Guardrail: le regole invisibili che governano l’AI

Abstract

Una riflessione su cosa rende oggi possibile l’interazione tra esseri umani e sistemi di intelligenza artificiale: i guardrail, i sistemi di regole che governano il comportamento degli agenti. Obiettivo dell’articolo è spiegare cosa sono, come funzionano e quali tipologie esistono — dai filtri sui contenuti ai limiti sulle azioni che un agente può compiere — per capire come si traduce concretamente in codice il confine tra un’AI utile e un’AI sicura, etica, conforme alle normative.

Condizionatori rotti, assistenti virtuali, dubbi esistenziali

È luglio, l’afa incombe, il lavoro altrettanto, il termometro segna i 38°. Real feel: 40°. Guardo con gratitudine lo split che con leggerezza e magnanimità infonde nella stanza il giusto refrigerio per permettermi di continuare a lavorare. Fino a quando il rumore sordo di un’interruzione di servizio sequestra la mia attenzione e mi fa precipitare nel panico: il condizionatore, la mia unica ancora di salvezza nell’immensa arsura, ha cessato improvvisamente di dare segni di vita. Provo in tutti i modi a farlo ripartire, con qualsiasi stratagemma che la mia mente in surriscaldamento riesca a concepire. Niente. Non mi resta che riporre ogni mia speranza nell’assistenza tecnica. Raggiungo lo smartphone, cerco il numero, lo compongo, chiamo. Sento mille messaggi registrati, ascolto incurante perché ho fretta, ho urgenza di parlare con un operatore che possa dirmi come risolvere il mio problema prima possibile, adesso. Non mi risponderanno mai, penso. È luglio e sarò solo una dei mille utenti con problemi di questo tipo. Tutt’a un tratto: silenzio. Mi riprendo dai mille pensieri e sono certa di non aver ottemperato all’obbligo di selezionare un numero dalla tastiera, autocondannandomi all’oblio. Invece no, mi risponde una voce gentile. Sarà un ragazzo, penso. Mi chiede che problemi abbia. Mi aiuta a fare diverse prove per tentare la riaccensione del mio condizionatore. Purtroppo, nessuna va a buon fine. Constatando la mia crescente disperazione, il ragazzo mi propone proattivamente di fissare alla prima data utile compatibile con i miei impegni un appuntamento in loco con un tecnico per valutare il da farsi. Accetto rassegnata e fisso l’appuntamento. Ringrazio il ragazzo e chiudo la telefonata. Ma prima di chiudere sento un messaggio: “Come valuti la nostra esperienza con il nostro assistente virtuale?”. Assistente virtuale? Ma che sta dicendo?

Spoiler: quello che non avevo sentito all’inizio era il messaggio che mi avvisava del fatto che avrei interagito con un assistente virtuale. Sbalorditivo, vero? Welcome to 2026.

L’estate torrida in cui ho capito davvero cosa può significare concretamente l’AI nella vita di una persona.

Non sono stata l’unica, evidentemente: a capirlo è stato probabilmente anche circa il 33% della popolazione europea tra i 16 e i 74 anni che nel 2025 ha dichiarato di aver utilizzato strumenti di AI generativa^[1].

Senza considerare che, secondo fonti di mercato, almeno un utente su due ha già interagito con strumenti di voice AI (campione di circa 10.000 interviste globali)^[2].

Se le cose stanno davvero così, è abbastanza lecito domandarsi: quali sono e come funzionano le regole che segnano i limiti e i confini di questa tecnologia? Cosa permette a un agent di operare come un essere umano che affronta e gestisce un problema di customer care rimanendo entro il confine silenzioso e invisibile di regole (in apparenza) non scritte? Senza, cioè, deragliare da un pattern conversazionale condiviso rispetto alle attese e risultare inappropriato, inutile, fuori contesto o addirittura sgradevole?

 

Guardrail: di cosa parliamo

Per rispondere a quest’ultimo interrogativo, bisogna premettere che le tecniche di contenimento e di regolazione possono essere diverse a cominciare dall’allineamento del modello alle regole durante la fase di training e alla definizione di permessi per potere operare in un determinato contesto applicativo (c.d. sandboxing).

A queste si aggiungono i guardrail: regole implicite – o meglio: trasparenti all’utente finale – che consentono ai modelli di proteggersi da input inappropriati o fuori contesto, di rendere coerenti i propri output, di adottare una postura di sicurezza adeguata. Si tratta – in altri termini – di un sistema sofisticato di regole che consentono al modello di adattarsi al contesto conversazionale e che operano sia in modo deterministico (per esempio nel caso di verifiche sul formato dei dati di input), sia in modo generativo (per esempio nel caso degli LLM-as-a-judge, ossia quando un modello generativo esterno valuta l’output di un altro modello in uso).

Proprio come un guardrail collocato a lato della carreggiata limita il rischio che un veicolo possa uscire fuori strada, i guardrail nei sistemi di AI aiutano i modelli a non deviare dal percorso concepito per il loro utilizzo^[3].

In tutti questi casi, i modelli rispondono a delle regole predeterminate che ne delimitano i confini con l’obiettivo di evitare una deriva incontrollata. Si tratta perlopiù di regole contenute in uno strato separato dal modello stesso e tipicamente sono specifiche per un contesto determinato. Ciò perché i criteri applicabili in un dato ambito potrebbero essere totalmente inapplicabili in un altro. Giusto a titolo di esempio: la regola “non divulgare informazioni sul funzionamento interno dell’azienda” – valida per uno strumento di orientamento destinato agli utenti di un sito – potrebbe risultare inapplicabile, se non addirittura controproducente, se lo strumento di orientamento fosse invece rivolto agli operatori di un’azienda con lo scopo di reperire informazioni specifiche relative a procedure interne.

 

Guardrail in azione

Come funzionano esattamente i guardrail? Si tratta, di fatto, di check point in ingresso e in  uscita.

Non risulta codificata, allo stato, una classificazione standard, ma in via di prima approssimazione è possibile tracciare una suddivisione in due macro categorie: input e output guardrail.

Input guardrail. Hanno l’obiettivo di proteggere il modello da input che indirizzano intenti malevoli di vario tipo (come per esempio attacchi informatici basati su prompt injection, consistenti nell’inquinamento del prompt con la finalità di far eseguire al modello operazioni non autorizzate)^[4], tentativi di esfiltrazione di dati personali o violazione di regole etiche o di correttezza (ad esempio, utilizzo di linguaggio inappropriato). Come detto, il guardrail può essere deterministico o generativo. Un esempio del primo caso è un input guard che limita il numero di caratteri utilizzabili in un singolo prompt, fissando una misura massima oltre la quale è previsto un blocco; un esempio del secondo caso, invece, riguarda l’interpretazione di linguaggio e la classificazione del prompt come linguaggio appropriato o inappropriato, con l’obiettivo – in questo secondo caso – di bloccare l’interazione.

Output guardrail. In questo caso il focus del guardrail è incentrato sul contenuto prodotto dal modello. L’output guardrail, infatti, impone regole per monitorare i contenuti del modello prima che vengano comunicati all’utente. L’obiettivo quindi è quello di filtrare i risultati delle risposte del modello la cui accuratezza può non essere soddisfacente a causa delle regole di funzionamento – probabilistiche, non deterministiche – delle reti neurali^[5]. Solo per citare qualche esempio, in questi casi i guardrail consentono di depurare le risposte dalle allucinazioni – cioè le informazioni inventate o assemblate arbitrariamente – rimuovere i risultati fuori contesto e tarare il linguaggio utilizzato nella risposta, affinché sia coerente con il contesto semantico.

Se tale bipartizione si presta a fornire un primo sguardo di insieme sul funzionamento dei guardrail, non esaurisce tuttavia l’orizzonte di tutte le finalità di questi strumenti, come dimostra, per esempio, la diffusione dei pre-execution rail.

Questi guardrail operano perlopiù quando i modelli non esauriscono la loro funzione nell’ambito di una conversazione, ma compiono azioni dispositive (come prenotare appuntamenti, compilare moduli, completare acquisti etc.). In questo contesto, il guardrail pianifica e limita il perimetro di operazioni che possono essere materialmente eseguite dal modello^[6].

 

Le regole in azione

Come si è detto, il guardrail è uno strumento con cui è possibile iniettare un insieme di regole nel sistema attorno al modello. L’insieme di tali regole proietta all’esterno i valori e le norme cui aderisce il soggetto che adotta la soluzione tecnologica basata su intelligenza generativa.

Si tratta, dunque, di uno strumento con cui una regola diventa un comportamento verificabile del sistema.

Ma come, in concreto? Qualche esempio può aiutare a comprendere^[7].

Protezione dei dati.

Attraverso i guardrail, si possono mettere in atto misure di protezione dei dati personali per evitare il rischio di data leak e garantire un trattamento in linea con i principi del GDPR (art. 5).

Le applicazioni al trattamento dei dati personali sono numerose, se si pensa che i modelli, come noto, possono trattare una vasta mole di dati. Per garantire una minimizzazione del trattamento è possibile impostare guardrail che impongono l’anonimizzazione del dato riconosciuto come dato personale (per esempio introducendo una regola sul troncamento dei dati o la loro cifratura).

Trasparenza. I guardrail possono essere uno strumento molto efficace per mettere in atto strategie idonee a garantire la trasparenza del sistema. Un esempio su tutti: adeguamento agli obblighi imposti dal Regolamento UE n. 2024/1689 (AI Act) in capo a deployer e fornitori di sistemi di AI. In particolare l’art. 50, comma 1 prevede che i fornitori garantiscano che i sistemi di AI destinati a interagire direttamente con le persone fisiche siano “[…] progettati e sviluppati in modo tale che le persone fisiche interessate siano informate del fatto di stare interagendo con un sistema di IA […]”.

In questo caso, un guardrail può imporre al modello di comunicare all’utente che l’interazione si sta svolgendo con un sistema di AI. Ciò è tanto più importante quanto meno tale circostanza risulti evidente a una persona informata e avveduta.

Compliance. I guardrail possono inoltre rivelarsi estremamente efficaci nel garantire la compliance normativa. Si pensi per esempio alle disposizioni dell’AI Act che impongono una supervisione umana per i sistemi ad alto rischio (art. 14): in questi casi, tipicamente, si parla di human-in-the-loop (HITL). Con questa espressione si fa specificamente riferimento a sistemi ibridi che prevedono la partecipazione attiva dell’essere umano nel processo decisionale^[8]. Consideriamo, solo a titolo esemplificativo, i sistemi che hanno lo scopo di valutare l’affidabilità creditizia delle persone fisiche, codificati dall’Allegato III dell’AI Act (punto 5, lett. b) come sistemi ad alto rischio.

Un sistema di guardrailing può intercettare una decisione automatizzata e – in base alle regole organizzative predefinite per la gestione di questi casi – demandarne la revisione a un essere umano, garantendo, in tal modo, anche il rispetto dell’art. 22, comma 1 del GDPR in base al quale l’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.

Sicurezza.

Un’altra area in cui i guardrail contribuiscono al corretto funzionamento dei modelli è quello della sicurezza: possono mitigare sensibilmente il rischio rilevando e rispondendo in tempo reale a eventuali minacce.

Un guardrail, ad esempio, può essere messo a protezione di un servizio finanziario basato su LLM per rilevare transazioni anomale e adottare conseguenti misure di difesa come la sospensione temporanea delle transazioni^[9].

 

Guardrail: le regole per governare l’AI

I guardrail sono quindi la panacea di ogni male dei modelli di AI o la risposta definitiva ai problemi di sicurezza, data protection e compliance etica e legale di ogni sistema basato su intelligenza artificiale generativa? Decisamente no.

Tuttavia, è ragionevole ritenere che si tratti di uno strumento prezioso per costruire i limiti dei modelli e mitigare i rischi connessi alla loro generatività e, in definitiva, per governare una parte dei rischi dell’AI^[10].

Si tratta di strumenti che consentono di imprimere una direzione in relazione al rispetto di paradigmi etici e legali a valle dello stesso modello e la cui importanza sarà presumibilmente sempre più centrale per chi si occupa di quell’area della conoscenza che ci colloca all’intersezione tra il diritto, l’etica e la tecnologia^[11].

Il loro utilizzo, come si è visto, non solo consente ai modelli di non deragliare, ma – soprattutto se combinato con altri strumenti – può ottimizzare il workload delle risorse coinvolte in un processo di lavoro, in un contesto di Human-Machine collaboration^[12],  e migliorare la postura di sicurezza del sistema, garantendo un approccio difensivo strutturato.
Si tratta di uno strumento utile a iniettare nel sistema le regole multilivello che consentono di governare i sistemi di AI lasciando all’utente distratto il privilegio di un dubbio lecito: “Ma quindi ho parlato davvero con un assistente virtuale?”.

 

---

NOTE

^[1] Eurostat, EU survey on the use of ICT in households and by individuals, dati 2025.

^[2] Zendesk, 2025 CX Trends Report: Human centric AI drives loyalty, novembre 2025, (https://www.zendesk.com)

^[3] A. Mishra, Understanding AI Guardrails: Concepts, Models, and Methods, in «International Journal of Innovative Research in Engineering & Multidisciplinary Physical Sciences», vol. 13, n. 1, 2025, pp. 1-7.

^[4] Per una panoramica su diverse tipologie di attacco, P. Jalan, V. Abishethvarman, B. Chandna et al., Survey on LLM Safety: Attacks, Defenses, Alignment, Metrics, and Guardrails, in «Machine Learning», vol. 115, art. 130, 2026.

^[5] O. Shvetsova, D. Katalshov, S.-K. Lee, Innovative Guardrails for Generative AI: Designing an Intelligent Filter for Safe and Responsible LLM Deployment, in «Applied Sciences», vol. 15, art. 7298, 2025.

^[6] Y. Huang et al., Building a Foundational Guardrail for General Agentic Systems via Synthetic Data, in «arXiv preprint», arXiv:2510.09781, 2025, DOI: 10.48550/arXiv.2510.09781.

^[7] Y. Dong, R. Mu, G. Jin, Y. Qi, J. Hu, X. Zhao, J. Meng, W. Ruan, X. Huang, Building Guardrails for Large Language Models, in «arXiv preprint», arXiv:2402.01822, 2024, DOI: 10.48550/arXiv.2402.01822.

^[8] M. Balamurugan, K. Shanmugasamy, S. Balaguru, Humans in the Loop, lives on the Line: AI in High-Risk Decision Making, in «European Journal of Computer Science and Information Technology», vol. 13, n. 51, 2025, pp. 27-31.

^[9] M. Shamsujjoha, Q. Lu, D. Zhao, L. Zhu, Towards AI-Safety-by-Design: A Taxonomy of Runtime Guardrails in Foundation Model based Systems, in «arXiv preprint», arXiv:2408.02205, 2024, DOI: 10.48550/arXiv.2408.02205.

^[10] OECD, Governing with Artificial Intelligence: The State of Play and Way Forward in Core Government Functions, OECD Publishing, Paris, 2025, DOI: 10.1787/795de142-en.

^[11] I. Rothken, AI Law for Innovators: Navigating the “Law of Guardrails” and “Ethical Bias”, in «LawRobot», 2024, (https://www.lawrobot.com).

^[12] M. Kapoor, The Evolving Role of Human-in-the-Loop Evaluations in Advanced AI Systems, in «European Journal of Computer Science and Information Technology», vol. 13, n. 9, 2025, pp. 115-126.