Etica e governance

IA open source: benefici, rischi e modelli di governance

Il modello di frontiera di Meta è diventato chiuso nell’aprile 2026 e ad agosto è seguito un modello aperto con licenza Apache. OLMo 3 rende disponibile l’intero stack e Bruxelles può infliggere multe dall’agosto 2026, ma i pesi aperti non

AI.info Team · 2026-08-13

«Open source» è l’espressione più abusata nell’intelligenza artificiale. Compare sulle schede di modelli che non rendono pubblici i dati di addestramento, viene associata a licenze che vietano ai concorrenti di usare il software ed è invocata da laboratori da miliardi di dollari in cerca del prestigio di un movimento costruito da volontari che hanno messo a disposizione il codice senza chiedere nulla in cambio.

La distanza tra quell’aura presa in prestito e ciò che le aziende rilasciano davvero non è una disputa terminologica: è oggi il nodo centrale della battaglia per la trasparenza nell’etica dell’IA. Ha già ridisegnato i mercati, provocato una divisione formale sulla definizione di open source all’interno del movimento e costretto le autorità di regolamentazione di Washington e Bruxelles a scrivere norme per una categoria che a malapena sta insieme.

A essere onesti, la maggior parte di ciò che il settore chiama «IA open source» non è affatto open source. Equiparare i «pesi aperti» a un’autentica apertura sta causando danni concreti alla possibilità di chiamare i responsabili a rispondere delle proprie scelte.

I pesi non sono il codice sorgente

La confusione nasce da un errore di categoria. Il software open source tradizionale rende disponibile il proprio codice sorgente con una licenza che ne consente l’uso, lo studio, la modifica e la ridistribuzione. Una rete neurale addestrata non ha una «sorgente» equivalente in questo senso: l’elemento che conta è un file di pesi numerici di diversi gigabyte, prodotto attraverso una sequenza di raccolta e filtraggio dei dati, preaddestramento e fine-tuning che i soli pesi non permettono di ricostruire.

Un’azienda può pubblicare i pesi e mantenere segreta ogni decisione precedente: quali dati sono stati usati, quali sono stati esclusi, quale apprendimento per rinforzo è stato applicato e a quale scopo. Questo significa «pesi aperti» ed è una forma di divulgazione significativamente più debole dell’open source: permette a chiunque di eseguire il modello e sottoporlo a fine-tuning, ma non di esaminare, verificare o riprodurre il modo in cui è stato costruito.

La distinzione non è accademica. Il modello di ragionamento R1 di DeepSeek, rilasciato nel gennaio 2025, ha reso disponibili i pesi e il codice per l’inferenza con la permissiva licenza MIT: nessuna restrizione d’uso, impiego libero per fini commerciali e di ricerca. Eppure non sono mai stati pubblicati il corpus di preaddestramento di circa 14,8 bilioni di token, la procedura esatta di apprendimento per rinforzo e i dati di fine-tuning cold-start.

Questa lacuna non ha impedito al mercato di considerare R1 un evento epocale per la trasparenza: il 27 gennaio 2025 le azioni di Nvidia sono scese di circa il 17–18% in una sola seduta, cancellando nell’ordine di 589 miliardi di dollari di capitalizzazione di mercato, dopo che gli investitori avevano concluso che, a quanto pare, un laboratorio poteva eguagliare le prestazioni di ragionamento dei modelli di frontiera a una frazione del costo computazionale presunto.

Il titolo è risalito di circa il 9% il giorno seguente e oggi la maggior parte degli analisti descrive la reazione iniziale come una correzione eccessiva. Ma l’episodio mostra quanta importanza, letteralmente e figurativamente, mercati e governi attribuiscano al semplice fatto che i pesi siano disponibili, indipendentemente dall’effettiva trasparenza del processo di addestramento sottostante.

Lo spettro, modello per modello

Se si mettono fianco a fianco i principali modelli presentati come «aperti», emerge una gerarchia. A un estremo c’è la famiglia Llama di Meta, la cui Community License non è affatto una licenza open source approvata dall’OSI: la sezione 2 fissa una soglia di 700 milioni di utenti attivi mensili, superata la quale un’azienda deve negoziare una licenza separata con Meta, che può rifiutare o imporre condizioni arbitrarie. Le licenze di Llama 2 e Llama 3 vietavano inoltre di usare gli output di Llama per migliorare qualsiasi altro modello linguistico di grandi dimensioni (da Llama 3.1, un modello del genere deve invece avere «Llama» all’inizio del nome). Meta non ha mai pubblicato i dati di addestramento né una descrizione riproducibile di come siano stati raccolti.

Da allora Meta ha compiuto due mosse, e nessuna delle due rafforza la sua posizione. Meta Superintelligence Labs ha rilasciato Muse Spark l’8 aprile 2026 come modello chiuso e proprietario; ora alimenta l’assistente Meta AI, e con esso il lavoro dell’azienda sui modelli di punta ha abbandonato il filone dei modelli a pesi aperti. Poi, il 10 agosto 2026, è arrivato Muse Glimmer, un modello a pesi aperti da 30 miliardi di parametri, presentato come eseguibile su un personal computer e rilasciato con Apache License. Il primo modello delle linee Llama e Muse di Meta con una vera licenza approvata dall’OSI è arrivato solo dopo che il suo modello migliore aveva smesso del tutto di essere aperto.

Falcon, sviluppato dal Technology Innovation Institute degli Emirati Arabi Uniti, si avvicina di più alla vera apertura sul piano delle licenze: Falcon 40B è disponibile con Apache 2.0, mentre Falcon 180B è stato rilasciato con una licenza TII modellata direttamente su Apache 2.0, senza soglie di utenti attivi mensili né eccezioni relative ai concorrenti. TII, però, come Meta, non ha pubblicato integralmente il corpus di addestramento sottostante.

Mistral AI ha rilasciato gran parte della sua gamma, tra cui Mistral 7B, Mixtral 8x7B e la più recente famiglia Mistral 3, con la licenza Apache 2.0 non modificata, tra le più permissive del settore, anche se alcuni suoi modelli usano una licenza MIT modificata con un’eccezione per le aziende che superano i 20 milioni di dollari di ricavi mensili. I pesi di DeepSeek, rilasciati con licenza MIT, sono soggetti a condizioni permissive ma, ancora una volta, la provenienza dei dati non è documentata.

All’estremo della vera apertura c’è il progetto OLMo dell’Allen Institute for AI, ora alla terza generazione. OLMo 3, rilasciato il 20 novembre 2025 nelle versioni da 7 miliardi e 32 miliardi di parametri con licenza Apache 2.0, comprende non solo i pesi, ma anche il corpus di preaddestramento — Dolma 3, circa 9,3 mila miliardi di token tratti da pagine web, PDF scientifici, codice, testi matematici ed enciclopedici, di cui circa 5,9 mila miliardi sono entrati nella miscela di dati usata per l’addestramento — insieme ai dataset Dolci per il post-addestramento, al codice di addestramento, ai checkpoint intermedi e agli strumenti di valutazione. È l’insieme completo degli elementi necessari per esaminare, sottoporre a verifica o riprodurre il modello da zero.

AI2 lo presenta esplicitamente come «davvero aperto» e, sulla base delle prove disponibili, questa affermazione regge in un modo in cui quelle relative a Llama o DeepSeek non reggono. Mettere fianco a fianco questi modelli mostra che «aperto» non significa una cosa sola: comprende almeno quattro dimensioni distinte — pesi, codice, dati di addestramento e condizioni di licenza — e un modello può ottenere un punteggio alto in una e vicino allo zero in un’altra.

OSAID e la battaglia per dare un significato alla parola

L’Open Source Initiative, l’organizzazione senza scopo di lucro che dal 1998 custodisce la definizione giuridica di «open source» per il software, ha dedicato quasi due anni a un processo che ha coinvolto più parti interessate per rispondere alla domanda più ovvia: che cosa dovrebbe significare «open source» per un sistema il cui elemento caratterizzante è un insieme di pesi addestrati anziché codice leggibile? Il risultato, la Open Source AI Definition (OSAID) versione 1.0, è stato pubblicato il 28 ottobre 2024.

Definisce open source un sistema di IA che garantisce le stesse quattro libertà del software open source — usarlo per qualsiasi scopo, studiarne il funzionamento, modificarlo e condividerlo, modificato o meno — e precisa che per esercitare tali libertà occorre avere accesso ai parametri del modello (i pesi), al codice sorgente completo usato per costruirlo ed eseguirlo e a informazioni sui dati di addestramento sufficienti a consentire a una persona competente di comprendere e ricreare il sistema in misura sostanziale.

È significativo che OSAID non arrivi a richiedere la pubblicazione del dataset grezzo usato per l’addestramento: un compromesso criticato da chi sostiene che, senza i dati effettivi, «ricreare in misura sostanziale» un sistema non sia realisticamente possibile e che l’OSI abbia ceduto senza clamore sul requisito più difficile per rendere la definizione politicamente praticabile.

La risposta di Meta è stata un rifiuto immediato e pubblico: pur avendo partecipato alla stesura, l’azienda ha sostenuto che non esiste un’unica definizione valida di IA open source e che le restrizioni di Llama riflettono una valutazione di responsabilità nel rilascio, non un allontanamento dall’apertura. Secondo i criteri della stessa OSAID, però, Llama non soddisfa diversi requisiti: la soglia di 700 milioni di utenti attivi mensili e le condizioni restrittive nei confronti dei concorrenti violano le libertà di utilizzo «per qualsiasi scopo» e di non discriminazione, mentre l’assenza di documentazione sui dati di addestramento impedisce di esercitare la libertà di «studiare» il sistema. Meta non ha ritirato la propria posizione, neppure dopo che il modello rilasciato nell’agosto 2026 ha soddisfatto la parte relativa alla licenza dello standard che aveva respinto.

L’importanza di OSAID non sta nell’aver chiuso la discussione — nessun modello di punta rilasciato da uno dei principali laboratori che sviluppano modelli all’avanguardia la soddisfa oggi pienamente — ma nell’aver dato ai critici uno standard citabile e dotato di una versione, con cui chiedere conto alle aziende delle loro scelte. Una vaga impressione («questo sembra piuttosto aperto») è diventata un elenco di requisiti il cui mancato rispetto può essere constatato pubblicamente.

Open-washing è il termine giusto per ciò che sta accadendo

Il termine per indicare la pratica di presentare come aperto qualcosa che, per sua struttura, non lo è precede l’IA di ben oltre un decennio: «openwashing» fu coniato nel 2009 dalla ricercatrice e studiosa delle politiche di Internet Michelle Thorne, sul modello di «greenwashing», per descrivere le organizzazioni che rivendicano i vantaggi reputazionali dell’apertura — la fiducia della comunità, il favore degli sviluppatori, l’idea di dover rendere conto del proprio operato — senza accettarne gli obblighi.

Applicato all’IA, lo schema è ormai familiare: si rilasciano i pesi, si tengono privati i dati, si aggiunge una licenza su misura con eccezioni per gli usi commerciali e si lascia che la copertura giornalistica faccia il resto sotto l’etichetta «open source», perché quell’espressione riscuote consensi sia tra gli sviluppatori sia tra le autorità di regolamentazione. Secondo la stessa OSI, lo scopo esplicito dell’OSAID era fornire uno standard per valutare se un sistema di IA possa essere considerato open source.

È l’approccio giusto alla governance: le dichiarazioni di trasparenza vanno valutate alla luce di uno standard pubblico, non accettate sulla base di un comunicato stampa. E le aziende che non rispettano lo standard vanno descritte chiaramente come responsabili di open-washing, anziché ricevere il riconoscimento ambiguo di essere «in qualche modo aperte».

Il duplice uso non è un’ipotesi astratta

Anche le ragioni per essere cauti sulla disponibilità dei pesi sono concrete. Quando, nel dicembre 2023, il ricercatore dello Stanford Internet Observatory David Thiel esaminò LAION-5B — il dataset di addestramento alla base dei modelli aperti di generazione di immagini Stable Diffusion — confermò che il set di addestramento conteneva oltre 1.000 URL che rimandavano a materiale verificato di abusi sessuali su minori. Quel materiale aveva contribuito in modo misurabile alla capacità dei modelli di generare immagini affini a tale materiale. Nessun filtro dei contenuti applicato a posteriori al modello distribuito cambia il fatto che il corpus di addestramento fosse contaminato; e, una volta resi pubblici i pesi addestrati su quel corpus, non c’è modo di ritirarli.

I ricercatori nel campo della biosicurezza hanno documentato un problema analogo nei modelli testuali e di sequenze biologiche: il fine-tuning di sicurezza applicato dopo il preaddestramento è relativamente facile da eliminare una volta che i pesi finiscono nelle mani di un soggetto ostile. Fine-tuning, distillazione o «inversione mirata dell’unlearning» possono infatti ripristinare capacità che l’allineamento applicato a posteriori aveva soltanto soppresso, non rimosso.

Un recente lavoro di EleutherAI e dei suoi collaboratori, nella linea di ricerca «Deep Ignorance», ha riscontrato che filtrare i contenuti biologici pericolosi dai dati di preaddestramento rendeva più di dieci volte più difficile il riapprendimento da parte di un soggetto ostile rispetto al tentativo di far «disimparare» quelle conoscenze al modello a posteriori. La conseguenza diretta per la governance è che la sicurezza deve essere incorporata nella selezione e preparazione dei dati, prima che i pesi vengano rilasciati: una volta che il modello circola liberamente, nessuna misura successiva è affidabilmente a prova di manomissione.

Questo è il nodo del dibattito sul duplice uso, e licenze migliori non lo risolvono. Una licenza permissiva non impedisce a un soggetto malintenzionato di eliminare con il fine-tuning il rifiuto di rispondere imposto per ragioni di sicurezza; incide soltanto su chi si può citare in giudizio in seguito.

Che cosa hanno fatto davvero le autorità di regolamentazione

Due organismi hanno già dovuto affrontare questa situazione, e le loro scelte divergenti sono istruttive. La National Telecommunications and Information Administration statunitense, incaricata dall’ordine esecutivo sull’IA dell’ottobre 2023 di studiare i rischi e i benefici di rendere ampiamente disponibili i pesi dei modelli, ha pubblicato il suo rapporto il 30 luglio 2024.

La conclusione era volutamente prudente: anziché raccomandare restrizioni al rilascio di modelli con pesi aperti, la NTIA ha chiesto al governo di dotarsi di una capacità di monitoraggio continuativo, raccogliendo dati sia sui benefici — per gli sviluppatori più piccoli, i ricercatori e le organizzazioni non profit che si basano su infrastrutture condivise — sia sui danni emergenti, con la possibilità esplicita di riconsiderare in seguito eventuali restrizioni, qualora i dati lo giustificassero. È una posizione difendibile proprio perché non equipara a priori «aperto» a «sicuro» o «non sicuro»: tratta l’apertura come una variabile da monitorare, non come una caratteristica da autorizzare o vietare indiscriminatamente.

L’AI Act dell’UE ha adottato un approccio più circoscritto e giuridicamente più preciso, spesso descritto erroneamente come un’esenzione generale. Non lo è. L’articolo 53, paragrafo 2, esenta i fornitori di modelli di IA per finalità generali rilasciati con licenze libere e open source da due obblighi specifici — redigere una documentazione tecnica dettagliata e fornire informazioni per l’integrazione ai soggetti che impiegano il modello a valle — ma esplicitamente non li esenta dall’obbligo di pubblicare una sintesi dei contenuti usati per l’addestramento, sufficiente a consentire ai titolari dei diritti di verificare se sia stato utilizzato il loro materiale. Non li esenta inoltre da alcun obbligo se il modello supera la soglia di rischio sistemico definita nell’articolo 51 (all’incirca, un calcolo per l’addestramento superiore a 10^25 operazioni in virgola mobile).

Da allora, gli adempimenti hanno acquisito un costo. I poteri sanzionatori della Commissione nei confronti dei fornitori di modelli per finalità generali sono diventati esercitabili il 2 agosto 2026, quando ha iniziato ad applicarsi la parte restante dell’AI Act, e l’articolo 101 le consente di infliggere a un fornitore una sanzione fino al 3% del fatturato mondiale annuo o a 15 milioni di euro, a seconda di quale importo sia superiore. Il Digital Omnibus concordato nel 2026 ha rinviato al 2 dicembre 2027 gli obblighi per i sistemi ad alto rischio dell’allegato III, lasciando invariato il calendario per i modelli per finalità generali. La deroga per i fornitori open source riguarda ora obblighi la cui osservanza può essere imposta.

In altre parole, gli estensori dell’AI Act hanno previsto proprio il tipo di deroga graduata e basata su criteri che i critici dell’OSAID vorrebbero per la stessa espressione «open source»: l’apertura alleggerisce alcuni adempimenti, ma non concede un’esenzione generale dai controlli. E tale alleggerimento viene meno quando il modello diventa abbastanza potente perché le conseguenze di un suo uso improprio crescano con la sua potenza.

Il modello di governance che emerge dai fatti

Mettendo insieme tutti gli elementi, la risposta giusta non è «l’IA open source è un bene» né «l’IA open source è pericolosa»: entrambe sono risposte semplicistiche. Occorre invece che i sistemi di governance smettano di prendere per buono il testo delle licenze e certifichino i modelli in base a uno standard tecnico pubblico e aggiornato per versioni, come tenta di fare OSAID, con conseguenze concrete — per la reputazione e, in futuro, anche sul piano normativo — per i modelli che si dichiarano aperti senza soddisfare lo standard.

L’approccio di NTIA, basato sul monitoraggio e sulla rivalutazione, è la scelta predefinita giusta per i modelli al di sotto di una soglia di rischio sistemico: restrizioni premature soffocherebbero il reale beneficio pubblico che i rilasci dell’intero stack sul modello di OLMo offrono ai ricercatori indipendenti e alle aziende più piccole, che altrimenti non potrebbero verificare o sviluppare sistemi su scala paragonabile a quelli di frontiera.

Ma l’approccio graduale dell’AI Act dell’UE — in cui sono le dimensioni e la pericolosità dimostrabile di un modello, non la sua licenza, a determinare a quanto scrutinio sia sottratto — è un modello più duraturo di una semplice distinzione tra aperto e chiuso, e dovrebbe essere adottato anche dalle altre giurisdizioni.

Deve invece finire la prassi di usare «open source» come affermazione di marketing non verificata: una soglia di 700 milioni di utenti nascosta in una licenza, un corpus non dichiarato di 14 mila miliardi di token o un set di dati di addestramento i cui filtri hanno lasciato passare link a contenuti illegali non sono dettagli da relegare in una nota a piè di pagina. Sono il cuore della questione: se la trasparenza sia mai stata reale.