Etica e governance

Il costo dell’allineamento: quanto costa davvero rendere sicura l’IA e chi paga

Il costo dell’allineamento è reale e ricade sulle persone sbagliate: specialisti a cui i modelli rifiutano troppe richieste, valutatori pagati a ore, piccole imprese. Aggiornato alla luce del rinvio di 16 mesi delle norme UE per i sistemi a

AI.info Team · 2026-08-20

Il conto che nessuno dettaglia

Ogni misura di sicurezza aggiunta a un modello linguistico di grandi dimensioni comporta una perdita da qualche altra parte. Questo compromesso ha un nome — «costo dell’allineamento» — e risale all’articolo che ha reso possibile l’allineamento dei chatbot moderni. Quando nel 2022 i ricercatori di OpenAI descrissero InstructGPT (Ouyang et al., "Training language models to follow instructions with human feedback"), osservarono che l’apprendimento per rinforzo da feedback umano (RLHF) poteva peggiorare senza clamore le prestazioni sui benchmark standard di elaborazione del linguaggio naturale, pur rendendo il modello più incline a seguire le istruzioni e meno tossico. Chiamarono questo effetto collaterale «costo dell’allineamento».

La loro soluzione, reintrodurre i gradienti del preaddestramento nell’obiettivo dell’apprendimento per rinforzo (PPO-ptx), ridusse il peggioramento senza eliminarlo. È grazie a quell’articolo se «costo dell’allineamento» è oggi una formula corrente nel settore, anziché uno slogan degli attivisti: il compromesso fu documentato da chi proponeva l’allineamento, non dai suoi critici.

Quattro anni dopo, il costo si è esteso ben oltre il punteggio di un benchmark. Si manifesta nei modelli che si rifiutano di rispondere agli immunologi, nei generatori di immagini che riscrivono la storia senza darlo a vedere, nei team della sicurezza che si dimettono piuttosto che assistere al sorpasso della valutazione dei rischi da parte dei cicli di sviluppo dei prodotti, nelle voci di spesa per la conformità che solo le grandi aziende possono sostenere e in un mercato del lavoro di annotazione che oggi vale miliardi. La domanda da porsi non è se il costo dell’allineamento esista: questo è assodato.

La domanda è chi lo paga davvero e se la distribuzione del costo abbia qualche rapporto con quella dei benefici offerti dalla sicurezza che finanzia. Non è così. Chi paga il prezzo più alto raramente coincide con chi è protetto dalle misure di sicurezza e, per ora, i soggetti più capaci di provocare danni catastrofici sono anche quelli che riescono più facilmente a evitare del tutto il conto.

Gli utenti penalizzati dai rifiuti eccessivi finanziano il senso di sicurezza degli altri

La forma più evidente e misurabile di questo costo è il rifiuto eccessivo: un modello che respinge una richiesta che non era pericolosa. Nel 2024 i ricercatori hanno formalizzato il fenomeno con OR-Bench, un benchmark di 80.000 prompt relativi a richieste in apparenza delicate ma in realtà innocue, distribuite fra categorie come violenza, molestie e inganno. Il risultato centrale dello studio era una forte relazione statistica — una correlazione di rango di Spearman di circa 0,88 — tra la frequenza con cui un modello rifiuta prompt effettivamente tossici e quella con cui respinge prompt innocui che si limitano a somigliarvi.

Le famiglie di modelli occupavano posizioni molto diverse lungo questa curva: alcune generazioni dei modelli Claude, GPT e Llama respingevano ampie categorie di prompt innocui, mentre le versioni successive hanno ridotto i rifiuti eccessivi senza rinunciare alla sicurezza. Ma lo schema si ripeteva in quasi tutte le famiglie esaminate: sicurezza e rifiuti eccessivi aumentano insieme, e quasi nessun modello supera nettamente questo compromesso.

Le persone che sostengono quel costo non sono astrazioni. Nel giugno 2026, dopo il lancio di Fable 5 il 9 giugno, Anthropic ne ha aggiornato il classificatore di sicurezza in seguito alla dimostrazione di una tecnica per aggirarlo da parte di un soggetto esterno — Amazon, secondo quanto riportato. L’azienda ha dichiarato esplicitamente di aver «reso questo margine di sicurezza molto più ampio che in qualsiasi lancio precedente», accettando che «sarebbero state bloccate molte più richieste innocue» come prezzo da pagare per eliminare la vulnerabilità.

Gli utenti che si sono scontrati con quel blocco non erano aspiranti progettisti di armi biologiche. Secondo la stampa specializzata, ricercatori nel campo della sicurezza e immunologi venivano segnalati per aver usato una normale terminologia tecnica, mentre i programmatori si vedevano bloccare nel mezzo di sessioni di debugging su attività ordinarie. La stessa Anthropic ne dà un resoconto insolitamente schietto: l’azienda ha scelto intenzionalmente il tasso di falsi positivi, ritenendo che ostacolare gli utenti impegnati in attività legittime nel campo della biologia fosse un costo accettabile per affrontare i rischi biologici a duplice uso.

È una vera decisione su come distribuire il costo, presa deliberatamente, che ricade proprio sulla categoria — gli esperti del settore impegnati in attività legittime — con meno possibilità di rinunciare al prodotto. Da allora, alla frontiera dei modelli, Fable 5 è stato sostituito da Claude Fable 5.1, lanciato il 1° settembre 2026; la scelta progettuale che esemplifica, invece, non è stata superata.

Il rifiuto eccessivo presenta anche un problema di distorsione radicato nel modo in cui viene calibrato. La ricerca sul comportamento di rifiuto ha rilevato che i modelli spesso proteggono troppo i prompt che si limitano a menzionare determinati gruppi razziali o religiosi, mentre proteggono troppo poco rispetto ai prompt che prendono di mira la disabilità. Il margine di sicurezza non viene applicato uniformemente alla popolazione che dovrebbe proteggere: il costo, quindi, non è soltanto regressivo nel complesso, ma lo è in misura diversa a seconda dell’argomento.

Quando «sicuro» significa sbagliare per eccesso di correzione

I rifiuti eccessivi sono il costo pagato sotto forma di richieste respinte. Una seconda forma, più sottile, è il costo pagato sotto forma di risposte sbagliate, prodotte da un modello che si sforza di soddisfare un obiettivo di sicurezza. Il generatore di immagini Gemini di Google è diventato il caso di riferimento nel febbraio 2024: dopo che il modello sottostante aveva prodotto immagini storicamente inesatte — Padri fondatori neri, una donna nel ruolo di papa, coppie interrazziali al posto della coppia effettivamente richiesta da un utente — le ricostruzioni giornalistiche hanno ricondotto la causa a istruzioni inserite dietro le quinte per aumentare la diversità demografica nelle immagini generate. Era una misura contro le distorsioni che non era stata limitata ai contesti non storici o non fattuali.

Google ha sospeso del tutto la generazione di immagini di persone e ha dichiarato alla stampa che sarebbe seguita una versione migliorata. L’episodio è istruttivo proprio perché l’intervento di sicurezza non stava fallendo secondo il parametro per cui era stato progettato: quasi certamente riduceva un danno misurabile — risultati stereotipati e privi di diversità — introducendone però un altro, più visibile: la falsificazione storica. Nessuno aveva attribuito un costo a quel compromesso prima del lancio; è stato il mercato a farlo dopo, sotto forma di notizie diffuse in tutto il mondo e di una funzionalità sospesa.

Una tassa che i malintenzionati possono semplicemente rifiutarsi di pagare

Ecco l’aspetto della tassa dell’allineamento che riceve meno attenzione, pur essendo il più importante: la tassa non è duratura. È stato dimostrato più volte che rimuovere il fine-tuning di sicurezza dai modelli a pesi aperti costa poco. Uno studio del 2023 ha dimostrato che il fine-tuning con LoRA poteva annullare in modo efficiente l’addestramento di sicurezza incorporato in Llama 2-Chat 70B. Un progetto parallelo, BadLlama, ha ottenuto lo stesso risultato sul modello 13B, usando poca potenza di calcolo e un budget modesto per eliminare comportamenti di sicurezza che Meta aveva investito risorse concrete per introdurre.

Prima di questa rimozione, il modello addestrato rifiutava la stragrande maggioranza dei prompt dannosi con cui veniva messo alla prova; dopo poche ore di fine-tuning su hardware di largo consumo, quel comportamento di rifiuto è crollato. I ricercatori non intendevano dire che Meta avesse fatto un cattivo lavoro: il punto è che il fine-tuning di sicurezza, per come viene praticato oggi, è una patina comportamentale superficiale sopra capacità che restano pienamente intatte, e i pesi aperti permettono a chiunque abbia competenze tecniche modeste e meno di 200 dollari da spendere per generare dati sintetici e noleggiare una GPU di rimuovere quella patina.

Questo conta quando si guarda a chi paga la tassa, perché l’onere risulta asimmetrico non per gli effetti prodotti, ma per l’intento con cui è stato progettato. Gli utenti legittimi e le aziende che operano tramite le API ufficiali pagano per intero il costo dei rifiuti eccessivi, ogni giorno, per ogni prompt ambiguo. Chi cerca proprio le capacità che l’addestramento di sicurezza dovrebbe rendere inaccessibili può invece, nel caso dei modelli a pesi aperti, eliminare la restrizione a un costo irrisorio. La tassa è quasi facoltativa per i soggetti a cui è rivolta e obbligatoria per quelli a cui non è rivolta.

La voce di costo nascosta nella latenza e nella potenza di calcolo

I costi dell’allineamento si manifestano anche come puro sovraccarico infrastrutturale. Qui i compromessi sono quantificati insolitamente bene, perché incidono direttamente sui sistemi in produzione. Classificatori di sicurezza leggeri e progettati per questo scopo possono esaminare prompt e risposte aggiungendo circa 50–150 millisecondi di latenza: un costo abbastanza basso da consentirne l’uso su quasi ogni richiesta.

Ma ricerche che confrontano le architetture di questi filtri hanno rilevato che i filtri di sicurezza basati su un grande modello generalista, che usa il ragionamento chain-of-thought per valutare se un contenuto sia dannoso, possono aggiungere diversi secondi di latenza. In un confronto si è arrivati fino a circa 8,6 secondi con modelli come Claude 3.5 Sonnet e Mistral Large usati come giudici. Nessuna delle configurazioni esaminate ha raggiunto contemporaneamente un’ampia copertura dei contenuti dannosi, un basso tasso di falsi positivi e una bassa latenza.

Esistono modelli specializzati per i controlli di sicurezza che si avvicinano a quell’obiettivo, ma più la verifica è approfondita, più richiede potenza di calcolo e tempo. Il costo viene trasferito all’utente sotto forma di latenza oppure assorbito dal fornitore a scapito dei margini. In entrambi i casi, è una tassa permanente su ogni singola chiamata di inferenza effettuata da un sistema dotato di filtri di sicurezza, per tutta la vita del prodotto.

Il mercato del lavoro creato per riscuotere la tassa

Dietro i classificatori e i comportamenti di rifiuto c’è una forza lavoro numerosa e perlopiù invisibile, il cui unico compito è produrre il feedback umano che rende possibile l’allineamento. Questa attività è ormai un settore importante. Surge AI, un’azienda di etichettatura dei dati specializzata in RLHF, classificazione delle preferenze e red-teaming per laboratori all’avanguardia, tra cui OpenAI, Google, Anthropic e Microsoft, aveva raggiunto entro il 2025 ricavi annualizzati stimati tra 1,2 e 1,4 miliardi di dollari, restando una società privata in attivo. Si fonda su una rete di collaboratori che ha descritto come composta da circa un milione di persone; per gli annotatori specializzati in ambito tecnico o medico, secondo quanto riportato, venivano fatturate tariffe che andavano da alcune decine a centinaia di dollari l’ora. Non è stata pubblicata una cifra comparabile per il 2026, quindi quella va considerata l’ultima cifra confermata.

L’entità delle somme in gioco è diventata evidente nel giugno 2025, quando Meta ha pagato 14,3 miliardi di dollari per una quota del 49% di Scale AI, un altro importante fornitore di RLHF, attribuendo all’azienda una valutazione superiore a 29 miliardi di dollari. Google, già cliente di Scale, avrebbe sospeso il lavoro con l’azienda nel giro di poche ore, non volendo continuare a far passare dati proprietari usati per l’addestramento attraverso una società ormai in parte di proprietà di un concorrente.

L’allineamento non è soltanto una voce di spesa per la ricerca e sviluppo: è diventato un mercato del lavoro con una propria struttura del capitale e proprie dinamiche di conflitto concorrenziale, finanziato con denaro reale destinato a una filiera di valutatori le cui condizioni di lavoro e retribuzioni sono stabilite da una manciata di acquirenti.

La regolamentazione aggiunge una seconda tassa, con una diversa ripartizione dell’onere

L’AI Act aggiunge un costo formale di conformità al costo informale legato allo sviluppo delle capacità, e la sua ripartizione è forse ancora peggiore. Le stime del costo complessivo della legge per l’economia europea variano molto e sono controverse: una stima di settore ampiamente citata quantificava i costi cumulativi in circa 31 miliardi di euro entro il 2025, una cifra che altri ricercatori ritengono sovrastimi notevolmente l’onere reale. Ma anche i dati più circostanziati e attendibili mostrano uno schema costante: le grandi imprese affrontano costi di conformità nel primo anno compresi grosso modo tra 8 e 15 milioni di euro, tra valutazioni di conformità, documentazione e sistemi di gestione del rischio; per le piccole e medie imprese che forniscono sistemi di IA ad alto rischio, i costi vanno invece da alcune decine di migliaia di euro a circa mezzo milione.

Non sono cifre proporzionate. Qualche centinaio di migliaia di euro è una differenza trascurabile per un’azienda con centinaia di milioni di ricavi, ma una soglia che può mettere a rischio la sopravvivenza di una startup di dieci persone. Lo scopo dichiarato della legge è porre vincoli agli usi più rischiosi dei sistemi più potenti; il suo effetto pratico, se le stime si confermano, è consolidare la posizione degli operatori già affermati, capaci di assorbire una voce di spesa per la conformità a otto cifre, ed escludere per ragioni di costo gli sviluppatori più piccoli e sperimentali che altrimenti potrebbero sfidarli. Qui il costo della sicurezza e l’effetto di barriera alla concorrenza sono il risultato della stessa scelta normativa.

Poi Bruxelles ha spostato la scadenza. Il Digital Omnibus on AI, approvato in via provvisoria il 6 maggio 2026 e in vigore dal 27 luglio 2026, ha rinviato da 2 agosto 2026 a dicembre 2027 gli obblighi autonomi previsti dalla legge per i sistemi ad alto rischio ai sensi dell’Allegato III, e ad agosto 2028 quelli per l’IA ad alto rischio integrata nei prodotti regolamentati ai sensi dell’Allegato I. Solo gli obblighi di trasparenza dell’articolo 50 — informare le persone che stanno interagendo con un sistema di IA ed etichettare i contenuti sintetici — sono entrati in vigore il 2 agosto 2026, come previsto inizialmente.

Un rinvio di sedici mesi non cambia l’argomento sulla ripartizione dell’onere: cambia il momento in cui arriva il conto e chi sarà ancora in piedi per pagarlo. Una grande impresa mette a frutto l’anno in più e continua a costruire la struttura per la conformità di cui avrebbe comunque avuto bisogno. Una startup che ha raccolto capitali contando su una scadenza nel 2026 deve spiegare agli investitori perché la barriera concorrenziale su cui aveva fatto affidamento si è spostata al 2027 — e a ottenere quello spostamento sono state le imprese con le squadre di lobbisti più folte.

Le aziende che pagano il costo ora, senza clamore, si rifiutano di pagarlo

Se il costo dell’allineamento fosse valutato correttamente, i laboratori più esposti alla pressione competitiva investirebbero soprattutto in tecniche di allineamento meno costose e più mirate. E su questo fronte ci sono stati progressi reali, tra cui metodi di ottimizzazione delle preferenze come DPO, che approssimano i benefici di RLHF con un minore impiego di risorse di calcolo. Ma la risposta più visibile dei due laboratori che hanno costruito la propria identità pubblica sulla sicurezza è stata rinegoziare il conto, anziché ridurlo.

Nel maggio 2024, OpenAI ha sciolto il team Superalignment a circa un anno dalla sua costituzione, dopo le dimissioni di entrambi i suoi responsabili, Ilya Sutskever e Jan Leike. Leike ha dichiarato pubblicamente che il team «faticava a ottenere risorse di calcolo» e che non condivideva le priorità della dirigenza: a suo avviso, alla sicurezza avrebbero dovuto essere destinate molte più risorse rispetto al lancio di nuove capacità.

In seguito, OpenAI ha eliminato la parola «in sicurezza» dalla missione dichiarata in un documento depositato presso le autorità di regolamentazione nel 2025, sostituendo l’impegno a garantire che l’IA «vada a beneficio dell’umanità in sicurezza» con una formulazione che si impegna semplicemente a far sì che l’IA vada a beneficio dell’umanità. Il cambiamento ha accompagnato la riorganizzazione dell’azienda verso una struttura a scopo di lucro, pensata per raccogliere i capitali necessari alla corsa ai modelli di frontiera.

Anthropic, che si è distinta da OpenAI soprattutto per un atteggiamento più prudente, ha riscritto la propria Responsible Scaling Policy il 24 febbraio 2026. La versione 3.0 era una revisione completa: sostituiva i precedenti meccanismi attivati dal superamento di determinate soglie di capacità con Frontier Safety Roadmaps e Risk Reports. Quella settimana, la stampa di settore l’ha interpretata come l’abbandono dell’impegno più rappresentativo su cui l’azienda aveva costruito la propria identità, e diverse testate hanno collegato la tempistica alle pressioni del governo statunitense.

Ma la vicenda non si è fermata lì, e gli sviluppi successivi si prestano meno dei titoli a una narrazione lineare. Il 2 aprile 2026 Anthropic ha pubblicato la v3.1, in cui si legge: «Ora chiariamo che, anche quando non è richiesto dalla RSP, restiamo liberi di adottare misure come sospendere lo sviluppo dei nostri sistemi di IA in qualsiasi circostanza in cui le riteniamo opportune». Sono seguite altre tre revisioni — la v3.2 il 29 aprile, la v3.3 il 26 maggio e la v3.4 l’8 luglio — perlopiù procedurali, anche se la v3.3 e la v3.4 hanno rivisto anche le soglie di capacità relative alle armi chimiche e biologiche e alla ricerca e sviluppo automatizzata.

Ciò che è cambiato, dunque, non è la possibilità per Anthropic di sospendere lo sviluppo. È che la sospensione è passata da un meccanismo attivato da una soglia dichiarata a una scelta discrezionale della dirigenza. Un impegno che scatta automaticamente al raggiungimento di una soglia misurata è qualcosa di cui un’autorità di regolamentazione o un cliente può chiedere conto; la libertà di agire «in qualsiasi circostanza in cui le riteniamo opportune» non lo è.

Le due aziende descrivono lo stesso fatto da angolazioni diverse: il costo dell’allineamento è un costo che si può scegliere di smettere di sostenere ogni volta che un concorrente pone la questione e, in una corsa tra due o tre laboratori per conquistare una posizione sul mercato, prima o poi qualcuno lo farà.

La tassa della verifica che nessuno vuole rallentare per pagare

C’è un altro costo da mettere in conto, perché è quello più direttamente legato ai rischi catastrofici che la tassa dell’allineamento dovrebbe, in ultima analisi, prevenire: il tempo e le competenze necessari per misurare davvero quanto sia pericoloso un modello di frontiera prima di rilasciarlo. METR, un’organizzazione indipendente senza scopo di lucro che valuta l’autonomia dei modelli di frontiera prima e dopo il rilascio, misura la durata dei compiti che un modello può svolgere autonomamente con un determinato tasso di successo, esprimendola nel tempo che occorrerebbe a una persona esperta per completarli.

Questa capacità è migliorata secondo una tendenza costantemente esponenziale: tra il 2019 e il 2024, la durata dei compiti che i modelli riescono a completare in modo affidabile è all’incirca raddoppiata ogni sette mesi; dal 2023, il ritmo ha accelerato, avvicinandosi a un raddoppio ogni quattro mesi. Condurre queste valutazioni, interpretarle e definire politiche basate sulle soglie che ne derivano comporta a sua volta un costo considerevole in termini di tempo dei ricercatori e risorse di calcolo. È un costo che esiste proprio perché questo è l’unico meccanismo che offre ai laboratori, alle autorità di regolamentazione e al pubblico un indicatore indipendente del rischio legato alle capacità autonome prima della messa a disposizione dei modelli.

È l’unica componente della tassa dell’allineamento che funziona come un’assicurazione anziché come un ostacolo, ed è anche la più esposta ai tagli quando un laboratorio decide, come di fatto hanno fatto sia OpenAI sia Anthropic, che la prudenza unilaterale è uno svantaggio competitivo che non può più permettersi.

Lo scandalo è chi paga

Mettendo insieme i pezzi emerge uno schema chiaro: la tassa dell’allineamento è reale, è consistente e viene riscossa dalle parti sbagliate. Gli esperti dei vari settori e gli utenti comuni la pagano sotto forma di prompt rifiutati e risposte peggiori. A generare il segnale di addestramento che la rende possibile è un vasto mercato del lavoro poco visibile, composto da collaboratori pagati a ore, con un costo che ormai si misura in miliardi di dollari l’anno.

Le piccole aziende e gli sviluppatori che operano a valle pagano una seconda versione della stessa tassa, quella normativa, a un livello che i grandi operatori consolidati quasi non avvertono. Nel frattempo, chi è in grado di compiere gli abusi peggiori — chi è disposto a eliminare con il fine-tuning i comportamenti di sicurezza dei modelli a pesi aperti, proprio il profilo di rischio da cui l’intero sistema dovrebbe proteggere — può liberarsi della tassa per meno di 200 dollari.

E le due aziende la cui posizione sul mercato dipende maggiormente dall’essere considerate prudenti hanno entrambe, nell’arco degli stessi due anni, trasformato impegni espliciti in materia di sicurezza in impegni discrezionali, non appena i concorrenti hanno reso oneroso mantenerli nella loro forma esplicita.

Nulla di tutto questo è un argomento per abbandonare il lavoro sull’allineamento: la linea di sviluppo di InstructGPT, le misurazioni sul modello di OR-Bench e le valutazioni sul modello di METR sono proprio il tipo di infrastruttura che permette di vedere chiaramente il compromesso, invece di tirare a indovinare. Ma un settore che vuole continuare a chiamarla «tassa» anziché sistema di sussidi deve al pubblico un codice tributario, non un barattolo per le mance.

Questo significa investire i risparmi ottenuti con tecniche come DPO e il fine-tuning mirato nella riduzione dei rifiuti ingiustificati per gli usi specialistici legittimi, anziché trattare i falsi positivi come un errore di arrotondamento accettabile; significa commisurare i costi di conformità normativa al rischio effettivo e alle dimensioni effettive dell’azienda, anziché imporre una soglia uniforme che finisce per favorire chi può già permettersi consulenti legali esterni; e significa considerare una Responsible Scaling Policy o un impegno assunto nella dichiarazione d’intenti come un impegno che resta valido anche di fronte al lancio del prodotto di un concorrente, non come una clausola che viene riscritta per lasciare spazio alla discrezionalità non appena diventa scomoda. Finché questo non cambierà, alla domanda «chi paga la tassa dell’allineamento» si continuerà a dare la stessa risposta: tutti, tranne chi ne fissa l’aliquota.