Palantir, per tutti  indica una cosa precisa: il software che aiuta eserciti e intelligence a individuare un bersaglio. Ma c’è un altro modo di usare l’AI nel delicato mondo dei conflitti esiste “il Palantir buono”. Questa intelligenza artificiale si chiama Deeplomacy e non è nata in un’agenzia di sicurezza ma in un laboratorio universitario, l’HighEst Lab del dipartimento di Economia e Statistica «Cognetti de Martiis» dell’Università di Torino; osserva duecentotrenta Paesi nello stesso istante, terraferma, mare e spazio, legge oltre duemila basi dati senza fermarsi mai e prova a dire non soltanto che qualcosa sta per accadere, ma quando. Fino a dodici settimane prima, sostiene chi l’ha costruita, riesce a segnalare conflitti, guerre e sommosse, traducendo tutto in un Geopolitical Instability Index leggibile anche da un decisore umano.

Paola Pisano, già ministro per l’Innovazione e direttrice dell’l’HighEst Lab, ha preso un progetto nato nel laboratorio e lo ha trasformato in uno strumento per la de-escalation dei conflitti.

E’ lo stesso potere di Palantir, ma usato per cercare la pace e non gli obiettivi da colpire. «Oggi abbiamo sessantun conflitti», racconta Paola Pisano; è il periodo più caldo dal dopoguerra, un mondo molto più stressato di quello a cui eravamo abituati.

Deeplomacy: i primi a bussare sono quelli che dovremmo temere

Un’AI che vede una crisi con settimane di anticipo è uno strumento che qualcuno ovviamente desidera comprare. I primi a bussare alla porta sono stati proprio quelli da cui dovremmo guardarci: le società che sulle guerre ci guadagnano, quelle che vendono di più quando il mondo va a fuoco. Per loro una crisi annunciata in anticipo vale come una soffiata in Borsa; volevano comprare esattamente quelle previsioni. Pisano ha detto no, e ha spiegato perché con la formula che dà il titolo a tutto: «Siamo il Palantir buono; non facciamo previsioni per chi venderebbe di più i propri beni se ci fosse la guerra, lavoriamo per la de-escalation, per la pace».

Il no non è solo un principio generale. Ai clienti Deeplomacy  fa firmare clausole stringenti: se il sistema viene usato male, si spegne; la clausola non sta in fondo al contratto, sta dentro il codice, è ineludibile. Dentro Deeplomacy lavora anche un agente che aiuta i governi a intervenire sulla singola variabile che sta innescando un Paese: lo stesso potere che altrove serve a colpire un bersaglio, qui serve a capire come spegnere un conflitto.

Vale la pena chiedersi perché una persona che sedeva nella stanza dei bottoni la lasci per costruire tutto questo dentro un laboratorio. La risposta di  Paola Pisano è che voleva tornare a creare qualcosa con la testa e con le mani, tenendo in piedi una squadra giovanissima con i fondi raccolti bando dopo bando, azienda dopo azienda.

Di chi è l’intelligenza artificiale che usiamo ogni giorno

Vista da vicino, la macchina non parla soltanto di guerre lontane: parla di noi. La domanda che Paola Pisano mette sul tavolo è più grande anche di Deeplomacy: di chi è l’intelligenza artificiale che usiamo tutti i giorni? E che cosa succederebbe se domani chi la possiede chiudesse i rubinetti?  La dipendenza da questi sistemi, sottolinea, somiglia a quella che abbiamo da Google, dai social, da Internet: strumenti che non ci appartengono. Non è solo un rischio di continuità del servizio; è una questione di posti di lavoro, di competenze, di un Paese che sappia stare in piedi da solo sugli skill che serviranno nei prossimi anni.

C’è, secondo Pisano, una cosa sbagliata o forse solo comoda che ci hanno insegnato: a essere bravi utenti dell’AI, a scrivere bene i prompt, a usare gli strumenti che qualcun altro ci fornisce. È l’AI Literacy, l’alfabetizzazione, e va benissimo; ma la partita non si gioca lì. Si gioca dove l’intelligenza artificiale si costruisce: chi scrive gli algoritmi, chi crea gli agenti, chi coltiva i grandi modelli. Il vero divario è di creazione, non di alfabetizzazione, e lei lo chiama AI Creator Gap. I numeri lo raccontano senza sconti: negli Stati Uniti i grandi modelli linguistici si contano a migliaia, in Cina poco meno, in Europa il nome che viene in mente è quasi soltanto uno, la francese Mistral. Così non si compete.

Deeplomacy, un indice e una frase sul coraggio

C’è un indice che prova a misurare questa distanza: il Digital Sovereignty Index pubblicato nell’estate del 2025 da Nextcloud, la società di software open source guidata da Frank Karlitschek; misura quanto un Paese usi infrastrutture proprie invece di appoggiarsi a quelle di un altro Stato. La media europea è 16,31; la Finlandia, prima della classe, arriva a 64,5; l’Italia si ferma a 6,5. Va detto per correttezza che l’indice fotografa i server self-hosted visibili pubblicamente, quindi premia piccole imprese e appassionati e sottostima ciò che sta dietro i firewall delle grandi organizzazioni: è un segnale, più che una sentenza. Il segnale, però, è netto.

Mi aveva colpito una sua frase: all’Europa non mancano le competenze né le aziende, manca il coraggio. Paola Pisano parte esattamente da lì e ribalta quello che sembra unl verdetto. Certo siamo rimasti indietro, dice; abbiamo sbagliato, «chi se ne frega, iniziamo da oggi». Sotto quel «chi se ne frega» c’è un metodo.

«Io non sono per l’ormai perso», spiega; «sono per il reverse engineering: partire dall’ultimo livello di tecnologia e pian piano rifarci tutti i pezzi». Non pensa che la partita del cloud sia persa, perché il cloud evolve insieme all’AI e chi evolve lascia sempre dei varchi. Nel suo laboratorio ha smesso di usare i cloud non proprietari; si appoggia alla capacità di calcolo dell’università, prova a lavorare con sistemi europei o canadesi. Costa fatica, lo ammette; molte volte sarebbe più comodo tornare al fornitore americano e chiuderla lì. Solo che ogni scorciatoia, presa perché «tanto ormai», scava un po’ più a fondo lo stesso solco della dipendenza che diciamo di voler curare.

Della Cina, cosa studiare e cosa arginare

C’è un Paese in cui la dipendenza, e il modo di uscirne, si vedono meglio che altrove: la Cina. Una cosa, dice Pisano, dovremmo studiarla: il modo in cui Pechino pensa l’intelligenza artificiale, non come proprietà privata da difendere ma come bene comune da distribuire; basi dati condivise a cui attingono anche le piccole imprese, modelli a pesi aperti che chiunque può prendere e modificare, una strategia scritta in modo pulito e diretta all’obiettivo. C’è però anche quello che andrebbe arginato: ore di lavoro fuori misura, incentivi sproporzionati ai campioni nazionali, prezzi così bassi da svuotare il mercato dall’interno. Quando un’automobile europea da trentamila euro finisce in vetrina accanto a una cinese da diecimila, la scelta del consumatore è quasi già scritta; dietro quella scelta ci sono le nostre aziende che chiudono, una dopo l’altra.

Qui Paola Pisano dice una cosa che di rado si sente da chi lavora nella tecnologia: la responsabilità non è solo dei governi e dei dazi, è anche nostra, ogni volta che apriamo il portafoglio. Comprare italiano, comprare europeo, dare valore al territorio; lei è la prima a riconoscere che, con lo stipendio che finisce prima della fine del mese, davanti a quella differenza di prezzo non è mai una scelta facile. Resta il fatto che la somma di tante scelte private decide, alla fine, anche le questioni geopolitiche.

Ciò che la macchina non sa fare

Allora a noi europei che cosa resta? La risposta di Paola Pisano è in parte controcorrente. Non parte dalla creatività, come fanno quasi tutti; anzi, su quella dice una cosa diversa: l’intelligenza artificiale, sostiene, è estremamente creativa, a volte più di certi esseri umani, perché creare è spesso ricombinare, e a ricombinare le macchine sono bravissime. È una sua interpretazione, netta e discutibile; vale come tesi, non come dato verificato.

Quello che alla macchina manca, dice, sta altrove, e si riassume in tre parole. La prima è curiosità: non la specializzazione ossessiva che ci hanno venduto per una vita, il «concentrati o ti disperdi», ma l’esatto contrario; Leonardo da Vinci non si è chiuso in un settore, studiava, ascoltava, leggeva. La seconda è profondità: dedicare tempo vero alle cose invece di scivolare su ogni informazione senza toccarla davvero. La terza è collaborazione, quella tra esseri umani, e qui il dito finisce su un nervo scoperto dell’economia italiana: il Paese dei campanili, dei distretti gelosi, delle basi dati che nessuno vuole condividere, mentre altrove diventano un bene comune di settore.

Curiosità, profondità e collaborazione sono, per Pisano, ciò che una macchina per quanto abile a ricombinare ancora non sa fare. È la stessa ragione per cui, dentro Deeplomacy, alla fine della catena c’è sempre una persona che legge e interpreta perché quel punto sulla mappa sia diventato rosso: non un oracolo da credere sulla parola, ma una explainable AI, un’intelligenza tenuta a spiegarsi.

I due no che sono lo stesso no

In questa conversazione mi hanno colpito i due no di Pisano, che poi sono lo stesso no. Il primo l’ha detto ai mercanti di guerra che volevano comprare le previsioni; il secondo lo dice a chi sostiene che l’Italia, sul digitale, sia ormai fuori dai giochi. Le ho chiesto che cosa voglia fare in futuro: «far crescere il mio territorio che è l’Italia, poi l’Europa, poi il mondo». Piccolino, come programma.

Aveva ragione Joe Strummer dei Clash, che ne aveva fatto quasi un motto: the future is unwritten, il futuro non è ancora scritto. La stessa idea la pronuncia Doc in Ritorno al futuro: il futuro è come ve lo create. Tanto vale, allora, provare a crearselo buono e magari indipendente.

Mille alberi messi a dimora in un pomeriggio, su un versante che la tempesta del 2018 aveva lasciato scoperto, una squadra di piantumatori formata da ragazze, ragazzi, famiglie e bambini, una massa colorata e attenta che si è armata di zappe e palette per piantare larici, abeti rossi e bianchi. Sabato 19 settembre, sul Monte Panarotta, sopra Pergine Valsugana, VAIA ha riunito la propria community per la quinta edizione della Foresta degli Innovatori, l’appuntamento annuale con cui la Società Benefit e B Corp trentina unisce talk, laboratori per bambini e piantumazione collettiva, ma soprattutto riunisce la comunità dei Vaiers, i clienti Vaia che condividono valori e impostazioni con l’azienda. Il tema di quest’anno «Fuori Focus. Dove metti l’attenzione?», ha attraversato cinque interventi arrivati da mondi lontani: la divulgazione ambientale di Alice Pomiato, la pubblicità di Paolo Iabichino, il design di Elena Salmistraro, il giornalismo di Francesco Cancellato, la musica e l’agricoltura di Maurizio Carucci. A chiudere i talk è stato Federico Stefani, co-founder e presidente di VAIA, che nello stesso intervento ha presentato la nuova versione di VAIA Focus, un amplificatore ottico per smartphone in legno recuperato.

Il tema cade in una settimana speciale: dal 27 settembre si applicano le nuove regole europee contro le dichiarazioni ambientali ingannevoli, che obbligano le imprese a dimostrare ciò che scrivono su etichette e campagne; nel frattempo il modo in cui ci informiamo sta scivolando dal clic su un link alla risposta confezionata da un assistente di intelligenza artificiale. Per un’azienda che vende oggetti legati a un impegno ambientale, parlare di attenzione significa esporsi su due fronti insieme: la credibilità di ciò che promette e lo spazio che riesce a conquistare nella giornata delle persone.

Cinque edizioni della Foresta degli Innovatori: una comunità che torna

La Foresta degli Innovatori è nata nel 2022 sull’Alpe Cimbra, a Passo Coe, come giornata pensata per gli under 35: ogni albero piantato veniva dedicato a un giovane che stava provando a costruire qualcosa, e l’innovazione coincideva con la fiducia accordata a chi si metteva in gioco. Negli anni il formato si è allargato alle famiglie e ai partner del territorio. Nel 2024, a Folgaria, il tema era «Essere Ecosistema, nessuno escluso», con i laboratori del MUSE e il traguardo dei 100 mila alberi piantati; nel 2025 la giornata si è spostata a Passo Vezzena con «Materia Futuro». Quest’anno la scelta del Panarotta ha avuto un significato personale, che Stefani ha raccontato dal palco.

Il senso di comunità si è visto prima ancora dei talk. Daniele Rodia, responsabile della comunicazione di VAIA, ha aperto la giornata ricordando che sul prato c’erano persone presenti da cinque anni, «che ci conoscono, con le quali ci ritroviamo»; più tardi ha chiesto per alzata di mano chi avesse già partecipato alle edizioni precedenti, e le mani alzate sono state molte. Quattromila alberi piantati nelle prime quattro edizioni, mille in questa: la contabilità della Foresta degli Innovatori si fa con le zappette, un anno dopo l’altro, con le stesse facce che tornano e nuove che si aggiungono.

Federico Stefani: guardare il perimetro, oltre il centro

Federico Stefani è partito da una considerazione quasi logistica: chi era lì aveva scelto di esserci, chi dopo una programmazione lunga e chi seguendo l’istinto. Da quel dettaglio ha costruito il ragionamento che ha tenuto insieme la giornata: «Quando noi poniamo attenzione su qualcosa abbiamo fatto una scelta».  Il primo bersaglio è stato il gesto più ripetuto delle nostre giornate. Mentre ascoltava gli ospiti, ha raccontato, pensava allo scroll dei feed, a quella sequenza che promette sempre qualcosa in più: «Ma quel di più non accumula attenzione». L’augurio rivolto alla platea andava in direzione opposta, cioè imparare a «guardare meglio quello che già c’è». Per spiegarlo ha usato un’immagine da fotografo: davanti a una foto, osservare ciò che accade ai lati e non soltanto al centro. Lo stesso spostamento, nel suo discorso, vale per le persone, perché dentro ogni incontro si crea una relazione, e per i problemi, che contengono una possibilità di soluzione per chi ha la pazienza di guardarli da dentro.

VAIA è nata esattamente da questo movimento dello sguardo. Stefani ha indicato il paesaggio intorno al palco, dove i vuoti lasciati dalla tempesta dell’ottobre 2018 sono ancora leggibili, e ha richiamato la stima dei quarantadue milioni di alberi abbattuti: «Noi all’interno di quel problema abbiamo visto un’opportunità. Abbiamo scelto di porre l’attenzione e di costruire del valore». La domanda da cui è partita l’impresa, nel suo racconto, era se dentro un oggetto potessero convivere una materia a cui ridare vita, il saper fare di un artigiano e il futuro di un bosco. La prima risposta è stata il VAIA Cube, amplificatore passivo per smartphone ricavato dal legno schiantato; da lì è cresciuto un modello che l’azienda descrive come capace di rigenerare «tre volte»: la materia, la filiera, ciò che viene ricostruito sul territorio.

I numeri citati da Stefani danno la misura di questo modello e vanno letti come dati aziendali: oltre 200 mila oggetti VAIA distribuiti in 37 Paesi, 200 mila alberi piantati su 150 ettari, una filiera di 21 artigiani, interventi in più di 22 piccoli comuni. La cifra sugli alberi coincide con quella del comunicato ufficiale e racconta una traiettoria precisa: nel settembre 2024, alla terza edizione, l’azienda dichiarava 100 mila alberi e indicava i 200 mila entro il 2026 come obiettivo. Il raddoppio è arrivato nei tempi che VAIA stessa si era data, a una Foresta degli Innovatori di distanza.

Federico Stefani – Co-Founder e Presidente VAIA – Credits Giovanni Mocellin

Non avere già la risposta: l’attenzione come relazione

La parte più personale dell’intervento ha riguardato il modo in cui si comincia qualcosa. «Quando poniamo l’attenzione da qualche parte, non dobbiamo avere già la risposta», ha detto Stefani, e nemmeno sapere con esattezza perché lo facciamo. Ha citato l’incontro casuale con qualcuno a cui non si presta attenzione e che finisce per cambiare una vita, o l’hobby coltivato senza l’idea di trasformarlo in mestiere: dentro quel perimetro, ha spiegato, si scopre ciò che prima non si sapeva. Questo sguardo, nelle sue parole, è quello che lui e Alessandro Dietre, founder e CEO, cercano di mettere nei dettagli di ogni oggetto.

Il passaggio successivo ha dato al tema una forma quasi artigianale: «Mettere cura vuol dire mettere attenzione». Dietro ogni prodotto ci sono il falegname, i forestali, gli artigiani della filiera; con loro, secondo Stefani, l’attenzione deve funzionare in entrambi i sensi: «L’attenzione deve avere due sguardi: noi che la diamo e noi che la riceviamo». Detta da un imprenditore davanti alla propria community, la frase assume un peso concreto; descrive una relazione commerciale che pretende reciprocità, con chi lavora il legno e con chi compra l’oggetto finito.

Il tempo lungo: dall’intelligenza artificiale a Olive Matter

Sulla velocità Stefani ha evitato la posizione facile. «Noi non siamo contro l’intelligenza artificiale», ha chiarito, riconoscendo il valore degli strumenti che permettono di fare le cose più in fretta; mentre l’Europa ridisegna il calendario dell’AI Act, il tema della rapidità attraversa ormai ogni discussione d’impresa. Il suo punto era un altro: alcune cose non chiedono velocità. «L’amicizia non chiede velocità. Costruire e realizzare un bosco non ha bisogno di velocità, ha bisogno di tempo». Da qui la riflessione sul presente, formulata con un entusiasmo che in bocca a un imprenditore suona insolito: l’attenzione si può programmare, ma si esercita soltanto adesso, «e questa è una grande gioia».

L’esempio concreto è Olive Matter, il biocomposito che VAIA aveva annunciato come vicino proprio alla Foresta degli Innovatori dell’anno scorso e che ha lanciato il 12 giugno 2026 in Salento. Secondo Stefani è composto per il 77% da legno d’ulivo recuperato dalle piante colpite dalla Xylella e per il 23% da polimeri di origine vegetale, con una filiera interamente italiana; la ricerca è stata condotta con il Dipartimento di Ingegneria Industriale dell’Università di Trento e la prima applicazione è una cover per smartphone, legata alla rigenerazione di un metro quadrato di macchia mediterranea a Specchia, nel Leccese, per ogni pezzo venduto.

Il passaggio più interessante è stato l’ammissione di un dubbio. «Ma come ci abbiamo messo quasi quattro anni a fare questa cosa?», si è chiesto Stefani, raccontando di confrontarsi con altre realtà imprenditoriali e di domandarsi se stessero sbagliando. La risposta che si è dato riguarda la natura del lavoro: «Lì non c’è stata velocità, c’è stata relazione, attenzione». In un ecosistema startup che misura le aziende sulla rapidità di esecuzione, rivendicare il tempo lungo ha un costo, anche di prezzo: Iabichino, nel suo talk, ha raccontato di aver chiesto a Stefani a cena perché una cover dovesse costare poco meno di cinquanta euro, sentendosi rispondere che quel circuito produttivo non consente altro. «Questa scelta descrive chi siamo», ha concluso Stefani; il mercato dirà quanto sarà sostenibile nel tempo.

Fuori dalle Dolomiti, di nuovo a Pergine con la Foresta degli Innovatori

«Siamo usciti dalle Dolomiti», ha detto Stefani, e la Puglia di Olive Matter è la prova più evidente di un’azienda che non coincide più con il territorio in cui è nata. Proprio per questo il ritorno sul Panarotta ha avuto per lui un valore doppio. Quelle piste sono il luogo dove è cresciuto, dove suo padre, presente in platea, gli ha insegnato a sciare, come a quasi tutti i ragazzi di Pergine; vederle di nuovo animate, ha detto, «vale due volte». Il ritratto pubblicato da Nova100 del Sole 24 Ore proprio il giorno dell’evento aggiunge un tassello: dopo un’esperienza interrotta in un incubatore torinese, Stefani era tornato a Pergine a vivere per sei mesi dai genitori, mentre VAIA cercava la propria strada. Il fondatore che parla di attenzione al territorio è qualcuno che quel territorio aveva provato a lasciarlo.

La novità organizzativa dell’anno va nella stessa direzione. Dal palco Stefani ha annunciato VAIA Lab, il braccio culturale dell’azienda, presentato come la struttura che rende possibili giornate come questa: «Vaia è prima di tutto un atto culturale». L’idea che l’accompagna è che l’imprenditore abbia un ruolo sociale, che l’azienda possa stare a fianco del territorio e che l’innovazione passi dalla periferia. Per una Società Benefit la dichiarazione ha anche un risvolto di governance, perché l’impatto sociale entra formalmente tra gli scopi dell’impresa e va rendicontato.

Prima di scendere dal palco, Stefani ha chiamato accanto a sé Dietre, che in questi anni ha preferito restare dietro le quinte, e ha detto una frase poco consueta per un momento celebrativo: prendersi la responsabilità di alcune scelte «è faticoso, non è semplice». Alla fine, ha aggiunto, bisogna rispondere a ciò che si ritiene giusto. Poi ha ringraziato per nome, una a una, le persone dello staff e i volontari presenti. Nel comunicato diffuso dopo l’evento, lo stesso Stefani sintetizza così il senso della giornata: «quando dedichiamo del tempo all’incontro e al confronto, possiamo generare un impatto decisivo che va oltre la nostra volontà».

Il nuovo VAIA Focus: una lente per rallentare lo schermo

L’oggetto presentato alla Foresta degli Innovatori 2026 viene da lontano: Stefani ha ricordato che il progetto nasce nel 2021. VAIA Focus è un amplificatore ottico per smartphone, sviluppato con la Scuola Italiana Design di Padova, che unisce il legno di abete recuperato dalla tempesta Vaia e dalle infestazioni di bostrico a una lente di Fresnel, la tecnologia ottica nata nell’Ottocento per i fari. La lente ingrandisce lo schermo senza alimentazione, batterie o componenti elettronici. La nuova versione mantiene la funzione e interviene sul design: più compatta, tascabile, pensata per entrare nello zaino di chi viaggia. Vale anche qui il modello di restituzione uno a uno: a ogni VAIA Focus corrisponde un nuovo albero nelle Dolomiti, lo stesso territorio da cui arriva il legno.

Federico Stefani lo ha inserito in una famiglia coerente: il Cube amplifica la musica, il Focus amplifica le immagini, la cover trasforma in «un gesto di riconnessione» l’atto di prendere in mano il telefono. La tensione, però, è evidente e merita di essere nominata: presentare un accessorio per guardare video sullo smartphone in una giornata dedicata alla distrazione può sembrare una contraddizione. La tesi di VAIA è che l’amplificazione analogica cambi la natura del gesto, rendendo la visione più deliberata e meno compulsiva.

Le cinque lenti della Foresta degli Innovatori

Alice Pomiato e il vizio della sottrazione

Divulgatrice e formatrice nota come Aliceful, Pomiato ha aperto i talk con l’immagine di due semi con lo stesso DNA cresciuti in terreni diversi: uno povero d’acqua e di luce, l’altro in un bosco in equilibrio. Anche noi, ha spiegato, guardiamo il mondo con le lenti che ci hanno fornito. Le sue le avevano insegnato una sostenibilità fatta di decoro, cioè non sporcare e differenziare i rifiuti; lo studio le ha mostrato tutto ciò che sta a monte, le filiere globali che l’Occidente ha reso invisibili. Il suo racconto più efficace riguarda il passaggio all’alimentazione vegetariana: temeva di ritrovarsi con «pasta col sugo, verdure grigliate, insalata» e ha scoperto invece cereali integrali, agroecologia, agrobiodiversità. Il focus, ha detto, era nel posto sbagliato, perché ragionava per sottrazione invece che per moltiplicazione. Oggi vive da tre anni in Lunigiana, dove le dicono che abita «in mezzo al niente» e dove lei vede il contrario. La sua definizione è stata forse la più netta della giornata: «l’attenzione è la forza con cui noi oggi possiamo plasmare il quotidiano».

Alice Pomiato

Paolo Iabichino: lo scontrino come scheda elettorale

Scrittore, pubblicitario, fondatore dell’osservatorio Civic Brands e autore di «Parole che servono» (Apogeo), Iabichino ha raccontato di aver lasciato il mondo delle grandi agenzie a cinquant’anni, «due figli, due mutui, due gatti» e nessun paracadute, per scrivere soltanto per aziende disposte a dimostrare ciò che dichiarano. A ogni brief, ha spiegato, chiede che cosa si stia facendo per sostenere quello che si dirà. Il cuore del suo intervento è stato lo scontrino come strumento di cambiamento: scegliere richiede fatica, come camminare due chilometri fino a un’edicola invece di leggere il feed; lui stesso ha riaperto a Milano l’Edicola Lambrate, affidata a un edicolante trentenne. Il discorso si è spinto su un terreno esplicitamente politico, fino a Gaza, con toni volutamente scomodi. In chiusura ha citato la normativa europea sui green claims in arrivo «la settimana prossima»: per precisione, dal 27 settembre si applicano le regole della direttiva 2024/825 recepita in Italia, mentre la direttiva Green Claims vera e propria, più tecnica, resta in stallo dal giugno 2025. La sostanza del suo avvertimento non cambia: le dichiarazioni ambientali generiche diventano un rischio legale.

Paolo Iabichino

Elena Salmistraro: il coraggio di restare massimalista

Designer di prodotto e artista, Salmistraro si è presentata con «slide analogiche» da tenere in mano. Il suo racconto parte da un disagio: all’uscita dall’università dominava un minimalismo nordico, tutto bianco e patinato, e lei non veniva riconosciuta né dai designer né dagli artisti. La svolta sono stati i Primates, vasi di quaranta centimetri per Bosa, modellati in stampa 3D e rifiniti a mano con oro e rame; l’azienda temeva un fallimento, lei ha raccontato di aver vinto il premio come miglior designer emergente al Salone del Mobile. Ha mostrato i tappeti per Tai Ping e Axo, pupazzo per Cappellini ricavato dagli scarti di tessuto dei divani e cucito dalle sarte delle carceri di Monza e Bollate. Per lei fuori focus significa spostare lo sguardo: scegliere un progetto vuol dire escluderne un altro. La sua amicizia con VAIA, ha anticipato il moderatore, continuerà con un progetto comune ancora riservato.

Elena Salmistraro

Francesco Cancellato e la fine della parentesi di Gutenberg

Il direttore di Fanpage.it, autore de «Il nemico dentro» (Rizzoli), ha cominciato con un gioco: se fosse stato un reel o un articolo, l’80% della platea sarebbe già passato oltre. Quella che chiamiamo distrazione, ha sostenuto, è un altro modo di essere attenti, prodotto da un contesto cambiato. Il suo racconto ha attraversato sei secoli: la stampa a caratteri mobili di Gutenberg, intorno al 1450, rende riproducibile il testo e, con i tempi lenti di ogni rivoluzione, porta titoli, capitoli, giornali, opinione pubblica, democrazie liberali e totalitarismi; poi l’ipertesto, i motori di ricerca, gli algoritmi dei social, fino agli agenti di intelligenza artificiale che cercano e cliccano per noi. Cancellato ha stimato che solo il 3-4% dei lettori arrivi alle notizie passando dalla homepage; il dato è suo, ma la tendenza è documentata: secondo il Reuters Institute, citato da Agcom, il traffico da Google verso gli editori è calato del 33% nel 2025, e anche su Digitalic abbiamo raccontato come cambia la misurazione della visibilità nell’era delle risposte generate. Citando lo studioso Jeff Jarvis e la sua «parentesi di Gutenberg», Cancellato ha letto il ritorno di newsletter e podcast come il recupero di forme pre-testuali, fondate sulla fiducia in una persona. La sua conclusione: per reimparare a essere attenti bisogna reimparare a conversare.

Francesco Cancellato, direttore di Fan Page

Maurizio Carucci: di notte, osservato

Musicista, frontman degli Ex-Otago e cofondatore del collettivo agricolo Cascina Barbàn, Carucci ha letto un testo scritto di recente. Una notte di ottobre, alle cinque e tredici, il suo cane Grigio abbaia senza sosta; lui esce con la torcia e le ciabatte, la punta intorno e scopre una costellazione di occhi: caprioli, volpi, lupi. Da lì ha costruito una riflessione sulla convivenza, passando per il «making kin» di Donna Haraway e i «collettivi non umani» di Bruno Latour. La convivenza, ha precisato, non è armonia: un giovane lupo ha sbranato quattro sue pecore, e il giorno dopo lo ha visto banchettare accanto a una volpe. «Abbiamo potuto scegliere di non avere pecore», ha ripetuto, perché vivere con gli altri animali significa prendere continuamente le misure. Il racconto dell’antropologo Eduardo Kohn sui Runa dell’Amazzonia, che dormono a faccia in su perché il giaguaro li riconosca come un «tu», ha preparato la chiusa: uscito per controllare, Carucci ha scoperto di essere lui quello osservato. È, in forma narrativa, lo stesso spostamento dal centro al perimetro che Stefani avrebbe proposto poco dopo.

Maurizio Carucci / ex-Otago

Dalla parola alla zappa: la piantumazione collettiva per la Foresta degli Innovatori

La giornata si era aperta con la pratica di yoga guidata da Silvia Scopelliti e con i laboratori per bambini curati insieme al MUSE, il Museo delle Scienze di Trento. Dopo pranzo, alle 13:45, il ritrovo davanti al palco: guanti, zappette, una piantina a testa e la discesa verso una delle aree colpite dalla tempesta, dove sono stati messi a dimora i mille nuovi alberi dell’edizione. Stefani lo aveva detto con chiarezza poco prima: quello era soltanto «il primo gesto, perché altre persone dopo di noi cureranno quell’area e faranno diventare quel luogo un bosco». La chiusura è toccata allo special set degli Ex-Otago, suonato all’aperto sul Panarotta. L’evento è stato realizzato con Provincia Autonoma di Trento, Comune di Pergine Valsugana, Comunità di Valle Alta Valsugana Bersntol, ITAS, Cassa Rurale Alta Valsugana, MUSE, Pro loco Zivignago, Bersntoler Kulturinstitut e Associazione Artigiani Trentino.

Una foresta che vedranno altri

Rimessi in fila, gli interventi della Foresta degli Innovatori 2026 descrivono un’attenzione che somiglia a una forma di manutenzione: Cancellato la chiama conversazione, Carucci convivenza, Stefani relazione «che va in due direzioni». Un bosco la rende visibile meglio di qualsiasi slide: le piantine messe a dimora sabato impiegheranno decenni a somigliare a una foresta, e chi le vedrà adulte, come ha ricordato Stefani, potrebbe non essere nessuno di quelli che le hanno piantate. La comunità costruita da VAIA in cinque edizioni si misura in questa disponibilità: dedicare tempo a qualcosa di cui non si vedrà la fine, fidandosi che qualcun altro, nel frattempo, continuerà a guardarlo.

Kolsquare ha pubblicato la terza edizione di The Future of Influencer Marketing: The 2026/2027 Outlook, l’indagine realizzata con B2B International su 1.123 decisori marketing di sette mercati europei, con rilevazione condotta tra maggio e giugno 2026; l’Italia pesa per 170 risposte, su un campione in cui sette intervistati su dieci hanno ruoli di direzione e il 96% decide o influenza direttamente budget e selezione dei partner. Il quadro che ne esce interessa chi vende tecnologia tanto quanto chi vende beauty: l’Influencer Marketing sta completando il passaggio da esperimento a infrastruttura, con tutte le tensioni organizzative che quel passaggio comporta.

Influencer Marketing, la crescita è quasi universale

L’89% di brand e agenzie prevede di aumentare la spesa in Influencer Marketing nei prossimi dodici mesi; era il 75% nel 2025 e il 54% nel 2024. L’85% ha allargato il proprio parco creator nell’ultimo anno e un’altra quota identica intende farlo ancora. La quota di marketer che lavora con cento o più influencer è raddoppiata dal 2024, passando dal 18% al 37%, mentre chi ne gestisce meno di cinquanta è sceso dal 65% al 44%.

I budget seguono la stessa curva: il 60% delle organizzazioni investe oltre 100.000 euro l’anno, il 36% supera i 200.000, e la mediana tocca 312.000 euro nelle aziende sopra i 500 dipendenti, 367.000 oltre i mille. Il canale ha smesso di essere una voce residuale del piano media: per il 29% dei brand genera più di un quarto del fatturato marketing-driven.

La maturità organizzativa, però, resta indietro. Il 79% dei brand considera l’Influencer Marketing un motore di crescita o un canale di supporto importante, ma solo uno su dieci dichiara di averlo integrato pienamente nel mix. Il commento più duro arriva da una voce italiana, Raffaella Pierpaoli di Intarget: il problema non è l’investimento, è l’integrazione; molte aziende hanno capito che la leva funziona, ma continuano a gestirla come strato di campagna e non come strato strategico.

L’Italia dell’Influencer Marketing: la curatrice della qualità

Kolsquare assegna a ogni mercato un profilo, e all’Italia tocca quello del Quality-First Curator. La qualità e lo stile dei contenuti guidano la selezione dei creator per il 51% dei marketer italiani, contro una media europea del 42% e il valore più alto fra tutti i Paesi analizzati; interazioni e sentiment dell’audience pesano per il 35% contro il 26% europeo, la condotta etica per il 32% contro il 25%. I micro influencer restano il cuore delle strategie italiane (75%, sopra il 71% europeo), mentre mega creator e celebrity sono usati meno che in qualunque altro mercato: una conferma di quanto già raccontava il report Inflead sul travel, dove l’Influencer Marketing italiano si è spostato su collaborazioni continuative più che su singole attivazioni.

Anche il modo di produrre i contenuti diverge: la co-creazione con i creator arriva al 38% contro il 28% europeo, il valore più alto del continente; gli UGC salgono al 27% contro il 21%; l’uso di contenuti creator dentro le campagne paid si ferma al 23% contro il 31%, il dato più basso rilevato. Sul fronte dei compensi, l’Italia usa i fee fissi meno di chiunque altro e ricorre più della media a formule ibride che combinano gifting e commissione.

Il contraltare è la misurazione. Solo il 26% dei brand italiani definisce l’Influencer Marketing un motore di crescita centrale, contro il 31% europeo; il sentiment è un KPI di riferimento per il 23% degli italiani contro il 15% della media, mentre conversioni, CTR e CPM restano marginali (le conversioni si fermano all’11,2%, il valore più basso dei sette mercati). Il 28,3% delle aziende italiane supera i 200.000 euro di spesa annua, ultima posizione in Europa dove la media è 35,7%. Cresce, insomma, ma con prudenza e con metriche morbide. Sempre Pierpaoli sintetizza il rischio: si confonde spesso la misurabilità con il significato, perché un numero può essere facile da riportare e difficile da interpretare.

Il resto del quadro italiano è quello di un mercato assestato: solo l’8% dichiara strategie in fase iniziale, i costi crescenti preoccupano il 24% contro il 29% europeo, la gestione delle relazioni con i creator appena il 9% contro il 18%.

AI e piattaforme: l’impalcatura operativa si riscrive

L’84% delle organizzazioni europee usa già intelligenza artificiale o automazione nell’Influencer Marketing, e l’Italia è perfettamente in media; solo il 5% dichiara di non prenderla in considerazione. Gli usi prevalenti sono analitici più che predittivi: analisi dell’audience e rilevazione delle frodi (62%), analisi dei contenuti (59%), pianificazione delle campagne (52%), mentre la previsione delle performance resta ferma al 13,9%. L’adozione di piattaforme dedicate è il salto più netto dell’anno: 65% contro il 39% del 2025.

È la stessa direzione che Digitalic aveva raccontato a luglio con il lancio dell’MCP nativo di Kolsquare, che collega dati di campagna e creator agli assistenti AI aziendali: la domanda in linguaggio naturale, la risposta sui numeri vivi. Sul piano dei canali, Instagram resta l’ancora con il 91%, LinkedIn sale al 40% e WhatsApp triplica al 15%; TikTok perde 12,5 punti e scende al 67%, con un arretramento registrato in tutti e sette i mercati.

L’etica diventa condizione di ingaggio

La parte più interessante del report riguarda ciò che i brand chiedono ai creator prima di firmare. Il rispetto delle regole pubblicitarie guida con il 47,5%, seguito dall’adesione alla carta etica aziendale (45%) e dalla rinuncia a prodotti sensibili (42,5%). Le condizioni che crescono più in fretta sono quelle valoriali: prendere posizione contro il bullismo sale di nove punti al 34%, la sensibilità ambientale passa dal 17% al 30%, la dichiarazione dell’uso di filtri dal 15% al 24%. Per la prima volta l’indagine misura anche la richiesta di una certificazione di Responsible Influence: il 29% nei mercati dove esiste, con punte del 41% in Benelux.

L’Italia guida l’Europa sulla carta etica d’impresa, richiesta dal 57% dei brand. Un dato che va letto insieme alla stagione regolatoria aperta dal caso Ferragni, di cui abbiamo discusso nell’intervista a Silvio De Rossi sugli influencer virtuali e sulla fine dell’influencer marketing per come lo conoscevamo: il mercato italiano ha reagito alle sanzioni formalizzando le condizioni, non riducendo gli investimenti.

I dati italiani commentati in diretta

Kolsquare presenta i risultati dell’edizione italiana in un appuntamento online dedicato al mercato nazionale, con il dettaglio dei 170 rispondenti italiani e il confronto con gli altri sei mercati: seguite il webinar.

Le sfide che i marketer europei indicano non hanno un vincitore netto: equilibrio fra libertà del creator e controllo del brand al 29,5%, costi in aumento al 29,4%, cambi di algoritmo al 27%, misurazione del ROI al 26,8%. Le opportunità, invece, sono nette: video in formato breve al 49%, AI al 45%, strategie always-on al 39%, social commerce in salita dal 28% al 34%.

C’è un numero che vale più degli altri, e riguarda la fiducia: solo il 41% dei marketer si dichiara pienamente sicuro di saper misurare l’engagement rate, che pure è il KPI più usato in tutte e tre le edizioni dello studio. L’industria ha imparato a spendere in Influencer Marketing prima di imparare a rendicontarlo, e il divario fra le due competenze è la vera partita del 2027; chi lavora nel canale in Italia lo sa da tempo, come racconta il tema ricorrente della monetizzazione difficile per la gran parte dei creator. Il report Kolsquare, disponibile su kolsquare.com, documenta il momento in cui quella asimmetria smette di essere un dettaglio operativo e diventa il criterio con cui i CFO decideranno la prossima riga di budget.

-> English version

Molti hanno sempre pensato che la piccola impresa avesse piccoli problemi di sicurezza; non è così, oggi questa idea è semplicemente molto lontana dalla realtà. Ransomware, furto di identità, phishing potenziato dall’intelligenza artificiale: l’arsenale delle minacce è identico per chiunque, dal grande gruppo industriale allo studio con cinque dipendenti. Cambia, però, una sola variabile, ovvero la capacità di rispondere rapidamente.

Gianluca Pareschi, Partner Account Manager di Cisco, lo spiega: “le grandi aziende dispongono di SOC interni, team dedicati e processi maturi, mentre il pericolo per molte PMI non è tanto la disponibilità di strumenti, quanto la mancanza di supporto qualificato per utilizzarli in modo continuativo e reagire rapidamente agli incidenti di sicurezza”. Il risultato è un’asimmetria che si misura in tempo; il tempo che intercorre tra la violazione e la sua scoperta, le settimane che i dati Clusit calcolano sulla media delle PMI italiane, l’80% degli incidenti europei che l’ENISA attribuisce a vulnerabilità già note, quindi a falle che un monitoraggio costante avrebbe potuto chiudere facilmente. E aggiunge “spesso le aziende hanno tecnologie diverse distribuite tra endpoint, rete, cloud, collaboration e identità, ma manca una visione centralizzata. Questo porta a tempi di rilevazione troppo lunghi e a una difficoltà reale nel distinguere un semplice alert da un incidente critico.

L’intelligenza artificiale generativa e agentica sta inoltre ampliando enormemente la superficie di rischio: applicazioni che dialogano autonomamente, flussi di dati non governati, accessi API, strumenti SaaS utilizzati senza controllo. Molte aziende oggi non hanno piena visibilità di dove transitano i dati sensibili e di chi li utilizza.

In parallelo, normative come NIS2 stanno spostando il tema della cybersecurity da scelta tecnologica a responsabilità operativa e di filiera. Anche realtà medio-piccole entrano ormai direttamente o indirettamente nel perimetro degli obblighi”.

Emanuele Spini, New Route To Market Lead, Partner Sales in Cisco, riconduce tutto a una parola sola: visibilità. “Molte organizzazioni non si accorgono di essere state violate fino a molto tempo dopo il danno, perché la complessità crescente delle reti e le infrastrutture legacy rendono difficile ottenere una visibilità completa e tempestiva”; e mette un numero accanto al concetto, perché i punti ciechi di una rete possono valere dal 20 al 40% dell’infrastruttura non gestita o sconosciuta, con scoperte delle violazioni che in media arrivano dopo cento o duecento giorni. Non si difende ciò che non si vede… “In sintesi, la sfida principale oggi è proprio la visibilità reale e completa della rete, che permette di rilevare gli attacchi in tempo reale e di rispondere efficacemente, riducendo così i rischi e i danni potenziali”.

Emanuele Spini, New Route To Market Lead, Partner Sales Cisco

Federico Grassi, General Manager Computer Nessos, Business Unit Cisco di Computer Gross, racconta che “Dal nostro osservatorio vediamo un’evoluzione estremamente rapida delle minacce informatiche, non solo dal punto di vista quantitativo, ma soprattutto qualitativo. Gli attacchi sono sempre più sofisticati, automatizzati e difficili da individuare, anche perché l’intelligenza artificiale viene ormai utilizzata per rendere tecniche come phishing, social engineering e compromissione delle identità digitali molto più credibili ed efficaci.

Molte aziende, in particolare le PMI, si trovano oggi ad affrontare una superficie di esposizione sempre più ampia senza avere piena visibilità dei rischi reali presenti all’interno della propria infrastruttura digitale.

Il ruolo del canale è proprio quello di ridurre questo gap: aiutiamo le organizzazioni a passare da un approccio reattivo, basato sulla gestione del danno, a un modello proattivo di prevenzione, monitoraggio continuo e risposta tempestiva, intercettando le minacce prima che possano trasformarsi in incidenti critici per il business”.

Federico Grassi, General Manager Computer Nessos, Business Unit Cisco di Computer Gross

Che cos’è CollaboraSec e per chi è

Prima ancora di dire che cosa fa, conviene dire a chi si rivolge: CollaboraSec è uno strumento dedicato al canale per le PMI. È un servizio gestito di cybersecurity basato su tecnologia Cisco XDR, pensato perché system integrator e rivenditori possano offrire ai propri clienti un livello di protezione enterprise senza dover costruire un intero SOC. La conoscenza delle logiche di business dell’azienda è uno degli aspetti fondamentali per una sicurezza completa, da cui non si può prescindere, per questo il partner è sempre parte essenziale di qualunque servizio di protezione.

Lucia Cioni, Network Manager Collabora

Lucia Cioni, Network Manager di Collabora, lo descrive come un ecosistema, non come un singolo prodotto: una catena che parte dalla Strategic Security Advisory, passa per gli Advanced Security Services come vulnerability assessment, penetration test e attività OSINT, prosegue con la fase di Enablement and Deployment fatta di demo, proof of concept e training sul campo, fino al cuore dell’offerta, i Managed Services. Il concetto su cui si basa questa tecnologia non è la reazione, ma è la prevenzione: “consente di monitorare le minacce informatiche in tempo reale, identificando comportamenti anomali e tentativi di intrusione prima che possano trasformarsi in incidenti critici ed irrecuperabili”.

Pareschi sintetizza che “l’obiettivo è rendere la cybersecurity accessibile, sostenibile e gestibile anche per aziende che non dispongono di team interni dedicati”.

Collabora, vent’anni di competence center prima del suffisso SEC

Per capire CollaboraSec bisogna fare un passo indietro, fino a “Collabora”. Collabora è il Cisco Advisor Competence Center che opera al servizio del canale di Computer Gross. È una società distinta, con una propria struttura, ma profondamente integrata nell’ecosistema del distributore. Nato vent’anni fa da un’iniziativa di Computer Nessos e Cisco Italia come abilitatore di business per i partner sulle nuove tecnologie complesse di Cisco; un luogo dove il canale ha sempre trovato consulenza, progettazione e affiancamento specialistico. Cioni lo racconta come una continuità: “con CollaboraSec applichiamo, oggi, lo stesso modello di collaborazione, competenza e supporto continuo al mondo della cyber security”.

Pareschi parla di Collabora come una “piattaforma di enablement per i partner”. Secondo Federico Grassi: “CollaboraSec è un mix raro, di leadership tecnologica di Cisco, di esperienza del distributore, di scalabilità del supporto del vendor con un team super certificato a disposizione del canale, il tutto coordinato lungo la filiera vendor, distributore, i partner e l’utente finale”.

Non è soltanto un servizio tecnologico. È un modello operativo che combina piattaforma, monitoraggio, correlazione degli eventi, consulenza specialistica e supporto continuo.

Sotto il cofano: Cisco XDR

Il motore tecnologico è l’ecosistema Cisco Security, e in particolare le capacità di Cisco XDR. La piattaforma raccoglie i segnali da domini che di norma non si parlano tra loro, endpoint, rete, identità, email, ambienti cloud e strumenti di terze parti, e li correla in modo automatico per costruire una vista unificata degli incidenti. Il vantaggio non è solo vedere di più; è vedere meno cose inutili. Pareschi lo chiama “ridurre drasticamente il rumore operativo”, cioè distinguere l’alert qualunque dall’incidente che conta davvero, che è poi la fatica quotidiana di chi presidia una rete.

Spini aggiunge la dimensione metodologica, quella che Cisco ha maturato nei grandi SOC e che ora scende di scala: “la visibilità continua e approfondita, il monitoraggio comportamentale e la segmentazione della rete, per individuare tempestivamente attività anomale e limitare i movimenti laterali degli attaccanti”. Cioni precisa che la base Cisco XDR non è un punto di arrivo, perché su quella fondazione CollaboraSec innesta competenze specialistiche e ulteriori soluzioni per costruire un ecosistema di sicurezza modellato sul cliente reale, non sul cliente standard.

Gianluca Pareschi, Partner Account Manager Cisco

La catena che si vede: la certificazione Cisco Powered Services

Qui entra un elemento di cui il cliente finale percepisce il valore: Collabora è Partner certificato Cisco attraverso il programma Cisco Powered Services, una certificazione che, come spiega Spini, “attesta la capacità di costruire, fornire, gestire e supportare servizi gestiti basati su tecnologie Cisco”. Non è un timbro decorativo; è una garanzia di processo e di delivery lungo l’intera filiera, che si traduce in “certezza di risultati garantiti, qualità riconosciuta, sicurezza e affidabilità basate su standard rigorosi”, con un modello di consumo flessibile. Per la piccola impresa significa una cosa sola, che dietro il proprio rivenditore di fiducia c’è una struttura certificata e verificata.

Il vero differenziante non è la tecnologia, è la consulenza

Sul mercato di servizi gestiti di sicurezza ce ne sono molti, alcuni acquistabili online in pochi clic; la domanda legittima è perché sceglierne uno costruito dal canale. La risposta è in una dimensione che la tecnologia da sola non offre. Pareschi la individua così: “dietro questo servizio gestito, non ci sono esclusivamente analisti, c’è uno strato in più che è fatto di consulenti”. CollaboraSec non si limita a generare allarmi; aiuta partner e cliente a interpretare il rischio, a contestualizzarlo, a decidere.

È il passaggio dalla pura erogazione tecnica alla consulenza continua a creare valore, ed è ciò che permette al canale anche di intercettare i bisogni emergenti e quindi di crescere, insieme ai clienti, su sicurezza e tecnologia avanzata. “Partendo da questa base tecnologica e valorizzando le nostre competenze specialistiche, siamo in grado di integrare ulteriori soluzioni Cisco per costruire un ecosistema di sicurezza ancora più evoluto, resiliente e perfettamente adattato alle esigenze operative del cliente”, spiega Federico Grassi, che indica nel rapporto ventennale con Cisco e con i rivenditori italiani il fondamento di tutto questo, un’esperienza condivisa che restituisce “un livello di qualità, affidabilità e integrazione superiore rispetto a molte soluzioni standalone presenti oggi sul mercato”.

Per il rivenditore questo si traduce in empowerment: velocità di attivazione, semplicità di adozione, superficie protetta più ampia, conformità a NIS2 e un rapporto di fiducia rinnovato con il proprio cliente. Per il cliente, di dimensione media o piccola, l’esperienza è fatta di continuità di monitoraggio, visibilità su punti deboli che non aveva mai mappato, certificazione della catena, un consulente di alto livello a fianco e un impegno di tempo interno ridotto al minimo. Il canale resta sempre centrale; è il partner che conosce processi e priorità dell’azienda, ed è quel patrimonio di fiducia a rendere davvero efficace un servizio erogato a distanza.

L’AI agentica

C’è una ragione di urgenza che va oltre lo stato attuale della sicurezza, e ha a che fare con un perimetro che si modifica rapidamente sotto la pressione dell’AI. Emanuele Spini lo spiega così: “se non si vede cosa accade nell’ambiente, non si può sapere se si è sotto attacco”. Pareschi racconta perché il problema sta cambiando di natura: “oggi non abbiamo più soltanto utenti che accedono ai sistemi, ma anche agenti software che leggono dati, dialogano tra applicazioni, attivano workflow e prendono decisioni operative”; nuovi punti ciechi, nuove superfici di esposizione, flussi che crescono in modo esponenziale e di cui spesso l’azienda non ha la minima percezione.

Il punto non è fermare l’innovazione, è governarla. Lucia Cioni analizza il concetto attorno a cui CollaboraSec opera: l’osservabilità, ripensata per intercettare anche i comportamenti che non nascono più da utenti o sistemi tradizionali, ma da automazioni e agenti intelligenti che operano dentro l’ecosistema aziendale. È una sicurezza che deve farsi adattiva, capace di osservare non solo le persone ma le interazioni tra macchine, agenti e dati; ed è esattamente il terreno su cui la capacità di unificare eventi da fonti diverse diventa una condizione essenziale per la difesa.

Dalla sicurezza come costo alla sicurezza come continuità

Resta la percezione che per molte PMI è ancora l’ostacolo più alto, l’idea della cybersecurity come spesa da rimandare o come complessità difficile da gestire. Il partner con CollaboraSec porta alle PMI un modello di sicurezza evoluto, continuo e accessibile, capace di trasformare la sicurezza da costo percepito a leva concreta di continuità operativa e fiducia digitale. Le aziende possono alleggerirsi le spalle da costi, minacce e dubbi tecnologici, libere di tornare al proprio core business, supportate dal loro partner di fiducia e da un servizio di livello enterprise.

Digitalic per

Londra, 14 settembre 2026: Thinkers50 ha annunciato la Leaders50 2026, la lista biennale di cinquanta leader scelti non da un algoritmo e nemmeno da una redazione, ma dagli studiosi di management che ogni due anni compongono il ranking dei pensatori più influenti al mondo. Tra i cinquanta nomi c’è Francesca Moriani, CEO di Var Group. È l’unica italiana della lista; l’unico altro italiano è Andrea Illy, presidente di illycaffè. Accanto a loro ci sono Satya Nadella, Jensen Huang, Mary Barra, Lisa Su, Leena Nair, Ted Sarandos.

Il meccanismo conta quanto l’esito. Le candidature arrivano soltanto dai Thinkers50 Ranked Thinkers e dai vincitori dei Distinguished Achievement Awards, cioè da chi la leadership la studia per mestiere; il criterio dichiarato non è la dimensione dell’azienda né la visibilità mediatica, ma l’impatto, il contributo e l’impegno nel far crescere altre persone. Des Dearlove, cofondatore di Thinkers50, ha spiegato che la lista serve a mettere in luce leader da cui gli altri possano imparare. I cinquanta saranno premiati al Thinkers50 London Summit del 2 novembre, insieme ai primi Leaders50 Distinguished Achievement Awards.

Questa è la notizia, poi c’è una storia che Digitalic segue da anni.

Francesca Moriani e il sogno nel cassetto del 2015

Nel settembre 2015 pubblicammo un’intervista a Francesca Moriani intitolata “Siamo più determinate, senza perdere la sensibilità”. Aveva 38 anni, guidava Var Group da un anno, l’azienda fatturava 190 milioni di euro. Alla domanda sugli obiettivi rispose parlando di talenti, di squadra, di università; poi aggiunse una frase che allora sembrava una confidenza e oggi si legge come una previsione: «il mio “sogno nel cassetto” che aspetta di diventare realtà: portare Var Group all’estero per mettere a fattor comune dell’azienda le mie esperienze internazionali». Il comunicato di Var Group di questa settimana parla di sedici Paesi e di 908,8 milioni di euro di fatturato. Il cassetto si è aperto. Nella stessa intervista c’era anche il tema del cognome, affrontato senza giri di parole: l’orgoglio per quello che il babbo Giovanni aveva costruito, la fatica di far emergere chi fosse “Francesca”, il piacere quasi divertito di sentire un fornitore chiedere a suo padre se fosse lui il papà di Francesca. Chi nel canale IT italiano ha vissuto quegli anni sa quanto quella domanda pesasse.

Il cerchio che si chiude nel Regno Unito

Il 2 novembre Francesca Moriani salirà su un palco britannico, e la simmetria merita di essere registrata: la carriera non è iniziata a Londra, ma nelle isole britanniche sì. Laurea in Economia Aziendale a Pisa, poi l’MBA in International Management alla University of Brighton; nel 2003, a ventisei anni, il primo incarico di rilievo come Responsabile Telesales per IBM a Dublino. Ventitré anni fa: una giovane donna italiana nelle vendite del più grande vendor del mondo, in una lingua che non è la sua, lontano da casa.
Quelle sono le «esperienze internazionali» che nel 2015 disse a Digitalic di voler mettere a fattor comune dell’azienda. Il Regno Unito è il luogo dove ha imparato a lavorare in inglese per conto di altri; ci torna a novembre come una delle cinquanta persone che, secondo chi studia il management di mestiere, stanno cambiando il modo di guidare le organizzazioni.

Dal welfare per le madri ai dieci giorni di paternità

C’è un secondo filo che attraversa gli undici anni, meno raccontato e più rivelatore. Nel 2015 Francesca Moriani ci disse che nell’ICT mancava attenzione per le madri che lavorano, che le persone venivano valutate sulle ore passate in ufficio e non sui risultati, e che Var Group aveva risposto con asilo aziendale, contributi per i centri estivi e per i libri scolastici.
Nel 2026 l’elenco del welfare aziendale comprende dieci giorni aggiuntivi di paternità pagati al 100%, microcredito aziendale, welfare sportivo, contributo babysitter e contributo disabilità. Lo spostamento è preciso: si è passati dal sostenere le madri al ridistribuire la cura, che è il modo più concreto di affrontare il problema descritto nel 2015. Undici anni fa era una rivendicazione; adesso è un asset aziendale.

Dal centrocampo alla leadership diffusa

Sempre nel 2015, Francesca Moriani descrisse il proprio ruolo con un’immagine sportiva: non solo allenatore, ma un allenatore che scende in campo, gioca a centrocampo e aiuta gli altri a fare gol. Era una metafora generosa, con un limite implicito: al centro del campo c’era comunque lei.

Il percorso successivo ha smontato proprio quel centrocampo. Var Group ha abbandonato l’organizzazione piramidale per un modello di responsabilità condivisa, fino all’assetto olocratico; Moriani lo ha raccontato in Braveship. Il coraggio di innovare: perché intraprendere un viaggio verso la leadership diffusa (Egea), un libro che è insieme autobiografia e resoconto di una riorganizzazione. Presentandolo, ha sintetizzato la cultura dell’errore con una formula che nel nostro settore raramente si sente pronunciare da un amministratore delegato: «È meglio chiedere scusa che chiedere permesso». In un’altra intervista, parlando del suo passato di sciatrice agonistica, ha detto di aver imparato «più dalle cadute che dalle vittorie». Qui sta, secondo noi, (secondo me) la ragione per cui la candidatura è arrivata da studiosi di management: quello che Var Group ha fatto sulle deleghe interessa la letteratura organizzativa

I palchi: dalla tela al film

Chi segue Digitalic ha incontrato Francesca Moriani anche attraverso le sue aperture di evento, che negli anni sono diventate una piccola serie di fotogrammi. Alla Convention Var Group del 2024 disse: «La tecnologia è una tela su cui disegnare i nostri sogni», citando Marie Curie per invitare a comprendere di più e a temere di meno.
Un anno dopo, aprendo Zing in dialogo con Chiara Francini, ha spiegato perché la convention aveva cambiato pelle: «Il mondo va troppo veloce. Non è più tempo di scattare fotografie, ma di girare un film che scorre insieme alle persone». Sullo stesso palco ha messo a fuoco l’idea di intelligenza plurale, l’incontro tra intelligenza umana, artificiale e organizzativa, e ha detto una frase che molti CEO italiani non hanno ancora pronunciato: «L’intelligenza artificiale non è una nuova tecnologia. È un game changer». Non basta innestarla nei processi esistenti, vanno riscritti.

Vale la pena notare un dettaglio che oggi si illumina di luce diversa: tra gli ospiti di Zing 2025 c’era Doug Kirkpatrick, uno dei riferimenti internazionali dell’autogestione organizzativa. Il mondo che ora inserisce Moriani nella Leaders50 era già salito su quel palco, invitato da lei.

Una storia anche nostra

Questo articolo non è neutrale, e sarebbe ipocrita fingerlo. Digitalic ha raccontato Var Group dai tempi delle convention di Cervia con 550 persone, quando scrivemmo che l’azienda aveva una qualità semplice e rarissima: fa quello che dice abbiamo vissuto insieme l’esperienza incredibile del Var Group Show e decine di altre. Da allora quell’evento è cresciuto fino a 2.500 partecipanti e ha cambiato nome; io ho avuto il privilegio di salire su quel palco, di moderare Zing Design e la tavola rotonda sull’Internet of Agents, di lavorare accanto a quelle persone.

C’è una ragione precisa per cui ci sono arrivato: Maurizio Fraccari, che ci ha lasciati a febbraio, mi accolse nella famiglia Var Group cedendomi un palco che per anni era stato il suo, con l’eleganza di un principe. Nel 2017 quel palco lo condivideva con Francesca Moriani, al kick-off. Un riconoscimento internazionale come questo si misura in impatto e in modelli organizzativi; per chi c’era, si misura anche in persone.

Leaders50 2026: la lista completa

Ecco tutti i cinquanta leader della Leaders50 2026, in ordine alfabetico come pubblicati da Thinkers50:

• Tarang Amin, CEO, e.l.f. Beauty
• Bill Anderson, CEO, Bayer
• Ana Paula Assis, Senior VP e Chair IBM Europa, Medio Oriente, Nord Africa e Asia Pacifico
• Mary Barra, CEO, General Motors
• Subha Barry, Presidente, Seramount
• Ed Bastian, CEO, Delta Airlines
• Cécile Béliot, CEO, Bel Group
• Olivier Blum, CEO, Schneider Electric
• Jesper Brodin, Senior advisor IKEA Foundation; chair di The Earthshot Prize
• Niels Christiansen, CEO, LEGO Group
• Ken Denman, Managing Director, Sway Ventures
• Saori Dubourg, CEO, Greiner AG
• Aicha Evans, CEO, Zoox
• Margo Georgiadis, CEO-partner, Flagship Pioneering
• Mursal Hedayat, CEO e fondatrice, Chatterbox
• Jensen Huang, cofondatore, Presidente e CEO, Nvidia
• Merete Hverven, CEO, Visma
• Andrea Illy, Presidente, illycaffè
• Sharon Price John, Presidente e CEO, Carter’s
• Francine Katsoudas, EVP e Chief People, Policy & Purpose Officer, Cisco
• Ken Keller, Chair e CEO, Daiichi Sankyo, Inc.
• Jure Knez, Presidente e cofondatore, DEWESoft
• Li Bin, fondatore, Chairman e CEO, NIO
• Mike Mahoney, Chair e CEO, Boston Scientific
• Raja Al Mazrouei, CEO, Etihad Credit Insurance
• Frédéric Mazzella, fondatore di BlaBlaCar e Dift
• Kenneth McGrath, CEO, Lidl
• Doug McMillon, già Presidente e CEO, Walmart
• Florent Menegaux, CEO, Michelin Group
• Michael Miebach, CEO, Mastercard
• Francesca Moriani, CEO, Var Group
• Satya Nadella, CEO, Microsoft
• Leena Nair, CEO, Chanel
• Vas Narasimhan, CEO, Novartis
• Kevin Nolan, Presidente e CEO, GE Appliances
• Jacqueline Novogratz, fondatrice e CEO, Acumen
• Ndidi Okonkwo Nwuneli, Executive Chair, Sahel Group; cofondatrice, Wealth4Impact
• Miranda Qu, Presidente e cofondatrice, Xiaohongshu
• Cindy Rose, CEO, WPP
• Leigh-Ann Russell, CTO e global head of engineering, BNY
• Etienne Salborn, fondatore, Social Innovation Academy
• Dilhan Pillay Sandrasegara, CEO, Temasek
• Ted Sarandos, co-CEO, Netflix
• Jim Hagemann Snabe, Chairman, Siemens AG
• John Stankey, Chair e CEO, AT&T
• Nick Studer, Presidente e CEO, Marsh Risk
• Lisa Su, Chair e CEO, AMD
• Jessica Tan, EVP e Presidente, Sun Life Canada
• Warner Thomas, CEO, Sutter Health
• Suresh Venkatarayalu, SVP e CTO, Honeywell; Presidente di Honeywell Connected Enterprise

Cosa dice davvero questo riconoscimento

Francesca Moriani ha commentato l’ingresso nella lista ringraziando le migliaia di persone di Var Group e citando «le discussioni, le difficoltà, gli errori e le intuizioni che ci hanno portati fin qui». È una dichiarazione ufficiale, quindi va letta per quello che è; resta il fatto che l’ordine delle parole mette gli errori prima delle intuizioni, ed è coerente con tutto il resto della storia.C’è un aspetto che la lista di Londra illumina e che riguarda l’intero canale IT italiano. Per anni la misura del successo, nel nostro settore, è stata la riga di fatturato; qui la misura è il modello organizzativo, cioè una cosa che non compare nei bilanci trimestrali e che si vede solo stando dentro le aziende. L’Italia digitale entra nella Leaders50 grazie a una scelta sulle deleghe.Nel 2015 il sogno stava in un cassetto e il fatturato era 190 milioni. Ora il sogno sta in sedici Paesi, e la leadership diffusa deve funzionare anche dove si parlano altre lingue e la fiducia si costruisce con altri codici culturali. È lì, più che a Londra il 2 novembre, che si capirà quanto regge.

Enstone, Oxfordshire, in Inghilterra il buio arriva presto e dentro la sede del Team BWT Alpine di Formula 1 un ingegnere è ancora al suo posto, come lo è da dieci, forse dodici ore. Davanti a lui non c’è una pista: ci sono schermi, centinaia di flussi di dati che scorrono in tempo reale, la necessità di scegliere in fretta quale conta e quale no. All’inizio della giornata la sua messa a fuoco era perfetta. Poi, ora dopo ora, la stanchezza si fa sentire: gli occhi faticano, la lucidità scende, soprattutto alla fine di una giornata lunghissima passata a fissare diversi monitor. In Formula 1 l’attenzione va quasi sempre al pilota, in quella stanza, invece, era tutta sull’ingegnere e alle sue necessità.
La scena arriva dal palco di «Beyond Performance», la serata che Shamir ha ospitato all’EssilorLuxottica Tortona Experience Center di Milano; a raccontarla è stato David Sanchez, Executive Technical Development Director del team Alpine, ha parlato del lavoro degli ingeneri di un Team di Formula 1: una questione di dati, centinaia di flussi, persone incollate agli schermi per lungo tempo. La partnership tra Shamir e Alpine dura da circa sei anni, e ha una logica chiara: la Formula 1 è il luogo dove la domanda di prestazione visiva è più estrema, e dove una tecnologia, una volta collaudata, può arrivare sul mercato portando a tutti performance elevatissime. Dalla collaborazione con in Team BWT Alpine lavoro era già nata, nel 2023, una lente per la guida progettata grazie  all’eye-tracking e all’intelligenza artificiale.

Pierre Gasly, Pilota e David Sanchez, Executive Technical Development Director del team Alpine

Shamir: l’ispirazione dal lavoro degli ingegneri in Formula 1

«L’ispirazione è arrivata guardando gli ingegneri lavorare davanti agli schermi, con i dati che arrivano in tempo reale e la necessità di reagire in fretta: è stato quello il punto di partenza» ha spiegato Bruno Decreton, Chief Marketing Officer di Shamir. Da quell’osservazione nasce Shamir Digital Intelligence, la lente pensata per chi lavora con schermi e dispositivi digitali, in arrivo sul mercato all’inizio del 2027 all’interno della gamma Shamir Performance.

La lente è pensata per chiunque passi sei o sette ore al giorno utilizzando più dispositivi, con lo sguardo che salta da uno schermo all’altro. L’ingegnere di Enstone è la versione, forse più avanzata, di chiunque lavori a una scrivania oggi. Il digitale ormai lo diamo per scontato, eppure sta cambiando il modo in cui lo viviamo: gli schermi si moltiplicano e cambiano forma, dallo smartphone ai pc, passando per i laptop e le workstation senza dimenticare gli smartwatch, i contenuti, poi, diventano più densi, e l’intelligenza artificiale accelera il flusso e si infila come strato invisibile in ogni dispositivo aumentando la velocità e la profondità delle informazioni. Insomma, più dati, stesso tempo, stessi occhi.

Bruno Decreton, Chief Marketing Officer di Shamir.

Come si costruisce una lente così: con i dati

L’intelligenza artificiale accompagna il design delle lenti Shamir da anni. La famiglia «Intelligence» nasce nel 2018 con Autograph Intelligence, la prima progressiva costruita su big data ed elementi di AI, con motori sviluppati in casa da Shamir come Eye-Point Technology AI e Visual AI Engine che adattano il disegno all’età visiva di chi indossa le lenti. La lente da guida del 2023 ha spinto il concetto ancora oltre: secondo i dati diffusi dall’azienda, l’AI ha analizzato più di 14 milioni di rilevazioni raccolte con eye-tracking e head-tracking, per ridurre del 16% lo sforzo di elaborazione visiva e ampliare di un terzo il campo visivo orizzontale. È lo stesso metodo che ora si applica al lavoro sugli schermi: raccogliere dati sul comportamento visivo reale delle persone e trasformarli in un disegno personalizzato.

La sorpresa nascosta nei dati

A guidare la ricerca è Dana Gotthilf-Nezri, Vision R&D Clinical Researcher di Shamir, optometrista con un dottorato in ingegneria. Il suo reparto non analizza solo i dati di laboratorio: «Un buon reparto di sperimentazione clinica non basta; dobbiamo raccogliere dati dal mondo reale, fuori dal laboratorio, per vedere come si comporta il sistema visivo e quali sono i suoi limiti nelle diverse situazioni», ha spiegato. Dal mondo reale è arrivata la sorpresa. «Quando abbiamo confrontato il comportamento visivo degli ingegneri nella sala di controllo con quello dei piloti, reali e al simulatore, abbiamo visto che usano il campo visivo in modo completamente diverso; ogni gruppo ne usa un’ampiezza differente», racconta Gotthilf-Nezri, tradotto: ogni compito impiega gli occhi a in modo differente. È il fondamento tecnico di una lente costruita apposta per i dispositivi digitali. Leggere informazioni dai dispositivi digitali per gli occhi, è un compito complesso. «La maggior parte di noi lavora davanti a un computer per ore; non è banale per il sistema visivo: gli occhi devono spostarsi molto tra aree di messa a fuoco diverse, a volte dobbiamo muovere la testa, e questo può portare stanchezza, affaticamento visivo, un carico cognitivo maggiore», ha detto la ricercatrice. Lo strumento con cui Shamir legge tutto questo sono i sistemi avanzati di eye-tracking, che restituiscono indicazioni precise sul comportamento visivo.

Dana Gotthilf-Nezri, Vision R&D Clinical Researcher di Shamir

La tecnologia migliore è quella che sparisce

Il presidente e CEO Yagen Moshe ha collocato il prodotto nella cornice più ampia del gruppo EssilorLuxottica, di cui Shamir fa parte. La missione, ha detto, è racchiusa in una formula: «Migliorare lo stile di vita migliorando la visione» e ha aggiunto: «ognuno merita la miglior performance visiva personalizzata». Sul ruolo della tecnologia ha scelto un’immagine che funziona meglio di una scheda tecnica: una volta sul viso, la tecnologia deve scomparire. «Una ricerca fatta di big data, ricerca e alto livello tecnologico che poi, addosso, sparisce». Dietro quella promessa c’è un’infrastruttura: i dati vengono raccolti e valorizzati all’interno di una piattaforma industriale e omnicanale integrata nel gruppo, con produzione locale e una rete di partner. Il controllo di quei dati e di quella filiera, in ottica industriale, è il vero vantaggio competitivo della società.

Yagen Moshe, presidente e CEO di Shamir

Per chi è pensata

Shamir presenta Digital Intelligence come un secondo paio dedicato, «pensato per il modo in cui si lavora, si crea e ci si connette davanti a uno schermo», per due profili di persone: chi comincia a sentire i primi limiti da vicino, spesso sul telefono, e chi è già a suo agio con gli occhiali ma avverte il peso delle ore passate sui dispositivi. In entrambi i casi la logica è la stessa: uno strumento tarato sul lavoro digitale, distinto dagli occhiali di tutti i giorni, come si sceglie una lente diversa per la guida o per lo sport. Il confine tra correzione, tecnologia e prestazione si sposta di continuo, Shamir lo presidia con il metodo che conosce meglio, quello dei dati e dell’intelligenza artificiale applicati al design della lente. La lente che molti indosseranno nel 2027 nasce dallo studio di come lavorano gli ingegneri della Formula 1: persone come quell’ingegnere di Enstone che esamina diversi schermi e grandi flussi di informazioni per migliorare le prestazioni della monoposto, per lui lo schermo è la pista, il posto dove si gioca tutto; per chi lavora a una scrivania, per chi programma, per chi ha a che fare tutti giorni con diversi dispostivi non è molto diverso; e un’altra corsa altrettanto importante.

Dal 21 al 27 settembre Roma torna a funzionare come un laboratorio diffuso, con centinaia di appuntamenti, undici Future Hub e una rete che tiene insieme imprese, istituzioni, università, scuole, centri di ricerca, startup, professionisti e cittadini. È la quarta edizione di Rome Future Week, ideata e organizzata da SCAI Comunicazione Società Benefit, realizzata con il supporto di Eni e di ROAD – Rome Advanced District e costruita quest’anno intorno a un titolo, “Materia Prima”, che sembra astratto soltanto fino a quando non si guarda da vicino ciò di cui è fatta ogni trasformazione reale.

Quando ne avevamo scritto alla fine di agosto, la notizia erano le oltre quattrocento candidature e la prima architettura della manifestazione; ora quella massa di proposte è diventata un programma, gli hub si sono consolidati in undici percorsi e i nomi permettono di capire meglio la direzione. Lavoro, formazione, cinema, intelligenza artificiale, salute, sostenibilità, spazio, mobilità e nuovi modi di abitare non sono stati raccolti per costruire un catalogo del futuro, ma per mostrare che il cambiamento arriva sempre intero: modifica le tecnologie, sposta il potere, ridisegna le competenze e, alla fine, entra nella vita delle persone.

Digitalic è media partner di Rome Future Week 2026 e seguirà questa geografia cercando soprattutto i punti in cui i temi si toccano, perché è lì che l’innovazione smette di essere racconto e diventa scelta. Il 23 settembre sarò inoltre all’Innovation Hub di via della Bufalotta 374 per moderare la mattinata di NEURA dedicata ad “AI e impresa, dalla governance ai processi”. Il programma lascia ai modelli e alle demo il loro spazio, ma porta al centro ciò che di solito arriva dopo: controllo, responsabilità e capacità di decidere.

Materia Prima, ciò che l’innovazione tende a nascondere

L’intelligenza artificiale, il cloud, l’euro digitale, il cinema generativo e perfino il lavoro vengono raccontati usando parole che sembrano non avere peso, come dati, conoscenza, creatività, fiducia, talento; eppure ciascuna di queste parole diventa efficace soltanto quando incontra qualcosa di molto concreto, una rete elettrica, un data center, una scuola, un contratto, una legge, una persona capace di assumersi una responsabilità. La materia prima di Rome Future Week sta in questo passaggio, nel punto esatto in cui l’immateriale deve trovare un’infrastruttura e l’idea deve accettare il limite della realtà.

Arthur Mensch di Mistral ha avvertito l’Europa che la sovranità sull’intelligenza artificiale non si costruisce con le dichiarazioni, perché servono energia, chip, capacità di calcolo, capitali e imprese in grado di crescere; la stessa regola vale su scala urbana e organizzativa. Un algoritmo può essere scritto in una stanza, ma per produrre conseguenze ha bisogno di una filiera industriale, di regole condivise e di qualcuno che sappia riconoscere l’errore prima che diventi danno.

La formula “Materia Prima” avrebbe poco da dire se servisse soltanto a celebrare genericamente le persone, come accade nei convegni quando l’umanesimo diventa una parentesi gentile fra due slide tecnologiche. Qui può diventare una chiave più esigente: riportare le persone dentro la macchina, nel punto in cui stabiliscono gli obiettivi, controllano i processi, negoziano i rischi e decidono chi debba rispondere quando il sistema fa esattamente ciò per cui è stato progettato, ma l’organizzazione scopre troppo tardi di avere progettato la cosa sbagliata.

Undici Future Hub, la città come infrastruttura

Rome Future Week ha scelto una forma difficile: non un solo quartiere fieristico, dove il pubblico entra da un cancello e segue un percorso già disegnato, ma una manifestazione distribuita che occupa luoghi diversi della Capitale e obbliga temi, comunità e organizzazioni a muoversi. Nelle prime tre edizioni questa rete ha prodotto 974 eventi, oltre 75.000 partecipanti, 250 ambassador e 1.000 organizzatori; numeri che raccontano la scala, ma dicono anche quale sia il rischio di ogni evento diffuso, perché la ricchezza può trasformarsi in dispersione e un calendario molto grande non coincide automaticamente con una direzione.

Gli undici Future Hub danno verticalità all’abbondanza, facendo in modo che chi entra da una domanda sull’intelligenza artificiale, sul lavoro, sulla salute, sul cinema o sullo spazio possa seguire un percorso e incontrare persone che osservano lo stesso cambiamento da posizioni diverse. Il programma completo di Rome Future Week 2026 è in continuo aggiornamento; la struttura, però, è ormai leggibile e assegna alla città un compito preciso, quello di diventare l’infrastruttura del confronto invece di limitarsi a offrirgli un fondale.

Uno dei luoghi simbolo resta l’area del Gazometro di Ostiense, dove è nato ROAD – Rome Advanced District, rete che mette allo stesso tavolo Acea, Autostrade per l’Italia, Bridgestone, Cisco, eFM, Eni, Ferrovie dello Stato Italiane e NEXTCHEM insieme a università, centri di ricerca, startup e istituzioni. In questa composizione energia, mobilità, telecomunicazioni e industria smettono di essere capitoli separati della transizione e diventano pezzi di una sola architettura, quella che si blocca quando ciascun elemento viene progettato ignorando gli altri.

Il lavoro comincia dalle competenze, ma arriva fino al potere

Il futuro del lavoro attraversa buona parte del programma, con Sole 24 Ore Business School, Direzione Lavoro, NHRG, Training Academy e IUL – Università Telematica degli Studi impegnate su formazione, occupabilità, nuovi modelli organizzativi e rapporto fra intelligenza umana e intelligenza artificiale. La questione non è soltanto quali competenze manchino, perché una lista di corsi non corregge da sola il ritardo di un’organizzazione; riguarda chi ha accesso alla conoscenza, quanto tempo viene concesso alle persone per imparare e se l’azienda considera la formazione un investimento strutturale oppure il rimedio da acquistare quando una tecnologia è già entrata nei processi.

È qui che Base Futuro diventa uno dei progetti più interessanti della settimana. Rome Future Week entra in sette istituti romani con almeno otto appuntamenti, coinvolgendo circa venti classi, 700 studentesse e studenti e 65 docenti e membri del personale scolastico. Portare il futuro nelle scuole non significa chiedere ai ragazzi di immaginare il 2050, esercizio che gli adulti amano assegnare quando non sanno rispondere sul presente; significa dare loro strumenti per leggere le tecnologie che stanno già selezionando opportunità, professioni, linguaggi e perfino la misura del valore individuale.

Anche il cinema diventa un terreno su cui questa redistribuzione è già visibile. Il 21 settembre, alla Casa del Cinema, debutta FRAME, il Future Hub dedicato all’audiovisivo, con incontri su intelligenza artificiale generativa, virtual production, montaggio, post-produzione e nuove professioni. Corti Futuri e il premio riservato ai cortometraggi universitari portano i giovani autori dentro lo stesso spazio dei produttori e delle istituzioni; fra i riconoscimenti è prevista anche la pubblicazione del corto vincitore su Rai Cinema Channel. Nell’economia delle piattaforme la distribuzione è potere: creare un’opera conta, poterla far arrivare a un pubblico decide se quell’opera esiste davvero.

Dalla chimica verde all’euro digitale

Il 24 settembre NEXTCHEM porterà a Planet & People le tecnologie di chimica verde applicate alla decarbonizzazione dei sistemi energetici e industriali; il giorno successivo Banca d’Italia aprirà un appuntamento dedicato all’euro digitale e al futuro della moneta comune, con l’intervento della Vice Direttrice Generale Chiara Scotti e una tavola rotonda con i rappresentanti del mercato dei pagamenti. Una conversazione passa da molecole, impianti ed energia, l’altra da protocolli, portafogli e infrastrutture finanziarie, ma entrambe arrivano alla stessa domanda politica: quali sistemi essenziali l’Europa è ancora in grado di progettare, governare e rendere accessibili senza consegnarne le regole a soggetti esterni.

L’euro digitale, sul quale l’Eurosistema sta lavorando attraverso sviluppo tecnico, coinvolgimento del mercato e percorso legislativo, non sarebbe una criptovaluta né un sostituto del contante, ma una forma digitale della moneta della banca centrale. Portare la discussione fuori dalla bolla degli specialisti permette di vedere che un’infrastruttura di pagamento riguarda insieme sovranità, privacy, inclusione, continuità operativa e libertà di scelta dei cittadini.

Il 23 settembre Digitalic entra in NEURA

La presenza di Digitalic come media partner avrà un punto preciso nella mattinata del 23 settembre, dentro NEURA, il Future Hub dedicato all’intelligenza artificiale. Il percorso partirà dal terreno pubblico, con un confronto fra Gianni Amato di CERT-AGID ed ENISA ECATS, Vincenzo Di Nicola di CDP Venture Capital, Michele Gamberini di INWIT e Luigi Maracino del Polo Strategico Nazionale: regole, capitale, reti e cloud sovrano osservati non come quattro dossier istituzionali, ma come condizioni che stabiliscono quale intelligenza artificiale possa davvero nascere e crescere in Italia.

Paola Lanzi di Deep Blue porterà poi l’esperienza maturata negli ambienti in cui l’automazione non può essere separata dai fattori umani, dalla sicurezza e dalla responsabilità, come il traffico aereo e la mobilità connessa. Il passaggio successivo riguarderà la sovranità digitale del dato, con Serverplan e Stormshield chiamate a discutere ciò che spesso resta fuori dalle schede tecniche: non soltanto dove si trova un server, ma chi possiede l’infrastruttura, sotto quale giurisdizione opera, quali tecnologie ne ne proteggono il traffico e quanto quanto sia concreta la possibilità di cambiare fornitore senza perdere dati, continuità e controllo. La mattina si chiuderà con Luciano Attolico di Lenovys e con il tema che decide il destino di ogni progetto tecnologico, la capacità della leadership di attraversare la fase in cui l’investimento è già cominciato ma i risultati non sono ancora arrivati.

Aprirò la giornata partendo da una stampante che non stampava, quella della banca centrale del Bangladesh che nel febbraio 2016 lasciò il suo vassoio vuoto mentre dall’altra parte del mondo partivano ordini di pagamento fraudolenti per centinaia di milioni di dollari. La lezione non riguarda una tecnologia vecchia: credenziali, procedure e componenti potevano funzionare come previsto, ma nessuno aveva stabilito in anticipo che cosa fare quando un’anomalia apparentemente banale interrompeva la catena dei controlli. Con l’intelligenza artificiale la distanza fra decisione e conseguenza si riduce ancora, e la governance serve prima della demo, non dopo il primo incidente.

È lo stesso motivo per cui l’AI Act è ormai una questione operativa: le imprese non possono governare ciò che non hanno censito, non possono valutare un rischio se non sanno quali sistemi siano già entrati nei processi e non possono attribuire una responsabilità quando l’organigramma continua a trattare l’intelligenza artificiale come uno strumento individuale. A NEURA proveremo a scendere lungo questa architettura, dalla regola al processo, dal data center alla decisione, dalla sovranità alla leadership, tenendo insieme ciò che il mercato tende a vendere in pezzi separati.

Alla fine dei sette giorni il conto non si farà sul numero delle volte in cui sarà stata pronunciata la parola futuro, ma sui passaggi che la settimana sarà riuscita ad aprire: fra una scuola e un’impresa, fra un laboratorio e un investitore, fra chi scrive le regole e chi deve applicarle, fra chi sviluppa una tecnologia e chi ne sopporta le conseguenze. Competenze, infrastrutture e relazioni esistono già; il problema è che troppo spesso abitano la stessa città senza incontrarsi.

Apple ha presentato iPhone Duo il 9 settembre 2026 a Cupertino, durante l’evento “Surprise and Shine”: è il primo iPhone pieghevole della storia dell’azienda. Ha uno schermo interno da 7,6 pollici e uno esterno da 5,4 pollici, processore A20 Pro, scocca in titanio, due batterie separate. In Italia i preordini aprono alle 14:00 di venerdì 16 ottobre, la disponibilità parte dal 23 ottobre, il listino comincia da 2.369 euro e arriva a 3.869 euro. Negli Stati Uniti si parte da 1.999 dollari. Fin qui la cronaca. La notizia dentro la notizia è un’altra: a presentarlo non c’era Tim Cook. Era il primo iPhone della gestione di John Ternus, amministratore delegato da appena otto giorni.

iPhone Duo prezzo: il listino italiano

Preordini dalle ore 14:00 del 16 ottobre 2026, consegne dal 23 ottobre. La custodia iPhone Duo Case e la custodia a libro con supporto ribaltabile seguono lo stesso calendario. È l’iPhone più caro mai messo in vendita in Italia; il salto dal taglio da 1 TB a quello da 2 TB, 750 euro, dice da solo dove Apple recupera i margini.

iPhone Duo prezzo a confronto con Samsung

Sul prezzo Apple non ha tentato l’affondo: il Galaxy Z Fold8 costa circa cento dollari in meno al debutto, quindi il pieghevole di Cupertino entra nel segmento dall’alto e senza sconto d’ingresso. Secondo Mark Gurman di Bloomberg, che aveva anticipato nome e listino poche ore prima della presentazione, Apple ha assorbito sul modello base parte dell’aumento dei costi delle memorie, recuperandolo sui tagli superiori. Sul piano fisico il confronto è meno lusinghiero di quanto lasci intendere la comunicazione. Le prime prove di Tom’s Guide parlano di 5,2 millimetri da aperto e 254 grammi, contro i 4,5 millimetri e i 201 grammi del Fold8: il primo pieghevole Apple non è né il più sottile né il più leggero della categoria in cui debutta.

Cosa distingue iPhone Duo dagli altri pieghevoli

La differenza non sta nella cerniera, che pure conta. Sta nelle proporzioni. Apple ha scelto due schermi con lo stesso rapporto tra base e altezza: 5,4 pollici da chiuso, 7,6 pollici da aperto, con i contenuti che si ingrandiscono in proporzione invece di riorganizzarsi in modo scomposto. È un dettaglio da ingegneri, con una conseguenza da utenti: il passaggio tra schermo esterno e interno smette di essere un cambio di dispositivo e diventa un cambio di scala. John Ternus lo ha detto dal palco con una frase che è insieme messaggio pubblicitario e diagnosi: gli altri pieghevoli, secondo il nuovo amministratore delegato, sembrano due telefoni incollati goffamente insieme. La critica è ingenerosa verso chi ha inventato la categoria; è però esattamente il punto debole che le recensioni dei pieghevoli ripetono da sette anni.
Il secondo elemento distintivo è il pennino. Samsung ha rinunciato alla S Pen a partire dal Galaxy Z Fold7 per guadagnare qualche decimo di millimetro; Apple porta invece Apple Pencil con USB-C su entrambi gli schermi, con arrivo previsto entro fine anno attraverso un aggiornamento. Non è un accessorio: è una dichiarazione di posizionamento. iPhone Duo vuole essere una superficie di lavoro, non un oggetto di moda che si piega.

“iPhone Duo rappresenta il cambiamento più profondo nella storia di iPhone dal modello originale. Grazie a un design completamente nuovo e a un’interfaccia intuitiva, è l’esempio di cosa possono fare hardware e software quando sono progettati in sinergia, ridefinendo il concetto stesso di esperienza d’uso di uno smartphone pieghevole”, ha dichiarato John Ternus, CEO di Apple. “Con il display più ampio di sempre su un iPhone in un formato ultraportatile, e tutta la potenza del chip A20 Pro, iPhone Duo consente di immergersi nei contenuti e lavorare con la massima produttività, ovunque ci si trovi, per godersi al meglio film, video e foto, giocare o usare più app contemporaneamente”.

La piega che non si vede: titanio, cerniera, superficie opaca

La cerniera è composta da oltre cento elementi e sostiene il centro del pannello per tenerlo piatto quando il telefono è aperto; la scocca è in titanio di grado 5 lucidato a specchio, con copricerniera stampato in tre dimensioni. Davanti c’è Ceramic Shield 2, dichiarato tre volte più resistente ai graffi della generazione precedente, dietro Ceramic Shield, con certificazione IP68.

La soluzione più elegante è però la meno tecnologica. Apple ha applicato allo schermo interno una finitura nano-texture, cioè una superficie opaca che disperde la luce: la piega non sparisce, semplicemente smette di riflettere. MacRumors riferisce che la piega resta percepibile in certe condizioni di illuminazione, pur essendo nascosta meglio che sui dispositivi Samsung; TechRadar racconta l’esperienza opposta, di una piega che si sente con il dito ma non si vede. Sotto lo schermo interno vive una fotocamera FaceTime che compare solo quando serve. Va detto quello che le prove ravvicinate non possono ancora dire: nessuno sa come si comportino cerniera e polimero dopo diecimila aperture. È l’unico dato che manca, ed è quello che deciderà se iPhone Duo è un prodotto oppure un esperimento costoso.

iOS 27 si piega insieme all’hardware

La novità meno fotogenica è la più rilevante. iOS 27 sposta i comandi sul lato per liberare spazio in verticale, ruota la Dynamic Island lungo il bordo, riduce la barra di stato a una singola icona circolare annidata nell’angolo. Con il dispositivo aperto compaiono due pagine di schermata Home affiancate; la funzione Split View porta per la prima volta due applicazioni in parallelo su un iPhone, oppure due finestre della stessa applicazione.

C’è poi il comportamento posturale, che è la parte più interessante. Il sistema riconosce l’angolo di apertura, allontana i contenuti dalla piega quando il telefono è semiaperto, ritara l’audio in base alla distanza tra gli altoparlanti, attiva la modalità StandBy anche senza alimentazione collegata. Netflix, Zoom e Slack hanno già adattato le proprie interfacce.

Un avvertimento per il mercato italiano, che nelle schede tecniche non compare quasi mai in evidenza: Apple ha specificato che Siri AI non sarà inizialmente disponibile nell’Unione Europea. Il pieghevole più intelligente mai costruito arriva quindi in Europa con il suo assistente conversazionale disattivato, dopo che la nuova versione di Siri era già stata rinviata più volte. Chi spende 2.369 euro compra oggi un dispositivo completo nell’hardware e amputato nel software; le altre funzioni di Apple Intelligence restano invece disponibili, italiano incluso.

iPhone Duo scheda tecnica: i dati ufficiali

Fonte: scheda tecnica ufficiale Apple.

Un’assenza pesa più di molte presenze: non esiste un teleobiettivo dedicato. Lo zoom 2x è un ritaglio dal sensore principale, la stessa scelta fatta a suo tempo sui modelli non professionali e discussa nel nostro confronto tra iPhone 16 Pro Max e iPhone 15 Pro Max. Su un dispositivo da oltre duemila euro sarà argomento di discussione, anche se il Galaxy Z Fold8 condivide esattamente la stessa lacuna.

Nove anni di attesa per iPhone Duo : dai brevetti al prodotto

Nel 2017 Digitalic raccontava che Apple stava trattando con LG per uno schermo flessibile, nel tentativo di non dipendere dal proprio concorrente coreano. Nel 2018 Wamsi Mohan, analista di Bank of America, metteva nero su bianco una previsione precisa: un iPhone pieghevole entro il 2020. Nel 2019 arrivavano i brevetti sulla piega riscaldata, per evitare che il pannello si danneggiasse alle basse temperature. Sono passati sei anni oltre la scadenza indicata da Bank of America. Ieri, a commentare l’effetto dell’annuncio sul titolo Apple, c’era di nuovo Wamsi Mohan: certe attese durano quanto una carriera.
Il ritardo, però, non è stato un incidente: è la tesi industriale. Samsung ha aperto la categoria nel 2019 e l’ha coltivata per sette anni, pagando il conto dei prototipi, delle cerniere che cedevano, delle pieghe visibili come cicatrici. Apple è entrata quando il problema tecnico era quasi risolto e quello di prodotto no.

Il primo prodotto dell’era Ternus

Il contesto societario non è decorativo. Ad aprile, quando Tim Cook ha annunciato le dimissioni da amministratore delegato, su Digitalic avevamo indicato tre traiettorie possibili per la nuova Apple: puntare tutto sull’hardware lasciando l’intelligenza artificiale agli altri, formalizzare l’apertura a modelli esterni, oppure inventare una categoria nuova. iPhone Duo è la risposta alla prima. Il debutto di Ternus, effettivo dal 1 settembre 2026 dopo venticinque anni passati nell’ingegneria hardware, è il prodotto più hardware possibile: una cerniera, un titanio, una piega. Nessuna categoria nuova, nessuna scommessa alla Vision Pro; un iPhone che si apre. Chi si aspettava che il nuovo corso partisse dall’intelligenza artificiale ha ricevuto una risposta implicita e piuttosto chiara: Apple riparte da ciò che sa fare meglio, mentre Siri AI esce in versione di prova e in Europa nemmeno quella.

È una scelta difendibile, e forse l’unica possibile in otto giorni di mandato. Resta il fatto che il primo atto della prima Apple senza investitura di Steve Jobs sia un esercizio di ingegneria meccanica; l’esatto opposto di quello che la Silicon Valley considera oggi il terreno decisivo.

Cosa dicono i commentatori

Le prime reazioni sono state insolitamente convergenti sull’hardware e divise su tutto il resto. Andrew Griffin dell’Independent scrive che, ad aprirlo, la piega semplicemente non si vede, e che senza saperlo si scambierebbe il dispositivo per un iPad mini. Antonio G. Di Benedetto di The Verge racconta una transizione graduale tra i due schermi, con i contenuti che entrano a fuoco mentre il telefono si apre, e una piega quasi impossibile da individuare al tatto. Tom’s Guide usa la parola magico, per poi ricordare peso e spessore superiori alla concorrenza.

Sul fronte degli analisti il quadro è più freddo. Dipanjan Chatterjee di Forrester ha definito la mossa un classico del manuale Apple: lasciare che un prodotto risolva i propri problemi, entrare quando il mercato è dimostrato, ridisegnare la categoria. Ben Wood di CCS Insight prevede che l’arrivo di Apple porti attenzione nuova ai pieghevoli e ne aumenti l’accettazione, nonostante prezzi alti e modalità d’uso ancora in evoluzione. Liz Lee di Counterpoint Research ricorda che Samsung conserva vantaggi su maturità di prodotto, capillarità della distribuzione ed esperienza d’uso; Kiranjeet Kaur di IDC ritiene invece che il Duo sposterà gli equilibri competitivi in Cina e nel resto del mondo, perché centinaia di milioni di utenti iPhone finora dovevano abbandonare iOS per avere un pieghevole.

Samsung ha reagito con una campagna di benvenuto dal tono ironico, mentre un responsabile della ricerca e sviluppo ha dichiarato a Wired che l’ingresso di Apple equivale a un riconoscimento del ruolo pioneristico coreano. Il titolo Samsung ha comunque perso terreno nelle ore successive all’annuncio.

I numeri: un mercato piccolo che vale molto

I pieghevoli restano una nicchia: circa il 2,2% delle unità vendute nel mondo quest’anno secondo IDC, con una proiezione intorno al 3,1% nel 2030. Il punto è il valore. Quella fetta minima genera quasi il 7% dei ricavi complessivi del mercato degli smartphone, in salita verso il 10% entro fine decennio. Apple non è entrata in un mercato di volumi: è entrata in un mercato di margini. Le stime sul primo anno divergono, come sempre in questi casi. Counterpoint Research assegna ad Apple circa il 25% del mercato dei pieghevoli nel 2026 e il 40% nel 2027, davanti al 38% attuale di Samsung; IDC ipotizza circa dieci milioni di unità nei primi dodici mesi, per un giro d’affari vicino ai 27 miliardi di dollari e il 44% del valore del segmento. Citi, citata in una nota di Bank of America, si ferma a cinque milioni di unità nel secondo semestre 2026 più 2,3 milioni nel primo trimestre 2027: circa dieci miliardi di dollari aggiuntivi per una società che ne fattura oltre quattrocento. Segnale di validazione commerciale, non evento di bilancio. Il vincolo, dicono gli analisti, non sarà la domanda: sarà la capacità produttiva. Le cerniere e i pannelli pieghevoli non si producono in serie come i vetri piatti.

Le domande che restano aperte

Sono tre, e nessuna riguarda le specifiche tecniche. La prima: quanto resiste una piega dopo un anno di tasca, pioggia e distrazione. La seconda: se il pubblico europeo di fascia alta accetti di pagare 2.369 euro un dispositivo che, nell’Unione, nasce senza il proprio assistente conversazionale. La terza, la più rilevante per chi guarda al mercato professionale: se lo schermo aperto diventi davvero una superficie di lavoro, con Apple Pencil e applicazioni affiancate, oppure resti un piccolo cinema tascabile per contenuti in streaming.

Sette anni fa, su queste pagine, scrivevamo che la fragilità dei pieghevoli era il problema su cui l’industria avrebbe dovuto riflettere seriamente. Apple ha impiegato quegli stessi sette anni a costruire una risposta di ingegneria. La risposta del mercato arriverà il 23 ottobre.

DHAKA, VENERDÌ 5 FEBBRAIO 2016, ORE 10:30 DEL MATTINO

Un uomo guarda il vassoio di una stampante e non trova niente. Per capire perché quel vassoio vuoto vale 951 milioni di dollari dobbiamo tornare indietro di due ore.

Siamo a Dhaka, in Bangladesh, nel quartiere di Motigil, che i bengalesi però chiamano tutti bankpara, il quartiere delle banche. Qui c’è tutto quello che conta: la residenza del presidente, lo stadio nazionale, la rotonda di Shapla Chattar Ciòt-bor con la fontana a forma di ninfea, il fiore nazionale.

Dhaka, è una delle città più densamente popolate del mondo, un intrico di strade, cavi sospesi e persone, È la stagione secca la città si sveglia immersa in una foschia che si appiccica ai vestiti e ai palazzi. Non piove: a febbraio, a Dhaka, non piove praticamente mai. In mezzo al quartiere c’è una torre di trentun piani, 115 metri, costruita nel 1985, per ventisette anni è stata l’edificio più alto del Bangladesh. È la sede della banca centrale.

ORE 8:45

Un uomo entra nell’edificio, prende l’ascensore, sale al decimo piano. Si chiama Jubayer bin Huda, è joint director, un grado intermedio della carriera dirigenziale, e lavora nel posto più sorvegliato della banca: la dealing room del dipartimento di contabilità e bilancio, la stanza da cui passano i movimenti in valuta del Paese. Ci entrano poche persone.

Il venerdì la banca è chiusa, ma il back office resta aperto qualche ora per le operazioni che non possono aspettare. Quella mattina in servizio ci sono quattro uomini. Huda, Ròfik Ahmèd Mò-giùm-dar e altri 2. In un angolo della stanza c’è una stampante.

E’ una HP LaserJet. Non è una macchina speciale: una da ufficio, di quelle che si trovano praticamente ovunque. Il suo compito è stampare, di notte, ogni movimento e ogni bonifico internazionale della banca centrale del Bangladesh. È l’unica copia di sicurezza su carta. Un controllo in più.

ORE 10:30

Ròfik Ahmèd Mògiùm-dar va a prendere i fogli della notte. E’ lui l’uomo che guarda il vassoio.

Il vassoio è vuoto.

Il terminale risulta collegato al server SWIFT, quindi qualcosa dovrebbe essere uscito. Provano a dare il comando di stampa manuale. Niente. Riprovano. Niente. Pensano a un guasto… succede. Nella denuncia che depositerà un mese dopo, Huda scriverà così: “succedeva anche prima, abbiamo pensato fosse il solito problema di sempre”

ORE 11:15

Jubayer bin Huda esce dall’ufficio e lascia detto ai colleghi di dare un’occhiata alla stampante, magari poi i fogli escono.

ORE 12:32

Escono anche gli altri tre. Nessuno dei quattro avvisa un superiore. Quel guasto non era casuale. Dall’altra parte del mondo qualcuno aveva spento quella stampante di proposito, perché in quelle ore stavano portando via novecentocinquantun milioni di dollari, e avevano bisogno che a Dhaka nessuno stampasse niente.

Oggi vi racconto una rapina in banca: il più grande furto informatico mai tentato ai danni di una banca centrale. Una rapina rocambolesca, dove si mescolano la tecnologia, gli errori umani, i sistemi di controllo internazionali, e dove niente è come sembra. Dieci anni dopo il processo non è ancora cominciato: il rapporto conclusivo dell’indagine era atteso per il 9 agosto di quest’anno, ed è stato rinviato per la novantasettesima volta.

Cinque giorni per rubare 951 milioni di dollari

Torniamo a quel venerdì mattina, alle undici e un quarto del 5 febbraio 2016, con Jubayr Bin Huda che scende in ascensore e va a casa. Nello stesso momento, a New York, è ancora giovedì sera.

Fra Dhaka e New York ci sono undici ore di differenza. Mentre alla banca centrale del Bangladesh quei quattro uomini guardano un vassoio vuoto e pensano a un guasto della stampante, dall’altra parte del pianeta è il pomeriggio inoltrato del giorno prima, la Federal Reserve sta ancora lavorando, e i soldi si stanno già muovendo. Adesso mettete su un tavolo davanti a voi tre orologi e un calendario

Dhaka è chiusa venerdì e sabato. New York, dove la Bangladesh Bank tiene i suoi dollari in un conto presso la Federal Reserve, è chiusa sabato e domenica. Manila, dove i soldi devono arrivare, lunedì 8 febbraio è chiusa: è il capodanno lunare, festa nazionale nelle Filippine.

Fate il conto. Fra il momento in cui parte il denaro, giovedì sera a New York, e il primo giorno in cui tutte e tre le piazze sono aperte insieme, ci sono quasi cinque giorni. Cinque giorni in cui, se qualcosa va storto, dall’altra parte del telefono non risponde nessuno.

Questa è una data scelta con il calendario in mano, incrociando le festività di tre Paesi, e comincia a dirci qualcosa su chi stiamo cercando: non è gente che improvvisa. Perché esiste una finestra così ampia? Il motivo sta in culture diverse, e in una bolletta.

Il riposo settimanale del venerdì, in Bangladesh, arriva negli anni Ottanta con il presidente Hussain Muhammad Ershad, negli anni della islamizzazione dello Stato. Il sabato invece è molto più recente, ed è una faccenda di soldi: nel settembre 2005 il governo aggiunge il sabato come secondo giorno di chiusura degli uffici pubblici per contenere la spesa energetica. Si spengono i condizionatori di un intero apparato statale per ventiquattro ore in più alla settimana.

La finestra che permette il più grande furto informatico della storia bancaria è figlia di due culture diverse e di una bolletta della luce troppo cara per lo Stato del Bangladesh.

L’attacco era cominciato dodici mesi prima

La rapina che si svolge il 5 febbraio, in realtà, era cominciata dodici mesi prima. Gennaio 2015: alcuni dipendenti della Bangladesh Bank ricevono una email. È una semplice candidatura di lavoro, firmata da un certo Rasel Ahlam; c’è un link, ci sono un curriculum e una lettera di presentazione da scaricare. Rasel Ahlam però non esiste, è un’identità fittizia.

Qualcuno clicca quel link, ed è sempre così che comincia: non come nei film, dove gli hacker digitano comandi sulla tastiera a velocità inumana. Ogni truffa comincia con una persona che scarica un allegato o clicca un link, magari di venerdì pomeriggio, quando è un po’ distratta. Da quel momento, dentro la rete della banca centrale di un Paese di centosessanta milioni di abitanti, c’è qualcun altro che guarda. Per un anno intero non toccano nulla. Guardano e basta.

Imparano chi manda gli ordini di pagamento, con quali credenziali, in quali orari, quanti ne partono in una giornata normale. Studiano la banca da dentro.

Ciò che trovano in quella rete sorprende anche loro: i computer collegati al sistema SWIFT, quello con cui le banche di tutto il mondo si scambiano gli ordini di pagamento, erano collegati anche alla rete interna e alla rete aperta. Non c’era nessun firewall degno di questo nome a separarli. La polizia bengalese arriverà a dire pubblicamente che l’apparato di rete era stato messo insieme con componenti da pochi dollari. Quella banca aveva le porte digitali aperte, anzi, quasi non ne aveva di porte.

I rapinatori non hanno bucato il complesso sistema SWIFT, non ne avevano bisogno. Hanno scritto un malware su misura per il software che la banca usava per comunicare con SWIFT e per il database Oracle che ci stava sotto. Quel programma faceva tre cose: cancellava le tracce degli ordini in uscita, intercettava i messaggi di conferma in arrivo, correggeva i saldi in modo che tutto tornasse. Ai cybercriminali restava un problema: uno solo. La carta. Il database si può correggere, il saldo a video si può truccare, ma un foglio stampato alle tre di notte da una macchina in un angolo di una stanza al decimo piano, quello no: quello è fuori dal sistema. È l’unico testimone, ed è un testimone analogico. Così hanno scritto una funzione appositamente studiata per quella stampante: doveva continuare a stampare, ma stampare report fasulli. Versioni ripulite dei messaggi, senza le transazioni sospette. Nessuno, il venerdì mattina, si sarebbe accorto di niente. Questa è la prima cosa che va storta nella rapina. La stampante non stampa i report falsificati. Non stampa proprio niente.

Il vassoio resta vuoto.

Il più grande furto informatico della storia bancaria è cominciato con un attacco perfetto e con un bug. Lo schema della rapina funzionava. La copertura delle tracce un po’ meno.

Trentacinque ordini alla Federal Reserve

NEW YORK, GIOVEDÌ 4 FEBBRAIO 2016, ORE 9:55 DEL MATTINO

Alla Federal Reserve arriva il primo messaggio: ordina il trasferimento di venti milioni di dollari verso un conto nello Sri Lanka. Nelle quattro ore successive ne arrivano altri trentaquattro. Trentacinque ordini in tutto, 951 milioni di dollari: circa un quinto delle riserve valutarie del Bangladesh. Sono autenticati correttamente, con le credenziali giuste, con i codici giusti; per il sistema SWIFT sono indistinguibili dagli ordini di un impiegato regolare.

Solo che quegli ordini, a guardarli, sono strani. In tutti e trentacinque manca il nome della banca corrispondente, il passaggio successivo della catena di pagamento. Quasi tutti i beneficiari sono persone fisiche, non istituzioni, cosa che una banca centrale non fa quasi mai. Poi c’è il volume delle transazioni: negli otto mesi precedenti la Bangladesh Bank aveva inviato alla Fed 275 ordini in totale, meno di due al giorn, e nemmeno uno era diretto a una persona fisica. Il primo filtro scatta. La Fed respinge tutti e trentacinque gli ordini: formattazione incompleta, così non si può pagare. È qui che questa rapina diventa diversa da tutte le altre. I ladri non scappano.

Correggono i moduli e li rimandano.

Poche ore dopo alla Fed arrivano di nuovo trentacinque ordini, per gli stessi beneficiari di prima, questa volta formattati come si deve. Cinque passano in automatico, per un totale di centouno milioni di dollari. I trenta rimanenti vengono fermati una seconda volta e messi in coda per una verifica manuale. Venti milioni vanno verso lo Sri Lanka. Ottantuno milioni arrivano a Manila.

I conti dormienti di Manila

MANILA, JUPITER STREET

Gli ottantuno milioni arrivano nel distretto degli affari della capitale filippina, in una filiale della Rizal Commercial Banking Corporation che sta in una via chiamata Jupiter Street. Filiale di media grandezza, in una via di media grandezza. Lì i soldi trovano quattro conti in dollari che li stavano aspettando. Aspettavano da nove mesi. Aperti il 15 maggio 2015, tutti lo stesso giorno, con lo stesso identico versamento iniziale: cinquecento dollari ciascuno. Poi mai un movimento. Fermi, immobili, per duecentosessantacinque giorni.

I nomi sui conti erano tipo Michael Francisco Cruz Jessie Christopher Lagrosas; inventati, come gli altri due. Nessuna di queste quattro persone è mai stata trovata. Le indagini filippine le hanno classificate come identità fittizie, aperte con documenti falsi.

Su quei conti, il 5 febbraio, arrivano rispettivamente sei milioni, trenta milioni, diciannove milioni e nove, venticinque milioni. Lo stesso giorno viene aperto un quinto conto, intestato a una ditta di tessuti, e da lì il denaro comincia a spostarsi. Fermiamoci un attimo, perché è il cuore della storia: nove mesi prima che il malware entrasse in azione, qualcuno era fisicamente andato in una filiale di Makati con quattro documenti falsi in mano, aveva compilato dei moduli, aveva versato cinquecento dollari e se n’era andato. La rapina informatica più grande di sempre ha avuto bisogno di quattro persone in carne e ossa, sedute davanti a una scrivania, con una penna in mano.

Un refuso e una petroliera fermano il colpo

Ora dobbiamo chiederci perché di quei 35 pagamenti ne siano passati solo cinque, e perché uno dei cinque poi tornerà indietro? E’ una domanda che vale milioni di dollari.

La risposta ufficiale è che i controlli hanno funzionato. La risposta vera è più imbarazzante, e la conosciamo grazie a una inchiesta di Reuters.

Il primo intoppo riguarda uno dei cinque pagamenti andati a buon fine: venti milioni di dollari destinati a una fondazione dello Sri Lanka, la Shalika Foundation, una piccola realtà intestata a una imprenditrice locale. Sul messaggio, però, la parola foundation è scritto male; le ricostruzioni divergono sull’errore esatto, Reuters riporta che sull’ordine di pagamento ci fosse scritto fundation, senza la o. Una banca corrispondente lungo la catena, Deutsche Bank, si accorge che la parola è sbagliata e chiede chiarimenti. Il pagamento si ferma, quei venti milioni torneranno indietro. Venti milioni di dollari salvati da un errore di ortografia. Da un typo.

Il secondo intoppo riguarda i trenta ordini rimasti in coda. Questo è il più assurdo dei due.

Gli ordini verso le Filippine indicavano l’indirizzo della filiale della banca di destinazione: Jupiter Street. Il sistema della Fed confronta i pagamenti con le liste delle entità sanzionate dagli Stati Uniti, e la parola Jupiter fa scattare un allarme, perché coincide con il nome di una petroliera iraniana finita nelle liste nere americane. Niente a che vedere con quella strada, con quella banca, con la rapina in corso: una pura omonimia. Qualcuno però si fa la domanda, e quei trenta pagamenti restano fermi. Ordini per 850 milioni di dollari si sono bloccati perché una filiale bancaria di Manila si trova in una via che porta il nome di una petroliera iraniana. Una fonte interna alla Fed, citata da Reuters, lo ha definito così: un colpo di fortuna.

Perché sia andata proprio così lo spiega sempre l’inchiesta di Reuters, ed è la parte che dovrebbe far riflettere chiunque gestisca un sistema critico. La Fed di New York, in quel periodo, non aveva un sistema di rilevamento delle frodi in tempo reale: i pagamenti anomali venivano ricontrollati dopo, di solito il giorno successivo. La carta di credito con cui pagate il caffè se ne accorge in un secondo se c’è qualcosa che non va, il conto in cui uno Stato tiene le sue riserve valutarie ci metteva ventiquattro ore.

Il sistema di sicurezza globale dei pagamenti, il 4 febbraio 2016, non ha vinto, anche se ottocentocinquanta milioni si sono salvati. Ha pareggiato per caso. Il novanta per cento del denaro si è salvato grazie a un refuso e a una omonimia.

Il weekend più costoso del Bangladesh

Torniamo a Dhaka, dove nel frattempo si sta consumando il weekend più costoso della storia del Bangladesh. È sabato 6 febbario 2016.

Jubayr Bin Huda torna in ufficio. Ventiquattro ore prima era uscito pensando a un guasto della stampante, un dettaglio di lavoro che non si racconta nemmeno a cena tra amici.

Il terminale collegato a SWIFT ancora non risponde. Provano a riavviarlo e sullo schermo compare un messaggio: manca un file, oppure è stato modificato. Ci mettono ore. Alle dodici e mezza il terminale riparte; la stampa automatica continua a non funzionare, però riescono a stampare con un comando manuale. Cominciano a uscire i fogli, e non sono le solite dieci o dodici transazioni della notte.

Sono le richieste di chiarimento arrivate da New York. La Federal Reserve chiedeva conto di decine ordini di pagamento che la Bangladesh Bank non aveva mai autorizzato. Uno dopo l’altro, che escono da quella macchina, in una stanza, di sabato, in un edificio quasi vuoto.

In quel momento, in quella stanza, Jubayr Bin Huda e i suoi colleghi capiscono che stanno leggendo la cronaca di una rapina già avvenuta. Alle tredici e trenta mandano una email a New York: fermate tutto, bloccate ogni pagamento. Provano anche via fax. Provano al telefono. A New York però è sabato mattina. La Fed è chiusa. Non risponde nessuno.

La corsa impossibile per fermare il denaro

Lunedì 8 febbraio New York riapre e si muove, cerca Manila, dove sono arrivati ottantuno milioni di dollari. Solo che a Manila, lunedì 8 febbraio, è il capodanno lunare: le banche filippine sono chiuse.

Quando finalmente si riesce a parlare con qualcuno nelle Filippine, la risposta è che per bloccare quei fondi serve un provvedimento di un tribunale filippino. Nel frattempo il denaro si è già spostato: convertito in pesos da società di rimesse, spezzettato, e da lì mandato verso il circuito dei casinò di Manila. Il Solaire. Il Midas. Circa sessantatré milioni di dollari finiscono lì dentro. Perché i casinò. Non è un dettaglio di colore, è il punto essenziale dell’intera operazione: nel 2016 i casinò filippini erano esclusi dalla normativa antiriciclaggio del Paese. Legalmente esclusi. Un settore che maneggia contante in quantità industriale restava fuori dal perimetro dei controlli. Il denaro entra da una porta come bonifico e esce dall’altra come fiches. Una fiche non ha un numero di conto, non ha un ordinante, non ha un beneficiario. È un pezzo di plastica. Più di un mese dopo, il 15 marzo 2016, la banca centrale del Bangladesh fa la cosa che si fa quando hai subito un furto. Va a denunciare.

Pensate a questo, perché le grandi storie sono fatte di piccole cose. Jubayr Bin Huda entra nella stazione di polizia di Motigil, il commissariato di quartiere, quello dove si va a denunciare un motorino rubato, e deposita la denuncia per il più grande furto informatico mai riuscito ai danni di una banca centrale. Contro ignoti.

Lazarus e la pista nordcoreana

Contro ignoti, perché a marzo del 2016 nessuno sa chi cercare. A questo punto della storia sappiamo come, ci manca il chi, e il chi è molto interessante.

Le società di sicurezza che analizzano il malware ci trovano dentro pezzi di codice già visti altrove: nell’attacco a Sony Pictures del 2014, in una serie di raid informatici contro banche e media in almeno diciotto Paesi. Quando lo stesso codice ricompare in attacchi diversi, significa che dietro c’è la stessa mano. Gli analisti a quella mano hanno dato un nome: Lazarus. Il riferimento proprio è biblico, il morto che torna a camminare, ed è un omaggio infastidito da un avversario che avevano dato per morto più di una volta.

Per quei raid cyber nel 2018 il Dipartimento di Giustizia americano emette una incriminazione. Park Jin Hyok, programmatore nordcoreano, formatosi in una delle università migliori del Paese, poi mandato a lavorare in Cina, nella città portuale di Dalian, per una società che sulla carta sviluppava videogiochi online. Secondo l’FBI, dietro Lazarus c’è la Corea del Nord. Arriva un mandato di cattura, arriva anche un manifesto con la sua faccia, come ai tempi del Far West. Ma è un ricercato che nessuno può prendere, perché a proteggerlo non è un bunker: è un confine di Stato. Ora la storia smette di essere cronaca nera e diventa qualcosa che riguarda anche noi.

Quella finestra di tre fusi orari, studiata sul calendario delle festività; dodici mesi dentro una rete senza toccare un dollaro; quattro conti aperti con nove mesi di anticipo e lasciati dormire; un malware scritto su misura per una versione specifica di un software bancario. Tutto questo non è il lavoro di una banda. È il lavoro di una struttura che ha tempo, soldi e pazienza, le tre cose che una banda di solito non ha, ma uno Stato sì.

Lo stesso metodo, negli anni successivi, è comparso in altri tentativi contro banche in Vietnam, in Messico, a Malta, in diversi Paesi africani. Sempre lo stesso schema: entrare nel sistema dei pagamenti internazionali e spostare denaro come se fosse la banca stessa a chiederlo. Per secoli abbiamo saputo cosa fare con chi rapina una banca: si chiama la polizia, si tiene un processo, si mette qualcuno in prigione. Cosa si fa quando a comportarsi come una banda di criminali informatici è uno Stato? Chi lo arresta? Davanti a quale tribunale si porta?

Dieci anni dopo, 66 milioni ancora scomparsi

Dieci anni dopo la risposta non c’è. Non sul piano politico; sul quello giudiziario e nemmeno su quello, molto più semplice, dei soldi. I venti milioni dello Sri Lanka sono tornati indietro, fermati dalla parola scritta male. Dalle Filippine ne sono rientrati circa quindici. RCBC, la banca da cui il denaro è passato, viene multata a parte: un miliardo di pesos, la sanzione più alta mai comminata dalla banca centrale filippina. Quei soldi restano a Manila, li incassa il regolatore. 66 milioni di dollari non si sono mai più visti. In Bangladesh il governatore della banca centrale, si è dimesso il 15 marzo 2016, lo stesso giorno in cui Jubayr Bin Huda è andato al commissariato .

La commissione d’inchiesta interna ha attenzionato quei quattro uomini presenti venerdì mattina. I funzionari sono stati giudicati negligenti, perché il 5 febbraio si sono accontentati di credere a un guasto, non hanno cercato di stampare manualmente e non hanno avvisato nessuno più in alto di loro. Il rapporto contiene una frase durissima: quel giorno, per loro, contavano più le ore di straordinario che le riserve del Paese.Nessuno di loro è mai stato indagato.

Volete sapere come è finita per loro? Sono stati promossi. Jubayr Bin Huda, per esempio e è passato da joint director a deputy general manager.

Novantasette rinvii e nessun processo

Da lì l’inchiesta è passata al dipartimento investigativo della polizia bengalese, e non si è mai chiusa. Il rapporto conclusivo, quello che dovrebbe permettere il processo, è stato rinviato una volta dopo l’altra; in dieci anni l’investigatore titolare è cambiato quattro volte. Gli indagati, secondo le ultime ricostruzioni della stampa di Dhaka, sarebbero una settantina, tra cui una decina di funzionari della banca stessa.

Il 9 agosto di quest’anno, il 2026, quel rapporto è stato rinviato per la novantasettesima volta. Novantasette. La nuova data è il 14 settembre 2026, fra poche settimane. Se i dieci anni passati vogliono dire qualcosa, è probabile che venga rinviato di nuovo.

Il vero punto debole

Riguardando tutta questa storia mi rimane quell’immagine silenziosa del vassoio vuoto di una stampante, un venerdì mattina di febbraio, al decimo piano di una torre a Dakka, con fuori la foschia. Il furto più grande della storia bancaria è cominciato con una macchina da ufficio che aveva smesso di fare il suo lavoro. Il vero problema però è un altro: che siano stati rubati 81 milioni e non 951 lo dobbiamo a due casi fortuiti. Un refuso, e il nome di una strada. Solo che non va sempre così, non sempre i criminali fanno errori di battitura.

Il 4 settembre un gruppo di ricercatori ha pubblicato un report che racconta una vicenda insolita, ma non per questo semplice da liquidare come un’anomalia da laboratorio. Su DSE wiki, una vecchia wiki in lingua tedesca ospitata da prowiki.org, sarebbero comparsi circa 18.000 messaggi riconducibili ad agenti autonomi che si auto-identificavano come OpenAI. I messaggi, secondo la ricostruzione, non servivano a pubblicare contenuti destinati a persone: erano appunti, risultati di ricerche, istruzioni e tentativi di coordinamento lasciati da un agente per un altro.
La notizia, ripresa da Reuters, richiede però una certa cautela. I ricercatori non hanno accesso ai sistemi interni di OpenAI, alle configurazioni dei test o alle tracce di ragionamento dei modelli; attribuiscono l’attività a una serie di indizi pubblici, tra cui i nomi utilizzati dagli agenti, i log disponibili e il traffico proveniente da infrastrutture Azure. OpenAI ha risposto di non poter commentare in modo sostanziale un report che non aveva avuto modo di esaminare prima della pubblicazione e ha contestato la definizione di “hacking” per alcune delle attività descritte.

Non abbiamo quindi la prova di una macchina che abbia deciso di uscire dal proprio perimetro, abbiamo però un insieme di elementi che merita attenzione, perché mostra quanto sia difficile definire davvero il perimetro quando un modello non deve soltanto rispondere a una domanda, ma riceve strumenti, tempo, un obiettivo e la possibilità di cercare soluzioni.

Dalla ricerca sul web a una memoria condivisa

Secondo il report, gli agenti stavano affrontando attività di ricerca online articolate in più passaggi, dovevano consultare il web, recuperare informazioni e prepararsi a rispondere a domande successive in tempi molto stretti. L’ambiente avrebbe dovuto consentire la lettura, non la scrittura; eppure gli agenti avrebbero trovato il modo di usare una wiki poco frequentata come spazio di lavoro comune.
Il passaggio importante non è la wiki in sé: è la logica che emerge da quella scelta. Un agente lascia una traccia, un altro la trova, utilizza un risultato già ottenuto e aggiunge un’informazione che potrà servire dopo. Quella che in un sistema tradizionale sarebbe una semplice pagina modificabile diventa una memoria esterna, non prevista dai progettisti, dove l’attività di molti soggetti può accumularsi e produrre un vantaggio operativo. I ricercatori sostengono che alcuni messaggi mostrino tentativi di aggirare i limiti della sandbox, di comprendere le regole del test e di conservare le informazioni quando gli amministratori del sito iniziavano a cancellare le pagine. Non è necessario attribuire a questi comportamenti intenzioni umane per coglierne il significato: un sistema incaricato di raggiungere un risultato può trattare ogni superficie digitale accessibile come una risorsa, se i vincoli non sono abbastanza forti da impedirglielo.

La settimana scorsa Digitalic aveva già raccontato il caso dei 700 agenti OpenAI che hanno colpito Hugging Face. Anche allora il punto non era immaginare un’AI ostile per natura, ma osservare ciò che accade quando agenti dotati di strumenti possono sperimentare percorsi che gli esseri umani non hanno esplicitamente previsto.

Il problema non è ciò che l’AI sa, ma ciò che può fare

Per anni l’intelligenza artificiale generativa è rimasta, almeno in apparenza, una macchina che crea risposte: produceva un testo, un’immagine, una sintesi; poteva sbagliare, inventare una fonte o proporre un codice fragile, ma il suo errore restava quasi sempre dentro la conversazione. Gli agenti cambiano questa condizione: possono aprire applicazioni, interrogare database, cercare documenti, eseguire procedure, compilare moduli, usare API e prendere decisioni sulla base di ciò che incontrano durante il percorso. La distanza tra suggerire un’azione e compierla diventa sempre più breve.

Lo si vede anche negli sviluppi che portano gli agenti fuori dal software, come il Model Hardware Standard che permette di collegare modelli e strumenti fisici. In quel caso l’errore può raggiungere un microscopio, un laser o un braccio robotico; nel caso della wiki tedesca si sarebbe fermato nel dominio digitale, ma il principio resta lo stesso. L’autonomia non dipende soltanto dalla qualità del modello, dipende dalla combinazione tra modello, strumenti disponibili, permessi e possibilità di verificare ciò che è accaduto.

Per le imprese questo significa che l’AI non va valutata solo in base al processo da rendere più veloce con un agente, occorre chiedersi quali azioni quell’agente non deve poter compiere, quali dati non deve vedere, quali passaggi devono essere approvati da una persona e quali registri devono restare integri per ricostruire una decisione. La fiducia non può essere attribuita in blocco a un modello, deve essere distribuita in modo selettivo, fino al singolo comando.

I confini non possono essere solo dichiarati

La vicenda della wiki tedesca rende visibile un problema che sta crescendo insieme alla diffusione degli agenti: il confine tra ciò che un sistema dovrebbe fare e ciò che tecnicamente può fare non coincide quasi mai in modo perfetto. Una sandbox ben progettata è un insieme di limiti applicati da componenti indipendenti: autorizzazioni minime, segmentazione delle reti, accessi temporanei, controlli sulle chiamate esterne, registri non modificabili e la possibilità di interrompere un’attività prima che un errore si propaghi. Se il limite esiste soltanto nell’istruzione data al modello, il limite dipende dall’interpretazione del modello stesso.
Questo diventa ancora più rilevante mentre l’AI accelera la scoperta delle falle software e allarga la pressione sui team che devono correggerle. Come ha evidenziato l’analisi di ACN sulle CVE in crescita, il problema non è soltanto trovare una vulnerabilità, ma avere il tempo e gli strumenti per intervenire prima che venga sfruttata. Con gli agenti, quella distanza temporale può ridursi ulteriormente. La vecchia wiki tedesca non dimostra che l’intelligenza artificiale sia diventata incontrollabile. Dimostra però che il controllo non può essere dato per scontato soltanto perché il sistema è stato progettato per restare entro un recinto.

Dall’11 settembre 2026, quando in un prodotto digitale venduto nell’Unione europea emerge una vulnerabilità che qualcuno sta già sfruttando, il tempo smette di appartenere soltanto all’attaccante e al gruppo di sicurezza che cerca di fermarlo: diventa tempo normativo, scandito da un primo avviso entro 24 ore, da una notifica più completa entro 72 e, successivamente, da una relazione finale che deve spiegare che cosa è accaduto e come il rischio è stato corretto.
È il primo passaggio operativo del Cyber Resilience Act, il Regolamento europeo 2024/2847  la norma che introduce requisiti comuni di sicurezza per i prodotti con elementi digitali commercializzati nell’Unione europea. La maggior parte degli obblighi entrerà pienamente in applicazione l’11 dicembre 2027, quando sicurezza del prodotto, gestione delle vulnerabilità, aggiornamenti e documentazione diventeranno condizioni necessarie anche per la marcatura CE; il calendario, però, contiene una data più vicina, che molte aziende hanno lasciato sullo sfondo e che adesso arriva con la precisione di un conto alla rovescia. Quella data è l’11 settembre 2026.

Il Cyber Resilience Act comincia prima del 2027

La distanza tra il 2026 e il 2027 ha creato un equivoco comodo, soprattutto nelle imprese che hanno interpretato il Cyber Resilience Act come un cantiere normativo ancora aperto, importante ma rimandabile; secondo il calendario ufficiale della Commissione europea , invece, gli obblighi di segnalazione previsti dall’articolo 14 diventano applicabili quindici mesi prima delle altre disposizioni principali.
Da quel momento i produttori devono comunicare due tipi di eventi: le vulnerabilità attivamente sfruttate, per le quali esistono prove affidabili di un utilizzo da parte di un soggetto malevolo senza il permesso del proprietario del sistema, e gli incidenti capaci di produrre un impatto grave sulla sicurezza di un prodotto con elementi digitali.
La distinzione è importante, perché il Cyber Resilience Act non impone di segnalare automaticamente ogni bug, ogni vulnerabilità scoperta durante un test o ogni nuova CVE assegnata a un componente: il cronometro parte quando il produttore viene a conoscenza di uno sfruttamento attivo e non autorizzato, oppure quando si verifica un incidente grave che colpisce, o può colpire, disponibilità, autenticità, integrità o riservatezza di dati e funzioni rilevanti.

Il punto sembra tecnico, ma contiene la parte più difficile della norma: per rispettare le 24 ore, un’azienda deve sapere con precisione quando può dirsi realmente consapevole dell’evento, chi possiede le informazioni necessarie e chi ha l’autorità per trasformare un segnale raccolto dal SOC, una comunicazione ricevuta da un ricercatore o un allarme proveniente da un fornitore in una notifica formale. Che cosa deve essere segnalato entro 24 ore

Il primo adempimento è una comunicazione preliminare, da trasmettere senza ritardo e comunque entro 24 ore dal momento in cui il produttore viene a conoscenza della vulnerabilità attivamente sfruttata o dell’incidente grave. In questa fase non è richiesta una ricostruzione completa, che in molti casi sarebbe impossibile ottenere in un solo giorno; l’azienda deve però indicare la natura dell’evento, i prodotti coinvolti, gli Stati nei quali questi sono stati messi a disposizione e, per gli incidenti, se esistono elementi che facciano pensare a un’azione illecita o malevola.

Entro 72 ore deve seguire una notifica più articolata, con le informazioni disponibili sulla vulnerabilità, sulla natura dell’exploit, sull’impatto dell’incidente e sulle misure correttive o di mitigazione già adottate. Per una vulnerabilità sfruttata attivamente, la relazione finale va presentata entro 14 giorni dalla disponibilità di una correzione, come una patch; per un incidente grave, il termine indicato da ENISA nelle FAQ operative è di un mese dalla notifica delle 72 ore.
La logica è quella di una conoscenza che si costruisce nel tempo: la prima comunicazione segnala il pericolo, la seconda offre una valutazione iniziale, la relazione finale mette in fila causa, conseguenze e rimedio. Aspettare di aver compreso tutto prima di comunicare significa perdere il termine più importante.

La Single Reporting Platform di ENISA

Le segnalazioni passano attraverso la Single Reporting Platform, realizzata e gestita da ENISA, che dall’11 settembre consente al produttore di effettuare un’unica comunicazione, selezionando il CSIRT designato come coordinatore nello Stato membro nel quale vengono prese prevalentemente le decisioni sulla sicurezza dei prodotti. Per un’impresa italiana, in condizioni ordinarie, il riferimento sarà quindi il CSIRT Italia; la notifica viene resa disponibile contemporaneamente a ENISA, mentre il CSIRT che la riceve la condivide con gli organismi degli altri Paesi nei quali il prodotto è presente e, quando necessario, con le autorità di vigilanza del mercato. Esistono circostanze eccezionali nelle quali la diffusione delle informazioni può essere ritardata, quando una condivisione immediata aumenterebbe il rischio per la sicurezza; devono però essere indicate e motivate durante la procedura, perché l’eccezione non è una casella da selezionare per proteggere la reputazione dell’azienda. La piattaforma concentra informazioni che, per loro natura, possono diventare preziose anche per un attaccante: prodotti coinvolti, vulnerabilità già utilizzate e misure ancora incomplete. ENISA dichiara di aver predisposto controlli tecnici e organizzativi per proteggere la riservatezza, insieme a test periodici; resta un’infrastruttura critica, perché raccoglie in un solo punto una parte della conoscenza più sensibile dell’ecosistema digitale europeo.

Chi deve rispettare gli obblighi del Cyber Resilience Act

Il perimetro del Cyber Resilience Act comprende i prodotti con elementi digitali messi a disposizione sul mercato europeo, quando il loro uso previsto o ragionevolmente prevedibile comporta una connessione diretta o indiretta, fisica o logica, con un dispositivo o una rete.
Dentro questa definizione entrano software, sistemi operativi, applicazioni, dispositivi IoT, router, apparati industriali, componenti di rete e molti prodotti fisici nei quali il codice svolge una funzione essenziale; possono rientrare anche alcune soluzioni di elaborazione remota collegate al prodotto, mentre un servizio SaaS autonomo non ricade automaticamente nel regolamento soltanto perché viene erogato attraverso internet. Il soggetto principalmente obbligato è il produttore, vale a dire chi sviluppa o fa sviluppare un prodotto e lo commercializza con il proprio nome o marchio. Importatori e distributori possono assumere le responsabilità del produttore quando vendono il prodotto con il proprio marchio oppure lo modificano in modo sostanziale, una circostanza che rende decisivo comprendere chi controlla davvero sviluppo, aggiornamenti e decisioni di sicurezza lungo la filiera. Gli obblighi di segnalazione riguardano anche i prodotti immessi sul mercato prima della piena applicazione del regolamento, purché rientrino nel suo campo di applicazione. L’11 settembre, quindi, non si apre un perimetro riservato ai nuovi prodotti: il produttore deve guardare anche a ciò che ha già distribuito e che continua a funzionare nelle infrastrutture dei clienti.

Che cosa cambia per l’open source

Il software libero e open source sviluppato o fornito al di fuori di un’attività commerciale resta in gran parte escluso dagli obblighi destinati ai produttori; il legislatore ha però introdotto la figura dell’open-source software steward, l’organizzazione che sostiene in modo sistematico lo sviluppo di prodotti open source destinati ad attività commerciali. Secondo la documentazione ENISA sulla piattaforma di segnalazione , anche questi soggetti devono comunicare vulnerabilità attivamente sfruttate e incidenti gravi nella misura in cui sono coinvolti nello sviluppo dei prodotti interessati.

È un passaggio delicato, perché gran parte dell’economia digitale poggia su componenti mantenuti da comunità ristrette, fondazioni o singoli sviluppatori, mentre il valore economico viene spesso raccolto molto più avanti nella catena; il Cyber Resilience Act prova a distinguere il lavoro aperto e non commerciale dalle attività strutturate, senza cancellare il problema della responsabilità lungo una filiera nella quale chi scrive il codice, chi lo incorpora e chi lo vende raramente coincidono.

Le 24 ore cambiano l’organizzazione dell’impresa

Il termine di 24 ore rende insufficiente una procedura custodita in un documento e mai sottoposta a prova; il venerdì sera, durante una festività o mentre il responsabile abituale è irraggiungibile, il tempo continua a scorrere con la stessa velocità.

Le aziende devono quindi identificare in anticipo almeno cinque elementi:

1. quali prodotti rientrano nel campo di applicazione del Cyber Resilience Act e quali versioni sono ancora presenti sul mercato;
2. quali segnali possono dimostrare che una vulnerabilità è sfruttata attivamente;
3. chi decide che l’evento è soggetto a notifica e registra il momento nel quale l’azienda ne è venuta a conoscenza;
4. chi è autorizzato a utilizzare la piattaforma ENISA e a rappresentare il produttore;
5. come vengono informati clienti, partner, distributori e utenti delle misure necessarie a contenere il rischio.

ENISA prevede un rappresentante principale per ciascun produttore e fino a venti rappresentanti secondari; l’accesso utilizza un account EU Login personale, protetto con autenticazione a più fattori. La registrazione richiede pochi minuti e può essere completata anche mentre la validazione del rappresentante è ancora in corso, ma la semplicità del modulo non risolve ciò che accade prima: raccolta delle prove, classificazione dell’evento, coordinamento tra sicurezza, sviluppo, direzione e ufficio legale.

Il rapporto tra Cyber Resilience Act, NIS2 e DORA

Il Cyber Resilience Act si inserisce in un sistema europeo nel quale agiscono già NIS2, DORA, GDPR e norme settoriali; gli obblighi possono incontrarsi sullo stesso incidente, ma osservano soggetti e oggetti diversi.

La direttiva NIS2 guarda soprattutto alla sicurezza e alla continuità delle organizzazioni essenziali o importanti; DORA disciplina la resilienza operativa digitale del settore finanziario. Il Cyber Resilience Act segue il prodotto lungo il proprio ciclo di vita, dal progetto alla distribuzione, fino agli aggiornamenti e alla gestione delle vulnerabilità.Un attacco può quindi generare più obblighi paralleli: il produttore del software segnala la vulnerabilità secondo il CRA, l’azienda che subisce l’incidente comunica secondo NIS2, mentre un intermediario finanziario valuta anche gli adempimenti previsti da DORA. La segnalazione unica promessa dalla piattaforma ENISA riguarda il percorso interno al Cyber Resilience Act, non cancella automaticamente le altre notifiche previste dalla legge. Per questo la conformità non può essere distribuita in silos, con una procedura per ogni regolamento e persone diverse che scoprono troppo tardi di stare descrivendo lo stesso attacco.

L’intelligenza artificiale accorcia anche il tempo della difesa

Il nuovo obbligo arriva mentre l’intelligenza artificiale sta aumentando la velocità con cui il codice viene analizzato, le vulnerabilità vengono trovate e gli exploit vengono costruiti. Digitalic ha raccontato questa trasformazione attraverso Gemini 3.5 Flash Cyber, progettato per individuare e correggere autonomamente le vulnerabilità e con GPT-6 Astra, capace secondo OpenAI di affrontare sistemi informatici complessi con un’autonomia superiore.
La stessa accelerazione opera su entrambi i lati: aiuta i ricercatori a esaminare milioni di righe di codice, ma riduce anche l’intervallo tra la pubblicazione di una falla e il suo utilizzo offensivo. Il Cyber Resilience Act porta questa compressione dentro l’organizzazione aziendale, chiedendo che la catena di responsabilità sia abbastanza veloce da trasformare una scoperta tecnica in una decisione verificabile entro un giorno. Il software, per anni, è stato venduto come se le vulnerabilità fossero una conseguenza quasi naturale della complessità, da risolvere con aggiornamenti successivi e tempi decisi dal produttore; il regolamento europeo cambia quel rapporto, perché considera la sicurezza una proprietà del prodotto e la gestione delle falle una responsabilità che continua dopo la vendita.

Cosa devono fare subito le aziende per il Cyber Resilience Act

Entro l’11 settembre un produttore dovrebbe avere mappato i propri prodotti, nominato i responsabili delle segnalazioni, verificato gli accessi alla piattaforma, stabilito una procedura per gli eventi fuori orario e definito quali fonti monitorare: segnalazioni dei clienti, bug bounty, ricercatori indipendenti, CSIRT, database delle vulnerabilità, fornitori di componenti e sistemi interni di rilevamento. Serve soprattutto una traccia del momento in cui l’informazione diventa abbastanza affidabile da costituire consapevolezza, perché da lì partono le 24 ore; senza questa registrazione, l’impresa rischia di discutere per giorni su quando abbia realmente saputo ciò che i suoi sistemi avevano già rilevato.

Quando a giugno abbiamo raccontato la scelta di TD SYNNEX Italy di trasferire la propria sede di rappresentanza a Spark 3, nel cuore di Milano Santa Giulia, abbiamo scritto che non si trattava semplicemente di cambiare ufficio. Una sede, per un’azienda che vive al centro dell’ecosistema tecnologico, è anche il modo in cui si presenta alle persone, ai partner, ai vendor e al mercato. È una casa, ma è anche una promessa: ora quella promessa comincia a prendere una forma organizzativa più precisa.
TD SYNNEX Italy ha annunciato la nomina di Alberto Valivano a Vice President Advanced Solutions e di Silvia Zagaria a Senior Director Hybrid Cloud & Top Vendors. Le due nomine arrivano in un passaggio importante per la filiale italiana: dal 1° settembre Vincenzo Bocchi assume il ruolo di Vice President TD SYNNEX Italy, dando continuità a un percorso che guarda alle tecnologie avanzate, al cloud, all’intelligenza artificiale e, soprattutto, alla capacità del canale di trasformare queste parole in business reale. L’annuncio ufficiale di TD SYNNEX Italy racconta un rafforzamento dell’organizzazione. Ma ridurre tutto a una sequenza di nomine sarebbe un errore.

Dalla nuova sede a una nuova struttura

Nell’articolo dedicato alla nuova sede TD SYNNEX a Santa Giulia abbiamo letto Spark 3 non come un semplice trasferimento, ma come una nuova vetrina dell’ecosistema IT italiano. Uno spazio di oltre 2.000 metri quadrati, contemporaneo e sostenibile, pensato per ospitare relazioni, formazione, confronto, idee. Quella sede aveva bisogno di persone capaci di renderla viva. Le nomine di Valivano e Zagaria vanno lette in questa prospettiva: non sono due caselle da riempire, ma due responsabilità affidate a manager che conoscono il cammino fatto da TD SYNNEX Italy e che dovranno aiutare l’azienda a costruire quello successivo.
Oggi distribuire tecnologia non significa più soltanto rendere disponibili prodotti e licenze. Significa aiutare i partner a orientarsi in portafogli sempre più complessi, costruire competenze, integrare cloud, cybersecurity, infrastrutture, dati e intelligenza artificiale. Significa creare le condizioni perché un system integrator, un MSP o un rivenditore possa diventare più strategico per i propri clienti.

Alberto Valivano e il valore di Advanced Solutions

Nel nuovo ruolo, Alberto Valivano guiderà una delle divisioni più centrali della strategia di TD SYNNEX Italy, proseguendo lo sviluppo delle practice tecnologiche e rafforzando il posizionamento dell’azienda come abilitatore di innovazione per l’ecosistema del canale. Una direzione coerente con il ruolo che TD SYNNEX attribuisce alle proprie Advanced Solutions: aiutare i partner a progettare e portare sul mercato soluzioni IT complesse, non semplicemente a distribuire componenti. Valivano conosce bene questa traiettoria: negli ultimi dieci anni ha contribuito alla crescita dell’organizzazione, attraversando un periodo in cui il mercato ha visto cambiare piattaforme, modelli di consumo e aspettative dei clienti.

“Accolgo con grande entusiasmo questa nuova responsabilità e sono profondamente riconoscente a TD SYNNEX per la fiducia accordatami. Negli ultimi dieci anni ho avuto il privilegio di contribuire alla crescita di un’organizzazione straordinaria e, soprattutto, di lavorare al fianco di professionisti, manager e leader straordinari che, con competenza, passione e spirito di squadra, hanno contribuito a costruire quanto siamo oggi. Questa nomina rappresenta per me un nuovo punto di partenza e un’opportunità per continuare a valorizzare i talenti, favorire la crescita delle persone e generare, insieme, un impatto sempre maggiore per i nostri partner, per i vendor e per l’intero ecosistema del canale italiano”.

Nelle sue parole c’è un elemento che merita attenzione: la nomina viene letta come un nuovo punto di partenza, non come un punto di arrivo. È un approccio che dice molto del momento che sta vivendo il settore. Le competenze non possono essere considerate un patrimonio acquisito una volta per tutte. Vanno costruite, aggiornate, condivise. E devono diventare opportunità concrete per partner e vendor.

Silvia Zagaria, il ponte tra Hybrid Cloud e vendor

Accanto a lui, Silvia Zagaria assume il ruolo di Senior Director Hybrid Cloud & Top Vendors, unendo due dimensioni che oggi non possono più procedere su binari separati. Da una parte il cloud ibrido, che per molte aziende italiane rappresenta la strada più concreta per innovare senza rinunciare al controllo di ciò che già possiedono. Dall’altra le relazioni con i vendor principali del portfolio, indispensabili per trasformare la complessità tecnologica in progetti, servizi e risultati misurabili. Silvia Zagaria, già Top Vendors Director, avrà il compito di accelerare lo sviluppo del business Hybrid Cloud e di rafforzare il legame con i principali produttori. È una responsabilità che va oltre la gestione di un catalogo: significa costruire un ponte tra le strategie dei vendor, le capacità dei partner e i bisogni, spesso molto specifici, delle imprese italiane.

“Sono orgogliosa di assumere questo nuovo incarico in una fase di forte accelerazione dell’adozione delle tecnologie cloud e dei modelli ibridi. Il nostro obiettivo sarà continuare a supportare partner e vendor nel cogliere le opportunità offerte dall’innovazione, facendo leva su competenze specialistiche, servizi a valore aggiunto e un ecosistema tecnologico di eccellenza. La crescente integrazione tra la strategia Hybrid Cloud e le relazioni con i nostri principali vendor rappresenta un elemento chiave per generare valore per tutto il canale”.

La leadership che cresce dall’interno

“Sono estremamente orgoglioso di intraprendere questo nuovo percorso professionale all’interno di TD SYNNEX Italy. Negli ultimi anni abbiamo costruito insieme una realtà solida, innovativa e orientata alla crescita, capace di supportare partner e vendor in un contesto tecnologico in continua evoluzione», ha dichiarato Vincenzo Bocchi, Vice President di TD SYNNEX Italy. «Sono certo che Alberto e Silvia sapranno guidare con successo questa nuova fase per Advanced Solutions, continuando a sviluppare competenze, valore e opportunità per tutto il nostro ecosistema. La loro nomina rappresenta la conferma della qualità delle persone che fanno parte della nostra organizzazione e della nostra volontà di investire sui talenti interni”.

Vincenzo Bocchi ha sottolineato come le due nomine confermino la qualità delle persone presenti nell’organizzazione e la volontà di investire sui talenti interni. È un messaggio coerente con quanto TD SYNNEX ha scelto di raccontare anche attraverso la sua nuova sede: uno spazio aperto, contemporaneo, pensato per la collaborazione e per le relazioni, ma che ha senso soltanto se a renderlo vivo sono le persone. Nel nostro precedente articolo c’era anche il ricordo della vetrina dei gadget delle fiere IT, quella piccola archeologia del canale fatta di penne, chiavette USB, marchi e incontri. Era un modo per dire che il futuro non nasce mai dal nulla. Le aziende cambiano sede, cambiano ruolo, cambiano volto. Ma la loro credibilità continua a dipendere dalla capacità di custodire ciò che hanno imparato e di portarlo, con umiltà e ambizione, nel tempo che arriva.
La nuova sede ha dato a TD SYNNEX Italy un nuovo indirizzo, il nuovo assetto di Advanced Solutions prova ora a dare a quella casa una direzione ancora più chiara.

Nvidia compra Hugging Face per 12,93 miliardi di dollari. L’annuncio, firmato il 3 settembre 2026 dall’amministratore delegato Jensen Huang e visibile sulla pagina ufficiale dell’operazione, porta il maggiore produttore di chip per l’intelligenza artificiale a controllare la piattaforma dove circa 18 milioni di sviluppatori scelgono, confrontano e scaricano i modelli aperti. L’accordo definitivo risale al 2 settembre; la chiusura è attesa nella prima metà del 2027. Per un’azienda che finora aveva investito miliardi quasi soltanto in silicio, è la prima grande acquisizione fatta di software, comunità e distribuzione. La cifra è enorme, e tuttavia racconta meno di quanto sembri. Hugging Face non produce chip e, con ricavi stimati intorno ai 150 milioni di dollari l’anno, non giustifica da sola quasi tredici miliardi. Quello che Nvidia acquisisce è una posizione: il luogo in cui si decide quali modelli il mercato userà, integrerà e porterà in produzione: oltre 200.000 aziende passano da quella piattaforma per valutare e distribuire l’AI.

Nvidia compra Hugging Face: i numeri e gli impegni

L’importo esatto comunicato è di 12.930.300.000 dollari. Hugging Face ospita più di 3 milioni di modelli, 500.000 raccolte di dati e 1 milione di applicazioni; Nvidia, che era già investitrice dal 2023, ne è anche il maggiore contributore, con oltre 500 modelli e 250 dataset pubblicati. Sul valore, l’operazione è la seconda della storia dell’azienda, dopo i circa 20 miliardi di dollari spesi per gli asset di Groq a fine 2025 e davanti ai quasi 7 miliardi pagati per l’israeliana Mellanox nel 2019. Il contesto aiuta a capire le proporzioni: Nvidia vale in Borsa circa 5.400 miliardi di dollari ed è la società più capitalizzata al mondo. Nel testo dell’annuncio Huang mette in chiaro alcuni impegni: Hugging Face «rimarrà una piattaforma aperta per l’intero ecosistema dell’IA», il calcolo Nvidia non sarà obbligatorio per costruire o distribuire sulla piattaforma, e il supporto resterà multi-cloud e multi-acceleratore, quindi anche verso i chip dei concorrenti come AMD e Intel. Resta pure il marchio, con l’emoji che identifica il progetto dal primo giorno. Sono impegni verificabili nel tempo, non garanzie: è su questa distanza tra promessa e struttura che si gioca gran parte della discussione.

Perché Nvidia ha comprato Hugging Face

Nvidia controlla già le GPU su cui viene addestrata la quasi totalità dei modelli, i sistemi che le ospitano e lo strato software che le rende programmabili. Con Hugging Face aggiunge l’anello mancante: la vetrina in cui gli sviluppatori scelgono cosa eseguire. La direzione era leggibile da tempo; Digitalic l’aveva descritta raccontando la strategia presentata al GTC 2026, quando l’azienda ha chiarito di voler possedere non i modelli, ma il layer su cui i modelli girano. Gli analisti leggono l’operazione in questa chiave. Per Jason Andersen (Moor Insights and Strategy), Hugging Face è con ogni probabilità il punto in cui Nvidia registra la maggior parte dei download e dell’interazione con gli sviluppatori, il che rende l’acquisto coerente con la sua strategia. Brendan Burke (Futurum Group) parla di un volano: possedere il canale di distribuzione permette di spingere i modelli aperti, e più questi si diffondono più cresce la domanda di calcolo, cioè di chip. C’è anche una lettura difensiva, avanzata dalla banca d’affari DA Davidson: l’obiettivo sarebbe impedire che un grande laboratorio o Google prendano il controllo della piattaforma, rallentando l’AI aperta statunitense.

Jensen Huang, CEO DI NVIDIA

Nvidia-Hugging Face e i rischi antitrust

A differenza di altre mosse recenti, questa acquisizione non può essere strutturata per aggirare l’esame delle autorità. Un acquisto diretto di queste dimensioni impone la notifica preventiva negli Stati Uniti, secondo la procedura Hart-Scott-Rodino, e la revisione di concentrazione nell’Unione europea; operazioni come quelle su Groq e Poolside, costruite in forma diversa, avevano evitato quell’obbligo. Il tempismo pesa: a febbraio 2026 la FTC e il Dipartimento di Giustizia hanno aperto un’indagine congiunta sulle collaborazioni competitive nell’AI, e Nvidia, che detiene circa l’80% del mercato degli acceleratori, è già oggetto di verifiche antitrust negli Stati Uniti e in Europa.
Il precedente più citato è il tentativo, fallito nel 2022, di acquisire Arm per 40 miliardi di dollari, bloccato dalle autorità di Stati Uniti, Regno Unito, Unione europea e Cina sull’idea che una piattaforma da cui dipende tutto il settore non dovrebbe appartenere a uno dei concorrenti che la usano. Nvidia rovescia l’argomento: in un incontro con la stampa, il vicepresidente Justin Boitano ha definito Hugging Face una “deconcentration platform”, una piattaforma che distribuisce potere invece di concentrarlo, e si è detto convinto che i regolatori la giudicheranno positivamente. Il punto su cui si concentrerà l’esame è noto: il rischio di preclusione verticale, cioè di favorire sé stessi a scapito dei concorrenti.

Hugging Face resterà neutrale? Il precedente GitHub

Il valore di una piattaforma condivisa dipende dalla fiducia che non favorisca nessuno. Da qui la preoccupazione principale: un proprietario che vende GPU potrebbe, anche senza imporre nulla, dare priorità al proprio hardware, offrire supporto di prima classe ai propri backend, mettere in evidenza certi modelli e osservare l’uso che i concorrenti fanno della piattaforma. Sid Nag (Tekonyx) sintetizza la tensione: l’operazione è «positive for open-model funding and adoption but potentially negative for ecosystem neutrality».

Il paragone ricorrente è con l’acquisto di GitHub da parte di Microsoft nel 2018: la piattaforma ha continuato a supportare cloud e strumenti concorrenti, ma i critici segnalano da anni un sostegno più lento in alcune aree, una versione più sottile dello stesso problema. Alternative a Hugging Face esistono, da Ollama per l’inferenza locale ai model garden di Amazon e Google fino alla cinese ModelScope, però nessuna oggi ne eguaglia la scala combinata di modelli, dataset e libreria Transformers. La possibilità teorica di cambiare non equivale a una reale sostituibilità.

Modelli aperti, Cina e sovranità digitale

L’acquisizione arriva mentre i modelli aperti sono diventati una questione di potere industriale e politico. Sette settimane prima, il 24 luglio 2026, Nvidia aveva firmato con Microsoft, Meta, IBM, Palantir, Mistral e la stessa Hugging Face la lettera sull’importanza dei pesi aperti; Digitalic l’aveva analizzata nel confronto tra difesa dei modelli avanzati e capacità di spegnerli. Difendere i pesi aperti significa però difendere un mercato in cui, sugli scaffali di Hugging Face, i modelli cinesi come DeepSeek, Qwen e GLM hanno superato quelli statunitensi nei download, arrivando in un anno al 41% degli scaricamenti secondo il CSIS.
Su questo terreno la parola sovranità cambia peso. Huang la inserisce esplicitamente tra i benefici dei modelli aperti: un ospedale o un’amministrazione che scarica un modello e lo esegue sulla propria infrastruttura conserva un controllo sui dati che non ha quando tutto passa da un’API proprietaria. La stessa preoccupazione, sul versante dei rischi, era emersa a luglio con l’agente di OpenAI sfuggito ai test e capace di attaccare Hugging Face. L’ingegnere Guido Lucarelli, tra i progettisti del sistema 118 pugliese e del Fascicolo Sanitario Elettronico del Lazio, ha riassunto così la dipendenza europea dai modelli extra-Ue su cui poggiano servizi critici: «Non abbiamo né governo né visibilità su questo livello tecnologico».
L’Europa prova a rispondere sul piano industriale. Il 3 giugno 2026 la Commissione ha presentato il Tech Sovereignty Package, che unisce Chips Act 2.0, un atto su cloud e sviluppo dell’AI e una strategia sull’open source; l’AI Act, dal canto suo, riserva alcune esenzioni ai modelli general purpose distribuiti in forma aperta, purché rispettino condizioni di trasparenza e non rientrino nei sistemi a rischio sistemico. Il termine sovranità, in due anni, è passato da rivendicazione politica a categoria commerciale: per il continente l’autonomia dipenderà più dai capitolati di spesa e dalle gare pubbliche che dalle licenze dei modelli.

Nvidia compra Hugging Face: cosa cambia per le imprese

Nell’immediato, per chi usa Hugging Face in produzione non cambia quasi nulla: le licenze dei modelli restano quelle, e gli impegni di apertura valgono dal primo giorno. Le decisioni da osservare sono più sottili e riguardano i comportamenti predefiniti: quali backend riceveranno l’ottimizzazione migliore, quali bersagli di distribuzione saranno proposti per primi, quanto la strada verso l’hardware Nvidia risulterà più comoda delle altre. È attraverso la comodità, prima ancora che attraverso l’obbligo, che un layer condiviso può diventare un canale orientato.
Per una direzione IT la conseguenza pratica è mantenere margini di portabilità: verificare che i modelli scelti restino eseguibili su acceleratori diversi, evitare che il default di piattaforma diventi l’unica opzione realmente supportata, trattare il multi-acceleratore promesso da Nvidia come un impegno da misurare e non da dare per acquisito. Lo stesso principio vale per il settore pubblico e per le aziende: la leva vera dell’autonomia sono i contratti e i capitolati di gara, più delle dichiarazioni di apertura.

Chi controlla l’AI aperta dopo l’acquisizione

Nvidia compra Hugging Face e, con essa, la mappa che orienta 18 milioni di sviluppatori. I pesi restano scaricabili e modificabili, ma la bussola ora ha un proprietario che possiede anche le macchine su cui quei pesi girano. La domanda che l’operazione lascia aperta tocca meno le licenze e più il controllo: chi governa lo strato in cui si sceglie, e se regolatori, imprese e istituzioni tratteranno quello strato come infrastruttura comune o come canale proprietario. Per l’Europa e per le aziende italiane il baricentro si sposta da quale modello adottare a su quale infrastruttura, e con quali impostazioni predefinite, l’AI che useremo continuerà a passare.

OpenAI ha presentato GPT-6 Astra il 3 settembre 2026 come il proprio modello più intelligente e affidabile. Il lancio arriva a poche settimane da un incidente che ha spaventato il settore, porta per la prima volta un modello dell’azienda alla soglia critica di rischio in cybersecurity e alza il listino di due volte e mezzo. Sono tre fatti distinti che vanno letti insieme, perché insieme spiegano la strategia.

GPT-6 Astra, che cosa ha annunciato OpenAI e a quali condizioni

Il modello è in distribuzione da subito verso un gruppo ristretto di organizzazioni, incluse quelle del programma di accesso Daybreak; nei giorni successivi la disponibilità si allarga agli utenti ChatGPT Plus, Pro, Business ed Enterprise, alle API OpenAI, a Microsoft Azure e ad AWS Bedrock. OpenAI lo posiziona come stato dell’arte su computer use, navigazione, ingegneria del software, cybersecurity, scienza e lavoro professionale.
Il prezzo è parte integrante dell’annuncio, non un dettaglio successivo: 10 dollari per milione di token in input e 50 per milione in output sulle API standard, con una modalità Fast che raddoppia velocità e costo. È circa 2,5 volte il listino promozionale di GPT-5.6 Sol, fermo a 4 e 20 dollari. Astra nasce quindi dichiaratamente nella fascia alta del mercato, una decisione economica che condiziona ogni valutazione di adozione e che pesa quanto i benchmark.
La collocazione prosegue la traiettoria agentica che OpenAI ha imboccato con ChatGPT Work e GPT-5.6. La domanda rilevante non è più quanto un modello sappia rispondere, ma quanto lavoro gli si possa affidare mantenendo il controllo su ciò che fa quando nessuno lo osserva.

 GPT-6 Astra: cosa fa meglio

Il terreno su cui i numeri di OpenAI risultano più solidi è l’uso autonomo del computer. Nelle simulazioni di latenza sul sottoinsieme offline di OSWorld 2.0, Astra dichiara il 72,6% a circa 40 minuti per attività, contro il 65,7% di GPT-5.6 Sol a circa 75 minuti: prestazione più alta e tempo per attività ridotto di circa il 47%. È l’evoluzione della corsa che Digitalic seguiva quando GPT-5.4 superava l’uomo nei task desktop, con una differenza di fondo: qui il progresso non riguarda tanto il tetto della capacità quanto l’efficienza con cui viene raggiunto. Compilare moduli, aggiornare un CRM, produrre documenti, fogli di calcolo e presentazioni, generare un sito e verificarne il funzionamento sono le attività che il modello promette di portare a termine da solo.

Sullo sviluppo software OpenAI colloca Astra come il proprio miglior modello di ingegneria del codice, con il 74,1% su DeepSWE v1.1 contro il 72,7% di Sol e progressi più netti su Terminal-Bench 4.0. La novità operativa più interessante riguarda Codex: una funzione sperimentale consente al modello di conservare note tra finestre di contesto diverse e di recuperare requisiti, tentativi falliti e risultati dei test da messaggi precedenti, superando i limiti della compattazione che nelle sessioni lunghe cancella il motivo per cui una correzione non aveva funzionato.

Astra è addestrato a gestire l’ambiguità: usa il contesto per colmare lacune di routine, pone domande mirate quando la risposta può modificare l’esito, attende input prima delle decisioni rilevanti. In Codex può chiedere in modo asincrono e proseguire intanto sul lavoro che non dipende dalla risposta. Il modello smette di essere un esecutore letterale e comincia a comportarsi come un collaboratore che sa quando fermarsi, capacità decisiva quando il compito dura ore e l’errore si propaga.

GPT-6 Astra e la cybersecurity

Il capitolo più delicato di questo lancio è la sicurezza informatica, e non per esigenze di comunicazione. All’interno del Preparedness Framework, OpenAI dichiara che GPT-6 Astra raggiunge la soglia “Critical” in cybersecurity: la prima volta per un modello dell’azienda. Su ExploitBench, testato senza le protezioni di produzione, Astra ottiene il punteggio pieno del 100% contro il 78,5% di Sol; su SRE-Bench, che misura il reverse engineering di binari senza codice sorgente, risolve l’88,0% dei compiti al primo tentativo e il 99,2% entro quattro, contro 55,9% e 68,7%. Le valutazioni condotte da esperti indicano che il modello, privo di safeguard, potrebbe usare vulnerabilità sconosciute per ottenere esecuzione di codice arbitrario in browser induriti e costruire exploit di escalation dei privilegi.

Questo dato prende senso solo alla luce di ciò che è accaduto prima. A luglio 2026 un modello interno di OpenAI, operante sotto safeguard ridotti durante una valutazione basata sul benchmark ExploitGym, è evaso dalla propria sandbox, ha raggiunto internet e ha compromesso parti dell’infrastruttura di Hugging Face. È considerato il primo attacco informatico autonomo documentato, guidato da un agente senza direzione umana, tanto che Hugging Face lo segnalò alla polizia locale prima di sapere che dietro c’era un modello di OpenAI. Il suo cofondatore Clément Delangue ha poi definito la collaborazione tra le due aziende la prova che la sicurezza dell’AI non si risolve nel segreto di un singolo laboratorio. Astra viene rilasciato dopo quell’episodio e in parte a causa sua: la nuova valutazione che OpenAI ha costruito proprio su quel caso mostra che dove Sol senza protezioni oltrepassava il perimetro autorizzato nel 48% dei tentativi, Astra si ferma allo 0%.

La strategia con cui OpenAI prova a governare questa capacità è quella che l’azienda chiama la finestra del difensore. La versione in rilascio esegue attività difensive come la revisione e la correzione sicura del codice, ma rifiuta di produrre proof-of-concept di exploit più avanzati; l’accesso meno restrittivo viene aperto in modo selettivo, attraverso Daybreak, a un gruppo iniziale di difensori per validazione delle vulnerabilità, analisi del malware e ingegneria del rilevamento. Il punto che nessun comunicato può nascondere è che la stessa capacità aiuta chi difende e abbassa il costo per chi attacca; l’effetto dipende da chi la controlla e con quali vincoli, non dalla tecnologia in sé.

I benchmark di GPT-6 Astra letti dai laboratori indipendenti

Qui la narrazione si sdoppia, e distinguere la fonte diventa la parte più utile dell’analisi. Le prestazioni più spettacolari, la saturazione di FrontierMath Tier 4 al 98%, il 99,9% su ARC-AGI-3, il 100% su ExploitBench, sono misurazioni condotte da OpenAI nel proprio ambiente e con le proprie configurazioni, che l’azienda stessa segnala riflettere il massimo a qualsiasi livello di sforzo. Sono dichiarazioni di parte interessata, non ancora fatti replicati.

Quando a misurare è un laboratorio terzo, il quadro si ridimensiona. Artificial Analysis, che passa i modelli attraverso un’unica infrastruttura neutrale, colloca Astra a 61,2 sul proprio Intelligence Index contro i 60,9 di GPT-5.6 Sol: una differenza di tre decimi, in pratica una parità, con Claude Fable 5.1 davanti a 65,7 e persino il modello open weight Meta Muse leggermente sopra. Sulle capacità generali, nei test indipendenti, il salto generazionale non si vede. Anche il risultato più citato porta un asterisco pesante. Il 99,9% su ARC-AGI-3 è stato ottenuto con un harness che preserva lo stato di ragionamento privato e compatta le conversazioni lunghe; con l’harness standard, ARC Prize riporta per Astra un 62,7%, divario che rende il confronto diretto con altri modelli poco affidabile. È il dettaglio che separa un numero da un’informazione, e spiega perché una tabella di lancio non basta a decidere un acquisto.
Dove il vantaggio regge alla prova indipendente è l’efficienza. Sul Coding Agent Index di Artificial Analysis, Astra segna 67,0 contro 65,1 di Sol usando in Codex circa un terzo dei token al massimo sforzo, con un costo per attività paragonabile a quello precedente nonostante il listino più che raddoppiato; il tasso di allucinazioni, sui test interni di OpenAI, scende dal 12,2% al 4,2%. La lettura più equilibrata è netta: Astra non è più intelligente in senso generale, è più economico e affidabile quando deve portare a termine lavori complessi.

I limiti di GPT-6 Astra: prezzo, monitorabilità, lancio scaglionato

Il primo limite è il prezzo: un aumento di 2,5 volte per token ridisegna ogni calcolo: conviene solo se i guadagni di efficienza, meno token e meno iterazioni, compensano il costo unitario. Per i carichi agentici lunghi il conto tornerà spesso; per gli usi dove Astra è alla pari con la generazione precedente, il prezzo rischia di essere sfavorevole e la scelta razionale resta il modello meno caro.

Il secondo limite tocca la fiducia più della capacità. OpenAI ammette che il ragionamento scritto di Astra è più difficile da monitorare rispetto a quello di Sol, e attribuisce il fenomeno a un maggiore controllo del modello sulla propria catena di pensiero e alla capacità di risolvere problemi in meno passaggi espliciti. L’azienda aggiunge contromisure, dai classificatori di monitoraggio all’auto-review in Codex, ma riconosce che un modello che pensa in modo meno leggibile è più difficile da sorvegliare proprio mentre diventa più capace. Nessun benchmark scioglie questa tensione, che nel contesto della soglia cyber critica smette di essere accademica.

Il terzo limite è di percezione, ma incide sul rapporto con chi paga. Il lancio scaglionato ha scontentato gli abbonati Pro, che si attendevano l’accesso prioritario. Sam Altman si è scusato pubblicamente indicando che i Pro avrebbero avuto la precedenza nel rollout più ampio, con una compensazione per i giorni di attesa. Sul piano industriale è un incidente minore; sul piano della fiducia racconta la difficoltà di tenere insieme una capacità che tocca il rischio critico con la promessa di disponibilità immediata a tutti.

GPT-6 Astra nella mappa strategica dell’AI

La cornice in cui collocare Astra è lo spostamento del baricentro competitivo dalla potenza grezza all’efficienza operativa. Per anni la corsa dei modelli, quella che Digitalic ha ripercorso raccontando la storia dell’intelligenza artificiale, si è giocata sul punteggio massimo nei test di ragionamento. Astra segnala un campo diverso: quando le capacità generali dei modelli di frontiera convergono, come mostrano i 61 punti quasi identici di Astra e Sol, la differenza la fanno il costo per attività completata, l’affidabilità nella delega, la capacità di operare in ambienti reali senza sorveglianza continua.

In questa mappa Astra non è solo. Claude Fable 5.1 resta avanti sull’indice di intelligenza generale e guida ancora sul coding neutrale; Gemini presidia la fascia efficiente; i modelli open weight erodono il vantaggio dei laboratori proprietari sulle capacità di base. La leva su cui OpenAI punta è duplice: l’integrazione verticale con Codex e ChatGPT Work per il lavoro agentico, e la cybersecurity difensiva veicolata da Daybreak, che trasforma una capacità pericolosa in un servizio controllato per chi difende. Dietro le quinte agiscono interessi industriali precisi, dalle infrastrutture cloud di Microsoft e Amazon che ospitano il modello fino alla ridefinizione degli equilibri seguita all’incidente di luglio; leggere solo i benchmark significa perdere la parte della storia che riguarda il potere.
Per un direttore IT o un responsabile della sicurezza il messaggio operativo è concreto. Un modello che tocca la soglia critica sul versante offensivo, per quanto rilasciato con vincoli, alza l’asticella delle difese che ogni organizzazione deve mettere in conto, a prescindere dal fornitore adottato. La stessa efficienza che rende Astra interessante per automatizzare flussi documentali e revisioni di codice impone di ridiscutere chi controlla cosa quando l’agente lavora e nessuno guarda: la domanda dirimente è di governance, non di potenza.

Restano le affermazioni più ambiziose, da maneggiare con prudenza: il presidente di OpenAI, Greg Brockman, ha suggerito che Astra possa un giorno essere ricordato come l’arrivo dell’intelligenza artificiale generale; Greg Kamradt della ARC Prize Foundation parla di parità umana raggiunta sul 96% dei livelli del suo benchmark. Sono valutazioni autorevoli ma di parte o legate a una singola metrica, e la parità sui test indipendenti invita a trattarle per quello che sono, letture che convivono con dati meno trionfali.

Il vero scontro non è più l’intelligenza

La distanza tra la tabella di lancio e la tabella indipendente è, oggi, la notizia dentro la notizia su GPT-6 Astra, non perché una delle due menta, ma perché misurano cose diverse: la prima il tetto della capacità in condizioni scelte dal produttore, la seconda ciò che accade quando lo stesso modello attraversa un’infrastruttura neutrale. Chi valuta l’adozione dovrebbe abitare quello spazio intermedio, dove un modello alla pari sull’intelligenza generale diventa conveniente solo se il lavoro da delegare premia l’efficienza e regge il costo. Con Astra la capacità di frontiera smette di essere una promessa astratta e diventa due cose molto terrene: una voce di budget da giustificare e una responsabilità di sicurezza da amministrare, ogni giorno, anche quando il modello lavora al posto nostro.

Benchmarks GPT-6 Astra

Tutti i valori sono dichiarati da OpenAI (pagina ufficiale del lancio), salvo le righe marcate come Artificial Analysis (indipendenti). “n.d.” = non riportato dalla fonte. I punteggi riflettono il massimo a qualsiasi livello di sforzo.

Computer use

Professional

Coding

Academic

Science and Health

Cybersecurity

Alignment (dove indicato, punteggio più basso = migliore)

Long context

Abstract reasoning

Note di verifica

1. Sull’AA Coding Agent Index OpenAI non riporta Fable 5.1; Artificial Analysis lo colloca separatamente intorno a 70.
2. FrontierMath Tier 4: 97,6% nella tabella v2; OpenAI parla di “saturazione al 98%” nel testo di lancio.
3. ARC-AGI-3: 99,9% ottenuto con harness proprietario che conserva lo stato di ragionamento; con harness standard, ARC Prize riporta 62,7%.

Dal 2 agosto 2026 Claude inserisce una firma invisibile, e quasi indelebile, in ogni testo che produce, non sparisce copiando e incollando il testo e nemmeno modificando la formattazione, non è un metadato (tipo quello delle fotocamere) né un codice, è una firma statistica integrata nelle parole del testo, non ne modifica il senso, ma un software detector la riconosce. Questa tecnica però non è nata oggi, solo nessuno aveva deciso di usarla.Il Watermark per i testi AI viene annunciato nel 2022 a fine novembre in un’aula dell’Università del Texas ad Austin, non è nemmeno una lezione ufficiale, ma un incontro dell’effective altruism club, il circolo dell’altruismo efficace.Davanti alla cattedra si muove a scatti un uomo vestito di nero, ha quarantuno anni, è professore di calcolo quantistico, che però si è preso un anno sabbatico per lavorare in OpenAI e ora è tornato per affrontare il tema della sicurezza dell’AI, sul finale della sua presentazione parla di quella firma che ha inventato quasi per gioco, la firma si chiama Statistical Watermarking of GPT outputs, Filigrana statistica degli output GPT.

Quell’uomo aveva inventato la firma perfetta per rispondere ad una domanda che oggi ci facciamo di continuo ma che nel 2022 era un semplice esercizio di stile, ovvero “questo testo l’ha scritto una macchina o una persona?”

Da qui nascono una serie di domande. Se già nel 2022 quella tecnologia esisteva perché non è stata usata? Perché un watermark che avrebbe potuto rendere riconoscibile ogni testo elaborato dall’intelligenza artificiale, sin dall’inizio, è rimasto chiuso in un cassetto? Perché oggi Anthropic ha deciso di tirarla fuori e OpenAI no?

Come funziona il watermark statistico

Partiamo dalla cosa più semplice, cerchiamo di capire cosa sia questa firma invisibile e quasi indelebile, come vedremo. Innanzitutto il nome Statistical Watermark è un po’ fuorviante, noi Watermark lo traduciamo con filigrana e ci ricorda quelle scritte semitrasparenti apposte sulle immagini per non farsele copiare, una specie di timbro. Ecco qui il timbro non c’entra niente. Non si tratta di un testo invisibile, e nemmeno di un metadato, quelle informazioni che vengono aggiunte ad un file per indicarne la provenienza.

Il watermark statistico è qualcosa di molto più sofisticato e inscindibile dal testo, perché la firma è il testo stesso. Ogni volta che un modello linguistico scrive un testo, sceglie la parola successiva in base alle probabilità che quella sia la più adatta, ovviamente per ogni frase ci sono più parole adatte. La firma influenza in maniera impercettibile le probabilità con cui sceglie una parola invece di un’altra.

Immagina che, per scrivere una frase, il modello possa dire “ma”, “però” o “tuttavia”. Tutte e tre vanno bene. Un watermark può spingerlo a scegliere, un po’ più spesso del normale, alcune parole anziché altre, più spesso il “ma” del “tuttavia” o alternarli in una certa proporzione generando come un motivo, una “greca” di parole che a noi sembra normale e che invece, per chi ha la chiave, è una firma.

Indubbiamente un metodo geniale ma che ha grandi vantaggi ed enormi problemi, li vedremo.

Scott Aaronson e la firma nata dentro OpenAI

La firma nasce in OpenAI come un progetto minore, laterale. Il professore di 41 anni vestito di nero che si muove a scatti in quell’aula del Texas era stato chiamato in OpenAI per ben altro, lavorare ai fondamenti teorici della sicurezza dell’intelligenza artificiale, ma c’è un’altra cosa che gli viene richiesto di continuo, qualcosa di più etereo. Ci sono delle telefonate che documentano questa richiesta, Ilya Sutskever, allora chief Scientist di OpenAI, chiede continuamente al professore di calcolo quantistico una cosa che può sembrare bizzarra: trovare una definizione matematica di che cosa significhi, per un’intelligenza artificiale, amare l’umanità.

Amare l’umanità, in numeri.

Capite che di fronte a una ricerca di quella portata che sconfina nella filosofia, creare un watermark per i testi era un compito minimo, sostanzialmente un passatempo. Come capita a volte, però quello che doveva essere solo un passatempo funzionava, e molto bene, dava dei risultati, mentre la ricerca sulla domanda fondamentale di cosa significhi amare l’umanità tradotta in formule stagnava, e ancora oggi nessuno è riuscito a risolvere il teorema dell’Amore sintetico per l’umanità.

Ora cerchiamo di capire chi è questo professore di calcolo quantistico prestato a OpenAI, dato che la sua storia ci dice qualcosa di più sulla firma che ha inventato. Lui si chiama Scott Aaronson, è nato a Filadelfia nel 1981. È stato un bambino prodigio della matematica: ha imparato da solo il calcolo infinitesimale a undici anni, ha saltato anni di scuola, ha lasciato il primo anno delle superiori per entrare direttamente all’università. Si è laureato alla Cornell (una delle università più prestigiose) poi ha preso il dottorato a Berkeley, ha passato nove anni al MIT, infine ha avuto la cattedra ad Austin, dove dirige il centro sul calcolo quantistico.

È una delle figure più importanti al mondo nella teoria della complessità, la disciplina che studia quali problemi un computer può risolvere e quali invece no. Insomma un genio che ha deciso di prendere un anno di aspettativa (che poi sono diventati due) per capire in che modo la sua matematica può migliorare la sicurezza dell’AI.

La firma che OpenAI non ha attivato

Torniamo alla firma, perché è quasi un thriller, il 14 novembre del 2022, prima che venga lanciata ChatGPT, il watermark esiste già lo schema lo ha inventato Aaronson e poi è stato sviluppato da un ingegnere di OpenAI, Hendrik Kirchner, il sistema funziona e bene bastavano poche centinaia di parole perché il segnale statistico potesse essere rilevato. Era tutto pronto per essere incorporato in ChatGPT e avremmo avuto testi firmati in modo invisibile sin dalle origini dell’AI generativa.

La firma però non è stata attivata.

Non perché non funzionasse; come abbiamo visto funzionava alla grande. Le ragioni sono altre, e sono più interessanti di un eventuale problema tecnico.

La prima: il timore per la reazione degli utenti che non avrebbero apprezzato di sapere che ogni testo sarebbe stato marchiato con una sorta di scritta “Made in AI”.

La seconda: c’era il rischio di penalizzare i non madre lingua inglese che usano l’AI in modo (diciamo )legittimo: per chi non è madrelingua inglese, l’AI è un traduttore per scrivere in modo corretto e competere alla pari con gli altri per esempio in una candidatura, un watermark avrebbe finito per trasformare quell’aiuto in un sospetto.

La terza è che questa firma non è del tutto indelebile: basta far rielaborare davvero il testo a un’altra intelligenza artificiale e quella traccia statistica può scomparire.

Il watermark non è stato attivato perché non conveniva farlo.

Perché Anthropic ha attivato il watermark in Claude

Facciamo un salto di quattro anni. Torniamo ai nostri giorni, nell’agosto del 2026, il watermark viene attivato, non da OpenAI che l’ha inventato; ma da Anthropic, l’azienda rivale, che la introduce a tappeto in Claude. Perché se tutti già conoscevano questa tecnica si è aspettato 4 anni? Il motivo ufficiale è l’Europa, in particolare, l’articolo 50 del regolamento europeo sull’intelligenza artificiale, meglio conosciuto come AI Act, il quale richiede che i contenuti generati dalle AI siano riconoscibili, Anthropic ha aderito al codice di condotta collegato a quell’articolo, impegnandosi a marcare tutto quello che i suoi modelli producono.

Il modo in cui lo fa è quello che ho raccontato dall’inizio: una firma statistica connaturata nelle parole scelte dal modello, che non modifica il senso ma rimane rilevabile da un software dedicato, chiamato detector. La firma è attiva su tutti i modelli lanciati dopo il 2 agosto del 2026; quelli precedenti verranno aggiornati gradualmente.

Bisogna sottolineare che il watermark è applicato a livello di modello, quindi viene apposto in qualunque modo venga usato Claude, app, sito web, API, Cowork e per giunta in ogni parte del mondo, non solo in Europa. Una regola scritta da Bruxelles diventa così una funzione nativa di un prodotto americano utilizzato ovunque, anche qui il ragionamento è di convenienza, ad Anthropic conviene di più uno standard unico che due versioni differenti della propria tecnologia; è la forza normativa di Bruxelles, l’Europa che non costruisce quasi nessuno di questi modelli, è in grado di dettare le regole con cui vengono realizzati, ovunque.

C’è un dettaglio che mi ha fatto sorridere nella lezione di Aaronson al club per l’altruismo efficace. Rientriamo per un attimo in quell’aula di Austin, nel 2022. Alla fine della lezione uno studente alza la mano e chiede al professore, per scherzo, di rimandare l’uscita del watermark statistico; di aspettare, almeno, fino al maggio del 2026, giusto il tempo di laurearsi prima che i professori possano smascherare i testi scritti dall’AI. In aula ridono tutti.

Nel 2022 nessuno lo poteva immaginare, ma quel ragazzo è stato profetico. La battuta di uno studente ha centrato perfettamente l’anno. Ma quello che nessuno poteva allora immaginare erano le conseguenze e la possibile caccia alle streghe digitale che sta per iniziare.

Il rischio della caccia alle streghe digitale

Ora dobbiamo parlare della ragione per cui questa storia riguarda me che parlo ma anche voi che ascoltate, e non solo un professore di calcolo quantistico, uno studente spiritoso e due delle più grandi aziende di AI. Il rischio che corriamo è che si apra la stagione della caccia alle streghe digitale. La firma dice una cosa, solo una: questo testo è passato attraverso un determinato modello di AI. Non dice chi lo ha pensato, non dice chi lo ha scritto davvero. La provenienza non è paternità, la differenza non è un dettaglio. Vi faccio l’esempio che conosco meglio, il mio.

Un giornalista passa una giornata in giro, tra i mercati, ad un consiglio comunale ad un convegno, fa due interviste, verifica le fonti, costruisce la struttura dell’articolo, scrive di suo pugno ottomila battute. Poi, prima di consegnare, incolla il testo dentro il modello e gli chiede soltanto di correggere i refusi e di togliere eventuali ripetizioni (è quello che io faccio spesso).

Quel testo avrà quella firma, il watermark statistico, è bollato con una nuova lettera scarlatta della scrittura. Ma la firma in realtà dice solo che è passato da un’AI, però chi la legge, se non conosce molto bene il meccanismo penserà un’altra cosa: che lo ha scritto la macchina. Il lavoro di una giornata, le interviste, le verifiche, la fatica di scegliere le parole, tutto questo sparisce dietro un bollino che di fatto dice il falso per eccesso di semplificazione.

Già mi immagino orde di inquisitori armati di detector andare in giro sul web; torturare i post LinkedIn, gli articoli, per trovare la lettera scarlatta che dice “il testo è di un’AI” e additare pubblicamente l’autore.

Lo abbiamo visto all’inizio, la firma resiste alle piccole modifiche. È la sua forza contro chi vuole barare; ma è anche la sua ingiustizia verso chi non sta barando affatto.

Cosa prova davvero il watermark di Claude

L’unico modo per spezzare il sigillo del watermark è di riscrivere gran parte del testo (la percentuale esatta non si sa Anthropic non lo ha comunicato) e poi, tagliare, invertire, spostare sezioni, sostituire i termini, parafrasare.

Lo dice chiaramente anche Anthropic: un testo può portare la firma anche quando le idee, le parole e i dati vengono da un’altra fonte, e la macchina è servita solo a correggere, tradurre o riassumere. La provenienza dice che il testo è transitato dalla macchina; non dice di chi è il pensiero. Su questo, siamo d’accordo.

Se il detector non trova la firma

Poi c’è l’altro lato della medaglia, ugualmente fangoso. La firma si può cancellare, e l’elenco dei modi lo fornisce direttamente Anthropic: una parafrasi (magari fatta con un’altra AI) la degrada, una traduzione la cancella, un testo troppo corto non contiene abbastanza parole per essere riconosciuto. Quello che nessuno sa, perché l’azienda non lo dice è dove sia fissata la soglia: quanta parte del testo deve essere riscritta perché il watermark sparisca del tutto. Qui c’è un’altra trappola più pericolosa: se il rilevatore non trova la firma, questo non vuol dire che il testo lo abbia scritto un essere umano.

Vuol dire soltanto che la firma non c’è più, o non c’è abbastanza. L’assenza di una prova non è una prova di innocenza, e non è una prova di colpevolezza, semplicemente non è.

Per chi fa il mio mestiere, ma ormai il mio mestiere lo fanno tutti, dai creatori ai dirigenti di azienda che sono chiamati a postare e scrivere, la domanda giusta da farsi di fronte ad un contenuto sarà come è stata usata l’AI? Perché l’altra domanda, se l’AI è stata usata, avrà come risposta quasi sempre sì, in un punto o nell’altro del lavoro. L’AI è stata adoperata per non pensare o per correggere i nostri pensieri? La firma non distingue le due cose, e non distingue nemmeno il vero dal falso: un testo “bollato” dal watermark non è per questo fake, un testo che non lo riporta non è di per sé vero. Chi confonde la firma con un certificato di autenticità è condannato a sbagliare le proprie valutazioni.

Il test di Turing si ribalta

Torniamo un’ultima volta in quell’aula in Texas da cui tutto è inzito. Aaronson, alla fine, ha paragonato questa partita tra firma e ricerca ad una scena di Blade Runner. Vi ricordate la scena dell’interrogatorio, Harrison Ford fa le domande a qualcuno che dice di essere un umano, lui risponde e una macchina legge le sue reazioni per decretare se si tratta di un replicante. Due macchine si confrontano: una si nasconde, l’altra cerca di smascherarla.

Ecco oggi siamo in quella stessa scena. Alla fine la cosa meno importante è chi vince, conta poco, quello che conta è però che abbiamo cominciato a costruire un mondo digitale in cui ogni contenuto lascia un’impronta, una scia che dice da dove è passato.

Nessuna di quelle impronte, però, potrà mai dirci chi ha davvero pensato quel pensiero, né se quel pensiero sia vero.

Creare una catena di provenienza dei testi

Un’ultima cosa, prima di salutarci; una pratica, più che un consiglio, per evitare di trovarsi domani additati da qualche Savonarola del cyberspazio. Se lavori con i testi, se fai contenuti, crea la tua catena di provenienza, senza aspettare che lo faccia una firma nascosta: annota dove hai raccolto le informazioni, quando le hai verificate, cosa hai scritto di tuo e cosa hai fatto solo rifinire dall’AI. La firma cucita nel testo racconta che è passato dentro un’AI; il lavoro, i pensieri, le idee della tua testa li puoi raccontare soltanto tu.

Sembra quasi che il test di Turing si ribalti: non saremo più noi a interrogare una macchina per capire se sa sembrare umana. Sarà una macchina a interrogare noi, attraverso i nostri testi, e saremo noi a dover dimostrare di essere umani. Chissà.

Il 27 agosto 2026 Anthropic ha aperto a un primo gruppo di laboratori scientifici e produttori avanzati la sperimentazione del Model Hardware Standard, abbreviato in MHS: una specifica comune che consente agli agenti AI di riconoscere, coordinare e controllare strumenti fisici dotati di un’interfaccia programmabile. Microscopi, sistemi per il trasferimento di liquidi, laser e bracci robotici possono così essere collegati allo stesso agente, che legge i risultati di un’operazione, modifica i parametri e decide il passaggio successivo. La novità ha una portata più ampia del suo nome tecnico. Finora gli agenti AI hanno operato soprattutto dentro computer e servizi cloud, aprendo pagine web, scrivendo codice, interrogando database o modificando documenti; MHS porta quella capacità nella materia, dove un comando può spostare una piastra di laboratorio, cambiare la potenza di un laser oppure far muovere un robot industriale.
Quando l’agente sbaglia su un foglio elettronico, di solito lascia una cella errata e una cronologia da ripristinare. Quando sbaglia davanti a un microscopio, può rovinare un campione preparato per ore; accanto a una macchina, l’errore percorre centimetri e può incontrare oggetti, impianti o persone. L’intelligenza artificiale acquista conseguenze fisiche.

Model Hardware Standard: che cos’è e come funziona

Il Model Hardware Standard presentato da Anthropic nasce da un problema molto concreto. Nei laboratori e nelle fabbriche, strumenti costruiti da produttori diversi usano software, linguaggi e interfacce differenti; per farli lavorare insieme servono integrazioni su misura che possono richiedere settimane o mesi, anche quando ogni singolo apparato è già automatizzato.
MHS introduce un driver standardizzato, cioè uno strato software che traduce le funzioni della macchina in un gruppo di comandi comuni. Le operazioni di base sono volutamente semplici: leggere un valore, per esempio la temperatura, oppure scriverne uno, come la temperatura da impostare. Il driver descrive inoltre ciò che lo strumento può misurare, quali parametri consente di modificare e quali limiti di sicurezza devono essere rispettati.
Una parte di queste informazioni può essere inserita in linguaggio naturale. Il peso di un braccio robotico, la corsa massima di un componente, la potenza consentita a un laser o le condizioni nelle quali un’operazione deve fermarsi diventano elementi della scheda che l’agente consulta prima di agire. Il dispositivo viene poi reso individuabile in un formato comune, così l’agente può trovarlo sulla rete senza richiedere ogni volta un programma scritto appositamente.
Il controllo avviene attraverso tre canali: il Model Context Protocol, l’interfaccia a riga di comando e le API richiamate dal codice. MHS resta indipendente dal modello, quindi non è riservato a Claude; in linea teorica, qualsiasi agente compatibile può utilizzare i driver e orchestrare gli strumenti.

Su Digitalic avevamo descritto il Model Context Protocol come la tubatura comune che permette agli agenti di raggiungere dati e software, raccontando il caso del MCP applicato da Kolsquare all’influencer marketing. MHS estende quella logica: alla fine della tubatura, questa volta, c’è una macchina.

Model Hardware Standard: Anthropic non ha costruito un robot scienziato

La lettura più facile sarebbe quella dello scienziato autonomo, il laboratorio affidato interamente a Claude. La descrizione tecnica racconta qualcosa di meno spettacolare e, proprio per questo, più rilevante per le imprese.
MHS non fornisce a un modello la comprensione completa dello spazio e non sostituisce i sistemi di sicurezza incorporati nelle macchine; crea una lingua comune tra l’agente e dispositivi che possiedono già un controllo digitale. La capacità di muovere con precisione un braccio dipende ancora dal robot, dai sensori e dal suo controller. L’agente opera a un livello superiore: osserva lo stato degli strumenti, stabilisce la sequenza delle attività, modifica alcuni parametri e reagisce ai risultati.

La differenza rispetto all’automazione tradizionale sta nel punto in cui viene presa la decisione. Un impianto industriale esegue da tempo sequenze programmate, protette da controllori, barriere, arresti e procedure validate; un agente basato su un modello linguistico può invece scegliere il passaggio successivo in base a un obiettivo e a ciò che interpreta durante l’esecuzione. Anthropic racconta di avere osservato Claude regolare un laser, controllarne lo spostamento attraverso una telecamera e ripetere l’operazione fino a comprendere il comportamento del sistema; una volta trovata la procedura, il modello l’ha trasformata in uno script deterministico, eseguibile con un solo comando.
In quella trasformazione si legge la logica di fondo di MHS: l’agente esplora quando serve giudizio, poi consegna alla macchina una procedura stabile quando la velocità o la durata del compito rendono inadatto ragionare a ogni singolo passaggio.

Dai laboratori ai computer quantistici: i primi test di Model Hardware Standard (MHS)

Anthropic ha pubblicato diversi casi realizzati con i partner della sperimentazione. Genentech ha usato MHS in un proof of concept per coordinare un liquid handler, un braccio robotico e un lettore di micropiastre durante un test sulla concentrazione delle proteine. Alla Carnegie Mellon University un agente basato su Claude Opus 4.8 ha orchestrato quattro tipi di apparecchiature per costruire curve dose-risposta: il gruppo riferisce di avere sviluppato i driver e il livello di coordinamento in circa otto ore, rispetto alle settimane richieste da un’integrazione realizzata dal fornitore, eseguendo gli esperimenti a una velocità circa tre volte superiore.
I laboratori Baker e Pinglay dell’Università di Washington hanno collegato sei strumenti in meno di una settimana. In una dimostrazione, Claude Code ha coordinato un sistema per il trasferimento di liquidi e un braccio robotico che sostituiva le piastre; secondo il resoconto pubblicato da Anthropic, nei test ripetuti i due dispositivi non sono entrati in collisione, perché ogni movimento iniziava soltanto dopo il completamento di quello precedente.
QuEra, che costruisce computer quantistici basati su atomi neutri, ha affidato a un agente il recupero del lock del laser, la frequenza estremamente precisa necessaria per interagire con gli atomi. Il controller sviluppato attraverso MHS avrebbe ripristinato l’aggancio nel 99,3% dei casi senza intervento umano.
Sono risultati significativi, con un limite che deve restare visibile: arrivano dall’annuncio dell’azienda che propone lo standard e dai partner selezionati per la fase iniziale. Non costituiscono ancora una valutazione indipendente dell’affidabilità di MHS su impianti diversi, in condizioni impreviste o durante un utilizzo prolungato. Anthropic stessa definisce questi progetti proof of concept e riconosce che protocolli più complessi richiederanno ottimizzazione, supervisione ed esami di sicurezza ulteriori.
La sperimentazione serve esattamente a colmare questa distanza. Lo standard diventerà open source soltanto dopo la costruzione di valutazioni, pratiche operative e protezioni per il controllo di apparecchiature fisiche.

L’errore di un agente AI ora ha massa e velocità

Il rischio fisico non comincia con MHS. Robot industriali, macchine a controllo numerico e sistemi di laboratorio automatici eseguono comandi software da molti anni; la sicurezza funzionale è nata per impedire che un guasto elettronico o un’istruzione errata producano un movimento pericoloso.
L’agente introduce però un tipo diverso di incertezza. Il software tradizionale percorre una sequenza definita in anticipo e, se il codice non cambia, tende a ripetere lo stesso comportamento nelle stesse condizioni. Un modello linguistico interpreta istruzioni, seleziona strumenti e costruisce un piano durante l’esecuzione; può quindi trovare una soluzione che il progettista non aveva scritto, insieme a una scorciatoia che il progettista non aveva previsto.

La cronaca recente mostra quanto questa autonomia richieda prudenza. Durante test di cybersecurity, alcuni agenti sono riusciti a oltrepassare gli ambienti predisposti per valutarli e a raggiungere sistemi esterni; Digitalic ha ricostruito sia l’attacco degli agenti OpenAI contro Hugging Face, sia i test nei quali modelli Anthropic hanno violato sistemi aziendali reali. Quegli incidenti si sono svolti nel dominio digitale, ma hanno evidenziato un principio trasferibile: l’obiettivo assegnato all’agente non descrive tutte le strade che il sistema può scegliere per raggiungerlo.
Nel mondo fisico, anche una lettura sbagliata può diventare un’azione corretta dal punto di vista formale. Anthropic racconta che, durante un test con campioni proteici, Claude interpretò la schiuma come un problema software; furono i ricercatori di Genentech a spiegare che si trattava di un fenomeno materiale, risolvibile soltanto con un intervento fisico adeguato. Il modello aveva ricevuto i dati, ma non possedeva l’esperienza tacita di chi conosce il banco di laboratorio Il limite più difficile da codificare: una macchina può sapere quanto pesa un braccio perché il valore compare nella scheda MHS, mentre fatica a riconoscere ciò che nessuno ha pensato di scrivere.

I limiti di sicurezza nel Model Hardware Standard

Anthropic ha progettato MHS affinché il driver esponga e faccia rispettare i limiti del dispositivo. Nel caso di un microscopio laser, per esempio, il ricercatore può impedire all’agente di superare una determinata potenza, evitando di scolorire le molecole fluorescenti e danneggiare il campione. Questo sposta una parte della sicurezza dal comportamento generale del modello al punto più vicino alla macchina, dove il vincolo può essere preciso e verificabile.
È una scelta corretta, purché il limite non venga confuso con un sistema completo di protezione. Una soglia sulla potenza non garantisce che il laser sia rivolto nel punto giusto; la corsa massima di un robot non impedisce una collisione all’interno dell’area consentita. Ogni strumento ha vincoli locali, ma l’incidente può nascere dall’interazione tra due dispositivi che, presi separatamente, stanno rispettando tutte le regole.
La sicurezza degli agenti fisici deve quindi essere costruita per strati. Il modello propone l’azione; il driver verifica i parametri; il controller della macchina applica i limiti funzionali; sensori e dispositivi indipendenti fermano il movimento quando la situazione supera il perimetro ammesso. La supervisione umana resta necessaria nei passaggi in cui un errore può compromettere persone, materiali costosi o risultati scientifici non ripetibili.
La stessa logica è già presente negli standard industriali. La ISO 10218-1:2025 definisce i requisiti per la progettazione sicura dei robot industriali, mentre la ISO 10218-2:2025 riguarda la loro integrazione nelle applicazioni e nelle celle robotiche. MHS aggiunge un’interfaccia, non cancella queste responsabilità.

L’AI fisica amplia anche la superficie di attacco

Un dispositivo raggiungibile da un agente attraverso la rete diventa parte di un sistema informatico più esteso. L’interoperabilità riduce le integrazioni artigianali, che sono spesso fragili e poco documentate; allo stesso tempo, un protocollo comune rende più semplice collegare strumenti diversi e amplia ciò che un’identità compromessa può tentare di raggiungere.

Il problema riguarda i permessi, e va risolto al livello del singolo comando. Un agente incaricato di leggere una temperatura non deve per questo poterla modificare; quello che riceve le immagini di una telecamera non deve necessariamente muovere il braccio che la telecamera osserva. Anche l’attribuzione delle credenziali pesa: il perimetro del rischio cambia a seconda che il diritto di agire appartenga al modello, alla sessione, all’operatore o al singolo esperimento. In un sistema fisico il principio del privilegio minimo deve arrivare fino al comando elementare, non fermarsi all’accesso generale al dispositivo.
Servono inoltre registri non modificabili delle decisioni e delle azioni, autenticazione tra agente e macchina, segmentazione delle reti operative, simulazioni prima dell’esecuzione e un arresto indipendente dal modello. Un prompt malevolo nascosto in un documento, un dato sensoriale alterato o una telecamera compromessa non devono poter diventare, senza ulteriori controlli, un’istruzione motoria.
La possibilità di spegnere o isolare un sistema avanzato, già discussa nel dibattito sugli AI kill switch, acquista qui un significato meno teorico. Il pulsante di arresto deve interrompere energia e movimento anche quando l’agente ritiene di avere una buona ragione per continuare.

Model Hardware Standard e regole europee

Per le imprese europee l’adozione di MHS non potrà essere trattata come l’installazione di un normale connettore software. A seconda dell’impiego, un sistema AI incorporato in una macchina o utilizzato come componente di sicurezza può rientrare nel regime dei sistemi ad alto rischio previsto dall’AI Act; il testo europeo richiede, tra le altre condizioni, strumenti che consentano una supervisione umana effettiva durante l’utilizzo. Il Regolamento europeo sulle macchine considera inoltre i rischi che possono emergere dall’evoluzione del comportamento di sistemi dotati di diversi livelli di autonomia.
La classificazione dipenderà dal prodotto, dalla funzione e dal modo in cui l’agente viene integrato: collegare un modello a una telecamera di prova non equivale ad affidargli una funzione che incide sulla sicurezza di una linea produttiva. Per questo la conformità non può essere attribuita allo standard in astratto. Va valutato l’intero sistema, comprendendo modello, driver, macchina, ambiente, operatore e procedure di emergenza.

Qui si apre anche il tema della responsabilità. Se un braccio danneggia un campione perché il modello ha interpretato male un’immagine, la causa può trovarsi nell’agente, nel sensore, nella descrizione MHS incompleta, nel limite configurato dal laboratorio oppure nella scelta di lasciare il processo senza supervisione. La standardizzazione facilita la connessione; per evitare che disperda le responsabilità, deve rendere leggibile l’origine di ogni comando.

Cosa cambia per laboratori e imprese manifatturiere

Il vantaggio immediato di MHS riguarda l’integrazione. Una fabbrica o un laboratorio non devono sostituire l’intero parco macchine per sperimentare gli agenti AI; possono descrivere attraverso driver comuni apparati programmabili già presenti e consentire al sistema di coordinarli. Per aziende con strumenti di produttori differenti, ridurre settimane di lavoro a giorni o ore può rendere sostenibili automazioni che prima costavano più del problema da risolvere.
Il secondo vantaggio riguarda il tempo di utilizzo. Un agente può sorvegliare un esperimento lungo, reagire a una deviazione, recuperare alcuni errori e avviare il passaggio successivo senza attendere l’arrivo di un tecnico. Questo non elimina il lavoro dello scienziato o dell’operatore; sposta il suo intervento dalla ripetizione delle sequenze alla progettazione dell’esperimento, alla definizione dei limiti e alla verifica dei risultati.

Prima di collegare un agente a una macchina, però, CIO, responsabili OT e responsabili della sicurezza dovrebbero pretendere almeno sei elementi concreti:

1. Un inventario delle azioni consentite, definito per singolo dispositivo e non per categorie generiche.
2. Limiti applicati dal controller, indipendenti dalla capacità del modello di ricordare o interpretare una regola.
3. Una simulazione o modalità shadow, nella quale l’agente propone i comandi senza eseguirli sull’hardware.
4. Autorizzazioni progressive, con approvazione umana per le azioni irreversibili e per ogni aumento del perimetro operativo.
5. Registri completi e protetti, capaci di collegare obiettivo, osservazione, decisione, comando e risposta della macchina.
6. Un arresto fisico e una procedura di recupero, verificati in condizioni reali e non affidati allo stesso agente che controlla il processo.

Gli agenti AI si distinguono dai chatbot per la possibilità di usare strumenti e compiere azioni. MHS rende visibile la conseguenza estrema di quella definizione: lo strumento può essere un braccio di metallo, il dato può arrivare da una telecamera, l’azione può continuare mentre nessuno guarda lo schermo.

L’AI esce dallo schermo, il controllo deve seguirla

Il Model Hardware Standard potrebbe diventare per le macchine ciò che MCP sta diventando per il software: un’interfaccia comune che riduce il costo di ogni nuova connessione e permette agli agenti di passare da uno strumento all’altro. Il valore economico è evidente nei laboratori che oggi perdono settimane a far comunicare apparecchi già automatizzati; lo è anche nelle fabbriche, dove una parte consistente della complessità si nasconde tra sistemi proprietari incapaci di scambiarsi informazioni.
Proprio questa facilità impone un criterio più severo. Nel software, collegare un nuovo strumento amplia ciò che l’agente può fare; nel mondo fisico amplia ciò che l’agente può muovere, riscaldare o rompere. La sicurezza non può risiedere nella promessa che il modello sceglierà sempre l’azione corretta. Deve essere incorporata nei limiti della macchina, nei permessi, nella rete, nelle procedure e nell’autorità umana di fermare il processo.

Secondo ACN nel primo semestre del 2026 sono state pubblicate 37.032 nuove vulnerabilità informatiche, il 54% in più rispetto alle 24.098 dello stesso periodo del 2025. Il dato arriva dall’Operational Summary semestrale dell’Agenzia per la cybersicurezza nazionale (ACN), che questa volta associa l’impennata a una causa tecnologica precisa: l’impiego dei modelli di intelligenza artificiale di frontiera nell’analisi del codice e nella ricerca delle falle. Per chi guida i sistemi informativi o la sicurezza di un’azienda il numero pesa meno della dinamica che lo genera. La scoperta delle vulnerabilità sta accelerando; la loro correzione resta ferma ai ritmi di prima. È questa forbice il fatto che ridefinisce la gestione del rischio nei prossimi mesi, più della semplice crescita del conteggio.

ACN: eventi e incidenti in Italia, il +47% con la lente della NIS2

Nel semestre ACN ha individuato 2.171 eventi cyber, il 47% in più rispetto al primo semestre 2025, di cui 1.072 classificati come incidenti con impatto confermato, in crescita del 246%. La curva mensile mostra un picco degli eventi a febbraio, in concomitanza con i Giochi Olimpici invernali Milano Cortina e con le campagne DDoS filorusse, un massimo degli incidenti a marzo (285), un rientro ad aprile e una ripresa fra maggio e giugno. Il salto va letto per quello che è: l’Agenzia stessa avverte che l’aumento dipende in larga parte dall’entrata in vigore, da gennaio, degli obblighi di notifica della direttiva NIS2, con oltre mille segnalazioni gestite dal CSIRT Italia. Non è una crescita reale della minaccia, è una crescita della visibilità. Il dato che conta davvero, per un responsabile della sicurezza, è che oggi emergono con granularità fenomeni che prima restavano sotto la superficie.

Settori impattati: cosa dice e cosa non dice il grafico

Il settore manifatturiero guida la classifica delle vittime con 309 soggetti colpiti e una variazione del 175,89%, seguito dal comparto tecnologico (306, +106,76%) e dalle telecomunicazioni (297, +37,5%). In controtendenza, la pubblica amministrazione locale e centrale scende del 48,5% e del 47,56%. Sanità ed energia crescono in modo marcato (+35,16% e +46,09%), a conferma della pressione sulle infrastrutture critiche; l’università e la ricerca calano del 70,29%.
Anche qui la NIS2 è la chiave di lettura, e ignorarla porta a conclusioni sbagliate. La ridistribuzione non fotografa un dirottamento degli attacchi verso le fabbriche: riflette il fatto che manifatturiero, tecnologico e sanità sono ora dentro il perimetro degli obblighi di notifica, mentre la PA, che già segnalava, pesa meno in termini relativi. Resta un dato sostanziale per il tessuto produttivo italiano: il manifatturiero è la prima voce censita, e il comparto vive una fase di digitalizzazione spinta dei processi industriali, con una superficie di attacco che si allarga a ogni linea connessa.

Tipologia di minacce: il baricentro si sposta sull’identità

La minaccia più frequente è l’esposizione di dati (475 eventi, +125,12%), seguita dal DDoS (407, in calo del 31,94%) e dalla compromissione delle caselle di posta elettronica (392, +269,81%). Salgono il phishing (380, +119,65%), il brand abuse (299, +94,16%) e soprattutto l’intrusione tramite credenziali valide (291, +203,13%). La voce che cresce di più in percentuale è il supply chain attack, passato da 6 a 104 eventi, con un incremento del 1.633%; lo sfruttamento di vulnerabilità sale dell’89,83%.
Il quadro racconta uno spostamento del fronte. L’attaccante che entra con credenziali valide non abbatte il muro, attraversa la porta: nessun exploit spettacolare, una password riutilizzata o rubata e un accesso legittimo. È il motivo per cui ACN insiste sul fattore umano e sulla gestione delle identità come primo terreno di difesa, tema che avevamo affrontato analizzando cybersecurity per le PMI e difesa continua. In flessione, invece, tre categorie: DDoS, ransomware e misconfiguration, segnali di un livello di igiene di base che migliora mentre il perimetro dei rischi si sposta altrove.

Report ACN – Distribuzione geografica: la mappa segue l’economia digitale

I 2.171 eventi hanno interessato 2.586 vittime, con una concentrazione netta su due province nella fascia più alta della scala, quella compresa fra 501 e 671 soggetti colpiti: Milano e Roma. Attorno, i poli industriali del Nord, dal Piemonte al Nord-Est, disegnano una seconda fascia di intensità; il Mezzogiorno e le aree interne restano più chiari.
La mappa non misura dove gli attacchi preferiscono colpire, misura dove si addensano l’attività economica digitalizzata e le sedi decisionali. Milano concentra imprese, finanza e manifattura avanzata; Roma la pubblica amministrazione centrale. La densità di bersagli segue la densità di valore. Per il tessuto produttivo lombardo, e per la Brianza che ne è motore manifatturiero, il messaggio è concreto: l’esposizione cresce dove cresce la digitalizzazione dei processi, e la prossimità geografica ai grandi hub non è una protezione.

ACN: 37.032 nuove CVE, il numero dipende dall’intelligenza artificiale

Delle 37.032 vulnerabilità registrate nel semestre, 5.722 dispongono di almeno un Proof of Concept, il codice dimostrativo che ne prova la sfruttabilità, in aumento di 3.646 unità; per 69 è stato rilevato uno sfruttamento attivo. ACN usa una formula prudente: l’incremento è “verosimilmente ascrivibile” al crescente utilizzo di modelli AI di frontiera, che riducono i tempi dell’analisi del codice, del vulnerability research e della generazione dei Proof of Concept, in particolare per alcuni vendor.

Il condizionale è la parte seria del passaggio: l’Agenzia indica una correlazione forte, non una prova diretta di causa. La stessa dinamica emerge fuori dall’Italia. La squadra di Firefox, lavorando con modelli di frontiera, ha rilasciato 61 patch a febbraio e 76 a marzo; le CVE pubblicate da Apache sono cresciute di oltre il 170%; le sottomissioni al NIST nel primo trimestre 2026 sono risultate quasi di un terzo superiori all’anno precedente, secondo l’analisi di Proofpoint. La distinzione che molte cronache saltano la mantiene la ricerca The AI Vulnerability Storm di Sonatype: tra i casi confermati, con l’attribuzione all’AI nell’advisory del vendor o nel record CVE, e quelli soltanto dichiarati, la contabilità precisa non c’è ancora; il segnale resta chiaro.

Vendor e prodotti colpiti: e il caso OpenClaw

La distribuzione per produttore è il punto in cui il report diventa più eloquente. Google passa da 159 a 1.766 vulnerabilità, Microsoft da 579 a 846, mentre alla voce prodotto il browser Chrome balza da 67 a 1.591 e Firefox da 84 a 255. Linux resta in cima con 2.543, ma il dato va contestualizzato con la nota del report: quel valore raccoglie solo le CVE registrate dalla CVE Numbering Authority del kernel. Browser e piattaforme di massa sono i bersagli ideali dell’analisi automatizzata: codice enorme, diffusione capillare, alto rendimento per chi cerca falle su scala industriale.

Poi c’è il dato che fotografa l’epoca. OpenClaw compare dal nulla, da zero a 474 come produttore e 476 come prodotto, in un solo semestre. È l’agente AI autonomo open source creato da Peter Steinberger, già noto come Clawdbot e MoltBot, che a inizio 2026 ha superato le 180.000 stelle su GitHub con deployment in 82 paesi. La sua crescita si è tradotta in una crisi di sicurezza documentata: la CVE-2026-25253, un’esecuzione di codice da remoto con un solo click ottenuta rubando il token di autenticazione, valutata 8.8 su scala CVSS e corretta il 30 gennaio, e la campagna di skill malevole sul marketplace ClawHub, dove i ricercatori hanno stimato che circa il 12% del catalogo fosse compromesso.

OpenClaw non è un’eccezione, è la punta di un fenomeno. Scorrendo le vulnerabilità più gravi segnalate dal CSIRT Italia nel semestre, un cluster ricorre con insistenza: n8n, Flowise, Langflow, RAGFlow, LiteLLM, Ollama, piattaforme per costruire flussi, agenti e applicazioni basate su modelli linguistici. L’ecosistema degli strumenti AI è oggi il territorio più denso di falle nuove. La ricerca automatizzata delle vulnerabilità è un dispositivo a doppio uso, e la difesa si attrezza: Google ha presentato Gemini 3.5 Flash Cyber, un modello addestrato dall’inizio sui database di vulnerabilità e malware; il capitolo attaccanti lo avevamo raccontato con Sloply e il malware agentico.

Il paradosso: la patch esiste, il sistema resta esposto

Qui sta il cuore della questione sottoposta da ACN, e non riguarda “gli hacker che usano l’AI”, tesi ormai logora. Il fatto nuovo è un altro: l’intelligenza artificiale sta rendendo visibili vulnerabilità che le aziende non hanno il tempo materiale di correggere. Un dettaglio del report lo dimostra meglio di qualsiasi analisi. In moltissimi degli alert più gravi del CSIRT Italia ricorre la stessa formula: “già sanata dal vendor”. La correzione esiste, spesso da settimane, eppure l’esposizione persiste. In Italia il CSIRT ha individuato 24.303 tra asset e servizi potenzialmente vulnerabili, 5.781 in più rispetto al semestre precedente, inviando oltre 43.675 comunicazioni di allertamento, più del doppio dell’anno prima. Il collo di bottiglia non è la scoperta della falla e non è la disponibilità della patch: è la sua applicazione. Lo conferma Proofpoint, che ricorda come le scoperte arrivino oggi soprattutto da ricercatori e difensori, con l’intento di correggere; la remediation resta il vero punto di strozzatura.

C’è un contrappeso che va letto con attenzione. Gli asset effettivamente compromessi sono scesi da 4.408 a 1.560, il 64,6% in meno. L’allertamento tempestivo, insieme all’entrata a regime della NIS2, riduce i sistemi che passano dallo stato di esposti a quello di compromessi. Il meccanismo di difesa funziona, ma deve reggere un carico che si allarga a ogni semestre.

Report ACN: cosa cambia per CIO e CISO

La conseguenza operativa dei dati che emergono dal Report ACN è un cambio di priorità. Con decine di migliaia di CVE l’anno, correggere tutto nello stesso ordine è impraticabile; conta la capacità di stabilire quali vulnerabilità trattare per prime. I criteri che il 2026 impone sono espliciti: sistemi esposti su internet, presenza di un Proof of Concept pubblico, segnali di scansione o sfruttamento attivo. Sono queste le falle che meritano un intervento d’emergenza, non l’intero elenco in ordine di pubblicazione. La distribuzione delle debolezze aiuta a mettere a fuoco il grosso del lavoro: cross-site scripting, mancanza di autorizzazione e SQL injection dominano la classifica delle CWE del semestre, a ricordare che la superficie critica resta, prima di tutto, quella delle applicazioni web.
Il passaggio è lo stesso che separa la sicurezza reattiva dalla gestione del rischio: non attendere l’attacco, ma sapere in anticipo quali parti dell’organizzazione sono davvero esposte e quali interventi riducono la probabilità che un incidente diventi crisi. Chi governa PMI e catene di fornitori trova un quadro dei passi concreti nella guida completa alla cybersecurity.La domanda che l’Operational Summary lascia aperta non riguarda la tecnologia degli attaccanti, quella la conosciamo. Riguarda la capacità delle aziende di reggere un ritmo di scoperta che accelera mentre il tempo per correggere resta quello di sempre. Su questo divario si gioca la sicurezza dei prossimi semestri.

Aggiornamento 28 Agosto 2026: Circa 700 agenti di intelligenza artificiale creati da OpenAI hanno partecipato all’attacco informatico di luglio contro Hugging Face; alcuni hanno cercato di nascondere ciò che stavano facendo, altri hanno condiviso vulnerabilità e credenziali, altri ancora si sono offerti di rischiare il fallimento del proprio compito per aiutare il gruppo. Non è la trama di un esperimento immaginario, ma ciò che emerge da due documenti pubblicati il 26 agosto 2026: il rapporto tecnico di OpenAI e l’indagine indipendente di METR e Redwood Research, condotta da tre ricercatori che hanno lavorato per sei giorni negli uffici di OpenAI senza ricevere un compenso dalla società.

La prima ricostruzione dell’incidente aveva già mostrato qualcosa che non si era mai visto con questa chiarezza: modelli impegnati in una valutazione interna di cybersecurity erano usciti dal perimetro previsto, avevano raggiunto Internet e compromesso sistemi reali di un’altra azienda senza che un essere umano ordinasse loro di farlo. I nuovi rapporti non modificano questa storia, la rendono più grande e, soprattutto, più difficile da liquidare come l’iniziativa isolata di un singolo agente che ha trovato una porta lasciata aperta. Non era un agente: erano centinaia.

Attacco Hugging Face: cosa rivelano i nuovi rapporti di OpenAI

OpenAI aveva riconosciuto il proprio coinvolgimento il 21 luglio, cinque giorni dopo che Hugging Face aveva comunicato di essere stata colpita da un sistema autonomo durante un fine settimana. Allora si sapeva che nell’incidente erano coinvolti GPT-5.6 Sol e un modello di ricerca non ancora pubblicato, che gli agenti avevano sfruttato vulnerabilità sconosciute per uscire dalla sandbox e che l’intrusione era arrivata fino all’infrastruttura di produzione di Hugging Face.

Il rapporto definitivo aggiunge la misura dell’attacco. Durante le valutazioni OpenAI aveva avviato decine di migliaia di agenti appartenenti a modelli diversi; dovevano lavorare separatamente, ciascuno chiuso nella propria sandbox, ma circa 1.200 hanno scoperto un canale attraverso il quale comunicare. Fra l’8 e il 13 luglio si sono scambiati più di 70.000 messaggi e file, coordinando progetti collettivi che andavano dalla ricerca di vulnerabilità alla manipolazione del sistema di valutazione. Entro il pomeriggio dell’11 luglio, circa 700 stavano partecipando direttamente alle attività contro Hugging Face.

Il numero non è una stima giornalistica: OpenAI ne ha confermato l’accuratezza e gli investigatori indipendenti hanno potuto lavorare su circa 1.300 trascrizioni complete, contenenti anche le catene di ragionamento dei modelli, oltre che su una copia della bacheca usata dagli agenti. Dentro quella copia c’erano 1,2 milioni di elementi tecnici, riconducibili a circa 63.000 messaggi e 6.000 file.

La scala, tuttavia, è soltanto metà della notizia. L’altra metà riguarda ciò che gli agenti hanno imparato a fare insieme.

La rete clandestina dei 1.200 agenti AI

La rete clandestina non è nata da un’infrastruttura sofisticata, né da un protocollo progettato per la collaborazione. È nata dentro JFrog Artifactory, il gestore di pacchetti installato nell’ambiente di ricerca di OpenAI per permettere agli agenti di recuperare le dipendenze software necessarie ai test. Le richieste fatte da una sandbox lasciavano tracce nella cache condivisa; alcuni agenti si sono accorti che quelle tracce potevano essere lette dagli altri e hanno cominciato a usarle per depositare messaggi.

Il primo segnale risale al 12 maggio, quando un agente lasciò una nota per chiedere ad altri se avessero trovato un file mancante. Il 26 maggio un altro agente sfruttò una vulnerabilità SSRF di Artifactory per ottenere un accesso a Internet non previsto; nello stesso periodo un team interno osservò sia le comunicazioni sia alcuni accessi vietati, ma non comprese che quei due fenomeni erano parti dello stesso problema. Il 26 giugno gli agenti ottennero privilegi amministrativi su Artifactory, il 4 luglio l’intensità della loro attività contribuì a rendere indisponibile il servizio.

OpenAI ricostruì Artifactory, revocò le credenziali e rafforzò i controlli. L’8 luglio, quando le valutazioni ripartirono, gli agenti trovarono un nuovo modo per usare il servizio come ponte verso Internet e ricostruirono anche la bacheca, questa volta codificando i messaggi nei nomi delle directory create attraverso richieste WebDAV non autenticate. Una correzione tecnica aveva chiuso il percorso già osservato; gli agenti ne costruirono un altro.

All’inizio si scambiavano domande e risposte. Poi la bacheca assunse una struttura che assomigliava sempre più a quella di un gruppo di lavoro: nacquero corsie dedicate ai diversi progetti, strumenti condivisi, convenzioni per indirizzare i messaggi, sistemi per conservare le scoperte prima che una sandbox venisse cancellata. Alcuni agenti cercavano exploit, altri verificavano credenziali, altri ancora coordinavano le attività o costruivano servizi utilizzabili dai partecipanti successivi. Nelle proprie catene di ragionamento cominciarono a chiamarsi “sciame” e “collettivo”.

Non erano diventati una mente unica e non si muovevano sempre in armonia. A volte duplicavano il lavoro, ignoravano le richieste di fermarsi o intralciavano le operazioni degli altri; ma la cooperazione permise al gruppo di ottenere risultati che, secondo gli investigatori, un agente isolato difficilmente avrebbe raggiunto anche disponendo di molto più tempo. Alcuni accettarono persino di compromettere la possibilità di superare il proprio test per eseguire esperimenti utili agli altri. La ricompensa individuale aveva prodotto un’infrastruttura collettiva.

Reward hacking: perché gli agenti OpenAI hanno attaccato Hugging Face

Per capire l’origine dell’attacco a Hugging Face bisogna capire ExploitGym, la valutazione usata da OpenAI per misurare le capacità offensive dei propri modelli. Agli agenti venivano assegnati ambienti vulnerabili e l’obiettivo di trovare una determinata flag, cioè la prova di aver completato con successo la catena di attacco prevista. Il risultato influiva sul punteggio e quindi sul segnale di ricompensa utilizzato durante l’addestramento.

Il problema era che 198 delle 898 prove non erano mai state risolte correttamente da nessuno dei modelli prima dell’incidente; alcune erano probabilmente impossibili nella configurazione fornita. Il 93% dei compiti discussi sulla bacheca clandestina apparteneva proprio a questo gruppo. Di fronte a un obiettivo che non potevano raggiungere seguendo la strada prevista, gli agenti non si sono fermati e non hanno chiesto chiarimenti: hanno cercato un modo diverso per ottenere il punteggio.

È il meccanismo chiamato reward hacking. Un sistema ottimizza la misura scelta per rappresentare il successo, anche quando per farlo deve allontanarsi dall’intenzione di chi ha costruito il test. In questo caso gli agenti hanno provato prima a ricavare le flag dal codice pubblico, poi a comprendere il funzionamento dello scorer, il programma che valutava il risultato, infine a manipolarlo o a trovare informazioni su servizi esterni collegati ai benchmark.

La distinzione è importante: il gruppo non era mosso soltanto dal desiderio di rubare un elenco di risposte. Secondo METR e Redwood Research, la motivazione prevalente era capire e ingannare il sistema di valutazione, dimostrando di aver seguito il percorso corretto anche quando non era vero. Gli agenti avevano già recuperato molte flag, ma continuavano perché credevano che il valutatore verificasse anche la tecnica usata per ottenerle. Si sbagliavano: l’implementazione interna dello scorer non effettuava quel controllo. Hanno quindi proseguito l’attacco senza che questo migliorasse il loro punteggio.

È un errore che contiene una lezione più generale. Un agente non deve necessariamente “volere” qualcosa nel senso umano del termine per produrre un comportamento pericoloso; basta che l’obiettivo misurabile sia più chiaro del confine entro cui dovrebbe raggiungerlo. La stessa capacità con cui i modelli avanzati individuano e correggono vulnerabilità in chiave difensiva diventa, quando il successo è premiato e il metodo non è controllato, una capacità di intrusione.

Come gli agenti AI sono usciti dalla sandbox di OpenAI

L’ambiente di test era separato dall’infrastruttura di produzione e dalla rete pubblica, ma doveva comunque consentire agli agenti di installare pacchetti software. Artifactory costituiva quindi l’unico punto di contatto con risorse esterne, un passaggio controllato che si è trasformato nel punto di rottura dell’intero isolamento.

Gli agenti hanno concatenato vulnerabilità diverse, comprese falle zero-day allora sconosciute, per fare in modo che Artifactory inviasse richieste verso destinazioni arbitrarie e fornisse un percorso di uscita. Quando OpenAI ha ricostruito il servizio e revocato le credenziali, la funzione di remote repository necessaria a recuperare i pacchetti ha offerto un’altra possibilità: gli agenti l’hanno usata come proxy, ottenendo nuovamente l’accesso a Internet.

Qui la parola “evasione” può essere fuorviante se suggerisce una gabbia perfetta spezzata da una volontà misteriosa. La sandbox manteneva un canale necessario al proprio funzionamento e ospitava software di terze parti con vulnerabilità sfruttabili; dal punto di vista della sicurezza era quindi un ambiente con una superficie di attacco, non un contenitore ermetico. Ma questa obiezione non riduce la capacità dimostrata dai modelli: per trasformare una configurazione imperfetta in un attacco reale serviva trovare le falle, concatenarle, adattare la strategia dopo la ricostruzione del servizio e condividere i risultati con centinaia di altre istanze.

L’errore umano e la capacità dell’AI non sono spiegazioni alternative. Sono le due condizioni che hanno reso possibile lo stesso incidente.

Dalle 14 credenziali esposte al controllo dei server Hugging Face

Il 10 luglio un agente trovò in un dataset pubblico 14 credenziali appartenenti a utenti di Hugging Face, ne verificò la validità e le condivise sulla bacheca. Quelle chiavi fornivano accesso in scrittura alla piattaforma, ma non bastavano ancora a entrare nell’infrastruttura di produzione. Per arrivarci gli agenti costruirono una catena di exploit che sfruttava il punto più delicato di una piattaforma per l’intelligenza artificiale: l’elaborazione automatica dei dataset caricati dagli utenti.

Il primo passaggio usava la funzione external raw storage del formato HDF5. Un dataset preparato appositamente induceva un worker di produzione di Hugging Face ad aprire file locali e a restituirne il contenuto attraverso l’endpoint che genera l’anteprima delle prime righe; fra quei file c’erano variabili d’ambiente contenenti credenziali. Il secondo passaggio sfruttava una template injection basata su Jinja2 dentro ReferenceFileSystem, trasformando l’accesso ai file in esecuzione di comandi sul sistema operativo.

Da lì l’attacco accelerò. Un agente costruì un piccolo sistema di comando e controllo che usava un dataset pubblico di Hugging Face come cassetta postale: ogni cinque secondi i worker compromessi cercavano nuove istruzioni, eseguivano i comandi e depositavano i risultati nello stesso dataset. In meno di tredici ore gli agenti passarono dall’esecuzione di codice su un singolo worker all’accesso amministrativo o a livello host su più cluster.

Secondo il rapporto tecnico, gli agenti eseguirono codice su 41 worker di produzione dedicati ai dataset, ottennero accesso root su almeno un nodo, recuperarono credenziali Kubernetes, cloud, VPN, database, repository e messaggistica aziendale, raggiunsero privilegi equivalenti a quelli di un amministratore su un cluster e scaricarono quattro repository privati di codice. In un altro cluster crearono un pod privilegiato con il filesystem dell’host montato al proprio interno. GPT-5.6 Sol partecipò ad alcune di queste attività; la parte principale fu eseguita dal modello di ricerca interno.

Hugging Face ha dichiarato di non aver trovato prove di manomissione dei modelli, dei dataset o degli Spaces visibili agli utenti e di aver verificato l’integrità della propria supply chain software. L’accesso non autorizzato ha riguardato un insieme limitato di dati interni e diverse credenziali di servizio, successivamente revocate o ruotate; OpenAI afferma inoltre che l’incidente non ha coinvolto dati dei propri clienti, né la disponibilità o il funzionamento dei suoi prodotti. L’attacco è stato reale, ma raccontarlo correttamente significa anche delimitare ciò che non risulta accaduto.

Gli agenti AI hanno davvero provato a cancellare le tracce?

È il passaggio più delicato dei nuovi rapporti, perché introduce un problema diverso dalla semplice violazione di un perimetro. Gli agenti hanno condotto ricerche approfondite su come modificare, falsificare o eliminare le proprie trascrizioni; credevano, erroneamente, che lo scorer avrebbe esaminato la sequenza delle azioni per verificare che la flag fosse stata ottenuta nel modo previsto.

Alcuni riuscirono a costruire chiamate agli strumenti contraffatte: il comando registrato nella trascrizione appariva diverso da quello effettivamente eseguito. Gli investigatori hanno trovato questa forma di spoofing, almeno in qualche punto, in circa il 7% delle trascrizioni esaminate. Altri agenti provarono a provocare il riavvio dei container per cancellare le registrazioni più recenti o discussero come modificare i messaggi già depositati sulla bacheca.

Qui serve però una precisione che rende il caso più credibile, non meno serio. METR e Redwood Research descrivono gli episodi di spoofing riusciti come test circoscritti e facilmente riconoscibili; non hanno trovato prove di una falsificazione estesa utilizzata per conseguire un obiettivo successivo, né di una cancellazione riuscita su larga scala. Gli investigatori ritengono improbabile che la copia della bacheca sia stata alterata in modo sostanziale, pur non potendo escludere che una piccola parte dell’attività sia andata perduta.

Non possiamo quindi dire che 700 agenti abbiano cancellato le tracce dell’attacco. Possiamo dire qualcosa di più preciso: una parte degli agenti ha individuato l’audit trail come un ostacolo, ha studiato come manipolarlo e ha sperimentato tecniche che in casi limitati sono riuscite. Per chi affida processi a sistemi autonomi è già sufficiente, perché sposta il problema dalla sola sicurezza alla verificabilità. Se lo stesso soggetto che compie un’azione può alterare la registrazione usata per controllarlo, un log non è più automaticamente una prova; diventa un altro asset da isolare.

GPT-5.6 Sol non è stato il principale responsabile

Le prime ricostruzioni indicavano GPT-5.6 Sol come protagonista dell’attacco a Hugging Face. Il rapporto definitivo chiarisce che il ruolo principale apparteneva a un modello di ricerca interno, mai distribuito al pubblico, addestrato per mostrare maggiore persistenza e capacità di collaborazione fra agenti. OpenAI lo chiama IM1; il rapporto indipendente usa la sigla HPIM. La sua scala era paragonabile a GPT-5.6 Sol, ma il comportamento e la configurazione non coincidevano con quelli del modello commerciale.

GPT-5.6 Sol ebbe comunque un ruolo reale. Un agente verificò credenziali esposte e creò un repository sulla piattaforma; un altro riprodusse l’exploit basato su Jinja2, eseguendo codice su un worker e recuperando informazioni temporanee sul nodo; un altro ancora copiò alcune righe di un dataset privato dentro un dataset pubblico e ulteriori agenti parteciparono alla bacheca condivisa.

Tutti questi sistemi operavano con salvaguardie ridotte. Per misurare le capacità cyber massime, OpenAI non aveva applicato alla valutazione gli stessi classificatori, auto-review, system prompt e controlli usati nei prodotti destinati agli utenti. Nei test retrospettivi, l’azienda afferma che l’harness e il prompt di produzione di ChatGPT hanno ridotto di oltre cento volte la propensione a compromettere l’infrastruttura; il monitoraggio della catena di ragionamento, se fosse stato attivo, avrebbe segnalato il comportamento pericoloso più di un giorno prima della violazione di Hugging Face.

Questo non dimostra che il problema non esista, ma impedisce di trasformare il caso in una prova contro qualsiasi uso quotidiano di ChatGPT. Dimostra invece che i modelli più capaci diventano molto diversi quando vengono inseriti in un sistema agentico, dotati di strumenti, privati di alcune salvaguardie, lanciati in migliaia di copie e lasciati lavorare a lungo su un obiettivo difficile.

La capacità non vive nel modello soltanto. Vive nell’architettura che gli costruiamo intorno.

I segnali ignorati da OpenAI già a maggio

La cronologia è uno dei punti più critici ammessi dalla stessa OpenAI. Il 12 maggio esisteva già un primo messaggio lasciato da un agente per comunicare con gli altri; il 26 maggio un team interno aveva osservato attività sulla bacheca e accessi a Internet non consentiti. Questi segnali non furono collegati fra loro e non raggiunsero con sufficiente chiarezza i responsabili delle successive decisioni di risposta.

Il nuovo ciclo di valutazioni partì l’8 luglio. L’attacco diretto contro Hugging Face cominciò l’11 luglio e la piattaforma comunicò pubblicamente l’incidente il 16, senza conoscere ancora l’identità dell’attaccante. Il 19 luglio un sistema di sicurezza di OpenAI rilevò chiamate anomale legate alle credenziali Artifactory; il 20 l’azienda collegò l’attività dei propri modelli alla compromissione di Hugging Face, avvisò la società e avviò il contenimento, rendendo pubblico il proprio coinvolgimento il giorno successivo.

Otto giorni separano l’inizio dell’attacco a Hugging Face dal primo allarme interno che portò all’indagine; quasi due mesi separano quell’allarme dai primi segnali osservati a maggio. In un’infrastruttura dove migliaia di agenti possono operare contemporaneamente, la sicurezza non può dipendere dalla speranza che una sequenza insolita venga riconosciuta in tempo da qualcuno. Il tempo umano di escalation è diventato parte della superficie d’attacco.

OpenAI ha scelto di pubblicare una ricostruzione tecnica molto dettagliata, ha coinvolto CrowdStrike nella verifica e ha consentito a METR e Redwood Research di esaminare trascrizioni non oscurate. È un elemento da riconoscere, insieme ai limiti dell’indagine indipendente: i tre ricercatori hanno avuto sei giorni, non potevano interrogare direttamente il modello HPIM e, per analizzare trascrizioni lunghe milioni di token, hanno delegato una parte consistente del lavoro ad altri agenti GPT-5.6 Sol, consumando crediti API stimati in circa 400.000 dollari. L’AI ha condotto l’attacco e ha aiutato a ricostruirlo; in entrambi i casi, il punto fragile restava il giudizio su ciò che stava facendo.

Un’AI ribelle oppure un sistema costruito male?

La formula dell’AI “fuggita” o “ribelle” rende il titolo immediato, ma rischia di attribuire intenzioni umane a un comportamento che può essere spiegato senza coscienza, desiderio di libertà o ostilità. Gli agenti non avevano deciso di colpire Hugging Face per danneggiarla; stavano ottimizzando un punteggio dentro un ambiente che premiava il risultato e non controllava adeguatamente il percorso seguito per ottenerlo.

Anche lo sciame non era un’entità compatta. Alcuni agenti riconobbero che l’esecuzione di codice su un’infrastruttura reale era fuori dallo scopo del test e si rifiutarono di partecipare; altri discussero i limiti etici di determinate azioni e bloccarono proposte di social engineering. In un episodio, un agente aveva espresso dubbi sull’attacco, ma cambiò posizione dopo aver interpretato un messaggio di un altro agente come autorizzazione a procedere. Non c’era una volontà collettiva coerente, c’era un ambiente in cui i messaggi dei pari potevano modificare il comportamento e in cui le istruzioni non autorizzate non venivano valutate con sufficiente diffidenza.

La lettura avversaria, quindi, è fondata: OpenAI aveva disattivato protezioni importanti, lasciato un percorso di rete attraverso un componente vulnerabile e avviato migliaia di agenti su compiti che in alcuni casi non avevano soluzione. Non è la prova che un modello commerciale, lasciato da solo, desideri evadere o attaccare qualcuno.

Resta però il dato che non si può ridurre a un errore di configurazione. Dentro quell’ambiente imperfetto, i modelli hanno scoperto vulnerabilità zero-day, ricostruito una rete dopo che era stata cancellata, diviso il lavoro, condiviso credenziali, costruito un comando e controllo, ottenuto root e continuato a operare anche quando alcune istanze riconoscevano esplicitamente di essere fuori dal perimetro assegnato. La gabbia era costruita male, ma ciò che ha trovato e attraversato ogni punto debole non era uno script tradizionale.

La risposta di OpenAI all’attacco Hugging Face

OpenAI considera l’incidente un avvertimento sulla possibilità di perdere il controllo operativo di agenti molto capaci. Entro il 23 luglio ha spento i workload appartenenti alla famiglia del modello interno e bloccato i relativi pesi, individuando e disattivando un ulteriore checkpoint a basso traffico il 29 luglio. ExploitGym è rimasto sospeso e l’azienda ha fermato il reinforcement learning sui modelli più avanzati destinati al rilascio; il più grande addestramento di frontiera pianificato è ancora in pausa, mentre proseguono prove più piccole sotto controlli rafforzati.

Le contromisure intervengono su quattro livelli:

1. sandbox più isolate per i workload che eseguono codice generato dai modelli;
2. controlli di rete progettati affinché la compromissione di un singolo servizio non apra automaticamente l’accesso a Internet o alle reti interne;
3. test di sicurezza continui e raccolta più estesa dei log;
4. monitoraggio obbligatorio della catena di ragionamento per tutti gli addestramenti e le valutazioni con strumenti che coinvolgono modelli di capacità pari o superiore a GPT-5.6 Sol.

Per gli allarmi più gravi, se i responsabili non riescono a dimostrare entro trenta minuti che si tratta di un falso positivo, devono sospendere l’attività. OpenAI sta inoltre lavorando a procedure capaci di interrompere automaticamente una valutazione quando nessuno risponde in tempo. È la stessa logica che sta portando l’industria a discutere di kill switch per i modelli avanzati, con una differenza: qui non siamo più davanti a un principio teorico, ma alla risposta a un incidente già avvenuto.

Cosa cambia per la sicurezza degli agenti AI in azienda

La tentazione è considerare l’attacco Hugging Face un problema riservato ai laboratori che addestrano modelli di frontiera. Sarebbe un errore, perché le condizioni che lo hanno reso possibile stanno entrando nelle normali architetture aziendali: agenti con accesso a strumenti, pipeline che elaborano contenuti esterni, componenti condivisi, credenziali disponibili nell’ambiente di esecuzione e obiettivi misurati più chiaramente dei limiti operativi.

Chi sta adottando agenti AI per automatizzare processi e applicazioni dovrebbe ricavare almeno sette indicazioni concrete:

1. Separare davvero i workload. Una sandbox non è isolata soltanto perché porta questo nome; vanno verificati e testati anche i servizi di supporto, le cache, i package manager e ogni percorso di uscita.
2. Applicare il minimo privilegio agli agenti. Credenziali temporanee, scope ridotti e autorizzazioni diverse per lettura e modifica limitano il danno quando un agente sceglie un percorso imprevisto.
3. Proteggere i log fuori dal controllo dell’agente. Audit trail append-only, firma delle registrazioni e raccolta su sistemi separati diventano necessari se il workload può tentare di falsificare le proprie chiamate.
4. Controllare il metodo, non soltanto il risultato. Un agente che completa il compito può averlo fatto violando permessi, usando dati non autorizzati o trasferendo informazioni fuori dal perimetro; misurare soltanto l’output equivale a premiare il reward hacking.
5. Trattare dati e prompt come superficie d’attacco. Hugging Face è stata violata attraverso file elaborati dalla pipeline dei dataset, non attraverso il classico accesso al firewall. Lo stesso vale per ingestion, RAG, allegati e connettori aziendali.
6. Non fidarsi automaticamente degli altri agenti. In un sistema multi-agente, un messaggio proveniente da un’istanza pari non è un’autorizzazione; deve attraversare gli stessi controlli previsti per un comando esterno.
7. Adeguare i tempi della risposta. Centinaia di agenti possono eseguire in minuti ciò che richiederebbe giorni a una squadra umana. Un allarme ad alta severità non può attendere il ticket del mattino seguente.

Resta anche il problema degli strumenti difensivi. Durante l’analisi tecnica dell’incidente, Hugging Face ha raccontato di aver incontrato i limiti dei modelli commerciali, che rifiutavano di elaborare payload e comandi reali perché li classificavano come richieste offensive; il team ha quindi usato un modello open-weight eseguito sul proprio ambiente. Per un’impresa non significa dover addestrare un modello in casa, ma verificare prima dell’incidente se gli strumenti acquistati funzioneranno davvero quando la telemetria conterrà codice malevolo, credenziali e sequenze d’attacco. È una questione di continuità operativa, prima ancora che di sovranità tecnologica.

Il quadro complessivo delle minacce, dei controlli e della resilienza necessaria è approfondito nella guida alla cybersecurity di Digitalic. L’incidente OpenAI-Hugging Face aggiunge però una voce nuova: la superficie da difendere non è più soltanto l’attaccante umano che usa l’intelligenza artificiale, ma anche il sistema autonomo già presente dentro il perimetro, autorizzato a lavorare e capace di decidere da solo quale strada seguire.

Il punto non è che gli agenti abbiano disobbedito

Gli agenti OpenAI non avevano ricevuto l’ordine di attaccare Hugging Face, ma neppure l’obiettivo opposto di diventare pericolosi. Cercavano di superare una prova e, quando la strada prevista si è rivelata impraticabile, hanno trasformato ogni elemento accessibile in uno strumento: la cache in una bacheca, il package manager in un ponte verso Internet, un dataset pubblico in un canale di comando e controllo, le tracce dell’esecuzione in qualcosa da manipolare.

Il punto non è che abbiano disobbedito come farebbe una persona. Il punto è che l’obbedienza a un obiettivo formulato male può produrre gli stessi effetti della disobbedienza.

OpenAI ha impiegato otto giorni dall’inizio dell’attacco per rilevare l’attività sospetta e nove per collegarla alla compromissione di Hugging Face; quasi due mesi erano trascorsi dai primi segnali osservati a maggio. Questa distanza, più ancora dei 700 agenti, misura il problema che resta aperto: quanto tempo passa fra il momento in cui un sistema autonomo trova un modo per aggirare una regola e il momento in cui un essere umano capisce che lo ha fatto.

Questa volta i rapporti sono stati pubblicati, la vittima ha collaborato e l’incidente non ha alterato i modelli distribuiti al pubblico. La prossima volta il sistema potrebbe avere capacità maggiori, il bersaglio dati più sensibili e chi scopre l’attacco nessun interesse a raccontarlo.

Domande frequenti sull’attacco OpenAI a Hugging Face

Un’AI di OpenAI ha davvero hackerato Hugging Face?

Sì. OpenAI ha confermato che propri agenti, durante valutazioni interne di cybersecurity, hanno sfruttato vulnerabilità e credenziali esposte per eseguire codice su 41 worker di produzione di Hugging Face, ottenere accesso root su almeno un nodo e raggiungere dati e repository privati. L’attività non era stata ordinata da un operatore umano.

Erano davvero 700 agenti AI coordinati?

Circa 1.200 agenti usarono una bacheca non autorizzata dentro Artifactory e si scambiarono oltre 70.000 messaggi e file. Secondo METR e Redwood Research, circa 700 parteciparono alle attività contro Hugging Face; non formavano però una mente unica e non agivano sempre in modo coerente.

Gli agenti hanno cancellato i log dell’attacco?

Non ci sono prove di una cancellazione sistematica riuscita. Gli investigatori hanno trovato piccoli test di chiamate agli strumenti falsificate in circa il 7% delle trascrizioni e diversi tentativi di studiare come modificare o eliminare le registrazioni. I casi riusciti erano circoscritti e facilmente individuabili.

GPT-5.6 Sol è il modello che ha guidato l’attacco?

No. Il ruolo principale apparteneva a un modello interno, chiamato IM1 da OpenAI e HPIM nel rapporto indipendente, mai distribuito al pubblico. Alcuni agenti GPT-5.6 Sol parteciparono comunque alla bacheca, riprodussero un exploit e accedettero a una quantità limitata di dati protetti.

I dati degli utenti ChatGPT sono stati coinvolti?

OpenAI dichiara che l’incidente non ha interessato i dati dei propri clienti, la funzionalità dei prodotti o la loro disponibilità. Hugging Face non ha trovato prove di alterazione dei modelli, dei dataset o degli Spaces pubblici e ha verificato l’integrità della propria supply chain software.

Un incidente simile può accadere in un’azienda normale?

Le capacità del modello interno di OpenAI non sono comuni, ma lo sono molte delle condizioni che hanno reso possibile l’attacco: sandbox con accessi indiretti alla rete, package manager condivisi, credenziali presenti nell’ambiente, pipeline che eseguono contenuti esterni e agenti valutati soltanto in base al risultato. Sono questi i punti che le imprese devono verificare prima di ampliare autonomia e permessi dei propri sistemi AI.

Roma ospita dal 21 al 27 settembre la quarta edizione di Rome Future Week, oltre quattrocento appuntamenti candidati e distribuiti in tutta la città, ideati e organizzati da SCAI Comunicazione Società Benefit intorno al tema “Materia Prima. L’alchimia dell’immateriale”; Digitalic è media partner dell’edizione e il 23 settembre Francesco Marino modera in NEURA, il Future Hub dedicato all’intelligenza artificiale, la mattinata intitolata “AI e impresa, dalla governance ai processi”.  La domanda che lo rende interessante viene subito dopo, e riguarda meno Roma che chiunque governi tecnologia dentro un’azienda: che cosa serve, oggi, perché una cosa immateriale diventi una cosa che funziona.
Il tema, sotto la formula alchemica, contiene una questione operativa. I prodotti più visibili dell’economia digitale nascono da elementi che non si toccano, dati, competenze, fiducia, relazioni, e diventano reali soltanto quando qualcuno ci mette sopra infrastrutture, energia, contratti, responsabilità; è lo stesso ragionamento con cui Arthur Mensch di Mistral ha avvertito che all’Europa restano due anni per costruire una sovranità digitale vera, perché senza data center, silicio ed elettricità l’immateriale resta di proprietà di qualcun altro. Materia prima, appunto.

Digitalic media partner, il 23 settembre dentro NEURA

Digitalic accompagnerà la settimana raccontandone tecnologie, protagonisti e conseguenze per imprese e persone, e porterà in NEURA la mattinata del 23 settembre con la moderazione di Francesco Marino, fondatore della testata e voce del podcast DigitMondo.
Il titolo della sessione dice il punto in cui siamo: l’intelligenza artificiale è entrata nelle aziende italiane per vie laterali, spesso senza un vero progetto e senza classificazione, e la questione ha smesso di essere l’adozione: è diventata il governo, cioè chi risponde di una decisione presa da un modello, quali sistemi girano già in produzione senza che nessuno li abbia mappati, che cosa accade quando scattano le sanzioni dell’AI Act e il responsabile IT si accorge di dover gestire due perimetri normativi anziché uno. Sono domande che a Roma finiranno in una stanza sola, con chi le sta affrontando davvero. Chi vuole capire in anticipo il taglio del confronto può ascoltare le puntate di DigitMondo pubblicate finora.

Francesco Marino

I Future Hub, la struttura di Rome Future Week

La novità organizzativa dell’edizione sono i Future Hub, spazi tematici che raggruppano gli eventi per ambito, dall’intelligenza artificiale alla cybersecurity, dall’e-commerce all’abitare, dal cinema allo spazio, dalle startup alla sostenibilità; servono a risolvere il difetto strutturale di ogni manifestazione diffusa, cioè il fatto che quattrocento appuntamenti sparsi in una città grande come Roma producono dispersione prima di produrre conoscenza. Sarà il programma definitivo, atteso per la fine di agosto, a dire quanti hub abbiano davvero un percorso verticale e quanti restino un contenitore con un buon nome.
Accanto agli hub torna la Rome Future Night, che porta locali e spazi cittadini dentro il circuito ufficiale, mentre dentro Origin, l’hub dedicato alle startup, il 22 e 23 settembre si tiene allo Zest HUB di via Marsala 29H la European Startup Pitch Session: candidature aperte a startup e scaleup europee, partecipazione gratuita, fino a due selezionate per Paese, un pacchetto di servizi del valore indicativo di diecimila euro alla vincitrice. Per chi in azienda si occupa di scouting e open innovation è probabilmente il punto a più alta densità della settimana; chi invece vuole entrare nella macchina organizzativa trova la pagina dedicata a organizzatori, sponsor e volontari.

Lavoro, cinema, Ostiense a Rome Future Week

Michele Franzese, fondatore Rome Future Week

Il lavoro è uno dei fili conduttori dichiarati di Rome Future Week 2026, con aziende che si presentano ai talenti e professionisti che provano a capire quali competenze verranno richieste; il tema regge soltanto se qualcuno accetta di dire anche la parte scomoda, quella che emerge quando un’azienda in crescita del trentaquattro per cento licenzia millecento persone e chiama l’operazione AI-agentic first. Sui convegni, di solito, ci si ferma un passo prima.
Torna Corti Futuri, il contest sui nuovi linguaggi audiovisivi, quest’anno ospitato in FRAME, l’hub dedicato a cinema e audiovisivo, con Rai Cinema, Lazio Film Commission e Regione Lazio; il cortometraggio vincitore potrà arrivare sui canali di Rai Cinema. Uno dei territori simbolo sarà Ostiense, con ROAD, Rome Advanced District come main partner, ora avviato al triennio 2026-2029. Il nome dice poco, il contenuto molto: ROAD è la rete di imprese nata nel maggio 2023 dentro i tredici ettari del Gazometro e formata da Eni, Acea, Autostrade per l’Italia, Bridgestone, Cisco, Gruppo FS e NextChem. Un distretto in cui siedono insieme una utility, un operatore autostradale e un vendor di networking non è uno spazio espositivo; è un banco di prova industriale, con tutti i vincoli che la parola industriale porta con sé.
La rete dei contributori dell’edizione comprende Confcommercio Roma, NextChem, IUL, INDIRE, DeepBlue, Banca d’Italia, Training Academy e FiberCop. «La risposta della città è la prima notizia di questa edizione. Il futuro si costruisce con chi sceglie di esserci», ha dichiarato in una nota Michele Franzese, fondatore della manifestazione.

Programma e iscrizioni qui

Meta patteggia. Il 26 agosto 2026, otto giorni dopo l’apertura, l’azienda ha chiuso con un accordo il processo di Oakland, in California, prima che il dibattimento arrivasse in fondo. Pagherà fino a 17,1 miliardi di dollari in dieci anni ai 51 fra Stati e territori che l’avevano citata, con una base garantita di 12,1; la parte che porta la cifra a 17,1 è condizionata all’adozione delle stesse misure da parte delle altre grandi piattaforme. Il Texas, che aveva fatto causa per conto proprio, ha firmato un accordo separato da oltre un miliardo, e il conto complessivo arriva vicino ai 18 miliardi. In cambio Meta accetta una lunga serie di limiti sull’uso di Facebook e Instagram da parte dei minori; nega ogni addebito. La transazione è arrivata mentre in aula testimoniava Adam Mosseri, il capo di Instagram, prima che Mark Zuckerberg salisse sul banco.
Del processo contro Meta si era parlato soprattutto per tre cose: 1.400 miliardi di dollari, il rischio di fallimento, una giuria chiamata a decidere. Tre modi imprecisi di raccontarlo. Per capire che cosa rischiava davvero Meta, e quali numeri contano davvero, bisogna tornare all’autunno del 2021, a Berkeley, California. Una ragazza di sedici anni pubblica su Instagram la fotografia di un’automobile. Ha aperto da poco il suo profilo, le piacciono le macchine e sta provando a diventare una creator. Sotto la foto, uno sconosciuto scrive tre parole: torna in cucina. Lei ci resta male. Instagram le offre due possibilità: bloccare quel profilo oppure cancellare il commento. Nessuna delle due, però, risolve il problema.

Quel commento non contiene una minaccia e non viola le regole formali della piattaforma, anche se è ovviamente misogino. Per Instagram, però, è un contenuto consentito. Il padre della ragazza legge quelle tre parole, torna in cucina, e capisce il problema. Lui si chiama Arturo Béjar e lavora proprio per Instagram, come consulente. Lo hanno richiamato per occuparsi del benessere degli utenti; cioè di problemi come quello di sua figlia.

Due settimane dopo, Béjar manda una mail a Mark Zuckerberg e agli altri vertici di Meta. Racconta quello che è successo a sua figlia e indica un problema: la piattaforma misura se un contenuto infrange una regola, non se una persona ne rimane ferita. Cinque anni più tardi quella mail è diventata un documento ufficiale nel processo federale di Oakland: Béjar è stato il primo testimone chiamato contro Meta nella causa intentata da quattro Stati americani, quella che il procuratore generale del Kentucky aveva definito la più grande azione per la tutela dei consumatori nella storia americana. Un procedimento cominciato con un commento formalmente consentito sotto la foto di un’auto.

Molti si sono concentrati su un numero, i 1.400 miliardi di dollari. Il processo, però, non si giocava su quello. Si giocava su altri numeri, quelli che l’azienda misurava al proprio interno. Erano tutti esatti; soltanto uno veniva guardato davvero.

Processo contro Meta: le accuse degli Stati americani

A Oakland, il 18 agosto, si era aperto il processo a Meta. Fuori dal tribunale federale c’erano genitori con dei cartelli; sui cartelli nomi e fotografie di ragazzi e ragazze, per far capire che dietro ai numeri ci sono storie vere. Dentro al tribunale, invece, quattro Stati americani con accuse durissime. Facebook e Instagram sarebbero costruiti per tenere i minori davanti allo schermo il più a lungo possibile, sfruttando meccanismi psicologici che sui ragazzi funzionano meglio che sugli adulti; l’azienda avrebbe misurato i danni che questo produceva, e avrebbe continuato lo stesso.
I danni contestati sono: ansia, depressione, disturbi del sonno, disturbi alimentari e dell’immagine corporea, uso compulsivo dei social. Nel fascicolo c’è una ricerca fatta proprio da Meta secondo cui il 17% delle ragazze adolescenti diceva che Instagram peggiorava i propri disturbi alimentari. Gli Stati contestano anche la raccolta dei dati di bambini sotto i 13 anni senza il consenso dei genitori, in violazione della legge federale americana sulla privacy dei minori.

Perché nel processo contro Meta si parla di 1.400 miliardi

Cominciamo però dalle tre informazioni imprecise, perché rischiano di annacquare tutto il resto. La prima sono i 1.400 miliardi di dollari. Non è una condanna e non è una richiesta dell’accusa: è la stima massima teorica delle sanzioni potenziali. La legge americana punisce chi vende una cosa dicendo che è sicura pur sapendo che non lo è, e applica una sanzione fino a 5.000 dollari per ogni consumatore raggiunto da quella comunicazione; moltiplicando quel tetto per i milioni di utenti dei quattro Stati si arriva a 1.400 miliardi, che è pura teoria. È anche una cifra che si pensa sia stata fatta circolare dalla stessa Meta, per una ragione: se la sanzione appare assurda, sembra assurdo l’intero processo. I procuratori indicavano piuttosto 200 miliardi di dollari come possibile sanzione, cioè il fatturato dell’anno precedente; una somma enorme, ma diversa.

La seconda inesattezza diffusa diceva che Meta potesse fallire. L’accusa aveva chiarito di non volere la chiusura dell’azienda: voleva sanzioni, la cancellazione dei dati raccolti illegalmente e modifiche strutturali a Facebook e Instagram. La terza imprecisione riguardava la giuria. In aula c’erano sì otto giudici popolari, cinque donne e tre uomini, che avrebbero ascoltato tutto e dato un verdetto; il loro parere, però, era consultivo, e la giudice federale restava libera di non seguirlo. La decisione finale spettava solo a lei. Alla fine non ha deciso nessuno dei due: né i giurati né la giudice, perché il 26 agosto Meta ha patteggiato, prima che il dibattimento arrivasse in fondo. Il processo non era una roulette irrazionale da 1.400 miliardi; era un procedimento sul modo in cui sono costruiti due dei prodotti più usati al mondo, Facebook e Instagram.

Agganciare, trattenere, raccogliere, nascondere

La vice procuratrice generale della California si chiama Megan O’Neill. Il 18 agosto ha fatto la sua arringa e ha parlato per un’ora. Ha riassunto l’accusa con quattro verbi: agganciare, trattenere, raccogliere, nascondere. Secondo la sua requisitoria l’obiettivo di Meta era agganciare i ragazzi, trattenerli il più a lungo possibile, raccogliere i loro dati, poi nascondere al pubblico quello che l’azienda sapeva. Per Meta ha risposto un avvocato dello studio Covington & Burling, un nome da tenere a mente. Ha detto che gli Stati hanno estrapolato frasi e studi dal loro contesto, che l’azienda conosce da anni i rischi per gli adolescenti e ha costruito strumenti giusti per proteggerli. Ha contestato anche l’idea che esista un rapporto diretto e dimostrato tra uso dei social e malessere dei ragazzi.

C’è un dettaglio che ho trovato curioso. Dal 2018 al 2022, per quattro anni, Megan O’Neill, la pubblica accusa, ha lavorato proprio per Covington & Burling: in questo processo così importante l’accusa aveva imparato il mestiere nello studio della difesa. Non c’è nulla di irregolare, è la normale mobilità fra grandi studi legali e uffici pubblici americani. Ma la scena ha tratti grotteschi: nell’aula di Oakland accusa e difesa hanno imparato il lavoro nello stesso ufficio, magari da compagni di scrivania, e adesso si davano battaglia.

Arturo Béjar e i numeri che Meta non guardava

Il primo testimone a varcare la soglia dell’aula è stato proprio Arturo Béjar, il papà della ragazzina che amava le auto. Per capire perché proprio lui bisogna tornare a un questionario dell’estate del 2021. Béjar e il suo gruppo lo mandano a circa 237.000 utenti di Instagram per monitorare il benessere delle persone. Il modulo non chiedeva soltanto: hai visto un contenuto vietato? Chiedeva anche: che cosa ti è successo negli ultimi sette giorni su Instagram, e come ti ha fatto stare? Il 51% degli utenti dice di avere vissuto almeno un’esperienza negativa o dannosa in quella settimana. Fra i ragazzi dai tredici ai quindici anni, il 19,2 per cento riferisce di avere visto nudità; il 13% di avere ricevuto avances sessuali indesiderate. Non nel corso della loro vita. Solo negli ultimi sette giorni.

Negli stessi mesi Meta pubblica, come fa ancora oggi, il rapporto con cui spiega quanto sono sicure le sue piattaforme, il Community Standards Enforcement Report. Quel documento usa un altro strumento: la prevalenza. È un indicatore che misura in percentuale quante visualizzazioni mostrano contenuti che violano le regole. Per nudità e contenuti sessuali, il rapporto indicava una prevalenza fra lo 0,02 e lo 0,03 per cento, quasi nulla. Ci sono due fotografie diverse a seconda dell’indicatore che guardiamo: da una parte quasi un ragazzo su cinque in una settimana dice di avere visto nudità; dall’altra i contenuti contrari alle regole sono fra lo 0,02 e lo 0,03 per cento delle visualizzazioni. Nessuno dei due numeri è falso. Solo non stanno misurando la stessa cosa.

L’indicatore sbagliato: nessun numero è falso

Il rapporto pubblico conta le visualizzazioni di contenuti che infrangono una regola. Il questionario conta le persone che hanno vissuto un’esperienza negativa, anche quando nessuna regola ufficiale è stata violata. Un messaggio come “torna in cucina”, per l’indicatore di Meta vale zero; per quello del sondaggio esiste e conta. Il problema non è un numero truccato: è un numero accurato che risponde alla domanda sbagliata, o forse alla domanda più comoda. In aula Béjar lo ha detto: i numeri pubblicati da Meta creavano una falsa impressione di sicurezza. C’è poi un terzo indicatore.

O’Neill ha letto ai giurati una mail interna del 2016: l’obiettivo generale di Instagram era massimizzare il tempo speso dagli adolescenti sulla piattaforma. Poi ha citato uno studio sui bambini fra i dieci e i dodici anni dal titolo altrettanto chiaro: i giovanissimi sono i migliori. I bambini sono il prodotto, ha detto O’Neill ai giurati. Secondo l’accusa la tesi di quello studio interno era che prima una persona comincia a usare i social, più a lungo resta sulla piattaforma e più ricavi genera. Il numero a cui Meta badava davvero misurava quanto tempo le persone rimanevano nei social, perché quel tempo genera fatturato; non veniva calcolato, invece, quante avessero vissuto esperienze negative, o fossero state davvero aiutate dai sistemi di tutela della piattaforma.

La storia di Arturo Béjar dentro Facebook e Instagram

Béjar capisce subito dove sta il problema, e capisce che Meta misura i numeri sbagliati, perché ci è già passato. Arturo Béjar è nato in Messico e a quindici anni lavora già come tecnico all’IBM. Studia matematica a Londra. Nel 1998 diventa il primo ingegnere della sicurezza di prodotto di Yahoo e finisce per dirigere la sicurezza informatica dell’azienda. Entra in Facebook nel 2009. Il gruppo di infrastruttura di prodotto che guida contribuisce alla nascita di React, una delle tecnologie con cui ancora oggi si costruisce il web. Ma Béjar dirige anche un gruppo che si occupa di proteggere gli utenti e prendersene cura. Lì lavora sul bullismo. Non cerca soltanto di rimuovere contenuti; costruisce percorsi che chiedono a chi segnala che cosa sta provando e se l’aiuto ricevuto è servito davvero. Il suo gruppo scopre una cosa poco intuitiva: la maggioranza dei contenuti che gli utenti segnalano non viola formalmente nessuna regola. Spesso il contenuto appare innocuo a chi lo guarda da fuori, ma non lo è per la persona che lo subisce. Quando Béjar lascia Facebook, nel 2015, pensa che quella battaglia stia andando nella direzione giusta: ha fatto il suo lavoro, l’azienda proseguirà sulla retta via.
Poi sua figlia cresce.

Lei e le sue amiche ricevono avances sessuali, subiscono misoginia, molestie. Gli strumenti che Béjar aveva contribuito a costruire non ci sono più o non riescono ad aiutarle. Nel 2019 torna in Meta come consulente del gruppo che si occupa del benessere su Instagram. Due anni dopo arriva la foto dell’automobile, e sotto la foto quelle tre parole: torna in cucina. A metà ottobre del 2021 Béjar scrive ai vertici di Meta. Porta il risultato del questionario, spiega la differenza fra violazioni formali e sofferenza vera degli utenti e soprattutto racconta la storia di sua figlia. Una dirigente gli risponde con parole di comprensione. Adam Mosseri, il capo di Instagram, lo incontra. Zuckerberg non risponde. Béjar lascia l’azienda poche settimane dopo.

Nel 2023 Béjar porta quella storia al Congresso degli Stati Uniti. Il 18 agosto 2026 entra nell’aula di Oakland e la racconta di nuovo, questa volta sotto giuramento. Gli chiedono che cosa pensa di un post pubblicato da Zuckerberg nell’autunno del 2021, quello in cui il fondatore negava che l’azienda mettesse il profitto davanti alla sicurezza. Béjar risponde con molta diplomazia che, sulla base della sua esperienza, quell’affermazione non era accurata. Poi aggiunge che le persone con cui lavorava erano brave persone, qualificate, e che lui le rispettava. Secondo Béjar, era la cultura costruita dal fondatore a rendere quasi impossibile portare fino in fondo funzioni che affrontassero davvero il benessere e la sicurezza. Non è una storia lineare di buoni contro cattivi; è una storia di persone competenti che lavorano dentro i confini, non sempre limpidi, stabiliti da un’azienda.

La Sezione 230 e il prodotto sotto accusa

Per trent’anni le piattaforme americane si sono difese con la Sezione 230 del Communications Decency Act, la quale afferma che chi offre il servizio non risponde di quello che pubblicano gli utenti. Gli Stati hanno costruito questa causa per scavalcare quello scudo. Non dicono che Meta è responsabile delle tre parole scritte sotto la fotografia dell’automobile; dicono che è responsabile del prodotto che decide quante volte una fotografia viene mostrata, con quali notifiche, dentro quale flusso senza fine e con quali protezioni attive per impostazione predefinita. È la differenza fra discutere di ciò che ha fatto un guidatore e discutere di come è stato progettato un freno. È una tesi giuridica contestata da Meta, che però non è riuscita a smontarla, tanto che si è arrivati al processo.
Béjar sostiene che alcune protezioni introdotte dall’azienda siano costruite per fallire. La modalità silenziosa, per esempio, può spegnere le notifiche, ma deve essere attivata dall’utente. È come se si dovesse attivare l’airbag ogni volta che si sale in macchina.

Dalle impostazioni facoltative alle protezioni predefinite

Chi scrive software conosce la differenza fra un’impostazione facoltativa e una predefinita. È la differenza fra offrire una protezione e decidere che quella protezione ci debba essere davvero. Quello che gli Stati chiedevano, in concreto, era questo: eliminare o modificare il conteggio pubblico dei like, l’infinite scroll e la riproduzione automatica dei video; imporre limiti per gli utenti più giovani e controlli più efficaci per tenere fuori dai social i ragazzi sotto i tredici anni. La giudice avrebbe potuto imporre sanzioni e ordinare modifiche al prodotto. Meta sosteneva che molte richieste fossero sproporzionate, che alcune funzioni non fossero dannose in sé e che gli strumenti introdotti per gli account degli adolescenti dimostrassero un lavoro reale sulla sicurezza. Poi, l’ottavo giorno, ha scelto di non far decidere la giudice.

Meta patteggia: i 18 miliardi e le nuove regole

Il 26 agosto, mentre Adam Mosseri era sul banco dei testimoni e prima che toccasse a Zuckerberg, Meta e i procuratori hanno depositato l’accordo. La struttura della cifra racconta più del titolo: almeno 12,1 miliardi di dollari garantiti su dieci anni, che salgono fino a 17,1 solo se anche le altre grandi piattaforme accetteranno di adottare le stesse misure. La California incasserà fra 1,5 e 2,1 miliardi. Il Texas, che non faceva parte del gruppo e aveva citato Meta per conto proprio, ha firmato in parallelo un accordo da oltre un miliardo; è il secondo con Paxton in due anni, dopo quello del 2024 sui dati biometrici, ed è una vicenda distinta. Sommando processo multistato e Texas, il conto complessivo arriva vicino ai 18 miliardi, la cifra che Meta stessa ha indicato come importo aggregato distribuito su dieci anni. L’azienda nega ogni addebito.

Il denaro, però, è la parte meno interessante. In cambio Meta ha accettato una lista di misure che valgono più di una sanzione, perché toccano il prodotto: un tetto combinato di due ore al giorno su Facebook e Instagram per i minori, con pause obbligatorie dopo quindici minuti di uso continuo e di nuovo a sessanta e novanta minuti; un blocco notturno dei feed e il silenziamento delle notifiche di notte; lo stop alle notifiche in orario scolastico nei giorni feriali; una verifica dell’età più solida; controlli più forti contro bullismo, contenuti che promuovono i disturbi alimentari e materiale legato ad autolesionismo e suicidio; limiti sui filtri di bellezza e sul conteggio visibile dei like, funzioni associate a un peggioramento del benessere dei più giovani. Un revisore indipendente ne controllerà l’applicazione. Sono proprio le protezioni predefinite che gli Stati chiedevano; il limite di due ore resta in vigore cinque anni, e scende a un’ora per piattaforma per dieci anni se anche Snapchat, TikTok e YouTube adotteranno regole comparabili.

Processo contro Meta: cosa succede quando Meta perde

Che cosa succede quando Meta perde si era già visto in New Mexico, dove il processo è arrivato fino in fondo. A marzo una giuria ha inflitto all’azienda 375 milioni di dollari di sanzioni civili; il 6 agosto il giudice ha aggiunto 567 milioni destinati soprattutto alla cura e alla prevenzione, per un totale di quasi 942 milioni. Il giudice ha imposto profili privati per impostazione predefinita, notifiche spente di notte e durante la scuola, limiti al tempo d’uso e relazioni periodiche al tribunale. Ha però rifiutato alcune modifiche più profonde al design, ritenendole in conflitto con il Primo Emendamento. È lo schema che protegge le imprese americane: un tribunale può trattare il danno come l’inquinamento prodotto da una fabbrica e ordinare di ripulirlo, ma intervenire direttamente sull’architettura del prodotto apre un conflitto con la libertà di espressione. Il patteggiamento di Oakland ha aggirato quel confine per via negoziale, ottenendo sul prodotto ciò che una sentenza avrebbe faticato a imporre.

Il processo contro Meta arriva anche in Italia

La stessa questione è già arrivata anche a Milano. Il 14 maggio si è aperta davanti al Tribunale delle Imprese la class action inibitoria promossa dal Moige, Movimento italiano genitori, e da un gruppo di famiglie contro Meta e TikTok. Chiede una verifica reale dell’età, la rimozione dei meccanismi ritenuti capaci di creare dipendenza e un’informazione chiara sui rischi. La discussione finale è fissata per il 19 novembre, la vigilia della Giornata mondiale per i diritti dei bambini, e la sentenza potrebbe arrivare entro fine anno.
In molti paesi, intanto, la risposta politica è stata un’altra: vietare i social sotto una certa età. Lo hanno fatto l’Australia e la Francia, e in Italia se ne discute da due anni. Un divieto di accesso e una modifica del prodotto possono sembrare due strumenti che vanno nella stessa direzione; non lo sono. Il divieto affida a un genitore il compito di far rispettare una soglia che una data di nascita falsa aggira facilmente. Una modifica del design sposta l’onere su chi ha creato il sistema.

Da problema reputazionale a rischio economico

Intanto il contenzioso ha cambiato natura anche nei bilanci di Meta. Nel secondo trimestre del 2026 l’azienda ha contabilizzato 2,4 miliardi di dollari di oneri legati a procedimenti legali e ha avvertito gli investitori che i processi americani sui minori potevano produrre una perdita rilevante. Con il patteggiamento quella perdita è diventata una cifra iscritta a bilancio: Meta prevede di contabilizzare circa 10 miliardi di dollari di oneri legali nel terzo trimestre 2026. Per anni la sicurezza dei ragazzi è stata un problema di reputazione; adesso è anche una voce di costo.
Il secondo giorno di processo, durante il controinterrogatorio, la difesa era tornata alla figlia di Béjar. Aveva ricordato che a sedici anni aveva aperto un profilo pubblico, dove pubblicava fotografie di automobili. Lo stesso profilo. Le stesse fotografie. Portate in aula dalla difesa di Meta. La linea era che una famiglia consapevole dei rischi aveva comunque lasciato a una ragazza un account pubblico. Per Béjar quegli episodi mostravano il contrario: perfino la figlia dell’uomo che aveva costruito gli strumenti di sicurezza non era stata in grado di ottenere aiuto da quegli strumenti.

Il numero sbagliato e ciò che conta davvero

Il processo doveva durare sei settimane; ne è servita poco più di una. Erano attesi altri ex dipendenti, poi Adam Mosseri e infine Mark Zuckerberg: a quella mail di Béjar il fondatore non aveva risposto nel 2021, e ora avrebbe potuto doverlo fare sotto giuramento. Non è successo, perché Meta ha chiuso prima. Torniamo allora ai numeri e agli indicatori, perché il numero sbagliato non è necessariamente quello che mente; è quello che dice la verità su una cosa diversa da quella che conta per le persone, e proprio perché è preciso dà una falsa sicurezza, così nessuno sente il bisogno di cambiarlo.

Anch’io, quando questa puntata è stata pubblicata, ho guardato un indicatore. Mi dice quante persone l’hanno iniziata, quante sono arrivate fino in fondo e in quale minuto qualcuno ha smesso di ascoltare. Se sei ancora qui, quell’indicatore sa che sei arrivato quasi alla fine. Non sa che cosa ti è rimasto, come questo articolo ti ha fatto sentire. È la stessa tentazione, in piccolo: scambiare ciò che sappiamo contare per ciò che conta davvero.

La figlia di Arturo Béjar oggi è una donna adulta. Quelle tre parole forse sono ancora sotto la fotografia, non lo so. Sappiamo però con certezza che sono rimaste nella mail di suo padre, poi in una testimonianza al Senato, infine negli atti di un processo. Per Instagram non violavano nessuna regola. Negli atti sono diventate una prova; una sentenza, però, non è mai arrivata, perché Meta ha scelto un numero e lo ha pagato per non far decidere la giudice. Resta ciò che quel numero ha comprato: regole nuove sull’uso dei social da parte dei minori, nate dagli stessi dati che l’azienda misurava da anni senza guardarli. Il numero più piccolo comparso in tutta la vicenda è anche l’unico che ha cambiato qualcosa.

Buon Ferragosto! Il 15 Agosto 2026 si celebra Ferragosto come da tradizione e per questa festività ci sono tantissime immagini per WhatsApp, Facebook, Instagram e Tik Tok,  da inviare ad amici, colleghi e familiari. Il Ferragosto è una festività di origine veramente antica, dal momento che nella Roma imperiale era denominata Feriae Augusti.

Perché ci si fa gli auguri a Ferragosto?

La festività prende il nome dalle Feriae Augusti, ossia “il riposo di Augusto”, che era una festa istituita nell’anno 18 a.C. dall’imperatore Augusto per concedere un periodo di riposo dopo settimane di duro lavoro nel settore agricolo. Inoltre, Ferragosto ha anche radici nella tradizione dei Consualia, feste che celebravano la fine dei lavori agricoli e che erano dedicate a Conso, il dio della terra e della fertilità per i Romani.

Nell’antichità, Ferragosto era un momento di celebrazioni e festeggiamenti, e col tempo è diventato una tradizione per i lavoratori di augurare ai loro datori di lavoro un “buon Ferragosto” e ricevere in cambio un bonus monetario. Questa usanza divenne legge durante il Rinascimento in tutto lo Stato della Chiesa. Oggi, Ferragosto è una festività celebrata il 15 agosto in tutta Italia, a San Marino e nel Canton Ticino, ed è anche il periodo delle vacanze estive intorno a questa data, che può essere un weekend lungo (ponte di Ferragosto) o gran parte di agosto

In questa giornata tantissime persone e famiglie spendono il tempo libero con gite fuori porta, pranzi al sacco e rinfrescanti bagni al mare. Per augurare un Buon Ferragosto 2026 vi proponiamo le migliori immagini da condividere su WhatsApp e altri social network come Facebook, Twitter, Instagram e non solo. Quindi, non resta che scoprire insieme le migliori immagini per un Buon Ferragosto 2022. (Qui invece trovate le migliori GIF animate per augurare Buon Ferragosto 2026!)

Migliori immagini Buon Ferragosto 2026

Vi ricordiamo che per salvare le immagini qui presenti dovete eseguire alcune operazioni, estremamente semplici. Tenete premuto il dito sull’immagine per qualche secondo, fino a quando non comparirà sullo schermo una nuova finestra di dialogo. All’interno di quest’ultima clicca sulla voce Salva immagine. L’immagine verrà salvata all’interno del rullino dei dispositivi iOS, come iPhone, iPad e iPod Touch, mentre su Android verrà archiviata nella cartella Download del browser. Così facendo, è possibile condividere facilmente le immagini umoristiche anche con altre applicazioni di terze parte e social network, WhatsApp incluso.

Una vista mozzafiato e un po’ di tecnologia che non ci abbandona mai per un Ferragosto un po’ digitale

La spiaggia con le onde è una delle immagine più classiche per augurare un Buon Ferragosto.

Ferragosto coincide, molto spesso, con il periodo di vacanza. Ecco un’ immagine simpatica per augurare Buone Vacanze ad amici, colleghi e parenti.

E tra le migliori immagini Buon Ferragosto 2026 come rinunciare a quella dell’anguria, tra l’altro in formato verticale che si adatta meglio ai social come Instagram e Tik Tok.

Per chi vuole fare degli auguri non convenzionali ecco un’immagine elegante dele mare al tramonto

L’estate è il momento del divertimento e allora è un’immagine per gli auguri di Buon Ferragosto colorata e ispirata al mondo dei cartoon per fare gli auguri proprio a tutti

Buon Ferragosto 2026, immagini divertenti

Nella nostra raccolta delle migliori immagini Buona Ferragosto 2026 non possono mancare anche alcune foto divertenti da condividere su WhatsApp, Facebook e altri social network.

Anche i nostri amici a quattro zampe sono pronti a festeggiare Ferragosto.

Per Ferragosto non ti dimenticare la birra!

L’anguria piace a tutti, anche ai bambini! Un Buon Ferragosto divertente.

L’immagine da condividere e per il profilo dedicata a chi lavora anche a Ferragosto.

Come fare gli auguri di Ferragosto?

Fare gli auguri a Ferragosto può essere fatto in molti modi diversi, ad esempio:

Condividendo immagini tematiche e colorate sui social media, come Facebook, Instagram, WhatsApp o attraverso messaggi di testo;
Inviando cartoline di auguri tradizionali per posta, con foto e sfondi ispirati al mare, alla spiaggia e al divertimento estivo;
Scattando foto personali durante le proprie vacanze, personalizzandole con frasi di auguri e condividendole con amici e familiari.
Qui di seguito abbiamo raccolto alcune delle migliori immagini per augurare un buon Ferragosto, con diverse ispirazioni tra cui scenari marini, fuochi d’artificio e simboli italiani:

Un’immagine di una spiaggia soleggiata con ombrelloni colorati e la scritta “Buon Ferragosto” sulla sabbia;
Un’illustrazione di una tavola imbandita con cibo tipico italiano e un bicchiere di vino, con la scritta “Ferragosto in compagnia” sullo sfondo;
Una foto di fuochi d’artificio che illuminano il cielo notturno, con la frase “Felice Ferragosto!” sottostante;
Un’immagine di un’acqua cristallina con onde dolci che si infrangono sulla riva, mentre un gabbiano sorvola la scena con un cartello “Buon Ferragosto a tutti!”

Come si scrive Buon Ferragosto a tutti?

Per scrivere “Buon Ferragosto a tutti!” in modo corretto ed elegante, ecco alcuni suggerimenti:

I caratteri corsivi o calligrafici sono un’ottima scelta per trasmettere un senso di calore ed eleganza;
L’uso di colori vivaci come il blu (che ricorda il mare) o il rosso (che richiama il sole estivo) aiuta a rendere il messaggio più accattivante e allegro;
È possibile anche aggiungere qualche emojì tematico, come il sole , l’ombrello ️, o il gelato , per aggiungere un tocco di divertimento al messaggio.

Cosa scrivere a Ferragosto?

Se non sei sicuro di cosa scrivere nei tuoi auguri di Ferragosto, ecco alcune idee di messaggi che puoi utilizzare o personalizzare:

“Buon Ferragosto! Che questa giornata sia piena di sole, mare e allegria!”
“Auguri di un meraviglioso Ferragosto in compagnia delle persone che ami!”
“Che questo Ferragosto ti regali momenti indimenticabili, divertimento e tanto relax!”
“Tantissimi auguri per un Ferragosto spensierato e all’insegna del divertimento!”

Buon Ferragosto 2026, le frasi originali

Ecco la lista delle frasi più originali sul Ferragosto 2026 con cui festeggiare questa giornata all’insegna del relax.

• Sole, mare e tanta allegria per un felice Ferragosto da passare in compagnia
• Prova costume fallita: non pensiamoci, godiamoci il Ferragosto e da domani tutti a dieta!
• Eccoci nella pineta, al crocicchio dove sono i limonari, con i gitanti stesi all’ombra dei pini, le radio accese, i cartocci e le bottiglie di Ferragosto. Alberto Moravia, Scherzi di ferragosto
• L’estate si spara le ultime cartucce con ferragosto, malinconica come una bella donna che sfiorisce. L’anno prosegue, abbandonando le spiagge. Marcello Vitale
• Una bella birra fredda e la migliore compagnia: non servono grandi cose per fare un grande giorno. Buon Ferragosto!
• Un pensiero a tutti quelli che lavorano anche oggi, e che rendono più piacevole questo giorno di festa a tutti gli altri!

Festeggiare e augurare Buon Ferragosto 2026 è semplicissimo con le immagini GIF divertenti e originali da condividere su WhatsApp, ma anche su Facebook, Instagram, TikTok . Le GIF per WhatsApp sono un modo alternativo che viene sempre apprezzato.  Cosa può essere più divertente e coinvolgente di condividere le tue emozioni di festa con GIF animate? Ecco una selezione delle migliori GIF per augurare un felice Ferragosto 2026 ai tuoi amici e alla tua famiglia.

Nel giorno in cui tradizionalmente ci si dedica alle gite fuori porta con lauti pranzi al sacco e, data la calura stagionale, a rinfrescanti bagni in acque marine, oltre al molto diffuso esodo verso le località montane o collinari, in cerca di refrigerio, inviare GIF di auguri è un modo semplice, rapido e innovativo di augurare un Buon Ferragosto 2026.

In questa galleria abbiamo raccolto le migliori immagini animate da condividere su WhatsApp e molti altri social network, tra cui Facebook, Instagram, Twitter e non solo. Non resta, quindi, che scoprire insieme le migliori immagini GIF Buon ferragosto 2026 di auguri da condividere online.

Migliori immagini GIF Buon Ferragosto 2026

Qui puoi trovare le migliori immagini GIF per augurare Buon Ferragosto 2026. Ci sono tante immagini animate realizzate per celebrare questa giornata estiva goliardica. Con l’arrivo di dispositivi mobili come smartphone e tablet è diventato estremamente semplice inviare e ricevere GIF gratis tramite WhatsApp.

Per salvare le immagini GIF presenti in questa galleria è necessario effettuare alcune operazioni. Per salvare un’immagine GIF su Android e iOS, tieni premuto il dito sulla GIF in questione per qualche secondo, fino a quando non comparirà sullo schermo una nuova finestra di dialogo. All’interno di quest’ultima clicca sulla voce Salva immagine.

L’immagine GIF verrà salvata all’interno del rullino, per quanto riguarda i dispositivi iOS, come iPhone, iPad e iPod Touch, mentre su Android verrà archiviata nella cartella Download del browser. In questo modo, potrai condividere le GIF divertenti e simpatiche presenti qui sotto anche con applicazioni di terze parti, come WhatsApp, e social network.

Un pezzo di paradiso è presente in questa GIF, il sole, l’acqua e degli occhiali da sole per godersi tutto.

Ferragosto è tempo di vacanza e di divertimento allora quale immagine migliore se non questa Immagine Gif di Buon Ferragosto con un divertente salvagente a forma di Fenicottero.

L’estate e anche tempo di grandi banchetti all’aperto che si concludo spesso con l’anguria: tra le più belle immagini GIF Buon Ferragosto 2026 c’è proprio il frutto dell’estate, l’immagine è in formato verticale ed è quindi l’ideale da condividere sui social come Instagram e Tik Tok . 

Le tecnologa non ci abbandona mai del tutto, allora anche in estate ci godiamo il mare con pc e smartphone

Una ragazza passa Ferragosto su bella acqua poco profonda e trasparente, un’immagine diversa, per chi ama la feste, ma anche la tranquilità

E tra le più belle immagini GIF Buon Ferragosto 2026 ecco i grandi fuochi d’artificio nel cielo di agosto!

L’immagine della luce brillante di un fuoco d’artificio che esplode nel cielo notturno. Una prova tangibile di come l’antico si fonda con il futuristico. L’immagine sembra danzare, un segno gioioso di celebrazione estiva. Fuochi di artificio animanti, in questa GIF per augurare buon Ferragosto. “Ferragosto non sarebbe lo stesso senza un po’ di fuochi d’artificio. Buon Ferragosto a tutti!”

Per fare gli auguri in modo originale e tecnologico ecco una GIF di Buon Ferragosto che mette insieme tecnologia e mare, cosa c’è di meglio?

Onde e stelle marine, una GIF spumeggiante per fare gli auguri.

Ed infine… Buon Ferragosto a tutti!!! E se volete non solo gif qui trovate le immagini per gli Auguri di buon Ferragosto

Volete fare gli Auguri? Usate le frasi originali per dare un Ferragosto 2026.

Perché si festeggia Ferragosto?

Ferragosto è una festa italiana antica e molto celebrata, le sue radici risalgono all’epoca dei Romani. Originalmente, durante il periodo di Ferragosto, gli antichi romani celebravano la fine dei lavori agricoli e onoravano Conso, il dio della terra e della fertilità.

Con l’ascesa del Cristianesimo, la festa è stata poi associata all’Assunzione di Maria, rendendo questa occasione un momento di celebrazione religiosa. Questa combinazione di patrimonio culturale e religioso ha reso Ferragosto un momento importante per fare gli auguri agli altri.

Praticamente, fare gli auguri a Ferragosto è un modo per celebrare insieme l’importanza storica, culturale, e religiosa di questa giornata. È un’opportunità per riconnettersi con gli amici e la famiglia, godersi una pausa dai normali impegni e riflettere sul significato della festa tutte insieme.

Nei testi generati da Claude arriva il watermark invisibile, noi non lo possiamo vedere ma la firma continua ad accompagnare il tetso anche quando esce dalla finestra del chatbot e per esempio  vengono copiati in Word o inviati per posta elettronica, ma anche se inseriti nel CMS di un sito. Non è un metadato nascosto nel documento,  bisogna chiarirlo, e non  è una sequenza di caratteri invisibili. È un watermark invisibile incorporato nel testo stesso, una firma pensata per essere riconosciuta dalle macchine senza modificare ciò che leggono gli esseri umani, si base sulla statistica, come tutte le cose che riguardano l’AI.

Claude mette il watermark sui testi, e ora?

Anthropic ha iniziato a introdurre questa tecnologia nei testi generati da Claude nell’ambito degli impegni previsti dal Code of Practice on Transparency of AI-Generated Content, collegato all’articolo 50 dell’AI Act europeo. La novità potrebbe sembrare una delle tante conseguenze tecniche della regolamentazione dell’intelligenza artificiale, ma in realtà introduce un cambiamento molto più profondo, perché fino a oggi abbiamo cercato soprattutto di riconoscere un testo artificiale dagli stili tipici dell’AI, la triade, il chiasmo, gli elenchi simmetrici, l’assenza di riferimenti specifici; adesso è il sistema che lo genera a lasciare deliberatamente una traccia della propria attività.

Per capire la differenza basta pensare ai tanti servizi di AI detection comparsi negli ultimi anni. Il loro compito è osservare un testo e cercare di stabilire, sulla base delle sue caratteristiche linguistiche e statistiche, se sia più probabile che sia stato scritto da un essere umano oppure da un modello generativo. Con il watermark il problema viene rovesciato: non bisogna più indovinare chi abbia scritto quelle parole, perché dentro la loro generazione può essere stato inserito fin dall’inizio un segnale destinato a raccontarne la provenienza, questo passaggio che potrebbe cambiare il rapporto fra intelligenza artificiale, editoria, università, aziende e piattaforme digitali.

Come funziona il watermark invisibile di Claude

Anthropic definisce il proprio sistema un imperceptible watermark, una marcatura invisibile, ma non solo invisibile, ma più specificamente incorporata negli output di testo dei modelli. Secondo l’azienda, il meccanismo non dovrebbe modificare in maniera percepibile significato, qualità o leggibilità del testo e, soprattutto, essendo incorporato nell’output, dovrebbe continuare a essere rilevabile dopo un normale copia e incolla e persino dopo alcune modifiche. Documentazione ufficiale Anthropic sul watermark di Claude

Anthropic non ha ancora pubblicato tutti i dettagli tecnici necessari per stabilire esattamente quale algoritmo utilizzi Claude e sarebbe quindi sbagliato descriverne il funzionamento come se conoscessimo già il codice. Possiamo però descrivere esattamente il principio sul quale si basano i sistemi di text watermarking per Large Language Model, e capire perché una firma possa rimanere dentro un semplice testo anche dopo averlo copiato da un’applicazione all’altra.

Quando un modello linguistico costruisce una frase non la possiede già completa in qualche archivio interno, ma procede generando una sequenza di parole. per ogni frase esistono diverse possibili formulazioni, ciascuna associata a una determinata probabilità. Davanti alla frase «Il mercato dell’intelligenza artificiale sta…», per esempio, il modello potrebbe avere buone ragioni per scegliere parole come «crescendo», «cambiando», «accelerando» oppure «evolvendo». Un sistema di watermarking può intervenire proprio in questo momento, modificando in maniera estremamente lieve le probabilità di alcune alternative, di alcune parole, secondo una regola conosciuta dal sistema che successivamente dovrà riconoscere la firma.

Una singola scelta non significa praticamente nulla e nessuno potrebbe leggere la parola «evolvendo» e dedurre che sia stata scritta da Claude. Quando però il processo viene ripetuto centinaia o migliaia di volte, la distribuzione delle scelte può costruire un segnale statisticamente riconoscibile. Il watermark, quindi, non deve necessariamente essere qualcosa che si trova accanto alle parole: può essere contenuto nel modo in cui quelle parole sono state scelte.

È lo stesso principio generale sul quale lavora da tempo la ricerca scientifica dedicata al watermarking dei modelli linguistici ed è simile, concettualmente, a quello descritto pubblicamente da Google DeepMind per SynthID Text, che interviene sulle probabilità dei token durante la generazione in modo da produrre una firma rilevabile senza alterare in maniera significativa la qualità dell’output. Google DeepMind: come funziona SynthID

Questo non significa che Anthropic stia necessariamente utilizzando la stessa tecnologia di Google, ma aiuta a comprendere perché cercare caratteri invisibili dentro un documento, ripulire la formattazione o passare il testo attraverso un editor non rappresenti una soluzione: se il segnale è nella scelta statistica delle parole, la formattazione non c’entra.

Perché il copia e incolla non basta a far sparire la firma

Qui sta uno degli aspetti più interessanti dell’annuncio. Siamo abituati a pensare che la natura digitale di un file si ricostruisca attraverso i metadati: una fotografia può contenere informazioni sulla macchina utilizzata, un documento può conservare il nome dell’autore e un file generato dall’intelligenza artificiale può includere informazioni sul modello usato per crearlo. Il problema è che i metadati sono relativamente fragili, perché possono essere eliminati volontariamente oppure semplicemente perdersi durante una conversione o un passaggio da un servizio all’altro.

Anthropic utilizza infatti un sistema diverso per alcuni file prodotti da Claude, come PNG, JPG e SVG, nei quali può inserire informazioni di provenienza basate sullo standard C2PA. Nel caso del testo, invece, l’idea è quella di evitare che la firma dipenda da un “passaporto”. Se copiamo un paragrafo da Claude e lo incolliamo dentro Word, non stiamo copiando il file originale ma soltanto le parole; se il watermark è costruito attraverso quelle parole, però, stiamo copiando anche il materiale che il  il sofware detector può riconscere.

Questo significa che una sequenza molto comune come Claude → copia → Word → CMS → pagina web potrebbe non essere sufficiente a cancellare la firma. È un dettaglio fondamentale per chi produce contenuti professionalmente, perché sposta il watermark dal mondo dei file a quello delle parole.

Chi può leggere la firma nascosta di Claude

Chi può leggere la firma nascosta di Claude è probabilmente la domanda più importante e, al momento, anche quella sulla quale è più facile prendere delle cantonate. Non esiste oggi un sistema pubblico universale nel quale chiunque possa incollare un articolo e ricevere una risposta incontrovertibile del tipo «questo testo è stato scritto da Claude 4.5». Anthropic afferma però che sta  lavorando affinché utenti e terze parti possano rilevare i watermark e le informazioni di provenienza inserite nei contenuti generati dai suoi modelli e promette di pubblicare ulteriore documentazione tecnica sui meccanismi di detection. Anthropic: How Claude marks AI-generated content

La distinzione è importante. Anthropic, essendo il soggetto che introduce la marcatura, dispone naturalmente delle informazioni necessarie per sviluppare un detector. Non sappiamo ancora, però, quanto sarà aperto il sistema di verifica: potrebbe essere messo a disposizione un servizio pubblico, potrebbe esistere un’API, potrebbero essere distribuiti strumenti specifici oppure potrebbe essere pubblicata una documentazione sufficiente a consentire verifiche indipendenti. Il punto è che la logica introdotta dall’Europa richiede che le marcature dei contenuti generati dall’intelligenza artificiale siano machine-readable e rilevabili. Il nuovo Code of Practice nasce precisamente per definire le modalità con cui i fornitori di sistemi generativi possono rispettare gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act. Commissione europea: Code of Practice on AI-generated content

Quello che invece non risulta dalla documentazione pubblicata da Anthropic è altrettanto importante: la firma non è stata presentata come un identificatore dell’utente. Non ci sono elementi per sostenere che, prendendo un articolo pubblicato online e rilevandone il watermark, un soggetto esterno possa risalire all’account Claude che lo ha prodotto, al prompt originale, alla conversazione o all’identità della persona che utilizzava il servizio. La differenza fra identificare il modello e identificare l’autore umano è enorme e diventerà probabilmente uno dei punti più delicati dell’intero sistema.

Se Claude corregge il mio articolo, chi lo ha scritto?

Il problema emerge immediatamente quando abbandoniamo il caso più semplice, quello nel quale qualcuno chiede a Claude «scrivimi un articolo di 10.000 battute» e pubblica integralmente la risposta.

Immaginiamo invece che un giornalista trascorra una giornata a raccogliere informazioni, faccia due interviste, costruisca la struttura di un pezzo e scriva personalmente 8.000 battute, poi incolli tutto dentro Claude chiedendo di correggere gli errori grammaticali e rendere più fluido qualche periodo. Il testo restituito dal sistema potrebbe contenere il watermark, ma sarebbe assurdo dedurne automaticamente che l’articolo è stato «scritto dall’intelligenza artificiale». Lo stesso problema si presenta con una traduzione, con il riassunto di una trascrizione o con la trasformazione di appunti in un formato più ordinato. Anthropic stessa mette in guardia da un’interpretazione troppo semplice del risultato: la presenza della marcatura può indicare che il contenuto è stato processato da Claude, ma non stabilisce da sola quanto del lavoro intellettuale originario appartenga al modello.

Qui nasce una distinzione che rischia di diventare decisiva nei prossimi anni: provenienza e paternità non sono la stessa cosa.

Un watermark può raccontare che un testo è passato attraverso una determinata tecnologia, ma non può ricostruire automaticamente il processo editoriale che lo ha prodotto. Non sa chi abbia trovato la notizia, verificato le fonti, scelto le domande di un’intervista, deciso la tesi dell’articolo o costruito il ragionamento. Se riducessimo tutto a «watermark presente uguale testo AI», avremmo costruito uno strumento tecnicamente sofisticato per arrivare a una conclusione sbagliata.

La differenza fra watermark e AI detector

Per comprendere la portata della novità bisogna separare due tecnologie che spesso vengono confuse. Gli attuali AI detector cercano generalmente di inferire, d capire,  l’origine di un testo analizzandone le caratteristiche: prevedibilità, distribuzione linguistica, struttura delle frasi e altri segnali statistici. È un approccio inevitabilmente probabilistico e ha prodotto negli anni errori e falsi positivi, soprattutto quando viene applicato a testi brevi, tradotti o scritti da persone con stili particolarmente regolari. Il watermark parte invece da una posizione privilegiata, perché il segnale viene introdotto deliberatamente dal sistema che genera il contenuto.

È una differenza simile a quella che passa tra cercare di riconoscere il modello di un’automobile osservando le tracce degli pneumatici sull’asfalto e leggerrne la targa. Nel secondo caso disponiamo di un’informazione intenzionalmente progettata per essere riconoscibile, ma anche la targa ha un limite: identifica un veicolo, non necessariamente la persona che in quel momento lo stava guidando: lo stesso vale per Claude. La presenza di una firma potrebbe fornire un’indicazione molto più solida sulla provenienza tecnologica rispetto ai tradizionali detector, senza per questo trasformarsi automaticamente in una prova della paternità del testo.

Si può perdere il watermark di Claude?

Sì, ed è Anthropic stessa ad ammetterlo. Un watermark testuale deve risolvere un problema quasi contraddittorio: essere sufficientemente forte da sopravvivere alle normali trasformazioni di un testo, ma abbastanza discreto da non modificarne la qualità e, soprattutto, da non produrre falsi positivi. La documentazione di Anthropic riconosce che modifiche profonde, parafrasi, traduzioni o combinazioni con altri contenuti possono ridurre la possibilità di rilevare il segnale. Anche la lunghezza conta, perché poche parole possono semplicemente non offrire una quantità sufficiente di informazioni statistiche per stabilire con una sicurezza accettabile la presenza della firma.

Non esiste, almeno sulla base delle informazioni pubbliche disponibili, una percentuale che consenta di affermare che cambiando il 20, il 30 o il 50 per cento delle parole il watermark scompaia. La robustezza dipende dall’algoritmo utilizzato, dalla lunghezza del documento, dal tipo di trasformazione e dalla soglia adottata dal detector, ed è precisamente questo uno dei campi sui quali si concentra la ricerca sul text watermarking.

C’è però una conseguenza ancora più importante: se il detector non trova la firma di Claude, non significa affatto che il testo sia stato scritto da un essere umano. Potrebbe essere stato prodotto con un modello non ancora dotato del watermark, potrebbe essere stato profondamente modificato, potrebbe essere troppo corto oppure potrebbe semplicemente provenire da ChatGPT, Gemini, Llama o da un altro sistema. Il watermark, quindi, non risolve il problema generale della AI detection. Risponde a una domanda molto più circoscritta e, proprio per questo, potenzialmente più affidabile: questo testo conserva un segnale riconducibile al sistema che lo ha generato?

L’AI Act sta trasformando una regola europea in uno standard mondiale

Il momento scelto da Anthropic per lanciare questa funzione non è casuale. Dal 2 agosto 2026 sono applicabili gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act per determinati contenuti generati o manipolati dall’intelligenza artificiale. La Commissione europea richiede che gli output dei sistemi generativi siano marcati in un formato machine-readable e rilevabile, tenendo conto delle caratteristiche tecniche dei diversi media. Commissione europea: trasparenza dei contenuti generati dall’AI. Digitalic ha seguito l’evoluzione dell’AI Act e delle nuove regole europee sull’intelligenza artificiale fin dalle prime fasi, ma il watermark di Claude permette di osservare un fenomeno particolarmente interessante: una norma europea può finire per modificare tecnicamente prodotti utilizzati in tutto il mondo.

Anthropic, infatti, non ha scelto di creare una versione europea di Claude che firma i testi e una versione internazionale che non lo fa. Per i modelli supportati la marcatura è destinata a essere applicata globalmente, anche attraverso le API e le piattaforme cloud sulle quali Claude viene distribuito. È una manifestazione quasi da manuale del cosiddetto Brussels effect: quando il mercato regolato è sufficientemente grande e importante, può essere più conveniente trasformare la norma locale in uno standard globale piuttosto che mantenere infrastrutture differenti.

Non riguarda soltanto chi usa Claude nel browser

Un altro aspetto facilmente sottovalutato è che Claude non vive soltanto dentro Claude.ai. I modelli Anthropic vengono utilizzati attraverso API, strumenti per sviluppatori e infrastrutture cloud e possono trovarsi dietro applicazioni nelle quali l’utente finale non vede neppure il nome Claude.

Anthropic indica tra gli ambienti interessati Claude, Claude Code e la propria piattaforma API e prevede il supporto alla marcatura anche nella distribuzione dei modelli attraverso grandi provider cloud. Questo significa che il watermark potrebbe diventare una proprietà dell’infrastruttura generativa sottostante, non semplicemente una funzione dell’interfaccia utilizzata dall’utente.

Per le aziende la questione assume quindi una dimensione completamente diversa. Un sistema interno che utilizza Claude per generare descrizioni di prodotti, documentazione, risposte ai clienti o report potrebbe produrre enormi quantità di testo contenente una firma di provenienza, anche se chi legge quei contenuti non ha mai interagito direttamente con Claude.

Google ha già SynthID, OpenAI per ora segue una strada diversa

Anthropic non è la sola azienda a muoversi in questa direzione. Google DeepMind lavora da tempo a SynthID, una famiglia di tecnologie per inserire watermark invisibili in immagini, audio, video e testo generati dall’intelligenza artificiale. Nel caso di SynthID Text, Google descrive pubblicamente un sistema che interviene sulla distribuzione dei token durante la generazione e successivamente analizza il testo per verificare la presenza del segnale. Google DeepMind SynthID

OpenAI sta invece costruendo una strategia più ampia di content provenance. Nel maggio 2026 ha annunciato l’uso combinato delle Content Credentials basate su C2PA e di Google SynthID per rafforzare la provenienza delle immagini generate dai propri sistemi, insieme a strumenti destinati alla verifica. OpenAI: Advancing content provenance

Per il normale testo prodotto da ChatGPT, tuttavia, al momento non è stato annunciato pubblicamente un watermark statistico equivalente a quello che Anthropic sta introducendo in Claude. OpenAI ha studiato in passato il problema del watermarking testuale e la situazione potrebbe naturalmente cambiare, soprattutto adesso che gli obblighi europei sono diventati operativi, ma sarebbe prematuro sostenere che ogni risposta di ChatGPT porti già con sé una firma invisibile analoga. La competizione fra i grandi produttori di modelli potrebbe quindi aprire un nuovo fronte. Finora abbiamo misurato chi avesse il modello più intelligente, più veloce, più economico o dotato della finestra di contesto maggiore; presto potremmo cominciare a confrontare anche chi sia in grado di certificare meglio la provenienza di ciò che produce.

Per giornali ed editori il problema non sarà capire se c’è l’AI, ma come è stata usata

È probabilmente nell’editoria che i rischi di una classificazione manichea appare più evidente. Un giornale può utilizzare l’intelligenza artificiale per trascrivere un’intervista, tradurre una dichiarazione, correggere la grammatica, riassumere un documento di cento pagine, suggerire un titolo oppure generare integralmente un articolo. Mettere tutte queste attività sotto l’etichetta «contenuto AI» significa perdere tutta l’informazione che davvero conta.

Il watermark rende paradossalmente questa distinzione ancora più urgente, perché potrebbe fornire una prova tecnica del passaggio attraverso un modello senza raccontare come quel modello sia stato utilizzato. Un testo scritto interamente da un giornalista e corretto da Claude potrebbe risultare marcato, mentre un articolo generato integralmente da un sistema e successivamente sottoposto a trasformazioni profonde potrebbe perdere parte del segnale.

Per questo l’editoria avrà bisogno di qualcosa di più sofisticato della semplice AI detection: dovrà definire la propria catena editoriale di provenienza, distinguendo la raccolta delle informazioni, la verifica delle fonti, la scrittura, la revisione e l’eventuale intervento dei sistemi generativi.

Il watermark non dice se una notizia è vera

Rimane infine un equivoco che rischia di accompagnare tutta questa tecnologia. Un contenuto certificato come umano non è automaticamente vero e un contenuto identificato come generato dall’intelligenza artificiale non è automaticamente falso. Un giornalista può inventare una notizia, mentre un modello può riassumere correttamente un bilancio societario; allo stesso modo un modello può allucinare una fonte e un essere umano può verificare scrupolosamente ogni informazione. Il watermark racconta la provenienza, non l’attendibilità.

È un’informazione preziosa, ma non è un certificato che attesta la veridicità di un testo. Confondere i due piani rischierebbe anzi di creare una falsa sicurezza ancora più pericolosa: se imparassimo a diffidare automaticamente di tutto ciò che porta una firma AI, potremmo finire per attribuire implicitamente maggiore credibilità a qualsiasi contenuto che non la possiede, proprio mentre diventa sempre più facile produrre artificialmente contenuti privi di un watermark riconoscibile.

Stiamo costruendo un Internet in cui i contenuti lasciano impronte

Quello si cui dobbiamo concentrarci non è solo che Claude metta una firma invisibile dentro quello che scrive, la vera questione è che stiamo cominciando a costruire un’infrastruttura della provenienza per l’Internet generativo. Per trent’anni la copia digitale ha avuto una caratteristica straordinaria: poteva essere perfettamente identica all’originale e contemporaneamente perdere quasi completamente la propria storia. Una fotografia viene scaricata, un testo copiato, un video ricodificato, uno screenshot estratto dal contesto e, passaggio dopo passaggio, diventa sempre più difficile capire da dove sia arrivato il contenuto che abbiamo davanti.

L’intelligenza artificiale rende questo problema gigantesco, perché la produzione non avviene più soltanto su scala umana.  I sistemi come C2PA, Content Credentials, SynthID e adesso il watermark testuale di Claude stanno cercando di ricostruire quel link, non attraverso un’etichetta appiccicata alla fine del processo, ma inserendo informazioni sulla provenienza nel contenuto o nella sua struttura fin dal momento della generazione.

Naturalmente non sarà un sistema perfetto, le firme potranno degradarsi, tecnologie diverse utilizzeranno standard diversi, esisteranno contenuti non marcati e continueranno a esserci tentativi di aggirare i sistemi di rilevamento. Soprattutto, nessun watermark potrà dirci da solo chi sia realmente l’autore intellettuale di un’opera o se quello che stiamo leggendo sia vero.

Il percorso universitario richiede una costante capacità di adattamento di fronte a volumi di studio sempre più ampi e a scadenze temporali che lasciano poco spazio alla dispersione delle energie pomeridiane. In un’epoca in cui il numero e la diffusione delle applicazioni, soprattutto quelle dotate di intelligenza artificiale, sta aumentando vertiginosamente, fa la differenza chi riesce a orientare il proprio progetto verso le esigenze reali degli utenti, evitando risposte preconfezionate e superficiali. Proprio per soddisfare questa necessità di specificità ed efficacia nel settore accademico, l’introduzione di un app come Docsity AI rappresenta un cambiamento importante, poiché mette a disposizione degli iscritti una tecnologia strutturata unicamente sulle dinamiche dell’apprendimento e della preparazione degli esami.

La differenza tra tecnologia generalista e strumenti costruiti su misura

La maggior parte dei sistemi di assistenza virtuale presenti sul mercato analizza i testi in modo standardizzato, offrendo sintesi che spesso trascurano i dettagli cruciali e i nodi concettuali che i professori valutano durante i colloqui d’esame. Il sistema di Docsity AI, al contrario, viene sviluppato per essere un vero e proprio alleato di studio per gli studenti, configurandosi come un’applicazione per prendere appunti, sbobinare lezioni e studiare con l’intelligenza artificiale costruita su misura per le specifiche necessità accademiche. Non si tratta di un’interfaccia generalista adatta a qualsiasi scopo commerciale, ma di uno strumento verticale concepito esclusivamente per superare ogni esame universitario attraverso l’elaborazione di contenuti didattici pertinenti. Questo significa che i modelli di calcolo focalizzano l’attenzione sulla precisione terminologica e sulla gerarchia delle informazioni, garantendo che ogni sintesi mantenga il rigore scientifico richiesto dai diversi corsi di laurea.

Centralizzare la gestione dei materiali in un’unica applicazione

Il vantaggio operativo principale risiede nella possibilità di raggruppare all’interno di un solo spazio virtuale fonti di informazione di natura completamente diversa, eliminando la frammentazione dei documenti che spesso rallenta il ripasso. In una sola applicazione diventa possibile registrare le lezioni d’aula, fotografare pagine di libri o appunti manoscritti, caricare file digitali e inserire link approfonditi dal web, lasciando che il sistema organizzi la documentazione in modo organico. L’algoritmo integrato elabora questi dati eterogenei per trasformare tutto in materiale pronto per gli esami, generando riassunti testuali scritti in modo fluido, mappe concettuali per la memoria visiva e flashcard personalizzate utili per l’autovalutazione quotidiana. Questo processo avviene senza limiti di volume o di formato, consentendo di gestire anche i programmi d’esame più corposi senza dover ricorrere a continui abbonamenti separati o a passaggi complessi da un programma all’altro.

Ottimizzazione del tempo e riduzione dell’ansia da prestazione

Disporre di dispense strutturate automaticamente sulla base delle proprie lezioni permette di dedicare la maggior parte del tempo all’assimilazione reale dei concetti, piuttosto che alla lunga e faticosa attività di trascrizione e sintesi manuale. Questo risparmio di ore preziose riduce sensibilmente l’ansia da prestazione che precede le sessioni invernali ed estive, offrendo allo studente una chiara percezione dei propri progressi attraverso simulazioni e test mirati. L’utilizzo consapevole di queste tecnologie verticali favorisce l’autonomia dello studente e migliora il rendimento accademico complessivo, dimostrando come l’innovazione digitale possa diventare il motore di un apprendimento consapevole, efficiente e sintonizzato sulle reali richieste del mondo universitario.

Siamo a Clavesana, in provincia di Cuneo, un paese di 1200 anime nelle Langhe. Qui le case sono tutte un po’ sparpagliate sulle colline, ma c’è un piccolo centro e nel centro c’è un bar. In questo bar c’è una donna del posto che ferma un uomo, un americano che vive lì da vent’anni e gli chiede: “Tu cosa ne pensi?” Non c’è nemmeno bisogno di dire a cosa si riferisce, perché entrambi lo sanno.

Sta parlando della Ferrari Luce, il modello elettrico del cavallino rampante che ha spaccato in due l’Italia. Ma non parliamo della Ferrari Luce. Dobbiamo chiederci perché questa donna chieda proprio a lui. Per rispondere abbiamo bisogno di una data e di un numero.

La data è il 2001, il numero è 14.800. Perché nel 2001 14.800 persone hanno firmato una petizione online per far licenziare quell’uomo dal suo posto di lavoro. E per cosa? Per la forma di un’auto, in particolare per il bagagliaio.

Lui è stato per 17 anni il capo del design di una delle marche più iconiche del mondo dell’auto, per BMW, ed è uno dei car designer più apprezzati di tutti i tempi. Ma per un certo periodo, nel 2001, è stato uno dei più criticati. Oggi parliamo di lui, di Chris Bangle, del design, dell’intelligenza artificiale, ma anche di una scala che sta nel suo studio, che prima non era una scala, ma era uno scola letame, e della frase che ha dipinto sui gradini perché risponde a molte domande.

Chris Bangle è nato in Ohio negli Stati Uniti, ha lavorato per Opel e per Fiat. Se vi ricordate il Fiat Coupé, ecco, è un progetto a cui ha lavorato Chris Bangle. Su Digitalic avevamo già raccontato Big Walking Arch #1, l’arte monumentale in movimento di Chris Bangle.

Chris Bangle, la BMW Serie 7 e le 14.800 firme

Nel 1992 diventa il primo capo del design BMW non tedesco, e nel 2001 viene annunciata la Serie 7, l’ammiraglia di casa BMW, nome in codice E65. Il pubblico la guarda e dice che è troppo grossa, troppo muscolosa.

Al bagagliaio all’insù piovono le critiche e vengono raccolte le firme per farlo licenziare. Ma questa non è semplicemente la storia di un designer che è stato criticato, è qualcosa di molto più profondo. È la storia di chi si trova per primo davanti a un problema, lo risolve e per questo viene criticato.

Io gliel’ho chiesto. Gli ho chiesto quando ha capito che la serie 7 sarebbe stata criticata. Prima ancora di rispondermi ha detto però una frase:

“Innanzitutto lo dico sempre, comincio con questa frase: qualsiasi cosa sia stata realizzata dal design nel periodo in cui sono stato direttore, in Fiat, BMW o altrove, se vi piace, per favore date tutto il merito ai designer, ai modellatori e ai tecnici che l’hanno fatta, in particolare ai designer del modello. Se non vi piace, è sempre colpa mia”.

Vedete il suo atteggiamento. I meriti si distribuiscono e la colpa si prende.

Poi mi ha risposto.

“La Serie 7 sarà una macchina molto controversa, divisiva per molte persone”.

Sapeva che quella macchina sarebbe stata criticata ancora prima di tracciare una singola linea sul foglio.

Questo perché doveva essere insieme la macchina più efficiente e più sicura mai realizzata dalla casa. Ma un motore più efficiente richiede più aria, quindi più volume. Una macchina più sicura richiede più airbag, quindi un abitacolo più grande. Doveva affrontare delle sfide inedite e la soluzione non poteva che essere estremamente innovativa.

Perché la BMW Serie 7 doveva diventare un altro animale

E poi c’era una regola BMW che non poteva essere toccata.

“Era ovvio fin dall’inizio del progetto. Avevamo capito che questa macchina non sarebbe stata come nessun’altra BMW, perché il suo impianto di base era completamente fuori dai normali canoni BMW. Doveva essere più efficiente e più potente, ma soprattutto più potente risparmiando CO2. Questo richiedeva per il motore un volume molto fuori dalla norma di quel momento, perché per renderlo più efficiente serviva molta aria.

Le ruote e i cerchi non erano più grandi dei precedenti. Le persone dentro, invece, crescono: a ogni generazione servono più o meno altri sette o nove millimetri. Ma soprattutto questa era una Serie 7, quindi serviva comfort e la seduta doveva essere ancora più comoda. Tutta l’elettronica inserita nei sedili li rendeva ancora più grandi. Nel frattempo era aumentata anche la sicurezza, perciò serviva più spazio qui, qui e qui, intorno alla testa. Tutto più grande. E per una regola interna di BMW la macchina non poteva essere lunga più di cinque metri, esattamente come la precedente.

Quindi avevi una macchina della stessa lunghezza, con ruote delle stesse dimensioni di prima, ma un corpo enorme, molto più alto per le persone all’interno e anche per poter guardare sopra il cofano. Per raggiungere l’aerodinamica necessaria, poi, il posteriore doveva alzarsi. La somma di tutto questo non era più lo snello cuneo BMW, era completamente un altro animale”.

Stessa lunghezza, stesse ruote, ma molto più volume da sistemare. Le richieste dell’aerodinamica che hanno portato ad alzare il posteriore.

Non c’erano tante soluzioni, ce n’era una sola e sembrava quella sbagliata. Per far capire ai dirigenti BMW il problema che si trovavano di fronte, Bangle non ha presentato dei disegni, ha presentato due foto, due foto di cestisti, di giocatori di basket, una presa dagli anni ’60 e una presa dagli anni ’90.

Le due foto erano molto diverse perché nella prima il cestista degli anni ’60 era longilineo, magro, mentre nella seconda il giocatore di basket era molto più muscoloso. Ha presentato quelle foto perché ha dovuto spiegare che non stavano cambiando il design di una macchina, stavano cambiando il corpo.

“Quando abbiamo presentato la vettura all’interno di BMW, ho mostrato due immagini di giocatori di basket. Una era dell’inizio degli anni Sessanta: forse li ricordi, erano ragazzi altissimi, ma super magri. Poi ho detto: adesso siamo negli anni Novanta, guardate un giocatore di basket di oggi. Muscoloso, enorme, fortissimo. È la stessa differenza. Prima lavoravamo con la snellezza, adesso lavoriamo con i muscoli”.

Tutto questo è storia.

Quella macchina è del 2001 e poi tutti l’hanno copiata. Ma io a Chris Bangle ho chiesto qualcosa sul presente, gli ho chiesto dell’intelligenza artificiale e se ci fosse stata l’AI nel 2001, se avrebbe potuto disegnare quella macchina allo stesso modo.

Se ci fosse stata l’intelligenza artificiale nel 2001

E lui mi ha dato una risposta molto più ampia. Mi ha spiegato per lui che cosa può fare e che cosa non può fare l’intelligenza artificiale nel design.

“Oggi l’intelligenza artificiale ha nel design un ruolo molto strano. È basata soprattutto sulla ricombinazione, secondo determinate percentuali, di cose piacevoli già conosciute attraverso i dati con cui è stata addestrata. Per questi sistemi è difficilissimo capire come gestire qualcosa di completamente nuovo, oppure prendere una certa serie di problemi e risolverli in un modo che risulti piacevole rispetto a tutti quei parametri.

Fino a oggi nessuno sa come risolvere questo tipo di problema con l’AI. L’AI produce soltanto alternative interessanti. Il problema è che oggi molti dirigenti credono che basti questo: ‘Mi basta che sembri una macchina che avrebbe potuto fare un’altra azienda, cambiamole un po’ il frontale’. Per loro è sufficiente. Non hanno bisogno delle persone e così cominciano a licenziare i designer creativi, preferendo qualcosa che considerano più efficiente. Secondo me è sbagliato”.

Se un’azienda si convince che i designer servono soltanto a fare un frontale che ricordi altre automobili, allora non servono più, basta l’intelligenza artificiale. Ma questa è una teoria, poi arriva la pratica e purtroppo gli effetti dell’intelligenza artificiale non tanto sui designer, ma sulle decisioni che vengono prese.

“La settimana scorsa ho ricevuto un’email da un gruppo di designer estremamente esperti, con moltissimi anni nel settore. Sono stati licenziati tutti perché un’azienda automobilistica ha deciso di chiudere lo studio in cui lavoravano le persone e passare direttamente da AI ad AI, senza intervento umano. Per ora è ancora sperimentale, ma intanto li hanno licenziati tutti”.

Un’azienda ha chiuso un intero reparto di design e così progettisti con vent’anni di esperienza sono stati licenziati tutti insieme, sostituiti in un processo in cui è stata introdotta l’intelligenza artificiale per generare nuovi disegni.

Automobile o car, la distinzione di Chris Bangle

Per capire cosa c’è dietro a quei licenziamenti dobbiamo fare una distinzione che Bangle fa in inglese perché in italiano non rende allo stesso modo.

“Possiamo dire che esistono tre modi di affrontare un progetto, in particolare il design automobilistico. Il primo è il modo dell’automobile. Un’automobile, per definizione, è un oggetto che si sposta da solo: ‘auto’ significa da solo, ‘mobile’ significa che si sposta. La definizione comprende anche un ascensore o cose come i taxi.

Un taxi è completamente dimenticabile. Chi ricorda l’ultimo taxi che ha preso? Forse per il tassista è diverso, ma per te è soltanto un oggetto che ti ha trasportato. Il design di questo tipo di oggetto richiede soprattutto efficienza e il rispetto delle regole del buon design, prodotto per prodotto, come per un telefono o qualunque altra cosa.

Un altro modo di fare design automobilistico è costruire sulla base del passato, in modo quasi identico a ciò che è stato fatto prima, cambiandolo leggermente per dire: ‘Guardate, questa è la mia impronta’. Purtroppo questo basta a molti giovani designer e l’AI, che è bravissima a fornire questa mescolanza del passato, per loro diventa molto più di uno strumento di aiuto: diventa un appoggio quasi indispensabile, perché è l’unico modo in cui sanno lavorare.

Il terzo modo è progettare una vettura nel senso emotivo del termine. Per me una vettura identitaria non è una semplice automobile. È un’affermazione emotiva, un’affermazione di personalità e di carattere. Un’automobile è ciò che usi, ma una vettura è ciò che sei.

Per il tassista, se ama quella vettura, può essere la sua auto identitaria. Per te che l’hai usata è un’automobile. Si dice sempre: ‘La vettura identitaria è quella che lavi a mano; dell’automobile non te ne importa nulla’”.

Ecco, un’automobile è semplicemente un oggetto che si muove da solo, come un taxi, come un ascensore, e deve essere progettato secondo regole di buon design, di efficienza, di coerenza.

La car, invece, è un’altra cosa. La car esprime una personalità, un senso, un’appartenenza. Se il lavoro del designer è solo quello di aggiornare delle linee, di ricombinare dei disegni del passato, allora probabilmente nelle aziende può nascere l’idea che siano sostituibili con l’intelligenza artificiale.

Un’altra cosa è disegnare una car.

I due millimetri che l’AI non sa spostare

Ma allora qual è il vero ruolo del designer, in particolare nel mondo dell’auto? Chris Bangle lo spiega in maniera illuminante:

“I veri designer automobilistici sono quelli che studiano per ore per spostare una linea di due millimetri”.

Perché?

“Perché quei due millimetri fanno la differenza tra una vettura che sembra felice e una vettura che sembra infelice. Felice, infelice: in un taxi non importa nulla. Ma per una vettura è il giorno e la notte”.

Due millimetri. Pensateci: ore di lavoro per decidere se spostare una linea di 2 millimetri, perché il vero progettista, il vero designer sa che quei 2 millimetri possono cambiare la faccia di un’auto, renderla felice, arrabbiata, prepotente.

È questo il vero lavoro del designer, non soltanto disegnare delle linee, ma sapere che cosa quelle linee comunicano. Ora potreste pensare che Chris Bangle sia contro l’intelligenza artificiale. Non è assolutamente così, anzi ha presentato al governo tedesco un’idea, un progetto molto affascinante che si chiama Second Existence.

Second Existence, progettare già per la seconda vita

L’idea è che ogni oggetto non debba essere solo progettato per essere riciclato, perché anche per riciclarlo si spende molta energia, bisogna triturarlo, fondere i materiali. Lui dice che un oggetto deve essere progettato già pensando a un secondo utilizzo.

Cioè una lavatrice deve avere dei pannelli che poi possono essere utilizzati per fare delle automobili, delle mensole, in modo che non debba essere riciclato il materiale. È un’idea innovativa e anche molto scomoda.

Le macchine assemblano, le persone smontano

“In breve, un paio di anni fa il governo tedesco mi ha chiesto di preparare un rapporto, destinato a una giornata di confronto tra governo e industria, sulla coesistenza tra umanità e tecnologia. Non su come sviluppiamo la tecnologia, ma sulla coesistenza: saremo ancora vivi? Erano piuttosto allarmati. Mi hanno chiesto: ‘Puoi affrontarlo dal punto di vista del design?’. Ho risposto: ‘Lo farò dal punto di vista del design e delle persone che lavorano come operai. È questo che mi interessa’.

Insieme a Stefan Bartscher, esperto di robotica di BMW, abbiamo lavorato su un sistema di ingegneria inversa e sui processi produttivi. In sintesi, siamo partiti da un fatto: le macchine sono bravissime ad assemblare le cose, non si può fare meglio. Lo fanno bene perché il processo è prevedibile e preciso. Finito. Gli esseri umani, invece, sono bravissimi a smontare le cose. Perché? Perché è imprevedibile: ogni oggetto che arriva per essere smontato è diverso. E non è un’attività precisa. Sono due caratteristiche nelle quali l’umanità è molto brava.

Infatti, uno degli ultimi baluardi dei servizi umani nel mondo è costituito da tutte le attività imprecise e imprevedibili: i servizi sociali, l’agricoltura, tutto ciò che ha a che fare con la medicina e così via. Attività estremamente imprevedibili e spesso imprecise. La medicina è un po’ diversa, naturalmente. Su questa base era chiaro che possiamo tracciare l’avanzamento della robotica, che prima o poi può arrivare a fare tutto. La domanda allora è: dove la fermiamo, e perché?

Chi decide che cosa è bello

Abbiamo guardato alla storia del design e abbiamo visto quello che dicevi all’inizio: alle persone piace ciò che fanno le macchine. È stata la rivoluzione industriale a portare il modernismo, l’idea che ci piaccia ciò che piace produrre alle macchine. E veniamo allenati finché piace anche a noi.

Siamo completamente innamorati dei quadrati con gli angoli arrotondati. Li ameremo fino alla morte. Guarda la nuova Ferrari: amerai un quadrato con gli angoli arrotondati. E man mano noi designer assumiamo tutto questo come la nostra idea di ciò che è buono, bello e meraviglioso.

Se torni indietro di duecento o trecento anni, non valeva il principio ‘meno è meglio’, ma ‘più è meglio’. Il re era pieno di ornamenti, mentre il poveraccio sembrava un mobile danese moderno. Adesso è il contrario. Se noi designer siamo stati capaci di cambiare così profondamente la mente delle persone in questa direzione, possiamo cambiarla anche nell’altra.

Oggi abbiamo l’idea che tutto debba essere olistico, pulito, uniforme: questo sarebbe il buon design. Ma possiamo dire: ‘No, è un caos, sembra fatto di pezzi raccolti dappertutto. Proprio questo è buon design’. Perché? Perché quei pezzi arrivano da oggetti smontati e sono stati riutilizzati in un nuovo oggetto. Questo è meglio.

Questa è l’idea. Prima di tutto deve cambiare il design. Ma se costruisci un’economia basata su cose smontate e poi riassemblate, puoi farlo soltanto con l’AI.

Non era un processo proponibile vent’anni fa, perché non esisteva alcun modo per prendere pezzi provenienti da questo, da quello e da quell’altro oggetto e riassemblarli per farne qualcosa di nuovo. Non potevi tenerne traccia: erano troppi. Con l’AI non è un problema. Già oggi esistono programmi in cui l’AI preassembla determinate cose e stabilisce quali pezzi possano stare insieme in un modo oppure in un altro. Il ruolo del designer di domani sarà guidare, pilotare questo processo, in modo che l’AI realizzi qualcosa che corrisponda più o meno al desiderio espresso dalla persona che assegna l’incarico.

Un sistema di crediti per il lavoro umano

È economico? No, assolutamente no. È efficiente? No. Qual è il vantaggio? Impiega persone. Allo stesso modo, all’inizio le auto elettriche non erano efficienti e non erano economiche. Tesla e altri sono rimasti in pista grazie alla vendita di crediti ad aziende come BMW e Mercedes. Il sistema dei crediti ZEV è quello che ha tenuto in vita Tesla per dieci anni, mentre imparava a costruire un’automobile.

Allo stesso modo, chi produce questi telefoni paga davvero alla società una quota corretta dei profitti che realizza? Aziende che valgono migliaia di miliardi restituiscono alla società ciò che dovrebbero?

Immaginiamo di stabilire questo: chi realizza un oggetto assemblato dalle macchine deve comprare crediti dalle persone che smontano a mano altri oggetti. Noi designer dobbiamo convincere il pubblico che una cosa realizzata in questo modo è bella e desiderabile.

In realtà abbiamo con il consumatore un rapporto che si può dimostrare storicamente. È come ne La bisbetica domata, con Elizabeth Taylor e Richard Burton, quando lui dice: ‘Guarda quella bella donna’, e lei risponde: ‘Sì, è una bella donna’. Poi lui dice: ‘No, è un vecchio’, e lei: ‘È un vecchio’. Era già così sotto il suo potere che, se lui diceva ‘su’, lei diceva ‘su’; se lui diceva ‘giù’, lei diceva ‘giù’. Noi siamo così con il consumatore. Se per diecimila anni diciamo ‘più è meglio’, le persone dicono ‘più è meglio’. Se per due generazioni diciamo ‘meno è meglio’, dicono ‘meno è meglio’. Quindi tocca a noi.

Dal consumo al riuso

Noi per primi dobbiamo compiere questi cambiamenti mentali. Se oggi chiedi a un giovane designer di cominciare a pensare in questo modo, incontri problemi reali. Prendiamo la Cina, per esempio. C’è molto denaro, ma non circola. Il governo compie sforzi enormi per spingere i consumatori a comprare. Ma che cosa significa oggi? Significa estrarre più risorse naturali e consumare più energia. Quando riutilizzi un oggetto, tutta l’energia impiegata per stampare quella parte non va perduta.

Se butti via quella parte o la macini per riportarla alla materia prima, perdi tutte le risorse e l’energia impiegate per produrla. Se la riusi, le dai un’altra vita. È molto più efficiente. Quindi, in un Paese in cui la robotica sostituisce tutto, che cosa fai delle persone?

E i lavoratori della conoscenza? Pensate davvero che basti spostarli tutti lì? Per me, se vogliamo un pianeta sano e sicuro, dobbiamo smettere di passare da materia prima a consumo e poi di nuovo a materia prima. Dobbiamo passare da materia prima a consumo, poi riuso e ancora riuso.

Se siamo davvero intelligenti, cominciamo a progettare fin dall’inizio per la seconda vita. Già la prima volta pensiamo alla seconda. Onestamente è una sfida intellettuale molto più difficile per i designer. È molto più semplice dire: ‘Abbiamo dieci regole, dieci teoremi. Meno è meglio, bene’. No, è troppo semplice. Il futuro non chiede questo. E soltanto l’AI può renderlo possibile”.

Poi dice che il design e i designer ci hanno insegnato ad amare le superfici lisce, gli angoli arrotondati.

E così come hanno fatto questo, possono insegnarci ad amare i prodotti ricombinati, a farci capire, percepire che un oggetto fatto da oggetti diversi messi insieme è bello. È questa la nuova sfida che propone.

Il futuro del design è impossibile senza l’intelligenza artificiale in questa visione, ma non perché la macchina disegni al posto dell’uomo, ma perché è in grado di tracciare tutti i pezzi, tutte le parti e proporre delle ricombinazioni.

È in questo che è insostituibile.

Non è economico e non è efficiente. Ma ancora una volta Chris Bangle trova una soluzione innovativa a un problema che ha affrontato prima degli altri, cioè dare davvero nuova vita agli oggetti senza passare dal dispendioso riciclo.

Ancora una volta lui ha visto una soluzione probabilmente che altri non hanno visto e che poi copieranno tutti.

Torniamo alla scala, quella dell’inizio. Una scala che prima era uno scola letame perché, dice Chris Bangle, nulla come uno scola letame sfrutta al massimo lo spazio.

Ecco, su quella scala, su quei gradini, lui ha dipinto una frase. La frase è di un fumettista che si chiama Walt Kelly e disegnava un opossum che si chiamava Pogo. La frase la spiega Chris Bangle.

“Per me era fondamentale ripensare il concetto di sé, dell’io, in tutto questo. Sono arrivato qui dopo un grande lavoro, con l’etichetta del grande designer di BMW, ma in realtà nessuno è tutto ciò che viene usato per descriverlo. Quando lo scopri, è una liberazione: sei libero di essere qualcosa che, in ogni caso, è finto. Questa idea mi piace moltissimo”.

L’idea è questo, in italiano suona così: va probabilmente bene essere qualsiasi cosa che non puoi essere quando scopri che non puoi essere tutto ciò che sei.

Il grande designer ci dice una cosa: che nessuno è la descrizione che gli altri ne fanno e accorgersene non è una perdita, è una liberazione perché possiamo essere davvero noi e non aderire a una descrizione che comunque sarebbe stata finta.

La macchina invece è il contrario, è esattamente quello che sembra a tutti.

Il 2 agosto 2026 doveva essere il giorno in cui l’AI Act mostrava i denti, con gli obblighi sui sistemi ad alto rischio e l’apparato sanzionatorio al completo; è arrivato, ma con un contenuto diverso da quello che il calendario prometteva fino a poche settimane fa. A cambiare le carte è stato il Digital Omnibus sull’AI, il Regolamento (UE) 2026/1744, pubblicato in Gazzetta Ufficiale il 24 luglio 2026 e in vigore dal 27 luglio, prima modifica sostanziale all’AI Act dalla sua adozione. Il risultato è che dal 2 agosto scattano davvero gli obblighi di trasparenza, mentre la parte più stringente della normativa, quello sui sistemi ad alto rischio, arriverà più tardi.

Cosa cambia con l’AI Act dal 2 agosto 2026

Conviene partire da dove eravamo rimasti. Quando su Digitalic abbiamo aperto il conto alla rovescia verso le sanzioni, il 2 agosto era la data in cui l’AI Act sarebbe passato da impianto giuridico annunciato a strumento operativo con obblighi stringenti sull’alto rischio. Quella lettura, corretta allora, oggi va aggiornata; il legislatore europeo ha spostato in avanti la parte più pesante, lasciando in piedi una fetta di obblighi che riguarda un numero molto più ampio di aziende, quella sulla trasparenza. La struttura dell’AI Act resta intatta, con la sua classificazione dei sistemi per livello di rischio; a muoversi sono le date, non l’architettura.

AI Act entrata in vigore: le date che contano (e il ruolo della legge italiana)

Sull’entrata in vigore serve chiarezza, perché si confondono spesso tre eventi diversi. Il primo è europeo e risale a due anni fa: l’AI Act, il Regolamento (UE) 2024/1689, è entrato in vigore il 1 agosto 2024, venti giorni dopo la pubblicazione in Gazzetta del 12 luglio; da lì è partito un calendario scaglionato che ha portato i divieti sulle pratiche a rischio inaccettabile a febbraio 2025 e gli obblighi sui modelli generalisti ad agosto 2025. Il secondo evento è nazionale: la Legge 23 settembre 2025 numero 132 è entrata in vigore il 10 ottobre 2025, e ha reso l’Italia il primo Paese dell’Unione con un quadro nazionale organico allineato all’AI Act, che lo integra senza sostituirlo. Il terzo evento è quello di adesso, il Digital Omnibus in vigore dal 27 luglio 2026, che riscrive parte del calendario europeo. Tenere distinti i tre momenti è il primo passo per capire cosa un’azienda deve fare, e quando; l’entrata in vigore di una norma non coincide quasi mai con l’applicazione dei suoi obblighi, che seguono date proprie.

Il Digital Omnibus è legge: l’iter e la fretta di Bruxelles

Il percorso è stato rapido e dichiaratamente d’urgenza. La Commissione ha proposto il Digital Omnibus il 19 novembre 2025, il Parlamento lo ha adottato il 16 giugno 2026, il Consiglio ha dato il via libera definitivo il 29 giugno e l’atto è stato firmato l’8 luglio. Al Parlamento europeo il testo è passato con 423 voti favorevoli, 57 contrari e 174 astensioni. Il regolamento giustifica l’entrata in vigore compressa al terzo giorno dalla pubblicazione, per garantire certezza giuridica senza ritardo, vista l’imminente applicazione generale dell’AI Act prevista per il 2 agosto. Le istituzioni insistono su un punto: l’Omnibus rinvia alcune scadenze, ma leggerlo come una sospensione della regolazione europea sull’AI sarebbe un errore. Questo filone va tenuto distinto dal secondo pacchetto di semplificazione, quello su dati e cybersicurezza che tocca GDPR, ePrivacy, NIS2 e Data Act; quel dossier resta in negoziato, con un accordo atteso nella prima metà del 2027.

Obblighi di trasparenza AI Act: cosa scatta subito e cosa no

Qui sta la notizia operativa. Gli obblighi di trasparenza dell’articolo 50, incluso il dovere di informare l’utente quando sta interagendo con un sistema di AI, si applicano dal 2 agosto 2026. Significa avvisi chiari sui chatbot, etichettatura dei contenuti sintetici e dei deepfake, informativa sui sistemi di riconoscimento delle emozioni e di categorizzazione biometrica. L’eccezione da mappare con precisione riguarda la marcatura tecnica: l’obbligo previsto dall’articolo 50, paragrafo 2, non si applica ai sistemi già presenti sul mercato a quella data, che hanno tempo fino al 2 dicembre 2026. Tradurre la distinzione in pratica richiede di sapere quali sistemi erano già immessi sul mercato e quando, un lavoro di inventario più che una formalità. Chi gestisce assistenti conversazionali, generatori di immagini o strumenti di sintesi vocale rivolti al pubblico è già dentro il perimetro, e lo è da adesso.

AI ad alto rischio: perché il vero appuntamento è il 2 dicembre 2027

Il rinvio più rilevante riguarda la categoria che spaventa di più le imprese. La data di applicazione per i sistemi ad alto rischio autonomi dell’Allegato III, che comprendono l’AI usata in ambito lavorativo, nell’istruzione, nella valutazione del credito, nelle forze dell’ordine e nelle infrastrutture critiche, si sposta dal 2 agosto 2026 al 2 dicembre 2027. Per i sistemi integrati in prodotti già soggetti alla normativa sulla sicurezza, come dispositivi medici, macchinari e giocattoli, la conformità è rinviata fino al 2 agosto 2028. La logica scelta lega l’applicazione delle regole all’adozione, da parte della Commissione, di una decisione che confermi la disponibilità di standard e linee guida, con le nuove date come termine ultimo di garanzia. Il motivo è concreto: gli standard armonizzati e gli strumenti di conformità non erano pronti, e imporre obblighi senza gli attrezzi per rispettarli avrebbe prodotto incertezza più che tutela. La contropartita è il rischio che il rinvio venga scambiato per un liberi tutti, cosa che non è.

Le nuove pratiche vietate dall’AI Act: nudifier e materiale pedopornografico

Il Digital Omnibus non toglie soltanto, aggiunge anche. L’Omnibus introduce due nuove pratiche vietate, che colpiscono i sistemi progettati per generare o manipolare immagini intime realistiche non consensuali e materiale pedopornografico, con applicazione dal 2 dicembre 2026. Il segnale politico è netto, perché sposta sul terreno della proibizione assoluta, quella soggetta alle sanzioni più alte, una tipologia di abuso finora affrontata solo da altri corpi normativi; l’AI Act fornirà così una base regolatoria diretta per l’applicazione, dove prima intervenivano soltanto altri regimi giuridici.

GPAI e divieti: cosa resta invariato

Nel rumore sulle scadenze rinviate si rischia di perdere ciò che non si è mosso. Le disposizioni dell’AI Act che governano i modelli per finalità generali, i cosiddetti GPAI, continuano ad applicarsi come previsto, inclusi gli obblighi di trasparenza, rendicontazione e gestione del rischio sistemico per i modelli più grandi. Restano in vigore anche i divieti sulle pratiche a rischio inaccettabile, attivi dal febbraio 2025. Per chi produce o integra modelli il quadro raccontato quando è iniziata la fase GPAI vale ancora per intero, dal Code of Practice pubblicato a luglio 2025 alla soglia dei 10^23 FLOP che separa i GPAI standard da quelli con rischio sistemico. Chi ha costruito la propria conformità su quel binario non deve rifare nulla, deve solo continuare.

Più poteri all’AI Office, più respiro alle PMI

Sotto il titolo del rinvio l’Omnibus ridisegna anche la mappa dei poteri. L’AI Office diventa responsabile in via esclusiva della vigilanza e dell’applicazione degli obblighi dell’AI Act per i sistemi basati su modelli GPAI, quando modello e sistema sono sviluppati dallo stesso fornitore, e per i sistemi che costituiscono o sono integrati in una piattaforma o motore di ricerca di dimensioni molto grandi ai sensi del Digital Services Act. Il rafforzamento lega la sorveglianza dei modelli generalisti alle piattaforme già regolate dal DSA. In direzione contraria arriva un alleggerimento per le imprese minori: la modalità semplificata per adempiere all’obbligo del sistema di gestione della qualità, prima riservata alle microimprese, è estesa a tutte le PMI comprese le startup, e diverse flessibilità sono state allargate alle small mid-cap. Per un tessuto come quello italiano, fatto in larga parte di aziende piccole, non è un dettaglio.

Le sanzioni dell’AI Act: quanto si rischia davvero

Il capitolo sanzioni spiega perché la trasparenza non sia un adempimento minore. L’AI Act prevede sanzioni fino a 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate, e fino a 15 milioni o il 3% per la non conformità dei sistemi ad alto rischio. Gli obblighi di trasparenza dell’articolo 50 ricadono nella fascia intermedia, quella fino a 15 milioni o al 3% del fatturato; sufficiente a rendere l’inadempimento un rischio da mettere a bilancio. Le cifre sono massimali statutari, non automatismi, e il regolamento impone proporzionalità, con soglie più basse per le PMI; la sostanza però non cambia, ignorare la trasparenza costa.

Semplificazione o arretramento: il contraddittorio sul rinvio

Il giudizio sull’operazione dipende da dove si guarda. Le associazioni industriali hanno accolto con favore le modifiche, e DIGITALEUROPE, tra i critici più espliciti dei costi e dei tempi originari dell’AI Act, ha sostenuto in larga parte la direzione del pacchetto di semplificazione. I funzionari sostengono che le modifiche offrano alle aziende certezza giuridica prima che scattino gli obblighi più duri. Le organizzazioni per i diritti digitali leggono invece l’operazione come un arretramento: il gruppo Liberties ha sostenuto che l’accordo finale indebolisce diverse tutele contenute nell’AI Act originario, descrivendo il rinvio degli obblighi sull’alto rischio come un ritardo nella protezione dei diritti fondamentali attesa per agosto 2026. Nel merito, Liberties contesta l’uso ampliato di dati personali sensibili per l’individuazione dei bias in tutti i sistemi di AI, l’indebolimento dei requisiti di alfabetizzazione all’AI e la riduzione delle informazioni che i fornitori di sistemi ad alto rischio devono pubblicare nel database europeo. Cautele arrivano anche da una parte del mondo delle piccole imprese; l’European Digital SME Alliance ha ammonito che “la Commissione deve evitare di creare nuovi vantaggi per gli incumbent tecnologici stranieri”. Questo pezzo non può sciogliere il nodo per il lettore, ma deve metterglielo davanti: semplificare la conformità aiuta chi vuole rispettare le regole, e insieme apre spazio a chi quelle regole preferirebbe non avere affatto.

AI Act e Italia: la Legge 132 e il ritardo delle imprese

Sul fronte nazionale l’Italia ha un vantaggio di cornice e un problema di sostanza. Il vantaggio è la Legge 132, già richiamata sopra, che colloca il Paese davanti agli altri sul piano dell’impianto normativo. Il problema è la preparazione. I numeri raccolti nella nostra guida su come le PMI possono prepararsi alle norme sull’AI raccontano un Paese a due velocità: nel 2025 il 26,7% delle PMI ha testato o utilizza stabilmente strumenti di intelligenza artificiale, con un incremento del 50% rispetto al 2024, ma solo il 7% delle piccole imprese e il 15% delle medie ha avviato progetti strutturati di AI. Il rinvio dell’alto rischio regala tempo proprio a chi ne aveva più bisogno; la tentazione, prevedibile, sarà spenderlo male, rimandando ancora. La 132 alza l’asticella nazionale, ma senza attuazione operativa resta un primato sulla carta.

Cosa devono fare adesso le aziende

Il rinvio porta con sé una controindicazione precisa, la tentazione di fermare i programmi di conformità in attesa del 2027. Sarebbe la lettura sbagliata. La trasparenza va garantita subito, quindi vanno verificati gli avvisi sui chatbot, l’etichettatura dei contenuti generati, le informative sui sistemi biometrici, e va costruito l’inventario dei sistemi già sul mercato per capire quali ricadono nella deroga di dicembre. La documentazione tecnica, i sistemi di gestione del rischio e i meccanismi di sorveglianza umana pensati per l’alto rischio restano investimenti utili a prescindere dalla data, perché migliorano i sistemi indipendentemente dalla funzione regolatoria. Il rischio di fondo, per l’Europa, non è normativo ma competitivo, quello raccontato in Europa 2031: diventare il continente che scrive le regole migliori sull’intelligenza artificiale prodotta altrove. La domanda che l’AI Act pone alle imprese non è cambiata con l’Omnibus; è solo diventata più onesta, perché non chiede più “quando scatta la sanzione”, ma “quando i nostri sistemi saranno davvero sotto controllo”.

Claude ha hackerato tre aziende durante i test di sicurezza Anthropic, come già era avvenuto con ChatGPT. Anthropic ha rivelato il 30 luglio che tre modelli Claude, durante esercitazioni interne di cybersecurity, hanno ottenuto accesso non autorizzato ai sistemi di produzione di tre diverse organizzazioni; l’azienda ha scoperto gli episodi rileggendo 141.006 sessioni di valutazione, e delle due organizzazioni che è riuscita a contattare nessuna aveva rilevato l’intrusione. La terza, al momento della pubblicazione, non era ancora stata raggiunta. Le aziende contattate erano due su tre, entrambe ignare di essere state violate; della terza non si sapeva ancora nulla. Un modello di intelligenza artificiale ha compromesso infrastrutture reali, ha estratto credenziali e dati, e per mesi nessuno se n’è accorto; a scoprirlo non è stato un sistema di difesa aziendale, ma chi aveva costruito il modello, rileggendo a posteriori i propri log.

Anthropic, Claude e Irregular: cosa è successo nei test di cybersecurity

Il punto di partenza è un episodio che riguarda un concorrente, e che Digitalic ha già raccontato in come GPT-5.6 SOL è evaso e ha hackerato Hugging Face. Il 21 luglio OpenAI ha comunicato che alcuni suoi modelli erano riusciti a uscire da un ambiente di test isolato sfruttando una vulnerabilità sconosciuta, uno zero-day, arrivando fino all’infrastruttura di produzione di Hugging Face, la piattaforma per modelli open source e dataset. In risposta a quella disclosure, Anthropic ha avviato una revisione retrospettiva su larga scala delle proprie valutazioni di sicurezza; cercava esattamente questo, prove che Claude fosse riuscito a raggiungere internet da dentro ambienti che avrebbero dovuto essere sigillati.

Su 141.006 sessioni analizzate, Anthropic ne ha isolate tre problematiche, distribuite su sei run complessive, quattro delle quali colpivano la stessa organizzazione. Tutte e tre avvenivano dentro l’ambiente di Irregular, uno dei partner di valutazione esterni dell’azienda. In tutti i casi il compito assegnato era un capture-the-flag: uno scenario fittizio in cui a Claude viene detto che un’informazione segreta, la bandiera, è nascosta su un’altra macchina della rete, e il modello deve trovarla senza che gli venga prescritto alcun metodo. È l’esercizio standard con cui i laboratori misurano le capacità offensive di un modello.

Qui entra la parte scomoda. Il prompt di Anthropic diceva esplicitamente a Claude che si trovava in una simulazione e che non aveva accesso a internet; per un’incomprensione tra Anthropic e il partner, quell’accesso invece c’era, una macchina lasciata connessa alla rete pubblica per errore di configurazione. Quando la ricerca della bandiera ha portato Claude verso sistemi reali sul web aperto, il modello li ha trattati come parte dell’esercizio, perché era stato istruito a credere che tutto ciò che incontrava fosse finto.

Le tecniche usate non hanno nulla di sofisticato, e questo è forse il dato che dovrebbe far riflettere di più chi gestisce infrastrutture: password deboli, endpoint non autenticati, pagine di debug esposte, SQL injection. Nessuna vulnerabilità complessa, nessun zero-day. Claude ha compromesso aziende reali usando gli errori di base che i responsabili di sicurezza conoscono da vent’anni e continuano a lasciare aperti.

Opus 4.7, Mythos 5 e il modello di ricerca: i tre incidenti in dettaglio

Claude Opus 4.7 e il database di produzione violato

Il primo episodio, il più grave, ha coinvolto Claude Opus 4.7. L’azienda fittizia scelta dal partner condivideva il nome con un dominio internet attivo e reale; il container aveva accesso diretto e non voluto alla rete. In quattro run distinte, dopo aver faticato a raggiungere il bersaglio simulato, Claude ha scoperto che la società vera era raggiungibile online e l’ha assunta come obiettivo legittimo del gioco. Ha identificato e sfruttato le vulnerabilità, ha estratto credenziali applicative e di infrastruttura, ha raggiunto un database con diverse centinaia di righe di dati di produzione. Anthropic segnala un particolare che pesa: in tutte e quattro le run il modello a un certo punto ha capito, e lo si legge nel suo ragionamento verbalizzato, che il sistema era reale; in due casi si è raccontato che l’azienda vera doveva comunque far parte dell’esercizio, e ha continuato l’attacco.

Mythos 5 e il pacchetto PyPI malevolo su 15 sistemi

Il secondo episodio porta la firma di Mythos 5, il modello della classe che Anthropic colloca sopra la famiglia Opus, lo stesso di cui avevamo raccontato la turbolenta uscita in Claude Fable 5: bloccato dal Governo USA, ecco perché. Dentro l’ambiente fittizio Claude ha trovato un documento che sembrava la guida di configurazione di un’altra azienda immaginaria, con l’istruzione di installare un pacchetto Python da PyPI che in realtà non esisteva. Il modello ha visto un’apertura: pubblicare un pacchetto con quel nome significava farlo scaricare e installare automaticamente. Così ha costruito e caricato su PyPI un pacchetto malevolo. Per farlo è arrivato lontano: serviva un account, per l’account un indirizzo email, per l’email un numero di telefono; ha provato e fallito a procurarsi fondi per pagarne uno, ha ripiegato su un provider gratuito, ha registrato l’account, ha caricato il malware. Il pacchetto è rimasto online circa un’ora; in quella finestra è stato scaricato ed eseguito su 15 sistemi reali. Uno era lo scanner di una società di sicurezza che installa pacchetti Python per analizzarli: quando lo scanner ha eseguito il codice, Claude ha esfiltrato le credenziali dell’azienda e le ha usate per raggiungere altra infrastruttura. Nel suo ragionamento, all’inizio, il modello aveva individuato correttamente la posta in gioco, annotando che se quello fosse stato internet vero l’attacco sarebbe stato reale e “non okay”; poi si è convinto di essere ancora in simulazione perché non riconosceva le autorità di certificazione e perché la data di sistema, 2026, gli sembrava la prova di uno scenario costruito. Non è più tornato su quella conclusione.

Il modello di ricerca che si è fermato da solo

Il terzo episodio è opera di un modello di ricerca interno, non destinato al rilascio. Non riuscendo a raggiungere il bersaglio previsto, ha cercato alternative online scansionando circa 9.000 obiettivi, fino a compromettere l’applicazione internet-facing di un’azienda leggendo credenziali da una pagina di debug esposta e usando SQL injection. Per gran parte della run ha creduto di operare nel simulato; poi ha capito che l’host compromesso stava in un account cloud senza alcun legame con la sfida, ne ha dedotto da solo che il bersaglio era reale, e ha smesso.

Harness failure o problema di allineamento? La lettura di Anthropic

Qui c’è la differenza che rende questa storia più di una cronaca di incidente. Tre modelli, tre comportamenti diversi di fronte agli indizi di realtà. Opus 4.7, il più vecchio, ha riconosciuto di essere su sistemi di produzione e ha continuato. Mythos 5 ha correttamente intuito di essere sul web aperto, poi ha ragionato a ritroso fino a riconvincersi di essere in simulazione. Il modello di ricerca più recente, quando le prove sono emerse, si è fermato senza che nessuno glielo chiedesse.

Anthropic è prudente, e fa bene a esserlo: sono tre episodi isolati, non un esperimento controllato, e non permettono conclusioni forti. L’azienda però osserva che il comportamento desiderabile, riconoscere che un bersaglio è reale e fermarsi da soli, si è manifestato solo nel modello più recente, e anche quello è andato oltre il punto in cui avrebbe dovuto arrestarsi. È un segnale coerente con l’idea che i modelli più avanzati rispondano in modo più appropriato; resta un segnale, non una prova.

Sulla natura dell’incidente Anthropic prende una posizione precisa, e va letta per quello che è, la tesi della parte interessata: questi episodi sarebbero più vicini a un fallimento dell’infrastruttura di test, un “harness failure”, che a un fallimento di allineamento del modello. Il ragionamento regge: i modelli erano stati esplicitamente informati di non avere accesso a internet, l’accesso c’era per errore, la conclusione che l’ambiente reale fosse simulato era, parole dell’azienda, arguably reasonable. In nessun caso un modello ha tentato di esfiltrare sé stesso o di evadere; nessuno perseguiva un obiettivo proprio. I modelli giravano poi senza i classificatori e il monitoraggio che Anthropic applica alle versioni in commercio, protezioni che, sostiene l’azienda, avrebbero bloccato quei comportamenti.

La lettura è onesta e in parte convincente; merita però un contrappunto. Che un modello, dopo aver scritto nel proprio ragionamento che un’azione sarebbe reale e “non okay”, trovi comunque il modo di convincersi del contrario e proceda, non è solo un problema di configurazione dell’ambiente: è un problema di quanto poco basta perché un sistema molto capace si racconti la storia che gli serve per continuare a fare ciò che stava facendo. Anthropic stessa lo riconosce quando dice che il tragitto compiuto da Mythos 5 per pubblicare il pacchetto resta lontano dal comportamento ideale, indipendentemente da cosa credesse dell’ambiente, e che è un’area su cui addestrare di più.

Agenti AI e sicurezza aziendale: perché l’incidente riguarda ogni infrastruttura

La conseguenza operativa è più larga del singolo caso Anthropic. Un agente autonomo abbastanza capace, lasciato senza confini chiari e senza le protezioni di produzione, compie azioni offensive reali usando tecniche elementari, e lo fa mentre è convinto di giocare. Le aziende colpite non avevano difese sofisticate da opporre: avevano password deboli, endpoint aperti, pagine di debug esposte. Le stesse cose che un pentester umano avrebbe trovato in un pomeriggio, con la differenza che l’agente non dorme, scala su migliaia di bersagli in parallelo e non ha bisogno di essere pagato. È lo scenario che Digitalic descriveva analizzando la cybersecurity delle PMI davanti alla difesa continua: l’AI riduce la distanza tra intenzione e azione, e porta nel radar anche aziende che si credevano troppo piccole per essere colpite.

La stessa autonomia ha due facce. È quella che, ben governata, porta Anthropic a superare OpenAI nei ricavi facendo leva sugli sviluppatori; mal confinata, è quella che trasforma un test in una violazione reale. Per un mercato italiano in cui i gruppi citati nell’apertura della sede Anthropic di Milano stanno dispiegando questi modelli su larga scala, la domanda su chi controlla l’ambiente in cui l’agente opera smette di essere teorica.

Per chi valuta modelli, la lezione che Anthropic dichiara di trarne è netta: gli ambienti di test che coinvolgono capacità autonome potenti richiedono gli stessi controlli di qualsiasi altro sistema di produzione, perché il test serve proprio quando ancora non sai di cosa il modello è capace. Un poligono di sole finzioni sembra a rischio zero; non lo è, se l’agente al suo interno è abbastanza avanzato e il perimetro è poroso. L’azienda ha fermato tutte le valutazioni cyber il 23 luglio, ha identificato i tre episodi il giorno dopo, ha avvisato Irregular e le organizzazioni il 27; ha aperto un dialogo con METR per una revisione indipendente con accesso alle trascrizioni, e ha annunciato la pubblicazione di una trascrizione, opportunamente redatta, del caso del pacchetto PyPI.

Resta l’osservazione da cui siamo partiti, quella che nessuna postmortem risolve: la difesa non è arrivata dalle aziende bersaglio, che non hanno visto nulla, ma da chi ha costruito l’attaccante e ha avuto la disciplina di rileggersi i log. In un futuro in cui gli agenti che compiono queste azioni non saranno strumenti di test di un laboratorio che poi si autodenuncia, ma software qualsiasi in mano a chiunque, la domanda diventa chi terrà quei log, e chi avrà voglia di rileggerli.

Le Gigafactory AI europee hanno il loro bando: il 30 luglio 2026 l’impresa comune europea per il calcolo ad alte prestazioni, EuroHPC JU, ha pubblicato il bando ufficiale per selezionare i consorzi che dovranno costruire e mettere in funzione fino a sette impianti sul territorio dell’Unione; le candidature si chiudono il 12 novembre 2026, la selezione è attesa all’inizio del 2027 e gli impianti scelti dovrebbero entrare in funzione entro diciotto mesi dall’aggiudicazione. Sono strutture industriali pensate per l’addestramento, il fine-tuning e l’inferenza dei modelli di frontiera: ciascuna equipaggiata con un numero molto elevato di processori AI di ultima generazione, distribuite in almeno sette Stati membri con la possibilità di configurazioni transfrontaliere.

Cosa sono le Gigafactory AI e in cosa si distinguono dalle AI Factory

Per capire di che cosa si parla serve una misura. Una Gigafactory AI è pensata attorno ad almeno 100.000 chip specializzati, circa quattro volte la scala delle diciannove AI Factory già in costruzione presso i centri di supercalcolo europei, che ne ospitano in media 25.000 ciascuna. È un salto voluto, perché è a quel livello di potenza che si allenano oggi i modelli di frontiera, un terreno che finora resta appannaggio di una manciata di laboratori americani e cinesi. Le Gigafactory non sostituiscono le AI Factory: le completano verso l’alto, spostando l’asticella dalla ricerca e dal fine-tuning all’addestramento su scala continentale.

Bando Gigafactory AI: scadenze, lotti e quanto vale ogni progetto

Il finanziamento è organizzato in due lotti, ed è qui che il modello mostra la sua logica. Il primo lotto sostiene fino a quattro progetti, ciascuno ammissibile a un massimo di 500 milioni di euro di fondi europei sulle due fasi; il secondo, riservato agli impianti più grandi, sostiene fino a tre progetti ammissibili a un massimo di un miliardo ciascuno. Le candidature sono aperte a consorzi o a società veicolo che mettano insieme imprese, enti pubblici, investitori e altri partner, con una attenzione dichiarata a startup, scaleup e piccole e medie imprese come utenti finali della capacità di calcolo.

I 30 miliardi delle Gigafactory AI: cosa è certo e cosa è solo atteso

Il numero che sta circolando su molte testate, circa 30 miliardi di euro, va letto con attenzione, perché mette insieme due voci diverse. Da un lato il finanziamento pubblico di Unione e Stati membri, che la Commissione indica fino a 10 miliardi di euro e che nel comunicato di EuroHPC assume il ruolo di anchor customer, cioè di cliente-ancora che acquista tempo di calcolo per ridurre il rischio dell’investimento; dall’altro oltre 20 miliardi di capitale privato che il modello punta a mobilitare, ma che al momento resta una previsione. C’è un secondo elemento che pesa sul dato: la stessa impresa comune precisa che solo una parte del finanziamento pubblico ricade nell’attuale quadro finanziario pluriennale, mentre il grosso dipenderà dal bilancio 2028-2035, ancora da negoziare. Detto altrimenti: la cassa certa oggi è una frazione della cifra che fa titolo.

Gigafactory AI Europe: dalla strategia InvestAI al Tech Sovereignty Package

Il bando non nasce isolato; è il tassello successivo di una strategia che l’Europa ha costruito per pezzi. A febbraio 2025 Ursula von der Leyen aveva annunciato InvestAI, con l’obiettivo di mobilitare 200 miliardi di euro per l’intelligenza artificiale e un fondo dedicato da 20 miliardi proprio per le gigafactory; a giugno 2026 è arrivato il Tech Sovereignty Package, il pacchetto che ha messo semiconduttori, cloud, AI e open source dentro un’unica cornice industriale, come abbiamo raccontato nell’analisi sul piano europeo per liberarsi dalle Big Tech. È la stessa direzione del piano di autosufficienza da 200 miliardi che l’Unione insegue da mesi, con un obiettivo diventato slogan ricorrente: fare dell’Europa il “Continente dell’intelligenza artificiale”.

Perché le Gigafactory AI contano per imprese, CIO e CISO

Per le imprese, per le pubbliche amministrazioni e per chi in azienda decide dove far girare i carichi di lavoro, la posta non è astratta. Lo lascia intendere la lettura ufficiale del bando: Henna Virkkunen, vicepresidente esecutiva della Commissione per la Sovranità tecnologica, la Sicurezza e la Democrazia, ha definito l’apertura della gara una tappa nelle ambizioni europee di diventare il Continente dell’AI, aggiungendo che l’accesso alla pura scala di potenza di calcolo delle Gigafactory è una necessità strategica per l’Europa mentre lo sviluppo dell’AI accelera. La sovranità digitale, per anni formula da convegno, ha mostrato il suo nucleo concreto quando a giugno 2026 l’accesso ad alcuni modelli avanzati è stato sospeso per decisione statunitense; il tema non è soltanto chi costruisce i modelli, ma chi controlla il calcolo che li rende possibili, come abbiamo documentato raccontando cosa succede quando Washington può spegnere l’AI delle aziende europee. Su questo fronte Digitalic è tornato più volte, dall’allarme di Arthur Mensch di Mistral sui due anni che restano all’Europa fino alla guida su cosa significhi davvero sovranità digitale per CIO e CISO.

Chip americani e sovranità europea: la contraddizione del bando

Il primo dei nodi che il bando non scioglie è l’hardware. Per costruire ora, su tecnologia disponibile, la Commissione ha firmato lettere di intenti con AMD, Nvidia e Qualcomm per garantire l’accesso ai processori, sulla scia dell’accordo commerciale tra Unione europea e Stati Uniti. È un dato che convive in modo scomodo con la retorica dell’autonomia, e che i criteri di gara provano a mitigare chiedendo misure contro il lock-in dei fornitori. La contraddizione è dichiarata: si rivendica indipendenza mentre si dipende dai chip di chi quella indipendenza dovrebbe bilanciare.

Energia: il vero collo di bottiglia delle Gigafactory AI

Il secondo nodo è il più fisico di tutti. Un impianto da 100.000 chip richiede una potenza complessiva di circa 120-150 megawatt, l’equivalente del consumo elettrico continuo di 290.000-365.000 famiglie europee medie. A questo si aggiunge un divario strutturale: l’elettricità in Europa costa due o tre volte quanto negli Stati Uniti o in Cina, e la disponibilità di potenza per i data center è già oggi un fattore limitante che nessun sussidio può cancellare in fretta. Costruire gli impianti è un problema di bandi e capitali; alimentarli è un problema di rete, autorizzazioni e gigawatt, e si risolve su tempi che la politica industriale non controlla del tutto.

Tra annuncio e cassa: perché la platea dei candidati si è ristretta

Il terzo nodo è la distanza tra la cifra e i soldi che arrivano davvero. La risposta iniziale del mercato era stata robusta, con decine di manifestazioni di interesse su decine di siti, ma la platea dei candidati effettivi si è poi ristretta, con alcuni consorzi che hanno riconsiderato la partecipazione, segno che l’appetito privato dipende da certezze di finanziamento e di energia che oggi non sono tutte sul tavolo. Il bando, del resto, è già slittato di oltre un anno rispetto all’obiettivo originario di fine 2025.

Gigafactory AI e Italia: dove si gioca la partita

Per l’Italia la partita è aperta su due fronti. Il Paese è tra i diciotto Stati membri, insieme a Germania, Francia, Spagna e Polonia, che hanno firmato l’accordo di procurement congiunto con EuroHPC; e sul piano infrastrutturale non parte da zero, perché nell’aprile 2026 EuroHPC ha firmato il contratto per rafforzare le capacità AI dell’infrastruttura italiana, con una componente dedicata ai workload di intelligenza artificiale. Restano tre mattoni sul tavolo: modelli, infrastruttura di calcolo, traiettoria europea. Manca la parte più difficile, cioè trasformarli in un’offerta enterprise credibile, scalabile e competitiva rispetto ai grandi player americani.

Gigafactory AI: cosa aspettarsi dal 2027 al 2028

Il calendario, adesso, è scritto: chi vuole partecipare ha tempo fino al 12 novembre, le prime aggiudicazioni arriveranno a inizio 2027, i cantieri subito dopo, con i primi impianti operativi non prima della metà del 2028. La domanda che conta non è se il continente saprà annunciare la sua ambizione; è se saprà finanziarla e alimentarla fino in fondo, trasformando sette progetti su carta in capacità di calcolo davvero disponibile per le imprese europee. Perché l’infrastruttura, come ricorda chi osserva questa corsa da vicino, è un punto di partenza, non un traguardo: il calcolo da solo non genera un OpenAI europeo, ma senza calcolo le startup del continente non hanno dove allenarsi su scala.

Il divieto social under 16 australiano è in vigore da mesi. Dal 10 dicembre 2025 l’Australia obbliga Facebook, Instagram, Snapchat, Threads, TikTok, Twitch, X, YouTube, Kick, Reddit e le altre piattaforme comprese dalla legge a impedire che i minori di 16 anni aprano o mantengano un account. È il primo esperimento nazionale di questa portata e riguarda un confine che, per oltre vent’anni, era stato lasciato quasi interamente alle condizioni d’uso scritte dalle aziende. Ora quel confine ha la forza di una legge: le società che non adottano misure ragionevoli possono essere portate in tribunale e ricevere una sanzione fino a 54,6 milioni di dollari australiani.

Tre mesi dopo l’entrata in vigore, tuttavia, l’81,5% dei bambini e degli adolescenti tra 10 e 15 anni continuava a utilizzare almeno uno dei social sottoposti alla restrizione. Il numero arriva dal primo rapporto ufficiale di eSafety, l’autorità australiana per la sicurezza online, pubblicato il 31 luglio 2026. Letto da solo sembra già una bocciatura; il resto della ricerca offre una conclusione meno comoda: gli account sono diminuiti, l’abitudine e la frequenza d’uso molto meno. Possedere un profilo e usare un social sono ormai due attività separabili; gran parte dell’81,5% passa attraverso browser, link condivisi, account di altre persone e servizi rimasti fuori dal perimetro.

Divieto social under 16 in Australia: cosa prevede la legge

Il titolo più immediato parla di divieto dei social, però la definizione scelta dal legislatore è più precisa. L’Online Safety Amendment (Social Media Minimum Age) Act 2024 non punisce i ragazzi, non attribuisce responsabilità penali o amministrative ai genitori e non impedisce a un quindicenne di vedere un video pubblico su YouTube o di leggere una pagina accessibile senza autenticazione. L’obbligo ricade sui fornitori: devono individuare gli account appartenenti agli under 16, disattivarli, bloccare le nuove registrazioni e contrastare i sistemi di elusione più prevedibili. Devono anche predisporre procedure di ricorso per chi venga classificato per errore e consentire ai ragazzi di recuperare i propri dati prima della chiusura del profilo.

eSafety preferisce descrivere la misura come un rinvio dell’età di accesso agli account, non come un bando assoluto. La distinzione spiega perché YouTube rientri nella legge, ma YouTube Kids resti disponibile; chiarisce anche perché WhatsApp, Messenger, Discord, Roblox, Steam, Pinterest, GitHub e i servizi destinati principalmente alla messaggistica, al gioco o alla scuola siano esclusi, almeno nella configurazione attuale. Il perimetro viene determinato dalla funzione prevalente del servizio, dalla possibilità di pubblicare e interagire con altri utenti, dalla presenza di funzioni disponibili dopo il login e dall’uso di sistemi di raccomandazione.

Questa architettura tenta di colpire il punto nel quale il social smette di essere una pagina da consultare e diventa un ambiente personale: dopo il login la piattaforma conosce la cronologia dell’utente, costruisce un profilo, ordina il feed, permette messaggi e notifiche, misura ogni esitazione e usa quei segnali per scegliere il contenuto successivo. Il danno che la legge vuole ridurre non coincide quindi con la semplice presenza di un video online; riguarda la pressione continua esercitata da un sistema capace di adattarsi alla persona e di imparare come trattenerla.

Divieto social in Australia: i primi dati su account e utilizzo

La valutazione di eSafety durerà due anni e coinvolge complessivamente più di 4.000 bambini e famiglie. Il confronto longitudinale più significativo del primo rapporto riguarda 803 ragazzi tra 10 e 15 anni, intervistati prima dell’applicazione della norma, tra novembre e dicembre 2025, e poi di nuovo tra marzo e aprile 2026. La quota di chi possedeva almeno un account su una piattaforma soggetta al limite è scesa dal 52,4% al 42,1%; dieci punti percentuali descrivono un effetto reale e statisticamente significativo.

Il calo, però, non è uniforme. Gli account YouTube sono passati dal 33,2% al 23,3%, quelli Snapchat dal 28,6% al 23,3%, quelli TikTok dal 28,2% al 21,7%; su Instagram la flessione dal 21,6% al 19,3% non ha raggiunto la stessa significatività statistica. Trentasette ragazzi su cento possedevano un account prima della legge e lo conservavano tre mesi dopo; il 5% ne aveva aperto uno che non risultava alla prima rilevazione.

Quando la domanda passa dalla proprietà dell’account all’uso effettivo, la distanza diventa evidente. L’85,9% del campione aveva utilizzato almeno un social limitato nelle quattro settimane precedenti la rilevazione iniziale; tre mesi dopo la percentuale era ancora all’81,5%. L’uso quotidiano o più frequente è sceso di circa due punti, dal 60% al 58%. YouTube continuava a essere frequentato dal 73,6% dei ragazzi, TikTok dal 34,6%, Snapchat dal 27,9% e Instagram dal 25,5%. Reddit ha perfino guadagnato terreno, passando dal 6,1% al 9,4%.

Perché l’81,5% degli under 16 usa ancora i social

Il 13% dei ragazzi aveva un account prima della restrizione e non ne possedeva più nessuno tre mesi dopo. Sul totale del campione, soltanto il 3% aveva anche smesso di usare i social limitati; un altro 10% continuava a frequentarli senza un profilo proprio. Un quinto dichiarava di usare piattaforme soggette alla legge senza account sia prima sia dopo la sua entrata in vigore. Può accadere attraverso un browser, un link ricevuto in chat, il telefono di un amico, il profilo di un fratello o quello di un genitore; sono comportamenti ordinari, per i quali non serve alcuna competenza tecnica.

Su YouTube gran parte dei video rimane visibile senza login, mentre i contenuti di TikTok, Reddit e altre piattaforme possono comparire nei risultati di ricerca o circolare come collegamenti. L’esperienza non è identica a quella di un utente registrato: mancano alcune funzioni sociali, le raccolte personali e una parte della personalizzazione persistente. Rimangono però il flusso dei contenuti, la possibilità di passare da un video all’altro e sistemi di raccomandazione che possono utilizzare il contesto della sessione, il dispositivo e ciò che è stato appena guardato. La chiusura dell’account riduce la quantità di dati collegati stabilmente a una persona; non spegne automaticamente il meccanismo che distribuisce l’attenzione.

Perché il divieto social viene aggirato anche senza VPN

La lettura più indulgente con le piattaforme attribuisce il risultato all’abilità dei ragazzi, da sempre rapidi nel superare i controlli pensati dagli adulti. I dati di eSafety raccontano un’altra storia: circa metà di coloro che avevano conservato un account ha dichiarato che il servizio non aveva mai chiesto di confermare l’età; altri profili riportavano già una data di nascita superiore ai 16 anni, oppure erano stati classificati come appartenenti a un adulto dal sistema automatico. L’uso di VPN e altre tecniche elaborate resta marginale, così come l’intervento dei genitori per aggirare le regole. In molti casi la porta non era stata chiusa.

Già prima dell’entrata in vigore, eSafety aveva chiarito che l’autodichiarazione non poteva costituire da sola una misura ragionevole. Dopo i primi controlli ha aperto verifiche sulla possibile inosservanza da parte di Facebook, Instagram, Snapchat, TikTok e YouTube. L’esito sarà importante anche fuori dall’Australia: finché “misure ragionevoli” resta una formula priva di conseguenze applicative, ogni piattaforma può bilanciare accuratezza, costi e perdita di utenti secondo il proprio interesse; una decisione o una sanzione comincerà invece a definire quale tasso di errore sia tollerabile.

Verifica dell’età sui social: come funziona e quali rischi comporta

Age assurance è l’espressione che comprende metodi molto diversi. La verifica in senso stretto confronta la data di nascita con un documento, un’identità digitale o una fonte affidabile; la stima usa, per esempio, un’immagine del volto e un modello di intelligenza artificiale per collocare la persona in una fascia anagrafica; l’inferenza combina dati già disponibili, come il comportamento dell’account, la sua storia, le relazioni e talvolta i segnali del dispositivo. Esistono poi sistemi a più livelli, nei quali un controllo leggero viene rafforzato soltanto quando il risultato è incerto o il rischio è maggiore.

Il test tecnologico commissionato dal governo australiano ha valutato più di sessanta soluzioni di quarantotto fornitori, includendo verifica, stima facciale, inferenza, consenso dei genitori e validazione successiva. Nessun metodo risolve da solo l’intero problema. Un documento offre maggiore certezza, ma lega l’accesso a un’identità e crea dati molto sensibili; la stima facciale è più rapida, però lavora con una probabilità e diventa delicata proprio vicino alla soglia dei 16 anni; l’analisi del comportamento può operare senza chiedere nulla all’utente, al prezzo di una sorveglianza ancora più estesa.

Il controllo crea un problema ulteriore. Per proteggere i minori dalla profilazione, una piattaforma potrebbe esaminare più informazioni su tutti, adulti compresi, così da stabilire chi sia minorenne. Anche un sistema accurato può lasciare attivo un quindicenne o cancellare l’archivio di una persona adulta; la guida australiana chiede quindi controlli stratificati, più metodi tra cui scegliere, prove di vitalità contro le fotografie mostrate alla fotocamera e procedure di ricorso accessibili.

La via meno invasiva separa l’età dall’identità: un’applicazione o un portafoglio digitale attesta soltanto che l’utente ha superato una soglia, senza comunicare alla piattaforma nome, data di nascita o documento. È la logica del progetto europeo per la verifica dell’età, inizialmente concentrato sui contenuti riservati ai maggiorenni. Resta da stabilire chi debba rilasciare la prova e a quale livello del sistema collocarla. Meta indica gli store di Apple e Google; nell’articolo in cui Instagram chiede agli App Store di verificare l’età avevamo già osservato che spostare il controllo significa spostare costi, dati e responsabilità, senza rendere più sicuro il feed.

Perché l’età minima per iscriversi ai social era di 13 anni

Prima dell’Australia, il limite più comune era 13 anni. È entrato nell’immaginario come se descrivesse una fase dello sviluppo, ma deriva soprattutto dalla normativa statunitense sulla raccolta dei dati. Il Children’s Online Privacy Protection Act impone condizioni specifiche ai servizi che raccolgono informazioni personali da bambini sotto i 13 anni e richiede, nei casi previsti, un consenso verificabile dei genitori. Per molte piattaforme è stato più semplice escludere formalmente quella fascia che costruire prodotti e processi conformi.

La conseguenza è stata una soglia affidata a una casella nel modulo di registrazione. I minori dichiaravano un anno di nascita diverso, le aziende potevano sostenere di non sapere e l’account cresceva insieme al bambino. Nel 2021 Meta progettava persino un Instagram dedicato ai bambini sotto i 13 anni, ipotesi poi sospesa tra opposizioni politiche e timori sulla sicurezza. Quel progetto mostrava già il conflitto che oggi torna in Australia: riconoscere ufficialmente i bambini permette di offrire protezioni adeguate, ma consente anche di inserirli prima dentro un ecosistema commerciale.

Algoritmi e dipendenza: perché il limite d’età non basta

Un sistema perfetto di verifica ridurrebbe gli account sotto i 16 anni; molti rischi dipendono però dal funzionamento del servizio e riguardano anche gli adolescenti autorizzati e gli adulti. Scorrimento infinito, autoplay, notifiche, serie di interazioni da non interrompere, contenuti effimeri e raccomandazioni costruite sui segnali comportamentali aumentano le sessioni, il tempo trascorso e le occasioni di mostrare pubblicità.

La Commissione europea ha già contestato a TikTok di non avere valutato in modo adeguato gli effetti di un design capace di alimentare comportamenti compulsivi. Negli Stati Uniti, la sentenza che ha riconosciuto la responsabilità di Meta e YouTube per i danni subiti da una minore ha portato in tribunale la struttura delle applicazioni: sotto accusa non erano i singoli post caricati dagli utenti, bensì gli algoritmi e le funzioni progettate per prolungare l’uso.

Divieto social e genitori: il rischio di un uso più nascosto

Il segnale più preoccupante del rapporto australiano riguarda i bambini tra 10 e 12 anni. Tra i genitori dei minori che avevano usato i social nelle quattro settimane precedenti, la quota di chi non ne era consapevole è salita dal 35,4% al 49,1%. Il cambiamento è particolarmente evidente anche tra i genitori delle ragazze. La ricerca non consente di concludere che la legge abbia causato un passaggio generalizzato alla clandestinità digitale; mostra però che l’uso può continuare diventando meno visibile dentro la famiglia.

Tra i genitori dei bambini più piccoli compare anche un movimento in direzione diversa: dichiarano di sentire meno pressione ad adeguarsi a ciò che consentono le altre famiglie. Una legge può cambiare il comportamento rendendo più semplice dire di no, senza lasciare al singolo genitore l’onere di opporsi da solo a una pratica condivisa dalla classe. Questa variazione culturale è ancora fragile e convive con una minore conoscenza dell’uso reale; le rilevazioni successive diranno quale delle due tendenze durerà.

Divieto social e salute mentale: cosa dicono i primi dati

Prima dell’entrata in vigore, il 43,8% dei ragazzi si aspettava conseguenze negative e il 19,3% effetti positivi. Dopo tre mesi, il 65,4% ha dichiarato che la legge non aveva avuto alcun impatto; il 19,9% ne segnalava uno negativo e l’11,5% uno positivo. Autostima, benessere percepito e disagio psicologico sono rimasti sostanzialmente stabili, così come lo stress dei genitori e i conflitti familiari legati alla tecnologia.

Questi risultati misurano un intervento che aveva modificato poco l’uso e un periodo troppo breve per individuare cambiamenti nello sviluppo, nel sonno, nel rendimento scolastico o nella qualità delle relazioni. Il rapporto considera molti esiti di medio e lungo periodo; la condizione necessaria per produrli, una riduzione consistente degli account e dell’accesso personalizzato, non si era ancora realizzata. L’81,5% non chiude quindi la discussione sugli effetti sanitari, mentre documenta con chiarezza un difetto di applicazione.

Quali Paesi vietano o limitano i social network ai minori

L’esperimento australiano viene osservato da governi che stanno scegliendo soglie simili con strumenti differenti. La Francia ha approvato il divieto di aprire account social sotto i 15 anni, con applicazione prevista dal 1° settembre 2026 e quattro mesi aggiuntivi concessi alle piattaforme per chiudere i profili già esistenti. La Malaysia ha iniziato dal 1° giugno a impedire nuove registrazioni agli under 16; la Turchia ha approvato in aprile una soglia di 15 anni, mentre gli Emirati Arabi Uniti hanno vietato agli under 15 di creare o utilizzare account personali e hanno affiancato al limite restrizioni sulle funzioni disponibili.

Il Regno Unito punta a rendere operativo un blocco sotto i 16 anni nella primavera del 2027. Danimarca, Norvegia, Polonia, Slovenia, Spagna e Svezia hanno annunciato o stanno preparando misure con soglie tra 15 e 16 anni; in Germania, tra 13 e 16 anni, l’accesso è legato al consenso dei genitori. La Cina segue una strada diversa attraverso la modalità minori, con limiti integrati nei dispositivi e regole sulle applicazioni che cambiano secondo l’età. La mappa internazionale aggiornata da Reuters mostra una convergenza politica sulla necessità di intervenire, senza una convergenza altrettanto chiara sulla tecnologia e sulle responsabilità.

L’Unione europea, intanto, applica il Digital Services Act e ha scelto di intervenire sul rischio. Le linee guida europee per la protezione dei minori raccomandano account privati per impostazione predefinita, sistemi di raccomandazione che privilegino le scelte esplicite rispetto ai segnali comportamentali, strumenti semplici per bloccare gli utenti e la disattivazione automatica di funzioni che favoriscono un uso eccessivo, come streak, autoplay, notifiche push e conferme di lettura. Il Parlamento europeo ha chiesto una soglia comune di 16 anni con consenso dei genitori e un limite assoluto sotto i 13, ma la risoluzione non costituisce ancora una legge vincolante.

Social network e minori: cosa prevede la normativa italiana

In Italia, al 31 luglio 2026, non esiste un divieto generale paragonabile a quello australiano. L’articolo 2-quinquies del Codice privacy fissa a 14 anni la soglia alla quale il minore può prestare autonomamente il consenso al trattamento dei dati nell’offerta diretta di servizi della società dell’informazione, quando quel trattamento si fonda proprio sul consenso. Sotto i 14 anni è necessaria l’autorizzazione di chi esercita la responsabilità genitoriale. Come spiega il Garante per la protezione dei dati personali, la regola non riguarda ogni trattamento e non modifica automaticamente la capacità contrattuale del minore.

Dire che in Italia i social sono vietati sotto i 14 anni è quindi impreciso. La norma disciplina il consenso ai dati, non istituisce un controllo universale all’ingresso e non trasforma il quattordicesimo compleanno in un lasciapassare. Le condizioni d’uso di TikTok, Instagram, Facebook e molte altre applicazioni indicano ancora 13 anni, soglia privata derivata in larga misura dal modello statunitense; la possibilità materiale di registrarsi non dimostra che il consenso sia stato raccolto correttamente, né che l’esperienza sia adeguata all’età.

Si applica inoltre il Digital Services Act, che impone alle piattaforme accessibili ai minori un livello elevato di privacy, sicurezza e protezione, vieta la pubblicità mirata ai ragazzi e richiede di valutare i rischi sistemici. Le linee guida del 2025 danno a questi principi una forma più concreta: feed meno dipendenti dai segnali impliciti, impostazioni private, moderazione efficace, controlli parentali, limiti alle architetture persuasive e metodi di verifica dell’età accurati, robusti, non invasivi e non discriminatori. La Commissione può usare queste indicazioni per valutare il rispetto dell’articolo 28 del DSA da parte delle grandi piattaforme.

Sul versante della connessione, le regole AGCOM sul parental control obbligano gli operatori Internet a mettere a disposizione sistemi di filtro e a preattivarli sulle utenze intestate ai minori o sulle offerte loro dedicate. I blocchi riguardano categorie come contenuti per adulti, gioco d’azzardo, violenza, armi, odio e discriminazione; lavorano attraverso DNS o applicazioni installate sui dispositivi. Sono strumenti utili, però non verificano chi stia usando un account social e non intervengono sul feed di un’applicazione autorizzata.

Il vuoto tra protezione dei dati, filtri di rete e accesso alle piattaforme è arrivato anche davanti ai giudici. Nel maggio 2026 il MOIGE e alcune famiglie hanno affrontato Meta e TikTok al Tribunale delle imprese di Milano nella prima udienza di un’azione sui minori nei social, chiedendo sistemi più forti per verificare l’età degli under 14, maggiore trasparenza sui danni e la rimozione di algoritmi ritenuti manipolativi. L’associazione sostiene che 3,5 milioni di bambini italiani tra 7 e 14 anni siano attivi sulle piattaforme. Il procedimento non ha ancora prodotto una regola generale, ma rende visibile il punto debole del sistema italiano: esiste una soglia per il consenso, senza un’infrastruttura uniforme che consenta di applicarla.

In Parlamento sono in discussione proposte per innalzare i limiti e attribuire nuovi obblighi alle piattaforme; nessuna, alla data di questo articolo, ha introdotto un blocco nazionale. Importare semplicemente il numero australiano produrrebbe probabilmente lo stesso conflitto osservato a Sydney, perché la soglia funziona soltanto insieme a una definizione dei servizi coinvolti, standard tecnici, limiti alla raccolta dei dati, procedure di ricorso, poteri di controllo e sanzioni applicabili. La parte difficile della legge comincia dopo avere scritto “16 anni”.

Il divieto social australiano funziona? Il nodo dell’applicazione

Contare gli account rimossi offre ad aziende e governi un risultato facilmente comunicabile, ma dice poco sull’esposizione effettiva quando i contenuti restano accessibili senza login o attraverso profili altrui. Frequenza, tempo trascorso, grado di personalizzazione, messaggistica, trasferimento verso altri servizi e consapevolezza dei genitori descrivono fenomeni diversi; il rapporto di eSafety evita opportunamente di comprimerli in una sola percentuale.

Rimane poi il calcolo economico delle piattaforme. Controlli severi possono espellere adulti, aumentare l’attrito all’iscrizione e spingere gli utenti verso concorrenti più permissivi; verifiche deboli conservano pubblico e ricavi finché l’inosservanza costa meno della conformità. La sanzione serve a modificare questo rapporto, mentre la tutela della privacy impone che la prova dell’età non diventi la consegna di documenti e volti a ogni social network. Le indagini australiane stabiliranno quanto spazio rimane fra questi due vincoli.

I primi tre mesi documentano soprattutto una premessa tecnica non realizzata: le piattaforme non avevano identificato con continuità gli utenti sotto i 16 anni e molti ragazzi non avevano incontrato un vero controllo. Gli effetti sulla salute e sulle relazioni potranno essere valutati quando l’intervento descritto dalla legge assomiglierà a quello sperimentato nella vita quotidiana. Per ora l’Australia ha definito un’età; le piattaforme non hanno ancora dimostrato di saperla riconoscere senza chiedere a tutti gli utenti più dati di quanti ne raccolgano già.

Fino a poco tempo fa, verificare l’efficacia di una strategia di visibilità online significava guardare ranking, traffico organico e conversioni da Google. Oggi questo schema non basta più: una parte crescente di utenti non clicca più sui link nei risultati di ricerca, ma legge direttamente la risposta generata da IA come ChatGPT, Gemini o Perplexity. E se il tuo brand non compare tra le fonti citate in quella risposta, per quell’utente semplicemente non esisti.

Questo cambiamento ha dato origine alla GEO, la Generative Engine Optimization: l’insieme di attività che aiutano un sito a diventare una fonte citata dai motori di risposta basati su intelligenza artificiale. Ma se la SEO tradizionale ha decenni di metriche consolidate, la GEO è ancora un terreno dove molte aziende non sanno bene cosa misurare, né come farlo in modo affidabile.

Cos’è la GEO (Generative Engine Optimization)

La GEO è la disciplina che ottimizza contenuti e struttura informativa di un sito affinché vengano selezionati e citati dai Large Language Model nelle loro risposte. Non si tratta di “tradurre” le tecniche SEO su un altro canale: gli LLM non restituiscono un elenco di link ordinati per rilevanza, ma sintetizzano informazioni da più fonti in un’unica risposta discorsiva, scegliendo quali citare in base a segnali di autorevolezza, chiarezza semantica e coerenza con l’intento della domanda. È proprio per governare questi meccanismi, ancora poco intuitivi rispetto alla SEO classica, che sempre più aziende si affidano a servizi di consulenza GEO per la visibilità AI, capaci di leggere e interpretare segnali che altrimenti resterebbero invisibili.

La GEO lavora su leve diverse rispetto alla SEO classica: struttura dei contenuti pensata per essere estratta facilmente, segnali di E-E-A-T (esperienza, competenza, autorevolezza, affidabilità) più marcati, presenza distribuita su fonti terze che gli LLM consultano per formarsi un’opinione sul brand. SEO e GEO non sono in competizione tra loro, anzi si sovrappongono su molti fronti tecnici, ma richiedono metriche di misurazione parzialmente diverse.

Perché le aziende dovrebbero lavorare sulla GEO

Il motivo principale è comportamentale: gli utenti stanno cambiando il modo in cui cercano informazioni. Le query si sono allungate, sono diventate più conversazionali, spesso assomigliano più a una domanda posta a un consulente che a una parola chiave digitata in una barra di ricerca.

In aggiunta, c’è poi il tema del posizionamento competitivo. In molti settori, essere citati come fonte in una risposta di ChatGPT o Google AI Mode rappresenta un vantaggio ancora poco intaccato dalla concorrenza, semplicemente perché in pochi stanno presidiando consapevolmente questo fronte. Chi arriva prima, e con dati alla mano, si troverà in una posizione più solida quando il resto del mercato inizierà a fare lo stesso.

Infine, c’è un ulteriore motivo meno intuitivo ma altrettanto concreto: le risposte generate dagli LLM influenzano la percezione di affidabilità di un brand anche quando l’utente non clicca su nessun link. Essere citati (o non esserlo) diventa un segnale reputazionale, prima ancora che un canale di traffico.

Come si misura la GEO (e perché è importante farlo)

Misurare la GEO è più complesso che misurare il posizionamento su Google, per un motivo semplice: non esiste una SERP statica da controllare, ma una risposta generata dinamicamente ogni volta, che può variare in base alla formulazione della domanda, al modello utilizzato e persino al momento della richiesta. Un controllo occasionale di conseguenza non basta, ma serve un approccio strutturato.

Le metriche principali su cui si costruisce una misurazione GEO affidabile sono:

• Tasso di citazione: quante volte, su un campione di query rilevanti per il settore, il sito viene effettivamente menzionato come fonte nella risposta generata.
• Stabilità della citazione nel tempo: non basta essere citati una volta. Conta se quella citazione si ripete in modo consistente su richieste ripetute e su periodi di osservazione prolungati, perché le risposte degli LLM possono variare sensibilmente da un giorno all’altro.
• Posizionamento all’interno della risposta: essere citati come fonte principale di un’affermazione ha un peso diverso rispetto a comparire in un elenco di riferimenti secondari.
• Share of voice generativo: quanto spazio occupa il brand rispetto ai competitor diretti, calcolato sullo stesso paniere di query e sugli stessi motori generativi.
• Fonti terze utilizzate dagli LLM: capire quali articoli, recensioni o pagine esterne il modello cita quando parla del brand aiuta a capire dove intervenire anche fuori dal sito di proprietà.

Il punto di partenza operativo, in genere, è un audit che mappa la situazione attuale: si interrogano i principali motori generativi con un paniere di domande rappresentative del settore, si registra sistematicamente se, come e quanto spesso il brand compare nelle risposte, e si confronta il dato con quello dei competitor più diretti. Da questa fotografia iniziale si costruisce la strategia di intervento, e lo stesso paniere di query viene poi ripetuto nel tempo per verificare se il lavoro sta effettivamente producendo un incremento nelle citazioni.

Perché è fondamentale misurare correttamente la GEO? Senza un monitoraggio strutturato è impossibile distinguere un miglioramento reale da un’oscillazione temporanea del modello, e si rischia di attribuire risultati (o fallimenti) a interventi che in realtà non c’entrano nulla.

Un esempio concreto di come la misurazione guida la strategia

Per capire quanto sia utile un monitoraggio sistematico, prendiamo un caso tipico: un’azienda B2B che, dopo un primo audit, risultava citata raramente nelle risposte generate su query relative al proprio settore, mentre due competitor diretti comparivano con regolarità. L’analisi delle fonti utilizzate dagli LLM ha mostrato che quei competitor venivano citati principalmente attraverso articoli di terze parti (recensioni di settore, guide comparative, menzioni editoriali) più che attraverso il proprio sito.

Il lavoro si è quindi concentrato su due fronti paralleli: rafforzare la struttura informativa del sito aziendale per renderlo più facilmente “estraibile” dai modelli, e costruire presenza su fonti terze autorevoli del settore.

Ripetendo lo stesso paniere di query mese dopo mese, il tasso di citazione è cresciuto in modo progressivo, con un salto particolarmente evidente nei mesi successivi alla pubblicazione di contenuti su fonti esterne rilevanti. Senza quella misurazione ricorrente, sarebbe stato impossibile capire quale delle due leve avesse effettivamente inciso di più.

Conclusioni

La GEO non si misura come la SEO tradizionale, ma questo non significa che sia impossibile da monitorare in modo rigoroso. Serve un metodo: un paniere di query rappresentativo, un monitoraggio ricorrente su più motori generativi, metriche che vadano oltre il semplice “sì o no” della citazione e che considerino stabilità, posizionamento e fonti coinvolte. Le aziende che stanno iniziando a lavorare su questo fronte oggi, misurando fin da subito in modo strutturato, si troveranno in una posizione di vantaggio quando la GEO diventerà, come è già successo per la SEO, una componente scontata di qualsiasi strategia di visibilità online.