Per circa due anni il patto tra l’IA e la tua casella di posta è stato semplice: leggeva, suggeriva, e poi si toglieva di mezzo. A cliccare “invia” eri sempre tu. L’ultimo essere umano nel giro, ogni volta.
Il 7 luglio 2026 la cosa è cambiata, in sordina. Il connettore Microsoft 365 di Claude ha ricevuto quelli che Anthropic chiama write tools: con questi, Claude può scrivere un’email e spedirla, sistemare la posta in arrivo, impostarti la risposta automatica, mettere una riunione in calendario e riscrivere un file su SharePoint. La stessa settimana, Claude Cowork è arrivato sul web e sugli smartphone, e ha iniziato a portare avanti i task in background dopo che hai chiuso il portatile.
Metti insieme le due cose e ottieni qualcosa di davvero nuovo: un software che lavora a nome tuo mentre tu guardi da un’altra parte.
Vale la pena capirlo bene prima di attivarlo. Soprattutto in Italia, dove il Garante osserva e il grosso del lavoro passa dalle PMI.
Cosa è cambiato davvero il 7 luglio
Sono atterrate insieme due cose diverse, e la gente continua a confonderle.
Cowork è diventato mobile. Cowork è la modalità “affidagli un compito intero e vai via” di Claude. Fino a questa settimana viveva sul desktop. Ora gira sul web e dentro le app di Claude per iPhone e Android. E soprattutto le sessioni restano attive nel cloud: la frase di Anthropic è “chiudi il portatile e vai in riunione, Claude continua”. Quando incontra una decisione che non può prendere da solo, la domanda ti arriva sul telefono.
Il connettore Microsoft 365 ha imparato a scrivere. Prima, collegare Microsoft 365 permetteva a Claude di cercare dentro email, file, calendario e messaggi di Teams. Sola lettura. Ora, se i write tools sono accesi, può agire.
Una precisazione utile per chi legge la stampa di settore: qui non si parla di Copilot Cowork, l’agente che Microsoft ha costruito dentro il suo Copilot in collaborazione con Anthropic. Si parla del connettore Microsoft 365 di Claude, il prodotto di Anthropic. Stesso motore in comune, due porte d’ingresso diverse.
L’esempio scelto da Anthropic per il lancio è perfetto da tenere a mente:
“Programma il prep per il cliente di lunedì alle 6 del mattino: Claude lavora sui thread di email, sulle trascrizioni e sulle notizie recenti, costruisce il documento di briefing e lascia l’email di follow-up scritta ma non inviata.”
Scritta ma non inviata. Tienila da parte, questa frase: ci torniamo.
Cosa può fare con i write tools accesi
Il centro assistenza lo mette nero su bianco, e conviene leggere le parole esatte invece dei titoloni:
In pratica sono quattro poteri:
- Email: scrivere, inviare e organizzare i messaggi. Comprese categorie, regole della posta in arrivo e risposte automatiche.
- Calendario: creare, modificare ed eliminare eventi.
- File: creare e aggiornare documenti su OneDrive e SharePoint.
- Impostazioni della casella: quella parte di manutenzione che quasi nessuno tocca mai.
Sotto il cofano, tutto questo corrisponde a permessi di Microsoft Graph con nomi tipo Mail.Send, Calendars.ReadWrite e Files.ReadWrite.All. Non li digiterai mai. Ma se un giorno chiedi al tuo tecnico “scusa, che cosa abbiamo accettato di preciso?”, sono quelle le parole sul modulo.
E cosa non può fare
Quattro limiti netti, tutti documentati:
- Niente allegati. Claude non può inviare, inoltrare e nemmeno preparare una bozza con un file allegato. Vengono rifiutati in partenza.
- Niente messaggi su Teams. I messaggi di Teams li legge. Scriverne uno, no.
- Nessuna lista di SharePoint “consentiti”. Non puoi puntarlo solo sui siti sicuri: cerca in tutto ciò a cui hai accesso.
- Non va oltre i tuoi permessi. Claude entra come te. Se non apri la cartella dell’amministrazione, non la apre neanche lui.
Quest’ultimo è il fatto più rassicurante di tutta la faccenda, e va detto chiaro. Claude non riceve un account con i superpoteri. Usa il tuo. Le parole di Anthropic: può accedere solo ai dati “che quell’utente ha già il permesso di vedere”.
Probabilmente non puoi attivarlo da solo
Questa ha spiazzato parecchie persone, a giudicare dalle domande sotto i post di lancio.
I write tools hanno bisogno di due cose, e nessuna delle due è un interruttore che controlli tu:
- Un amministratore Microsoft Entra (il tuo reparto IT) deve dare il consenso ai permessi estesi per tutta l’organizzazione.
- Poi qualcuno deve attivare i write tools proprio sul tuo account.
Se avevi collegato Microsoft 365 prima di questo lancio, i write tools sono spenti di default. Vedrai il connettore funzionare come sempre, in sola lettura, e non c’è click che tenga. La soluzione non sta nelle tue impostazioni: sta in un’email all’IT.
E qui casca l’asino, in Italia. Il tessuto produttivo è fatto di PMI, e l’IT spesso non è una persona in ufficio: è il consulente esterno, l’MSP di fiducia che tiene le chiavi del tenant. I dati dell’Osservatorio Artificial Intelligence del Politecnico di Milano fotografano bene il quadro: solo il 16% delle piccole e medie imprese ha avviato un progetto di IA, e il 76% non ha investito né conta di farlo. Tradotto: chi dovrebbe accendere questa roba, molto spesso, non è nemmeno nella stanza con te. Il consiglio che gira tra i sistemisti è secco: non cliccare “Accetta” da solo, sentine prima chi ti gestisce il tenant.
Se invece hai un account Microsoft personale, tutto questo non ti riguarda: l’amministratore sei tu.
La domanda sulla sicurezza che si fanno tutti
Scorri le risposte sotto l’annuncio di Anthropic e una domanda torna di continuo, riformulata in dodici modi: può inviare email senza chiedermelo?
La risposta onesta è più interessante di un sì o di un no.
Esistono due prodotti diversi “Claude + Microsoft”, e hanno modelli di sicurezza diversi.
Mail.SendClaude per Outlook, il componente aggiuntivo che vive dentro la finestra di Outlook, è esplicito e rassicurante. La documentazione dice: “Claude non invia mai email o inviti da solo; ogni bozza resta non inviata perché tu la controlli”.
I write tools del connettore Microsoft 365 non fanno questa promessa. Il permesso concesso si chiama letteralmente Mail.Send. Da nessuna parte, nella documentazione, c’è un passaggio garantito del tipo “sei sicuro?” prima che un messaggio lasci la tua casella.
L’esempio di lancio di Anthropic lascia l’email di follow-up “scritta ma non inviata”, il che ti dice come si aspettano che lo userai. Non ti dice che il software ti fermerà.
Quindi non dare per scontata una rete di sicurezza che non hai testato di persona. Se vuoi solo bozze, mettilo nero su bianco nel comando stesso: scrivila nella cartella bozze, non inviarla. E poi, le prime volte, va’ comunque a controllare la posta inviata. In una community di sistemisti la battuta girava già: hai dato a Claude il permesso di scrivere come te? Bravo, adesso il Garante ti scrive a nome tuo.
Le tutele che invece ci sono
Tre, e sono reali:
- Ogni email inviata da Claude porta un’intestazione che la identifica come generata da un agente. Chi la riceve può vedere che l’ha scritta una macchina. Non puoi disattivarla.
- Gli allegati sono bloccati del tutto, il che chiude senza rumore la via più comoda per far uscire un documento dall’azienda.
- Limiti per utente su quante scritture, invii e destinatari sono possibili: così una sessione dirottata non può bombardare tutta la tua rubrica.
Nota cosa resta scoperto. Le modifiche a file e calendario quell’etichetta “fatto da un agente” non ce l’hanno. Se Claude modifica un documento su SharePoint, la modifica sembra semplicemente opera tua.
Il rischio che non finisce nelle slide di marketing
I ricercatori di sicurezza hanno un nome per la situazione che crei quando dai a un’IA tre cose insieme: accesso a dati privati, esposizione a contenuti non affidabili e la possibilità di mandare roba all’esterno. Simon Willison la chiama lethal trifecta, la triade letale. Un’IA con la tua casella aperta spunta tutte e tre le caselle nello stesso momento, perché la posta in arrivo è contenuto non affidabile: chiunque può scriverti.
E non è teoria. Nel 2025 alcuni ricercatori hanno dimostrato EchoLeak (CVE-2025-32711, gravità 9,3 su 10) contro Microsoft 365 Copilot: un aggressore ha spedito un’email dall’aspetto normalissimo, con istruzioni nascoste dentro, e Copilot le ha eseguite e ha fatto uscire dei dati. La vittima non ha cliccato nulla. Proprio niente. Microsoft ha corretto il difetto lato server, ma il meccanismo resta.
Il problema di fondo è vecchio e ha un nome: il confused deputy, il “vice confuso”. Claude tiene in mano la tua autorità. Un aggressore che riesce a infilare istruzioni in qualcosa che Claude legge si prende in prestito quell’autorità. E siccome Claude decide cosa fare leggendo italiano (o inglese) normale, non c’è un muro affidabile tra “questo è un dato che sto leggendo” e “questa è un’istruzione che devo eseguire”.
Qui il contesto italiano pesa parecchio. Il Garante per la protezione dei dati ha messo l’IA tra le priorità di controllo del 2026, insieme al monitoraggio dei lavoratori in smart working. C’è la legge 132 del 2025 sui principi di trasparenza e supervisione umana. E le sanzioni non sono simboliche: il GDPR arriva fino a 20 milioni di euro o il 4% del fatturato, l’AI Act fino a 35 milioni o il 7%. Per una PMI un incidente non è solo imbarazzante: è una multa.
Cosa significa per te
Se sei un impiegato con un account Microsoft 365 aziendale: quasi sicuramente oggi non puoi attivarlo, e va benissimo così. Parti dal connettore in sola lettura (“riassumi questo thread”, “cosa avevamo deciso nella riunione di martedì”) e prendi le misure a quanto capisce la tua casella, prima di andare a chiedere i diritti di invio.
Se sei un assistente di direzione o una persona che vive dentro Outlook: questa è la versione dell’IA che finalmente somiglia al tuo lavoro vero, che non è mai stato “scrivimi un paragrafo”. Chiedi i write tools all’IT, poi tienilo in modalità solo-bozze per un paio di settimane. Già i comandi sul calendario (crea, sposta, annulla) ti fanno risparmiare più tempo dell’email. Se vuoi lavorare bene sui testi, il corso su come comunicare al lavoro con l’IA parte proprio da lì.
Se sei un libero professionista con partita IVA e un account Microsoft personale: sei l’unica persona che può accenderlo questo pomeriggio. Il che vuol dire che sei anche l’unica senza nessuno che ti fermi. Solo bozze, controlla tutto, e per più tempo di quanto pensi di aver bisogno.
Se sei il consulente IT a cui chiedono il consenso: il modello a permessi delegati è solido di suo (Claude non supera l’accesso dell’utente, gli invii sono attribuiti, gli allegati sono bloccati). L’esposizione che stai accettando davvero è il prompt injection tramite la posta in arrivo. Attiva i write tools su un piccolo gruppo pilota, non sull’intero tenant. E se si trattano dati di clienti o pazienti, la valutazione d’impatto (DPIA) non è un optional.
Se sei su Claude Pro e ti chiedi quando arriva tutto questo: le parti mobile e in background stanno uscendo prima su Max, con gli altri piani “nelle prossime settimane”. Cowork su desktop funziona già su Pro. E se stai valutando l’upgrade, tieni conto che un utente ha raccontato di un singolo task di Cowork (costruire una presentazione) che ha consumato circa 45 dollari di utilizzo, e un abbonato Pro ha visto una sessione di cinque ore mangiarsi circa il 15% della sua quota settimanale. Anthropic ha raddoppiato il limite delle cinque ore fino al 5 agosto 2026, ma i limiti settimanali non si sono mossi. Bruci più in fretta, non ottieni di più.
Cosa non risolve
- Non capisce le tue dinamiche. Claude può scrivere l’email che chiude un rapporto con un cliente. Non ha la più pallida idea che non dovrebbe.
- Non sa cosa è riservato. Ha i tuoi permessi, e i permessi sono uno strumento grossolano. Avere accesso a una cartella non è la stessa cosa che avere buon senso su quella cartella.
- Non ti impedisce di scalare un errore. Un template sbagliato spedito una volta è imbarazzante. Programmato ogni lunedì alle 6, diventa una policy.
- Non copre gli allegati. La cosa che più vorresti mandare (il report, la fattura, la presentazione) è esattamente quella che i write tools si rifiutano di toccare.
- Non sarà uguale sul telefono. Cowork da desktop arriva ai file locali e al browser. Le versioni mobile e web no. Stesso nome, meno raggio d’azione.
In conclusione
La parte interessante del 7 luglio non è che Claude ha avuto un’app per il telefono. È che l’ultimo controllo umano, cioè tu che clicchi “invia”, è diventato facoltativo in uno dei due modi in cui Claude tocca Outlook, ed è rimasto obbligatorio nell’altro. Quasi nessuno si è accorto di quale sia quale.
Se porti a casa una cosa sola: scopri se la tua configurazione è il componente aggiuntivo o il connettore, e non dare mai per scontato che il passaggio di revisione ci sia solo perché il video dimostrativo lo mostrava.
Parti in sola lettura. Passa alle bozze. I diritti di invio dalli per ultimi, semmai. E prima di dire di sì, in Italia, fai due chiacchiere con chi ti gestisce i sistemi: cliccare “Accetta” da soli, su questa roba, è il modo più veloce per ritrovarsi il Garante tra i piedi.
Se vuoi la versione guidata di tutto questo, come dare istruzioni chiare a un assistente IA senza farti male, il corso di prompt efficaci è un buon punto di partenza. E se la parola “agente” fa ancora un gran lavoro non spiegato nella tua testa, i fondamenti dell’IA mettono ordine.
Fonti
- Claude Cowork su web e mobile: porta il lavoro ovunque (Anthropic)
- Collegarsi a Microsoft 365 (Centro assistenza Claude)
- Configurare il connettore Microsoft 365 (Centro assistenza Claude)
- Usare Claude per Outlook (Centro assistenza Claude)
- EchoLeak: il primo prompt injection zero-click in un sistema LLM in produzione (arXiv:2509.10540)
- Intelligenza artificiale, il tema sul sito del Garante per la protezione dei dati personali
- PMI italiane e AI, i dati 2026 dell’Osservatorio del Politecnico di Milano (AI4Business)
- Claude per Microsoft 365: Excel, Word e PowerPoint disponibili, Outlook in beta (Pasquale Pillitteri)
