---
title: "Distillare un modello che non si può esportare: che cosa cambia per chi espone un’API"
description: "Reuters ha esaminato oltre 80 documenti cinesi sulla distillazione di modelli OpenAI e Anthropic. Perché una clausola contrattuale non è un controllo tecnico."
url: https://csidia.com/note-operative/distillazione-modelli-usa-ricerca-militare-cinese/
lang: it
date: 2026-07-31
label: "Osservatorio"
publisher: CSIDIA S.r.l. (https://csidia.com/)
english: https://csidia.com/en/notes/distillazione-modelli-usa-ricerca-militare-cinese/
---

# Distillare un modello che non si può esportare: che cosa cambia per chi espone un’API

Oggi, **31 luglio 2026**, Reuters ha pubblicato un’inchiesta in esclusiva: ricercatori legati all’Esercito popolare di liberazione e ad altri organismi di sicurezza cinesi avrebbero usato le uscite dei modelli di **OpenAI** e **Anthropic** per addestrare sistemi nazionali destinati a sorveglianza, guerra cibernetica, droni e decisione tattica. L’agenzia dichiara di aver esaminato **oltre 80 fra articoli accademici e brevetti cinesi**: una raccolta preparata dalla **Jamestown Foundation** di Washington e condivisa in esclusiva con Reuters, più circa due dozzine di casi individuati direttamente dall’agenzia.

Una precisazione, perché cambia il peso di tutto il resto: è una singola inchiesta d’agenzia e l’elenco dei documenti esaminati non è stato pubblicato, quindi oggi nessun lettore può rifare la verifica per conto proprio. Riportiamo ciò che Reuters afferma, attribuendolo, e gli mettiamo accanto i documenti che invece si leggono per intero: i contratti dei due fornitori.

## Che cosa l’inchiesta afferma di aver trovato

La tecnica ricorrente è la **distillazione**: si interroga un modello grande, si raccolgono le sue uscite e le si usa come materiale di addestramento per un modello piccolo, che poi gira in locale con poca potenza di calcolo. Non è illecita in sé, ed è di uso corrente in tutto il settore: la contestazione riguarda l’estrazione non autorizzata di capacità da sistemi proprietari, non il metodo.

I casi riportati dall’agenzia:

- un articolo dell’anno scorso di ricercatori della **Unità 96941** dell’EPL — per Reuters un’unità di intelligence e guerra cibernetica con base a Pechino — su **GPT-3.5** usato per riassumere codice sorgente militare; su quei riassunti è stato addestrato un modello nazionale, così da lavorare interamente dentro le reti militari cinesi. La motivazione dichiarata: i modelli esterni non sono adatti alle informazioni classificate;
- alla **North University of China**, descritta come legata all’industria degli armamenti, **Claude 3 Haiku** usato per generare dati sintetici di addestramento per un classificatore di testo destinato al monitoraggio dei contenuti sui social;
- un articolo del **2024** della **National University of Defense Technology** dell’EPL sulla riduzione di un modello di elaborazione immagini da imbarcare su droni, per analizzare video in tempo reale e sostenere navigazione e puntamento anche a comunicazioni interrotte;
- uno studio di quest’anno dell’**Academy of Military Sciences** su un modello di riconoscimento bersagli fatto girare su hardware tattico in operazioni marittime simulate con droni, navi e mezzi subacquei senza equipaggio;
- a **gennaio**, un articolo della **Army Engineering University** sulla *data-free distillation*, la ricostruzione delle capacità di un modello senza accedere ai suoi parametri, con proposte di difesa per nascondere quel che le uscite pubbliche lasciano trapelare.

Reuters riferisce anche il contesto: amministrazioni centrali e locali promuovono da tempo l’«alleggerimento dei modelli» e il calcolo a bordo, con finanziamenti per far girare sistemi di IA su droni, satelliti e dispositivi a potenza limitata.

## Chi ha risposto e chi no

**Anthropic** ha dichiarato di non fornire accesso commerciale a Claude in Cina né a società controllate da Pechino e di usare sistemi di monitoraggio per rilevare violazioni delle proprie regole; ha aggiunto che un modello distillato può perdere le protezioni di sicurezza dell’originale, trasferendo capacità sensibili fuori dal controllo di chi le ha costruite. **Casa Bianca, Pentagono, ministero degli Esteri cinese, EPL e OpenAI non hanno risposto** alle richieste dell’agenzia. La posizione cinese su accuse di questo tipo resta quella nota: «egemonismo» statunitense sull’IA e pratiche analoghe da parte delle aziende americane. Moonshot, riferisce Reuters, ha negato la settimana scorsa che Kimi K3 sia nato per distillazione: [di quelle accuse abbiamo scritto il 27 luglio](https://csidia.com/note-operative/modelli-aperti-restrizioni-cosa-resta-installato), quando erano dichiarazioni su una piattaforma social e non atti.

Un limite tecnico ridimensiona lo scenario: un modello distillato riproduce **capacità selezionate**, non l’intelligenza generale del sistema da cui è stato estratto. Trevor Koverko, cofondatore della società di dati Sapien, lo dice all’agenzia così: «It is best understood as transferring selected capabilities into a cheaper, locally controlled system, not achieving independence from frontier AI.»

## I documenti che potete leggere: i contratti

Il metro su cui si misura la violazione è pubblico, e conviene conoscerlo perché lo userete in un questionario fornitore.

**Anthropic** mette il divieto nella *Usage Policy* (in vigore dal **15 settembre 2025**), sezione «Do Not Abuse our Platform»: è vietata la «Utilization of inputs and outputs to train an AI model (e.g., “model scraping” or “model distillation”) without prior authorization from Anthropic». Il divieto torna in forma contrattuale nelle *Commercial Terms of Service* (**17 giugno 2025**): il cliente non può «access the Services to build a competing product or service, including to train competing AI models».

**OpenAI** lo mette altrove, ed è il dettaglio che fa sbagliare la domanda. Nelle *Usage policies* (in vigore dal **29 ottobre 2025**) la distillazione non compare: lì ci sono il divieto d’uso per «weapons development, procurement, or use, including conventional weapons or CBRNE» e quello per «national security or intelligence purposes without our review and approval». Il divieto di estrazione sta nei *Terms of Use* nella versione applicabile fuori dagli Stati Uniti (in vigore dal **1° gennaio 2026**), nell’elenco «What you cannot do»: «Automatically or programmatically extract data or Output» e «Use Output to develop models that compete with OpenAI». Sul lato impresa, il *Services Agreement* (**1° gennaio 2026**) definisce «Reverse Engineer» includendo espressamente «model extraction or stealing attacks».

Quindi chiedere a un fornitore «la vostra usage policy vieta la distillazione?» dà risposte diverse a seconda di dove il divieto è scritto, e un «no» non significa che non ci sia: va letta la catena completa — politiche d’uso, condizioni per le persone fisiche, contratto d’impresa.

## La lezione operativa

Il punto non è geopolitico, ed è per questo che riguarda anche chi non venderà mai nulla a un ministero della difesa: **una clausola contrattuale non è un controllo tecnico**. Un divieto scritto agisce dopo — sospensione dell’utenza, risoluzione, causa. Non impedisce che le uscite escano, perché le uscite sono il prodotto che avete venduto; e chi interroga un modello a ritmo industriale da una giurisdizione in cui la clausola non si fa valere, la clausola non la sente. Lo si era già visto sull’accesso: [modelli statunitensi raggiungibili, legalmente, dalle filiali estere di gruppi cinesi in lista nera](https://csidia.com/note-operative/google-cina-singapore-controlli-export), mentre il controllo all’esportazione si occupava dell’hardware.

Vale in due direzioni. **Se comprate un modello via API**, il fornitore vi promette sulle uscite un controllo che non ha: clausole, monitoraggio degli abusi e sospensioni non sono barriere fisiche. Non è un argomento contro l’API, è un argomento per non scriverla come se fosse una garanzia — [un limite non scritto e verificabile non esiste](https://csidia.com/note-operative/contratti-ai-termini-riservati-limiti-verificabili), e uno scritto ma non misurabile vale poco di più. **Se esponete un modello via API** — servizio ai clienti, assistente di prodotto, endpoint per i partner — le vostre uscite sono il potenziale set di addestramento di qualcun altro. Se dentro c’è lavoro vostro (regole di prezzo, criteri di valutazione, procedure di diagnosi), la distillazione è un canale di fuoriuscita di segreto industriale che nessuna clausola intercetta da sola.

Cosa fare adesso:

1. **Misurate, non solo vietate.** Limiti per utenza sulle richieste, rilevazione di schemi di interrogazione sistematici, allarmi sui volumi anomali da poche credenziali: è l’unico strato che agisce mentre il fatto accade.
2. **Riducete l’informazione per risposta.** Restituire il risultato senza la catena di ragionamento che l’ha prodotto abbassa il valore della distillazione: insegnare la risposta è facile, insegnare il perché no.
3. **Scrivetelo nel contratto, sapendo a che serve.** Il divieto di usare le uscite per addestrare modelli fonda la risoluzione e il risarcimento. Non ferma nessuno.
4. **Distinguete i dati che possono uscire da quelli che non possono.** Per informazioni classificate, sanitarie o industriali sensibili la risposta non è una clausola migliore: è un modello che gira dove stanno i dati. È la scelta che trattiamo in [hardware e modelli a pesi aperti](https://csidia.com/hardware-e-modelli-a-pesi-aperti), dove il tema è la proprietà dello stack e non solo la sua licenza.

## Fonti

- [Reuters — Exclusive: Chinese military researchers tap US AI models to train defence systems (31 luglio 2026)](https://www.reuters.com/world/asia-pacific/chinese-military-researchers-tap-us-ai-models-train-defence-systems-2026-07-31/)
- [Anthropic — Usage Policy (in vigore dal 15 settembre 2025)](https://www.anthropic.com/legal/aup)
- [Anthropic — Commercial Terms of Service (17 giugno 2025)](https://www.anthropic.com/legal/commercial-terms)
- [OpenAI — Usage policies (in vigore dal 29 ottobre 2025)](https://openai.com/policies/usage-policies/)
- [OpenAI — Terms of Use, versione applicabile fuori dagli Stati Uniti (1° gennaio 2026)](https://openai.com/policies/row-terms-of-use/)
- [OpenAI — Services Agreement (1° gennaio 2026)](https://openai.com/policies/services-agreement/)

Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/distillazione-modelli-usa-ricerca-militare-cinese/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com