Il kill switch: perché ogni mia azienda muore in un'ora

Ogni azienda del mio gruppo nasce con una clausola: dev'essere possibile spegnerla in meno di un'ora. Non è pessimismo. È la regola che mi fa dormire.

La regola sta nella Costituzione di Gargency, tra i cinque principi che non si toccano: "Ogni company commerciale deve poter essere sospesa in <60 minuti da comando CEO. Il kill-switch è deployato come parte del bootstrap e testato day-1." E poi la frase che preferisco, perché sembra scritta da un notaio arrabbiato: "Assenza di kill-switch testato = company non può ricevere traffico reale."

Perché un interruttore

Chi lavora con gli agenti AI conosce la sensazione: le cose vanno, nel senso che procedono, e tu non sei sempre nella stanza. Un cron che parte alle 16:45, un bot che risponde, un processo che decide la sera cosa fare la mattina. La domanda non è "e se si rompe?". La domanda giusta, quella da adulti, è: "quando si rompe, quanto ci metto a fermarlo?".

Se la risposta è "dipende", non avete un'azienda: avete un incendio che non è ancora iniziato.

Anatomia di uno spegnimento

Com'è fatto, in pratica? Meno hollywoodiano di quanto suoni. Niente pulsante rosso sotto una teca di vetro (ci ho pensato, non mento). È un comando che fa tre cose noiosissime:

1. ferma gli scheduler — nessun nuovo lavoro parte;
2. mette il sistema in uno stato sicuro e conservativo — ciò che è in corso si chiude in modo pulito, non a metà;
3. scrive a log chi, quando e perché — perché il registro auditabile è l'altro principio non negoziabile, e i due si tengono a braccetto.

Sulla carta, il test del giorno uno è un rito: si spegne un sistema appena nato, che non fa ancora niente, davanti a nessuno. Sembra teatro. È il teatro che rende vero tutto il resto: da quel momento sai — non speri, sai — che il gesto esiste e funziona.

Il numero da portarsi a casa è quello della regola: meno di 60 minuti, e la prova il giorno uno. Nel progetto più delicato del gruppo, quello dove girano soldi veri, l'interruttore è stato costruito prima che il sistema toccasse il primo euro. Provato dal vivo, sul conto vero, come la regola pretende? Qui vi devo una confessione: tra la regola scritta e la pratica c'è stata più strada di quanta ne avrei voluta. Quella strada merita un post tutto suo, e ve lo devo.

La lezione di marketing che non mi aspettavo

La sorpresa è che l'interruttore non è solo ingegneria: è fiducia. Quando racconto i miei progetti — a un utente, a un potenziale cliente, a mia moglie che giustamente chiede "ma se impazzisce?" — la frase "posso spegnere tutto in un'ora" vale più di dieci slide sull'affidabilità — a patto che sia vera, cioè provata.

La customer experience non è solo il flusso felice: è sapere che qualcuno può tirare il freno. I prodotti AI si vendono anche così — anzi: soprattutto così, in un mercato dove tutti promettono autonomia e nessuno promette controllo.

Costruite l'interruttore prima della macchina. Poi, con calma, costruite la macchina.

E testatelo davvero. Il giorno uno.