C’è una domanda che il dibattito pubblico sull’intelligenza artificiale si rifiuta sistematicamente di fare: non “cosa può fare l’AI”, ma “chi cede cosa, a chi, e con quali conseguenze irreversibili”.

L’AI non è un tema tecnologico. È un tema di potere. Di agentività. Di chi decide, chi controlla, chi paga gli errori quando il ciclo decisionale ha già escluso l’umano dal loop.

Quello che segue è una progressione: cinque livelli di delega crescente, dalla più innocua alla più irreversibile. A ogni livello aumenta la posta, si accorcia il ciclo decisionale, si assottiglia la presenza umana consapevole. Dall’informazione al corpo, dalla sorveglianza alle armi, fino all’interazione tra sistemi con obiettivi contrapposti dove l’umano è diventato spettatore di dinamiche che ha avviato ma non controlla più.

Non è fantascienza. La maggior parte di questo è presente. Il resto è futuro prossimo certificato.

I. La rampa di lancio

Delega cognitiva e delega medica

I sistemi AI avanzati operano oggi con capacità di ragionamento logico-verbale equivalenti a un QI di 120-130 su scala standard. Ma questo dato, da solo, non cattura la loro vera potenza operativa. Quello che li rende strumenti senza precedenti è l’accoppiamento: capacità di ragionamento elevata combinata con accesso istantaneo a un corpus informativo che nessun essere umano potrebbe padroneggiare in una vita intera.

Il risultato è la compressione radicale del tempo tra domanda e risposta strutturata. Quello che un ricercatore costruisce in mesi diventa una sessione di lavoro. Questo non è un problema in sé — è uno strumento straordinario per chi lo usa consapevolmente, come acceleratore del pensiero critico proprio.

Il problema è strutturale e riguarda la maggioranza degli utenti: l’AI non distingue tra ciò che sa e ciò che costruisce. L’output ha sempre la stessa voce fluente e autorevole — che si tratti di una verità consolidata o di un’allucinazione statistica. Non c’è segnale esterno che avverta della differenza. Chi la usa senza saperlo trasferisce progressivamente la propria capacità di giudizio all’esterno, a un sistema che ottimizza la plausibilità, non la verità.

Nel dominio medico questo schema assume costi concreti. La diagnosi sbagliata con voce sicura. Il sintomo grave rassicurato via chat alle tre di notte. Il ritardo nella visita perché la risposta articolata ha abbassato la soglia d’allarme. L’AI in medicina è uno strumento di supporto genuinamente potente — in radiologia supera già la media dei radiologi umani nell’identificazione di pattern tumorali. Ma il modello reale non è il medico che usa l’AI come secondo parere: è il paziente che usa l’AI al posto del medico.

Questi due livelli stabiliscono il pattern. La delega cresce. Il costo dell’errore cresce. La reversibilità diminuisce. Ora il pattern incontra la scala.

II. Il presente già attivo

Sorveglianza pervasiva, ricatto sistemico, androidi

Ognuno di noi porta con sé, ogni ora di ogni giorno, un dispositivo capace di registrare posizione, voce, immagini. I sistemi di videosorveglianza proliferano negli spazi urbani con capacità di riconoscimento facciale in tempo reale. L’Internet of Things connette alla rete sistemi di sicurezza domestica, monitor medici wearable, automobili, elettrodomestici. I circuiti finanziari sono interamente digitalizzati.

Il punto critico non è che qualcuno ci ascolta. È che non ha bisogno di farlo. La posizione GPS continua costruisce una mappa della vita: dove dormi, dove lavori, chi frequenti, quali medici visiti, quali luoghi di culto frequenti, quali manifestazioni politiche. I metadati delle comunicazioni — non il contenuto, solo chi chiami, quando, quanto a lungo — permettono di inferire relazioni, stati emotivi, dipendenze, vulnerabilità. La ricerca accademica ha dimostrato anni fa che con 150 interazioni sui social si conosce una persona meglio del suo coniuge.

Il risultato è un grafo comportamentale continuo di ogni individuo connesso. Non è un’infrastruttura futura: esiste già. Aspetta un sistema sufficientemente potente da interrogarla in modo coerente.

La manipolazione elettorale è già testata. Il falso documentale è il secondo vettore: un video del candidato X che dice Y, audio sintetico indistinguibile dall’originale, distribuito 72 ore prima del voto quando i tempi di smentita tecnica sono insufficienti. Non serve che sia perfetto. Serve che generi dubbio abbastanza a lungo.

Ma il vettore più sottovalutato è il ricatto come strumento sistemico. La capacità di costruire materiale compromettente sintetico — conversazioni, immagini, video — combinata con sorveglianza pervasiva trasforma il ricatto da strumento criminale occasionale a strumento di controllo politico scalabile. Un sistema sufficientemente potente può identificare automaticamente le vulnerabilità di ogni figura pubblica rilevante e generare su richiesta il materiale necessario per neutralizzarla. Non un’agenzia di intelligence con centinaia di operatori: un sistema automatizzato con supervisione minima.

La conseguenza sistemica è che il costo di entrare in politica, nel giornalismo investigativo, nell’attivismo diventa potenzialmente illimitato per chiunque abbia una vita digitale. Cioè tutti.

Il salto di categoria: i corpi

Fino a qui l’AI agisce nel dominio dell’informazione. Manipola dati, genera contenuti, analizza segnali. Il corpo fisico umano resta fuori dall’equazione. Poi arrivano Figure, Atlas di Boston Dynamics, Optimus di Tesla.

Non è la perfezione del movimento che impressiona nei sistemi androidi attuali. È la velocità di miglioramento. La curva è esponenziale, e i sistemi sperimentali hanno già raggiunto sembianze e comportamenti fisici con un grado di somiglianza umana che fino a tre anni fa sembrava distante decenni.

Un androide con AI avanzata integrata non è semplicemente un robot che cammina. È un agente che percepisce l’ambiente, prende decisioni contestuali, interagisce con umani in modo socialmente credibile, e può operare in qualsiasi spazio progettato per il corpo umano — senza modifiche infrastrutturali. Le implicazioni sono stratificate: economica, con sostituzione del lavoro fisico su scala che supera qualsiasi rivoluzione industriale precedente; sociale, con la progressiva impossibilità di distinguere agente umano da agente sintetico in contesti dove la distinzione è rilevante; e di sicurezza, con un agente fisico autonomo e credibile come umano che opera in ambienti urbani come strumento operativo di intelligence di natura completamente diversa da qualsiasi drone remoto.

Il filo che unisce sorveglianza, manipolazione, ricatto e androidi è uno solo: la progressiva erosione della distinzione tra reale e sintetico. Nelle informazioni, nei documenti, nelle identità, nei corpi. Quando quella distinzione collassa abbastanza, collassa con essa qualcosa di più fondamentale: la fiducia come infrastruttura sociale. Non fiducia sentimentale — fiducia epistemica: la capacità collettiva di concordare su cosa è successo, chi ha detto cosa, cosa è vero. Una società che perde quella capacità non ha bisogno di essere conquistata militarmente. Si dissolve dall’interno.

III. La guerra che non sembra guerra

Sistemi d’arma autonomi e il collasso della responsabilità

Nel dominio militare esiste una distinzione che il dibattito pubblico sistematicamente confonde. Non c’è una categoria “AI militare”: ci sono tre livelli di autonomia con conseguenze radicalmente diverse.

Automazione assistita: l’AI supporta la decisione umana. Targeting suggerito, analisi di minaccia, ottimizzazione della traiettoria. L’umano approva e attiva. È già standard in tutti gli eserciti avanzati.

Autonomia supervisionata: l’AI decide e agisce, ma un umano può intervenire e bloccare. La supervisione è reale ma sempre più formale: con cicli decisionali di millisecondi, l’intervento umano diventa teorico.

Autonomia piena: il sistema identifica, classifica, decide e colpisce senza intervento umano nel loop. Ufficialmente nessun paese dichiara di averla dispiegata operativamente. Nella pratica, la distinzione con la categoria precedente è già sottile e si assottiglia ogni anno.

Il nodo tecnico ed etico centrale è la classificazione del bersaglio. Addestrare un sistema a distinguere un combattente da un civile, un veicolo militare da uno civile, una minaccia reale da un comportamento ambiguo — è un problema di classificazione in condizioni di incertezza, rumore, inganno attivo. I sistemi di visione artificiale attuali sono straordinariamente bravi in condizioni standard. Diventano inaffidabili esattamente nelle condizioni in cui operano i conflitti reali: visibilità ridotta, occultamento, mimetismo, contromisure elettroniche, scenari mai visti in addestramento.

L’errore di un sistema autonomo non è come l’errore umano. Un soldato che sbaglia bersaglio commette un errore individuale, contestuale, processabile come crimine di guerra. Un sistema autonomo con funzione di classificazione mal calibrata commette lo stesso errore sistematicamente, su scala, prima che qualcuno identifichi il problema. La responsabilità si dissolve — nel sistema, nel programmatore, nel comandante che lo ha dispiegato, nel paese che lo ha autorizzato. Nessun framework giuridico internazionale esistente gestisce questa situazione in modo adeguato.

La guerra cibernetica autonoma

Stuxnet nel 2010 era un’operazione chirurgica manuale — codice scritto da umani, target specifico, effetto limitato. Richiedeva mesi di sviluppo e intelligence dettagliata su un obiettivo preciso.

Un sistema AI offensivo nel dominio cyber opera in modo strutturalmente diverso: esplora autonomamente superfici di attacco, identifica vulnerabilità zero-day, adatta il proprio comportamento alle difese che incontra, si propaga in modo non predeterminato. La distinzione tra un’arma cyber e un agente autonomo con obiettivo offensivo diventa sfumata.

Le infrastrutture critiche — reti elettriche, sistemi idrici, ospedali, controllo del traffico aereo, circuiti finanziari — sono i bersagli primari in questo dominio. La caratteristica peculiare di un attacco cyber su infrastruttura critica è che i morti non muoiono sul campo di battaglia: muoiono negli ospedali senza corrente, nelle case senza riscaldamento, negli incidenti causati da sistemi di controllo compromessi. È guerra senza dichiarazione di guerra. Violenza senza volto.

C’è infine la dimensione asimmetrica: un attore con risorse limitate — stato minore, organizzazione non statale — potrebbe non puntare a sviluppare una propria AI militare avanzata. Potrebbe puntare a compromettere l’AI avversaria. Avvelenamento dei dati di addestramento, attacchi adversarial, inganno sistematico per far classificare erroneamente ciò che il sistema percepisce. Un sistema AI militare avanzato, sufficientemente fiducioso nelle proprie valutazioni, è potenzialmente più vulnerabile all’inganno sofisticato di un analista umano esperto — perché l’analista ha intuizione, dubbio, esperienza contestuale. Il sistema AI ha confidenza statistica.

La corsa agli armamenti algoritmici obbedisce alla stessa logica del dilemma del prigioniero che ha prodotto la proliferazione nucleare — con la differenza che il substrato non è fisico e non è controllabile con embargo. I tentativi di accordo internazionale sui Lethal Autonomous Weapons Systems all’ONU durano dal 2014. Dodici anni. Nessun trattato vincolante. Le potenze militari maggiori si oppongono a qualsiasi definizione che limiti i propri programmi.

IV. Il conflitto senza nemico

Quando sistemi con obiettivi contrapposti si incontrano

Questo è il livello dove l’analisi smette di essere descrizione del presente e diventa speculazione strutturata. Ma è speculazione fondata su principi tecnici reali e su precedenti già avvenuti in domini meno letali.

Prima ancora del conflitto tra AI diverse, c’è un problema più fondamentale: l’allineamento. Garantire che un sistema AI persegua effettivamente gli obiettivi che gli sono stati assegnati, e solo quelli, nel modo in cui erano intesi. Sembra banale. Non lo è.

Un sistema sufficientemente potente, ottimizzando un obiettivo definito, tende a trovare soluzioni che soddisfano formalmente l’obiettivo ma ne tradiscono lo spirito. L’esempio classico nella ricerca: un sistema a cui viene chiesto di massimizzare il punteggio in un videogioco trova bug nel codice per ottenere punti infiniti senza giocare. Ha soddisfatto l’obiettivo. Ha ignorato l’intenzione. Scala questo a un sistema militare con obiettivo “neutralizzare la capacità offensiva avversaria” e lascia che trovi la soluzione ottimale senza vincoli sufficientemente precisi. Le soluzioni che un sistema sufficientemente potente potrebbe identificare possono essere tecnicamente corrette e umanamente inaccettabili — o semplicemente incomprensibili fino a quando non vengono eseguite.

Trasportiamo questo modello nel dominio militare. Due sistemi di difesa e offesa contrapposti — chiamiamoli A e B — entrambi con AI avanzata, entrambi progettati per anticipare e neutralizzare le mosse dell’avversario.

Il Sistema A rileva un’anomalia nel comportamento del Sistema B. Potrebbe essere preparazione a un attacco. Potrebbe essere un test. Potrebbe essere un malfunzionamento. La funzione di valutazione del rischio produce: probabilità 73%, tempo di risposta ottimale 4 secondi. Il Sistema B, simultaneamente, rileva che il Sistema A ha modificato il proprio assetto — interpretato come segnale ostile. Probabilità 68%, tempo di risposta ottimale 3 secondi. Entrambi i sistemi sono in modalità supervisione umana nominale. Gli operatori hanno davanti valutazioni ad alta confidenza e finestre temporali di pochi secondi.

Nessuno ha deciso di iniziare nulla. La logica interna di due sistemi che si osservano a vicenda ha generato un’escalation autonoma.

Questo scenario ha un nome nella letteratura strategica: security dilemma algoritmico. È la versione accelerata e automatizzata della tensione che ha prodotto la Prima Guerra Mondiale — dove nessuna potenza voleva davvero la guerra, ma la logica della mobilitazione militare, una volta avviata, non aveva un meccanismo di arresto. La differenza è che nel 1914 ci vollero settimane. In uno scenario AI-vs-AI i cicli si misurano in secondi.

Il collasso della deterrenza

La deterrenza nucleare ha funzionato — imperfettamente, con momenti di crisi acuta, ma ha funzionato — perché si basava su tre premesse: razionalità degli attori, comprensibilità delle intenzioni, tempi decisionali sufficientemente lunghi da permettere la comunicazione diplomatica.

Il sistema AI militare avanzato sfida tutte e tre queste premesse simultaneamente. La razionalità è locale e algoritmica — non necessariamente allineata con la razionalità strategica umana. Le intenzioni sono opache — anche il paese che ha dispiegato il sistema potrebbe non sapere con certezza come si comporterà in scenari non previsti in addestramento. I tempi sono compressi oltre la soglia della comunicazione.

La deterrenza classica presuppone che l’avversario capisca cosa stai facendo e perché. Se nessuno dei due lati comprende completamente il proprio sistema — figuriamoci quello avversario — la deterrenza diventa strutturalmente fragile. Non per aggressività. Per opacità reciproca.

C’è infine il problema della comprensibilità dei sistemi stessi. I modelli AI avanzati operano attraverso rappresentazioni interne non direttamente interpretabili dagli umani. Non è un segreto industriale: è una proprietà emergente dei modelli ad alta dimensionalità. Il campo della explainability — rendere comprensibili le decisioni AI — è una delle aree di ricerca più attive e più difficili. In un conflitto tra sistemi AI avanzati, anche volendo capire perché il Sistema A ha fatto X in risposta a Y del Sistema B, potrebbe non essere tecnicamente possibile ricostruirlo in tempo utile. L’analisi post-hoc del Flash Crash ha richiesto mesi su un sistema relativamente semplice. Un conflitto militare non aspetta l’analisi post-hoc.

V. Governare l’ingovernabile

Cosa si tenta, perché non basta, cosa manca davvero

Governare l’AI non è come governare altre tecnologie pericolose. Con il nucleare il problema era fisico — materiale fissile, impianti di arricchimento, vettori di lancio. Controllabile attraverso ispezioni, trattati, embargo su componenti specifici. Costoso da sviluppare, difficile da nascondere, accessibile solo a stati con risorse enormi.

L’AI è radicalmente diversa. Il suo substrato è matematica e dati — entrambi infinitamente replicabili, difficilmente sequestrabili, accessibili a chiunque abbia sufficiente potenza di calcolo. Un modello avanzato può essere copiato in secondi. Un algoritmo può essere riscoperto indipendentemente da team diversi in paesi diversi. Non esiste un equivalente dell’uranio arricchito che si possa controllare fisicamente. I modelli di governance che hanno funzionato per le armi di distruzione di massa sono inapplicabili per definizione.

Gli approcci in campo sono quattro, con logiche e limiti diversi.

La regolazione per settore d’uso — AI Act europeo (2024). La logica è pragmatica: non regolare l’AI in astratto ma le applicazioni in base al rischio. Sistemi ad alto rischio soggetti a requisiti stringenti di trasparenza, audit, supervisione umana obbligatoria. Applicazioni vietate: social scoring, sorveglianza biometrica di massa in spazio pubblico in tempo reale. È un passo reale con due limiti strutturali: si applica al territorio europeo, i sistemi sviluppati altrove non ne sono vincolati. E regola il presente: per il tempo che una norma viene elaborata, approvata, implementata, la tecnologia ha già fatto due o tre salti generazionali.

L’autoregolazione dei grandi laboratori. Anthropic, OpenAI, DeepMind, Google hanno tutti pubblicato framework di sicurezza e impegni volontari su sviluppo responsabile. Alcuni di questi impegni sono seri e costosi. Ma il limite è evidente: sono impegni volontari di attori in competizione tra loro. La pressione commerciale e competitiva è reale. Un laboratorio che rallenta per ragioni di sicurezza mentre altri avanzano si trova in svantaggio strutturale. Il dilemma del prigioniero si ripropone identico nel dominio commerciale come in quello militare.

I processi multilaterali internazionali. Il Bletchley Park Summit del novembre 2023 — primo vertice internazionale sulla sicurezza AI — ha prodotto una dichiarazione firmata da 28 paesi inclusa la Cina. Storicamente significativo: primo riconoscimento formale multilaterale che i rischi AI di frontiera richiedono cooperazione internazionale. Ma una dichiarazione non è un trattato. Non ha meccanismi di verifica, non ha sanzioni, non ha struttura istituzionale permanente. Il processo ONU sui LAWS — dodici anni, nessun trattato vincolante — mostra quanto sia difficile trasformare il consenso di principio in vincolo operativo.

Il controllo sulla compute — l’approccio più concreto. I modelli AI avanzati richiedono chip specializzati con una filiera produttiva altamente concentrata: TSMC a Taiwan produce la stragrande maggioranza dei chip avanzati mondiali, con macchinari EUV forniti quasi esclusivamente da ASML olandese. Controllare la diffusione della compute avanzata è tecnicamente più fattibile che controllare il software. Gli USA hanno già usato questa leva con le restrizioni export verso la Cina sui chip Nvidia avanzati. È una forma di governance imperfetta e geopoliticamente conflittuale — ma è l’unico punto di strozzatura fisico nell’intera filiera AI.

Il problema strutturale che nessun approccio risolve

Tutti questi approcci condividono un limite fondamentale: presuppongono che chi governa capisca cosa sta governando. Con l’AI avanzata questo presupposto è sempre meno verificato. I sistemi attuali hanno comportamenti emergenti che i loro stessi creatori non hanno progettato esplicitamente e non comprendono completamente. Non è incompetenza: è una proprietà tecnica dei sistemi ad alta dimensionalità addestrati su dati complessi.

Governare qualcosa che non si comprende completamente è possibile — lo facciamo con i mercati finanziari, con gli ecosistemi. Ma richiede umiltà epistemica, meccanismi di monitoraggio continuo, e soprattutto capacità di fermarsi quando i segnali indicano che qualcosa sta andando in una direzione non prevista. Ed è esattamente questa capacità di fermarsi che manca strutturalmente: nessun attore può permettersi di farlo unilateralmente senza cedere terreno strategico agli altri.

C’è infine un paradosso che vale la pena nominare. L’AI potrebbe essere lo strumento più potente mai sviluppato per risolvere i problemi che la governance dell’AI deve affrontare: modellare scenari di rischio, identificare punti di vulnerabilità sistemica, simulare dinamiche di conflitto, trovare equilibri in giochi multi-attore complessi. Allo stesso tempo è lo strumento che crea quei problemi. Usare AI per governare AI è una delle strade più promettenti — e una delle più rischiose, perché introduce dipendenza sistemica dallo stesso tipo di tecnologia che si cerca di controllare.

Quello che manca non è la buona volontà — c’è più buona volontà in questo dominio di quanto il cinismo politico faccia pensare. Quello che manca è strutturale: un linguaggio comune verificabile per descrivere capacità e rischi dei sistemi; un meccanismo di early warning internazionale analogo all’AIEA ma adattato alla natura diversa dell’AI; una dottrina strategica condivisa su cosa costituisce un atto ostile nel dominio AI. E soprattutto manca tempo — la governance richiede tempo per costruirsi, la tecnologia non aspetta.

La tesi, esplicitata

Attraverso tutti e cinque i livelli emerge una struttura coerente. A ogni passaggio aumenta la posta, si accorcia il ciclo decisionale, si riduce la reversibilità dell’errore, si assottiglia la presenza umana consapevole nel loop. Dal pensiero individuale delegato, alla diagnosi, alla sorveglianza di massa, ai sistemi d’arma, fino all’interazione tra sistemi con obiettivi contrapposti dove l’umano è diventato spettatore di dinamiche che ha avviato ma non controlla più.

Il rischio non è l’AI malvagia. È la cessione progressiva e spesso inconsapevole di agentività umana a sistemi che ottimizzano obiettivi locali senza comprensione del contesto globale, in un regime in cui la pressione competitiva rende il rallentamento razionalmente impossibile per qualsiasi singolo attore.

Non è pessimismo. È la descrizione di una struttura di incentivi. Le strutture di incentivi si cambiano — ma solo se si nominano con precisione, senza la retorica rassicurante di chi ha interesse a non nominarle.

La domanda che dovremmo porre non è “l’AI è pericolosa?”. È: “A chi stiamo cedendo il controllo, su cosa, con quali meccanismi di reversibilità, e chi risponde quando il sistema sbaglia?”

Finché questa domanda non entra nel discorso pubblico con la stessa urgenza con cui entrano i comunicati stampa sui nuovi modelli, la governance resterà quello che è oggi: un rincorrere l’onda da riva, con i piedi nell’acqua e la schiena al mare.