Contratti AI per la difesa USA: le clausole che restano segrete anche a un senatore

Il 1° maggio 2026 il Dipartimento della Difesa statunitense — che nei propri comunicati si firma ormai «War Department» — annuncia accordi con otto aziende di intelligenza artificiale — SpaceX (che ora include xAI), OpenAI, Google, NVIDIA, Reflection, Microsoft, Amazon Web Services e Oracle — per portare i loro modelli dentro le reti classificate del Pentagono, ai livelli Impact Level 6 e Impact Level 7. Il comunicato spiega l’obiettivo in una frase — i modelli devono «streamline data synthesis, elevate situational understanding, and augment warfighter decision-making in complex operational environments» — e si ferma lì: il testo dei contratti non esce. Il 6 luglio 2026 la senatrice Elizabeth Warren scrive due lettere — al segretario alla Difesa Pete Hegseth e ai vertici di sette delle otto aziende — per chiederlo. Non è un pezzo di politica americana: a un direttore acquisti o a un CISO italiano non interessa chi ha ragione a Washington, ma la struttura del problema che le lettere mettono a nudo.

Otto fornitori, uno standard solo

Le lettere raccontano che lo standard contrattuale concordato con le otto aziende è quello del «lawful operational use» — «any lawful use», secondo i resoconti citati dalla senatrice: qualunque impiego non vietato dalla legge. Non un elenco di usi ammessi, ma l’assenza di un elenco di usi vietati. Sullo sfondo c’è un precedente che abbiamo già raccontato: Anthropic, che aveva ottenuto clausole esplicite contro sorveglianza di massa e armi letali autonome, è stata designata dal Pentagono «rischio per la catena di approvvigionamento» dopo essersi rifiutata di rimuoverle; l’8 aprile 2026 una corte federale ha respinto l’istanza di Anthropic per far cadere quell’etichetta. Le lettere citano una ricostruzione secondo cui alcuni funzionari della Difesa «hope the new deals will push Anthropic to drop its reservations about the military’s broad “any lawful use” standard». Il dettaglio conta più della disputa: lo standard è oggetto di trattativa, non un dato tecnico fisso, e chi lo accetta lo fa in un mercato dove il fornitore più cauto è trattato come un ostacolo.

La frase su cui regge tutto il caso

Alle sette aziende, Warren scrive: «it is impossible to assess any safeguards and prohibitions that may exist in your company’s agreement with DoD without seeing the full contract, which neither DoD nor your company have made available»: è impossibile valutare garanzie e divieti senza vedere il contratto integrale, che né il DoD né l’azienda hanno reso disponibile. Vale a prescindere da chi la pronuncia — un compratore non può giudicare una clausola che non può leggere. A sostegno, le lettere citano un’analisi di Legal Advocates for Safe Science and Technology del 2 marzo 2026 sul linguaggio contrattuale reso noto da OpenAI a febbraio: secondo gli esperti citati, nulla nel testo relativo alle armi autonome «does anything at all to constrain [DoD’s] use of» i prodotti OpenAI — non fa nulla per limitare l’uso che il DoD può farne. Non è un’accusa nostra né della senatrice: è una lettura tecnica dell’unico frammento di contratto mai uscito allo scoperto.

Il seguito che non c’è, per ora

Le due lettere fissavano una scadenza per le risposte: 20 luglio 2026. Abbiamo controllato la newsroom di warren.senate.gov fino al 5 agosto 2026, con una ricerca mirata sul sito: non risulta pubblicato alcun seguito su questo scambio. Che non è come scrivere che nessuno ha risposto — le risposte possono essere arrivate in forma non pubblica. Fuori dalla vista del pubblico, alla data di questo articolo, resta il testo dei contratti.

Le undici domande sono una checklist di acquisto

La lettera alle sette aziende pone undici domande. Sono, di fatto, il capitolato che un compratore dovrebbe pretendere prima di firmare. Qui sotto ne trasponiamo sei — le numero 1, 3, 4, 8, 10 e 11 — dalla voce della senatrice a quella di chi compra. Non sono traduzioni letterali: sono le stesse domande riscritte perché un ufficio acquisti le possa mettere in un capitolato così come sono.

Fornite il testo integrale dell’accordo che ci proponete di firmare, comprese le appendici e ogni modifica successiva.
L’accordo definisce che cosa si intende per «sistema di intelligenza artificiale»?
Quali usi leciti, secondo la vostra lettura del testo, l’accordo ci consente di fare della vostra tecnologia?
L’accordo, per come è scritto, consentirebbe un uso della vostra tecnologia per finalità di sorveglianza o per scopi non esplicitamente previsti nel capitolato?
Quale visibilità hanno i vostri addetti abilitati sulle interrogazioni eseguite, sui dati trattati e sugli output generati nel nostro ambiente, soggetto a compartimentazione riservata?
I vostri ricercatori di sicurezza restano «nel ciclo» prima di ogni nostro uso del servizio, o venite informati solo a cose fatte? Potete impedire o interrompere un uso specifico, se il vostro team ritiene che superi una linea rossa?

La quinta è il cuore di tutto il resto. Nell’originale è la domanda 10, e la riportiamo per esteso in inglese perché nessuna traduzione ne rende la precisione: «What visibility do your company’s cleared personnel have into the queries being run, the data being processed, and the outputs being generated within a classified environment governed by strict compartmentalization?» E la sesta, domanda 11, chiede se il fornitore sia «in the loop» prima dell’uso o solo informato dopo, e se possa bloccare un uso che ritiene oltre la linea rossa.

Il punto tecnico: chi vede cosa

Le due domande insieme dicono una cosa che il resto della lettera lascia solo intuire: in un impianto dove il modello è di un fornitore esterno e gira su infrastruttura di un fornitore esterno, «quali query sono state eseguite, quali dati trattati, quali risposte generate» non è una domanda a cui l’architettura possa rispondere da sola. Risponde il contratto — la stessa clausola che nessuno riesce a farsi mostrare integralmente. Se un senatore degli Stati Uniti non ottiene il testo, un’azienda o un’amministrazione italiana — nella difesa come altrove — non lo otterrà per il proprio. La differenza tra “il fornitore promette di non vedere i vostri dati” e “il fornitore non può vederli” non sta nell’intenzione dichiarata: sta in chi amministra l’infrastruttura su cui girano le interrogazioni.

È il comunicato stesso a dare la scala del problema, parlando della piattaforma interna GenAI.mil: «Over 1.3 million Department personnel have used the platform, generating tens of millions of prompts and deploying hundreds of thousands of agents in only five months» — oltre 1,3 milioni di persone, decine di milioni di richieste e centinaia di migliaia di agenti in cinque mesi. A quel volume nessun impegno preso a voce regge: o la risposta la dà un registro, o non esiste.

I due assi, su questo tema

Adempiere: le sei domande non restano un questionario da far firmare al fornitore e archiviare. Diventano un controllo che gira — un registro delle interrogazioni, dei dati trattati e delle risposte generate dai sistemi di AI in uso, con data, utente, scopo ed esito, prodotto dal sistema stesso e pronto per un’ispezione. Non è ciò che il fornitore dichiara: è la traccia che il vostro sistema lascia.

Decidere: lo stesso impianto che produce quel registro tiene insieme i dati sparsi dell’organizzazione — impianti, archivi, gestionali, sensori, documenti — in un modello operativo unico, su cui agenti AI eseguono decisioni con un operatore al comando: per grandi imprese, difesa, pubblica amministrazione e sanità la domanda non è più teorica. Sul punto il committente è d’accordo con noi: il comunicato promette «an architecture that prevents AI vendor lock». È la ragione per cui i nostri impianti sono multimodello — il modello si sostituisce quando volete, anche solo per confrontarlo — perché il valore sta nella vostra ontologia, nei vostri dati e nei vostri processi. E la proprietà dei pesi è un potere che la Commissione europea si è già data per legge: se il modello gira dentro il vostro perimetro e i pesi sono vostri, la domanda 10 non è più una domanda a un fornitore che potrebbe non rispondere. È un’interrogazione sul vostro log. Sempre in entrambe le modalità dell’offerta — on-premise su macchine autonome che non richiedono integrazione profonda nella vostra rete, o cloud dedicato con data center in Italia — e sempre con gestione condivisa: non dovete già avere in casa chi amministra sistemi di AI classificati o critici.

Volete sapere se, oggi, riuscireste a rispondere alla domanda 10 sul vostro stesso sistema — chi ha visto quali query, quali dati, quali output? Mezz’ora, senza costi, per fare la mappa.