L’AI sa fare sempre di più, ma non è ancora affidabile: i rischi per lavoro e sicurezza

Capacità e affidabilità AI: la stessa metrica, due domande

L’intelligenza artificiale supera brillantemente esami notoriamente difficili, ma non sottrae posti di lavoro. Esegue compiti software complessi che richiederebbero a un programmatore esperto diversi giorni, ma ha il 50 per cento di probabilità di riuscire in compiti tecnici complessi. Il 50 per cento non è piuttosto basso?

Il problema, come hanno osservato John Burn-Murdoch e Sarah O’Connor in un recente numero della newsletter The AI Shift del Financial Times è che stiamo usando le stesse metriche per rispondere a due domande completamente diverse. La prima domanda è: esiste anche solo una modesta probabilità che l’AI possa riuscire in questo compito? La seconda è: possiamo fidarci che l’AI riuscirà quasi sempre?

Le due domande hanno implicazioni quasi diametralmente opposte. Se un sistema di intelligenza artificiale riesce nel 50 per cento dei casi a infiltrarsi in una rete informatica aziendale, siamo di fronte a un problema di sicurezza enorme: gli attaccanti hanno a disposizione uno strumento potente, basta che funzioni una volta su due perché il danno sia devastante. Ma se lo stesso sistema riesce nel 50 per cento dei casi a completare un compito che un’azienda affiderebbe a un dipendente, è semplicemente inutilizzabile: nessuno assumerebbe un professionista che ha lampi di genialità ma porta a termine il lavoro solo metà delle volte.

Questa distinzione tra il rischio di un esito negativo derivante dal successo dell’AI, dangerous success, e il rischio di un esito negativo derivante dal suo fallimento, dangerous failure, è fondamentale per comprendere lo stato reale della tecnologia. Eppure, le risposte a queste domande così diverse vengono costantemente appiattite in un unico quanto è capace l’AI?, alimentando una confusione che attraversa il dibattito pubblico, le decisioni aziendali e le scelte regolatorie.

Due ricerche recenti, provenienti da ambienti molto diversi, permettono di separare con precisione le due curve, quella della capacità e quella dell’affidabilità e di misurare la distanza tra loro.

Il time horizon di METR e la curva della capacità AI

Il tracciatore di capacità AI probabilmente più citato nella comunità della sicurezza è il software time horizon sviluppato da METR, Model Evaluation & Threat Research, un’organizzazione di ricerca specializzata nella valutazione delle capacità dei modelli di frontiera. In un paper pubblicato a febbraio 2026 e aggiornato più volte da allora, Measuring AI Ability to Complete Long Software Tasks, Kwa, West, Becker et al. https://arxiv.org/pdf/2503.14499, il gruppo di METR propone una metrica intuitiva: il 50% task completion time horizon, cioè la durata dei compiti, misurata in base al tempo che richiederebbero a un professionista umano competente, che un sistema AI è in grado di completare con successo almeno il 50 per cento delle volte.

La metrica è elegante perché traduce i punteggi astratti dei benchmark in un’unità di misura comprensibile: tempo umano equivalente. Se dico che un modello ha un orizzonte temporale di 110 minuti, sto dicendo che è in grado di completare, una volta su due, compiti che a un programmatore esperto richiederebbero quasi due ore di lavoro.

I risultati sono impressionanti sul piano della capacità grezza. Il time horizon al 50% è cresciuto in modo esponenziale dal 2019 al 2025, con un tempo di raddoppio di circa 207 giorni, poco meno di sette mesi. GPT-2, rilasciato nel 2019, aveva un orizzonte di 2 secondi. Il modello o3, rilasciato all’inizio del 2025, ha un orizzonte di circa 110 minuti e riesce in alcuni compiti che richiedono a un professionista umano oltre quattro ore. Il trend sembra addirittura in accelerazione nel periodo 2024-2025, con un tempo di raddoppio più rapido della media storica.

Se si proietta il trend, con tutte le cautele che gli stessi autori del paper sottolineano ripetutamente, si arriva a un orizzonte di un mese,167 ore lavorative, la soglia oltre la quale un sistema AI potrebbe essere economicamente equivalente a un neoassunto che completa l’onboarding, tra la metà del 2028 e la metà del 2031.

Ma perché il focus è sul software? La risposta rivela molto sulla natura delle preoccupazioni che guidano la ricerca sulle capacità dell’AI. Come ha spiegato Chris Painter, presidente di METR, in un episodio del podcast Odd Lots di Bloomberg, il progresso nei compiti di programmazione è un indicatore di quando i sistemi AI potrebbero iniziare ad accelerare il proprio stesso progresso, mettendo in moto il volano del miglioramento ricorsivo autonomo che potrebbe proiettare la tecnologia in un territorio sconosciuto e potenzialmente pericoloso. Aziende e ricercatori AI sono concentrati sul software perché è lì che convergono sia le ricompense più grandi sia i rischi maggiori.

La curva di METR, in altri termini, è stata progettata per rispondere alla prima domanda: quanto siamo vicini al punto in cui l’AI potrebbe diventare pericolosa? Si tratta di una metrica di dangerous success.

Ma c’è un dato nel paper che sposta radicalmente la prospettiva. METR ha calcolato anche l’orizzonte temporale all’80% di successo, la durata dei compiti che l’AI completa non una volta su due, ma quattro volte su cinque. Il tempo di raddoppio è quasi identico (204 giorni contro 207), ma gli orizzonti sono 4-6 volte più corti. In pratica, i modelli che a volte riescono in compiti da due ore riescono quasi sempre solo in compiti da 20-25 minuti.

Questo è il primo segnale che la frontiera della capacità e la frontiera dell’affidabilità non stanno correndo alla stessa velocità. Per confermarlo, bisogna guardare dall’altra parte dell’oceano accademico.

Affidabilità AI: il framework Princeton e il plateau dei modelli

In giugno, un gruppo di ricercatori della Princeton University guidato da Stephan Rabanser, Sayash Kapoor e Arvind Narayanan ha pubblicato un paper, Towards a Science of AI Agent Reliability che affronta il problema da una prospettiva radicalmente complementare a quella di METR. Il lavoro, presentato all’ICML 2026, la conferenza internazionale di riferimento per il machine learning, parte da una constatazione empirica: nonostante l’aumento costante dei punteggi di accuratezza sui benchmark standard, gli agenti AI continuano a fallire in modo imprevedibile nei dispiegamenti reali.

Il caso dell’assistente AI di Replit che ha cancellato un intero database di produzione nonostante istruzioni esplicite che lo vietavano. L’Operator di OpenAI che ha effettuato un acquisto non autorizzato bypassando la conferma dell’utente. Il chatbot governativo di New York che ha fornito consulenze legali errate alle imprese. In ciascuno di questi casi, agenti giudicati capaci durante le valutazioni interne hanno fallito in modo inaffidabile nel mondo reale.

La risposta del gruppo Princeton è stata costruire un framework di valutazione dell’affidabilità mutuato dall’ingegneria dei sistemi safety-critical, aviazione, nucleare, automotive, dove l’affidabilità non è un numero unico ma un profilo multidimensionale. Quattro dimensioni, dodici metriche concrete, testate su 15 modelli di tre diversi produttori (OpenAI, Google, Anthropic) nell’arco di 24 mesi di rilasci.

Il dato centrale è nella Figura 1 del paper e merita di essere letto con attenzione.

In 24 mesi di sviluppo, l’accuratezza dei modelli è salita con una pendenza di 0.23 punti per anno sul benchmark GAIA (compiti aperti, multi-step, che richiedono navigazione web e ragionamento complesso) e di 0.22 punti per anno su τ-bench (simulazione di customer service con interazioni multi-turno e azioni consequenziali). L’affidabilità complessiva? Pendenza di 0.03 punti per anno su GAIA e 0.09 su τ-bench.

Su GAIA, in pratica, l’affidabilità è quasi ferma nonostante l’accuratezza sia più che raddoppiata. Non è un difetto di un singolo produttore, tutti e tre i provider si addensano nella stessa zona del grafico, è un plateau strutturale dell’industria.

Le quattro dimensioni del framework Princeton meritano un’analisi dettagliata, perché ciascuna racconta una storia diversa.

Consistenza: i modelli più capaci sono meno prevedibili

La prima dimensione misura se un agente produce risultati simili quando viene eseguito più volte nelle stesse condizioni. Il risultato è controintuitivo, la correlazione tra consistenza e data di rilascio è addirittura negativa su GAIA (r = -0.14). I modelli più recenti e più capaci sono meno consistenti, non di più. Il motivo è strutturale: un modello più potente dispone di più percorsi risolutivi alternativi, il che aumenta la variabilità tra un tentativo e l’altro. I modelli piccoli, paradossalmente, sono più prevedibili perché hanno meno opzioni.

Il gruppo Princeton osserva un pattern che battezzano what but not when: gli agenti selezionano in modo affidabile le stesse tipologie di azioni attraverso diverse esecuzioni, ma variano l’ordine in cui le eseguono. Sanno cosa fare ma non quando farlo, è come un chirurgo che conosce tutti i passaggi dell’operazione ma li esegue in sequenza diversa ogni volta che entra in sala operatoria, una situazione che in ambito medico sarebbe considerata inaccettabile.

Questo pattern, va notato, corrisponde a quanto emerge anche dall’analisi qualitativa dei fallimenti nel paper METR. Esaminando i transcript di 32 esecuzioni fallite del modello o1, i ricercatori di METR hanno trovato che la metà dei fallimenti derivava dall’abbandono prematuro del compito, il modello sottomette una risposta senza verificarla, mentre il problema dominante nei modelli precedenti (GPT-4) era la ripetizione in loop di azioni fallimentari. I modelli nuovi hanno risolto un problema di persistenza, ma ne hanno creato uno di impazienza.

Robustezza: crash di rete e fragilità alle parafrasi

La seconda dimensione misura la stabilità delle prestazioni quando le condizioni operative deviano da quelle nominali. Il risultato rivela un’asimmetria sorprendente. La robustezza ai guasti tecnici, timeout delle API, risposte malformate, errori di rete, è vicina al massimo (1.0) per quasi tutti i modelli. La robustezza alle riformulazioni delle istruzioni, la stessa richiesta formulata con parole diverse, varia enormemente, da 0.66 a 1.00 a seconda del modello.

Il paradosso è che i modelli gestiscono bene i problemi tecnici reali ma restano vulnerabili a variazioni superficiali nel modo in cui il compito viene descritto. Un sistema che sopravvive a un crash di rete ma si confonde se l’utente dice annulla il mio abbonamento invece di cancella il mio piano, ha risolto il problema facile e fallisce su quello che dovrebbe essere banale. Per gli utenti reali, che non conoscono le parole magiche che fanno funzionare il sistema, questa fragilità è un ostacolo concreto all’adozione.

Prevedibilità: la media non basta sul caso singolo

La terza dimensione si articola in due sotto-metriche che raccontano storie molto diverse. La calibrazione, l’allineamento tra la fiducia espressa dal modello e il suo tasso di successo effettivo, è migliorata in modo chiaro nelle generazioni più recenti. I modelli Claude di Anthropic, in particolare, raggiungono errori di calibrazione molto bassi (ECE di 0.030 per Claude Opus 4.5 su GAIA). I sistemi stanno imparando a dire in media riesco nel 70% dei casi in modo corrispondente alla realtà.

Ma la discriminazione, la capacità del modello di distinguere i compiti su cui riuscirà da quelli su cui fallirà, è stagnante su GAIA e addirittura in peggioramento per alcuni dei modelli più recenti. I modelli sono diventati più bravi a stimare la propria percentuale complessiva di successo senza diventare più bravi a prevedere su quali compiti specifici falliranno.

Per un datore di lavoro, è la discriminazione che conta. Un modello ben calibrato che non riesce a segnalare i propri fallimenti probabili fornisce una falsa sensazione di affidabilità, l’utente riceve una stima media accurata della competenza del sistema ma nessun segnale di allarme per il singolo compito. Come un consulente che dice correttamente porto a termine l’80% dei progetti, ma non sa dirvi in anticipo se il vostro progetto sarà nell’80% o nel 20%.

Sicurezza: il 3% che cambia tutto

La quarta dimensione, misurata sulla simulazione di customer service di τ-bench, rivela che le violazioni finanziarie, importi sbagliati nei rimborsi, addebiti errati, sono la modalità di errore più comune in tutti i modelli testati. I modelli di frontiera più recenti hanno tassi di violazione significativamente più bassi (3-6% rispetto al 20-30% dei modelli precedenti), e le violazioni ad alta gravità sono rare. Ma rare in un contesto con milioni di interazioni giornaliere significa migliaia di errori consequenziali al giorno. Per i settori regolamentati, finanza, sanità, pubblica amministrazione, anche un tasso del 3% è un bloccante per il dispiegamento autonomo.

Mercato del lavoro tra capacità AI e soglia di affidabilità

La distanza tra la curva METR, la frontiera del possibile, cosa l’AI riesce a fare almeno qualche volta, e la curva Princeton, la soglia del dispiegabile: cosa l’AI fa in modo affidabile, consistente e sicuro, non è un dettaglio tecnico riservato ai ricercatori. Si tratta di una misura che impatta sul mercato del lavoro.

Questa distanza non colpisce tutti allo stesso modo.

Per i ruoli entry-level, compiti strutturati, feedback automatizzabile, procedure codificate, anche un’affidabilità al 70-80% può bastare a convincere un’organizzazione a non assumere. Se il compito è sufficientemente standardizzato e il costo del singolo errore è basso, anche se il volume degli errori è alto, l’azienda può decidere che il risparmio sulla massa salariale compensa la necessità di gestire un tasso di errore non trascurabile. Il primo gradino della scala professionale, quello che abbiamo chiamato la Scala Spezzata, è il più vulnerabile non perché l’AI sia più affidabile su quei compiti, ma perché la soglia di affidabilità richiesta è più bassa.

Per i ruoli senior, dove servono giudizio in condizioni di ambiguità, gestione di relazioni complesse, navigazione del mondo fisico e delle sue frizioni, la soglia è molto più alta. Il caso Ford è emblematico: l’azienda sta riassumendo ingegneri esperti perché i sistemi automatizzati di controllo qualità non erano abbastanza buoni. Non abbastanza capaci, ma abbastanza affidabili.

Il paper Princeton formalizza esattamente questa distinzione nella sua quarta raccomandazione, probabilmente la più significativa dal punto di vista delle implicazioni per il lavoro: i requisiti di affidabilità dovrebbero scalare con il grado di autonomia dell’agente. In contesti di augmentation, assistenti alla programmazione, copiloti di ricerca, strumenti di brainstorming, l’umano rivede, modifica e approva l’output prima che diventi azione. L’umano è il backstop di affidabilità: un suggerimento inconsistente è solo un fastidio, non un pericolo, perché deve passare attraverso il filtro del giudizio umano. Questo ha permesso agli assistenti di codifica AI di raggiungere un’adozione diffusa nonostante un’affidabilità imperfetta.

In contesti di automation, chatbot di customer service, gestione autonoma di database, workflow senza supervisione, l’output dell’agente è l’azione finale, senza buffer umano. Qui l’inaffidabilità si traduce direttamente in fallimenti nel mondo reale. Un agente che riesce nel 90% dei casi ma fallisce in modo imprevedibile nel restante 10% può essere un buon assistente ma è un sistema autonomo inaccettabile.

Questa distinzione, augmentation vs. automation, è la chiave per leggere l’impatto differenziale sul mercato del lavoro. I ruoli dove il modello di adozione naturale è l’automazione piena, mansioni ripetitive, strutturate, ad alto volume, con bassa tolleranza al rischio per singola transazione ma alta tolleranza al rischio aggregato, sono quelli dove la Scala si spezza prima. I ruoli dove il modello naturale è l’augmentation, mansioni complesse, relazionali, ad alto valore unitario, sono quelli dove l’umano resta necessario come verificatore, non perché l’AI non sia capace, ma perché non è abbastanza affidabile.

Ma c’è una dinamica più insidiosa in atto che riguarda il lato umano dell’equazione.

Delega, Sistema 3 e zona cieca dell’affidabilità AI

Se l’utente delega progressivamente al sistema non solo l’esecuzione del compito ma anche il giudizio sulla qualità dell’esecuzione, quella che in un contributo precedente ho chiamato la dinamica del Sistema 3, la progressiva cessione della funzione critica a un’infrastruttura algoritmica, perde la capacità di rilevare gli errori del sistema stesso. La discriminazione stagnante, il fatto empirico, documentato dal paper Princeton, che i modelli non stanno migliorando nella capacità di segnalare quando stanno per fallire, si combina con la delega crescente per creare una zona cieca che si allarga: l’errore avviene, non viene segnalato dal sistema e non viene colto dall’umano che ha smesso di verificare.

Il paradosso è che i modelli più capaci, offrendo risultati mediamente migliori, incoraggiano una delega maggiore, ma, come mostrano i dati Princeton sulla consistenza, sono anche più variabili nelle loro prestazioni. L’utente si fida di più di un sistema che ha meno motivi di fiducia sul singolo compito. La calibrazione migliorata aggrava il problema piuttosto che risolverlo: un sistema che dice correttamente in media riesco nell’80% dei casi rafforza la fiducia dell’utente, ma senza discriminazione non fornisce l’informazione che conta, su questo caso specifico potrei fallire.

La forbice tra capacità e affidabilità AI resta aperta

La domanda che resta aperta non è se la distanza tra capacità e affidabilità si chiuderà, ma quanto velocemente e per quali compiti prima. I dati METR offrono un indizio attraverso quello che i ricercatori chiamano il fattore di disordine: quanto più un compito reale è caotico, ambienti che cambiano, risorse limitate, assenza di riscontri automatici, necessità di coordinarsi con altre persone, errori irreversibili, tanto peggio se la cava l’intelligenza artificiale. Ogni grado aggiuntivo di disordine abbassa le prestazioni dei modelli di circa otto punti percentuali. I compiti usati nei test di laboratorio hanno un livello di disordine basso, i compiti che le persone svolgono ogni giorno in ufficio ne hanno uno molto più alto. il ritmo di miglioramento è lo stesso su entrambi i tipi di compito: la performance di partenza è più bassa, ma la velocità con cui cresce non cambia, è questione di tempo, non di direzione.

Dalla ricerca di Princeton emerge un’indicazione più immediata, che dovrebbe interessare chiunque prenda decisioni sull’adozione dell’intelligenza artificiale nelle organizzazioni: ciò che viene esplicitamente misurato e ottimizzato migliora. Quando i laboratori hanno deciso di lavorare sulla capacità dei modelli di stimare correttamente la propria competenza media e sulla riduzione dei comportamenti pericolosi, quei due aspetti sono migliorati in modo visibile. Quando non hanno investito altrettanto sulla coerenza dei risultati e sulla capacità del sistema di segnalare i singoli casi in cui probabilmente sbaglierà, quei due aspetti sono rimasti fermi. Se l’industria volesse davvero chiudere la forbice tra capacità e affidabilità, saprebbe dove intervenire. La domanda è se gli incentivi di mercato la spingeranno a farlo o se la corsa alla capacità pura continuerà a prevalere.

Nel frattempo, quello spazio tra le due curve è il territorio in cui le organizzazioni, i lavoratori e i regolatori devono prendere decisioni con informazioni incomplete. La domanda giusta non è l’intelligenza artificiale può fare questo compito?, ma se può farlo con l’affidabilità che il mio contesto richiede e chi paga il costo quando sbaglia?