Agenti AI su browser e computer: cosa automatizzano davvero

In breve: un agente AI che usa il browser o il computer guarda lo schermo, clicca e scrive come farebbe un impiegato. In un e-commerce o in un'azienda B2B rende di più dove mancano le API: portali fornitori, gestionali chiusi, report da scaricare a mano. Dove le API ci sono, un workflow classico resta più rapido, economico e prevedibile.

Punti chiave

L'agente lavora sull'interfaccia, non direttamente sui dati: è la soluzione per i sistemi chiusi, non la prima scelta.
I casi più solidi sono l'inserimento ordini su portali, la raccolta di dati dai portali fornitori e i report ricorrenti.
Gli agenti desktop come Claude Cowork aggiungono l'accesso ai file locali e le attività pianificate, con permessi da configurare.
Un modello open-weight ha i pesi scaricabili, ma la licenza può vietarne l'uso commerciale.
Il rischio principale è la prompt injection: servono permessi minimi e una conferma umana sulle azioni che contano.
Login, verifiche a due fattori e monitoraggio dei prezzi dei concorrenti richiedono regole chiare: utenti dedicati, condizioni d'uso dei siti e GDPR.

Una parte consistente del lavoro operativo passa ancora da un browser: il portale acquisti del cliente grande dove caricare le conferme d'ordine, l'area riservata del corriere, il back office del marketplace, il sito del fornitore che esporta i listini solo in Excel. Molti di questi sistemi non offrono API, e per anni l'alternativa all'inserimento manuale sono stati script registrati che si rompono a ogni cambio di layout. Gli agenti AI che "leggono" la pagina cambiano le cose, anche se non come raccontano le demo.

Cos'è un agente AI che usa browser e computer?

È un software basato su un modello linguistico che completa un compito usando schermo, mouse e tastiera al posto di una persona. Un agente AI è un sistema che decide da solo quali passaggi eseguire per raggiungere un obiettivo; quando i suoi strumenti sono quelli di un utente al computer si parla di computer use.

Funziona a ciclo: il modello riceve uno screenshot, sceglie un'azione (clic, digitazione, scorrimento), l'applicazione la esegue e gli restituisce il nuovo screenshot, fino alla fine del compito. È lo schema descritto nella documentazione di Anthropic sullo strumento di computer use, che però per i compiti confinati dentro un sito indica come più adatto lo strumento dedicato al browser, perché legge e agisce sulla pagina senza bisogno di un desktop completo.

Ne derivano tre categorie:

Agente browser: lavora solo dentro le pagine web, in un browser dedicato o nel tuo.
Agente computer: controlla un intero desktop, di solito una macchina virtuale, e può usare anche programmi installati.
Agente desktop: un'applicazione che lavora sul computer dell'utente, con accesso a file, cartelle, connettori e browser. È quella che chiede più attenzione ai permessi.

Che differenza c'è tra automazione del browser classica e agenti AI?

L'automazione classica ripete una sequenza fissa di passaggi; l'agente interpreta la pagina ogni volta. Per questo l'agente tollera cambi di layout e documenti non standard, ma è più lento, costa di più per operazione e dà risultati meno prevedibili.

La RPA (robotic process automation) è il software che riproduce clic e digitazioni registrati su un'interfaccia. Un workflow via API collega due programmi che si scambiano dati direttamente, per esempio con n8n o Make, senza passare dallo schermo. Ne ho parlato più in dettaglio nella guida all'automazione dei processi aziendali.

Criterio	Workflow via API (n8n, Make)	Script e RPA (es. Playwright)	Agente AI su browser o computer
Serve un'API?	Sì	No	No
Se cambia il layout della pagina	Non lo riguarda	Di solito si rompe	In genere si adatta
Velocità	Secondi	Secondi o minuti	Minuti: ogni passo richiede uno screenshot e una decisione
Costo per operazione	Molto basso	Basso	Più alto: ogni screenshot consuma token del modello
Prevedibilità	Alta	Alta finché l'interfaccia resta uguale	Media: va controllato un campione dei risultati
Dove ha senso	Sistemi moderni con API	Interfacce stabili ad alto volume	Interfacce chiuse, variabili o a basso volume

Il costo non è un dettaglio. Secondo la documentazione di Anthropic, ogni screenshot pesa circa 1.000-1.800 token in input, e un compito di venti passaggi ne accumula facilmente una ventina, anche se il modello può raggruppare alcune azioni brevi in un solo turno. Su poche decine di operazioni al giorno è sostenibile; su migliaia conviene quasi sempre investire in un'integrazione via API o in uno script.

Cosa automatizzano davvero gli agenti in un e-commerce o in un'azienda B2B?

Rendono di più sui compiti con tre caratteristiche: si svolgono su un'interfaccia senza API, seguono una procedura chiara e l'errore si può controllare prima che produca danni. Ecco i casi più concreti.

Inserimento ordini su portali e gestionali

Prendiamo, come scenario di esempio, un distributore B2B di materiale elettrico che riceve ogni giorno una trentina di ordini via email in PDF, con formati diversi per ogni cliente. Un agente può leggere il PDF, aprire il gestionale web, compilare l'ordine e fermarsi prima del salvataggio, lasciando a una persona la verifica di codici e quantità. Lo stesso schema vale al contrario, quando è il grande cliente a imporre il proprio portale acquisti per caricare conferme d'ordine, documenti di trasporto o fatture.

Portali fornitori: disponibilità, prezzi e documenti

Molti fornitori pubblicano listini, giacenze e schede tecniche solo in un'area riservata. Per un e-commerce che rivende migliaia di referenze, un agente può entrare nel portale, scaricare il listino aggiornato, confrontarlo con il catalogo e segnalare le differenze di prezzo o le rotture di stock. Il caricamento sul sito conviene invece farlo via API della piattaforma (Shopify, WooCommerce).

Report ricorrenti da più back office

Il lunedì qualcuno apre il pannello del marketplace e l'area del corriere, scarica i dati della settimana e li incolla in un foglio di calcolo. È uno dei casi più adatti: basso rischio, procedura sempre uguale, risultato facile da verificare. Sul tema vedi anche la digitalizzazione della logistica nelle PMI.

Controlli sul proprio sito

Un agente browser può navigare il negozio come un cliente: verificare che i prodotti in promozione mostrino il prezzo giusto, che il carrello applichi lo sconto, che il modulo contatti arrivi a destinazione. Copre i controlli che oggi qualcuno fa a mano e poi dimentica.

Dove invece non conviene: pagamenti, invii a clienti senza revisione, modifiche massive al catalogo e tutto ciò che ha già un'API documentata. Lo stesso vale per la gestione dei profili social: la documentazione di Anthropic avverte che la capacità del modello di creare account e di generare e pubblicare contenuti sulle piattaforme social è limitata, e le piattaforme hanno comunque strumenti e regole proprie per la pubblicazione.

Si può usare un agente AI per monitorare i prezzi dei concorrenti?

Tecnicamente sì, sulle pagine pubbliche: l'agente apre la scheda prodotto, legge prezzo e disponibilità e li riporta in un foglio di calcolo. Prima di farlo, però, vanno chiariti tre aspetti.

Volumi: per qualche decina di prodotti controllati una volta al giorno un agente può bastare; per centinaia o migliaia di referenze ogni screenshot pesa sul costo, e uno script dedicato o un servizio di rilevazione prezzi è più adatto.
Condizioni d'uso del sito: molti siti regolano l'accesso automatizzato nei propri termini di servizio, che vanno letti prima di partire. Il file robots.txt non chiude la questione: lo standard che lo definisce, l'RFC 9309, precisa che le sue regole non sono una forma di autorizzazione all'accesso. Un percorso non escluso dal robots.txt, quindi, non equivale a un permesso.
Dati personali: prezzi e schede prodotto di un'azienda non lo sono, ma recensioni firmate o profili di venditori privati sì, e lì si applica il GDPR.

Nel B2B i listini stanno spesso dietro un login riservato ai clienti. Usare un accesso da cliente per raccogliere i prezzi di un concorrente è un caso diverso dalla lettura di una pagina pubblica, da valutare con le condizioni del portale e con un legale prima di qualsiasi prova. Per il quadro competitivo più ampio vedi opportunità e sfide dell'e-commerce B2B.

Dove gira l'agente: sul tuo computer, in una macchina virtuale o nel cloud?

Gli ambienti possibili sono tre, e la scelta incide su sicurezza, gestione e percorso dei dati.

Ambiente	Come funziona	Adatto a	Attenzione a
Computer dell'utente (agente desktop)	L'agente usa il browser, le app e i file di chi lo avvia	Compiti di una persona, volumi bassi	Sessioni già aperte e file locali: i permessi vanno limitati
Macchina virtuale o container in azienda	Ambiente isolato su un server proprio; è lo schema dell'implementazione di riferimento di Anthropic, basata su Docker	Processi ricorrenti, dati da tenere in casa	Serve qualcuno che lo configuri e lo mantenga
Browser in cloud	Un servizio fornisce browser "headless", cioè senza interfaccia grafica, avviati su richiesta con sessioni isolate (per esempio Browserbase)	Volumi variabili, molte sessioni in parallelo, nessun server da gestire	Le pagine passano da un fornitore in più: serve un accordo sul trattamento dei dati

Un dettaglio che conta per la privacy: secondo la documentazione di Anthropic il computer use è uno strumento lato client, quindi screenshot, azioni e file della sessione vengono salvati nell'ambiente di chi lo usa e non da Anthropic, che elabora le immagini in tempo reale durante la chiamata API, con le regole di conservazione previste per l'API. Anche gli script tradizionali si adattano a tutti e tre gli ambienti: Playwright, per esempio, funziona con Chromium, Firefox e WebKit, su Windows, Linux e macOS, con o senza finestra visibile.

Agenti desktop: cosa fa davvero Claude Cowork?

Claude Cowork è la modalità agente di Claude, nata nell'app desktop: porta le capacità di Claude Code, nato per gli sviluppatori, sul lavoro d'ufficio, senza bisogno del terminale. Gli dai un obiettivo e lavora su file, connettori e browser. Il prodotto cambia in fretta: la pagina ufficiale annuncia che Cowork e la chat stanno confluendo in un'unica esperienza Claude, quindi nomi e menu possono cambiare. Ecco cosa dichiara la guida ufficiale, consultata a novembre 2026:

è disponibile sui piani a pagamento, nell'app desktop e anche sul web e da mobile;
sul desktop legge e scrive solo nelle cartelle che hai collegato;
sui siti può aprire pagine, leggerle, cliccare, scrivere e compilare moduli, con un browser integrato oppure dentro Chrome tramite l'estensione Claude in Chrome;
le approvazioni hanno tre modalità: manuale, automatica e senza approvazioni;
le attività pianificate girano nel cloud, quindi non serve tenere acceso il computer;
chiede un permesso esplicito prima di cancellare definitivamente un file.

La pagina prodotto aggiunge un dettaglio utile per capire la logica: Claude usa prima i connettori, poi il browser e solo come ultima risorsa lo schermo, cioè il computer use vero e proprio, che per Cowork è ancora in anteprima di ricerca e chiede il permesso prima di accedere a ogni applicazione.

In pratica, un agente desktop è adatto ai compiti di una persona: il report settimanale, la riconciliazione di due fogli di calcolo, i documenti da raccogliere su tre portali. Un processo che deve girare sempre, su volumi alti e con un registro di ogni operazione, sta meglio su un workflow lato server, eventualmente con un agente dentro. È lo stesso ragionamento che vale per gli agenti AI rispetto agli abbonamenti SaaS.

Cos'è un modello open-weight e perché conta per gli agenti?

Un modello open-weight è un modello di intelligenza artificiale di cui il produttore pubblica i pesi, cioè i parametri numerici appresi durante l'addestramento, in file scaricabili. Chi li scarica può eseguire il modello sui propri server, adattarlo con un ulteriore addestramento e usarlo senza inviare dati a un fornitore esterno, nei limiti della licenza.

Open-weight non significa open source. L'Open Source AI Definition della Open Source Initiative chiede, oltre ai pesi, il codice usato per addestrare ed eseguire il modello e informazioni sui dati di addestramento sufficienti a ricostruire un sistema equivalente, insieme alla libertà di usarlo, studiarlo, modificarlo e condividerlo. Il rapporto NTIA del 2024 sui modelli con pesi disponibili indica tra i vantaggi proprio la possibilità di usare i modelli senza condividere i dati con terzi.

Per gli agenti la questione è concreta, perché uno screenshot del gestionale contiene spesso nomi di clienti, prezzi riservati e indirizzi. Un esempio verificabile: a fine settembre 2026 H Company ha pubblicato su Hugging Face la famiglia Holo4, modelli pensati per il computer use. La variante Holo4-35B-A3B è rilasciata con licenza Apache 2.0, che ne consente l'uso commerciale; la variante Holo4-27B ha una licenza CC BY-NC 4.0, cioè non commerciale. Stessa famiglia, stesso scopo dichiarato, regole d'uso opposte: la licenza va letta prima di qualsiasi prova.

Un modello open-weight conviene quando i dati non devono uscire dall'azienda o i volumi sono alti, ma richiede GPU, competenze interne e manutenzione. Per chi parte, un modello via API con un accordo sul trattamento dei dati è la strada più semplice. Se vuoi un quadro degli strumenti aperti disponibili, c'è la panoramica sui framework open source per automatizzare il lavoro.

Un agente AI può fare login nei portali e gestire le credenziali?

Sì, ma ogni login è un punto delicato. La documentazione di Anthropic spiega che, se il modello deve accedere a un'applicazione, gli si possono fornire nome utente e password nel prompt, e avverte che usare il computer use in applicazioni che richiedono il login aumenta il rischio di danni da prompt injection. Il motivo è semplice: un agente ingannato può fare tutto ciò che l'account aperto gli consente.

Gli strumenti per il browser aggiungono controlli propri. Per Claude in Chrome Anthropic indica permessi per singolo sito, revocabili in qualsiasi momento, la richiesta di conferma prima di azioni ad alto rischio come pubblicare, acquistare o condividere dati personali, e il blocco di alcune categorie di siti ad alto rischio, tra cui i servizi finanziari: l'home banking, per esempio, resta fuori. Nei piani Team ed Enterprise gli amministratori possono attivare o disattivare l'estensione per tutta l'organizzazione e definire elenchi di siti consentiti e bloccati.

Nella pratica:

crea per l'agente un utente dedicato su ogni portale, con i soli permessi necessari, così le sue azioni restano distinguibili da quelle delle persone;
non riusare le credenziali personali di un dipendente o quelle dell'amministratore;
quando il portale chiede un codice di verifica a due fattori, lascia che l'accesso lo faccia una persona: è un controllo pensato per un essere umano, e aggirarlo indebolisce la sicurezza dell'account;
se un portale mostra un CAPTCHA, prendilo come un segnale che il gestore non vuole accessi automatici: chiedi al fornitore un export o un'API invece di cercare scorciatoie.

Quali rischi ci sono a dare il browser a un agente AI?

Il rischio principale è la prompt injection: un testo trovato su una pagina o in un documento che l'agente scambia per un'istruzione. Gli altri sono credenziali esposte, azioni irreversibili e dati personali negli screenshot.

La prompt injection indiretta è, nella definizione dell'OWASP, il caso in cui un contenuto esterno (un sito, un file) altera il comportamento del modello in modo non previsto. Esempio pratico: un PDF d'ordine con una riga invisibile che dice di inviare il listino riservato a un indirizzo esterno. Anthropic ha pubblicato numeri chiari sul problema: nei test dell'agosto 2025 su Claude in Chrome (123 casi, 29 scenari di attacco) gli attacchi riuscivano nel 23,6% dei casi senza difese; con le difese aggiunte alla modalità autonoma la quota è scesa all'11,2%. Meno della metà, ma non zero.

Le contromisure indicate dalla documentazione di Anthropic coincidono con quelle dell'OWASP:

far lavorare l'agente in una macchina virtuale o in un container con privilegi minimi;
non dargli accesso a dati sensibili, a partire dalle credenziali personali;
limitare la navigazione a un elenco di domini consentiti;
chiedere la conferma di una persona prima delle azioni con conseguenze reali, come inviare, pagare o cancellare.

A questo si aggiunge il GDPR: se gli screenshot contengono dati di clienti, il fornitore del modello tratta dati personali e serve un accordo sul trattamento. Il tema si inserisce in una visione proattiva della sicurezza informatica.

Quanto è affidabile un agente AI e come si controlla il suo lavoro?

Abbastanza per compiti con una verifica a valle, non per quelli che richiedono precisione assoluta. È la stessa Anthropic a elencare i limiti nella documentazione del computer use: la latenza può essere troppo alta rispetto a una persona, il modello può sbagliare le coordinate di un clic o scegliere l'azione sbagliata, e l'affidabilità cala con applicazioni di nicchia o con più applicazioni usate insieme. Per questo indica come casi adatti quelli in cui la velocità non è critica, come la raccolta di informazioni in background o i test automatici del software, e sconsiglia di usarlo senza supervisione umana per compiti che richiedono precisione perfetta o dati sensibili.

Per un e-commerce o un'azienda B2B questo si traduce in quattro controlli:

Registro delle azioni: per ogni esecuzione conserva screenshot, passaggi e risultato, così un errore si ricostruisce in pochi minuti.
Quadratura automatica: confronta i totali (righe d'ordine, quantità, importi) con il documento di partenza prima di considerare chiusa l'operazione.
Campione settimanale: una persona ricontrolla una quota fissa delle operazioni concluse, più alta durante il pilota.
Conteggio delle eccezioni: tieni traccia dei casi in cui l'agente si è fermato o ha chiesto aiuto; se crescono, il processo o l'interfaccia sono cambiati.

La tracciabilità delle decisioni dell'AI è un tema di governance più ampio, approfondito nella guida su governance e spiegabilità dell'AI.

Come applicarlo nella tua azienda: i primi passi

Mappa i compiti nel browser per due settimane: chi li fa, quante volte, quanti minuti ciascuno.
Per ogni compito verifica se esiste un'API o un export: se c'è, usa un workflow e lascia stare l'agente.
Scegli un solo compito senza API, a basso rischio e misurabile, come un report settimanale. Fissa tre indicatori: minuti per operazione, tasso di errore, percentuale di casi che richiedono un intervento umano. Per impostarli aiuta la guida ai KPI per misurare il valore dell'AI.
Prepara un ambiente separato: account dedicato con permessi minimi, browser o macchina virtuale isolata, domini consentiti, conferma umana prima di ogni salvataggio o invio.
Fai un pilota di quattro settimane in affiancamento: l'agente lavora, una persona controlla, poi confronti gli indicatori con il lavoro manuale e decidi se estendere.

Questo tipo di progetto rientra nelle automazioni aziendali su misura, dove lo strumento si sceglie in base al processo.

Errori da evitare

Usare un agente dove esiste un'API: paghi di più per un risultato meno affidabile.
Dare all'agente le credenziali dell'amministratore: crea un utente dedicato con i soli permessi necessari.
Lasciarlo libero su pagamenti, invii e cancellazioni: queste azioni richiedono sempre una conferma umana.
Aggirare verifiche a due fattori o CAPTCHA: se un portale li usa, chiedi un accesso ufficiale, un export o un'API.
Giudicare dalla demo: misura il caso medio e le eccezioni, non l'esecuzione perfetta del primo giorno.
Ignorare licenze e condizioni d'uso: controlla la licenza del modello e che i termini del portale consentano l'accesso automatizzato.

Domande frequenti (FAQ)

Che cos'è l'automazione del browser con l'AI?

È l'uso di un agente AI che apre un browser, legge le pagine e compie azioni come cliccare, compilare moduli e scaricare file al posto di una persona. Regge i cambi di layout meglio degli script tradizionali, ma è più lenta e costosa di un'integrazione via API.

Un agente AI può sostituire l'RPA?

In parte. Dove le interfacce cambiano spesso o i documenti hanno formati diversi, l'agente è più robusto di un bot RPA. Dove il processo è stabile e ad alto volume, l'RPA o uno script restano più veloci ed economici; spesso la soluzione migliore combina i due.

Quanto costa far lavorare un agente sul browser?

Il costo dipende dal numero di passaggi, perché ogni passaggio richiede uno screenshot che il modello deve elaborare: secondo Anthropic circa 1.000-1.800 token in input ciascuno. Vanno aggiunti l'infrastruttura e il tempo di supervisione, da confrontare con il costo di chi oggi svolge il compito.

Claude Cowork può lavorare sui file del mio computer?

Sì, sull'app desktop e solo nelle cartelle che colleghi esplicitamente. Secondo la guida ufficiale chiede un permesso esplicito prima di cancellare definitivamente un file ed è disponibile sui piani a pagamento di Claude. Le attività pianificate girano nel cloud.

Un modello open-weight è anche open source?

No, non necessariamente. Open-weight significa che i pesi sono scaricabili; open source, secondo la definizione della Open Source Initiative, richiede anche il codice, le informazioni sui dati di addestramento e la libertà di usare, modificare e condividere il modello. Alcuni modelli open-weight hanno licenze non commerciali.

È sicuro dare a un agente l'accesso ai portali dei fornitori?

Può esserlo, con un account dedicato a permessi minimi, un ambiente isolato, un elenco di siti consentiti e la conferma umana prima delle azioni che contano. Il rischio da gestire è la prompt injection, cioè istruzioni nascoste nelle pagine o nei documenti. Se gli screenshot contengono dati personali serve anche un accordo sul trattamento con il fornitore del modello.

Serve saper programmare per usare un agente sul browser?

Dipende dall'uso. Un agente desktop come Claude Cowork si usa dall'app, senza terminale: colleghi le cartelle e descrivi il compito. Un agente che lavora ogni giorno su un server, collegato al gestionale, con registri e controlli, richiede invece uno sviluppo vero: ambiente isolato, gestione delle credenziali e integrazione con gli altri sistemi.

Fonti

Se vuoi capire quali attività del tuo lavoro nel browser conviene affidare a un agente e quali a un workflow, parti da una diagnosi gratuita.