Dal 2 agosto 2026 chiunque immetta sul mercato europeo un sistema generativo deve marcare gli output che produce in un formato leggibile meccanicamente, perché così impone l’articolo 50, paragrafo 2, dell’AI Act.^[1] La scadenza era iscritta nell’articolo 113 con due anni di anticipo ed è arrivata puntuale.^[2] Da qualche altra parte, il download di un torrent giunge al termine. Quel file non ha alcun responsabile della conformità. Viene sottoposto a fine-tuning nel cuore della notte su una GPU di seconda mano e non presenterà mai una valutazione di conformità. I pesi aperti non emettono fatture, e la fattura è proprio ciò che questa legge sa leggere meglio.

L’AI Act è stato concepito per disciplinare fornitori con un nome che vogliono accedere al mercato, e non è ingenuo in materia di denaro: l’articolo 3, punto 3, definisce fornitore chiunque sviluppi un modello e lo immetta sul mercato con il proprio nome, «a titolo oneroso o gratuito».^[3] La gratuità non è una scappatoia. Ciò per cui la norma non è stata pensata sono i pesi avanzati che viaggiano con la stessa facilità dei file musicali. Se la propria concezione etica si ferma ai termini di servizio di un’API, significa non aver mai fatto i conti con l’avversario, con il ricercatore o con l’adolescente capace di seguire le istruzioni di un file README.

Cosa sono realmente i pesi aperti

«Aperto» copre uno spettro di significati, e le licenze non sono affatto intercambiabili. OpenAI ha pubblicato gpt-oss-120b e gpt-oss-20b nell’agosto 2025 sotto licenza Apache 2.0.^[4] DeepSeek ha rilasciato R1 nel gennaio 2025 con i pesi sotto licenza MIT, autorizzando esplicitamente l’uso commerciale e la distillazione.^[5] Meta ha distribuito Llama 3.1 con una Community License che, nel senso riconosciuto dalla OSI, open source non è affatto: pretende l’attribuzione «Built with Llama» e obbliga chiunque superi i 700 milioni di utenti attivi mensili a tornare al tavolo per negoziare.^[6]

Il dato operativo sottostante, però, è identico in tutti e tre i casi. Una volta salvati i parametri sul disco, l’inferenza avviene in locale, così come il fine-tuning. I meccanismi di sicurezza diventano opzionali, mentre i watermark si riducono a un suggerimento che il campionatore di qualcun altro ha deciso di implementare.

È in questo modo che la scienza garantisce la riproducibilità ed è così che i laboratori più piccoli riescono a competere. Ed è sempre per questa via che gli autori di malware e le reti di truffatori ottengono un motore testuale senza compilare alcun modulo KYC. In questo contesto il duplice uso non è uno slogan: è il formato stesso del file.

Cosa copre davvero l’esenzione open source dell’AI Act

La vulgata racconta che l’open source sia esente. Il testo è più stretto, e più interessante.

Per i sistemi di IA, l’articolo 2, paragrafo 12, stabilisce che il regolamento non si applica ai sistemi rilasciati con licenza libera e open source, «a meno che non siano immessi sul mercato o messi in servizio come sistemi di IA ad alto rischio o come sistema di IA rientrante nell’ambito di applicazione dell’articolo 5 o 50».^[7] L’esclusione si ferma esattamente dove comincia il watermark. Non esiste alcuno sconto open source sugli obblighi di trasparenza, né sui divieti.

Per i modelli di IA per finalità generali, l’esenzione vera vive nell’articolo 53, paragrafo 2, e cancella esattamente due obblighi: la documentazione tecnica dell’articolo 53, paragrafo 1, lettera a), cioè l’allegato XI, e il pacchetto informativo per i fornitori a valle della lettera b), cioè l’allegato XII. Per accedervi la licenza deve consentire «l’accesso, l’uso, la modifica e la distribuzione del modello», e i parametri, compresi i pesi, le informazioni sull’architettura e quelle sull’uso del modello devono essere resi pubblici. La politica sul diritto d’autore della lettera c) e la sintesi pubblica dei contenuti di addestramento della lettera d) restano invece intatte. E l’eccezione «non si applica ai modelli di IA per finalità generali con rischi sistemici».^[8]

Il rischio sistemico, a sua volta, è una soglia di calcolo. L’articolo 51, paragrafo 2, presume capacità di impatto elevato quando la quantità cumulativa di calcolo impiegata per l’addestramento, misurata in operazioni in virgola mobile, supera 10²⁵: una presunzione relativa, cui la Commissione può comunque arrivare anche per designazione individuale.^[9] Superata quella linea, l’articolo 55 si abbatte per intero: valutazione del modello secondo protocolli standardizzati che rispecchino lo stato dell’arte, test contraddittorio documentato, valutazione e attenuazione dei rischi sistemici, segnalazione degli incidenti gravi all’ufficio per l’IA e un livello adeguato di protezione della cibersicurezza per i pesi stessi.^[10] Pubblicare il checkpoint lì non compra nulla.

La stesura, dunque, non è quel colabrodo che lo slogan descrive. La falla è altrove.

Dove la morsa dell’AI Act si allenta davvero

Ho già sostenuto che la normativa colpisca le organizzazioni che emettono fatture in Europa, ignorando invece, quasi per sua stessa concezione, i criminali e gli operatori occulti.^[11] I pesi aperti sono l’estremità più tagliente di quella falla, e la ragione sta nell’applicazione della legge, non in un’esenzione.

• Il destinatario evapora. L’articolo 3, punto 10, definisce la «messa a disposizione sul mercato» come fornitura «nel corso di un’attività commerciale, a titolo oneroso o gratuito».^[3] Il laboratorio che pubblica i pesi è un fornitore, ha un nome ed è raggiungibile. L’account anonimo che ricarica gli stessi tensori su un mirror in un paese terzo non è nulla di tutto questo.
• Il fine-tuning ricicla la qualifica di fornitore. Ogni derivato è, quantomeno in astratto, un modello nuovo con un fornitore nuovo, e la nebbia dei repo usa e getta è il luogo dove quell’argomento va a morire.
• L’articolo 50 ha bisogno di qualcuno a cui notificare gli atti. L’obbligo di marcatura vincola i fornitori, quello di dichiarare i deepfake vincola i deployer. Uno stack locale su una GPU di seconda mano non presenta né gli uni né gli altri a un’autorità di vigilanza del mercato.
• La soglia è un tetto per la maggior parte degli abusi. Un modello di un ordine di grandezza sotto i 10²⁵ FLOP può bastare e avanzare per phishing, truffe sentimentali e molestie, restando sotto la fascia sistemica e con in più gli allegati XI e XII cancellati.
• Il calendario continua a slittare. Il Digital Omnibus on AI, il regolamento (UE) 2026/1744, è entrato in vigore il 27 luglio 2026 e ha spostato gli obblighi per i sistemi ad alto rischio dell’allegato III dal 2 agosto 2026 al 2 dicembre 2027, e quelli dell’allegato I, incorporati nei prodotti, dal 2 agosto 2027 al 2 agosto 2028.^[12] I modelli non hanno atteso la proroga.

Questo non è un appello per vietare la matematica, bensì per smettere di fingere che un allegato sia un controllo. Il controllo e il contenimento, intesi come programma tecnico, hanno sempre riguardato capacità che non chiedono il permesso. La distribuzione è esattamente il mezzo attraverso cui tali capacità escono dal laboratorio.

I meccanismi di sicurezza distano un fine-tuning

L’argomento più forte contro il rilascio senza vincoli non è speculativo, ed è in letteratura dal 2023. Gade, Lermen, Rogers-Smith e Ladish hanno rimosso l’addestramento alla sicurezza da Llama 2-Chat 13B con meno di 200 dollari, conservandone le capacità generali, e il risultato li ha allarmati al punto da indurli a non pubblicare né i pesi, né il dataset, né il metodo.^[13] Lermen, Rogers-Smith e Ladish hanno poi generalizzato la tecnica con LoRA su Llama 2-Chat da 7, 13 e 70 miliardi di parametri e su Mixtral instruct, con una sola GPU e sempre sotto i 200 dollari, portando i tassi di rifiuto su due benchmark a circa l’1% senza intaccare le prestazioni generali.^[14]

È da questa frase che dovrebbe partire la progettazione normativa: l’allineamento alla sicurezza è una proprietà di un checkpoint, non di una capacità. Pubblicato il checkpoint, si è pubblicato ogni checkpoint raggiungibile a partire da esso al prezzo di una buona cena.

Le ragioni del rilascio aperto

La tesi sopravvive comunque a quella scoperta. Le API chiuse concentrano il potere nelle mani di una manciata di aziende statunitensi. I pesi aperti, al contrario, costituiscono un’infrastruttura cognitiva per università, startup e Stati che si rifiutano di inviare i propri dati a un server californiano. La ricerca sulla sicurezza ne ha bisogno, così come ne ha bisogno la concorrenza. Un’Europa che si limita a consumare modelli chiusi, pur regolamentandoli, è soltanto una colonia dotata di un’eccellente burocrazia. Norme di rilascio responsabili, un accesso graduale per i sistemi più avanzati e model card oneste battono la sicurezza fondata sull’oscurità, un approccio che non ha mai funzionato nemmeno per gli algoritmi crittografici.

Sostenere questa tesi non significa negare la possibilità di abusi. Richiede, piuttosto, l’accettazione di compromessi maturi, esattamente come è avvenuto in passato per i sistemi operativi open source.

Un parallelo: catena di approvvigionamento e teatro della fiducia

Nel campo del software abbiamo già imparato che una firma valida può accompagnare un malware e che la fiducia nei manutentori è di per sé una superficie di attacco.^[15] I pesi aperti aggiungono lo stesso insegnamento alla governance dell’intelligenza artificiale. L’artefatto digitale si muove molto più velocemente dell’ufficio preposto a inventariarlo: un’etica che si limita a ispezionare la vetrina del negozio finirà per ignorare del tutto la banchina di carico.

Cosa può ancora fare una politica seria

La legge non è inutile, qui. L’articolo 2, paragrafo 12, indica già dove sta la leva: l’impiego, non la distribuzione. Quindi:

• Punire l’impiego fraudolento di modelli aperti proposti come prodotti sul mercato europeo, il chatbot che si spaccia per medico, usando proprio quegli obblighi dell’articolo 50 che l’esclusione open source non ha mai coperto.
• Finanziare la valutazione e il red-teaming dei pesi più scaricati, sul modello degli obblighi dell’articolo 55, anziché attendere che un fornitore si offra volontario.
• Stabilire norme per i provider cloud che noleggiano le GPU: quelli sì che sono colli di bottiglia dotati di fattura, cosa che i pesi non sono.
• Mantenere divieti rigorosi sui sistemi dannosi effettivamente immessi sul mercato sotto forma di servizi, dove l’articolo 5 morde già a prescindere dalla licenza.
• Evitare il teatro della purezza che criminalizza i ricercatori, lasciando i modelli commerciali chiusi come unica forma di intelligenza legale.

Non può costringere un file all’obbedienza tramite un watermark, né può rendere sicuro un magnet link inserendolo in un allegato di legge.

Nessuno emette fattura per un magnet link

Occorre costruire un’etica adatta a un mondo in cui i modelli avanzati sono copiabili, perché i pesi sono sempre stati liberi. Questo si traduce in un lavoro tecnico sul rilevamento e sulla difesa, in un lavoro culturale sulle norme di rilascio, in un lavoro industriale affinché l’Europa non resti soltanto un cliente, e in un lavoro legale mirato ai danni generati durante l’impiego operativo, abbandonando la fantasia di un server di licenze grande quanto un continente.

Non è possibile applicare un watermark a un file che non ha mai chiesto il permesso di esistere. È necessario pianificare di conseguenza.

---

1. Regolamento (UE) 2024/1689 (AI Act), articolo 50, paragrafo 2: «I fornitori di sistemi di IA, compresi i sistemi di IA per finalità generali, che generano contenuti audio, immagine, video o testuali sintetici, garantiscono che gli output del sistema di IA siano marcati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente». EUR-Lex, articolo 50 (AI Act Service Desk della Commissione europea).
2. AI Act, articolo 113: il regolamento si applica dal 2 agosto 2026, con i capi I e II dal 2 febbraio 2025 e il capo V (modelli di IA per finalità generali) dal 2 agosto 2025. Il capo IV, che contiene l’articolo 50, segue la data generale. EUR-Lex, articolo 113.
3. AI Act, articolo 3, punto 3 («fornitore») e punto 10 («messa a disposizione sul mercato», definita come fornitura «nel corso di un’attività commerciale, a titolo oneroso o gratuito»). EUR-Lex, articolo 3.
4. OpenAI, model card di gpt-oss-120b (agosto 2025), rilasciato sotto licenza Apache 2.0 insieme a gpt-oss-20b.
5. DeepSeek, repository del modello DeepSeek-R1 (gennaio 2025): «This code repository and the model weights are licensed under the MIT License».
6. Meta, Llama 3.1 Community License Agreement: obbligo di attribuzione, dicitura «Built with Llama» e licenza separata richiesta oltre i 700 milioni di utenti attivi mensili.
7. AI Act, articolo 2, paragrafo 12: «Il presente regolamento non si applica ai sistemi di IA rilasciati con licenza libera e open source, a meno che non siano immessi sul mercato o messi in servizio come sistemi di IA ad alto rischio o come sistema di IA rientrante nell’ambito di applicazione dell’articolo 5 o 50». EUR-Lex, articolo 2.
8. AI Act, articolo 53, paragrafi 1 e 2. «Gli obblighi di cui al paragrafo 1, lettere a) e b), non si applicano ai fornitori di modelli di IA rilasciati con licenza libera e open source […]. Tale eccezione non si applica ai modelli di IA per finalità generali con rischi sistemici». Restano quindi dovute la politica sul diritto d’autore, lettera c), e la sintesi dei contenuti di addestramento, lettera d); le lettere a) e b) rinviano rispettivamente all’allegato XI e all’allegato XII. Il considerando 104 espone lo stesso ragionamento. EUR-Lex, articolo 53.
9. AI Act, articolo 51, paragrafo 2: «Si presume che un modello di IA per finalità generali abbia capacità di impatto elevato a norma del paragrafo 1, lettera a), quando la quantità cumulativa di calcolo utilizzata per il suo addestramento misurata in operazioni in virgola mobile è superiore a 10²⁵». EUR-Lex, articolo 51.
10. AI Act, articolo 55, paragrafo 1, lettere da a) a d). EUR-Lex, articolo 55.
11. Il distintivo non è l’etica (il teatro dell’AI Act contro la sostanza: il watermark come traguardo di conformità).
12. Regolamento (UE) 2026/1744 dell’8 luglio 2026, che modifica i regolamenti (UE) 2024/1689, (UE) 2018/1139 e (UE) 2023/1230 (Digital Omnibus on AI), in vigore dal 27 luglio 2026. Sostituisce l’articolo 113, lettera c), così che il capo III, sezioni da 1 a 3, si applichi dal 2 dicembre 2027 ai sistemi ad alto rischio dell’allegato III e dal 2 agosto 2028 a quelli dell’allegato I. EUR-Lex; testo consolidato dell’AI Act al 27 luglio 2026.
13. Pranav Gade, Simon Lermen, Charlie Rogers-Smith, Jeffrey Ladish, BadLlama: cheaply removing safety fine-tuning from Llama 2-Chat 13B (2023).
14. Simon Lermen, Charlie Rogers-Smith, Jeffrey Ladish, LoRA Fine-tuning Efficiently Undoes Safety Training in Llama 2-Chat 70B (2023).
15. Shai-Hulud: Il malware con una firma valida.