Avvia una prova

Note operative Osservatorio

Contratti AI: se i limiti d’uso non sono scritti e verificabili, non esistono

7 min di lettura

Buste da lettera scure chiuse con sigilli di ceralacca, sovrapposte su un piano, in bianco e nero
Un accordo può essere firmato e restare chiuso: chi vigila non verifica ciò che non gli viene mostrato.

Il 6 luglio 2026 la senatrice Elizabeth Warren ha scritto al segretario alla Difesa Pete Hegseth e, con una lettera separata, a sette aziende tecnologiche che stanno portando i propri modelli sulle reti classificate del Pentagono. Chiedeva una cosa sola: il testo integrale dei contratti, in forma non classificata, entro il 20 luglio. Oggi è il 25 e nessun testo risulta pubblicato. Dalla lettera: «è impossibile valutare le tutele e i divieti che possono esistere nell’accordo della vostra azienda con il DoD senza vedere il contratto integrale, che né il DoD né la vostra azienda hanno reso disponibile».

I fatti, in ordine

  • 1° maggio 2026: il Dipartimento della Difesa annuncia accordi con otto aziende — SpaceX, OpenAI, Google, NVIDIA, Microsoft, Amazon Web Services, Reflection AI e Oracle — per portare capacità AI negli ambienti Impact Level 6 (classificato fino al livello secret) e Impact Level 7 (dati a diffusione altamente ristretta). Dei termini si conosce una formula: l’uso è ammesso per ogni «lawful operational use», ogni impiego operativo lecito.
  • 6 luglio 2026: partono le lettere — una al segretario Hegseth, una separata a sette aziende. Quale delle otto resti fuori non risulta da fonti verificabili: la lettera collettiva non è pubblica e le ricostruzioni non concordano.
  • Cosa viene chiesto: quali prodotti girano sui sistemi classificati, in quali situazioni, e se gli accordi consentano sorveglianza domestica di massa o armi autonome letali. A Hegseth, in più, i criteri con cui è stato aggiudicato l’accordo a Reflection AI — azienda che non ha ancora rilasciato pubblicamente un modello, finanziata anche da un fondo di cui è socio Donald Trump Jr.
  • L’argomento: anche dove una tutela esiste, il linguaggio può essere troppo ampio per vincolare qualcuno. «Finché il Dipartimento può sostenere in modo plausibile che la propria condotta non è illecita, sembra libero di usare la vostra tecnologia in modi che danneggiano popolazioni civili», scrive Warren.
  • La posizione del Dipartimento: all’annuncio di maggio i funzionari hanno dichiarato che gli accordi servono a «prevenire il vendor lock e garantire flessibilità di lungo periodo alla Joint Force». Sul merito dei termini non risultano dichiarazioni pubbliche ulteriori, né una risposta pubblica alla lettera.
  • La posizione delle aziende: nessuna delle sette risulta aver pubblicato il contratto o una replica. OpenAI è l’unica ad aver reso pubblici stralci dei propri termini, a febbraio 2026.
  • Il precedente: il 27 febbraio 2026 i senatori Edward Markey e Chris Van Hollen avevano scritto allo stesso Hegseth contestando una campagna di pressione sui fornitori. Secondo quella lettera il Dipartimento aveva chiesto alle quattro aziende con accordi fino a 200 milioni di dollari di sostituire i propri termini di servizio con un’autorizzazione generale «per ogni scopo lecito»; a chi rifiutò — il caso che abbiamo seguito il 22 luglio — seguirono la designazione come rischio della catena di approvvigionamento e la minaccia del Defense Production Act.

I documenti pubblici dicono cosa è stato chiesto, a chi e con quali parole, non perché; e non dicono se una risposta sia arrivata per vie riservate. L’assenza di una pubblicazione non è la prova di un rifiuto — ed è proprio questo il punto contestato: che dall’esterno le due cose non si distinguano.

Quando la tecnologia è la stessa per tutti, il limite lo scrive il contratto

Gli otto fornitori vendono modelli che, nella sostanza, chiunque altro può comprare. Non è il modello a decidere cosa se ne può fare: la stessa capacità che redige una sintesi d’intelligence può profilare cittadini. Non lo decide la norma, che parla per categorie generali e arriva anni dopo. Non lo decide la policy d’uso del fornitore, atto unilaterale modificabile senza il vostro consenso. Resta un solo posto dove i limiti d’uso esistono davvero: il capitolato e il contratto. E se quelle clausole sono coperte da riservatezza commerciale, nemmeno chi vigila può sapere quali siano.

Un limite scritto non è ancora un limite verificabile

Il caso OpenAI serve perché è l’unico leggibile. Il testo pubblicato prevede che il sistema non diriga autonomamente armi autonome «nei casi in cui la legge, il regolamento o la politica del Dipartimento impongano il controllo umano». Ma la politica del Dipartimento la scrive il Dipartimento, e la direttiva sull’autonomia nei sistemi d’arma ammette deroghe: la sezione 1061 dell’NDAA per l’anno fiscale 2026 impone infatti di comunicarle alle commissioni difesa. Sul versante sorveglianza gli analisti hanno pesato le parole «intenzionalmente» e «conforme alla legge applicabile»: per la Electronic Frontier Foundation «accordi segreti e assicurazioni tecniche non sono mai bastati a contenere le agenzie di sorveglianza». Un’analisi del Center for Democracy & Technology elenca cinque nodi irrisolti, e nessuno riguarda le parole: riguardano chi verifica, con quali registri, e se l’esclusione di alcune agenzie sia permanente o temporanea.

La conseguenza per chi compra in Europa

La governance dell’AI che credete di avere è quella che siete riusciti a mettere per iscritto e a poter esibire. Un limite d’uso che non potete verificare tecnicamente è una promessa, non un controllo. La leva esiste già, ma va esercitata:

  • Art. 30, comma 2, D.lgs. 36/2023: acquistando o sviluppando soluzioni automatizzate, la stazione appaltante assicura la disponibilità del codice sorgente, della documentazione e di «ogni altro elemento utile a comprenderne le logiche di funzionamento».
  • AI Act, art. 25 § 4: fra fornitore di sistema ad alto rischio e terzo che gli fornisce modelli, strumenti o componenti serve un accordo scritto che specifichi informazioni, capacità e accesso tecnico necessari alla conformità.
  • AI Act, art. 26 § 6: il deployer conserva i log del sistema «nella misura in cui sono sotto il suo controllo», almeno sei mesi. Se il fornitore non ve li consegna, l’obbligo è inadempibile — e la clausola che lo rende adempibile sta nel vostro contratto, non nel regolamento.

Le clausole da pretendere

  1. Limiti d’uso espliciti ed elencati, per casi d’uso vietati e non per principi: la formula «ogni uso lecito» non è un limite.
  2. Diritto di audit su chi ha usato cosa, esercitabile da voi o da un terzo indipendente, con tempi e perimetro scritti.
  3. Log conservati e accessibili al committente, in formato leggibile e con durata definita — non «su richiesta motivata».
  4. Divieto di modifica unilaterale dei termini, comprese policy d’uso, condizioni di servizio e comportamento del modello.

E la domanda che smaschera tutto: chi può cambiare le regole d’uso dopo la firma, e con quale preavviso? Se la risposta è «il fornitore, con un aggiornamento sul proprio sito», i vostri limiti sono una pagina web. Lo stesso esercizio vale con il fornitore di un modello di uso generale, e va fatto prima della gara — non dopo, quando un requisito scritto male fa saltare la procedura.

Un limite di fondo resta: le clausole diventano verificabili solo quando l’infrastruttura è sotto il controllo del committente. Per questo il nostro impianto tecnico prevede due modalità di consegna: on-premise nell’ambiente del cliente, oppure cloud dedicato riservato al singolo cliente, con VPN dedicata, data center in Italia e locali presidiati direttamente da noi. In entrambi i casi i log sono vostri, l’audit lo fate quando volete, e le regole d’uso non cambiano senza passare da voi.

Volete sapere se il contratto AI che state per firmare regge una verifica sui limiti d’uso? Mezz’ora con un nostro esperto per una lettura delle clausole e delle evidenze.

Fonti