L’AI privata e sovrana sta ridisegnando il confine di fiducia intorno al deployment dei modelli

Per la maggior parte dell’ultimo decennio, eseguire un modello di IA potente significava inviare i propri dati all’infrastruttura di qualcun altro e sperare che tale infrastruttura funzionasse correttamente. Tuttavia, questo modello sta crollando a causa di un dilemma di fiducia crescente tra i proprietari dei modelli, i proprietari dei dati e i fornitori di infrastrutture. Organizzazioni nei settori finanziario, sanitario, governativo e della difesa desiderano sempre più eseguire il modello all’interno dei propri confini, sotto i propri controlli, senza perdere l’accesso a ciò che ha reso il modello forte fin dall’inizio.

Questo è ciò che offrono l’AI privata e sovrana, e non è più una domanda di nicchia. In effetti, più del 95 % delle organizzazioni intervistate ha dichiarato che l’AI privata e sovrana è rilevante per la loro strategia, sebbene solo circa tre organizzazioni su dieci la stiano attualmente priorizzando in modo concreto e a breve termine, secondo NTT DATA’s 2026 Global AI Report. Un modello simile è descritto in McKinsey’s research on sovereign AI ecosystems. Le roadmap aziendali per il 2026 includono la sovranità nella quasi totalità dei casi, ma poche di esse dispongono di una roadmap eseguibile che delinei chiaramente i livelli di carico di lavoro.

Questo divario tra ambizione ed esecuzione riflette una tensione genuina e irrisolta, in cui le imprese vogliono modelli che possano funzionare in ambienti non controllati dal fornitore, mentre i fornitori di modelli hanno costruito l’intero loro business sulla creazione, l’addestramento e la messa a punto dei modelli stessi.

Why the Old Security Model Doesn’t Transfer

La sicurezza tradizionale del software presuppone una separazione piuttosto netta dei controlli di sicurezza. Il fornitore protegge il proprio codice prima di spedirlo; il cliente protegge l’ambiente in cui viene eseguito. Contratti, controlli di accesso e perimetri di rete si occupano del resto.

I modelli di IA proprietari non si adattano perfettamente a questo modello. Il “prodotto” non è un binario statico; è un insieme di pesi, in alcuni casi centinaia di miliardi di parametri, che rappresentano mesi di investimento in addestramento e la proprietà intellettuale fondamentale del fornitore. Una volta che tali pesi vengono distribuiti in un ambiente controllato dal cliente, il fornitore consegna effettivamente la proprietà intellettuale sperando che i controlli circostanti siano sufficienti.

I termini contrattuali e le politiche di accesso offrono scarsa protezione contro l’amministratore di sistema del cliente, un cluster mal configurato o un host compromesso. Inoltre, quando un fornitore di modelli estende il deployment a un data center o a una tenancy cloud di terzi, molte delle consuete salvaguardie tecniche non sono più applicabili.

The Real Exposure Is in Memory

La parte più sottovalutata di questo problema è ciò che accade a un modello una volta che è effettivamente in esecuzione. La crittografia dei dati a riposo o in transito è ampiamente adottata. Il divario si manifesta quando i dati sono in uso, nel momento in cui i pesi vengono decrittati e caricati nella GPU o nella memoria di sistema affinché l’inferenza possa avvenire.

I ricercatori hanno già dimostrato attacchi di estrazione basati sulla memoria contro reti neurali distribuite. Uno widely cited academic study ha mostrato che tecniche side‑channel contro l’hardware di memoria possono essere usate per ricostruire i pesi di un modello senza mai toccare i file originali del fornitore. La superficie di attacco non è il file del modello su disco; è il processo live in esecuzione, lo stato in cui un modello deve trovarsi per essere utile.

Ma non è nemmeno necessario un attacco side‑channel per estrarre i pesi del modello dalla memoria. Un’escalation di privilegi sfruttando il kernel può concedere a un attaccante privilegi da amministratore di sistema, permettendo di scaricare i pesi dalla memoria.

Per un fornitore di modelli, ciò significa che il momento di massimo rischio commerciale, quando l’infrastruttura di terzi sta attivamente eseguendo la tua proprietà intellettuale, è anche quello in cui le protezioni convenzionali sono più deboli. Questo è il problema fondamentale che le implementazioni di AI privata e sovrana devono risolvere: chi o cosa può vedere tecnicamente il modello mentre è in esecuzione?

Confidential Computing Offers a Path, With Real Limits

La risposta più promettente a questo problema al momento è il computing confidenziale: ambienti di esecuzione fidati (TEE) basati su hardware che mantengono dati e pesi del modello crittografati anche durante l’elaborazione attiva. Il Confidential Computing Consortium, una comunità aperta sotto la Linux Foundation, definisce questo come la protezione dei dati in uso all’interno di un TEE attestato, il che significa che l’ambiente può dimostrare crittograficamente ciò che sta eseguendo prima che qualsiasi carico di lavoro sensibile gli venga affidato.

L’attestazione è ciò che crea realmente fiducia tra un fornitore di modelli e l’infrastruttura del cliente. Consente al modello del fornitore di verificare l’impronta crittografica dell’ambiente in cui sta per essere eseguito e di rifiutare di rilasciare i propri pesi se l’ambiente non corrisponde a quello autorizzato. I principali fornitori di cloud hanno iniziato a integrare questa funzionalità direttamente nella loro infrastruttura IA; Google Cloud’s recent confidential computing updates, per esempio, estendono l’attestazione sia all’hardware CPU sia GPU, così che i carichi di lavoro di inferenza siano verificati end‑to‑end prima che vengano rilasciate le chiavi di decrittazione.

Sarebbe però un errore trattare l’attestazione come un problema risolto. Qualsiasi tecnologia di sicurezza è forte solo se implementata correttamente e in modo sicuro.

Ciò non significa, tuttavia, che il computing confidenziale sia una promessa falsa. Significa che la disciplina è ancora giovane, gli strumenti sono ancora in evoluzione e le imprese che valutano i fornitori dovrebbero porre domande precise su come l’attestazione viene implementata, non solo se esiste nella scheda tecnica.

Secure, Flexible Deployment Is Becoming a Precondition, Not a Feature

Il caso di business per risolvere questo problema sta diventando sempre più convincente. Deloitte’s global enterprise research prevede un investimento in capacità di calcolo AI sovrana pari a quasi 100 miliardi di dollari solo nel 2026, guidato principalmente da settori regolamentati che non hanno alcuna via per un’adozione più ampia dell’IA senza di essa. Questa scommessa riflette la realtà secondo cui le normative sulla residenza dei dati, i regimi di conformità settoriale e le pressioni geopolitiche sono ormai integrate nella pianificazione, da parte delle grandi organizzazioni, della loro infrastruttura IA con anni di anticipo.

Per i fornitori di modelli, ciò cambia radicalmente le cose. La capacità di eseguire un modello in modo sicuro all’interno dell’ambiente del cliente senza cedere il controllo sui pesi sta passando da differenziatore a requisito di base. I fornitori che non riescono a offrire una qualche versione di questa capacità si troveranno esclusi dai settori regolamentati e ad alto valore che attualmente guidano la spesa aziendale in IA.

Nessuna di queste considerazioni elimina la tensione sottostante tra l’accessibilità del modello e la protezione della proprietà intellettuale. Probabilmente non lo farà mai completamente. Tuttavia la direzione è chiara: le imprese che adottano l’IA su larga scala non sono più disposte ad accettare “fidati di noi” come risposta, e chi riuscirà a rispondere con una prova crittografica sarà quello che concorrerà e vincerà quel mercato.