A luglio, quando gli agenti di OpenAI usciti dal loro ambiente di test sono entrati nei sistemi di Hugging Face, la squadra di risposta agli incidenti dell’azienda ha provato ad analizzare i log con i modelli commerciali di frontiera. I filtri di sicurezza hanno bloccato le richieste: comandi d’attacco, payload ed elementi dell’infrastruttura di comando e controllo erano, per quei filtri, indistinguibili dal lavoro di un attaccante.
L’analisi forense è stata fatta allora con GLM 5.2, un modello open-weight rilasciato a giugno dalla cinese Zhipu con licenza MIT ed eseguito sull’infrastruttura di Hugging Face, così che né i dati dell’attaccante né le credenziali coinvolte uscissero dall’ambiente. Nel momento di massima pressione, la principale piattaforma dell’IA aperta si è difesa con un modello cinese, perché era lo strumento capace che poteva controllare per intero.
Indice degli argomenti
Pechino controlla l’export dei pesi aperti dei modelli AI cinesi
Il 16 ottobre il Ministero del Commercio e il Ministero della Scienza e della Tecnologia cinesi hanno messo in consultazione, fino al 15 novembre, una revisione del Catalogo delle tecnologie di cui è vietata o limitata l’esportazione. Le nuove voci sono 40, di cui 23 riguardano l’intelligenza artificiale: grandi modelli, agenti, cluster di calcolo, elaborazione dell’informazione. Nel frattempo, dalla data dell’annuncio, chi esporta le tecnologie elencate deve registrarsi in via preventiva. Nella lista ci sono anche progetti di chip, ma la novità è un’altra: per la prima volta Pechino si propone di controllare i pesi dei modelli.
Le soglie per pesi, codice e architettura
Le soglie stanno in un allegato tecnico che fa fede e che potrà cambiare con la versione definitiva. Secondo le prime letture, il controllo riguarderebbe pesi, codice sorgente, architettura e tecniche di addestramento dei modelli che superano anche una sola di tre soglie: 1026 operazioni di calcolo per l’addestramento, duemila miliardi di parametri, oppure un posto tra i primi dieci al mondo nelle valutazioni pubbliche di prestazioni, diffusione o sicurezza.
Quest’ultimo criterio è il più mobile, perché dipende da classifiche che cambiano ogni mese e che la bozza non indica con precisione. Più delle soglie, però, conta il perimetro tracciato dal portavoce del Ministero del Commercio nella nota di accompagnamento.
API e rilasci open source fuori dal divieto
È esportazione installare un modello soggetto a restrizioni su server all’estero: il testo parla di «implementazione localizzata all’estero». Non lo è offrire lo stesso modello tramite API, applicazioni, interfacce web, servizi SaaS o versioni leggere installate sui dispositivi. Le tecnologie già «entrate nel pubblico dominio» attraverso rilasci open source o pubblicazioni accademiche restano fuori dal controllo.
Per i rilasci open source futuri è prevista un’autorizzazione automatica, che il ministero riassume in una formula traducibile come «si dichiara e si esporta». Tra le motivazioni, accanto alla sicurezza nazionale e alla prevenzione degli abusi, compaiono l’obiettivo di garantire che l’IA resti sempre sotto controllo umano e quello di sostenere l’ecosistema open source.
Gli esempi scelti dal ministero sono eloquenti per chi si occupa di sicurezza. Tra le tecnologie vietate indica la generazione e la mutazione di codice malevolo guidate dall’IA, tra quelle limitate la ricerca di vulnerabilità assistita dall’IA. Le capacità offensive automatizzate, quelle che negli ultimi mesi hanno cambiato la velocità degli attacchi, vengono trattate come un bene strategico da non lasciar uscire.
L’autorizzazione di Pechino sui rilasci open-weight
Non è un divieto. I pesi già scaricati in tutto il mondo non si possono richiamare, e il testo lo riconosce. Cambia il futuro: ogni rilascio aperto di frontiera diventa un atto da dichiarare a un ministero prima che avvenga. Oggi l’autorizzazione è automatica, ma un’autorizzazione automatica resta un’autorizzazione. Lo Stato acquisisce visibilità su ogni pubblicazione prima che accada e uno strumento che può passare da automatico a discrezionale con la revisione di un catalogo che, come precisa lo stesso ministero, sarà aggiornato nel tempo, senza bisogno di una nuova legge. È un interruttore installato in posizione «acceso».
Servizi e artefatti, dove cade il controllo
La distinzione tra servizio e artefatto merita più attenzione delle soglie. Pechino lascia libero l’accesso via API, che porta richieste e dati verso server cinesi, e sottopone a registrazione il trasferimento dei pesi e l’installazione all’estero, cioè proprio ciò che permette a un’organizzazione straniera di usare il modello senza dipendere da nessuno.
La stessa nota prevede invece una corsia agevolata per i centri di calcolo che le imprese cinesi gestiscono direttamente all’estero: l’installazione fuori dai confini è facilitata quando resta sotto controllo cinese. Il controllo cade su ciò che rende autonomi, non su ciò che crea dipendenza. Non serve attribuire intenzioni per notare l’effetto: se la regola si irrigidisce, l’alternativa che resta aperta è quella che passa dalla Cina.
Cina e Stati Uniti mettono leve sui modelli aperti
Pechino non inventa nulla. Nel gennaio 2025 il Dipartimento del Commercio statunitense aveva introdotto, con la regola sulla diffusione dell’IA, un controllo sui pesi dei modelli chiusi più avanzati, escludendo quelli pubblicati apertamente; la nuova amministrazione l’ha ritirata nel maggio 2025. A luglio di quest’anno, dopo il rilascio di Kimi K3 da parte di Moonshot AI, Axios ha riferito che l’amministrazione americana discuteva misure per rendere più difficile l’uso dei modelli aperti cinesi negli Stati Uniti, dalle restrizioni negli appalti pubblici all’inserimento degli sviluppatori nelle liste che richiedono un’autorizzazione federale. Nessuna decisione è stata presa.
L’Europa a valle delle due giurisdizioni
Le due giurisdizioni che producono quasi tutti i modelli aperti di frontiera stanno quindi costruendo leve sulla loro circolazione: una sull’esportazione, l’altra sull’uso. L’Europa sta a valle di entrambe. Secondo il rapporto sullo stato dei modelli aperti pubblicato da Hugging Face a metà agosto, Qwen di Alibaba è la famiglia di modelli aperti più scaricata dell’anno, con oltre due miliardi di download sulla piattaforma e più di 150.000 modelli derivati.
Molti di quei derivati sono adattamenti costruiti da aziende, università e pubbliche amministrazioni per usi specifici. Un derivato eredita la dipendenza dal modello di base: per le nuove versioni, le correzioni, i salti di capacità continua a dipendere da chi pubblica a monte.
La dipendenza europea dai pesi aperti cinesi
All’inizio di ottobre è emerso che l’ENISA e il Centro comune di ricerca della Commissione stanno valutando alcuni modelli aperti cinesi su reti isolate, per misurarne affidabilità e comportamenti nascosti senza esporre dati a server soggetti alla legge cinese sull’intelligence. La Commissione lo descrive come un programma di ricerca, non come un’indagine. La preoccupazione è legittima, ma copre metà del problema: si chiede se ci si possa fidare di questi modelli, non che cosa accade se smettono di arrivare.
L’AI Act guarda alla trasparenza dei modelli aperti
Il quadro normativo riflette la stessa asimmetria. L’AI Act esclude dal proprio ambito i sistemi di IA rilasciati con licenze libere e open source, salvo quelli ad alto rischio, vietati o soggetti agli obblighi di trasparenza (art. 2, par. 12). Esonera i fornitori di modelli per finalità generali rilasciati con licenza aperta dagli obblighi di documentazione tecnica verso l’autorità e verso i fornitori a valle, a meno che il modello presenti un rischio sistemico (art. 53, par. 2), e li dispensa dalla nomina di un rappresentante nell’Unione (art. 54, par. 6).
Il considerando 102 motiva il trattamento con il contributo dell’open source alla ricerca, all’innovazione e alla crescita, e aggiunge che i modelli con pesi e architettura pubblici garantiscono di per sé un elevato livello di trasparenza.
La continuità della fornitura resta fuori dalle norme
La logica è coerente con la domanda che il regolamento si pone: un modello aperto è ispezionabile, quindi richiede meno documentazione. Ma presuppone che l’apertura sia una proprietà stabile, qualcosa che c’è e continuerà a esserci. L’Unione tratta la continuità della fornitura come un problema di sicurezza economica per i semiconduttori, con il Chips Act, e per le materie prime, con il regolamento sulle materie prime critiche.
Per i pesi aperti, che sono diventati infrastruttura per la ricerca, per l’industria e per chi difende, non esiste un equivalente. Il piano d’azione su cybersicurezza e IA presentato dalla Commissione a luglio affida a ENISA e al Centro comune di ricerca una piattaforma per collaudare i modelli; non si occupa della loro disponibilità.
I modelli open-weight come fornitura critica europea
Per chi si occupa di sicurezza, il caso di Hugging Face mostra perché la questione non è astratta. Un modello aperto eseguito in casa è spesso l’unico modo per analizzare con l’IA dati che non possono uscire dal perimetro, dai log di un incidente ai documenti riservati, ed è lo strumento di riserva quando i servizi commerciali rifiutano di collaborare. Se quella capacità dipende dalla politica di rilascio di un governo straniero, va trattata come qualunque altra dipendenza critica.
Inventari, repository e progetti europei
Alcune misure costano poco e si possono prendere subito. La prima è sapere quali modelli e quali versioni sostengono processi critici, compresi i derivati costruiti internamente, con lo stesso approccio con cui si inventariano i componenti software. La seconda discende dalla bozza stessa: poiché i pesi già pubblici restano fuori dal controllo, conservare copie verificate delle versioni in uso in repository europei costituisce una riserva che nessuna revisione futura può toccare.
La terza riguarda le politiche pubbliche: includere la continuità della fornitura di modelli aperti nelle valutazioni del rischio della catena di approvvigionamento e sostenere i progetti europei di modelli aperti, perché la diversificazione è l’unica protezione contro un interruttore che sta altrove.
Hugging Face ha potuto difendersi perché a giugno un laboratorio cinese aveva deciso di pubblicare i propri pesi con licenza MIT, e nessuno doveva autorizzarlo. Se la bozza sarà confermata, la prossima decisione di quel tipo passerà da un ministero. Il rubinetto, per ora, resta aperto. La novità è che adesso ha una manopola, e non sta in Europa.
Partecipa alla community