Guide

Cos'è un MCP: il protocollo che collega l'AI ai sistemi dell'azienda

Aggiornato al 19 ottobre 2026

Un MCP è, in pratica, un server MCP: un programma che espone a un modello o a un assistente AI gli strumenti e i dati di un sistema, seguendo il Model Context Protocol, uno standard aperto pubblicato da Anthropic il 25 novembre 2024 e donato il 9 dicembre 2025 alla Agentic AI Foundation, un fondo della Linux Foundation. L'applicazione AI apre un client per ogni server, chiede l'elenco di strumenti, risorse e prompt, e il modello decide quando usarli; il server esegue, con autorizzazione OAuth 2.1 sui collegamenti HTTP. Per un'azienda significa un connettore solo per tutti gli assistenti, con i dati che restano nei sistemi di origine.

Cos'è un MCP, detto in due righe

MCP sta per Model Context Protocol. È uno standard aperto che definisce come un'applicazione AI si collega a sistemi esterni: file e database, strumenti come un motore di ricerca o un gestionale, flussi di lavoro già pronti. La documentazione ufficiale lo paragona alla porta USB-C: un modo unico di collegare, invece di un cavo diverso per ogni apparecchio. Nel linguaggio di tutti i giorni «un MCP» indica quasi sempre un server MCP, cioè il programma che espone a un modello gli strumenti e i dati di un sistema.

Anthropic lo ha pubblicato il 25 novembre 2024, presentandolo come uno standard per collegare gli assistenti AI ai sistemi in cui vivono i dati: archivi di contenuti, strumenti di lavoro, ambienti di sviluppo. Il 9 dicembre 2025 lo ha donato alla Agentic AI Foundation (AAIF), un fondo diretto della Linux Foundation fondato insieme a Block e OpenAI, con Amazon Web Services, Bloomberg, Cloudflare, Google e Microsoft fra i membri fondatori. Le decisioni tecniche restano ai maintainer del progetto, attraverso proposte pubbliche; la Linux Foundation fornisce la sede neutrale e dichiara di non dettare la direzione tecnica.

Protocollo MCP: come funziona

L'architettura è client-server e ha tre parti. L'host è l'applicazione AI (Claude Desktop, Claude Code, VS Code) che gestisce i collegamenti; per ogni server MCP apre un client dedicato; il server è il programma che fornisce contesto e capacità. I messaggi seguono JSON-RPC 2.0 e, dalla versione 2026-07-28 della specifica, ogni richiesta è autonoma e porta con sé versione del protocollo e capacità del client. Un server offre tre tipi di cose, che il client scopre con una richiesta di elenco e usa quando il modello lo decide:

Strumenti (tools)

Funzioni che il modello può eseguire: cercare un ordine, creare un ticket, interrogare un database. Ognuna ha nome, descrizione e schema dei parametri.

Risorse (resources)

Dati di contesto da leggere: il contenuto di un file, un record, la risposta di un'API. Informano, non agiscono.

Prompt

Modelli di istruzioni riutilizzabili che strutturano un'interazione, per esempio una procedura di analisi.

I trasporti sono due. Con stdio il server gira sulla stessa macchina dell'host, come processo figlio, serve un solo client e prende le credenziali dall'ambiente: è il caso dei file locali e degli strumenti di un singolo utente. Con Streamable HTTP il server è remoto, in rete, e serve molti client: un servizio aziendale, il connettore di un fornitore. Qui l'autorizzazione è facoltativa ma, quando c'è, la specifica la vuole su OAuth 2.1: il server MCP fa da resource server, il client chiede un token con gli ambiti (scope) minimi e li allarga solo quando serve, e il server accetta soltanto i token emessi per sé. Il passaggio di token altrui verso i sistemi a valle è vietato in modo esplicito, perché salta i controlli e confonde le tracce.

Un esempio concreto per un'azienda

Un'azienda commerciale ha il gestionale, il CRM e una cartella condivisa di offerte e contratti. Oggi chi risponde a un cliente copia i dati da tre programmi nell'assistente AI e incolla la risposta nel CRM. Con MCP l'azienda espone tre server: uno sul gestionale (strumenti «cerca ordine» e «stato spedizione»), uno sul CRM («leggi scheda cliente» e «crea attività»), uno sui documenti, con sole risorse in lettura. Quando una persona chiede «a che punto è l'ordine di Rossi e cosa gli è stato promesso», il modello chiama i due strumenti giusti, legge l'offerta e propone una risposta; se deve creare un'attività nel CRM, il client chiede conferma prima di eseguire.

Chi supporta MCP oggi

Il sito ufficiale elenca fra i client Claude e ChatGPT fra gli assistenti, Visual Studio Code e Cursor fra gli strumenti di sviluppo, e a dicembre 2025 la Linux Foundation contava più di 10.000 server MCP pubblicati: un numero di chi governa il protocollo, non una misura indipendente, ma dice che lo standard non è legato a un fornitore. Verificato al 19 ottobre 2026 sulle pagine ufficiali dei produttori:

Cosa cambia per un'azienda

Il primo cambiamento riguarda i dati: restano dove sono. Un server MCP sul gestionale non copia il database in un servizio esterno; risponde a una domanda alla volta e il modello vede solo il risultato di quella chiamata. Il secondo riguarda le integrazioni: un connettore solo invece di uno per ogni modello, il problema che l'annuncio di Anthropic del 2024 descriveva. Con lo standard l'azienda costruisce un server una volta, lo collega a Claude, a Copilot o a un'applicazione interna, e cambia fornitore di modelli senza rifare il lavoro. È la differenza fra un'integrazione e uno standard.

Il terzo riguarda il controllo. La specifica chiede agli host il consenso esplicito dell'utente prima di esporre dati a un server e prima di eseguire qualsiasi strumento; il server decide cosa espone: tre strumenti in sola lettura per tutti, uno in scrittura per chi ha il ruolo giusto. È anche il punto naturale per il registro delle azioni: chi ha chiamato cosa, quando, con quale risultato. Per un'azienda che deve rendere conto di come l'AI tocca i dati dei clienti, questo conta più dell'elenco delle funzioni.

I rischi di MCP e le contromisure

MCP apre porte, e le porte vanno custodite. La specifica dice in chiaro che gli strumenti rappresentano esecuzione di codice arbitrario e vanno trattati con cautela, e che le descrizioni di uno strumento non sono affidabili se non vengono da un server fidato. Le guide di sicurezza del progetto e la documentazione dei client descrivono gli stessi rischi, con le stesse risposte:

Nessuna di queste misure è esotica: sono le regole di un'integrazione tradizionale, applicate a un sistema che prende iniziative. La differenza è che qui chi decide l'azione è un modello, e il modello sbaglia; per questo il punto di controllo giusto è il server, che l'azienda scrive e governa, non il prompt. E chi collega un server di terzi, dicono OpenAI, Microsoft e Anthropic con parole diverse, resta responsabile di ciò che quel server fa.

Quando conviene e quando no

Conviene quando l'azienda ha sistemi con dati che cambiano (gestionale, CRM, ticket, documenti) e più di un assistente che vuole usarli: lo standard ripaga alla seconda integrazione, non alla prima. Conviene quando serve un registro di chi ha fatto cosa, perché il server è il posto in cui scriverlo. Conviene quando il fornitore del software già in uso offre un server MCP ufficiale, perché il costo di collegamento scende a una configurazione.

Non conviene per un uso occasionale: se una persona incolla un documento in un assistente una volta al mese, un server MCP è un progetto in più senza ritorno. Non conviene come scorciatoia per saltare le autorizzazioni: un server che espone «esegui una query» senza un'utenza in sola lettura rende l'azienda più fragile, non più veloce. E non conviene collegare server di terzi sconosciuti con le chiavi di produzione: prima il codice o il contratto, poi il collegamento.

Chi in azienda deve conoscere MCP, e cosa aggiunge il corso

MCP è una tecnologia da team tecnico: chi sviluppa i prodotti dell'azienda, chi integra l'AI nei sistemi interni, chi amministra sicurezza e identità, perché OAuth, ambiti e segreti passano da lì. Chi guida l'azienda deve sapere tre cose: che esiste uno standard aperto non legato a un fornitore, che i dati possono restare nei sistemi di origine, e che autorizzazioni e registro delle azioni si decidono nel server, quindi in casa. Il resto è lavoro di sviluppo.

Il corso Corso intelligenza artificiale per sviluppatori, LLM, RAG e MCP nei prodotti dura 16 ore in presenza, con esempi in Python o TypeScript a scelta del team. Dove questa guida spiega, il corso fa costruire: un RAG sui documenti veri dell'azienda, una suite di valutazioni automatiche che dice se una modifica peggiora le risposte, e il collegamento dei modelli agli strumenti con MCP, con prompt injection e separazione dei dati fra clienti come problemi di progettazione. Chiude con gli obblighi dell'AI Act per chi sviluppa (articolo 50, contenuti generati). avstudio non è solo un ente di formazione: costruisce server MCP e integrazioni per i propri sistemi e per i clienti, e in aula porta quel codice. Alla fine restano il codice, di proprietà dell'azienda, e l'attestato di partecipazione.

Aggiornato al 19 ottobre 2026 · Specifica e documentazione verificate su modelcontextprotocol.io · Contenuto informativo, non parere legale