nuovo, l'eccezione.
- Propone e aspetta. Continua a lavorare e a preparare, ma non chiude niente da solo.
Serve che il passaggio da 1 a 3 sia un'impostazione, non una modifica da chiedere a chi ha costruito il flusso. Se per fermare un agente bisogna aprire una richiesta al fornitore, il contenimento non esiste: esiste solo lo spegnimento, e quello non lo userai.
Da dove si comincia, in una settimana
Il paper elenca nove elementi per un istituto finanziario che voglia partire da un minimo difendibile. Con due o tre agenti accesi, quattro di quei nove sono già una settimana di lavoro, e sono quelli di cui parla questo articolo.
Il registro degli agenti. Cosa è acceso, dove, da quando, chi risponde. Se questo elenco non esiste scritto, tutto il resto è prematuro — e nelle aziende in cui lo chiediamo, scritto, spesso non c'è.
La mappa di cosa condividono. Modello, base documentale, segnale di ritorno, strumenti. Una riga per agente, quattro colonne.
Una misura sull'insieme. Due o tre tagli, una tabella settimanale, una soglia scritta prima.
Una regola di contenimento. Cosa si abbassa, di quanto e a opera di chi, quando la soglia salta. Scritta prima che salti.
Prima di accendere il terzo agente
Un solo agente è un problema di controllo: fa la cosa giusta o no. Dal secondo in poi diventa un problema di composizione, e i controlli che avevi non cambiano — restano validi, restano puntuali, e continuano a guardare ognuno la sua decisione mentre la somma va da un'altra parte.
Il costo di non guardare l'insieme arriva sotto forma di un cliente che chiede perché le sue pratiche escono sempre in fondo, e a quel punto la risposta va ricostruita a mano su mesi di decisioni, ognuna delle quali era in regola.
Le tre domande costano una mattina, se le fai prima: cosa condividono, cosa misuri sull'insieme, cosa succede quando lo scarto cresce. La prima è un elenco, la seconda è una tabella, la terza è una riga scritta prima che serva.
Nella tua azienda, quante automazioni leggono lo stesso archivio — e chi guarda dove finiscono, tutte insieme, le pratiche di uno stesso tipo di cliente?