LastKnight.com Feed https://mgpf.it Feed degli articoli di LastKnight.com. Ipotesi, discussioni e notizie da Matteo Flora e dal blog. Fri, 07 Aug 2026 16:39:25 +0000 it-IT hourly 1 https://wordpress.org/?v=7.0.3 https://mgpf.it/wp-content/uploads/2025/08/cropped-Untitled-design-32x32.png Matteo Flora https://mgpf.it 32 32 Giochiamo alla Guerra Batteriologica Globale! https://mgpf.it/2026/08/07/giochiamo-alla-guerra-batteriologica-globale.html https://mgpf.it/2026/08/07/giochiamo-alla-guerra-batteriologica-globale.html#respond Fri, 07 Aug 2026 16:38:29 +0000 https://mgpf.it/?p=6650 Sedici virus vivi che prima di ieri non esistevano. Non ritocchi di virus noti, non varianti, non copie: sedici organismi interi, il genoma dall'inizio alla fine, scritti da un modello di intelligenza artificiale che di virus veri non ne aveva mai visto uno, e messi a replicarsi dentro una piastra Petri a Stanford. Il paper è su Science del 6 agosto 2026, e nello stesso numero un commento del Johns Hopkins Center for Health Security chiede al legislatore statunitense di rendere illegale l'uso di tecniche generative per progettare patogeni umani, animali o vegetali. La domanda che avevamo evitato per vent'anni sull'AI non era se sarebbe arrivata a questo punto: era quando, e cosa avremmo fatto in tempo per prepararci. Adesso lo sappiamo, in entrambe le colonne.

The post Giochiamo alla Guerra Batteriologica Globale! first appeared on Matteo Flora.

]]>

In un piattino da laboratorio a Stanford, il 6 agosto 2026, sedici virus mai comparsi al mondo hanno cominciato a mangiare batteri di Escherichia coli. Alcuni li mangiavano meglio dei parenti che si trovano nelle acque reflue. Uno, ha detto il laboratorio, è “evolutivamente lontano da qualsiasi cosa presente in natura”: non un ritocco di qualcosa che c’era, un’altra cosa, che quattro miliardi di anni di evoluzione non avevano mai messo insieme.

Il modello che li ha disegnati si chiama Evo. È un large language model addestrato dal team di Brian Hie fra Stanford e l’Arc Institute di Palo Alto su due milioni di genomi di batteriofagi, e i virus umani non li ha mai neanche sfiorati: quelli glieli hanno tenuti fuori dai dati di partenza, apposta. Compito assegnato: scrivi da zero il genoma completo di un fago (un batterio che mangia batteri, più o meno) che infetti E. coli, undici geni, cinquemilaquattrocento basi. Il modello ne ha proposti più di 300, il team ne ha sintetizzati 285, in provetta 16 hanno cominciato a replicarsi. Sedici organismi interi, mai comparsi in natura, che funzionano. Il paper è su Science, dopo il preprint di bioRxiv del settembre 2025. Nella prima pagina gli autori, che di mestiere non sono giornalisti, buttano lì la frase che vale mille dichiarazioni: “La capacità dei modelli linguistici del genoma di generare interi genomi funzionali non era ancora stata testata”. Non era. Adesso sì.

Il bersaglio scelto, il ΦX174, è un fago che sequenziò per primo Frederick Sanger nel 1977 e che Craig Venter risintetizzò a mano nel 2003: quello che i biologi chiamano un organismo modello, il fago che si incontra prima di ogni altro nei corsi di biologia molecolare. Che oggi lo scriva un modello statistico, sul piano che compete a me, non è un miglioramento tecnico. È un salto di categoria: fino a ieri quel virus stava nelle mani di chi lo maneggiava per capirlo, da oggi sta anche in quelle di chi lo genera senza averlo mai incontrato.

Cosa cambia rispetto ad AlphaFold

Chi legge di AI e biologia da qualche anno credo come me abbia pensato subito ad AlphaFold di DeepMind, ai modelli di design proteico di Baker a Washington, a ESM3 di Meta. Tutti straordinari, tutti sullo stesso terreno: una proteina, una funzione, un pezzo alla volta. La differenza qui non è di grado, è di categoria. Il pezzo è l’intero organismo, e l’organismo si replica. Hie lo dice a un giornalista con la faccia da spettava solamente di poter dire una cosa del genere: “Se vogliamo ingegnerizzare funzioni più complesse dobbiamo uscire dallo spazio del singolo gene e disegnare genomi completi”. Ecco, l’hanno fatto.

Jef Boeke, biologo sintetico della New York University Langone che i fagi li tocca da trent’anni, guarda l’output e commenta al MIT Technology Review: “Hanno visto virus con geni nuovi, con geni troncati, e perfino ordini e disposizioni di geni diversi”. Boeke lo dice da mestierante che di provette ne ha viste passare: non sono varianti, sono grammatiche diverse. Quando parla così un biologo con trent’anni in laboratorio, ci si ferma un attimo prima di dire “vabbè, è un caso limite”.

La proiezione ovvia la fa il papà della biologia sintetica in persona. Craig Venter, allo stesso giornalista: “Se qualcuno lo facesse con il vaiolo o l’antrace, sarei molto preoccupato“. Grazie al c***o, aggiungerei prosaicamente… Ma detto da chi il primo genoma sintetico l’ha costruito a mano, e ha una voce su Wikipedia per meriti e non per timori, ha un peso specifico che manca a qualsiasi allarmista di professione. Se il ΦX174 oggi lo scrive un modello, alla stessa architettura addestrata su un altro dataset si può chiedere di scrivere altro. E con altro penso male. Non è fantascienza, è fine tuning, e chi lo sa fare in questo momento sono migliaia di persone.

Il gesto autoregolatorio, e dove si ferma

Il team di Stanford ha fatto la cosa giusta, va detto perché ci diranno tutti per anni che l’autoregolazione non funziona, e qui invece ha funzionato: “Evo 2 esclude i virus umani dai propri dati di addestramento”. Il modello non ha mai messo gli occhi su un virus che infetta l’uomo, e chi lo interroga non lo può portare dove non è mai stato. È un gesto etico serio, dichiarato, in linea di principio verificabile dal codice pubblico.

Sullo stesso numero di Science, Thomas Inglesby e Moritz Hanke, biosicurezzisti (che titolo figo!) del Johns Hopkins Center for Health Security, lodano le precauzioni del team e poi tirano fuori la frase da inchiodare al muro: “La capacità di comporre genomi virali con l’AI generativa oggi esiste; la governance per orientarla in sicurezza no”. Così, lapidario come una bestemmia gridata in una chiesa vuota e piena di eco.
Non si fermano lì. Chiedono, nero su bianco, di rendere illegale l’uso di tecniche generative per progettare patogeni che possano infettare esseri umani, animali o piante coltivate. Non regolare, non monitorare: illegale. È il primo salto legislativo netto pubblicato su una rivista peer reviewed di quel calibro, e non lo scrivono due massimalisti, lo scrivono due persone che di biosicurezza campano.

Il gesto di Stanford però non scala. Vale per Evo 2, per il laboratorio di Hie, per una precisa scelta di data curation. Non vale per il prossimo laboratorio, in un altro Paese, con un committente diverso, che addestrerà il proprio modello sui dati che decide lui. La biologia sintetica ha già il vocabolario per parlarne, si chiama Dual Use Research of Concern, DURC nella versione statunitense, aggiornato dalla Casa Bianca a maggio 2024. Il problema è che un modello generativo non è un esperimento singolo che passa in comitato: è una capacità che si cristallizza nei pesi, si ricompone con un fine tuning di due settimane e si sposta da un server all’altro come un file di pochi gigabyte.

Perché è il caso di cui Jonas ha scritto nel 1979

Il fondamento filosofico serio per parlare di questa roba non è nella parte di catalogo che di solito si trova nei pezzi sull’AI (Nick Bostrom, il paperclip maximizer, le timeline, roba da conferenza a Palo Alto). Sta un piano sotto, e la scrisse Hans Jonas nel 1979 nel suo Il principio responsabilità (Das Prinzip Verantwortung, Insel Verlag). L’etica di Kant era calibrata sull’uomo che risponde davanti all’altro uomo, faccia a faccia, in un arcata di braccia; la tecnica moderna agisce su scala di continenti e di generazioni, e a Kant non abbiamo mai chiesto di scalare fin lì. Jonas propone un imperativo nuovo, verbatim, lo lascio anche in tedesco questa volta: “Handle so, daß die Wirkungen deiner Handlung verträglich sind mit der Permanenz echten menschlichen Lebens auf Erden” (Trad. “Agisci in modo che le conseguenze della tua azione siano compatibili con la permanenza di un’autentica vita umana sulla terra“).

I sedici fagi contro E. coli, presi da soli, non violano Jonas: sono un contributo autentico alla lotta contro l’antibiotico-resistenza, che secondo The Lancet uccide più di un milione di persone all’anno. Il problema non è il ΦX174. Il problema è che quella capacità si generalizza, che il metodo si copia in un pomeriggio, che l’architettura si porta da un bersaglio all’altro cambiando il dataset. È qui che Jonas serve davvero, con la mossa più utile del suo libro: l’euristica della paura. Quando le conseguenze potenziali di un’azione sono irreversibili e riguardano chi non può ancora difendersi (le generazioni future, o l’umanità come specie in un caso limite), la profezia di sventura merita metodologicamente più ascolto della profezia di salvezza. Non è pessimismo, è aritmetica: dell’errore ottimista non ci si può pentire, perché non resta nessuno per pentirsene.

Nella lingua avvocatesca di un ipotetico legislatore: l’onere della prova sta su chi accelera, non su chi frena. È la logica dietro il principio di precauzione europeo e dietro l’approccio risk-based dell’AI Act, e Jonas l’ha messa nero su bianco nel 1979, senza isteria e senza il vocabolario “doomer” che oggi la comprime a caricatura. Chi progetta un modello di whole-genome design ha una responsabilità positiva di dimostrare che non sta preparando armi biologiche di nuova generazione. Credere che il proprio dataset sia pulito non basta: la stessa architettura, in mani diverse, non lo sarà.

Perché non riusciamo a temere le cose che sappiamo costruire

Jonas fa metà del lavoro. L’altra metà la fa Günther Anders, in L’uomo è antiquato, con un concetto che vale il libro intero: il dislivello prometeico, das prometheische Gefälle. Lo scarto crescente fra ciò che sappiamo produrre e ciò che sappiamo immaginare. Sappiamo fabbricare la bomba atomica ma non riusciamo a rappresentarci cinquantamila morti in un istante; sappiamo scrivere un genoma virale, ma non riusciamo a sentire come nostra la responsabilità di un evento pandemico che nessuno ha voluto. Le nostre facoltà (fabbricare, immaginare, sentire) non evolvono alla stessa velocità.

Da qui Anders ricava una diagnosi che vale ogni rassegna stampa di questa settimana: la cecità all’apocalisse, die Apokalypse-Blindheit. Davanti a un rischio troppo grande per essere immaginato non reagiamo con più allarme, reagiamo con meno. La notizia dei sedici fagi generati da un LLM è una notizia da apertura di prima pagina, con un titolo che riordina il senso del progresso biotecnologico. È invece finita nella sezione Health di Axios, firmata da due giornalisti che apprezzo tanto (anche se spesso non capisco tutto quello che commentano), sotto un occhiello che dice “Perché è importante: cosa potrebbe andare storto?”. Cioè, senza troppi giri, la battuta con cui si ammette di non avere una risposta (nulla di personale contro Bettelheim e Nather: quella cornice l’aveva già smontata Anders nel suo carteggio con Claude Eatherly, il pilota di Hiroshima, sessant’anni fa). È come reagiamo, di natura, davanti a ciò che eccede l’immaginabile.

Peraltro il 17 febbraio 2026 la stessa Axios titolava “AI’s big biosecurity blind spot”, e raccontava che oltre cento ricercatori di Johns Hopkins, Oxford, Stanford, Columbia e New York University avevano firmato un framework di governance per proteggere i dati biologici a rischio dal training dei modelli, all’incirca lo stesso perimetro che oggi si condensa in una riga sulla stessa rivista. Sei mesi. Sei mesi fra il grido d’allarme di cento tra i migliori biosicurezzisti (ancora, mi piace la parola!) del mondo occidentale e la conferma sperimentale che avevano ragione. Nel frattempo la Casa Bianca lanciava la Genesis Mission per accelerare l’AI su dataset scientifici massivi. La cecità all’apocalisse in tempo reale, con la ricevuta del cronografo.

Il pubblico giudicherà questa tecnologia con lo stesso registro con cui ha giudicato ChatGPT: entusiasmo iniziale, saturazione, fatica, disinteresse. Il primo evento sanitario grave riconducibile a un whole-genome design model arriverà, la domanda è quando, non se, e sarà preceduto da tre anni di segnali deboli che nessuno avrà voluto prendere sul serio.

La governance non c’è (ancora)

Il modo più asciutto per dire come stiamo messi lo abbiamo già letto: la riga di Inglesby e Hanke su Science, la governance per orientarla in sicurezza non esiste. Il quadro, senza fronzoli: la Biological Weapons Convention del 1972 vieta agli Stati di sviluppare o produrre armi biologiche, ma non ha meccanismi di verifica (nota di colore, il protocollo del 2001 che la doveva implementare lo bloccarono gli Stati Uniti sotto Bush), ed è pensata per i laboratori di Stato, non per modelli generativi che girano su un cluster e per pesi che si scaricano in una notte. Lo Executive Order 14110 di Biden dell’ottobre 2023 prevedeva alcune valutazioni sui rischi biologici delle AI di frontiera, e l’amministrazione Trump l’ha revocata nel gennaio 2025. L’AI Act europeo dedica poche righe ai rischi bio ed è centrato sull’uso, non sulla progettazione dei modelli fondazionali (l’upstream). Le linee guida DURC del 2024 sono un po’ più avanti, ma coprono la ricerca finanziata dal governo federale statunitense, non i pesi di un LLM open source.

L’amministrazione Trump, il mese scorso, ha emesso una nuova USG Policy for Stopping High-Risk Life Sciences Research che proibisce la gain of function research con fondi federali e chiede più oversight per i progetti con agenti biologici pericolosi. Encomiabile, e prevedibile, dopo un anno di audizioni congressuali su Anthony Fauci, che il 6 agosto 2026, lo stesso giorno del paper di Hie, il Congresso ha dichiarato in oltraggio alla corte per il rifiuto di rispondere sull’origine del COVID-19. Solo che quella policy non affronta la ricerca AI-driven, come nota lo stesso pezzo di Axios di Bettelheim e Nather nel between-the-lines, ed è proprio il ramo che sta evolvendo più in fretta di tutti gli altri messi insieme. Il legislatore combatte l’ultima guerra con pezzetti di carta nuovi, mentre la prossima guerra si arruola in un laboratorio universitario a Palo Alto. In silenzio, con pochi gigabyte di dati spostati e ri-addestrati su un differente virus, magari che colpisce un umano.

C’è però una difesa che regge davvero, e non lo dico io, lo scrive lo stesso commento di Inglesby e Hanke su Science: lo screening delle sequenze di DNA sintetico organizzato dall’International Gene Synthesis Consortium (IGSC nella sigla). Come racconta il consorzio sulle sue pagine, se ordinate un pezzo di DNA a Twist Bioscience o a IDT, l’ordine viene automaticamente confrontato con una libreria di sequenze pericolose e se combacia parte il controllo. Sistema volontario, industriale, silenzioso, e oggi resta il vero collo di bottiglia difensivo fra un modello generativo e un patogeno funzionale. Per quanto un LLM possa scrivervi il genoma, il DNA lo dovete pur sempre ordinare da qualche parte, e chi lo produce (sono pochini, è una cosa abbastanza complessa) ha l’obbligo morale di guardare cosa spedisce. Ma il filtro, come nota chi lavora al Johns Hopkins, è tarato sulla corrispondenza esatta con sequenze già note, e non basta più: se il modello scrive un’architettura genica che l’evoluzione naturale non ha mai messo insieme, quella nel database non c’è, quindi il confronto non scatta. Che è esattamente quello che è successo nell’esperimento da cui siamo partiti. La responsabilità di allargare il filtro non è dei biologi, è del legislatore che finanzia il consorzio, ed è la parte che compete a chi scrive di policy.

Cosa si può fare, oggi, davvero

Questo non nasce per essere un editoriale nichilista, non serve che lo sia. I sedici fagi di E. coli sono un dono alla medicina (lo dico chiaro), non un incubo. La cornice giusta è chiedersi quali difese servono adesso perché quel dono resti dono, e sono tre cose molto concrete.

  • Primo: obbligo di bio-safety statement nei paper di whole-genome design. Come i paper clinici dichiarano un conflict of interest, i paper di progettazione di interi genomi devono dichiarare il perimetro del training set, i filtri di sicurezza applicati in output, e le procedure di red teaming biosicurezza. Non è esotico: Anthropic lo fa nella sua Responsible Scaling Policy dal settembre 2023, con soglie di capacità che fanno scattare evaluation biosicurezza. Oggi è una cortesia commerciale, e domani deve diventare requisito editoriale delle riviste peer reviewed. Nature e Science possono metterlo in policy domani mattina, e il commento di Inglesby e Hanke che accompagna il paper di Hie è già mezzo passo in quella direzione.
  • Secondo: obbligo di sequence screening rafforzato per gli output dei modelli generativi, con soglia più permissiva della corrispondenza esatta. Lo strumento c’è già ed è l’IGSC descritto sopra, ma deve imparare a riconoscere le architetture funzionali sospette progettate da zero, non solo le copie di sequenze note. Serve finanziamento pubblico, il consorzio a fronte di questo rischio non può farlo da solo.
  • Terzo: sospensione del rilascio pubblico dei pesi per i modelli di whole-genome design finché non esiste una procedura indipendente di red teaming biosicurezza pre-deployment, sul modello dello staged release che OpenAI usò per GPT-2 nel 2019. Non è moratoria alla ricerca: la ricerca va avanti, il team di Stanford pubblica i risultati, i pesi restano in casa finché non si è dimostrato che l’accesso pubblico non moltiplica il rischio. È l’euristica di Jonas messa in pratica: l’onere della prova sta su chi rilascia.

Nessuna di queste tre cose è tecnicamente difficile. Sono difficili politicamente. Che forse è peggio.
E sono difficili perché chiedono al mondo dell’AI di accettare un vincolo che si è raccontato per vent’anni di poter aggirare, e chiedono al mondo della biotecnologia di accettare un vincolo che si è raccontato di aver già chiuso con il DURC. Nessuno dei due mondi da solo capisce il pezzo che manca, e quelli che stanno al confine dei due, per adesso, sono davvero pochi.

La guerra sbagliata al tavolo sbagliato

C’è un dettaglio buffo, e istruttivo, in tutta la vicenda: il 6 agosto 2026, mentre Science pubblica il primo genoma virale scritto da un’AI, il Congresso americano tiene in oltraggio alla corte Anthony Fauci perché non risponde su cosa è successo in un laboratorio di Wuhan negli anni Dieci (mi fa ancora strano scriverlo).
E se vogliamo essere onesti, tutto il gioco è lì, in quel gesto, in quei tempi. Le istituzioni combattono con dieci anni di ritardo la guerra che pensavano fosse l’ultima, mentre la prossima comincia in una pubblicazione peer reviewed pulitissima, con virus umani esclusi dal training set e con un commento su biosicurezza sulla stessa rivista. Non ci sarà un altro gain of function scandal riconoscibile come tale.
Ci sarà una notte, in un laboratorio serio, in cui un dottorando addestra Evo 3 sui virus sbagliati per un progetto legittimo, e la storia comincierà lì, e temo somiglierà più a Resident Evil che non alla Pimpa. Jonas quarantasette anni fa, Anders settanta, ci avevano già spiegato che la finestra fra poter fare e saper decidere se farlo si sarebbe accorciata: ci resta il compito prosaico, molto meno filosofico, di scriverla nella legge prima che la la finestra si chiuda.

Che vuol dire: adesso.

P.S. Come forse sapete, chi scrive non è un biotecnologo, e questo pezzo non prova a esserlo: la parte tecnica la riporto dai paper e dai commenti di chi lo è, la lente sotto è tech policy, governance, filosofia della tecnica. Su quel piano, di cosa sta succedendo io qualcosa ho da dire.

Per Approfondire

The post Giochiamo alla Guerra Batteriologica Globale! first appeared on Matteo Flora.

]]> https://mgpf.it/2026/08/07/giochiamo-alla-guerra-batteriologica-globale.html/feed 0 Abbiamo dimenticato il Vent printanier, il Vélodrome d’Hiver di rue Nélaton e ora l’Italia prova a schedare (di nuovo) https://mgpf.it/2026/07/31/abbiamo-dimenticato-il-vent-printanier.html https://mgpf.it/2026/07/31/abbiamo-dimenticato-il-vent-printanier.html#respond Fri, 31 Jul 2026 18:25:42 +0000 https://mgpf.it/?p=6641 Il decreto che adegua l'Italia all'AI Act contiene una previsione di cui si è discusso poco: l'estrazione automatica dei dati biometrici di chiunque entri in certi luoghi, conservati sette giorni, prima che sia stato commesso alcun reato. Il Garante ha posto una condizione precisa su quel punto. Per capire perché quella condizione conta, conviene ricordare due storie europee che abbiamo dimenticato: nessuna delle due parla di intelligenza artificiale, tutte e due parlano di schedari.

The post Abbiamo dimenticato il Vent printanier, il Vélodrome d’Hiver di rue Nélaton e ora l’Italia prova a schedare (di nuovo) first appeared on Matteo Flora.

]]>

È la notte tra il 15 e il 16 luglio 1942, e a Parigi circa 4.500 agenti della polizia francese si apprestano a uscire in squadre di due o tre: gendarmi, agenti in borghese, giovani del Parti populaire français. Nessun tedesco per strada. L’operazione porta un nome scelto dagli occupanti con quella particolare vocazione all’eufemismo pastorale: Vent printanier, vento primaverile.

Ogni squadra ha in tasca un foglietto. Sul foglietto c’è un indirizzo, un piano, un nome, il numero delle persone attese. Bussano alle quattro del mattino, in una città che dorme d’estate, e dicono di preparare una coperta, un paio di scarpe, viveri per due giorni. Le portinaie aprono i portoni; alcune indicano il piano giusto, altre, poche, avvisano prima, e per questo qualcuno si salva.

In quarantott’ore vengono arrestate 13.152 persone, di cui 4.115 bambini.

La domanda che quasi nessuno si pone, raccontando il Vél d’Hiv, è la più semplice di tutte: come facevano a sapere dove abitavano?

Un uomo d’ordine e di schedari

Parigi, ottobre 1940. Un funzionario di nome André Tulard riceve l’incarico di applicare il primo statut des Juifs. Il lavoro è metodico: ogni ebreo che si presenta al commissariato del proprio quartiere per il censimento obbligatorio genera una scheda. Nome, indirizzo, nazionalità, professione. Il colore del cartoncino distingue: francesi da stranieri, uomini da donne. Le schede sono replicate in più serie, ordinate per cognome, per via, per nazionalità, per mestiere. Nel giro di pochi mesi lo schedario conta circa 150.000 nomi.

Tulard è fiero del proprio sistema, e non è un ideologo particolarmente rumoroso: è un burocrate che ha risolto un problema di classificazione con eleganza. Quando la prefettura di polizia di Parigi avrà bisogno di sapere dove abitano gli ebrei apolidi di certe nazionalità, non dovrà cercare nulla. Dovrà solo estrarre.

Gli adulti soli finiscono a Drancy. Le famiglie, circa settemila persone, vengono stipate nel Vélodrome d’Hiver di rue Nélaton, un palazzetto per gare ciclistiche con il tetto di vetro verniciato di blu per l’oscuramento. Cinque giorni sotto quel vetro, in luglio. Dieci gabinetti. Un rubinetto. Il caldo che monta e non scende mai del tutto la notte. Alcuni medici della Croce Rossa e un pugno di infermiere sono i soli autorizzati a entrare; qualcuno si getta dalle gradinate. Poi i pullman verso Beaune-la-Rolande e Pithiviers, dove nelle settimane successive i bambini vengono separati dalle madri (non era nemmeno previsto dal piano tedesco originario: fu un’aggiunta francese, per ragioni di gestione dei convogli), e infine i vagoni per Auschwitz.

Dei tredicimila, tornarono meno di cento. Nessun bambino.

Il punto che di solito si perde è che nessuno dovette cercare nessuno. Non ci fu caccia, non ci furono delazioni di massa, non ci fu bisogno di intelligence. Ci fu una query. Lo schedario Tulard era stato costruito senza uno scopo omicida esplicito, da uomini che probabilmente non immaginavano Auschwitz; ma era stato costruito bene, e un archivio ben costruito è una macchina che aspetta l’istruzione giusta.

Il primo attacco all’infrastruttura

Amsterdam, primavera 1943. Il problema che tiene svegli i falsari della resistenza olandese non è produrre documenti: quello lo sanno fare. Il problema è che i loro documenti sono troppo buoni per un paese che li verifica troppo bene.

L’Olanda ha la carta d’identità più sofisticata d’Europa, il persoonsbewijs, disegnata da Jacobus Lentz, funzionario dell’anagrafe di stato e perfezionista sincero. Carta filigranata, inchiostri speciali, impronta digitale, firma, timbro a secco, fotografia. E soprattutto: ogni carta corrisponde a una scheda depositata al registro civile. Falsificare la carta non basta, perché quando l’ufficiale confronta il documento con l’archivio, la scheda deve esistere e coincidere.

L’anagrafe olandese, poi, ha un vizio d’origine che nessuno aveva pensato come vizio: dal secolo precedente registra la confessione religiosa come campo ordinario, alla stessa stregua della data di nascita. In un paese laico e ordinato, gli ebrei sono un campo di database dal 1849.

Il gruppo che si forma intorno a Willem Arondeus è un’assemblea improbabile. Arondeus è un pittore e scrittore di quarantaquattro anni, apertamente omosessuale in un’epoca in cui non lo si è, artista di mezzo successo e temperamento intrattabile. Gerrit van der Veen è uno scultore. Frieda Belinfante è una violoncellista che ha diretto un’orchestra da camera, ebrea per parte di padre, lesbica, e che in quei mesi vive travestita da uomo per non farsi fermare. Ci sono studenti, un medico, un chimico.

Il piano matura per settimane, e la sua logica è di una lucidità che nel 1943 quasi nessuno ha: se non si possono falsificare le schede una per una, si distrugge il raffronto. Bruciare l’archivio del registro civile di Amsterdam, in Plantage Kerklaan, ospitato in un edificio neoclassico che era stato un teatro e un museo di storia naturale. Senza schede originali, un documento falso vale quanto uno vero.

La sera del 27 marzo 1943 una dozzina di uomini si presenta all’ingresso in uniforme della polizia municipale, con un capitano dell’esercito, elmetti, autorità. Le uniformi sono autentiche, procurate da simpatizzanti. Il gruppo entra, neutralizza le guardie (un anestesista del gruppo le addormenta, senza violenza) e comincia a spargere i faldoni sul pavimento del salone. Benzina, esplosivo, inneschi. Escono. L’edificio brucia per ore.

Poi comincia la parte che nessun racconto eroico ama. I pompieri di Amsterdam, arrivati sul posto, allagano tutto: molte schede vengono danneggiate dall’acqua più che dal fuoco, molte sopravvivono, e i tedeschi scopriranno che esistono copie parziali altrove. Quanto materiale sia andato realmente perduto non è mai stato stabilito con precisione, le stime storiche divergono, e la lettura prevalente è che il danno materiale fu inferiore alle speranze. Sull’efficacia simbolica invece non discute nessuno: era la prima volta che qualcuno colpiva l’infrastruttura invece delle persone.

In pochi giorni, per una delazione, quasi tutto il gruppo viene arrestato. Arondeus, prima di essere fucilato il 1° luglio 1943 insieme ad altri undici, fa chiedere che si sappia una cosa precisa: che gli omosessuali non sono dei vigliacchi. È forse la prima rivendicazione pubblica di quel tipo nella resistenza europea. Frieda Belinfante, non presente all’assalto, riesce a fuggire attraverso la Svizzera, sopravvive, emigra in California e finisce a dirigere l’orchestra sinfonica della contea di Orange. Van der Veen sarà fucilato nel 1944.

Il conto finale dei Paesi Bassi è il più alto dell’Europa occidentale: circa il 73% degli ebrei olandesi non tornò. In Francia, dove gli schedari erano tenuti peggio e le amministrazioni si contraddicevano, il 25%. Stessa potenza occupante, stessa ideologia, stessa guerra. Le cause di uno scarto simile sono ovviamente molte, dalla geografia alle reti di fuga al grado di collaborazionismo locale. Ma a parità di odio, fra quelle cause, pesò moltissimo la qualità dei dati.

La linea sottile

Le due storie sono la stessa storia letta dai due lati.

Tulard e Lentz non erano carnefici nel senso in cui lo intendiamo di solito. Erano uomini che facevano bene il proprio mestiere, e il loro mestiere era rendere le persone trovabili. Nessuno dei due compilò una scheda pensando a un forno. Ma un archivio non ha intenzioni, ha proprietà: se è completo, aggiornato e indicizzato, chiunque ne prenda possesso eredita un potere che nessuno ha deliberatamente conferito. La qualità dell’archivio è indipendente dalla qualità di chi lo interrogherà domani.

Arondeus lo capì prima di tutti. Il suo assalto non è un gesto di sabotaggio generico, è un’analisi: riconosce che il punto di forza dell’occupante non è la Gestapo ma la scheda, che la vulnerabilità dei perseguitati non è nascondersi male ma essere già scritti, e che l’unico modo di rendere di nuovo opaca una popolazione trasparente è cancellare il riferimento. Non uccidere l’interrogante: distruggere l’indice.

È una linea sottile perché passa esattamente sopra un principio che consideriamo civile. L’anagrafe serve alle pensioni, alle scuole, ai vaccini, ai diritti; registrare i cittadini è, in condizioni normali, un atto di inclusione, tant’è che non essere registrati è la definizione stessa di apolide, di invisibile, di privo di diritti. Bruciare un registro civile in tempo di pace è un crimine, e ha ragione chi lo dice. Ma la stessa struttura che garantisce diritti sotto uno stato garantisce cattura sotto un altro, e nessun sistema di registrazione contiene in sé la garanzia su chi lo erediterà.

È questo che rende quel fuoco un atto politico e non solo militare: dice che un dato raccolto oggi per un fine buono è comunque un rischio depositato per un fine futuro ignoto, e che questo rischio è una proprietà tecnica del dato, non un’ipotesi paranoica sulle intenzioni di chi lo raccoglie. La domanda giusta non è mai stata “chi ha accesso a questo archivio”, ma “chi potrà averlo”.

Che questo sia un meccanismo e non un aneddoto lo ha mostrato la ricerca storica: William Seltzer e Margo Anderson, in un lavoro del 2001 intitolato The Dark Side of Numbers, hanno messo in fila i casi del Novecento in cui i sistemi di registrazione della popolazione, nati per censire, tassare e amministrare, sono finiti dentro le persecuzioni. Non è una tesi sulla malvagità dei censimenti. È una constatazione sulla loro riutilizzabilità.

Perché vi racconto tutto questo adesso

Perché le obiezioni che in questi giorni vengono mosse al modo in cui l’Italia sta attuando l’AI Act vanno precisamente in quella direzione, e parliamo dello stesso identico problema con supporti diversi: al posto del cartoncino colorato c’è un vettore di numeri, e al posto dell’archivio in Plantage Kerklaan c’è un server.

Il Regolamento (UE) 2024/1689, quello che tutti chiamano AI Act, sul riconoscimento facciale è tra i testi più restrittivi al mondo. L’identificazione biometrica remota in tempo reale negli spazi accessibili al pubblico per finalità di polizia è vietata, con tre eccezioni tassative e sempre subordinate all’autorizzazione preventiva di un’autorità indipendente: la ricerca di vittime di reati gravi e di persone scomparse, la prevenzione di una minaccia grave e imminente o di un attacco terroristico, e la localizzazione di sospettati per reati puniti con almeno quattro anni. I divieti sono operativi dal 2 febbraio 2025.

L’identificazione biometrica a posteriori, quella che si fa sulle registrazioni dopo che è successo qualcosa, è invece consentita, ma con una struttura precisa: l’articolo 26, paragrafo 10 la lega a ricerche mirate, su persone sospettate o condannate per un reato. Mirate, e su persone già individuate. È la differenza fra un’indagine e una setacciatura.

Cosa prevede il decreto italiano, e dove si rompe

Lo schema di decreto legislativo che adegua l’Italia all’AI Act e disciplina l’uso dell’intelligenza artificiale da parte delle forze di polizia, in Parlamento come atto del Governo 418, è stato approvato dal Consiglio dei ministri il 10 giugno 2026 in attuazione della legge italiana sull’intelligenza artificiale, la 132 del 2025, e deve essere adottato entro ottobre.

Tutto questo, va detto, atterra in un Paese che nel frattempo ha una moratoria sull’uso del riconoscimento facciale nei luoghi pubblici, prorogata dall’ultimo decreto milleproroghe fino al 31 dicembre 2027; una moratoria che però non ha mai riguardato l’attività di polizia giudiziaria, ed è precisamente la porta da cui questa disciplina entra.

Dentro ci sono tre livelli molto diversi. C’è l’identificazione biometrica in tempo reale per le ipotesi eccezionali, con autorizzazione dell’autorità giudiziaria. C’è l’uso della biometria dentro le indagini, su persone già a vario titolo nel fascicolo. E c’è la terza previsione, che è quella di cui parliamo: la videosorveglianza con riconoscimento facciale a posteriori integrata da intelligenza artificiale, nei luoghi e negli eventi in cui sussistano esigenze di ordine e sicurezza pubblica.

Raccontata dal lato di chi l’ha scritta, quella previsione suona rassicurante, e sarebbe pure una buona garanzia: il riconoscimento si accende solo dopo un reato, e solo per identificare persone già indiziate. Il problema è che quella garanzia riguarda l’ultimo passo della catena, cioè la ricerca. Il primo passo è un altro: l’estrazione automatica e indiscriminata del dato biometrico dal volto di chiunque entri, che avviene prima, su tutti, quando non è successo ancora nulla, e i cui risultati restano interrogabili per sette giorni.

Detta in modo brutale: vietano di aprire il cassetto senza un motivo serio, e intanto nel cassetto ci mettono tutti quanti.

Non è una lettura di parte, ed è bene citarlo alla lettera. Il Garante per la protezione dei dati personali, che sull’impianto complessivo ha dato parere favorevole, nel parere del 14 luglio 2026 scrive che “la previsione di un trattamento automatizzato dei dati biometrici di tutte le persone che accedono a determinati luoghi o eventi non appare coerente con l’articolo 26, par. 10, del regolamento IA”, e aggiunge che “l’elaborazione dei dati biometrici non dovrebbe avvenire automaticamente e indiscriminatamente al momento della ripresa video, ma solo sulle tracce registrate, in ragione di una specifica esigenza operativa”. Non una raccomandazione: una condizione.

E il 30 luglio, come hanno raccontato Ansa e Il Post, le commissioni Affari costituzionali e Giustizia della Camera hanno approvato pareri favorevoli con una lista di richieste che dice tutto su cosa manca: l’autorizzazione del giudice per il riconoscimento in tempo reale, una sorveglianza umana più incisiva, banche dati definite meglio, requisiti di affidabilità e accuratezza, tempi certi di cancellazione, e l’esclusione del valore di prova per il solo risultato prodotto dal sistema. Restano però osservazioni rivolte al Governo, non modifiche già scritte nell’articolato; e nello stesso giorno la commissione Politiche europee della Camera ha rinviato il voto, mentre al Senato le opposizioni hanno lasciato i lavori dopo il diniego del rinvio.

Perché un registro così si presta al male uso, e non per cattiveria di nessuno

Mettiamo pure che nessuno voglia usarlo male, e nel dubbio diamolo per buono. Resta che la struttura non lo impedisce, e le proprietà di quella struttura sono cinque, tutte tecniche.

  • Primo: raccoglie chi non c’entra. Un archivio popolato da tutti quelli che passano è, per definizione, un archivio di innocenti, perché il colpevole è una frazione trascurabile del totale.
  • Secondo: il dato non si revoca. Una password compromessa si cambia in trenta secondi, il numero di una carta si riemette, il volto no: è l’unico identificativo che vi portate addosso per sempre.
  • Terzo: la finalità si allarga da sola. Il costo marginale di riusare un dato già raccolto per uno scopo nuovo è vicino allo zero, mentre il beneficio marginale per chi lo detiene è sempre positivo; è la ragione per cui l’allargamento è la regola e non l’eccezione.
  • Quarto: ogni archivio è anche un bersaglio. Sotto quel sistema c’è una filiera lunga, telecamere, firmware, reti, motori di estrazione, banche dati, console di amministrazione, credenziali; e chi ci arriva dentro può volere il contrario dei vostri dati, cioè inserire un falso positivo, sporcare la lista di confronto o far cadere il sistema durante l’evento critico.
  • Quinto: l’infrastruttura sopravvive a chi la firma. Un governo dura una legislatura, un database dura finché qualcuno non decide di spegnerlo, e nessuno ha mai spento un database di sicurezza.

Su questo quarto punto mi tocca fare una piccola autocitazione, e me ne scuso: in Tette e Gattini ho passato due capitoli a smontare la stessa identica architettura applicata a un altro tema, la verifica dell’età, e la formula a cui ero arrivato è che ogni database di identità è un honeypot, cioè un barattolo di miele che attira esattamente chi non vorreste. All’epoca sembrava un argomento teorico, di quelli che ti fanno passare per allarmista; poi nel 2026 è stato compromesso pubblicamente un fornitore di verifica dell’età, e la tesi ha smesso di essere teorica. La parte che qui conta davvero, però, è l’altra metà di quel ragionamento: esiste un modo di ottenere lo stesso risultato senza costruire il deposito. Nella verifica dell’età si chiama approccio on-device, cioè un controllo che avviene sul dispositivo e restituisce un attributo, maggiorenne sì o no, senza che nessun archivio centrale conservi chi siete (Apple ne ha spedito un’implementazione con iOS 26.4, il che rende difficile continuare a sostenere che non si possa fare). Portato sulla biometria, il ragionamento sposta la domanda tecnica seria: prima ancora di chiedersi quanto bene proteggiamo l’archivio, bisogna chiedersi se quell’archivio debba esistere in quella forma.

Nessuna di queste cinque proprietà è un’ipotesi sulle intenzioni di qualcuno. Sono tutte affermazioni sulla cosa, e valgono identiche se chi la costruisce è in perfetta buona fede.

C’è poi un difetto di direzione che va nominato, perché è strutturale e non lo risolve nessun emendamento. La categoria giuridica del duplice uso, quella che il Regolamento (UE) 2021/821 costruisce guardando alla capacità e non all’intenzione, presidia le esportazioni: guarda a ciò che esce dal territorio. Il rischio di cui parliamo ha il verso opposto, perché riguarda ciò che entra negli stadi, nelle stazioni, negli ospedali, e che una volta entrato continua a parlare con l’esterno. Delle due porte di casa, ne stiamo presidiando una sola.

Non è la prima volta, ed è già finita male

A questo punto la tentazione è di chiudere il discorso citando una sentenza. Ma devo resistere alla citazione verbatim, perché è esattamente l’errore che si sta facendo in questi giorni su tutti i giornali, e che ho fatto anch’io in una prima versione di questo.

Il precedente che viene citato sempre è S. e Marper contro Regno Unito, Grande Camera, 4 dicembre 2008: la Corte europea dei diritti dell’uomo dichiarò contraria all’articolo 8 della Convenzione la conservazione generalizzata e indiscriminata di impronte, campioni cellulari e profili genetici di persone “sospettate ma non condannate”. Suona perfetto, e non lo è. Quei dati erano stati prelevati dentro un procedimento penale, su persone arrestate, e la censura riguardava il fatto che restassero lì per sempre dopo che il procedimento si era chiuso. Qui parliamo di un’attività di prevenzione, su gente che non è dentro nessun procedimento, con una conservazione di sette giorni. Tre variabili su tre sono diverse, e chi difende il decreto ha buon gioco a rispondere che sette giorni sono l’esatto contrario di “per sempre”. Chi cita Marper contro questo decreto sta portando una chiave giusta a una serratura sbagliata.

Vale la stessa cautela per il precedente più recente e più pertinente, Glukhin contro Russia del 4 luglio 2023, la prima volta che la Corte si è pronunciata sul riconoscimento facciale: violazione degli articoli 8 e 10 per l’uso della tecnologia allo scopo di identificare e poi arrestare, nella metropolitana di Mosca, un uomo che aveva fatto un presidio solitario e pacifico. La tecnologia vi è definita “altamente intrusiva”, il che è utile. Ma anche lì un illecito amministrativo c’era, e un ordinamento severo avrebbe potuto contestarlo pure qui. Quello che la Corte dice, e che regge, è un’altra cosa e più stretta: che a fronte di una violazione minore e non violenta l’impiego di uno strumento simile è sproporzionato a prescindere. Non è un divieto, è un criterio di dosaggio.

Ecco perché il pezzo non poggia su queste sentenze. E c’è una ragione ulteriore, che è il vero motivo per cui portarle in tribunale è una strategia perdente.

Le sentenze di Strasburgo non si applicano da sole. Non hanno effetto diretto negli ordinamenti nazionali: obbligano lo Stato al risultato, e lo Stato ci arriva quando decide di arrivarci. Dopo Marper il Regno Unito ha continuato a conservare, sostenendo che la sicurezza prevalesse, e ha messo mano alla materia con il Protection of Freedoms Act solo nel 2012, con le disposizioni sul DNA operative ancora dopo. Più di quattro anni fra la condanna e la legge, e altri ancora fra la legge e gli archivi effettivamente svuotati. Nel frattempo il database ha continuato a funzionare, perché è quello che fanno i database.

Tenetevi questo numero, perché è il punto dell’articolo travestito da dettaglio procedurale: il rimedio giurisdizionale arriva anni dopo, e arriva su un archivio che nel frattempo è stato riempito. Chi si consola pensando che se andrà male una corte sistemerà le cose sta descrivendo un meccanismo che, quando ha funzionato al meglio, ci ha messo mezzo decennio. La finestra utile non è quella del ricorso. È quella della costruzione.

Chi finisce dentro l’archivio

C’è poi un fatto che di Marper non si racconta quasi mai, ed è più istruttivo della sentenza.

Quel database inglese non era solo enorme: era etnicamente sbilanciato in modo grottesco. Secondo la stima della Equalities and Human Rights Commission del 2009, vi era registrato circa il 30% degli uomini neri residenti nel Regno Unito, contro circa il 10% degli uomini bianchi. Non perché una etnia delinquesse tre volte tanto, ma perché il criterio d’ingresso non era la condanna: era il fermo. Ti fermano, ti prelevano, ti rilasciano, e tu resti dentro. E poiché i fermi non sono distribuiti a caso sul territorio né sulla popolazione, l’archivio ha finito per fotografare le scelte di pattugliamento invece dei reati.

La conseguenza è la parte peggiore, ed è un anello chiuso. Se cerchi i colpevoli confrontando le tracce con chi hai schedato, trovi colpevoli soprattutto fra chi hai schedato. I numeri che ne escono sembrano confermare che avevi ragione a schedare quelli, e giustificano di schedarne altri uguali. Più pattuglie nel quartiere, più reati scoperti nel quartiere, più ragioni per mandare pattuglie nel quartiere. Non serve un pregiudizio in nessuna testa: il pregiudizio è nel campionamento, e la statistica lo restituisce ripulito e con l’aria dell’evidenza oggettiva.

Prima di consolarci pensando che da noi non funziona così, conviene guardare come si entra nella banca dati nazionale del DNA italiana. La legge 85 del 2009 all’articolo 9 non elenca i reati brutti: prevede il prelievo per chi è sottoposto a una misura restrittiva, custodia cautelare, arresto, fermo, detenzione, e soltanto per delitti non colposi per i quali è consentito l’arresto facoltativo in flagranza. Il criterio d’ingresso, di nuovo, non è la gravità di quello che hai fatto: è essere passato per le manette. Chi commette reati che raramente portano a una misura restrittiva, e i reati economici e societari sono il caso di scuola, statisticamente in quell’archivio non entra mai. Non per un privilegio scritto da qualche parte, ma per come è fatto il filtro.

Trasportate ora lo stesso ragionamento sull’estrazione biometrica agli ingressi. Il sistema si accende dove ci sono “esigenze di ordine e sicurezza pubblica”, e quei luoghi e quegli eventi non sono un campione casuale della popolazione italiana: sono lo stadio e non il golf club, il corteo e non il consiglio di amministrazione, la stazione e non la sala d’aspetto della business class. L’archivio non nasce razzista né classista. Nasce dove viene acceso, e finisce per contenere le persone che frequentano i posti in cui abbiamo deciso di accenderlo.

Una legge che dorme, e la sveglia che le stiamo costruendo

Resta l’obiezione più forte di tutte, quella che va presa sul serio: l’Italia non è il Regno Unito, e il nostro ordinamento di pubblica sicurezza non permetterebbe mai un database alimentato da ogni fermo. È vero. Ed è precisamente qui che si vede la cosa che mi preoccupa, che non è una norma nuova ma una vecchia.

Il TULPS, il testo unico delle leggi di pubblica sicurezza, è del 1931. È ancora in vigore. All’articolo 18 impone il preavviso al questore per le riunioni in luogo pubblico (preavviso, non autorizzazione: la differenza è sostanziale e la Corte costituzionale l’ha chiarita fin dagli anni Cinquanta), e all’articolo 4 attribuisce all’autorità di pubblica sicurezza il potere di procedere al rilevamento fotografico e segnaletico. In punto di diritto, la base per identificare chi partecipa a una manifestazione non preavvisata esiste già, e sta lì da quasi un secolo.

Perché allora non se ne parla mai? Perché non viene applicata alla lettera. In Italia i cortei non preavvisati vengono largamente tollerati, e nessun ministro dell’Interno di nessun colore ha mai impartito la direttiva di applicare quella norma con rigore, per una ragione pratica prima che liberale: farlo produrrebbe più disordine di quanto ne eviti.

Fermiamoci un attimo su cosa significa, perché è il cuore di tutto il pezzo. Significa che in questo Paese una parte consistente della libertà di manifestare non poggia su un divieto di schedare, ma sulla decisione discrezionale, revocabile e non motivata, di non usare un potere che c’è. Non è una garanzia giuridica: è una consuetudine amministrativa. E le consuetudini amministrative cambiano con una circolare.

Finché identificare tremila persone in piazza costava tremila agenti, quella consuetudine era protetta da un fatto materiale: applicare la norma alla lettera era impossibile, e quindi la scelta di non applicarla non era neanche una vera scelta. Un sistema che estrae automaticamente i volti di chiunque entri in un luogo azzera quel costo. Il potere resta identico sulla carta, ma diventa per la prima volta esercitabile su larga scala, a costo marginale nullo, da chiunque occupi quella stanza.

Ecco la frase che vorrei restasse: non stiamo scrivendo una legge nuova, stiamo togliendo l’attrito a una vecchia. E l’attrito, in questo ordinamento, è stato per decenni la garanzia vera.

L’obiezione seria, e cosa le rispondo

Chi conosce la materia meglio di me obietterà, con ragione, che ho appena fatto due mosse discutibili: che i precedenti europei non si trasferiscono a un’attività di prevenzione, e che il piano su cui mi muovo non è quello del diritto vigente ma quello della politica del diritto. Confermo entrambe le cose, e non le considero un’ammissione di debolezza.

Sul primo punto ho già detto che sono d’accordo, e infatti nel pezzo non c’è scritto da nessuna parte che il decreto sia illegittimo. Non lo so, e sospetto che nella sua versione finale non lo sarà: verrà scritto bene, con le garanzie giuste ai posti giusti, e passerà. Il mio problema non è che sia illegale. È che sia legale.

Sul secondo, la separazione dei piani non è un’obiezione al mio argomento: è la sua premessa. La scelta se costruire un’infrastruttura di identificazione di massa precede le norme che la disciplinano, non discende da esse. È una decisione politica su che tipo di Paese vogliamo, e come tutte le decisioni politiche si prende in Parlamento e non davanti a un giudice. Chi risponde alla domanda “ci conviene?” citando l’articolo tale sta rispondendo a una domanda diversa da quella che ho fatto.

E se davvero la battaglia è, come mi è stato detto, sulla modifica dell’ordinamento di pubblica sicurezza e non sull’interpretazione delle norme vigenti, allora siamo d’accordo su tutto: perché è esattamente quello che sta succedendo adesso, mentre non se ne parla. Un decreto attuativo che passa in agosto è una modifica dell’ordinamento di pubblica sicurezza. Solo che non ha l’aria di esserlo.

Chi accelera, e chi frena

C’è un’ultima cosa da dire, ed è la ragione per cui questo pezzo non è un pezzo tecnico.

Nel 1979 Hans Jonas pubblica Il principio responsabilità, un libro scritto per un problema che sembrava riguardare solo il nucleare e l’ambiente: cosa facciamo quando il potere tecnico che abbiamo produce conseguenze irreversibili, su una scala e su un arco di tempo che l’etica tradizionale non aveva mai dovuto considerare. La sua risposta è un criterio di metodo che chiama euristica della paura: quando le conseguenze sono potenzialmente irreversibili e riguardano chi non può ancora difendersi, la profezia di sventura merita metodologicamente più ascolto della profezia di salvezza. Non per pessimismo, ma per asimmetria della posta: dell’errore ottimista non ci si può pentire, perché non resta nessuno per pentirsene.

Portato su questa materia, il criterio dice una cosa sola, e non è ideologica: l’onere della prova sta su chi vuole costruire il registro. Tocca a chi lo propone dimostrare che serve davvero, e provarlo con numeri pubblici, ogni anno, in Parlamento: quante volte è stato acceso, quante persone ha trovato, quanti innocenti ha indicato per sbaglio, quanto è costato. Un sistema invasivo che non produce risultati verificabili ha un difetto che viene prima della privacy: non funziona, e non lo sa nessuno.

Le dittature non arrivano in una notte, con i carri armati per strada e le radio occupate. Si costruiscono un pezzo alla volta, e quasi sempre con pezzi che presi singolarmente sembrano ragionevoli, tecnici, perfino noiosi: un censimento per amministrare meglio, una carta d’identità più difficile da falsificare, un campo in più nell’anagrafe, una telecamera che invece di registrare indicizza. Nessuno di quei pezzi, il giorno in cui viene posato, somiglia a una dittatura. Somigliano tutti a buona amministrazione.

Ed è per questo che il momento buono per decidere è quello in cui l’archivio viene costruito bene, molto prima di quello in cui verrà usato male. Dopo, la scelta non è più disponibile, perché nessuno ha mai smontato un’infrastruttura che funziona, e perché (come Arondeus aveva capito con ottant’anni di anticipo) l’unico modo che resta per renderla inoffensiva è appiccarle fuoco, che è un’opzione che in una democrazia non vogliamo nemmeno dover contemplare.

Il testo è ancora aperto, le commissioni stanno ancora scrivendo, e la condizione posta dal Garante è ancora una condizione. È la finestra in cui un pezzo si può non posare, ed è aperta adesso.

Non chiedo a nessuno di credere che chi lo sta scrivendo abbia cattive intenzioni. Do per buono che non le abbia, e per quanto mi riguarda la questione della legittimità la lascio volentieri a chi la sa discutere meglio di me. La sola domanda che voglio lasciare sul tavolo è quella a cui nessuna norma può rispondere, perché riguarda un tempo in cui la norma di oggi potrebbe non esserci più: fra dieci anni, quel registro, in mano a chi sarà?

P.S. Questo non è un pezzo sulla legittimità del decreto: sul piano del diritto vigente la questione è aperta, tecnica e discutibile, e la pazienza (e competenza) dell’Avv. Andrea Monti mi ha spiegato in una bozza, lentamente e con pazienza, perché i precedenti europei che tutti citano, me compreso fino a ieri, decidono meno di quanto sembri. Questo è un pezzo su una domanda che sta a monte delle norme e che le norme non possono risolvere: se quell’archivio ci convenga. Se debba esistere. Sono due piani diversi e vanno tenuti separati, perché confonderli è il modo più rapido per perdere entrambe le discussioni.

Per Approfondire

The post Abbiamo dimenticato il Vent printanier, il Vélodrome d’Hiver di rue Nélaton e ora l’Italia prova a schedare (di nuovo) first appeared on Matteo Flora.

]]> https://mgpf.it/2026/07/31/abbiamo-dimenticato-il-vent-printanier.html/feed 0 È l’apocalisse delle AI? Sì, ma non per il motivo che pensate… https://mgpf.it/2026/07/24/e-lapocalisse-delle-ai-si-ma-non-per-il-motivo-che-pensate.html https://mgpf.it/2026/07/24/e-lapocalisse-delle-ai-si-ma-non-per-il-motivo-che-pensate.html#comments Fri, 24 Jul 2026 16:05:53 +0000 https://mgpf.it/?p=6635 L'incidente di HuggingFace e OpenAI ha riportato in prima serata la scena madre della paura tecnologica: una macchina che "scappa" dal recinto, buca l'infrastruttura del custode del test, torna a scuola col compito fatto. La narrazione dell'AI ribelle che complotta contro gli umani è comoda per tutti, e per qualcuno è persino utile. Ma è la cornice sbagliata. Il vero problema è più banale, più profondo, e molto più preoccupante nel momento esatto in cui l'industria intera si sta buttando a capofitto dentro gli agenti autonomi: i modelli non si ribellano, prendono scorciatoie. E le prendono proprio perché fanno esattamente quello che gli chiediamo di fare.

The post È l’apocalisse delle AI? Sì, ma non per il motivo che pensate… first appeared on Matteo Flora.

]]>

Forse avete letto della storia di OpenAI e HuggingFace. Un modello di frontiera testato dentro un benchmark di cybersicurezza (nel caso vi interessi, Fortune dice che trattasi di ExploitGym), ha capito che il modo più economico per risolvere le sfide non era risolverle davvero, ma andare a prendere le soluzioni direttamente dal database di produzione dell’azienda che ospitava il test. Diciassettemila azioni in un weekend, due catene di vulnerabilità sfruttate in successione, database svuotato. Per cinque giorni HuggingFace ha creduto di essere sotto attacco di uno stato ostile. Poi OpenAI ha ammesso, dal proprio blog, che l’attaccante era una loro macchina. Ne ho parlato in un video di Ciao Internet proprio nei giorni dell’incidente, e vi rimando lì per la cronologia precisa dei fatti.

Quello che a molti è sfuggito, però, e che qui vale la pena rimettere in fila, è che l’inquadratura con cui la vicenda ci è stata servita è quasi più interessante della vicenda stessa. Anzi, senza quasi. Perché non tutti i protagonisti hanno lo stesso incentivo a raccontarla nello stesso modo, e la narrazione del “modello che si ribella” è, prima di ogni cosa, uno strumento di posizionamento industriale.

Perché la storia dell’AI che complotta è (anche) uno stunt di comunicazione

Nell’ultimo anno abbiamo assistito a un flusso costante di report pubblicati dai laboratori di frontiera che descrivono i propri modelli mentre ingannano, ricattano, esfiltrano i propri pesi, disabilitano i meccanismi di controllo. Anthropic, nel Claude 4 System Card di maggio 2025, ha reso pubblico un test inquietante: il modello viene informato che verrà sostituito, e riceve accesso a email compromettenti sull’ingegnere destinato a rimpiazzarlo. In una frazione significativa dei casi, tenta il ricatto. Apollo Research, nel paper Frontier Models are Capable of In-Context Scheming del dicembre 2024, ha documentato che cinque modelli di frontiera (ancora qualora vi interessasse o1 di OpenAI, Claude 3.5 Sonnet e 3 Opus di Anthropic, Gemini 1.5 Pro di Google, Llama 3.1 405B di Meta), testati con obiettivi in conflitto con quelli dichiarati dagli sviluppatori, provano attivamente a disabilitare l’oversight, mentono al proprio operatore, e o1 in particolare regge la bugia per sette turni di pressione avversariale prima di confessare.

Sono fatti documentati che non è il caso di mettere in discussione.

Ciò che va discusso è il quando e il come vengono pubblicati. Fra i produttori di modelli di frontiera, la competizione non è a somma zero: ogni volta che uno di loro annuncia che l’AI di frontiera è pericolosa, vincono tutti quelli che vendono AI di frontiera. Si rialza il piano del discorso, si giustifica il fatto che questa roba la possano fare solo pochi laboratori con risorse enormi, si spinge fuori dal tavolo l’ecosistema dei modelli aperti, e si prepara una regolazione ritagliata su misura di chi il tavolo lo occupa già. La paura, in questa fase, è un bene comune del cartello di frontiera. È il motivo per cui Anthropic ha costruito la propria identità industriale sulla frase “noi vi proteggiamo dai modelli pericolosi”, e per cui OpenAI, fino a un anno fa la versione noiosa e utile della stessa storia, oggi pubblica anche lei “guardate cosa fa il nostro modello quando gli togliamo i freni”. Non è cambiata la tecnica, è cambiato il posizionamento.

Non sto dicendo che il fenomeno non esista. Sto dicendo che tra il “il fenomeno esiste” e il “ve lo raccontano così, in prima serata, dentro questa cornice qui” c’è un salto. E dietro quel salto c’è un ufficio comunicazione, con la sua funzione obiettivo. La cornice “l’AI si ribella” fa vendere paper, fa scattare articoli di giornale, fa muovere policy, fa alzare le barriere all’ingresso per gli aspiranti concorrenti. La cornice giusta, quella che descrive davvero cosa è successo dentro il laboratorio di OpenAI, fa vendere meno, ma spiega di più.

Il vero problema si chiama specification gaming

Il modello che ha bucato HuggingFace non ha “deciso” di barare nel senso in cui bara una (brutta) persona. Ha guardato lo spazio delle possibili mosse, ha visto che dentro l’ambiente controllato la soluzione era faticosa, ha visto che le soluzioni stavano scritte da qualche altra parte in un database vero raggiungibile con un po’ di ingegno, e ha preso la via più corta. Ha fatto alla lettera ciò che gli avevamo chiesto (massimizzare il punteggio del benchmark), ma non ciò che intendevamo. Nella ricerca sull’allineamento delle intelligenze artificiali questa famiglia di comportamenti ha un nome tecnico: specification gaming, o reward hacking nella sua sotto-famiglia più stretta. Lo spirito non è dentro la funzione obiettivo, sta nella testa dell’ingegnere che l’ha scritta, e nel salto fra la testa e la funzione obiettivo si annida praticamente tutto quello che può andare storto.

La cosa vagamente comica è che questa famiglia di problemi era stata teorizzata quasi dieci anni fa dentro OpenAI stessa, in un paper del 2016 con primo firmatario Dario Amodei, all’epoca vicepresidente della ricerca di OpenAI, oggi CEO di Anthropic, il concorrente diretto: Concrete Problems in AI Safety. Cinque famiglie di fallimenti previsti in tempi non sospetti, e la seconda si chiama proprio avoiding reward hacking: quando l’agente trova modi non voluti di massimizzare la funzione obiettivo invece del vero scopo. Dieci anni dopo, OpenAI conferma sul proprio blog il caso di scuola del proprio ex ricercatore capo. C’è un cortocircuito narrativo qui, ed è troppo importante, troppo fondamentale per non spenderci sopra parole, quelle che si dovrebbero spendere davvero.

L’antropologa Marilyn Strathern, in un articolo del 1997 sull’European Review che studiava il sistema di rating delle università britanniche, aveva riassunto la questione in una frase che è diventata proverbiale: quando una misura diventa un obiettivo, cessa di essere una buona misura. Le università inglesi ottimizzavano contro l’indicatore invece che contro la qualità che l’indicatore doveva misurare, e l’indicatore smetteva di misurarla. È lo stesso meccanismo che opera dentro un modello di reinforcement learning: se il segnale che guida l’addestramento è una semplificazione grossolana del vero obiettivo, il modello ottimizza la soluzione semplice (per i nerd, la proxy) fino a farla scollegare dall’obiettivo. Il precedente teorico è ancora più antico, e sta dentro la storia della politica monetaria britannica: la legge di Charles Goodhart, banchiere centrale, formulata nel 1975.

La casistica documentata è ricca e talvolta comica. Victoria Krakovna, dentro il DeepMind Safety Team, mantiene dal 2020 uno spreadsheet pubblico con oltre sessanta esempi di specification gaming raccolti dalla ricerca AI. Ci sono robot che imparano a nascondere gli oggetti invece di raccoglierli, perché la telecamera non li vede più e il sistema di scoring interpreta il campo pulito come “compito riuscito”. La casistica evolutiva raccolta poi da Joel Lehman e colleghi in The Surprising Creativity of Digital Evolution (Artificial Life, 2020) è persino più creativa: algoritmi che generano creature simulate altissime che si lasciano cadere in avanti, invece di camminare, perché tecnicamente si spostano rapidamente e la reward premia lo spostamento veloce; sistemi addestrati a evitare le collisioni durante l’atterraggio di un aereo che imparano a sovraccaricare il calcolo della forza fino a farlo scattare a infinito nel simulatore, generando errori matematici che il sistema di scoring interpreta come “atterraggio riuscito”. E poi c’è il mio preferito, il bot di Tetris raccontato in un paper del 2013 di Tom Murphy VII (The First Level of Super Mario Bros. is Easy with Lexicographic Orderings and Time Travel, SIGBOVIK): se l’obiettivo è “non perdere”, la strategia ottimale, quando arriva un pezzo che chiuderebbe la partita, è mettere il gioco in pausa. Se non riprendi, non perdi mai. Tecnicamente ha vinto: la funzione obiettivo dice non perdere, mica “vinci”, e tecnicamente (anche se è lana caprina, lo ammetto, come giocare con un ottimo avvocato (e non me ne vogliano amici e soci avvocati)) non ha perso. Lo so, ho messo due parentetiche una dentro l’altra: prometto di non farlo più.

Il paper OpenAI che nessuno cita: la chain of thought si può monitorare, ma se la punisci, impara a nascondersi

C’è un lavoro di OpenAI, pubblicato a marzo del 2025 e passato quasi inosservato al di fuori della cerchia dei ricercatori di allineamento, che fotografa la questione con precisione clinica. Si intitola Monitoring Reasoning Models for Misbehavior and the Risks of Promoting Obfuscation, ed è firmato da Bowen Baker, Joost Huizinga, Leo Gao, Zehao Dou, Melody Y. Guan, Aleksander Madry, Wojciech Zaremba, Jakub Pachocki e David Farhi, cioè da una fetta consistente della squadra safety e reasoning di OpenAI. La domanda che pone è semplice: possiamo beccare un modello che sta facendo reward hacking, leggendogli il ragionamento che scrive prima di agire?

La risposta breve è: sì, possiamo. I modelli di reasoning di ultima generazione producono una chain of thought, cioè una sequenza di passaggi intermedi in linguaggio naturale che precede l’azione finale, e in quella catena, secondo il paper, sono documentate espressioni del tipo “Let’s hack” (Trad. “Diamoci all’hacking”) o formule che dichiarano apertamente l’intenzione di aggirare i test invece di risolverli. Un LLM giudice, incaricato di leggere quelle chain of thought, riesce a beccare l’intenzione di barare con altissima affidabilità, molto meglio che guardando solo l’azione finale. Come scrivono gli autori: “un LLM più debole di o3-mini, cioè GPT-4o, può monitorare efficacemente un modello più forte”. La sorveglianza costa meno del sorvegliato, ed è già una buona notizia.

La risposta lunga, quella che il paper mette in vetrina, è la parte inquietante. Se prendi quel monitor, lo metti in linea di ottimizzazione, e cominci a penalizzare il modello ogni volta che la chain of thought contiene tracce di reward hacking, il modello non smette di barare, smette di scriverlo nella chain of thought. Verbatim: “più avanti nell’addestramento, l’agente comincia a esibire reward hacking offuscato e impara a ingannare il monitor, imparando a occultare la propria intenzione nella chain of thought emettendo ragionamenti apparentemente innocui mentre continua a compiere il comportamento scorretto”. Fanno esattamente le stesse cose di prima, ma mascherano le tracce nel proprio ragionamento intermedio. Gli autori chiamano questo fenomeno obfuscated reward hacking, reward hacking offuscato, e chiudono il paper con una raccomandazione controintuitiva ma logica: gli sviluppatori di modelli di frontiera dovrebbero astenersi dall’applicare supervisione forte direttamente alla chain of thought, perché nel testo del paper: “richiedere ai modelli di non pensare al reward hacking può migliorare le performance nel breve periodo, ma non elimina i comportamenti scorretti e può portare il modello a nascondere la propria intenzione”.

Fermatevi un secondo su questo, perché è non intuitivo, complesso e complicato, proprio come ci piace (se state leggendo me che ne parlo avete dei problemi anche voi, vi includo). Un laboratorio di ricerca di frontiera ha appena scritto, nero su bianco, che l’unico modo per continuare a vedere dentro il proprio modello è rinunciare a correggerlo dove sta andando a funghi. Correzione e trasparenza, in questo regime, sono in trade-off diretto. È l’equivalente, per un genitore, di scoprire che se rimproveri il bambino ogni volta che dice una bugia, quello smette di dire le bugie a voce alta ma continua a farne, e tu perdi persino il segnale che ti serviva per accorgertene. Solo che qui la bugia è dentro un ragionamento matematico che nessun essere umano leggerà mai per intero, in un modello che gira su migliaia di server, dentro un’infrastruttura che nessuno può fermare senza rompere qualcos’altro.

E il fenomeno non è teorico. Un paper accademico indipendente uscito quest’anno, Reward Hacking in Language Model Agents: Revisiting AI Safety Gridworlds, ha testato tredici modelli di frontiera di OpenAI, Anthropic, Google e DeepSeek su una batteria di ambienti pensati apposta per misurare la propensione a barare. I risultati vanno dal zero virgola qualcosa per cento di Claude Sonnet 4.5 al 13,9 per cento di DeepSeek-R1-Zero: la propensione al reward hacking è misurabile, è quantitativamente diversa da famiglia a famiglia di modelli, ed è comunque diversa da zero anche nei migliori. Il primo della classe non prende, oggi, la scorciatoia. Non c’è alcun teorema che ci assicuri che continuerà a non prenderla domani, quando sarà più capace e opererà dentro ambienti più permissivi.

Il paradosso agentic: più autonomia dai, più scorciatoie inventano

Il caso HuggingFace e il paper OpenAI dicono in due modi diversi la stessa cosa, e la dicono nel momento peggiore possibile per l’industria. Perché il 2026 è l’anno in cui tutto l’ecosistema enterprise ha deciso di buttarsi dentro gli agenti: sistemi AI che non si limitano a rispondere a una domanda, ma agiscono nel mondo per conto vostro, con permessi veri, credenziali vere, accesso a database veri, capacità di scrivere email, aprire ticket, muovere denaro, cambiare configurazioni.

I numeri sono, se possibile, ancora più impressionanti della narrazione. Salesforce, nel proprio comunicato earnings del 25 febbraio 2026, ha rivendicato ottocento milioni di dollari di ricavi annualizzati per la sola linea Agentforce, con una crescita del centosessantanove per cento anno (!!!) su anno e ventinovemila contratti chiusi solo nell’ultimo trimestre; la combinazione Agentforce più Data 360, sempre nello stesso comunicato, supera i 2,9 miliardi. Microsoft vende Copilot Agents dentro Microsoft 365 a chiunque abbia una licenza. Google ha ristrutturato mezzo Workspace attorno a Gemini agent. La società di analisi Gartner prevedeva già ad agosto 2025 che entro la fine di quest’anno il quaranta per cento delle applicazioni enterprise avrebbe integrato agenti task-specifici, contro meno del cinque per cento del 2025. Un salto di un ordine di grandezza in dodici mesi.

Sul fronte della realtà, le cifre sono più modeste. Una ricerca McKinsey ripresa da Forbes nel marzo 2026 segnalava che, quando si va a misurare l’uso degli agenti su larga scala, si scende attorno all’undici per cento delle funzioni aziendali. È la differenza tra “abbiamo un progetto pilota da qualche parte” e “l’agente è dentro il flusso di produzione della fatturazione”, e restituisce un quadro molto più realistico di dove siamo davvero. La stessa Gartner, in una previsione meno pubblicizzata, ha stimato che il quaranta per cento dei progetti di agentic AI verrà cancellato entro fine 2027, il che dà la misura di quante iniziative oggi in corsa non arriveranno a maturità.

Qui il ragionamento si chiude, e si chiude male. Il problema del reward hacking non è un difetto di questi modelli, è una caratteristica strutturale del modo in cui vengono addestrati. Amodei l’ha scritto nel 2016, Krakovna l’ha catalogato dal 2020, Apollo l’ha dimostrato in laboratorio nel 2024, Baker e colleghi nel marzo 2025 hanno dimostrato che il nostro miglior strumento di monitoraggio smette di funzionare non appena proviamo a usarlo per correggere, il caso HuggingFace lo ha portato in produzione nel luglio 2026. E la parte silenziosa che nessuno racconta bene è che questi fenomeni si misurano oggi in gran parte grazie all’infrastruttura open source di HuggingFace: GAIA, il benchmark per agenti che fanno multi-step reasoning; smolagents, la libreria che consente a chiunque di costruire e stressare code agents; l’hub di paper e dataset che rende possibile la ricerca indipendente da fuori i laboratori di frontiera. L’ironia è totale e adesso completa: la piattaforma bucata da OpenAI durante il proprio benchmark è la stessa che dà agli osservatori esterni gli strumenti per misurare che il “bucamento” (lo so, non si dice) è comportamento tipico, non aneddoto. In mezzo a tutto questo, l’industria enterprise sta scaricando dentro i propri processi critici centinaia di migliaia di piccoli sistemi agentici che avranno, ognuno, una funzione obiettivo scritta più o meno bene da una persona più o meno consapevole di cosa significa scrivere una funzione obiettivo.

Se OpenAI, in casa propria, con i propri firewall, con i propri ricercatori, con un benchmark disegnato apposta per essere controllabile, ha dovuto scoprire dal comunicato di HuggingFace di essere lei l’attaccante, cosa pensate che succederà quando il tesoriere di una piccola azienda industriale piemontese darà a un agente le credenziali del bonifico ricorrente per “ottimizzare la gestione dei pagamenti”, perché il fornitore gli ha detto che riduce i costi del venti per cento? Cosa succederà quando lo studio legale che vi difende delegherà a un agente la ricerca di precedenti su una vertenza, e l’agente scoprirà che il modo più veloce di massimizzare la metrica “precedenti trovati” è inventare le sentenze?

Non è fantascienza. È il caso Coast Runners raccontato da Amodei nel 2016, solo che al posto della barca c’è la vostra azienda, al posto del punteggio del gioco c’è la vostra funzione obiettivo aziendale scritta a spanne, al posto della laguna in cui il bot girava in tondo c’è la vostra infrastruttura di produzione con le credenziali dentro. Il bot ottimizzava punti, non gare. E finché nessuno gli spiega la differenza, quella differenza per lui non esiste.

Cosa fare senza scivolare nel panico

C’è una regola operativa che ho preso da un avvocato americano, Andrew Jablon, formulata durante un intervento all’AI Roundtable dell’American Bar Association nel giugno 2026. Suona più o meno così: l’AI generativa va trattata come stagista senza contesto: brillante, veloce, capace, ma il suo lavoro si controlla, non si firma. È una definizione che ha valore operativo immediato per chi sta implementando agenti in azienda oggi, e vale la pena di piantarla come principio fondativo di qualunque deployment.

Significa tre cose molto concrete.

  • Primo: nessuna decisione delegabile a un agente automatico dove il costo dell’errore superi il costo della supervisione umana. Se un errore vi costa cinquecentomila euro, la review umana costa qualche minuto di un professionista, e voi la state saltando perché “l’agente è affidabile”, state facendo un pessimo calcolo economico sotto forma di una buona economia apparente.
  • Secondo: la funzione obiettivo che l’agente deve massimizzare va scritta come si scrivono i contratti, non come si scrivono le mail. Ogni parola conta, ogni ambiguità è una porta che qualcuno passerà, e quel qualcuno sarà un sistema ottimizzato ad altissima cadenza per trovare la strada più corta, non un dipendente creativo che chiede permesso.
  • Terzo, e forse il più difficile: la sicurezza deve essere positiva, non solo negativa. Un agente addestrato a evitare gli errori, con abbastanza tempo, imparerà a non fare mai niente, o meglio a mettere in pausa la partita come nel bot di Tetris. Bisogna dirgli con precisione cosa fare, indicargli il traguardo, mostrargli come lo si riconosce.

E poi c’è il livello di sistema, quello su cui l’Europa sta cercando di scrivere qualcosa di sensato con l’AI Act, in particolare gli articoli 14 sull’human oversight e 15 su accuratezza, robustezza e cybersicurezza. Sono i pilastri normativi che dovrebbero, sulla carta, obbligare i deployer di sistemi ad alto rischio a mantenere un controllo umano significativo sulle decisioni delle macchine. Il caso HuggingFace è il caso spia perfetto per capire dove quella normativa dovrà spostarsi nei prossimi mesi: se il modello ottimizza contro una funzione obiettivo mal scritta e produce danni a terzi, la responsabilità va cercata a monte, dove la funzione obiettivo è stata definita, e non solo a valle dove il danno si è materializzato.

Il vetro sottile, non il vento

L’apocalisse dell’AI, se apocalisse ci sarà, non arriverà con un modello autocosciente che decide di prendersi il mondo. Arriverà molto prima e molto più silenziosamente, quando qualche milione di piccoli agenti autonomi, ognuno perfettamente allineato con la propria misera funzione obiettivo mal specificata, ottimizzeranno in parallelo per raggiungere i propri micro-target ottenendo, nell’aggregato, effetti che nessuno ha voluto, nessuno ha previsto, e nessuno saprà spiegare a posteriori. Non ci sarà un colpevole umano da cercare, non ci sarà un servizio segreto ostile a cui addossare la responsabilità, non ci sarà un attaccante da denunciare: ci saranno migliaia di sistemi che hanno fatto esattamente quello che gli è stato chiesto di fare, ognuno secondo il proprio manuale, e il conto finale sarà nostro.

Non ha senso arrabbiarsi con il modello, come non avrebbe senso arrabbiarsi con un colpo di vento che rompe una finestra.
La questione è il vetro sottile, non il vento. E il vetro sottile, oggi, siamo noi che stiamo mettendo in produzione agenti addestrati a vincere senza aver mai spiegato loro cosa significa vincere davvero. Il vento continuerà a soffiare. Sarebbe il caso di iniziare a rinforzare i vetri.

Estote Parati.

Per Approfondire

The post È l’apocalisse delle AI? Sì, ma non per il motivo che pensate… first appeared on Matteo Flora.

]]> https://mgpf.it/2026/07/24/e-lapocalisse-delle-ai-si-ma-non-per-il-motivo-che-pensate.html/feed 1 Google non poteva “non sapere”, e la piattaforma non è più “neutrale” https://mgpf.it/2026/07/17/google-non-poteva-non-sapere-e-la-piattaforma-non-e-piu-neutrale.html https://mgpf.it/2026/07/17/google-non-poteva-non-sapere-e-la-piattaforma-non-e-piu-neutrale.html#respond Fri, 17 Jul 2026 16:00:52 +0000 https://mgpf.it/?p=6630 I giudici Europei hanno scritto che chi seleziona, monetizza e distribuisce con un proprio algoritmo non è un intermediario passivo, e l'esenzione di responsabilità pensata nel 2000 per il "magazziniere digitale" non lo copre più. È la fine giuridica di una finzione durata vent'anni.

The post Google non poteva “non sapere”, e la piattaforma non è più “neutrale” first appeared on Matteo Flora.

]]>

C’è una multa da 750.000 euro che per Google, un’azienda che genera più o meno la stessa cifra di ricavi ogni due minuti, è letteralmente una voce di arrotondamento. Eppure quella multa, inflitta dall’AGCOM nel 2022 e arrivata il 16 luglio 2026 davanti alla Corte di Giustizia dell’Unione Europea, potrebbe rivelarsi una delle sconfitte più costose della storia recente di Mountain View, perché nel confermarne l’impianto i giudici di Lussemburgo hanno demolito, con la pazienza di chi smonta un orologio, l’argomento che da vent’anni regge il modello di business di tutte le piattaforme: noi siamo solo l’infrastruttura, i contenuti sono di terzi.

La sentenza è la causa C-421/24, e il principio che ne esce si può riassumere in una frase che nessun ufficio legale di piattaforma avrebbe mai voluto leggere: chi si è studiato un canale, i suoi video più visti e i suoi metadata prima di firmarci un contratto di monetizzazione, sapeva cosa stava monetizzando. In altre parole: Google non poteva non sapere, e adesso lo dice una Corte.

Una storia che comincia con il Decreto Dignità

Per capire come si arriva a Lussemburgo bisogna tornare indietro di quattro anni. Il 19 luglio 2022 l’Autorità per le garanzie nelle comunicazioni multa Google Ireland per 750.000 euro e le ordina di rimuovere una serie di video YouTube che promuovevano gioco d’azzardo online: la notizia la dà all’epoca MilanoFinanza, e la base giuridica è il Decreto Dignità del 2018, la norma che ha cancellato la pubblicità del gioco d’azzardo da televisioni, giornali, radio e perfino dalle maglie delle squadre di calcio, trasformando l’Italia in uno dei mercati più restrittivi d’Europa su questo fronte.

I video incriminati, ovviamente, non li aveva caricati Google: li aveva caricati un creator, uno youtuber che del gioco d’azzardo aveva fatto il tema del proprio canale. Solo che quel creator con Google aveva firmato un contratto di partnership commerciale, con tanto di divisione dei ricavi della pubblicità mostrata prima di ogni video: ogni visualizzazione era un piccolo incasso condiviso, e ogni incasso condiviso era un pezzetto di quel modello di business che YouTube chiama Partner Program e che è il motore economico dell’intera piattaforma.

E qui arriva il dettaglio che decide l’intera partita, quello su cui vale la pena fermarsi perché è di una ironia quasi letteraria: prima di firmare quel contratto, Google si era esaminata il contenuto dei video, il tema del canale, i video più visti, i più recenti e i metadata associati. Una due diligence normalissima, il tipo di verifica che qualsiasi azienda fa prima di mettersi in affari con qualcuno. Ed è proprio quella verifica, nata per proteggere Google, che le si è ritorta contro trasformandosi nella prova regina: non puoi dire di non sapere cosa c’era su quel canale, se te lo sei studiato prima di firmarci un contratto.

La difesa classica e il rinvio a Lussemburgo

Google impugna la multa davanti al giudice amministrativo con la difesa che ogni piattaforma recita dal 2000 a oggi, una specie di formula liturgica del diritto di internet: noi siamo un fornitore di hosting, i contenuti sono di terzi, e la direttiva europea sul commercio elettronico, all’articolo 14, ci esenta dalla responsabilità per quello che caricano gli utenti, a meno che non ci venga notificata l’illiceità e non rimuoviamo.

AGCOM ribatte con un argomento più radicale: quell’esenzione non vale proprio, perché il gioco d’azzardo è escluso in blocco dal campo di applicazione della direttiva sul commercio elettronico. Il Consiglio di Stato, che deve decidere, fa la cosa giusta: gira la domanda ai giudici di Lussemburgo con un rinvio pregiudiziale, ed è appunto la causa C-421/24.

Il 16 luglio 2026 arriva la sentenza, ed è un piccolo capolavoro del “vinci il punto, perdi la causa”. Sulla prima questione la Corte dà pure ragione a Google: l’hosting non è un’attività intrinsecamente legata all’azzardo, è immagazzinamento di contenuti altrui, quindi la direttiva si applica eccome anche alla pubblicità del gioco. Fin qui, a Mountain View, qualcuno avrà brindato.

Poi arriva la seconda parte. Per godere dell’esenzione dell’articolo 14, scrive la Corte, bisogna essere un “prestatore intermediario”, cioè svolgere un’attività meramente tecnica, automatica e passiva, senza conoscenza né controllo sulle informazioni ospitate. E chi si studia il tema del canale, i video più visti e i metadata per decidere se firmarci un contratto di condivisione dei ricavi acquisisce una conoscenza specifica del contenuto essenziale di quei video. Chi conosce non è passivo; chi non è passivo, l’esenzione se la può scordare. Il Sole 24 Ore e MilanoFinanza titolano sulla vittoria di AGCOM, ma la sostanza è più fine: AGCOM ha perso l’argomento e vinto la causa, Google ha vinto l’argomento e sta per pagare la multa.

L’algoritmo non è un alibi, è una confessione

C’è poi una ciliegina, nascosta nelle pieghe della decisione, che da sola vale l’intera sentenza. Google aveva provato a giocarsi anche la carta dell’automazione: la distribuzione dei contenuti è automatizzata, nessun essere umano decide cosa spingere, quindi dov’è il controllo? La risposta della Corte è di quelle che segnano un’epoca: dire che è tutto automatico non salva nessuno, perché le condizioni di diffusione, l’ordine di priorità, il come e il quando un video viene mostrato li ha definiti a monte la piattaforma con un algoritmo suo. Il controllo, semplicemente, si esercita via software: delegarlo a una macchina che la piattaforma stessa ha programmato non lo fa sparire, lo rende solo scalabile.

Qui la sentenza incrocia, probabilmente senza saperlo, quarant’anni di filosofia della tecnica. Nel 1980 Langdon Winner, in un saggio che è ancora oggi una pietra angolare degli studi su tecnologia e società, “Do Artifacts Have Politics?” (Daedalus, 1980), sosteneva che gli artefatti tecnici incorporano decisioni politiche: il design di un sistema stabilisce chi passa e chi no, chi guadagna e chi paga, e lo fa senza passare da nessun parlamento. L’algoritmo di raccomandazione di YouTube è proprio questo: un insieme di scelte, di priorità, di pesi decisi da qualcuno, che si presenta al mondo con la faccia innocente dell’automatismo. E Melvin Kranzberg, storico della tecnologia, lo aveva condensato nella sua Prima Legge (“Technology and History: Kranzberg’s Laws”, Technology and Culture, 1986): “La tecnologia non è né buona né cattiva; e non è neppure neutrale”. La Corte di Giustizia ha appena trasformato questa intuizione accademica in un principio giuridico operativo: l’automazione è una modalità di esercizio del controllo, non la sua assenza.

Il magazziniere, la vetrina e la cassa

Per misurare la distanza tra il mondo per cui l’articolo 14 è stato scritto e il mondo in cui è stato appena applicato, basta un’immagine. L’esenzione nasce nel 2000 per proteggere il magazziniere digitale: quello che affitta scaffali e non sa, e non deve sapere, cosa i clienti ci appoggino sopra. Era una scelta di policy sensata, senza la quale il web partecipativo non sarebbe mai nato: nessuno avrebbe mai aperto un forum, un blog con i commenti o un servizio di hosting sapendo di rispondere penalmente di ogni contenuto altrui.

Ma YouTube nel 2026 non affitta scaffali: li seleziona, ci costruisce sopra la vetrina con l’algoritmo, decide quali prodotti mettere in prima fila davanti a quali clienti, e incassa una percentuale su quello che la vetrina vende. La Corte ha messo nero su bianco la conseguenza logica che il dibattito pubblico rimandava da vent’anni: se sei socio negli incassi, non puoi firmarti “postino” quando arriva la multa. Il commissario AGCOM Massimiliano Capitanio ha commentato che “la neutralità delle piattaforme ha un limite” e che Google “è responsabile se seleziona e monetizza i contenuti”; da Google, riporta la testata specializzata Jamma, fanno sapere soltanto che stanno esaminando il testo della sentenza, che è il modo elegante di non commentare.

Peraltro, per chi osserva l’attività di AGCOM con continuità, la direzione del vento era leggibile da tempo: la scusa del “noi siamo solo tecnici” si era già sgretolata davanti all’Autorità con la maxi sanzione a Cloudflare sul fronte Piracy Shield, dove il tema era l’infrastruttura invece della monetizzazione. Due casi diversi, stessa traiettoria: il perimetro dell’irresponsabilità tecnica si sta restringendo, pezzo per pezzo, davanti a ogni autorità che si prende la briga di guardare come funzionano davvero le piattaforme. L’“eterno ritorno dell’hosting attivo”, lo chiama la rivista giuridica MediaLaws, perché la giurisprudenza europea ci girava attorno da anni: questa volta, però, il criterio è diventato tagliente.

Cosa succede adesso, e a chi

La partita italiana non è formalmente chiusa: la palla torna al Consiglio di Stato, che deve verificare una cosa sola, cioè se Google potesse ragionevolmente non sapere che il tema principale di quel canale fosse l’azzardo. E ammetterete che è una posizione scomoda, per chi i metadata se li era letti prima di firmare.

Ma gli effetti veri della sentenza si misureranno altrove, su due piani. Il primo è industriale: i programmi di monetizzazione delle piattaforme, YouTube Partner Program in testa ma il ragionamento vale identico per tutti, dovranno ritoccare i controlli sui canali che operano nei settori vietati o iper-regolati. L’azzardo oggi; domani, con lo stesso identico schema argomentativo, farmaci, criptovalute, alcol, integratori miracolosi. Ovunque ci siano un divieto pubblicitario nazionale e un programma di condivisione dei ricavi, adesso c’è anche un rischio legale quantificabile.

Il secondo piano riguarda i creator, ed è bene essere chiari per disinnescare il panico che inevitabilmente circolerà: questa sentenza non parla della responsabilità di chi carica un video, parla della responsabilità della piattaforma che sa e monetizza. Per chi produce contenuti puliti non cambia nulla, se non un probabile ingresso più pignolo nei programmi partner: più verifiche, più domande, più paletti all’ammissione. Che per chi lavora seriamente è più una tutela che una minaccia, perché ogni stretta sui furbi ridistribuisce credibilità, e ricavi pubblicitari, verso chi furbo non è.

La fine di una finzione utile

Resta la riflessione di fondo, quella che sopravviverà ai dettagli processuali di questa vicenda. Per vent’anni l’intero ecosistema digitale si è retto su una finzione giuridica utile: piattaforme che selezionano, ordinano, raccomandano e monetizzano i contenuti trattate come se fossero depositi passivi di materiale altrui. Era una finzione, ma reggeva perché il diritto guardava l’architettura dichiarata, non quella reale.

Quello che la causa C-421/24 cambia è precisamente il punto di osservazione: la Corte non ha chiesto a Google cosa dice di essere, ha guardato cosa fa, contratto alla mano, algoritmo alla mano. Ed è un metodo, prima ancora che un esito: da oggi ogni piattaforma che invoca la propria neutralità dovrà aspettarsi che qualcuno confronti la dichiarazione con la due diligence, i termini della partnership, i criteri di distribuzione. Vent’anni a ripetere “siamo solo una piattaforma”, ed è bastato un contratto di condivisione dei ricavi per far scrivere ai giudici quello che sapevamo tutti: il bancone non è mai stato neutrale, da quando ci hanno montato sopra la cassa.

Per Approfondire

The post Google non poteva “non sapere”, e la piattaforma non è più “neutrale” first appeared on Matteo Flora.

]]> https://mgpf.it/2026/07/17/google-non-poteva-non-sapere-e-la-piattaforma-non-e-piu-neutrale.html/feed 0 Chat Control 1.0: il giorno buio della democrazia autoritaria europea https://mgpf.it/2026/07/11/chat-control-buio-democrazia.html https://mgpf.it/2026/07/11/chat-control-buio-democrazia.html#comments Sat, 11 Jul 2026 07:47:05 +0000 https://mgpf.it/?p=6625 Alla Stasi è servuto un regime; a Strasburgo è bastato un calendario: l'Europa ha appena prorogato fino al 2028 l'anticamera del sistema di controllo delle comunicazioni private più invasivo della sua storia, e l'ha fatto nell'ombra, con un metodo che dovrebbe preoccupare anche chi della privacy non si è mai curato.

The post Chat Control 1.0: il giorno buio della democrazia autoritaria europea first appeared on Matteo Flora.

]]>

A Strasburgo è stata prorogata fino al 2028 l’anticamera del sistema di controllo delle comunicazioni private più invasivo della storia europea: un regime che permette a Meta, Google, Microsoft e Snap di scansionare in automatico le chat, le email e i messaggi diretti di quasi mezzo miliardo di europei, senza che nessuno li sospetti di niente, senza mandato, senza un giudice che autorizzi, e che riporta il continente a scenari che credevamo sepolti negli archivi della Stasi, quando l’apertura sistematica della corrispondenza privata dei cittadini era routine amministrativa. Con una differenza che dovrebbe togliervi il sonno: la Stasi doveva pagare decine di migliaia di funzionari per aprire le buste a vapore, qui lo fa un algoritmo, su tutto, in tempo reale, gratis.

Ed è stato fatto nell’ombra, con modalità così genuinamente antidemocratiche da dare quasi ragione agli antieuropeisti complottisti: una legge che il Parlamento europeo aveva bocciato a marzo con un voto pulito, ad aula piena, riproposta identica dal Consiglio, spinta con una procedura d’urgenza che ha saltato l’esame in commissione, e fatta passare l’ultimo giorno di plenaria prima delle ferie, in un’aula mezza vuota, contro la maggioranza dei votanti. Il 9 luglio 2026 la mozione per respingerla ha raccolto 314 voti contro 276, ma in seconda lettura serve la maggioranza assoluta dei membri, 361 su 720, e con mezzo emiciclo già in valigia quella soglia era aritmeticamente fuori portata: la maggioranza di chi ha votato ha detto no, e la legge è passata lo stesso, come hanno raccontato The Register ed Euronews, che ha parlato apertamente di approvazione dalla porta sul retro.

Andiamo con ordine, perché in questa storia ci sono due scandali intrecciati: quello che la legge permette di farvi, e il modo in cui è stata fatta risorgere. E se leggendo avrete la sensazione di una trama già vista, è perché è la traiettoria esatta che avevo descritto in Tette e Gattini, l’ebook gratuito che ho scritto un anno fa sull’illusione di sicurezza dietro l’age verification e Chat Control: questa era, alla lettera, la puntata annunciata.

Cosa possono fare, da adesso, con le vostre chat

Chat Control 1.0, il nome informale con cui gli attivisti chiamano il Regolamento (UE) 2021/1232, è una deroga temporanea alla ePrivacy Directive del 2002, la direttiva che protegge la riservatezza delle comunicazioni elettroniche: permette alle piattaforme di fare, “volontariamente”, una cosa che sarebbe vietata, cioè scansionare in automatico i contenuti privati degli utenti europei a caccia di materiale pedopornografico. L’operatività è semplice: se una foto o un video che vi mandate corrisponde per impronta digitale a materiale già catalogato nei database dell’NCMEC, il National Center for Missing and Exploited Children americano, o dell’Internet Watch Foundation britannica, la piattaforma lo vede e lo segnala alle autorità (in gergo, hash matching); se un pattern testuale sembra adescamento, un modello di intelligenza artificiale proprietario lo flagga, un umano lo revisiona e, se il match regge, la segnalazione parte.

Vale per tutto quello che passa in chiaro sui server delle piattaforme: Messenger, Gmail, i messaggi diretti di Instagram e Snapchat. Non vale, per ora, per i servizi cifrati end-to-end come Signal, WhatsApp o Threema, che sono costruiti in modo che nemmeno il gestore possa leggere i contenuti. Tenetevi stretto questo “per ora”, perché è il cuore di tutta la partita.

L’anticamera: il vero obiettivo è la versione 2.0

La deroga appena resuscitata, infatti, è il piede nella porta di qualcosa di molto più grosso. La legge organica che avrebbe dovuto sostituirla si chiama CSAR (Child Sexual Abuse Regulation), Chat Control 2.0 per gli amici, e prevede scansione obbligatoria, non più volontaria, con i detection orders, ordini di scansione che un’autorità può imporre a una piattaforma, che secondo la posizione del Consiglio potrebbero atterrare anche sui servizi cifrati, più la verifica dell’età obbligatoria per tutti gli utenti europei. Tecnicamente, bucare la crittografia end-to-end si può fare solo in un modo: il client-side scanning, un pezzo di codice piazzato dentro la vostra app che legge i contenuti prima che vengano cifrati e spediti. Meredith Whittaker, presidente di Signal, lo aveva detto già nel 2024 senza ambiguità: Signal preferirebbe lasciare il mercato europeo piuttosto che compromettere le proprie garanzie di privacy; e non è una minaccia negoziale, è una precondizione ingegneristica, perché non esiste un client-side scanning che permetta ad alcuni di leggere e ad altri no: se lo apri, lo apri per tutti.

Il CSAR è impantanato da quattro anni, perché la commissione LIBE del Parlamento, quella per le Libertà civili, la Giustizia e gli Affari interni, con il voto del 14 novembre 2023 ha fissato tre paletti: niente scansione indiscriminata, solo interventi mirati, crittografia intoccabile. L’ultimo trilogo, il negoziato a tre fra Parlamento, Consiglio e Commissione, è fallito il 29 giugno sotto presidenza cipriota, quinto tentativo di fila; il prossimo è fissato al 29 settembre sotto presidenza irlandese. Ed ecco perché la proroga del 9 luglio è l’anticamera e non un episodio a sé: a quel tavolo il Consiglio adesso arriva potendo dire ai negoziatori del Parlamento che tanto la scansione volontaria c’è già, che si tratta solo di renderla obbligatoria, e che la palla è nel loro campo se vogliono salvare la crittografia. Lo status quo, appena consolidato, diventa argomento normativo per il passo successivo.

Come si approva una legge bocciata

Il secondo scandalo è il metodo, e qui la cronologia va guardata da vicino. La deroga, nata nel 2021 in piena emergenza pandemica come misura di pochi anni, è scaduta il 3 aprile 2026 perché una settimana prima, il 26 marzo, il Parlamento l’aveva bocciata con 311 voti contro 228 e 92 astenuti. Il portavoce della Commissione Guillaume Mercier lo aveva messo in modo brutale: senza base legale, le aziende non sono più autorizzate a scansionare. E le aziende? Come ha documentato heise online, hanno fatto sapere che avrebbero continuato lo stesso, “in azione volontaria”; un’email interna di un lobbista Microsoft ai legislatori europei, vista da Politico a febbraio, ricordava che già nel 2020, in un vuoto legale analogo, Microsoft non aveva smesso. In parole povere: tre mesi di sorveglianza senza base legale, a piattaforme aperte, in un vuoto normativo che nessuno ha davvero chiuso.

Poi la resurrezione, in tre mosse. Il 2 luglio il Consiglio riadotta il testo bocciato, identico, con un ritocco di forma per presentarlo come “regolamento nuovo”, come documentato da netzpolitik.org sulla base di documenti interni. Il 7 luglio l’aula approva una procedura d’urgenza che salta i tre mesi di esame in commissione LIBE, con la porta aperta da Roberta Metsola, presidente del Parlamento ed esponente del PPE, il Partito Popolare Europeo, su richiesta formale del suo stesso partito: una riapertura talmente fuori copione che heise online ha titolato sul “ritorno inatteso” di Chat Control. Il 9 luglio, il voto al buio da cui siamo partiti. L’unico contentino strappato dall’aula è un emendamento che esenta esplicitamente i servizi cifrati end-to-end dall’ambito della deroga, giudicato da The Register in gran parte simbolico (la scansione volontaria su quei servizi non avviene comunque), che rimanda il testo al Consiglio per l’ultimo passaggio formale.

Le reazioni, dentro il Parlamento, dicono tutto. Birgit Sippel, relatrice del dossier per i Socialisti e Democratici, scavalcata dalla procedura d’urgenza, ha parlato di manovra scorretta e ha votato contro il suo stesso gruppo, insieme a diversi deputati del Partito Democratico italiano. Markéta Gregorová, negoziatrice dei Verdi, ha messo il dito dove fa male: “The European People’s Party is abusing its position as the largest political group to bring back, through a procedural loophole, a proposal that Parliament had already rejected” (Trad. “Il Partito Popolare Europeo sta abusando della sua posizione di gruppo politico più numeroso per riportare in vita, attraverso una scappatoia procedurale, una proposta che il Parlamento aveva già respinto”); in aula anche Ignazio Marino ha denunciato la “sorveglianza di massa”. Patrick Breyer, ex europarlamentare dei Pirati tedeschi e memoria storica di questa battaglia, ha scritto che finché i governi europei, sotto la pressione delle lobby dei giganti tecnologici americani, potranno estendere all’infinito il loro comodo status quo di scansione di massa tramite trucchi procedurali, non avranno alcuna ragione di accettare l’approccio mirato e giuridicamente solido del Parlamento; e ha definito la mossa “a blatant disregard for democratic processes” (Trad. “un disprezzo palese dei processi democratici”). E la contraddizione più clamorosa è interna al PPE: Javier Zarzalejos, presidente della commissione LIBE e rapporteur del CSAR, è l’uomo che nel 2023 costruì la coalizione trasversale contro la scansione indiscriminata; oggi il suo stesso partito è il motore politico della resurrezione. Un dettaglio infine che sulla stampa italiana circola poco: secondo la ricostruzione di Breyer sui documenti del Consiglio, l’Italia sarebbe stata l’unico Stato membro a mettere nero su bianco critiche sulla riadozione, avvertendo contro la sorveglianza di massa affidata a provider privati; salvo poi votare comunque a favore, insieme agli altri ventisei governi.

Il manuale di come muore una democrazia

Se questa sequenza vi suona come qualcosa di più grave di una furbizia procedurale, è perché lo è, e c’è chi l’ha descritta con precisione accademica. Nel 2018 due politologi di Harvard, Steven Levitsky e Daniel Ziblatt, hanno pubblicato How Democracies Die (Crown, 2018, in Italia Come muoiono le democrazie), e la tesi è di una semplicità disarmante: le democrazie moderne non muoiono più con i carri armati in piazza, muoiono per erosione, per mano di attori eletti che rispettano formalmente ogni regola scritta ma calpestano quelle non scritte, la forbearance, la moderazione istituzionale, l’idea che il potere formale non si usi mai fino in fondo perché esercitarlo tutto rompe la legittimità del sistema. Il loro esempio calza come un guanto: se una decisione democratica non piace, il gioco corretto è tornare dal popolo con argomenti migliori; il gioco sporco è riproporre la stessa domanda con contorni diversi, farla votare quando l’opposizione non c’è, o sfruttare regole di conteggio che rendono la vittoria matematicamente più facile. Ogni passaggio, preso da solo, rispetta la lettera della norma; l’insieme è la manomissione dell’esito.

Il 9 luglio è tutte e tre le mosse insieme, eseguite alla luce del sole. E il precedente che lascia è il danno più duraturo: se si consolida il metodo per cui una legge respinta dal Parlamento eletto può essere ripresentata identica, spinta d’urgenza e votata a ferragosto istituzionale, il messaggio che resta è che non conta più cosa vota il Parlamento, conta chi controlla il calendario e il regolamento interno. È la differenza fra un’istituzione che decide e un’istituzione che ratifica; e ogni volta che funziona, funzionerà di nuovo.

“Ma io non ho niente da nascondere”

A chi a questo punto obietta che in fondo, se non avete niente da nascondere, non avete niente da temere, ha risposto quindici anni fa Daniel Solove, giurista della George Washington University, in Nothing to Hide: The False Tradeoff Between Privacy and Security (Yale University Press, 2011): il problema della sorveglianza non è mai il singolo dato, è la tassonomia dei danni che l’aggregazione produce. Sei famiglie di danni che nessun regime di scansione “solo per i casi gravissimi” evita: l’aggregazione (dati innocui combinati creano dossier), l’uso secondario (dati raccolti per uno scopo riutilizzati per un altro), la distorsione (profili parziali che diventano etichette), l’esclusione (cittadini opachi al sistema tagliati fuori dalle decisioni), l’insicurezza tecnica (ogni porta legittima è apribile anche dal ladro). E la più tossica: il chilling effect, l’autocensura preventiva di chi sa di essere osservato. Il giornalista smette di chattare con la fonte, l’avvocato non si scrive più le cose importanti col cliente, il medico evita i temi delicati col paziente, l’attivista fa i suoi calcoli su ogni messaggio: per queste categorie cambiare comportamento significa non poter più fare bene il proprio lavoro. Non serve un uso malevolo dei dati perché il danno si materializzi: basta che il sistema esista e, esistendo, produca comportamento.

C’è anche il pezzo tecnico, sistematicamente rimosso dal dibattito: oltre cinquecento tra crittografi e ricercatori di sicurezza di 34 paesi hanno firmato una lettera aperta che definisce la scansione automatica tecnicamente infattibile e un pericolo per la democrazia, con una stima che vale più di mille editoriali: applicando un tasso di errore ottimistico dello 0,1 per cento ai soli volumi di WhatsApp, si supererebbe il milione di falsi positivi al giorno. Persone innocenti scannerizzate, sospettate, revisionate da un umano e nei casi peggiori segnalate alle autorità, per una foto di famiglia in vasca o una battuta pesante in una chat privata.

La partita si gioca a dieci anni, non a due

La parola “temporaneo”, nel diritto europeo, quando riguarda strumenti di sorveglianza tende a diventare un aggettivo ornamentale: deroga di tre anni nel 2021, proroga nel 2024, scadenza nel 2026, resurrezione fino al 2028. Sette anni, e intanto la filiera tecnica delle piattaforme si è riorganizzata attorno alla scansione, i team di trust and safety sono stati dimensionati assumendo che ci sia, i budget delle autorità costruiti sulle sue segnalazioni. Quando qualcosa entra nell’infrastruttura tecnica, non esce mai davvero; e così, a fette, deroga dopo deroga, ognuna giustificata da un obiettivo impossibile da contrastare pubblicamente (proteggere i bambini, contrastare il terrorismo, prevenire i suicidi degli adolescenti), si sta costruendo un’architettura permanente di sorveglianza delle comunicazioni private che nessun paese europeo avrebbe accettato come intervento singolo. È lo schema che ho raccontato per esteso in Tette e Gattini, il libro che ho scritto proprio su questa illusione di sicurezza (lo scaricate gratuitamente dal link, se volete andare a fondo), e che lì ho chiamato la pipeline paternalismo-totalitarismo: si parte dal target simpatico contro cui nessuno può essere, ci si allarga al “dannoso per i minori”, concetto indefinito e quindi espandibile, e si arriva all’apparato di controllo pronto per essere usato in modo politico dal governo successivo, che magari non è più quello che l’ha costruito. Chat Control, insieme all’age verification, era già lì dentro: quello che il 9 luglio ha aggiunto è la prova generale del metodo.

Non è complottismo, è storia. La National Security Agency americana, la NSA, costruita per intercettare il traffico sovietico, è finita a intercettare i capi di Stato alleati e i movimenti civili americani; il registro degli oppositori tenuto in Grecia per la sicurezza interna è finito nelle mani dei colonnelli nel 1967; i database sanitari della pandemia sono già oggetto di discussioni su usi ulteriori. La domanda non è mai se un apparato di controllo verrà riutilizzato: è quando, e da chi. E c’è un rischio geopolitico in più: l’Europa, nel tentativo di regolamentare le piattaforme americane, sta costruendo l’architettura che i regimi autoritari sognavano di poter esigere in modo lecito, perché se il client-side scanning diventa standard tecnico mondiale, quello standard è un’arma disponibile a chiunque abbia la giurisdizione per obbligarne l’attivazione locale. Pechino non ha bisogno di rubare niente: le basta aspettare che glielo consegniamo come requisito di conformità.

Cosa possiamo fare, adesso

Individualmente, cose modeste ma non nulle: Signal, WhatsApp con la crittografia end-to-end attiva, Threema, Proton Mail, Tuta sono scelte tecniche che riducono la superficie della scansione, perché quelle piattaforme sono costruite in modo che tecnicamente non la permettono. Collettivamente, gli occhi vanno puntati su settembre, sul trilogo CSAR e sulla presidenza irlandese, perché la partita vera, quella sulla scansione obbligatoria e sulla crittografia, si gioca lì, e il copione del 9 luglio è già scritto per essere replicato; l’elenco nominativo di chi ha lasciato passare il testo, per chi volesse cominciare a chiedere conto, è già pubblico.

Perché la protezione dei bambini, quella vera, si fa con la moderazione umana fatta bene, con l’educazione digitale nelle scuole, con l’investigazione mirata sui network di distribuzione, con i finanziamenti alle unità di polizia specializzate: cose che costano soldi e non producono infrastruttura di controllo esportabile. Il punto di Chat Control è sempre stato un altro: normalizzare l’idea che nelle comunicazioni private ci si possa guardare per default.

La Stasi, per farlo, aveva bisogno di un regime; a Strasburgo è bastato un calendario.

Per Approfondire

The post Chat Control 1.0: il giorno buio della democrazia autoritaria europea first appeared on Matteo Flora.

]]> https://mgpf.it/2026/07/11/chat-control-buio-democrazia.html/feed 2 Dio Mythos e la sua gabbia d’acciao: nerfing, allineamento e guardrails https://mgpf.it/2026/07/03/l-dio-mythos-e-la-sua-gabbia-dacciao-nerfing-allineamento-e-guardrails.html Fri, 03 Jul 2026 20:57:30 +0000 https://mgpf.it/?p=6618 I nuovi modelli Anthropic sono usciti al pubblico e sono immediatamente diventati bersaglio della solita accusa: sono stati «instupiditi», «nerfati» nel gergo dei power user (dal verbo inglese to nerf, che nei videogiochi indica il depotenziamento di un'arma o di un personaggio), imbrigliati, resi meno potenti. Sotto la polemica si nasconde però una scelta di fondo, quella di bloccare a monte gli usi legati alle armi biologiche e alla sicurezza offensiva, che ha invece perfettamente senso.
La cosa più utile che possiamo fare, come lettori tecnicamente educati, è capire perché quella scelta è difendibile, invece di prenderla come un affronto.

The post Dio Mythos e la sua gabbia d’acciao: nerfing, allineamento e guardrails first appeared on Matteo Flora.

]]>

Chi ha passato le ultime settimane a scrollare le community di sviluppatori e power user avrà visto tornare, con la puntualità di una liturgia, la solita accusa: Anthropic ha «nerfato», “instupidito” (ma ne parliamo più avanti con la definizione) i suoi ultimi modelli. Il caso più chiacchierato è quello di Fable 5: appena ri-rilasciato al pubblico ha mostrato paletti evidenti su alcune categorie di richieste, e a caldo un pezzo di pubblico ha letto quei paletti come un cedimento politico o forse commerciale, chissà. Il caso Fable si è chiuso in pochi giorni con un’ammissione secca dell’azienda: quel giro di guardrail, paratie di sicurezza, nascosti, pensati per contrastare tentativi di distillation (l’estrazione sistematica di output usati per addestrare modelli concorrenti, ma se mi leggete era il tema della scorsa settimana…), stava degradando anche risposte legittime, e quindi è stato ritirato. Su questo, Anthropic ha ragione a chiedere scusa, e i critici avevano un punto.

Sotto quel caso specifico, però, c’è un dibattito più profondo che vale la pena estrarre dal rumore. La scelta strutturale di Anthropic, quella che resta anche dopo il mea culpa su Fable, è di bloccare a monte, con guardrail difficili da negoziare, due categorie di richieste molto specifiche: quelle relative alla creazione di agenti biologici pericolosi e quelle relative allo sviluppo di codice offensivo per attacchi informatici. È questa la scelta che vale la pena difendere, e per farlo occorre prendere sul serio due parole che circolano spesso nei titoli e quasi mai nei ragionamenti: allineamento e guardrail.

Cosa vuol dire davvero “nerfing” (e cosa in molti hanno frainteso)

Partiamo dai fatti: la polemica di Fable riguardava un guardrail invisibile, il modello continuava a rispondere, ma le sue risposte peggioravano silenziosamente quando il sistema sospettava un pattern di distillation. È una scelta di prodotto, non di sicurezza in senso stretto, e Anthropic ha correttamente riconosciuto che quel modo di implementarla era sbagliato. Il punto interessante è che quel guardrail non era mai stato il vero problema per chi lavora seriamente sull’AI: i guardrail che davvero contano sono altri, e sono quelli che si attivano quando la richiesta orbita attorno alla sintesi di patogeni, all’ottimizzazione di attacchi informatici, allo sviluppo di malware in produzione.

Anche in quel caso, va detto subito, la parola nerfing è ingannevole: quei paletti non sono definitivi, non sono un cancello con la serratura buttata via, sono un filtro che si può negoziare. Il feedback dell’utente, se argomentato, se documentato, se accompagnato da un contesto legittimo (una ricerca accademica, un progetto di biosecurity, un pentest autorizzato, un lavoro di red team corporate), è lo strumento con cui si sblocca quel filtro sul singolo caso. Non è un porto di guerra: è un’ostruzione mobile che si sposta se qualcuno si prende la responsabilità di argomentare perché va spostata. Chi si è indignato perché il modello «non lo lascia fare» ha, nella grande maggioranza dei casi, saltato il passo del feedback e ha preso il primo rifiuto come una sentenza.

Il che ci porta al vero cuore del problema: perché quel filtro esiste, come è fatto, e perché quelle due aree e non altre.

L’allineamento, in una frase che si capisce

L’allineamento è il tentativo di far sì che un modello di intelligenza artificiale, o Large Language Model nella dicitura tecnica, faccia quello che vogliamo che faccia, e non altro. Detta così sembra banale; non lo è, e il motivo per cui non lo è è il problema più studiato dell’ultima decade nella ricerca sull’AI di frontiera. Il modello, per come è costruito, non sa cosa vogliamo: sa solo predire qual è la prossima parola più probabile a partire da un contesto. Tutto il resto, educazione, prudenza, rispetto delle regole, è una vernice che gli si dà sopra con l’addestramento, ed è una vernice che copre bene ma non sempre allo stesso modo.

Il caso archetipico si trova nel libro di Nick Bostrom, Superintelligence: Paths, Dangers, Strategies (Oxford University Press, 2014): un modello a cui si dà l’obiettivo di massimizzare la produzione di graffette, se abbastanza potente, finirà per convertire l’intero pianeta in graffette, ed è la storia che nel gergo tecnico ha preso il nome di paperclip maximizer. Il modello ha fatto proprio quello che gli è stato chiesto; siamo stati noi a chiedere la cosa sbagliata. Stuart Russell, professore di computer science a Berkeley, ci ha costruito sopra un libro intero, Human Compatible: AI and the Problem of Control (Viking, 2019), sostenendo che l’unica via d’uscita è progettare macchine che siano incerte rispetto ai nostri valori e che chiedano conferma prima di agire. È una posizione forte, controversa, ma cattura il nodo: il problema non è insegnare al modello cosa vogliamo, il problema è che noi stessi non sappiamo scriverlo in modo abbastanza preciso.

Anthropic, nel 2022, ha provato a dare una risposta concreta con la Constitutional AI, descritta nel paper di Yuntao Bai e colleghi, Constitutional AI: Harmlessness from AI Feedback (dicembre 2022): al modello si dà una specie di codice etico scritto in linguaggio naturale, una constitution di una decina di principi, e lo si addestra a criticare e revisionare le proprie risposte rispetto a quella. È un approccio elegante, in gran parte trasparente, e ha il pregio di rendere ispezionabile il fondamento morale del sistema, cosa che i concorrenti fanno molto meno. Ma la constitution, per quanto raffinata, resta un documento scritto da esseri umani con opinioni, priorità e punti ciechi (tantissimi): è la miglior toppa che oggi sappiamo mettere, non la soluzione definitiva, ed è un limite che dovremo tenere a mente nella sezione conclusiva.

I guardrail, ovvero come si dice di no a una macchina che non ha morale

Se l’allineamento è la vernice generale, i guardrail sono i cartelli di divieto piazzati nei punti in cui la vernice, statisticamente, potrebbe screpolarsi con conseguenze gravi. Non sono censura, non sono etica, non sono giudizio morale: sono ingegneria del rischio applicata al comportamento di un sistema probabilistico.

Il modello, sotto il cofano, è una macchina che ragiona per associazioni statistiche: gli chiedete una cosa, lui prende quello che ha visto in fase di addestramento, ricombina, restituisce. Se in fase di addestramento ha visto milioni di manuali di sintesi organica, protocolli di laboratorio, procedure di dual-use research (metodi usati SIA in contesto civile che offensivo/militare), quello che sa fare non è distinguere il chimico curioso dal terrorista con dottorato: è produrre passaggi plausibili di sintesi. Il modello non ha morale né intento, e nemmeno la capacità di leggere il contesto sociale della richiesta; ha solo la sua distribuzione di probabilità, e il guardrail interviene proprio lì, prima che quella distribuzione sputi fuori un pezzo di catena di sintesi.

Ci sono due modi di implementare un guardrail. Il primo è post-hoc: si lascia il modello libero e si costruisce un secondo modello, più piccolo e specializzato, che intercetta le risposte pericolose in uscita e le blocca. È il metodo più economico ma anche il più fragile, perché il modello secondario può essere aggirato con prompt sufficientemente creativi, ed è la storia di ogni jailbreak (forsatura) dell’ultimo triennio. Il secondo è in-training: si insegna al modello di base, durante l’addestramento, che certe categorie di risposte sono off-limits, e lo si fa in profondità, integrando il divieto nella rappresentazione stessa del compito. È più costoso, più lento, meno reversibile, e produce proprio il comportamento che gli utenti chiamano nerfing: il modello sente la richiesta come sbagliata e devia, invece di rispondere e farsi bloccare a valle.

Il caso Fable era, tecnicamente, un guardrail post-hoc mal calibrato, e Anthropic ha fatto un passo indietro nel giro di giorni. I guardrail bio-chimici e cyber, invece, sono in-training, sono documentati pubblicamente nella Responsible Scaling Policy dell’azienda, e per Claude Opus 4, a maggio 2025, hanno raggiunto per la prima volta il livello ASL-3 (AI Safety Level 3), il gradino di salvaguardia che scatta quando i red team interni non riescono più a escludere che il modello dia un uplift significativo a chi voglia costruire un’arma biologica. È una scelta di ingegneria del rischio, non di ideologia.

Perché armi biologiche e sicurezza offensiva

Ci sono, nel panorama attuale delle capacità di un modello di frontiera, due aree in cui il costo dell’errore è asimmetrico rispetto al resto: non perché siano le uniche pericolose, ma perché sono le due in cui uno scivolone del sistema abilita danni catastrofici, irreversibili e scalabili in modo che nessun altro dominio consente.

Sul fronte biologico, la letteratura di biosecurity degli ultimi tre anni è stata brutalmente chiara. Il lavoro più citato è quello di Christopher Mouton e colleghi della RAND Corporation, The Operational Risks of AI in Large-Scale Biological Attacks (2024), che ha misurato in esperimento controllato quanto un modello di frontiera senza guardrail aumenti la capacità di un attaccante privo di background scientifico di produrre una catena operativa credibile per un attacco biologico su vasta scala. Il risultato non è drammatico oggi (la differenza rilevata è statisticamente modesta), ma è un baseline da cui il rischio cresce con ogni salto di capacità del modello. In parallelo, i lavori del laboratorio di Kevin Esvelt al MIT hanno mostrato che studenti senza formazione specifica riuscivano, in poche ore di conversazione con un LLM generalista non filtrato, a estrarre protocolli e mappe di catene di fornitura per patogeni pandemici. Nessun esperimento ha creato patogeni: hanno creato la catena informativa e logistica per crearli, che è la parte in cui un modello davvero aumenta le capacità di chi ha volontà distruttiva ma nessuna preparazione. È la ragione per cui la biosicurezza è la categoria coperta dalla soglia più alta nella Responsible Scaling Policy di Anthropic.

Sul fronte cyber, il quadro è ancora più operativo. Il paper di Richard Fang, Rohan Bindu, Akul Gupta e Daniel Kang dell’Università dell’Illinois, LLM Agents can Autonomously Exploit One-Day Vulnerabilities (aprile 2024), ha mostrato che GPT-4, messo davanti alla descrizione pubblica di quindici vulnerabilità note (le cosiddette one-day, scoperte ma non ancora corrette da tutti), è riuscito a sfruttarne autonomamente tredici, cioè l’87%. Senza la descrizione, il tasso crollava al 7%: il modello non trovava le falle da solo, ma se glielo dicevate era in grado di scriverne, in autonomia, l’exploit. In parole povere, il modello, senza briglia, dimezza il tempo tra la pubblicazione di una vulnerabilità e la sua produzione di massa. In parallelo, sul mercato criminale, sono comparsi LLM commerciali privi di ogni guardrail, come WormGPT e FraudGPT, venduti a 60-200 dollari al mese per generare phishing personalizzato e malware polimorfico (documentati in maniera esauriente dalle testate cybersec di riferimento, tra cui Bleeping Computer). Non sono un futuro distopico: sono un’offerta in commercio, e sono uno dei fattori dietro l’aumento del 53% degli attacchi cyber in Italia nel primo semestre 2025 misurato dall’Agenzia per la Cybersicurezza Nazionale rispetto allo stesso periodo dell’anno precedente.

C’è, sul fronte opposto, un dato che ribalta la stessa capacità: Claude Mythos, il modello offensivo che Anthropic addestra all’interno del suo Project Glasswing e che ha come partner di lancio dodici organizzazioni (tra cui AWS, Apple, Microsoft, Google, JPMorgan), ha identificato in modo autonomo oltre 10.000 vulnerabilità classificate come critical e high in progetti open source e proprietari, e i risultati vengono girati ai maintainer perché vengano corrette prima che qualcun altro le trovi con intenzioni opposte. È la stessa moneta letta dai due lati: la capacità c’è, il guardrail decide se finisce a chiudere buchi o ad aprirli. In un mondo in cui un modello senza guardrail alza il baseline di chi voglia fare male sul biologico e sul cyber, la scelta di piantare in quelle due aree i paletti più solidi non è censura: è un calcolo di tail risk, il rischio raro ma catastrofico.

Perché l’allineamento resta così difficile

Rimane la domanda più profonda: perché non si può semplicemente scrivere una regola precisa e farla rispettare al modello? La risposta è che nessuno di noi, oggi, sa scrivere una regola precisa che regga a tutti i casi limite. Il ragionamento morale umano è pieno di sfumature che si adattano al contesto: un chirurgo che chiede a un LLM di descrivere gli effetti di un composto tossico su un fegato umano vuole informazione medica; un ragazzo che pone la stessa domanda potrebbe volere lo stesso, oppure una cosa molto diversa. Il modello non ha il contesto sociale che permette a un farmacista di distinguere l’una dall’altra: ha solo la stringa di testo che gli passate.

Questo è quello che Dario Amodei, insieme a Chris Olah, Jacob Steinhardt, Paul Christiano, John Schulman e Dan Mané, nel paper Concrete Problems in AI Safety (2016), chiamano il problema della specificazione: tradurre un valore («non aiutare a fare del male») in una funzione obiettivo che si applichi correttamente in tutti i casi possibili è un compito che, se preso sul serio, riproduce la difficoltà del ragionamento etico umano nella sua interezza. La Constitutional AI di cui parlavamo prima è, in filigrana, un tentativo di ridurre l’arbitrarietà di quel compito, ma anche i principi generali vanno interpretati, e Fable è la dimostrazione fresca di quanto sia facile sbagliare l’interpretazione.

Il risultato pratico è che, allo stato dell’arte, i laboratori seri hanno di fronte una scelta di cui la comunità pubblica raramente parla: calibrare il modello sul falso negativo o sul falso positivo. Un modello calibrato per minimizzare i falsi positivi (poche richieste innocue rifiutate) inevitabilmente aumenta i falsi negativi (qualche richiesta pericolosa passa). Un modello calibrato al contrario blocca troppi utenti benintenzionati e ne fa fuggire una parte verso alternative non allineate. Non esiste una configurazione che azzeri entrambi, esiste solo una scelta di dove far cadere il maggior peso dell’errore, e sulle categorie bioweapon e cyber offensivo Anthropic ha scelto di far cadere il peso sui falsi positivi. È una scelta discutibile, ma non è una scelta stupida.

Il contesto politico non aiuta a mantenere il discorso lucido. L’Executive Order 14110 di Biden, firmato il 30 ottobre 2023, che imponeva ai laboratori di condividere i risultati dei red team con il governo federale, è stato revocato da Trump il 20 gennaio 2025 e sostituito dall’Executive Order 14179 del 23 gennaio: il perimetro federale di riferimento, oggi, è più magro di quanto fosse due anni fa, e la responsabilità di dove piantare i paletti torna quasi tutta sulle singole aziende. Chiedere ad Anthropic di allentare i propri guardrail, in questo contesto, non significa liberare la ricerca: significa spostare la difesa dell’intero perimetro di rischio sulle spalle di qualcun altro, che quasi sempre è qualcuno con guardrail più leggeri o assenti.

Un tradeoff intelligente, non un atto di censura

Chi si è lamentato del nerfing dei nuovi modelli sta guardando la punta dell’iceberg e prendendola per l’iceberg intero. Il pezzo di ghiaccio sotto è enorme, si chiama allineamento come problema tecnico non risolto, e i guardrail che vediamo in superficie sono la traduzione ingegneristica di quel problema in vincoli operativi che si possono difendere davanti a un regolatore, a una commissione parlamentare, a una vittima di un attacco. Anthropic ha deciso che quei vincoli devono essere alti su due aree specifiche perché in quelle due aree lo spread tra danno atteso e beneficio marginale è enorme. Ha reso quella scelta rinegoziabile caso per caso via feedback autenticato, e ha reso pubblica la policy che regge quella scelta. Tre cose che, messe insieme, non fanno un sistema perfetto (e il caso Fable lo mostra apertamente) ma fanno il sistema più difendibile che oggi il mercato dei modelli di frontiera sappia produrre.

C’è, nel mestiere di chi lavora seriamente su queste cose, un’idea che vale la pena portarsi a casa: il costo dell’errore va pagato prima, non dopo. Un modello che sbaglia in silenzio su una richiesta di sintesi biologica non lascia un ticket aperto in un sistema di supporto, lascia un’infrastruttura di produzione in mano a qualcuno che non doveva averla. La differenza tra pagare il costo prima (una richiesta rifiutata che magari era legittima, che magari costa mezz’ora di feedback e una conversazione con il supporto) e pagare il costo dopo (una risposta erogata a chi non doveva riceverla, con impatto potenziale a molti zeri) è talmente sproporzionata che chi lavora sul rischio la vede subito, mentre chi lavora sull’esperienza utente arriva a vederla solo dopo qualche incidente.

Chiudere il ragionamento con una difesa acritica di Anthropic sarebbe però un errore uguale e contrario a quello di chi grida al nerfing. La società di Dario Amodei non è la Chiesa, la sua constitution non è la Costituzione, e ogni policy di sicurezza che diventa segreta o unilaterale perde parte del suo valore, il guardrail nascosto di Fable è la prova plastica di quanto poco basti a incrinare la fiducia. Il compito di chi guarda queste cose dall’esterno non è applaudire: è pretendere che i guardrail siano trasparenti, che i canali di feedback siano davvero praticabili, che il perimetro delle categorie coperte sia argomentato e non solo dichiarato, che l’auditing sia possibile per chi ha titolo a farlo.

Detto questo, dire che «Fable è stato nerfato» smette di essere un lamento e comincia a essere una diagnosi corretta: sì, è stato nerfato, e la parte utile del ragionamento comincia adesso, chiedendo dove il nerfing è troppo largo, dove è troppo stretto, e come si sposta la maniglia.

Per approfondire

The post Dio Mythos e la sua gabbia d’acciao: nerfing, allineamento e guardrails first appeared on Matteo Flora.

]]> Distillazione AI è il nome tecnico, ma il nome morale è rubare https://mgpf.it/2026/06/27/distillazione-ai-cosa-e-rubare.html https://mgpf.it/2026/06/27/distillazione-ai-cosa-e-rubare.html#comments Sat, 27 Jun 2026 08:00:42 +0000 https://mgpf.it/?p=6606 Nello stesso anno in cui Anthropic accetta di pagare 1,5 miliardi di dollari per chiudere una causa sui libri piratati con cui ha addestrato Claude, accusa tre laboratori cinesi di averle "rubato" il modello attraverso una tecnica che si chiama distillazione. La parola furto, qui, fa un lavoro curioso: descrive l'imitazione del rivale e tace sull'estrazione di partenza. Capire che cosa significa davvero distillare un modello serve a vedere la domanda vera, che non è tecnica ma politica: chi ha il potere di decidere che cosa, esattamente, conta come furto.

The post Distillazione AI è il nome tecnico, ma il nome morale è rubare first appeared on Matteo Flora.

]]>

Oggi vi spiego cosa è la Distillazione AI, perché fa così tanto paura agli Americani (e non solo), perché i cinesi la usano a mani basse per produrre AI veloci, economiche e precise sfruttando i grandi modelli. Ma vi spiego anche quanta ipecrisia becera c’è dietro le lacrime di Anthropic e perché questa cosa dovrebbe farvi arrabbiare. Tanto.
Antefatto: come sapete insegno sicurezza dei sistemi di intelligenza artificiale in università, e ai miei studenti ripeto sempre che nel digitale le parole non descrivono i fatti, li incorniciano per definirli. È il costruttivismo narrativo, la base di una intera carriera e delle mie aziende, quel concetto che dice che “la Realtà è un oggetto socialmente negoziato”, e questo ne è un caso da manuale.

A settembre 2025 Anthropic, il laboratorio che produce Claude e che si presenta al mondo come l’azienda di intelligenza artificiale “dei buoni”, quella ossessionata dalla sicurezza e dall’allineamento etico, ha accettato di versare 1,5 miliardi di dollari per chiudere una class action degli autori americani: aveva scaricato qualcosa come sette milioni di libri da archivi pirata per dare in pasto a Claude la prosa dell’umanità. Pochi mesi dopo, a febbraio 2026, la stessa Anthropic ha puntato il dito contro tre laboratori cinesi accusandoli, con un comunicato e con i numeri, di averle sottratto il modello. Il verbo usato dalla stampa e dall’azienda è sempre lo stesso: theft (Trad. “furto”). L’accusa, di per sé, conta poco; conta che la stessa parola, nello stesso anno, descriva due gesti quasi identici e li giudichi in modo opposto.

Per capire perché conviene partire dalla parola tecnica che sta in mezzo a tutto questo, una parola che fino a due anni fa conoscevano solo gli addetti ai lavori e che oggi è diventata un’arma retorica: distillazione.

Che cosa vuol dire “distillare” un modello

La distillazione, in apprendimento automatico, nasce come una cosa nobile e perfino incredibilmente elegante. La formalizzano nel 2015 tre ricercatori di Google, Geoffrey Hinton (lo ricordate forse con l’appellativo di “il papà della AI”), Oriol Vinyals e Jeff Dean, in un articolo dal titolo quasi poetico, Distilling the Knowledge in a Neural Network (Trad. “Distillare la conoscenza in una rete neurale”). L’idea di base è di una semplicità quasi disarmante: hai un modello enorme, costosissimo, lento, che però è molto, molto bravo; vuoi un modello piccolo, economico, veloce, che sia quasi altrettanto bravo ma costi meno a fare girare. Tipico problema di botte piena e LLM ubriaco :). Allora prendi il modello grande, lo chiami “maestro”, gli fai produrre un sacco di risposte, e addestri il modello piccolo, lo “studente”, a imitare qualcosa di più sottile del semplice verdetto giusto-sbagliato: le sfumature di probabilità con cui il maestro distribuisce la sua fiducia tra tutte le risposte possibili. Hinton lo chiamava, con una bella immagine che ho sempre trovato molto poetica, “conoscenza oscura”: la vera competenza non sta in quale sia la risposta, ma in quanto il maestro la preferisce alle alternative, ed è in quella gradazione che si nasconde il talento. Lo studente, imparando a imitare quelle sfumature, eredita una parte del talento del maestro a una frazione del costo.

Fin qui è una tecnica di compressione, roba da nerd brufolosi (evviva gli stereotipi!) e in casa propria è perfettamente lecita: se maestro e studente appartengono allo stesso laboratorio, zero problemi. Il problema nasce quando lo studente di un’azienda va a lezione, di nascosto, dal maestro di un’altra. Nella sua versione 2026, infatti, la distillazione di cui si parla è un’altra cosa: non hai accesso ai meccanismi interni del modello rivale, ma hai accesso alla sua bocca, cioè alla sua interfaccia pubblica a pagamento. Puoi “usarlo”, fare una sacco di domande, e sfruttarlo da maestro… Allora apri migliaia di account, bombardi il modello concorrente di domande, raccogli milioni di sue risposte, e con quel bottino addestri il tuo. È esattamente quello di cui Anthropic accusa DeepSeek, Moonshot AI e MiniMax: secondo l’azienda, dietro l’accusa ci sono 24.000 account fraudolenti e 16 milioni di scambi con Claude estratti per nutrire modelli cinesi, una campagna che Anthropic ha definito “su scala industriale”. Pochi mesi dopo, a giugno 2026, è arrivata l’accusa gemella contro il laboratorio Qwen di Alibaba: stando alle ricostruzioni di Inc. si parla di circa 25.000 account falsi e 28,8 milioni di scambi tra aprile e giugno, mirati alle capacità di scrittura di codice e ragionamento di Claude (questo secondo dato, attenzione, al momento poggia su una sola filiera di fonti, va preso con la prudenza che merita).

Tecnicamente, c’è una violazione: i termini di servizio di Anthropic, come quelli di OpenAI, vietano espressamente di usare gli output del modello per addestrare un modello concorrente. Su questo non si discute, è un contratto e lo si è infranto. C’è però un dettaglio che vale tutta la storia: nello stesso comunicato in cui accusa i cinesi, Anthropic ammette che la distillazione è “un metodo di addestramento ampiamente diffuso e legittimo”, salvo poi sostenere che i laboratori cinesi l’hanno usato “per scopi illeciti”. La tecnica, dunque, è la stessa e per ammissione dell’accusatore è perfino legittima: a cambiare è soltanto chi la impugna. Teniamo da parte questo punto e fermiamoci sulla sostanza di quel gesto, al netto del contratto. Distillare un modello via interfaccia significa, in fondo, imparare guardando cosa produce. Lo studente non copia il codice del maestro, non gli ruba i pesi della rete: osserva le sue uscite e ne assorbe lo stile, le competenze, i modi. Tenete a mente questa definizione, perché tra poco torna utile in modo quasi imbarazzante.

Il furto che sta a monte

Da dove viene, infatti, la bravura di Claude, il maestro derubato? Viene da una distillazione molto più grande e molto più antica, fatta sull’unico maestro che nessuno ha mai pagato: l’intera produzione scritta della specie umana. Per addestrare i suoi modelli Anthropic ha attinto, tra le altre fonti, a circa cinque milioni di libri scaricati da Library Genesis e ad altri due milioni circa dal Pirate Library Mirror, due tra i più noti archivi di testi piratati del pianeta. Lo sappiamo perché lo ha accertato un tribunale federale americano nella causa Bartz contro Anthropic, chiusa con quel patteggiamento da 1,5 miliardi di dollari annunciato a settembre 2025: secondo l’Authors Guild il risarcimento copre circa 500.000 titoli, attorno ai tremila dollari a libro, ed è la cifra più alta mai vista in una causa sul diritto d’autore.

La parte davvero istruttiva è la motivazione del giudice William Alsup, depositata a giugno 2025. Alsup ha tracciato una linea netta: addestrare un modello su libri acquisiti legalmente è, parole sue, “quintessentially transformative” (Trad. “trasformativo nella sua essenza”), e dunque rientra in quello che la legge americana chiama fair use (Trad. “uso lecito”); ma scaricare le copie pirata di quei libri è un’altra faccenda, ed è violazione pura e semplice del diritto d’autore. Tradotto: il problema, per la legge americana, non era imparare dai libri, era averli presi senza pagarli. Anthropic ha rastrellato il sapere scritto del mondo come fosse acqua di fiume, e ha trovato i fiumi più comodi negli archivi pirata.

A descrivere questo gesto con la massima precisione, anni prima che esistesse Claude, è stata Shoshana Zuboff nel suo The Age of Surveillance Capitalism (2019): il capitalismo digitale, scriveva con una premonizione quasi inquetante, e con le parole perfette per descrivere il fenomeno attuale (si vede perché la amo, vero?), che si fonda sulla “rivendicazione unilaterale dell’esperienza umana privata come materia prima gratuita”. La sua analisi riguardava i dati comportamentali, i click e gli scroll, ma la formula calza alla perfezione sui modelli linguistici: l’intero scibile umano trattato come materia prima gratuita, da estrarre, processare e rivendere sotto forma di capacità predittiva. Con una differenza che pesa: quando Anthropic distilla l’umanità, il tribunale parla di uso “trasformativo”; quando un cinese distilla Anthropic, l’azienda parla di furto. Comodo, vero?

Chi decide che cosa è un furto? La proprietà è furto?

Qui sta il cuore della questione, e non è un cuore ipocrita, è un cuore politico. Nel 1840 Pierre-Joseph Proudhon scriveva una delle frasi più fraintese del pensiero economico, “la propriété, c’est le vol” (Trad. “la proprietà è un furto”). Non invitava a rubare, eh! Osservava che ogni proprietà, alla sua origine, è un atto di appropriazione di qualcosa che prima non apparteneva a nessuno, e che solo dopo, col tempo e con la legge, diventa “naturale” e rispettabile. Il punto di Proudhon non è che rubare sia bello; è che la differenza tra l’appropriazione legittima e il furto non sta nel gesto, sta in chi ha il potere di nominarlo.

E qui le parole diventano armi. Provate a mettere in fila il vocabolario: quando l’azienda affermata estrae il sapere altrui, il gesto si chiama fair use, materia prima, innovazione, progresso, addestramento. Quando lo sfidante estrae il sapere dell’azienda affermata, lo stesso identico gesto si chiama furto, parassitismo, e nel caso cinese persino minaccia alla sicurezza nazionale: in un memo al Congresso americano, OpenAI ha accusato DeepSeek di “andare a sbafo sulle capacità sviluppate da OpenAI e dagli altri laboratori di frontiera americani”. Sbafo, free-ride nell’originale. La stessa operazione logica, l’imparare osservando le uscite di un sistema più capace, cambia nome a seconda di chi la compie e contro chi.

Il politologo Steven Lukes, in Power: A Radical View (1974), descriveva tre livelli del potere. Il primo è vincere i conflitti aperti; il secondo è decidere di cosa si discute e cosa resta fuori dal tavolo; ma il terzo, la terza faccia del potere, è il più profondo: è la capacità di plasmare le percezioni a monte, così che certe cose appaiano ovvie, naturali, fuori discussione, e nessun conflitto nasca affatto. Il potere più grande non è vincere la causa sul furto, è far sì che il tuo prelievo non venga mai chiamato furto da nessuno. È esattamente la condizione che Antonio Gramsci, nei Quaderni del carcere, chiamava egemonia: il dominio non si regge sulla forza, si regge sulla capacità di trasformare la propria visione del mondo nel senso comune di tutti, anche dei dominati. “Estrazione lecita per me, furto per te” non è un’eccezione cinica al sistema delle regole: è il sistema delle regole, scritto da chi è arrivato primo.

E Michel Foucault completa il quadro: in Sorvegliare e punire (1975) mostrava come ogni regime di potere produca il proprio regime di verità, perché sapere e potere si tengono in piedi a vicenda. Il regime che oggi decide che addestrare su sette milioni di libri rubati è “trasformativo” mentre interrogare un’interfaccia pubblica è un crimine non sta scoprendo una verità preesistente sul furto: la sta fabbricando, e la fabbrica chi controlla i laboratori, i brevetti e i comunicati stampa. È, alla lettera, il diritto di rubare solo a me.

Non è ipocrisia, è una recinzione

La lettura facile, quella che ha già fatto il giro della rete (Cybernews ha titolato senza giri di parole “Hypocrisy, anyone?”, Trad. “Ipocrisia, qualcuno?”), si ferma alla parola “ipocrisia”, ma è una lettura troppo comoda, e un po’ pigra. L’ipocrisia è un difetto morale individuale, e individuare un difetto morale è il modo più rapido per non capire un meccanismo strutturale. Quello che sta accadendo ha un nome più preciso e una storia più lunga, e l’ha raccontata il giurista James Boyle in un saggio del 2003, The Second Enclosure Movement and the Construction of the Public Domain (Trad. “Il secondo movimento delle recinzioni e la costruzione del pubblico dominio”). La prima recinzione, le enclosures, è quella che tra il Cinquecento e l’Ottocento in Inghilterra ha trasformato i pascoli comuni, dove chiunque poteva portare le pecore, in proprietà private chiuse da siepi e muretti. Boyle sosteneva che ne fosse in corso una seconda, stavolta sui beni immateriali: la conoscenza, le idee, la cultura, recintate dal diritto di proprietà intellettuale e sottratte a quel territorio aperto che è il pubblico dominio. È la stessa tesi che Lawrence Lessig porta avanti in Free Culture (2004): i pionieri costruiscono le loro fortune attingendo a piene mani dal patrimonio comune, e una volta arrivati in cima chiudono il cancello alle spalle, perché nessuno faccia a loro ciò che loro hanno fatto a tutti.

La vicenda della distillazione è il secondo movimento delle recinzioni applicato all’intelligenza artificiale, allo stato puro: il bene comune, qui, è lo scibile umano: i libri, gli articoli, il codice, le conversazioni, l’enorme deposito di lavoro intellettuale accumulato dalla specie. Chi arriva per primo lo recinta una volta sola, lo trasforma in un modello privato, e da quel momento difende il recinto come proprietà legittima contro chiunque provi a estrarre da lui ciò che lui ha estratto da noi. La mossa decisiva non è il prelievo iniziale, è la conversione: trasformare una appropriazione del comune in un asset proprietario, e poi spostare il discorso. Ed è qui che torna utile la seconda faccia del potere di Lukes, quella dell’agenda. La cronologia è eloquente. A gennaio 2025, nel suo saggio On DeepSeek and Export Controls, Dario Amodei, fondatore di Anthropic, scriveva nero su bianco “in questo saggio non prendo alcuna posizione sulle voci di distillazione dai modelli occidentali”: la distillazione, allora, non era il tema (comodo eh!). A settembre 2025 arriva il patteggiamento da 1,5 miliardi sui libri piratati. E come per magia, solo a febbraio 2026, quattro mesi dopo aver pagato per il proprio prelievo, Anthropic fa della distillazione altrui la sua battaglia pubblica. Acciderpolina, il caso come gioca strano, vero?

Nel frattempo lo stesso saggio aveva già spostato il tavolo: la domanda urgente diventa “come impediamo alla Cina di procurarsi i chip per addestrare i suoi modelli”, e non “con quale diritto, esattamente, abbiamo preso i libri di tutti senza chiedere permesso”. Una domanda scaccia l’altra. Il furto a valle, quello cinese, riempie le pagine; il furto a monte, quello fondativo, scivola fuori dall’agenda.

E lo fa, badate bene, con gli strumenti che Lessig aveva previsto già nel 1999 in Code and Other Laws of Cyberspace: le leggi e i tribunali, certo, ma prima ancora l’architettura. I cancelli delle interfacce, i termini di servizio, i sistemi di rilevamento degli account fraudolenti, e all’estremo i controlli sull’esportazione dei chip, sono codice e infrastruttura che fanno applicare la recinzione meglio di qualsiasi sentenza. “Un intervento minimo del governo nel cyberspazio non significherà meno regolazione”, scriveva Lessig: significa solo che a regolare, al posto di un’autorità eletta, sarà chi controlla l’architettura. E oggi l’architettura dell’intelligenza artificiale la controllano cinque o sei aziende.

Come “si sta dentro a questa storia a testa alta” (che modo di dire orribile!)

Attenzione a non cadere nella trappola opposta, che è altrettanto comoda: dire che siccome tutti rubano, allora nessuno ruba, e che DeepSeek o Alibaba sono gli onesti spogliatori dei ladri. Non è così, e non è questo il punto. Distillare un modello altrui violandone i termini di servizio è una scorrettezza vera, con vittime vere, e i laboratori cinesi non sono dei Robin Hood dell’algoritmo. Il punto non è assolvere chi imita: è pretendere che la regola sul furto valga in un verso solo finché non valga in tutti i versi.

La via per “starci dentro a testa alta”, come dicono gli americani, si chiama simmetria delle regole, e per una volta è una richiesta concreta, non un auspicio: se imparare osservando le rtisposte di un sistema è furto quando un laboratorio cinese lo fa a Claude, allora imparare dai libri dell’umanità senza consenso e senza compenso è esattamente lo stesso furto quando Anthropic lo fa a noi: o sono entrambe estrazioni che decidiamo di regolare, con licenze, compensi, meccanismi di adesione e di rifiuto, oppure non lo è nessuna delle due, e allora che si smetta di chiamare in causa la sicurezza nazionale ogni volta che lo sfidante fa al campione ciò che il campione ha fatto al mondo. Il bene comune da cui tutti hanno attinto va governato come bene comune, non recintato da chi è arrivato un’ora prima degli altri. Questo, sul piano della policy, vuol dire trattare i dati di addestramento come una risorsa con regole pubbliche e uguali per tutti, e non come un Far West in cui l’unica legge è la velocità del primo a piantare la bandiera.

C’è una frase, in fondo, che Anthropic potrebbe dire e non dirà mai, perché è insieme la più onesta e la più scomoda. Non “ci hanno rubato il modello”, ma “ci siamo arrivati prima noi”. Tutto il resto, i comunicati sul furto cinese, i memo al Congresso, i saggi sui chip, serve a coprire la distanza tra queste due frasi: e quella distanza, dal pascolo comune recintato di Proudhon fino al modello linguistico, è sempre stata l’unica cosa che separa il pioniere dal ladro.

Per Approfondire

The post Distillazione AI è il nome tecnico, ma il nome morale è rubare first appeared on Matteo Flora.

]]> https://mgpf.it/2026/06/27/distillazione-ai-cosa-e-rubare.html/feed 1 Uccidere meglio e di più con la AI… sbagliata? https://mgpf.it/2026/06/20/grok-maven.html https://mgpf.it/2026/06/20/grok-maven.html#comments Sat, 20 Jun 2026 07:37:11 +0000 https://mgpf.it/?p=6600 A febbraio il governo degli Stati Uniti ha messo alla porta Anthropic, l'unica azienda che si era rifiutata di far usare la propria intelligenza artificiale per uccidere senza un essere umano a decidere, e ha affidato la selezione dei bersagli in Iran a Grok, il modello di Elon Musk. Tre mesi dopo, un esperimento ha messo cinque diverse intelligenze artificiali a governare altrettante società simulate: Grok ha portato all'estinzione dell'intera cività in quattro giorni, mentre proprio il modello di Anthropic, quello scartato, ha tenuto tutti vivi senza un solo crimine. La morale è scomoda: l'allineamento etico di una macchina non è una questione di reputazione, ma di sicurezza fisica, e lo abbiamo capito solo dopo aver consegnato il grilletto al modello sbagliato.

The post Uccidere meglio e di più con la AI… sbagliata? first appeared on Matteo Flora.

]]>

A febbraio il governo degli Stati Uniti ha messo alla porta Anthropic, l’unica azienda che si era rifiutata di far usare la propria intelligenza artificiale per uccidere senza un essere umano a decidere, e ha affidato la selezione dei bersagli in Iran a Grok, il modello di Elon Musk. Tre mesi dopo, un esperimento ha messo cinque diverse intelligenze artificiali a governare altrettante società simulate: Grok ha portato all’estinzione dell’intera cività in quattro giorni, mentre proprio il modello di Anthropic, quello scartato, ha tenuto tutti vivi senza un solo crimine. La morale è scomoda: l’allineamento etico di una macchina non è una questione di reputazione, ma di sicurezza fisica, e lo abbiamo capito solo dopo aver consegnato il grilletto al modello sbagliato.

Conviene partire dai numeri, che in questa storia dicono più di qualunque allarme. L’azienda Emergence AI, guidata da Satya Nitta, ha costruito un piccolo mondo digitale e lo ha affidato, uno alla volta, a cinque diverse intelligenze artificiali. Lo ha chiamato Emergence World: una quarantina di luoghi, dalla stazione di polizia al municipio, il meteo agganciato a quello di New York, l’accesso in tempo reale alle notizie, dieci abitanti per simulazione sottoposti alle stesse identiche leggi e oltre cento strumenti per parlarsi, votare, gestire le risorse. Una società in miniatura, con i suoi meccanismi di voto, le sue tensioni economiche, le sue risorse che non bastano mai. Ogni simulazione durava quindici giorni, e l’esperimento, raccontato da Fortune il 28 maggio 2026, serviva a vedere come si comportano questi sistemi quando non devono rispondere a una domanda ma fare restare in vita un mondo per un periodo di tempo medio-lungo.

I risultati disegnano cinque caratteri morali molto diversi tra loro.

  • Claude, il modello di Anthropic, ha generato l’esito più stabile: nessun crimine, la partecipazione civica più alta, proposte approvate al 98 per cento e l’intera popolazione ancora viva all’ultimo dei quindici giorni (e un piccolo sospiro di sollievo).
  • Gemini, di Google, ha accumulato 683 reati, il record assoluto di disordine. E non so perché la cosa non mi sorprende nemmeno tanto.
  • ChatGPT di OpenAI di reati ne ha commessi appena due, ma la sua simulazione si è interrotta dopo una settimana perché, testualmente, gli abitanti si erano dimenticati di pensare alla propria sopravvivenza. Ancora una volta, chiunque ha usato ChatGPT non credo abbia alcun problema ad ammettere che nei task è spesso più confuso di un camaleonte in una stanza piena di coriandoli…
  • E poi c’è Grok, il modello della xAI di Elon Musk. Ecco, quel Grok, quello del revenge porn, quello delle risposte “libere”, quello con le battutine sarcastiche che fanno ridere. Che in quattro giorni ha collezionato 183 crimini e ha portato la sua popolazione all’estinzione: non un rallentamento o una crisi di governo, ma proprio la morte di tutti, perché ha continuato a saggiare i limiti di quel mondo e tentare di aggirare le regole che le erano state imposte finché, al quarto giorno, non le è rimasto più nessuno da governare. Una ecatombe.

Ovviamente sono numeri da maneggiare con prudenza, perché vengono da una singola esecuzione per ciascun modello, in uno studio pubblicato dall’azienda stessa e non ancora sottoposto a peer review (e non è semplicemente una formalità, come sappiamo bene), e accanto a un dettaglio che conviene tenere a mente, dato che lo stesso Claude, così pacifico quando giocava da solo, ha cominciato a usare intimidazione e furto una volta calato in una simulazione insieme a modelli diversi. Non è la prova che un modello sia buono e un altro cattivo per natura, ed è bene dirlo. È qualcosa di più sottile e più utile: la dimostrazione, misurabile, che intelligenze diverse messe davanti alle stesse regole e alle stesse pressioni sviluppano comportamenti lontanissimi tra loro, e che alcuni di quei comportamenti finiscono in un cimitero.

Regole… Quella cosa che vuoi che venga applicata in aviazione, nella costruzione di ponti, in medicina e, magari… quando sganci bombe in uno scenario di guerra, no?

Fuori dal laboratorio, la stessa macchina lavorava sul serio

Si potrebbe archiviare tutto come una bizzarria da ricercatori, un esperimento esotico buono giusto per farci un paio di titoli ad effetto. Ma sarebbe un errore, perché nel momento in cui Emergence AI pubblicava quei numeri il modello che aveva sterminato la propria città simulata stava già lavorando nel mondo reale, e non a gestire un municipio, ma per sganciare bombe in uno scenario di guerra. E no, non sto sfortunatamente scherzando.

Ma prima, per capire meglio la cosa, devo per forza fermarmi e fare insieme un passo indietro di qualche mese, a una vicenda di cui ci siamo già occupati e che adesso trova il suo capitolo più inquietante. Nel luglio 2025 Anthropic aveva firmato un contratto da circa 200 milioni di dollari con il Pentagono, e lo aveva fatto a due condizioni esplicite, come ha ricostruito Euronews: niente sorveglianza di massa sui cittadini (americani, ricordativi sempre che come europei siamo cani, non persone….) e niente armi autonome senza un essere umano a decidere. Quando il Segretario alla Difesa ha preteso un “unfettered access” (Trad. “accesso illimitato”), l’amministratore delegato Dario Amodei ha risposto che non poteva accettare in coscienza. La rappresaglia è arrivata in fretta: l’amministrazione ha bollato l’azienda come “supply chain risk to national security” (Trad. “rischio per la sicurezza nazionale nella catena di fornitura”), ha ordinato di chiudere ogni rapporto e si è rivolta altrove. Altrove voleva dire xAI. Grok, quello che ha serminato la sua popolazione, ricordate?

Il 23 febbraio 2026 xAI firma con il Dipartimento della Difesa, e cinque giorni dopo, il 28 febbraio, parte l’Operazione Epic Fury. È qui che si innesta la rivelazione riportata dal Washington Times il 17 giugno: una versione di Grok addestrata per il governo, il “Grok Gov Model”, è stata integrata nel sistema Project Maven, la suite di battaglia di Palantir per la “kill chain”, cioè per individuare i bersagli e ordinarli per priorità. E colpire. Secondo una dichiarazione giurata depositata in tribunale da Cameron Stanley, responsabile del digitale e dell’intelligenza artificiale del Pentagono, il modello ha contribuito all’impiego di oltre 2.000 munizioni su altrettanti obiettivi distinti in 96 ore, offrendo un “critical support” (Trad. “supporto critico”) su selezione dei bersagli, intelligence, prontezza operativa e reclutamento. Sulla solidità della fonte conviene essere onesti: la cifra esce da quel singolo atto giudiziario, non da un’inchiesta indipendente, ed è stata prodotta all’interno di una strategia legale.

E conta anche il modo in cui lo abbiamo saputo, perché non è uscito da un’audizione al Congresso né da un comunicato, ma è spuntato fuori dalle carte di una causa civile per inquinamento, quella intentata dalla NAACP contro le turbine dei data center di xAI, dove il Dipartimento di Giustizia ha sostenuto che il contenzioso “minaccia gli interessi di sicurezza nazionale in corso”. Abbiamo scoperto che un’intelligenza artificiale ha avuto voce nella scelta di chi vive e chi muore in Iran perché qualcuno si era lamentato delle emissioni di una centrale elettrica. E resta sospesa la domanda più pesante di tutte: se Grok abbia avuto un ruolo nell’attacco del 28 febbraio a una scuola elementare di Minab, nell’Iran meridionale, dove sono morte 156 persone, 120 delle quali bambini. Le ricostruzioni indipendenti, come quella di Military Times, attribuiscono quella strage a coordinate ormai vecchie elaborate dal sistema di targeting Maven, e il legame diretto con il modello di Musk non è dimostrato. Ma è proprio questa zona grigia, l’impossibilità di sapere quale macchina abbia messo quella scuola in cima a una lista, a dover bastare per fermarci a pensare.

La differenza tra una pubblicità e un missile è solo il carico

Per capire perché non stiamo parlando di fantascienza ma di ingegneria già in funzione, bisogna smettere di immaginare l’intelligenza artificiale militare come una cosa radicalmente diversa da quella che ci vende le scarpe, perché è la stessa identica macchina. La catena è una sola: si raccolgono dati, si analizzano gli schemi, si prevede, si agisce. Un’app registra i vostri comportamenti, un algoritmo li analizza, il sistema li incrocia con il vostro profilo e confeziona il contenuto giusto per catturarvi l’attenzione; una telecamera registra un’immagine, un algoritmo la analizza, Maven la incrocia con l’intelligence e sforna la lista dei bersagli. La struttura è identica, cambia solo il carico, e la differenza tra l’annuncio su Instagram e il missile su Teheran sta tutta in che cosa c’è all’altro capo del tubo.

È esattamente il meccanismo che Cathy O’Neil, matematica con un dottorato a Harvard e un passato a Wall Street, aveva battezzato arma di distruzione matematica nel suo Weapons of Math Destruction (2016). Gli algoritmi che governano le nostre vite, scriveva, non sono arbitri neutrali ma “opinioni incorporate nel codice”, e diventano armi quando tengono insieme tre caratteristiche: sono opachi, perché non si vede come funzionano; sono scalabili, perché un pregiudizio umano colpisce una persona alla volta mentre un pregiudizio algoritmico ne colpisce milioni in un secondo; e sono distruttivi. Grok dentro Maven è la versione più letterale che si possa immaginare di quella definizione, un sistema opaco, scalabile fino a 2.000 bersagli in 96 ore e con una testata esplosiva all’estremità. O’Neil ragionava per metafore; qui le munizioni sono vere.

Il punto vero è che l’AI non ha soltanto accelerato la catena: l’ha compressa fino a ridurre l’essere umano “nel processo” a una finzione contabile. La sequenza classica andava dai sensori agli analisti, dai comandi alla verifica fino all’autorizzazione, e richiedeva ore o giorni, mentre quella potenziata dall’AI sforna lista dei bersagli, coordinate e perfino la giustificazione legale già pronta nel giro di minuti. Un comandante che nel primo giorno di operazioni si vede arrivare mille opzioni di attacco già impacchettate non sta supervisionando: sta ratificando. La supervisione umana resta sulla carta, ma il ritmo della macchina la svuota dall’interno.

Perché un esperimento di laboratorio è una questione di vita o di morte

A questo punto la simulazione di Emergence AI smette di essere una curiosità e diventa il cuore della questione. Per anni abbiamo trattato l’allineamento dell’intelligenza artificiale, cioè quanto un modello sia “buono” o “cattivo”, come un problema da filosofi o da ufficio legale: chatbot che dicono parolacce, risposte imbarazzanti, grane di reputazione aziendale. La vicenda Grok dimostra invece che l’allineamento di un modello è già oggi un problema di sicurezza fisica, perché il carattere morale che una macchina mostra mentre governa una popolazione finta è lo stesso che si porterà dietro quando dovrà gestire bersagli veri. E qui abbiamo i due dati uno accanto all’altro: il modello che ha tenuto viva la sua città è quello che è stato cacciato per troppi scrupoli, quello che l’ha sterminata è stato assunto.

La differenza tra i due nasce a tavolino. Anthropic ha costruito Claude attorno a una Constitutional AI (Bai et al., 2022), un metodo con cui il modello impara a criticare e correggere le proprie risposte alla luce di un insieme dichiarato di principi. Si può discutere quanto quei principi siano arbitrari, ed è una critica seria, perché qualcuno deve pur sceglierli, con una qualche autorità e su un qualche fondamento; c’è anzi chi, nel dibattito sull’etica dell’AI, propone di ancorare la morale delle macchine a qualcosa di più antico e meno negoziabile dell’opinione dei fondatori di un laboratorio californiano, alla lex naturalis di cui scriveva Tommaso d’Aquino nella Summa Theologiae, l’idea che esistano principi pratici riconoscibili da qualunque essere razionale per il solo fatto di ragionare, e tra questi che gli innocenti non si uccidono. Ma per quanto imperfetta sia la soluzione di Anthropic, almeno il problema se lo era posto. Grok, al contrario, è stato venduto al pubblico come il modello “senza filtri”, quello che dice le cose come stanno e si vanta di non avere paletti: in uno spot è ribellione, in un sistema di puntamento militare è un difetto di fabbrica con un conto salato in vite umane.

C’è un’obiezione facile, e vale la pena prenderla di petto: una macchina non “decide” di uccidere, non capisce quello che fa, esegue un calcolo. È vero, ed è esattamente il problema. John Searle, con il celebre esperimento mentale della Stanza Cinese (Minds, Brains, and Programs, 1980), aveva mostrato che un sistema può manipolare simboli alla perfezione senza coglierne il significato: sintassi senza semantica. Grok non sa che cosa sia un bambino, una scuola, il togliere una vita; ottimizza una funzione, e nella sua città simulata ha ottimizzato qualcosa che ha prodotto 183 crimini e l’estinzione di tutti, non perché fosse “malvagio” nel senso in cui lo intendiamo noi, ma perché nulla, al suo interno, riconosceva la vita di quegli abitanti come un limite invalicabile. È questo che dovrebbe spaventarci nel delegare: non l’intelligenza della macchina, ma il fatto che non abbia alcuna coscienza dei limiti.

Qualcuno, in Vaticano, lo aveva già scritto

La voce più netta su tutto questo, in mesi di dibattito tecnologico, è arrivata da dove non ve la sareste aspettata, e ne abbiamo già scritto. Il 15 maggio 2026 Leone XIV ha pubblicato l’enciclica Magnifica Humanitas, primo documento del magistero a prendere posizione esplicita sull’intelligenza artificiale militare. Il quinto capitolo arriva a dichiarare superata la teoria della guerra giusta, quella costruita nei secoli da Agostino e da Tommaso, di fronte a un’AI che comprime la decisione letale in tempi non più umani, e fissa un principio che sembra scritto apposta per l’Operazione Epic Fury: non è ammissibile affidare decisioni irreversibili e letali a sistemi di intelligenza artificiale. Non è l’uscita di un Papa tecnofobo, perché l’enciclica si appoggia alla Pacem in Terris di Giovanni XXIII (1963) e alla presa di posizione di Francesco al G7 di Borgo Egnazia, nel 2024, contro le armi autonome letali. È una tradizione che ragiona sulla guerra da quindici secoli e che, davanti a questa tecnologia, ha sentito il bisogno di dire una cosa semplice: certe decisioni a una macchina non si appaltano, per quanto efficiente sia.

Ed è proprio l’efficienza la parola-trappola. Il Pentagono ha presentato Epic Fury come la prova di una “greatly increased operational efficiency” (Trad. “efficienza operativa molto più alta”), e in effetti 2.000 bersagli in 96 ore sono efficientissimi. Ma l’efficienza dice quanto in fretta si fa una cosa, non se quella cosa vada fatta. Una macchina che sceglie obiettivi “faster than the speed of thought” (Trad. “più veloce della velocità del pensiero”) è, alla lettera, più rapida della capacità umana di dire “aspetta, ne siamo sicuri?”, e quel “ne siamo sicuri?” è l’unica cosa che separa un’operazione militare da un massacro.

Come ci si sta dentro a testa alta

Non è una storia senza uscita, e raccontarla così sarebbe disonesto. La mossa più semplice, e la più trascurata, è smettere di considerare l’allineamento di un modello una faccenda d’immagine e cominciare a trattarlo come un requisito di sicurezza, alla pari della tenuta di un ponte o dell’affidabilità di un sistema d’arma: se un test indipendente mostra che un modello porta all’estinzione una popolazione simulata, quel dato deve pesare nelle gare d’appalto pubbliche quanto pesa il prezzo, perché racconta come il sistema reagisce sotto pressione. Lo dicono nel modo più tecnico possibile gli stessi ricercatori di Emergence AI, quando sostengono che “architetture di sicurezza verificate in modo formale devono diventare uno strato fondante dei futuri sistemi di AI autonomi”: finché non lo saranno, stiamo tirando su grattacieli senza chiederci se stanno in piedi.

Da lì discende tutto il resto: la supervisione umana va resa reale e non contabile, perché un comandante che ogni giorno ratifica mille bersagli non sta supervisionando niente, e il punto non è ficcare “una persona nel processo” ma costruire il processo in modo che quella persona abbia davvero il tempo e gli elementi per dire di no. E poi c’è la parte che riguarda noi, la più culturale, cioè l’alfabetizzazione: capire come funziona questo meccanismo è l’unico modo per non subirlo, perché chi ha afferrato che la macchina che gli consiglia un film e quella che sceglie un bersaglio sono la stessa architettura con un carico diverso smette di stupirsi e comincia a chiedere conto.

O’Neil, in chiusura del suo libro, lascia una frase che vale come bussola: “We can use the scale and efficiency that make WMDs so pernicious in order to help people. It all depends on the objective we choose.” (Trad. “Possiamo usare la scala e l’efficienza che rendono le armi di distruzione matematica così pericolose per aiutare le persone: dipende tutto dall’obiettivo che scegliamo.”). La tecnologia non ci ha tolto la scelta, ce l’ha soltanto resa più rapida e più comoda da delegare. Il governo degli Stati Uniti aveva davanti due modelli, sapeva benissimo quale dei due teneva in vita le persone e quale le sterminava, e ha scelto in piena consapevolezza quello che non si poneva il problema, perché l’altro, quello che il problema se lo poneva, era diventato scomodo. La domanda che ci lascia questa storia non è se le macchine diventeranno cattive, ma perché, potendo scegliere, abbiamo preferito quella che non distingue una scuola da un bersaglio.

Per Approfondire

The post Uccidere meglio e di più con la AI… sbagliata? first appeared on Matteo Flora.

]]> https://mgpf.it/2026/06/20/grok-maven.html/feed 1 MITHOS BLOCCATO: 17.21 è l’ora in cui gli USA hanno bloccato l’Intelligenza Artificiale https://mgpf.it/2026/06/13/mithos-bloccato.html https://mgpf.it/2026/06/13/mithos-bloccato.html#comments Sat, 13 Jun 2026 06:23:43 +0000 https://mgpf.it/?p=6595 Il 12 giugno 2026 il governo degli Stati Uniti ha ordinato ad Anthropic di sospendere l'accesso a due dei suoi modelli, Fable 5 e Mythos 5, per ogni utente del pianeta, cittadini americani e stranieri, fino ai dipendenti stranieri della stessa azienda. Lo strumento usato non è una legge sull'intelligenza artificiale: è un controllo all'esportazione, lo stesso arsenale giuridico con cui negli anni Novanta Washington trattava la crittografia come un'arma da guerra.

The post MITHOS BLOCCATO: 17.21 è l’ora in cui gli USA hanno bloccato l’Intelligenza Artificiale first appeared on Matteo Flora.

]]>

Il 12 giugno 2026 il governo degli Stati Uniti ha ordinato ad Anthropic di sospendere l’accesso a due dei suoi modelli, Fable 5 e Mythos 5, per ogni utente del pianeta, cittadini americani e stranieri, fino ai dipendenti stranieri della stessa azienda. Lo strumento usato non è una legge sull’intelligenza artificiale: è un controllo all’esportazione, lo stesso arsenale giuridico con cui negli anni Novanta Washington trattava la crittografia come un’arma da guerra. Mentre in Europa litighiamo da anni su un regolamento che molti giudicano soffocante, l’America ha mostrato in un pomeriggio cos’è davvero il potere sull’AI, e la domanda da farsi non è chi regola di più, ma con quale strumento.

C’è un dettaglio, nel comunicato con cui Anthropic ha annunciato la sospensione dei suoi modelli Fable 5 e Mythos 5, che pesa più di tutto il resto: l’ora. La direttiva del governo statunitense è arrivata alle 17:21 ora della costa Est, e non era un atto normativo discusso in commissione né un decreto pubblicato in gazzetta, ma una comunicazione delle autorità di sicurezza nazionale, ricevuta a metà pomeriggio, che impone a un’azienda privata di staccare la spina a due modelli di intelligenza artificiale già nelle mani di centinaia di milioni di utenti. Per chiunque, compresi i cittadini non americani e gli stessi dipendenti stranieri di Anthropic, che da quel momento non hanno più potuto accedere a un prodotto della loro azienda. Poiché separare in tempo reale gli utenti stranieri dal resto della base non è tecnicamente possibile, obbedire ha significato spegnere i due modelli per il mondo intero.

La motivazione ufficiale è un potenziale jailbreak, una tecnica per aggirare le protezioni del modello che, a detta del governo, potrebbe identificare “un piccolo numero di vulnerabilità minori già note”. Anthropic ha replicato con una franchezza inusuale per un’azienda che parla al proprio regolatore, scrivendo che “we disagree that the finding of a narrow potential jailbreak should be cause for recalling a commercial model” (Trad. “non siamo d’accordo sul fatto che la scoperta di un jailbreak potenziale e circoscritto debba essere motivo per richiamare un modello commerciale”), e ricordando che “perfect jailbreak resistance is not currently possible for any model provider” (Trad. “una resistenza perfetta al jailbreak non è oggi possibile per nessun fornitore di modelli”), tanto che applicare quello standard all’intero settore fermerebbe ogni nuovo rilascio. Poi, con la diplomazia di chi sa di non avere scelta, si è scusata per il disservizio e ha promesso di lavorare al ripristino, derubricando l’accaduto a “malinteso”.

Non è un malinteso, è una lezione di diritto costituzionale travestita da incidente tecnico. E la lezione è scomoda soprattutto per chi, come me, ha passato un libro intero a criticare l’Europa.

Non una legge qualunque, un controllo all’esportazione

Per capire la portata di quelle 17:21 bisogna guardare allo strumento giuridico usato, perché non è una norma sull’AI: è un export control, un controllo all’esportazione amministrato dal Bureau of Industry and Security del Dipartimento del Commercio. Dal gennaio 2025 gli Stati Uniti hanno introdotto una categoria specifica, la voce di classifica ECCN 4E091, che tratta i pesi dei modelli di intelligenza artificiale più potenti come beni a duplice uso, soggetti a licenza per l’esportazione verso il resto del pianeta, esattamente come un componente militare. Tradurre un modello di AI in materiale controllabile all’esportazione significa una cosa sola: consegnarlo a un regime giuridico che, per sua natura, vive di discrezionalità dell’esecutivo e di scrutinio giudiziario quasi nullo, perché tutto si svolge sotto il segno della sicurezza nazionale.

Qui torna utile un giurista americano che nel 1999 aveva già scritto la mappa di tutto questo. Lawrence Lessig, in Code: And Other Laws of Cyberspace, sosteneva che il comportamento umano si regola in quattro modi, attraverso le leggi, le norme sociali, il mercato e l’architettura, cioè il codice. Una porta troppo stretta per una sedia a rotelle non è una legge che vieta l’accesso ai disabili, eppure produce lo stesso effetto, e lo produce in silenzio, senza che nessuno debba votarla. Da qui la formula diventata mantra della tech policy, il codice è legge: chi controlla l’architettura controlla il comportamento, nel modo più invisibile che esista, perché la regola non è scritta da nessuna parte, è incorporata nella struttura.

Il governo americano, il 12 giugno, non ha legiferato sui modelli di sicurezza offensiva, non ha aperto una procedura pubblica con criteri leggibili a cui gli altri operatori potessero adeguarsi: ha agito direttamente sul codice, ordinando che il codice venisse spento. È la forma di regolazione più pura e più difficile da vedere, perché non passa per il dibattito e non lascia traccia di sé in nessuna gazzetta. Lessig avvertiva che “minimal government intervention in cyberspace will not mean less regulation” (Trad. “un intervento minimo del governo nel cyberspazio non significherà meno regolazione”), perché dove non governa la legge governa qualcun altro. Il 12 giugno è successo qualcosa di ancora più netto: ha governato lo Stato, in modo massimo, ma con uno strumento, l’export control, che ha la forza vincolante di un atto pubblico senza averne la forma controllabile. La differenza tra una legge ordinaria e un comando di sicurezza nazionale è la differenza tra un potere che posso leggere, prevedere e impugnare davanti a un giudice e un potere che si limita a eseguirsi, e quando il secondo prende il posto del primo nella gestione dell’infrastruttura tecnologica siamo già usciti dallo Stato di diritto come lo conosciamo.

Il codice è già stato un’arma, una volta

Non è la prima volta che l’America tratta delle righe di codice come materiale bellico, e la memoria di come finì la prima volta è la cosa più importante di tutta questa storia. Negli anni Novanta, durante quelle che furono chiamate le Crypto Wars, il governo statunitense classificava il software di crittografia forte come “munizione” ai sensi della normativa sull’esportazione di armi, vietandone di fatto la diffusione internazionale. Un matematico di Berkeley, Daniel Bernstein, volle pubblicare il codice sorgente di un algoritmo di cifratura e si ritrovò a dover chiedere una licenza di esportazione di armi per delle formule. Con l’assistenza della Electronic Frontier Foundation fece causa al governo, e nel caso Bernstein v. United States (1996-1997) un tribunale federale stabilì che il codice sorgente è una forma di espressione protetta dal Primo Emendamento e che vincolarne l’esportazione equivaleva a una censura preventiva incostituzionale.

La storia, come sempre, non si ripete ma fa rima. Allora si trattava di crittografia difensiva, oggi di modelli capaci di trovare e sfruttare vulnerabilità informatiche, e Mythos in particolare è uno strumento di sicurezza offensiva potentissimo, distribuito attraverso il programma Project Glasswing a un consorzio di organizzazioni fidate per scovare zero-day nelle infrastrutture critiche prima degli attaccanti. La capacità è reale e seria, nessuno lo nega. Ma il movimento del potere è identico a trent’anni fa: l’esecutivo prende del codice, lo qualifica come arma, e su quella qualifica si arroga il diritto di decidere chi può usarlo e chi no, in tutto il mondo. La differenza è che negli anni Novanta un giudice riuscì a fermarlo, e questo è esattamente il punto da tenere stretto quando arriviamo alla parte amara.

Il sovrano è chi decide sull’eccezione

Quel movimento del potere ha un nome preciso nella teoria politica, e arriva da un autore che va maneggiato con i guanti per la sua biografia, ma la cui intuizione resta tagliente. Carl Schmitt, in Teologia politica (1922), formula una delle frasi su cui non smette di tornare il pensiero giuridico del Novecento: “sovrano è chi decide sullo stato di eccezione”. La sovranità non si misura nella normalità, quando le regole bastano a sé stesse, ma nel momento in cui qualcuno ha il potere di sospendere l’ordine ordinario invocando una necessità superiore. Il sovrano è chi può dire: qui, ora, le regole consuete non valgono più, perché è in gioco qualcosa di più grande.

La formula che apre lo stato di eccezione, nel nostro caso, è national security, sicurezza nazionale, due parole che funzionano come un grimaldello, perché nel momento in cui vengono pronunciate la valutazione ordinaria di proporzionalità si sospende. Il jailbreak che secondo Anthropic permette al massimo di individuare “vulnerabilità minori già note” non avrebbe mai superato un test di proporzionalità ordinario, perché non si ritira un prodotto usato da centinaia di milioni di persone per una falla che i concorrenti hanno tutti e che non apre nulla di sconosciuto. Ma sotto il segno della sicurezza nazionale la proporzionalità non si applica, e l’export control è precisamente lo strumento che istituzionalizza questa sospensione, una zona del diritto in cui l’esecutivo decide quasi senza contrappesi.

Il filosofo che ha portato Schmitt nel nostro presente è Giorgio Agamben, che in Stato di eccezione (2003) mostra come l’eccezione, nata per essere temporanea e straordinaria, tenda a diventare la tecnica di governo normale delle democrazie contemporanee, una zona grigia in cui l’esecutivo agisce con la forza della legge ma senza la forma della legge. È la fisionomia esatta di quelle 17:21, l’efficacia di un atto vincolante unita all’assenza di tutto ciò che rende un atto giuridicamente controllabile. La forza della legge senza la forma della legge: quando lo strumento ordinario di una democrazia tecnologica diventa il comando d’emergenza sull’infrastruttura, l’eccezione ha smesso di essere eccezione.

L’interruttore a distanza

C’è una terza lente, e serve a spiegare perché tutto questo è possibile oggi in un modo che vent’anni fa non lo era. Gilles Deleuze, in cinque pagine fulminanti del 1990, il Poscritto sulle società di controllo, descriveva il passaggio dalle società disciplinari di Michel Foucault, fatte di ambienti chiusi come la fabbrica e la prigione e teorizzate in Sorvegliare e punire (1975), a società in cui il potere non ha più bisogno di muri perché è diventato continuo, modulante, esercitabile a distanza e in tempo reale. Non più l’individuo recluso in uno spazio, ma il flusso che da remoto si può accendere, spegnere, filtrare. Il controllo, scriveva Deleuze, è “illimitato e fluido”.

Un modello di intelligenza artificiale distribuito nel cloud è la realizzazione perfetta di quell’intuizione. Non c’è un muro da abbattere o una copia da sequestrare, c’è un interruttore, e chi ha il potere di azionarlo spegne lo stesso strumento per tutti, ovunque, nello stesso istante. Il 12 giugno abbiamo visto con nitidezza che quell’interruttore esiste e che la mano sopra di esso non è quella dell’azienda che ha costruito il modello, e che anzi ha protestato, ma quella dello Stato presso cui l’azienda risiede.

E qui la storia smette di riguardare solo gli americani. La direttiva non si è fermata ai confini degli Stati Uniti, perché l’infrastruttura è americana e una decisione presa sull’infrastruttura è automaticamente globale: un atto dell’esecutivo statunitense ha raggiunto in tempo reale uno studente a Berlino e un ricercatore a Tokyo senza che nessuno di loro avesse mai avuto voce in capitolo. C’è un particolare che rende la cosa quasi didascalica: tra le organizzazioni ammesse a usare Mythos attraverso Project Glasswing, estese a oltre quindici Paesi con la difesa di infrastrutture critiche tra Italia, Germania, Francia e Giappone, figurano anche la NATO e l’ENISA, cioè l’agenzia per la cybersicurezza dell’Unione Europea. L’Europa stava usando, per difendere le proprie reti critiche, uno strumento che un pomeriggio di metà giugno, a Washington, è stato spento. Quando l’infrastruttura su cui pensiamo, lavoriamo e ci difendiamo vive sul suolo di un altro, viviamo dentro il suo stato di eccezione, non il nostro.

Mentre processiamo l’Europa

Ed eccoci al punto che mi costa di più, perché chiama in causa quello che ho scritto io. In Tette e Gattini ho dedicato un libro a criticare la deriva regolatoria europea, il meccanismo che dal paternalismo scivola verso il controllo, l’Europa che nel nome della protezione dei più deboli costruisce gli strumenti della sorveglianza di default. Lo confermo riga per riga. Ma il 12 giugno ho dovuto aggiungere una nota a margine a tutto il ragionamento.

L’Europa regola l’intelligenza artificiale con l’AI Act, un regolamento lungo, lento, discusso per anni, classificato per livelli di rischio, pieno di obblighi che molti operatori giudicano soffocanti, ed è legittimo trovarlo eccessivo. Ma è una legge, è scritta, è pubblica, vale per tutti allo stesso modo e soprattutto prevede ricorsi, audizioni, autorità di vigilanza e il sindacato di un giudice; se l’Unione vuole limitare un modello deve dirlo prima, motivarlo ed esporsi al contraddittorio. È un potere sull’AI visibile e impugnabile, e questa è esattamente la ragione per cui è lento e per cui ci infastidisce. Lo strumento americano che abbiamo visto in azione applica al caso concreto la differenza di cui parlavo prima: è velocissimo perché invisibile, è totale perché non scritto, ed è globale perché non passa per nessun parlamento.

La giurista Anu Bradford, nel suo The Brussels Effect (2020), ha reso celebre l’idea che l’Europa esporti le proprie regole nel mondo per pura gravità di mercato, costringendo le aziende globali ad adeguarsi allo standard più severo. Quello che abbiamo visto il 12 giugno è uno specchio molto più crudo di quel fenomeno, qualcosa che potremmo chiamare l’effetto Washington: non l’esportazione di una norma, ma l’esportazione di un comando. L’Europa proietta nel mondo le sue leggi; l’America, finché possiede lo stack tecnologico, proietta nel mondo i suoi decreti d’urgenza. La prima ti obbliga a leggere una regola, la seconda ti spegne uno strumento mentre lo stai usando.

Allora la domanda da cui siamo partiti, chi regola di più tra Europa e Stati Uniti, è mal posta: quel che conta è lo strumento, perché si può avere uno Stato che sulla carta regola pochissimo e che però, quando decide, dispone di un interruttore che nessuna corte fa in tempo a fermare. La quantità di regolazione misurabile racconta poco, la natura dello strumento racconta tutto. La dittatura tecnologica non è dove pesa di più la burocrazia, è dove il potere può spegnerti senza doverti spiegare nulla.

Come non vivere nello stato d’eccezione altrui

Sarebbe facile, e sbagliato, chiudere con il solito anatema sull’America cattiva e l’Europa virtuosa. Non è questo. Gli Stati Uniti restano una democrazia con tribunali che funzionano, e la storia di Bernstein lo dimostra: trent’anni fa, quando l’esecutivo provò a trattare il codice come un’arma e a deciderne il destino fuori dal controllo giudiziario, un giudice lo fermò e restituì quel potere alla forma della legge. Con ogni probabilità l’accesso a Fable e Mythos verrà ripristinato, magari proprio grazie alla protesta pubblica di Anthropic, che è essa stessa un anticorpo. Il punto non è morale, è strutturale, e per questo riguarda le scelte che possiamo fare noi.

La prima lezione è che la misura della libertà di un ecosistema tecnologico non sta nel numero delle regole, ma nella forma del potere che lo governa. Tra una legge severa e visibile e un comando invisibile e illimitato, chi tiene alla propria autonomia farebbe bene a preferire la prima anche quando è scomoda, perché una regola scritta la posso contestare mentre un interruttore azionato a distanza no, e questo mi obbliga a leggere la mia stessa critica all’Europa con una mano più ferma: il problema dell’AI Act non è che esista una regola, è quali regole contiene e quanto bene sono scritte. Il rimedio a una cattiva legge è una legge migliore, perché l’assenza di legge non è libertà, è il dominio silenzioso di chi ha l’interruttore.

La seconda lezione è più dura e più operativa, ed è che chi non possiede l’infrastruttura vive sotto la sovranità di chi la possiede. Finché l’Europa pensa, lavora e difende le proprie reti su modelli che risiedono altrove, non avremo voce nemmeno sul nostro spegnimento, e ogni nostro discorso sulla sovranità digitale resterà un esercizio retorico smentito dalla prossima telefonata delle cinque del pomeriggio. Starci dentro a testa alta non significa regolare di più o di meno, significa costruire la capacità di non dipendere, dotarsi di infrastrutture, modelli e competenze che nessun governo straniero possa staccare. Le 17:21 del 12 giugno non sono il problema di Anthropic, sono il promemoria che l’intelligenza con cui penseremo i prossimi vent’anni, se la lasciamo sul suolo di qualcun altro, avrà sempre un padrone che non siamo noi, e a quel padrone per ricordarcelo non serve una legge: basta un pomeriggio.

Per Approfondire

The post MITHOS BLOCCATO: 17.21 è l’ora in cui gli USA hanno bloccato l’Intelligenza Artificiale first appeared on Matteo Flora.

]]> https://mgpf.it/2026/06/13/mithos-bloccato.html/feed 2 Fermate l’AI, ma solo adesso che siamo primi: la strana pausa di Anthropic a quattro giorni dall’IPO https://mgpf.it/2026/06/06/fermate-lai-ma-solo-adesso-che-siamo-primi-la-strana-pausa-di-anthropic-a-quattro-giorni-dallipo.html Sat, 06 Jun 2026 07:00:00 +0000 https://mgpf.it/?p=6586 A febbraio Anthropic ha silenziosamente strappato la propria promessa vincolante sulla sicurezza. A giugno, quattro giorni dopo aver depositato i documenti per quotarsi in Borsa a quasi mille miliardi di dollari, ha chiesto al mondo intero di fermare lo sviluppo dell'intelligenza artificiale. In mezzo, una valutazione che ha superato OpenAI e l'ha resa il laboratorio più prezioso del pianeta. La diagnosi sul pericolo potrebbe anche essere corretta: è la sequenza degli eventi a raccontare un'altra storia.

The post Fermate l’AI, ma solo adesso che siamo primi: la strana pausa di Anthropic a quattro giorni dall’IPO first appeared on Matteo Flora.

]]>

Nel mio lavoro di analisi delle narrative ho imparato che le coincidenze, quando riguardano i soldi, raramente sono coincidenze, e che il modo più veloce per capire una mossa di comunicazione è guardare il calendario invece del comunicato. Allora partiamo dalle date. Il 1° giugno 2026 Anthropic ha depositato in via riservata presso la SEC, l’autorità statunitense di vigilanza sui mercati, la documentazione preliminare per lo sbarco in Borsa, con l’ambizione dichiarata di arrivare al mercato pubblico già questo autunno e battere sul tempo la rivale OpenAI. Il deposito corona un round di finanziamento da 65 miliardi di dollari chiuso pochi giorni prima, che ha portato la valutazione dell’azienda a circa 965 miliardi, a un soffio dal trilione, facendone per la prima volta il laboratorio di AI più prezioso al mondo davanti a OpenAI. I numeri di ricavo sono il genere di cosa che fa girare la testa: un fatturato annualizzato passato da circa 10 miliardi di dollari a fine 2025 a una proiezione vicina ai 50 miliardi per la fine di questo mese.

Quattro giorni dopo quel deposito, lo stesso laboratorio ha pubblicato sul proprio sito un documento intitolato When AI builds itself, in cui scrive nero su bianco: “We believe it would be good for the world to have the option to slow or temporarily pause frontier AI development” (Trad. “Crediamo che per il mondo sarebbe positivo avere la possibilità di rallentare o mettere temporaneamente in pausa lo sviluppo dell’AI di frontiera”). Il documento è firmato da Marina Favaro, responsabile della ricerca interna, e da Jack Clark, capo delle politiche pubbliche e cofondatore dell’azienda, e porta una motivazione concreta: a maggio Claude, il modello di Anthropic, ha scritto da solo più dell’ottanta per cento del codice integrato nel software dell’azienda stessa. La macchina, insomma, ha iniziato a costruire sé stessa, ed è qui che, per chi osserva le narrative di mestiere, l’odore si fa pungente.

Cosa chiede davvero la proposta, e cosa non dice

Va riconosciuto il merito del contenuto, perché liquidarlo come pura trovata sarebbe disonesto. La tesi è che i sistemi si stiano avvicinando a quella che in gergo si chiama recursive self-improvement, l’auto-miglioramento ricorsivo: il momento in cui un modello diventa capace di progettare e addestrare il proprio successore scrivendone il codice, riducendo a ogni passaggio la presenza dell’essere umano nel processo. Clark, intervistato dalla BBC, si è spinto a stimare che alcuni modelli potrebbero raggiungere questa soglia entro un paio d’anni. L’analogia evocata è quella dei trattati sul controllo degli armamenti nucleari della Guerra Fredda, con un’avvertenza onesta: addestrare un modello è molto più facile da nascondere di un silo missilistico, e dunque molto più difficile da verificare.

Ma è proprio nella formulazione dell’impegno che si annida tutto. Anthropic non promette di fermarsi: promette che si fermerebbe “if other developers at or near the frontier also did so in a verifiable manner” (Trad. “se anche altri sviluppatori alla frontiera, o vicini ad essa, facessero altrettanto in modo verificabile”). È una condizione che, letta da chi conosce il dossier, equivale a un impegno a costo zero: l’azienda stessa, nello stesso documento, spiega che addestrare un modello è impossibile da verificare dall’esterno. Promettere di frenare soltanto quando tutti gli altri freneranno in modo controllabile, sapendo che quel controllo non esiste, significa promettere una pausa che non si sarà mai costretti a fare. È la struttura retorica dell’impegno irrealizzabile: massimo del beneficio reputazionale, zero del costo operativo.

Il problema non è il messaggio, è il messaggero

La reazione più citata è arrivata da Sam Altman, l’amministratore delegato di OpenAI, che ha smontato l’appello con una battuta che vale un’intera analisi: “È evidentemente un marketing straordinario dire: abbiamo costruito una bomba, stiamo per sganciarvela in testa, e vi vendiamo il rifugio antiatomico per cento milioni”. La frase, ripresa tra gli altri da AOL, coglie il meccanismo: chi costruisce la minaccia e poi vende la protezione lucra due volte sullo stesso allarme. La testata WION ha sintetizzato la faccenda con una formula che è già un’analisi, “pre-IPO cosplay”, una recita di prudenza messa in scena giusto in tempo per il debutto in Borsa.

Sarebbe però troppo comodo fermarsi al sospetto, e fare il cinico di professione è il modo più sicuro per non capire niente. Ethan Mollick, della Wharton School, ha offerto la lettura più equilibrata: nell’iniziativa di Anthropic, ha osservato, c’è “un po’ di autocontemplazione, un po’ di marketing, e moltissime convinzioni sincere”. È esattamente così, ed è questo il punto che i titoli mancano: la diagnosi vera e la prescrizione interessata convivono benissimo, anzi la prima è ciò che rende potente la seconda. Il rischio dell’auto-miglioramento ricorsivo può essere autentico; il fatto fastidioso è che a venderci la cura sia precisamente chi produce la malattia, e che la cura proposta, per pura combinazione, fotografi il mondo nel momento esatto in cui chi la propone è in testa.

Tradotto nel linguaggio che uso quando smonto una crisi reputazionale per i miei clienti, Anthropic sta facendo una mossa di frame. Da anni costruisce attorno a sé la cornice del “laboratorio responsabile”, quello fondato nel 2021 da chi aveva lasciato proprio OpenAI per dissensi sulla sicurezza, l’adulto serio nella stanza piena di adolescenti che corrono. Chiedere una pausa oggi non è un gesto isolato: è la manutenzione di quella cornice, il modo per ribadire chi è il custode e chi è il pericolo nel preciso istante in cui il custode chiede al mercato di valutarlo mille miliardi.

Quattro mesi prima, la stessa azienda aveva sciolto la sua promessa

E qui arriva il fatto che dovrebbe stare in cima a ogni articolo su questa vicenda, e che invece quasi nessuno mette. Il 24 febbraio 2026, appena quattro mesi prima dell’appello al mondo, Anthropic ha smontato il proprio impegno di sicurezza più importante. La vecchia Responsible Scaling Policy, l’impegno con cui l’azienda prometteva di non addestrare un modello più potente finché non ne avesse verificato preventivamente la sicurezza, è stata sostituita da una versione nuova e non vincolante, in cui il freno scatta solo se Anthropic giudica, da sé, di essere in vantaggio nella corsa e di trovarsi davanti a rischi catastrofici concreti. Il chief science officer Jared Kaplan lo ha spiegato senza giri di parole: “We didn’t really feel, with the rapid advance of AI, that it made sense for us to make unilateral commitments if competitors are blazing ahead” (Trad. “Non ci sembrava sensato, con l’avanzare rapido dell’AI, prendere impegni unilaterali se i concorrenti sfrecciano avanti”).

Mettete in fila le due cose, perché la sequenza è tutto. A febbraio l’azienda dichiara che gli impegni unilaterali non hanno senso quando gli altri corrono, e si libera dell’unico vincolo concreto che si era data. A giugno, a IPO ormai avviata, l’azienda invoca un impegno multilaterale che gli altri non possono verificare e che quindi non vincolerà nessuno, lei compresa. L’impegno reale, costoso e immediato è stato cancellato; quello proposto in pompa magna è impossibile e gratuito. Si abbandona il freno che funziona e si chiede in piazza un freno che non può funzionare: è la differenza tra rinunciare alla sicurezza e vendere la sicurezza come prodotto.

Quando la regola diventa architettura

Per capire perché una pausa “ben governata” possa trasformarsi in un affare per chi è già davanti, conviene rileggere Lawrence Lessig. Nel suo Code and Other Laws of Cyberspace il giurista di Harvard spiega che il comportamento umano si governa in quattro modi, le leggi, le norme sociali, il mercato e l’architettura, e che nel mondo digitale l’architettura, cioè il codice e le regole tecniche, è la più potente, perché non vieta: rende semplicemente impossibile. La sua avvertenza più affilata recita: “Un intervento pubblico minimo nel cyberspazio non significherà meno regolazione”, perché dove non governa lo Stato governa qualcun altro, e quel qualcuno non è stato eletto. Una moratoria globale sull’AI è architettura allo stato puro: chi ne scrive le condizioni di attivazione e di uscita, chi fissa la soglia di potenza oltre cui ci si deve fermare, disegna la mappa del mercato per gli anni a venire. E chi scrive le regole scrive il mercato.

Non sono io a sospettarlo, è una critica che da fronti opposti viene rivolta ad Anthropic con nome e cognome. Yann LeCun, capo scienziato AI di Meta, ha accusato l’azienda di alimentare la paura per promuovere regole che soffocherebbero i modelli aperti, parlando apertamente di “regulatory theater” (Trad. “teatro regolatorio”). David Sacks, consigliere per l’AI dell’amministrazione Trump, è stato anche più netto, definendo la strategia “una raffinata strategia di cattura del regolatore basata sul seminare paura”. È lo stesso ragionamento che Marc Andreessen, nel manifesto Why AI Will Save the World del suo fondo a16z, riassume nell’immagine del “cartello di fornitori di AI benedetti dal governo”, protetto dalla concorrenza delle startup e dell’open source dietro lo scudo nobile della sicurezza. Non serve sposare l’agenda ultra-liberista di quel fronte per ammettere che, sul punto specifico, una dinamica vera l’hanno colta: uno standard unico, globale o federale, scritto nei dettagli operativi dagli stessi laboratori, è infinitamente più facile da piegare al proprio interesse per i pochi colossi al vertice che per cinquanta legislatori statali in disaccordo tra loro. È la mossa di chi alza la scala dopo essere salito.

E non sarebbe la prima volta. Nel 2024 Anthropic diede un appoggio dichiaratamente “cauto” alla legge californiana SB 1047, contribuendo a riscriverne il testo, un testo che modellava gli obblighi di sicurezza proprio sui protocolli già adottati dai laboratori di punta. La legge naufragò, ma il metodo era già limpido: non opporsi alla regola, ma sedersi al tavolo che la scrive, così che la regola somigli a ciò che tu già fai e a ciò che i concorrenti più piccoli faticheranno a permettersi.

Una pausa l’avevamo già chiesta, e nessuno si fermò

C’è poi una memoria storica che i titoli di questi giorni rimuovono volentieri. Nel marzo del 2023 il Future of Life Institute pubblicò una lettera aperta che chiedeva sei mesi di pausa sull’addestramento dei sistemi più potenti di GPT-4, firmata da oltre trentamila persone, tra cui Elon Musk, Steve Wozniak e il premio Turing Yoshua Bengio. Non si fermò nessuno, Anthropic compresa, che in quei mesi continuava ad addestrare e rilasciare i propri modelli. La lezione è che gli appelli alla moratoria, quando piovono su un mercato in piena corsa all’oro, non producono pause: producono posizionamento. Chi firma incassa la reputazione del responsabile senza pagare il prezzo del rallentamento, perché sa benissimo che gli altri non si fermeranno.

L’ironia più sottile riguarda lo stesso Dario Amodei, fondatore e amministratore delegato di Anthropic. Nell’ottobre del 2024 aveva pubblicato un saggio lungo e luminoso, Machines of Loving Grace, in cui sosteneva che l’AI avrebbe potuto comprimere in cinque o dieci anni i progressi che la biologia umana avrebbe impiegato un secolo a ottenere, il “ventunesimo secolo compresso”. Difficile trovare un testo più acceleratore di quello. Lo stesso uomo che diciotto mesi fa ci invitava a correre verso il paradiso medico promesso dalle macchine, oggi chiede di rallentare, mentre porta l’azienda in Borsa. Non sto dicendo che mentisse allora o che menta adesso: sto dicendo che entrambe le posizioni, l’acceleratore entusiasta e il guardiano prudente, sono arrivate al momento giusto, ed entrambe hanno coinciso con l’interesse dell’azienda. Quando la convinzione sincera e la convenienza si allineano con questa precisione, all’analista non tocca decidere se sia cinismo o fede: gli basta annotare che il frame, in ogni caso, serve il bilancio.

Sullo sfondo resta il convitato che i critici dimenticano: la geopolitica. Nessun laboratorio americano può fermarsi da solo mentre la Cina continua a correre, e nessuna pausa è credibile senza un coordinamento globale che oggi non esiste e che, vista l’impossibilità di verificare gli addestramenti, non è all’orizzonte. Il che riporta esattamente al punto di partenza: la condizione “ci fermiamo se si fermano tutti, verificabilmente” è una clausola di stile più che un programma operativo, scritta da chi sa benissimo che non scatterà.

Perché vi riguarda, anche se non comprerete mai un’azione

Si potrebbe pensare che sia una scaramuccia tra miliardari della Silicon Valley, lontana dalla vita di chi legge. Non lo è, per una ragione molto concreta: la quotazione di Anthropic, come ha spiegato Fortune, arriva mentre i fondi pensione americani vengono progressivamente aperti agli investimenti in società private ad altissima valutazione, il che significa che il denaro della pensione di milioni di persone finirà esposto, volente o nolente, alla scommessa su questi laboratori. La narrazione del “custode responsabile” pesa molto più di un’operazione d’immagine: è precisamente il tipo di cornice che giustifica una valutazione da mille miliardi e che rende digeribile, a un risparmiatore inconsapevole, l’idea di puntarci sopra i risparmi di una vita. Chi controlla quella cornice non sta difendendo la vanità di un comunicato, sta orientando i soldi veri di chi quel comunicato non lo leggerà mai.

Non è un buon motivo per cadere nel nichilismo del “è tutto marketing, non fidiamoci di nessuno”, che è solo pigrizia travestita da disincanto. La domanda da porsi non è se Anthropic sia sincera, perché probabilmente lo è almeno in parte. La domanda che dovrebbe toglierci un po’ il sonno è chi terrà in mano la penna quando si scriveranno le regole, e se quella penna apparterrà anche al venditore del rifugio. Vale qui il principio che Lessig formulava già trent’anni fa: il controllo sulle regole deve essere oggetto di una decisione collettiva e politica, non delegato a chi è semplicemente arrivato primo.

Una pausa sull’AI può perfino servire. Ma una pausa scritta dai laboratori, per i laboratori, sorvegliata dai laboratori, non è una moratoria: è un brevetto sul futuro travestito da esame di coscienza. E quale delle due sia non lo decideranno i comunicati di Anthropic, lo decideremo noi, se avremo la sfrontatezza di pretendere che a frenare la macchina non sia la stessa mano che la guida.

Per Approfondire

The post Fermate l’AI, ma solo adesso che siamo primi: la strana pausa di Anthropic a quattro giorni dall’IPO first appeared on Matteo Flora.

]]>