Venticinque anni sullo stesso confine: chi decide che cosa passa fra rete classificata e rete aperta

Il modello di intelligenza artificiale che state adottando sta quasi certamente fuori dalla vostra zona riservata, e quella scelta ne contiene una seconda che non finisce a verbale: ogni dato utile dovrà attraversare un apparato di confine, e chi costruisce quell’apparato decide che cosa passa e in quale direzione. Il 23 settembre una grande amministrazione europea ha messo una durata su quella dipendenza: venticinque anni.

Un comunicato, una durata, nessuna cifra

Il testo è di Airbus e porta la data «Paris, France, 23 September 2026». La Direction générale de l’armement francese ha affidato al gruppo, attraverso la controllata Airbus Cybersecurity SAS, il contratto PARACOM per le passerelle di sicurezza delle reti del Ministero delle Forze armate e dei reduci. L’oggetto non è la sola consegna: «Following a competitive tender, the agreement covers the end-to-end design development, production, and long-term operational maintenance of the gateways» (a valle di una gara, l’accordo copre progettazione e sviluppo completi, produzione e manutenzione operativa di lungo periodo delle passerelle).

A che cosa serva l’apparato sta in una riga: «PARACOM will be approved and certified to cover a range of data exchanges between ‘secret’ and ‘unclassified’ levels». È il pezzo che sta fra reti di classificazione diversa e filtra ciò che le attraversa. Le versioni vanno dal rack di data center all’unità autonoma per posto comando, fino a impieghi «such as surface vessels, submarines, aeroplanes, helicopters or drones, or on board armoured vehicles and land vehicles». Il valore non è pubblicato; il numero di apparati nemmeno.

Un dettaglio pesa più dell’annuncio. François Lombard, Director of Connected Intelligence di Airbus Defence and Space, dichiara: «Since 2013, we have supplied French land forces with gateway solutions». La gara l’ha vinta chi quel confine lo presidiava già.

La concorrenza dura un giorno, il contratto dura una generazione

Nella procedura non c’è nulla da contestare: la gara c’è stata, ed è per questo che il caso insegna qualcosa a chi compra. La concorrenza si esercita una volta; l’esito vincola per venticinque anni, cioè due o tre generazioni di sistemi informativi.

Chi compra un apparato di confine compra tre cose insieme, e in fattura ne vede una. La prima è l’hardware. La seconda è la regola: che cosa può attraversare, in quale formato, in quale direzione — e chi ha il diritto di cambiarla quando cambia la minaccia. La terza è l’omologazione: un apparato del genere vale finché un’autorità lo certifica per quei livelli, e la certificazione è attaccata al prodotto, non alla funzione. Cambiare fornitore non è cambiare una fornitura: è riaprire una certificazione e rifare l’installazione su navi, sottomarini, velivoli e veicoli già consegnati. La manutenzione operativa dentro lo stesso contratto chiude il cerchio: chi ha scritto la regola è anche chi la aggiorna per tutta la durata.

L’Italia la stessa esigenza la tiene in una nota a piè di pagina

Il confronto utile non è con la Francia: è con quello che l’Italia ha già messo per iscritto. La Strategia della Difesa in materia di Intelligenza Artificiale — «IA e DIFESA», Edizione 2026, approvata a Roma il 16 gennaio 2026, a pagina 17 chiede per il dato «un approccio “cloud” nella duplice configurazione class e unclass». L’interconnessione fra i due mondi non sta nel corpo del testo: sta nella nota 15, ed è al futuro. «In prospettiva, per massimizzare le potenzialità offerte dall’IA, occorrerà individuare soluzioni tecnologiche atte a interconnettere in maniera bidirezionale i due domini “classificato” e “non classificato” in modo sicuro.»

Nella stessa pagina il documento è netto su dove deve stare il calcolo: «presso una infrastruttura di computazione proprietaria», con «modularità e isolamento degli ambienti di addestramento, test, rilascio e produzione» e requisiti di sicurezza fisica e cibernetica «tali da soddisfare anche esigenze classificate». A pagina 13 mette nero su bianco la capacità di «poter mantenere operativi i propri sistemi di IA, anche in assenza di supporto esterno in contesti ad alto rischio, per manutenzione, risoluzione di problemi e questioni di sicurezza».

L’antidoto se lo dà da solo, a pagina 49: adottare il Modular Open System Approach, che «obbliga i contraenti a progettare sistemi le cui componenti siano interoperabili, sostituibili e aggiornabili con hardware/software prodotti da fornitori diversi», perché «riduce il rischio di “vendor lock in”». Vale per radio e sensori. Sul componente di confine è la cosa più difficile da ottenere, perché lì il vincolo non è il connettore: è la certificazione.

Quattro righe da mettere nel capitolato, prima

La regola separata dall’apparato. Le politiche di filtraggio devono essere un artefatto vostro, esportabile e leggibile, non una configurazione che vive solo dentro il prodotto di un altro.

Il diritto di modifica con tempi certi. Scrivete entro quanti giorni una regola nuova entra in esercizio e chi la approva. Senza quel numero la vostra sicurezza ha la cadenza della roadmap altrui.

L’omologazione come oggetto di contratto. Su quali livelli è rilasciata, da quale autorità, con quale scadenza, e a carico di chi il rinnovo quando il prodotto evolve.

L’uscita provata, non promessa. Una strategia di uscita mai eseguita è un paragrafo, come in un audit che quella riga la contestava. E nel perimetro di sicurezza nazionale cibernetica una fornitura così non si chiude con una firma: passa dal CVCN prima della gara.

Perché un sistema chiuso

Perché la passerella esiste per una ragione sola: il sistema che ha bisogno del dato sta dalla parte sbagliata. Ogni funzione utile collocata fuori dal perimetro trasforma un problema di analisi in un problema di traffico di confine, che si compra, si certifica e si mantiene per decenni. Se modello, pesi e archivio stanno dentro, la quantità di confine da acquistare crolla.

Perché il confine che resta va tenuto stretto e povero. Un impianto chiuso su modelli a pesi aperti fa passare aggiornamenti rari e controllati, non interrogazioni continue: è la differenza fra una porta che si apre due volte l’anno e una socchiusa.

Perché la continuità non deve dipendere dal diritto di essere serviti. La strategia italiana chiede di restare operativi «anche in assenza di supporto esterno»: è una proprietà dell’architettura, non una clausola. Si ottiene possedendo lo stack — macchine presidiate, pesi in casa, operatore al comando — invece di affittarlo.

I due assi, applicati al caso

Adempiere. Il controllo che mettiamo in esercizio è un registro vivo dei componenti di confine: per ciascuno, l’entità con cui avete firmato, i livelli su cui l’omologazione è rilasciata e la sua scadenza, chi può modificare le regole e in quanti giorni, la data dell’ultima prova di uscita. Datato e ispezionabile, non un parere in un fascicolo.

Decidere. Lo stesso impianto tiene insieme impianti, archivi, gestionali, sensori e documenti in un modello operativo unico, su cui agenti AI eseguono decisioni con un operatore al comando — per grandi imprese, difesa, pubblica amministrazione e sanità. On-premise su macchine autonome, oppure cloud dedicato con data center in Italia presidiato da noi, sempre con gestione condivisa: non dovete già avere in casa chi amministra modelli di IA.

Sapreste dire, per il vostro apparato di confine, chi può cambiare le regole di filtraggio e in quanto tempo? Mezz’ora con un nostro tecnico basta per iniziare.

Quello che non sappiamo

Non conosciamo il valore del contratto, il numero di passerelle, quante offerte siano arrivate né i criteri di aggiudicazione: il comunicato dice soltanto che la gara c’è stata. La fonte primaria è il testo dell’aggiudicataria, non un atto della stazione appaltante: le posizioni riportate sono quelle di Airbus, non abbiamo raccolto dichiarazioni della DGA e non c’è alcun addebito in gioco — è un contratto regolarmente aggiudicato. Non abbiamo trovato un avviso europeo: la ricerca full-text su TED con il nome del programma è approssimata, perché il motore è fuzzy, e nessun riscontro lo riguarda; in materia di difesa la pubblicazione non è sempre dovuta, quindi l’assenza non prova nulla. L’omologazione è al futuro anche nel comunicato — «will be approved and certified» — e non sappiamo quale autorità la rilascerà. Sul lato italiano la nota 15 esprime un’esigenza prospettica: non sappiamo se esistano già forniture equivalenti, perché qui gli affidamenti possono non essere pubblicati.