Distillare un modello che non si può esportare: che cosa cambia per chi espone un’API

Oggi, 31 luglio 2026, Reuters ha pubblicato un’inchiesta in esclusiva: ricercatori legati all’Esercito popolare di liberazione e ad altri organismi di sicurezza cinesi avrebbero usato le uscite dei modelli di OpenAI e Anthropic per addestrare sistemi nazionali destinati a sorveglianza, guerra cibernetica, droni e decisione tattica. L’agenzia dichiara di aver esaminato oltre 80 fra articoli accademici e brevetti cinesi: una raccolta preparata dalla Jamestown Foundation di Washington e condivisa in esclusiva con Reuters, più circa due dozzine di casi individuati direttamente dall’agenzia.

Una precisazione, perché cambia il peso di tutto il resto: è una singola inchiesta d’agenzia e l’elenco dei documenti esaminati non è stato pubblicato, quindi oggi nessun lettore può rifare la verifica per conto proprio. Riportiamo ciò che Reuters afferma, attribuendolo, e gli mettiamo accanto i documenti che invece si leggono per intero: i contratti dei due fornitori.

Che cosa l’inchiesta afferma di aver trovato

La tecnica ricorrente è la distillazione: si interroga un modello grande, si raccolgono le sue uscite e le si usa come materiale di addestramento per un modello piccolo, che poi gira in locale con poca potenza di calcolo. Non è illecita in sé, ed è di uso corrente in tutto il settore: la contestazione riguarda l’estrazione non autorizzata di capacità da sistemi proprietari, non il metodo.

I casi riportati dall’agenzia:

un articolo dell’anno scorso di ricercatori della Unità 96941 dell’EPL — per Reuters un’unità di intelligence e guerra cibernetica con base a Pechino — su GPT-3.5 usato per riassumere codice sorgente militare; su quei riassunti è stato addestrato un modello nazionale, così da lavorare interamente dentro le reti militari cinesi. La motivazione dichiarata: i modelli esterni non sono adatti alle informazioni classificate;
alla North University of China, descritta come legata all’industria degli armamenti, Claude 3 Haiku usato per generare dati sintetici di addestramento per un classificatore di testo destinato al monitoraggio dei contenuti sui social;
un articolo del 2024 della National University of Defense Technology dell’EPL sulla riduzione di un modello di elaborazione immagini da imbarcare su droni, per analizzare video in tempo reale e sostenere navigazione e puntamento anche a comunicazioni interrotte;
uno studio di quest’anno dell’Academy of Military Sciences su un modello di riconoscimento bersagli fatto girare su hardware tattico in operazioni marittime simulate con droni, navi e mezzi subacquei senza equipaggio;
a gennaio, un articolo della Army Engineering University sulla data-free distillation, la ricostruzione delle capacità di un modello senza accedere ai suoi parametri, con proposte di difesa per nascondere quel che le uscite pubbliche lasciano trapelare.

Reuters riferisce anche il contesto: amministrazioni centrali e locali promuovono da tempo l’«alleggerimento dei modelli» e il calcolo a bordo, con finanziamenti per far girare sistemi di IA su droni, satelliti e dispositivi a potenza limitata.

Chi ha risposto e chi no

Anthropic ha dichiarato di non fornire accesso commerciale a Claude in Cina né a società controllate da Pechino e di usare sistemi di monitoraggio per rilevare violazioni delle proprie regole; ha aggiunto che un modello distillato può perdere le protezioni di sicurezza dell’originale, trasferendo capacità sensibili fuori dal controllo di chi le ha costruite. Casa Bianca, Pentagono, ministero degli Esteri cinese, EPL e OpenAI non hanno risposto alle richieste dell’agenzia. La posizione cinese su accuse di questo tipo resta quella nota: «egemonismo» statunitense sull’IA e pratiche analoghe da parte delle aziende americane. Moonshot, riferisce Reuters, ha negato la settimana scorsa che Kimi K3 sia nato per distillazione: di quelle accuse abbiamo scritto il 27 luglio, quando erano dichiarazioni su una piattaforma social e non atti.

Un limite tecnico ridimensiona lo scenario: un modello distillato riproduce capacità selezionate, non l’intelligenza generale del sistema da cui è stato estratto. Trevor Koverko, cofondatore della società di dati Sapien, lo dice all’agenzia così: «It is best understood as transferring selected capabilities into a cheaper, locally controlled system, not achieving independence from frontier AI.»

I documenti che potete leggere: i contratti

Il metro su cui si misura la violazione è pubblico, e conviene conoscerlo perché lo userete in un questionario fornitore.

Anthropic mette il divieto nella Usage Policy (in vigore dal 15 settembre 2025), sezione «Do Not Abuse our Platform»: è vietata la «Utilization of inputs and outputs to train an AI model (e.g., “model scraping” or “model distillation”) without prior authorization from Anthropic». Il divieto torna in forma contrattuale nelle Commercial Terms of Service (17 giugno 2025): il cliente non può «access the Services to build a competing product or service, including to train competing AI models».

OpenAI lo mette altrove, ed è il dettaglio che fa sbagliare la domanda. Nelle Usage policies (in vigore dal 29 ottobre 2025) la distillazione non compare: lì ci sono il divieto d’uso per «weapons development, procurement, or use, including conventional weapons or CBRNE» e quello per «national security or intelligence purposes without our review and approval». Il divieto di estrazione sta nei Terms of Use nella versione applicabile fuori dagli Stati Uniti (in vigore dal 1° gennaio 2026), nell’elenco «What you cannot do»: «Automatically or programmatically extract data or Output» e «Use Output to develop models that compete with OpenAI». Sul lato impresa, il Services Agreement (1° gennaio 2026) definisce «Reverse Engineer» includendo espressamente «model extraction or stealing attacks».

Quindi chiedere a un fornitore «la vostra usage policy vieta la distillazione?» dà risposte diverse a seconda di dove il divieto è scritto, e un «no» non significa che non ci sia: va letta la catena completa — politiche d’uso, condizioni per le persone fisiche, contratto d’impresa.

La lezione operativa

Il punto non è geopolitico, ed è per questo che riguarda anche chi non venderà mai nulla a un ministero della difesa: una clausola contrattuale non è un controllo tecnico. Un divieto scritto agisce dopo — sospensione dell’utenza, risoluzione, causa. Non impedisce che le uscite escano, perché le uscite sono il prodotto che avete venduto; e chi interroga un modello a ritmo industriale da una giurisdizione in cui la clausola non si fa valere, la clausola non la sente. Lo si era già visto sull’accesso: modelli statunitensi raggiungibili, legalmente, dalle filiali estere di gruppi cinesi in lista nera, mentre il controllo all’esportazione si occupava dell’hardware.

Vale in due direzioni. Se comprate un modello via API, il fornitore vi promette sulle uscite un controllo che non ha: clausole, monitoraggio degli abusi e sospensioni non sono barriere fisiche. Non è un argomento contro l’API, è un argomento per non scriverla come se fosse una garanzia — un limite non scritto e verificabile non esiste, e uno scritto ma non misurabile vale poco di più. Se esponete un modello via API — servizio ai clienti, assistente di prodotto, endpoint per i partner — le vostre uscite sono il potenziale set di addestramento di qualcun altro. Se dentro c’è lavoro vostro (regole di prezzo, criteri di valutazione, procedure di diagnosi), la distillazione è un canale di fuoriuscita di segreto industriale che nessuna clausola intercetta da sola.

Cosa fare adesso:

Misurate, non solo vietate. Limiti per utenza sulle richieste, rilevazione di schemi di interrogazione sistematici, allarmi sui volumi anomali da poche credenziali: è l’unico strato che agisce mentre il fatto accade.
Riducete l’informazione per risposta. Restituire il risultato senza la catena di ragionamento che l’ha prodotto abbassa il valore della distillazione: insegnare la risposta è facile, insegnare il perché no.
Scrivetelo nel contratto, sapendo a che serve. Il divieto di usare le uscite per addestrare modelli fonda la risoluzione e il risarcimento. Non ferma nessuno.
Distinguete i dati che possono uscire da quelli che non possono. Per informazioni classificate, sanitarie o industriali sensibili la risposta non è una clausola migliore: è un modello che gira dove stanno i dati. È la scelta che trattiamo in hardware e modelli a pesi aperti, dove il tema è la proprietà dello stack e non solo la sua licenza.

Quei gruppi di ricerca distillano per la stessa ragione per cui un ospedale o una banca dovrebbero occuparsi della vicenda: vogliono un sistema che funzioni dentro un perimetro. La differenza sta in come lo si ottiene — estraendolo dal servizio di un altro, oppure costruendolo su modelli che si possono installare e su un’infrastruttura che si può ispezionare. È il criterio con cui consegniamo un sistema di IA dedicato, sempre in due modalità e mai in una sola: on-premise nell’ambiente del cliente, oppure cloud dedicato CSIDIA — ambiente riservato al singolo cliente, accesso via VPN dedicata, data center in Italia, locali presidiati direttamente da noi. In entrambi i casi le uscite del modello restano dentro un confine descrivibile in capitolato e verificabile in collaudo. Conta il metodo, non il fornitore di turno.

Esponete un modello o un assistente ai vostri clienti e non sapete che cosa esce dalle sue risposte? Parliamone in trenta minuti.

Che cosa l’inchiesta afferma di aver trovato

Chi ha risposto e chi no

I documenti che potete leggere: i contratti

La lezione operativa

Fonti