Se cambiano le regole sui modelli aperti, che fine fa quello che avete già installato?

Il 24 luglio 2026 venticinque fra aziende e organizzazioni hanno firmato la lettera aperta «Open Weights and American AI Leadership»: fra i firmatari NVIDIA, Microsoft, Meta, IBM, Dell Technologies, Palantir, Mistral, Hugging Face, Mozilla, CrowdStrike e la Linux Foundation. Non figurano OpenAI, Anthropic e Google.

Conviene essere precisi, perché la differenza è sostanziale: non è un commento depositato in una consultazione, non risponde a una proposta di regolamento, non impugna un atto. È una lettera pubblica indirizzata ai «policymakers» e ospitata sul sito di uno dei firmatari. La richiesta è una: mantenere «the frontier plural by avoiding premature restrictions on open models that stifle competition or drive innovation overseas».

Il contesto è più caldo del documento. Secondo Lawfare, lo stesso 24 luglio il direttore dell’Office of Science and Technology Policy Michael Kratsios ha scritto su X che Moonshot AI avrebbe «developed a sophisticated internal platform to conduct large scale distillation against U.S. models», e il segretario al Tesoro Scott Bessent che «sanctions and Entity List designations will be on the table». Dichiarazioni su una piattaforma social, non atti: al 27 luglio non risulta pubblicato alcun provvedimento né aperta alcuna consultazione formale.

Le due posizioni, per quello che c’è scritto

Chi teme le restrizioni argomenta su quattro punti, nell’ordine della lettera: accesso, sostenibilità economica (il modello giusto per il compito giusto, non quello di frontiera per ogni cosa), concorrenza e controllo di chi adotta, che non vuole «become locked into a single provider». Sul rischio il testo non fa finta di niente: «Once released, the weights are beyond the original developer’s control, and modified versions are difficult to trace or reverse». La risposta proposta non è vietare, ma dare a chi difende modelli di capacità comparabile a quelli usati da chi attacca.

Chi le restrizioni le propone ha meno documenti pubblici, e va detto. La posizione più argomentata non viene da un’azienda: è dell’AI Security Institute britannico, che scrive la stessa frase dall’angolo opposto — «Once a system is released with open weights, it cannot be rolled back» — e osserva che le difese introdotte con la messa a punto «can be easily undone using just dozens of training examples». Fra le opzioni di gestione del rischio l’istituto elenca anche la più drastica: non rilasciare a pesi aperti i sistemi ad alto rischio. Il 17 luglio 2026 ne ha misurato la posta: sulle capacità cyber i modelli aperti recenti stanno «4 to 7 months» dietro i chiusi di frontiera, contro i 6-10 mesi di gran parte del 2025.

Sul piano legislativo statunitense lo strumento più avanzato resta il No Adversarial AI Act (S. 2177), depositato il 25 giugno 2025 dal senatore Rick Scott con un cofirmatario democratico e ancora alla prima fase: vieterebbe alle agenzie federali di acquisire o usare IA sviluppata da soggetti di Paesi avversari. Alcune ricostruzioni riferiscono pressioni dei laboratori di frontiera per un divieto più largo, ma con fonti non nominate: non le trattiamo come fatti. E non risultano prese di posizione pubbliche di OpenAI, Anthropic o Google a favore di restrizioni sui pesi aperti in quanto tali.

L’asimmetria che riguarda voi

Per chi un modello aperto lo ha già installato la domanda non è chi abbia ragione. È: che cosa succede a quello che gira nella nostra infrastruttura?

Un file di pesi copiato dentro il vostro perimetro non ha un interruttore remoto. Se il fornitore cambia strategia, se un repository lo rimuove, se un governo ne limita la distribuzione, l’esemplare che avete continua a funzionare come ieri. Un servizio raggiunto via interfaccia remota può invece cessare o cambiare comportamento senza il vostro consenso e senza preavviso utile.

Il precedente è recente. Il 31 ottobre 2025 Google ha annunciato di togliere Gemma da AI Studio, poche ore dopo una lettera della senatrice Marsha Blackburn a Sundar Pichai; come riportava Ars Technica, «the models are available for download if you want to develop with them locally». La superficie pubblica è sparita in una sera. I pesi già scaricati no. È la stessa irreversibilità che preoccupa l’istituto britannico, vista dal lato di chi deve garantire un servizio.

Vale capire che cosa fanno gli strumenti nominati in questi giorni. Una designazione in Entity List agisce su esportazioni, riesportazioni e trasferimenti verso il soggetto elencato: limita ciò che gli si può mandare, non ordina di cancellare copie già distribuite. Un divieto di acquisto vincola chi compra. Sono leve sui flussi futuri, non sugli archivi esistenti. Il rischio per voi si chiama approvvigionamento, non confisca, e si gestisce prima.

Il rovescio: i pesi non invecchiano, tutto il resto sì

Fermarsi qui sarebbe disonesto. Un modello congelato non migliora: niente nuovi checkpoint, niente correzioni dei comportamenti indesiderati, niente adattamento a formati e lingue nuovi. E se la distanza fra aperti e chiusi si misura in mesi, quella fra il vostro esemplare e lo stato dell’arte fra due anni si misurerà altrimenti.

Soprattutto, le correzioni di sicurezza che contano quasi mai stanno nei pesi: stanno nel motore che li esegue. CVE-2025-32444 riguarda vLLM, punteggio CVSS 9.8, esecuzione di codice da remoto nelle installazioni con integrazione Mooncake per una deserializzazione pickle sopra socket ZeroMQ non protetti; corretta nella versione 0.8.5. Chi congela l’ambiente per non rompere nulla congela anche i suoi difetti. E un archivio di soli file di pesi, senza l’ambiente che li esegue, fra due anni è un blocco di numeri che nessuno sa rimettere in moto.

Che cosa archiviare oggi

• I pesi con l’impronta crittografica di ogni file e il riferimento esatto della revisione da cui li avete presi. «L’ultima versione» non è un riferimento.
• Accanto ai pesi: tokenizzatore, configurazioni, template della conversazione, scheda del modello e testo di licenza del giorno del download.
• L’ambiente, non solo l’immagine binaria: la ricetta per ricostruirla — versioni di motore, driver e librerie, parametri di avvio, procedura di quantizzazione.
• Il vostro insieme di valutazione: prompt reali, documenti reali, risposte attese. È l’unica prova che un modello sostitutivo fa lo stesso lavoro.
• Un secondo candidato di un’altra giurisdizione, già scaricato e già provato. Che i pesi finiscano dentro controlli all’esportazione non è un’ipotesi di scuola.
• Nel contratto o nel capitolato: consegna degli artefatti su supporto e diritto di conservarli oltre la scadenza. Un limite che non è scritto non esiste.

La continuità non è una proprietà del modello: è una proprietà dell’infrastruttura in cui gira. Il nostro impianto tecnico prevede due modalità: on-premise nell’ambiente del cliente, oppure cloud dedicato riservato al singolo cliente, con VPN dedicata, data center in Italia e locali presidiati direttamente da noi. In entrambe pesi, artefatti e ambiente restano dove potete inventariarli, e un cambio di regole altrove diventa una decisione di approvvigionamento invece che un fermo macchina.

Avete un modello aperto in produzione e nessun inventario di che cosa serve per rimetterlo in piedi altrove? Mezz’ora con un nostro esperto: ricostruiamo l’elenco degli artefatti da archiviare e il piano di sostituzione.

Fonti

• Open Weights and American AI Leadership — testo integrale della lettera del 24 luglio 2026 e firmatari (PDF)
• AI Security Institute — Managing risks from increasingly capable open-weight AI systems
• AI Security Institute — How far behind the frontier are leading open weight models on cyber? (17 luglio 2026)
• Lawfare — Tom Uren, «Knives Are Out for Open-Weight AI Models» (24 luglio 2026)