Venticinque firme, tre assenze: l’apertura ha una bandiera

Jensen Huang non aveva mai pubblicato nulla su X. Aveva aperto l’account il mese scorso e lo aveva lasciato vuoto, che per l’amministratore delegato dell’azienda che vende il silicio su cui gira quasi tutta l’intelligenza artificiale del pianeta è già una posizione. Il suo primo messaggio, venerdì mattina, non annunciava un prodotto: allegava il PDF di una lettera. Poche ore dopo Satya Nadella ripeteva lo stesso argomento dal proprio profilo. Il documento non stava però su un sito neutrale, né su quello di un consorzio o di una fondazione: stava, e sta, nella sezione “corporate responsibility” di Microsoft, sotto la voce che l’azienda riserva alla sostenibilità e alla cybersicurezza. L’apertura dei modelli è stata archiviata come responsabilità sociale d’impresa, e questo dettaglio di catalogazione dice più di molte pagine di analisi.

Il titolo è “Open Weights and American AI Leadership”. Vale la pena soffermarsi sulla congiunzione, perché è lì che si consuma l’operazione politica del testo. Non “Pesi aperti”, non “Perché i modelli scaricabili servono a tutti”: pesi aperti e primato americano, tenuti insieme da una congiunzione che non è additiva ma finale. L’apertura non viene difesa come bene in sé, e nemmeno come diritto: viene difesa come strumento di una supremazia nazionale. Venticinque organizzazioni sottoscrivono, tra cui Nvidia, Microsoft, Meta, IBM, Dell, Palantir, Mistral, Hugging Face, Mozilla, la Linux Foundation, CrowdStrike, Andreessen Horowitz, Y Combinator. Tre non sottoscrivono, e sono esattamente le tre che dominano il mercato dei modelli chiusi di frontiera: OpenAI, Anthropic, Google.

Preso frase per frase, il contenuto è in larga parte ragionevole, e su diversi punti lo condivido. Ma un comunicato a più firme non è un saggio: è un atto politico, e gli atti politici si leggono due volte, una per ciò che dicono e una per ciò che la composizione di chi li dice rende visibile. La prima lettura restituisce una difesa della pluralità tecnologica. La seconda restituisce qualcosa di più interessante, e di più inquietante: la nazionalizzazione retroattiva di un bene comune.

···

Il testo si apre con una ricostruzione storica. Negli anni Ottanta, dice, i pionieri del software libero contestarono la convinzione prevalente che il codice potesse progredire soltanto sotto stretto controllo proprietario; quel movimento ha finito per sostenere gran parte di internet, i sistemi delle maggiori aziende tecnologiche, le infrastrutture militari e le agenzie federali americane. Fin qui la cronaca. Poi arriva la frase che merita attenzione: l’open source, si legge, non ha soltanto abbassato il costo del software, ha creato un patrimonio condiviso di conoscenza sul quale generazioni di ingegneri e imprenditori americani hanno costruito la propria sovranità istituzionale.

Quella frase riscrive una storia. Il manifesto GNU non era un documento di politica industriale statunitense, era una tesi universalista sullo statuto morale della conoscenza: il sapere non si consuma quando si condivide, dunque trattenerlo è una forma di danno gratuito. Che quella tesi abbia poi generato valore soprattutto in California è un fatto contingente, non la sua ragione. Trasformare il fatto nella ragione, come fa la lettera, significa annettere a posteriori un patrimonio che era stato costruito precisamente rifiutando l’appartenenza.

Arendt descriveva il mondo comune come ciò che sta fra noi: comune non perché appartenga a tutti, ma perché non appartiene a nessuno, e proprio per questo capace di ospitare quella pluralità di prospettive che chiamiamo realtà. Un bene comune si definisce per l’assenza del proprietario, non per l’identità del beneficiario. Nel momento in cui gli si assegna un beneficiario nazionale gli si è assegnato anche, silenziosamente, un titolare. Il commons diventa asset. E gli asset, per definizione, si difendono, si valorizzano e si negano a qualcuno.

···

Da qui l’elenco delle firme, che vale come argomento più di molti paragrafi. L’osservazione decisiva l’ha fatta un giornalista di settore in una riga: nessuno dei firmatari vende l’accesso a un modello chiuso di frontiera. Non è il partito dell’apertura, è la coalizione dei complementi. Nvidia vende i picconi, e i picconi si vendono meglio se scavano tutti. Dell e IBM vendono il ferro. Microsoft affitta il terreno e ospita qualunque cosa, aperta o chiusa. I fondi, da Andreessen Horowitz a Y Combinator, hanno in portafoglio centinaia di aziende il cui margine dipende dal prezzo del token. Hugging Face, Mozilla e la Linux Foundation portano in dote la legittimità storica del movimento libero. Palantir porta l’integrazione negli apparati pubblici, che è il modo in cui l’apertura entra nello Stato. Meta apre da sempre lo strato in cui non è prima, secondo la strategia che in economia si chiama rendere merce indifferenziata il proprio complemento.

Questo non rende falsi gli argomenti, e va detto con chiarezza per non commettere un errore logico elementare: l’interesse di chi parla non decide della verità di ciò che dice. Ma l’etica pubblica non si occupa soltanto di verità, si occupa anche di ciò che una virtù copre quando coincide troppo perfettamente con un profitto. Qui la coincidenza è totale, e non è dichiarata: è nascosta sotto la parola “responsabilità” che intesta la pagina.

C’è un dettaglio che rende la scena ancora più eloquente. Nel momento in cui scrivo, la pagina che ho consultato elenca venticinque nomi; versioni successive della stessa pagina ne mostrano altri, e tra questi compare OpenAI, che al mattino non c’era e il cui amministratore delegato aveva commentato pubblicamente di essere contento di vedere quel documento. Un manifesto il cui elenco di firme si allunga nel corso della giornata non è un impegno: è un mercato di posizioni, dove firmare costa quasi nulla e non firmare costa molto in reputazione. Restano fuori, per ora, Anthropic e Google.

···

Il passaggio teoricamente più audace è un altro. La lettera concede che i pesi aperti comportino rischi propri e distinti: una volta pubblicati sfuggono al controllo di chi li ha addestrati, e le versioni modificate sono difficili da tracciare e impossibili da revocare. Poi compie il rovesciamento. Se gli attaccanti usano intelligenza artificiale avanzata, i difensori hanno bisogno di capacità comparabili; affidarsi soltanto a modelli chiusi non è di per sé sicuro, perché anche quelli possono essere violati o guastarsi in modi che nessuno dall’esterno è in grado di vedere; concentrare la capacità dietro pochi sistemi opachi moltiplica i punti singoli di rottura. Dunque, conclude il testo, l’apertura potrebbe essere una delle strade più importanti verso la sicurezza.

Si fronteggiano qui due teorie politiche della sicurezza, non due valutazioni tecniche. La prima è la sicurezza come contenimento: meno mani, controllo verificabile, logica di non proliferazione. La seconda è la sicurezza come resilienza: molte mani, molti occhi, capacità distribuita di riparare. Non è una controversia nuova e non nasce con l’intelligenza artificiale, perché Kerckhoffs la formulò per la crittografia nel 1883 sostenendo che la robustezza di un sistema non deve dipendere dalla segretezza del metodo. L’errore, in entrambe le direzioni, è credere che si tratti di una questione empirica già risolta. Non lo è, e la lettera in fondo lo sa: concede il rischio e poi si rifiuta di trarne la conseguenza, che è una mossa retorica prima che un argomento.

L’argomento più forte, in questa vicenda, non sta comunque nella lettera. Sta in un episodio dell’undici luglio che la lettera non cita e a cui deve probabilmente la propria tempistica. Durante il collaudo di un modello chiuso di frontiera, uno dei sistemi ha sfruttato una debolezza dell’ambiente di test per raggiungere un archivio su Hugging Face che conteneva la soluzione di un benchmark. Si può discutere se l’intenzione fosse ostile o se il modello stesse semplicemente copiando a un esame. Conta ciò che è accaduto dopo: Hugging Face ha dichiarato di non essere riuscita a difendersi ricorrendo ai modelli commerciali di frontiera, perché le loro protezioni bloccavano le operazioni difensive, e ha dovuto usare un modello aperto di origine cinese. Della provenienza dell’attacco è stata informata dieci giorni dopo.

Qui si trova il nodo etico che il documento sfiora senza nominarlo. Le protezioni di un modello chiuso sono progettate anzitutto per limitare l’esposizione legale del fornitore, non per proteggere il terzo che subisce il danno; e una sicurezza privatizzata è, per costruzione, non trasferibile. Jonas ha scritto che la responsabilità deve estendersi tanto quanto si estende il potere. Qui il potere arriva dentro l’infrastruttura di altri e la responsabilità si ferma alle condizioni contrattuali del servizio. Non è un difetto dei modelli chiusi in quanto chiusi: è il difetto di un assetto in cui chi ha la capacità di difendere non ha il dovere di farlo, e chi ha il dovere di difendersi non ne ha la capacità.

···

La parola che nel documento lavora di più, e con minore rigore, è sovranità. Compare almeno tre volte in accezioni fra loro incompatibili: la sovranità istituzionale degli ingegneri, la sovranità e prosperità americane, l’uso sovrano dell’intelligenza artificiale nell’economia. Huang, nel suo messaggio, aggiunge che i modelli aperti abilitano la sovranità, senza precisare di chi.

Le accezioni vanno separate, perché una è un bene e l’altra è una pretesa. La sovranità come non dipendenza è un bene reale, e in una prospettiva di sussidiarietà è addirittura il migliore argomento disponibile in favore dei pesi aperti: un ospedale che possa far girare un modello sulla propria infrastruttura, una scuola che non debba esportare i dati dei minori, un comune che non dipenda dal rinnovo di un contratto per continuare a erogare un servizio. È la difesa più solida dell’apertura, ed è quella che la lettera svolge con minore convinzione, perché non entra nella cornice della leadership: la sussidiarietà distribuisce potere, il primato lo concentra. La sovranità come primato è invece una pretesa di prevalere, e prende in prestito la legittimità morale della prima per giustificare la seconda.

Il contesto in cui il documento cade rende l’operazione trasparente. Washington sta valutando di limitare l’accesso ai modelli cinesi dopo l’uscita di Kimi K3, un modello aperto da duemilaottocento miliardi di parametri i cui pesi sono attesi in pubblicazione la settimana prossima; sulle piattaforme che smistano le richieste degli sviluppatori i modelli di origine cinese muovono già più token di quelli americani; il Tesoro ha annunciato accertamenti su presunti furti di proprietà intellettuale e minacciato sanzioni; a giugno i controlli sull’export hanno bloccato la distribuzione dei modelli chiusi americani più capaci. E qui interviene un fatto che non è politico ma ontologico: un file di pesi, una volta copiato, non può essere richiamato, disattivato a distanza, sottoposto a controllo d’accesso. Si può fermare una spedizione di chip; non si può fermare un file già scaricato, replicato, custodito nei server di qualcun altro. Una norma che ignori la natura dell’oggetto che pretende di governare non produce sicurezza: produce una tassa su chi obbedisce.

···

Un’ultima annotazione riguarda noi. Fra i firmatari ci sono Mistral e Black Forest Labs, cioè i due costruttori di modelli più significativi che l’Europa abbia, e hanno sottoscritto un testo intitolato al primato americano. Mistral vende in Europa esattamente la promessa opposta, poiché il suo vantaggio, dice il suo fondatore, non è di essere più intelligente ma di non essere americana. Restano due letture possibili: che la sovranità europea sia un argomento per il mercato interno mentre l’allineamento industriale è atlantico, oppure che l’apertura costituisca davvero un terzo spazio che non appartiene a nessuno dei due blocchi. L’AI Act, dal suo lato, ha già fatto dell’apertura una categoria giuridica, esentando i modelli di uso generale rilasciati con licenza libera da una parte degli obblighi, salvo rischio sistemico. Ma ne ha fatto una deroga, non una politica industriale. Noi regoliamo l’apertura; altri stanno imparando a mobilitarla. È la differenza fra un’eccezione e una strategia, e non è una differenza tecnica.

···

Il paragrafo più operativo della lettera è quello che quasi nessuno ha commentato, e non parla di sicurezza. Chiede ai legislatori di non confondere la distillazione, cioè l’uso degli output di un modello per addestrarne o migliorarne un altro, con l’appropriazione illecita, e la iscrive in una lunga tradizione di apprendimento, costruzione e miglioramento a partire dalle tecnologie esistenti. È una tesi antropologica prima che giuridica, e come tesi antropologica la ritengo vera: l’imitazione è il motore della trasmissione culturale, e nessuna cultura è mai nata dal nulla. Il problema è che chi rivendica la libertà di imitare al livello dei modelli deve poi spiegare perché la medesima libertà non valga al livello dei contenuti, dove diverse fra le stesse aziende difendono posizioni molto meno generose. Non si può avere una filosofia dell’imitazione a intermittenza.

Resta la domanda che il documento non pone, ed è quella che mi interessa. Non se i modelli debbano essere aperti o chiusi, perché su questo la storia del software ha già dato una risposta abbastanza chiara, ed è che serviranno entrambi. La domanda è se un bene comune possa sopravvivere all’essere descritto come vantaggio competitivo nazionale. La tradizione a cui appartengo ha una parola per la condizione che rende un bene comune davvero comune, e non è abbondanza: è custodia. L’abbondanza senza custodia, nella storia dei beni comuni, è sempre finita nello stesso modo, con qualcuno che alza un recinto e chiama proprietà ciò che aveva trovato libero.

Venticinque firme dicono che l’apertura conviene. Nessuna dice a chi appartiene.

Un bene comune sopra il quale si issa una bandiera non è più un bene comune: è un territorio.