Avvia una prova

Hardware e modelli

L’AI gira nel perimetro che controllate. I pesi restano installati lì.

Prima di firmare, un compratore dovrebbe sapere quattro cose: dove gira il calcolo, chi ha scritto il software, di chi sono i pesi del modello e che cosa esce dal perimetro. Qui ci sono le quattro risposte, e i limiti dichiarati nella stessa pagina.

Primo piano in bianco e nero delle alette di un dissipatore di calore in alluminio, illuminate di lato su fondo scuro

Con un servizio in abbonamento escono tre cose, non una.

  • I documenti.

    Prompt e allegati raggiungono un sistema che non amministrate. Il D.lgs. 63/2018 tutela il know-how come segreto commerciale solo se il titolare adotta misure ragionevolmente adeguate a mantenerlo segreto: un manuale con parametri di taratura, soglie e cicli di manutenzione caricato su un assistente generico smette silenziosamente di soddisfare quella condizione. E il GDPR, artt. 24 e 32, chiede di conoscere e governare il trattamento: un uso non dichiarato non si governa.

  • I metadati del lavoro.

    Non escono solo i documenti. Chi seleziona e annota i vostri esempi vede quali dataset contano, in che volumi e con quale ordine di priorità: sono metadati che raccontano la vostra roadmap. Nel giugno 2025 Google, OpenAI e xAI hanno lasciato Scale AI nel giro di giorni dopo l’ingresso di Meta nel capitale — non per una violazione accertata, ma perché era cambiata la struttura proprietaria del fornitore.

  • La verificabilità.

    Un limite d’uso che non potete verificare tecnicamente è una promessa, non un controllo. Se le regole d’uso cambiano con un aggiornamento sul sito del fornitore, i vostri limiti sono una pagina web. Le clausole diventano verificabili quando l’infrastruttura è sotto il controllo del committente: i log sono vostri, l’audit lo fate quando volete.

Tre livelli di proprietà: la macchina, il software, il modello.

La macchina.

On-premise la macchina è vostra: l’AI gira sull’infrastruttura che già controllate e l’amministrazione resta al vostro IT. Sul cloud dedicato l’ambiente è riservato al singolo cliente — mai condiviso, mai un cloud pubblico generico — con accesso via VPN dedicata, data center residente in Italia e locali che presidiamo direttamente. A chiunque offra capacità «in Italia» diciamo di chiedere tre nomi: proprietario dell’infrastruttura, gestore del servizio, controllante del gestore. Li diamo anche noi, prima della firma.

Il software.

Il metodo è già pronto — dati, ontologia, agenti, controllo umano — e su misura resta solo il vostro dominio, l’unica parte irripetibile. Non è una licenza da configurare: è un impianto costruito sui vostri processi, che si aggiunge sopra i gestionali in uso senza sostituirli. Per chi compra nella pubblica amministrazione la leva è già scritta: l’art. 30, comma 2, del D.lgs. 36/2023 impone alla stazione appaltante di assicurarsi la disponibilità del codice sorgente, della documentazione e di ogni altro elemento utile a comprendere le logiche di funzionamento. È una clausola che si esercita solo se l’impianto è sotto il controllo del committente.

Il modello.

Modelli a pesi aperti: una copia dei pesi scaricata e archiviata dentro il perimetro in cui gira, non un endpoint remoto. Con i pesi si archivia il resto — impronta crittografica di ogni file, riferimento esatto della revisione, tokenizzatore, configurazioni, template della conversazione, scheda del modello e testo di licenza del giorno del download. Il rovescio va detto nella stessa riga: i pesi aperti arrivano «AS IS», senza garanzia di titolarità né di non violazione, e liberare i diritti dei terzi resta a carico di chi li installa. La licenza dice che cosa potete farci; non dice dove farli girare.

Un file di pesi dentro il vostro perimetro non ha un interruttore remoto.

Il precedente è recente. Il 31 ottobre 2025 Google ha tolto Gemma da AI Studio, poche ore dopo una lettera della senatrice Marsha Blackburn: la superficie pubblica è sparita in una sera, i pesi già scaricati no. Un servizio raggiunto via interfaccia remota può invece cessare o cambiare comportamento senza il vostro consenso e senza preavviso utile.

Conviene essere precisi su che cosa fanno gli strumenti che si nominano in questi mesi. Una designazione in Entity List agisce su esportazioni, riesportazioni e trasferimenti verso il soggetto elencato; un divieto d’acquisto vincola chi compra. Sono leve sui flussi futuri, non ordini di cancellare copie già distribuite. Il rischio si chiama approvvigionamento, non confisca, e si gestisce prima: un secondo candidato di un’altra giurisdizione, già scaricato e già provato.

Il rovescio, per intero. Un modello congelato non migliora: niente nuovi checkpoint, niente correzioni dei comportamenti indesiderati, niente adattamento a formati e lingue nuovi. E le correzioni di sicurezza che contano quasi mai stanno nei pesi: stanno nel motore che li esegue. CVE-2025-32444 riguarda vLLM, punteggio CVSS 9.8, esecuzione di codice da remoto, corretta nella versione 0.8.5. Chi congela l’ambiente per non rompere nulla congela anche i suoi difetti.

Quattro gradini. Si sale solo quando quello sotto è stato misurato e non basta.

Ogni gradino ha tre righe: che cosa comporta, che cosa serve a voi, quando non è la risposta.

  1. 00

    Il modello aperto, così com’è.

    Un modello a pesi aperti scelto per il compito, quantizzato e dimensionato sulla macchina che avete. Il conto della memoria si fa sui byte, non sui parametri: un modello da circa 30 miliardi di parametri sta in una GPU da 48 GB a 8 bit e in una da 24 GB a 4 bit; per un denso da 128 miliardi Mistral dichiara quattro schede H100, sei-otto in produzione; per un modello da 2,8 trilioni servono oltre 1,4 TB di memoria solo per caricare i pesi e più di sessanta acceleratori su più nodi — alla portata di un iperscaler, non di una media impresa. Sono numeri dichiarati dai produttori, non nostri.

    I documenti reali con cui giudicarlo: prompt reali, documenti reali, risposte attese. È la prima cosa che si costruisce, prima ancora di scegliere il modello.

    È dove si chiude la maggior parte dei casi. Per classificare, estrarre, riassumere e confrontare documenti contro requisiti, un modello aperto ben scelto è spesso più che sufficiente.

  2. 01

    Il contesto, non i pesi.

    I vostri dati collegati, l’ontologia che li rende leggibili da un agente, i guardrail su ciò che l’AI può toccare. È il livello su cui è costruita la piattaforma, e il lavoro che il sito descrive da sempre.

    Le sorgenti che già possedete, collegate in sola lettura all’avvio. Nessun dato di addestramento.

    Non modifica i pesi, quindi non invalida nessuna misura del fornitore e sopravvive senza attrito al cambio di modello. È il motivo per cui viene prima della messa a punto, non dopo.

  3. 02

    La messa a punto sui vostri esempi.

    È il gradino che portiamo in produzione più spesso, ed è lavoro che abbiamo già fatto. Si adatta il modello al linguaggio e ai formati della vostra organizzazione. Il costo non sta nel calcolo: sta nel preparare gli esempi. Gli esempi selezionati, annotati e corretti da esperti sono la parte lenta della filiera, quella che non si replica con un download — e chi la fa vede le vostre priorità. È la ragione per cui quel lavoro resta dentro il perimetro, e per cui il corpus curato resta vostro anche quando il modello cambia.

    Un corpus curato e un insieme di valutazione vostro. Dopo la messa a punto le misure del fornitore non valgono più: valgono solo le vostre, sui vostri documenti. Quanti esempi servano dipende dal compito e si scopre misurando.

    Non tutti i modelli si adattano bene: alcuni sono già quantizzati in addestramento e non hanno un checkpoint a piena precisione da cui ripartire. La licenza decide se si può, e a quali condizioni. E poca quantità non significa poco rischio: l’AI Security Institute britannico ha rilevato che le difese introdotte con la messa a punto si possono annullare con poche decine di esempi di addestramento.

  4. 03

    Il pre-addestramento dedicato.

    Costruire il modello invece di adattarlo. L’unico ordine di grandezza che possiamo pubblicare è quello di un progetto pubblico europeo: Soofi S, 31,6 miliardi di parametri, circa 26,68 trilioni di token, dal 24 marzo al 13 maggio 2026, fino a 512 GPU NVIDIA B200 per circa 253.000 GPU-ora. Sette settimane di un cluster nazionale, pagate una volta sola dal bilancio pubblico di uno Stato.

    Un corpus dell’ordine dei trilioni di token, con provenienza documentata. E la consapevolezza che chi pre-addestra diventa fornitore di un modello, con gli obblighi documentali che ne discendono, non più soltanto utilizzatore.

    Ha senso solo quando il dominio è irripetibile e il corpus esiste già. Nella grande maggioranza dei casi non è la risposta, e lo diciamo prima di valutarlo, non dopo.

Si sale di un gradino solo quando quello sotto è stato misurato e non basta. Se il valore non è misurabile, ci si ferma lì: vale per la prova operativa, e vale per la scala.

Quanto costa, e qual è la voce che non compare in fattura.

Il confronto che conta non è contro l’API più economica del mercato: è contro la bolletta che state già pagando. Chi manda i propri documenti a un modello chiuso di frontiera paga a consumo, su un listino che non negozia, una spesa che cresce con l’uso e non ha tetto — più il sistema funziona, più costa, e il successo del progetto diventa il suo problema di bilancio. Le API dei modelli cinesi a pesi aperti costano fino a dieci volte meno di quelle di frontiera; i pesi aperti su hardware vostro azzerano il costo per token. Restano energia, manutenzione e ammortamento: voci vostre, e prevedibili.

La voce più cara, però, non è in fattura. Pagando a token si consegna al fornitore ciò che rende la vostra impresa diversa dalle altre: quali domande fate, su quali documenti, con quale frequenza e in quale ordine di priorità. È il vantaggio competitivo che non compare su nessun listino, non ha una riga di costo, e una volta uscito dal perimetro non rientra. È la ragione per cui questa pagina parla di proprietà prima che di prezzo.

Cambia infine la natura della spesa: una voce di capitale che iscrivete a bilancio, ammortizzate e prevedete, invece di un costo variabile deciso da un listino che può cambiare con un aggiornamento. Il limite lo diciamo lo stesso, perché esiste. Misurato contro l’API più economica in circolazione — sul listino DeepSeek 3.999 dollari comprano oltre 14 miliardi di token in output — un singolo apparecchio da scrivania non si ripaga. Quel conto vale per un utente solo e per il prezzo più basso del mercato, non per un’impresa che manda i propri documenti a un modello di frontiera. La soglia si calcola sul vostro volume reale: se non torna, ve lo diciamo prima.

Il modello si sostituisce. Le dipendenze che restano le nominiamo.

Il silicio.

Progettazione e produzione degli acceleratori stanno fuori dall’Europa, e non è una condizione che un’installazione in Italia cambia. Una valutazione seria guarda l’intera catena — chip, stack di orchestrazione, modello — e non si ferma alla geografia dei server.

Il motore di inferenza e i driver.

È lì che arrivano le vulnerabilità che contano, e vanno aggiornati anche quando i pesi restano gli stessi. Un archivio di soli pesi, senza la ricetta per ricostruire l’ambiente che li esegue, fra due anni è un blocco di numeri.

Il catalogo dei modelli supportati.

Su un acceleratore non generalista un modello gira se il compilatore del fornitore lo supporta: il catalogo pubblico del cloud SambaNova elenca oggi quattro modelli in produzione. Su una GPU generalista gira in pratica tutto ciò che esce. Costa di più per token e si rivende: è il prezzo della reversibilità.

L’interconnessione della sala.

Si sceglie una volta sola, dura quanto la sala, e decide quali acceleratori potrete montare fra tre anni. È il vincolo che sopravvive a tutti gli altri.

La licenza dei pesi.

La scrive chi li pubblica e non è uniforme: soglie di fatturato, restrizioni di campo d’uso incorporate per rinvio a una pagina che non è il contratto, e in un caso il diritto del fornitore di limitare l’uso da remoto e di imporre la cancellazione delle copie alla risoluzione. Va letta e archiviata prima, non dopo.

Nessuna di queste sparisce portando l’impianto in casa. Cambia che sono nominate, che si sostituiscono una alla volta, e che la domanda da fare a qualunque fornitore — noi compresi — non è quale modello usate, ma quanto costa cambiarlo.

Le quattro domande da fare a un fornitore

La conformità europea non ostacola il controllo dello stack: lo richiede.

Diverse regole chiedono prove che si producono soltanto se l’infrastruttura è sotto il controllo di chi ne risponde. L’AI Act, art. 26 § 6, impone al deployer di conservare i log del sistema «nella misura in cui sono sotto il suo controllo», per almeno sei mesi: se il fornitore non ve li consegna, l’obbligo è inadempibile. L’art. 25 § 4 chiede un accordo scritto che specifichi informazioni, capacità e accesso tecnico necessari alla conformità. Il D.lgs. 36/2023, art. 30 comma 2, dà alla stazione appaltante il diritto al codice sorgente e alle logiche di funzionamento. Il D.lgs. 63/2018 tutela il segreto commerciale solo a fronte di misure ragionevolmente adeguate.

Detto il limite dell’argomento: tenere l’elaborazione dentro il perimetro è una di quelle misure, non la conformità. Ne rende possibili altre — log vostri, audit quando volete, regole d’uso che non cambiano senza passare da voi — ma va descritta e tracciata: chi accede, con quale canale, dove è archiviato il documento.

E non è autarchia. Rinunciare per principio ai migliori modelli del mondo è un dazio che le vostre concorrenti non pagheranno. La strategia che vediamo funzionare è a strati: dati e modello operativo in casa, sotto legislazione europea, non negoziabili; modelli aperti in casa dove il dato non può uscire; modelli di frontiera via API con garanzie enterprise dove serve la massima capacità — dietro un’architettura che li rende sostituibili. Decidete voi che cosa esce e che cosa no.

Dove il dato lo impone, l’architettura non si sceglie: si eredita dalla classificazione. Per la pubblica amministrazione la residenza in Italia non qualifica un servizio: la qualificazione rispetto alla classe del dato va verificata prima della gara, non alla stipula.

Compliance

Quello che non promettiamo.

Nessun risultato garantito.

La prova operativa parte da un solo problema reale e si giudica con le metriche concordate. Se il valore non è misurabile, il percorso si ferma lì.

Nessuna superiorità sui modelli di frontiera.

Sulle capacità cyber l’AI Security Institute britannico misura i modelli aperti da quattro a sette mesi dietro i chiusi di frontiera. La qualità si misura sui vostri documenti, non su un benchmark pubblicato: un benchmark può essere contaminato senza che nessuno se ne accorga, ed è successo a un consorzio di istituti di ricerca pubblici nel 2026.

Il perimetro non è la conformità.

È una delle misure che la legge chiede, e da sola non basta. Va descritta, tracciata ed esibita.

Il pre-addestramento dedicato quasi mai è la risposta.

È un’opzione della scala, valutata caso per caso e istruita con gli stessi tre documenti che pretendiamo dagli altri: ricerca di mercato, confronto fra le soluzioni disponibili, motivo per cui nessuna soddisfa il bisogno.

Il segreto di Stato e le informazioni classificate UE sono fuori portata.

La L. 124/2007 riserva l’accesso ai soggetti abilitati in ragione della funzione; le informazioni classificate UE, disciplinate dalla decisione 2013/488/UE, si trattano solo su sistemi accreditati. Nessuna piattaforma commerciale, nemmeno la nostra, sostituisce un ambiente accreditato dallo Stato.

Cosa vi resta in mano.

  • L’ambiente che esegue il modello, nella modalità che avete scelto, e l’inventario di ciò che serve a rimetterlo in piedi altrove: pesi con impronta crittografica e riferimento esatto della revisione, tokenizzatore, configurazioni, template, scheda del modello e testo di licenza del giorno del download.
  • La ricetta per ricostruire l’ambiente: versioni di motore, driver e librerie, parametri di avvio, procedura di quantizzazione.
  • Il vostro insieme di valutazione — prompt reali, documenti reali, risposte attese — che è l’unica prova che un modello sostitutivo fa lo stesso lavoro.
  • L’ontologia e i dati curati, in formati aperti e di vostra proprietà: è la parte che non si replica con un download, e resta vostra anche quando il modello cambia.
  • I log delle azioni e delle approvazioni, conservati dove potete leggerli, conservarli ed esibirli.
  • Se scegliete il cloud dedicato, i tre nomi dell’infrastruttura su cui gira: proprietario, gestore del servizio, controllante del gestore. Prima della firma.

Due modalità di erogazione.

On-premise, nel vostro ambiente

L’AI gira sull’infrastruttura che già controllate. I documenti non attraversano il confine della vostra rete e l’amministrazione resta al vostro IT.

Cloud dedicato, in Italia

Ambiente riservato al singolo cliente, VPN dedicata, data center residente in Italia, in locali che presidiamo direttamente. Nessuna condivisione con altri clienti.

In entrambi i casi i modelli sono dedicati e chiusi, sganciati dal web aperto: nulla di quello che leggono alimenta servizi di terzi. Sono modelli a pesi aperti, con la copia dei pesi archiviata nel perimetro in cui gira: la versione che usate cambia quando lo decidete voi.

Di chi è la macchina e di chi è il modello

Domande frequenti.

  • Posso far girare un modello di AI dentro la mia azienda senza mandare i documenti a un servizio cloud?

    Sì, ed è una delle due modalità in cui consegniamo: on-premise, con l’AI installata sull’infrastruttura che già controllate. L’altra è il cloud dedicato, un ambiente riservato al singolo cliente con accesso via VPN dedicata e data center residente in Italia. In entrambi i casi il modello è dedicato e chiuso, sganciato dal web aperto, e i documenti non lasciano il perimetro. La scelta fra le due dipende da chi amministra l’infrastruttura e dalla classe dei dati, non dal prezzo.

  • Che hardware serve per eseguire un modello a pesi aperti in azienda?

    Il conto si fa sui byte, non sui parametri, e sono numeri dichiarati dai produttori. Un modello da circa 30 miliardi di parametri occupa circa 32 GB a 8 bit e circa 16 GB a 4 bit: entra in una singola GPU professionale da 48 GB, o da 24 GB nella versione più compressa. Per un modello denso da 128 miliardi il produttore dichiara quattro schede H100, e sei-otto in produzione. Per un modello da 2,8 trilioni di parametri servono oltre 1,4 TB di memoria solo per caricare i pesi e più di sessanta acceleratori su più nodi: è alla portata di un iperscaler, non di una media impresa. La qualità dopo la quantizzazione va verificata sui vostri documenti, perché degrada in modo diverso a seconda del compito.

  • I pesi di un modello aperto possono essere revocati dal fornitore?

    Un file di pesi già copiato dentro il vostro perimetro non ha un interruttore remoto: continua a funzionare anche se il fornitore cambia strategia o un repository lo rimuove. Il precedente è del 31 ottobre 2025, quando Gemma è stata tolta da AI Studio poche ore dopo una lettera parlamentare: la superficie pubblica è sparita in una sera, i pesi già scaricati no. Entity List e divieti d’acquisto agiscono sui flussi futuri, non ordinano di cancellare copie già distribuite. Il rischio si chiama approvvigionamento, non confisca. Va detto il rovescio: un modello congelato non migliora, e le correzioni di sicurezza che contano stanno nel motore che esegue i pesi, non nei pesi.

  • Conviene l’on-premise rispetto a un abbonamento cloud?

    Rispetto a quello che pagate oggi a un modello chiuso di frontiera, sì, e per tre ragioni che si sommano. Il costo per token si azzera: i pesi girano su hardware vostro, e restano energia, manutenzione e ammortamento, che sono voci prevedibili invece di una spesa a consumo su un listino che non negoziate e che cresce con l’uso. Il know-how resta dentro: quali domande fate e su quali documenti non arriva a nessuno. E la spesa cambia natura, da costo variabile a voce di capitale che iscrivete a bilancio. Il limite esiste e lo diciamo: contro l’API più economica in circolazione — sul listino DeepSeek 3.999 dollari comprano oltre 14 miliardi di token in output — un singolo apparecchio da scrivania per un utente solo non si ripaga. La soglia si calcola sul vostro volume reale, e se non torna ve lo diciamo prima.

  • Il cloud dedicato è un cloud pubblico? Dove sono i data center?

    Non è un cloud pubblico generico e non è condiviso: è un ambiente riservato al singolo cliente, raggiungibile esclusivamente tramite VPN dedicata, con data center residente in Italia e locali che presidiamo direttamente. Non prevede accesso da parte di entità extra-UE. Un data center in Italia, però, non qualifica di per sé un servizio: per la pubblica amministrazione conta la classe del dato e la qualificazione del servizio, da verificare prima della gara. E i tre nomi — proprietario dell’infrastruttura, gestore del servizio, controllante del gestore — li diamo prima della firma.

  • Il fine-tuning sui nostri dati rende il modello nostro?

    Rende il modello più adatto al vostro compito, non «vostro» e non migliore in assoluto. Tre cose vanno sapute prima: il costo non sta nel calcolo ma nel preparare gli esempi, ed è la parte lenta che non si replica con un download; dopo l’adattamento le misure dichiarate dal fornitore non valgono più e serve un insieme di valutazione vostro; bastano poche decine di esempi per spostare i comportamenti, anche dove non volevate. La licenza dei pesi decide se l’adattamento è permesso e a quali condizioni. Il corpus curato, invece, resta vostro e si riusa anche quando il modello base cambia.

  • Un modello a pesi aperti su hardware dedicato è conforme al GDPR?

    La conformità non è una proprietà del modello: è una proprietà del trattamento. Tenere l’elaborazione dentro un perimetro che controllate è una delle misure che gli artt. 24 e 32 chiedono, e ne rende possibili altre — log vostri, audit quando volete, regole d’uso che non cambiano senza passare da voi. Da sola non basta: va descritta e tracciata, chi accede, con quale canale, dove è archiviato il documento. Vale il rovescio: diverse prove che il GDPR e l’AI Act richiedono si producono solo se l’infrastruttura è sotto il controllo di chi ne risponde.

Da leggere prima di decidere.

Il primo passo

Operativi dalla prima settimana.

Un caso d’uso reale, sui vostri dati, in produzione. Poi si cresce, settimana dopo settimana.

30 minuti videocall 150 € gratuita promozione di luglio
Avvia una prova operativa

Si parte da una sessione con un nostro esperto di engagement. I dati restano vostri, sempre.