L’AI open-weight cinese conquista gli sviluppatori: cosa cambia nella sfida tra Stati Uniti e Cina

La sfida cinese nel campo dell’intelligenza artificiale non riguarda più soltanto la capacità dei suoi laboratori di creare un modello all’altezza dei migliori sistemi statunitensi. Il punto decisivo è sempre più la distribuzione: chi riesce a portare un’AI potente nelle mani del maggior numero di sviluppatori, imprese e governi, al costo più basso.

DeepSeek, Kimi di Moonshot AI e Qwen di Alibaba hanno reso il modello open-weight uno dei terreni centrali della competizione. Secondo un’analisi di ricercatori di Stanford, i modelli cinesi open-weight hanno rapidamente ridotto il divario con quelli internazionali e, in alcuni ambiti, lo hanno colmato o superato. Nel settembre 2025, inoltre, la famiglia Qwen ha superato Llama di Meta diventando la famiglia di modelli linguistici più scaricata su Hugging Face. 18

Per Washington si apre così un dilemma strategico. Limitare i modelli cinesi può ridurre l’esposizione in contesti sensibili; un divieto generalizzato, però, rischierebbe di lasciare alla Cina il livello di sviluppo aperto e di rinunciare a parte della trasparenza e del controllo locale che rendono interessanti i modelli eseguibili sui propri server.

Open-weight non significa “completamente open source”

Un modello open-weight rende disponibili per il download i parametri addestrati, permettendo a soggetti terzi di eseguire o adattare il sistema finito. È una situazione diversa da quella di un modello chiuso, normalmente accessibile attraverso un’applicazione o un’API controllata dal fornitore. 33

La pubblicazione dei pesi, tuttavia, non garantisce necessariamente l’accesso a:

• codice originale di addestramento;
• dati di training e relativa provenienza;
• procedura di addestramento riproducibile;
• risultati completi delle valutazioni;
• diritti illimitati di uso commerciale o redistribuzione;
• informazioni trasparenti su filtri, sicurezza e sviluppo del modello.

Per questo il termine “aperto” va verificato release per release. Un modello può essere scaricabile ma difficile da riprodurre, soggetto a una licenza restrittiva oppure poco trasparente sui dati che ne hanno influenzato il comportamento. L’AI completamente open source rappresenta uno standard più esigente: richiede un accesso significativo al codice, alle informazioni sui dati e agli altri componenti necessari per studiare e riprodurre il sistema. 41

La distinzione è importante nel caso di DeepSeek, Kimi e Qwen. Disponibilità, licenze e livello di documentazione tecnica possono cambiare da una versione all’altra, mentre le informazioni pubbliche possono non riflettere immediatamente ogni aggiornamento.

La Cina compete sull’adozione, non solo sui benchmark

I laboratori cinesi hanno combinato prestazioni competitive, prezzi contenuti, efficienza e possibilità di esecuzione locale. Per startup, ricercatori e aziende questo crea un’alternativa all’uso esclusivo di API statunitensi costose e gestite da remoto. Rapporti e ricerche di policy descrivono un circolo virtuoso: i rilasci a basso costo attirano utenti, gli utenti sviluppano strumenti e versioni derivate, e l’ecosistema accelera ulteriormente l’innovazione. 1720

Il vantaggio non si misura soltanto nel numero di persone che usano una chatbot. Ogni implementazione può generare:

• versioni specializzate e sottoposte a fine-tuning;
• strumenti per sviluppatori e integrazioni;
• nuovi benchmark e segnalazioni di bug;
• familiarità con una determinata famiglia di modelli;
• dipendenze commerciali e impostazioni tecniche predefinite.

Secondo Stanford, tra agosto 2024 e agosto 2025 gli sviluppatori cinesi hanno rappresentato il 17,1% dei download su Hugging Face, leggermente più degli sviluppatori statunitensi, fermi al 15,8%. 18 Altre ricostruzioni hanno documentato anche il crescente ricorso a modelli cinesi da parte di aziende americane alla ricerca di costi più bassi. 31

Se i modelli di origine cinese dovessero diventare parte integrante di software, dispositivi, servizi pubblici e sistemi industriali in tutto il mondo, Pechino potrebbe acquisire influenza su impostazioni tecniche, aggiornamenti e filiere collegate. È un possibile punto di leva geopolitico, non la prova che ogni modello installato localmente sia compromesso.

La sicurezza comprende almeno quattro problemi diversi

L’espressione “rischio dell’AI cinese” può indicare questioni differenti, che non andrebbero confuse.

1. Accesso ai dati nei servizi ospitati

Quando un utente invia richieste, documenti o identificativi a un servizio ospitato in Cina, queste informazioni escono dal suo ambiente e possono essere soggette alla giurisdizione del fornitore e alle leggi applicabili. Dati governativi, militari, sanitari, relativi a infrastrutture critiche o segreti industriali richiedono quindi una valutazione formale prima di essere trasferiti a un servizio esterno.

L’esecuzione locale modifica questo specifico flusso di dati: un’infrastruttura configurata correttamente può mantenere richieste e documenti all’interno della rete dell’organizzazione. Non garantisce però che il pacchetto del modello, il software che lo esegue o gli strumenti collegati siano sicuri.

2. Censura, distorsioni e comportamento del modello

Addestramento e allineamento possono produrre rifiuti, omissioni, impostazioni narrative o informazioni false condizionate politicamente. Un rapporto del Congresso statunitense ha sostenuto che il prodotto ospitato di DeepSeek trasferisse dati di utenti americani in Cina e manipolasse le risposte; si tratta di risultati e accuse di un’indagine parlamentare, non della prova che ogni file di pesi scaricabile contenga codice malevolo. 2

Il comportamento di un prodotto ospitato può inoltre differire da quello di una versione derivata eseguita localmente. Interfaccia, prompt di sistema, livelli di moderazione, strumenti di ricerca e processo di aggiornamento possono incidere tutti sull’output.

3. Backdoor e compromissione della filiera

In teoria, un pacchetto di modello scaricato o il software che lo circonda potrebbe contenere codice insicuro, comportamenti avvelenati o trigger nascosti. Ma l’origine nazionale di un modello, da sola, non dimostra l’esistenza di una backdoor. I team di sicurezza devono verificare provenienza, hash e firme, esaminare il comportamento di rete, isolare i componenti in sandbox e testare l’intero stack di deployment.

4. I rischi dei modelli chiusi

Anche i modelli proprietari chiusi comportano rischi di concentrazione e responsabilità. In genere gli utenti non possono ispezionarne pesi, dati di addestramento, prompt nascosti, telemetria, filtri o processo di aggiornamento. Le API centralizzate possono diventare obiettivi ad alto valore per sorveglianza, interruzioni del servizio e compromissioni, oltre a consentire al fornitore di cambiare unilateralmente le proprie regole.

L’accesso chiuso può aiutare un’azienda a monitorare gli abusi, applicare rapidamente correzioni di sicurezza e impedire la redistribuzione incontrollata. Non rende però un modello automaticamente affidabile. Sistemi aperti e chiusi espongono a rischi diversi e offrono forme diverse di controllo.

Perché l’hosting locale è l’argomento più forte contro un divieto generalizzato

L’auto-gestione può dare a un’organizzazione maggiore controllo sul proprio modello di rischio. Un team di sicurezza può fissare una versione precisa, verificare gli artefatti, limitare le connessioni in uscita, analizzare le dipendenze, isolare il servizio, eseguire test di red teaming e mantenere i dati sensibili sull’infrastruttura interna.

L’accesso ai pesi consente anche a ricercatori indipendenti di riprodurre errori e analizzare distorsioni o trigger nascosti. Questa trasparenza è utile, ma non equivale automaticamente alla sicurezza. La maggior parte delle organizzazioni non è in grado di controllare integralmente il comportamento appreso da un modello molto grande. Il fine-tuning può introdurre nuove vulnerabilità e un’installazione senza connessione esterna protegge i dati solo se l’intero stack è configurato correttamente.

La lezione pratica è valutare il deployment, non soltanto l’etichetta del modello. Un’API ospitata in Cina, un’installazione locale sottoposta ad audit e una versione derivata di terze parti non verificata presentano profili di rischio differenti.

La distillazione è al centro della controversia

La distillazione addestra un modello più piccolo o più recente, detto “studente”, usando informazioni provenienti da un modello più potente, detto “insegnante”.

• La distillazione black-box utilizza output osservabili, spesso raccolti tramite interrogazioni a un’API. Può essere legittima se autorizzata, ma l’estrazione su larga scala può violare i termini di servizio, aggirare le protezioni o copiare comportamenti proprietari.
• La distillazione white-box utilizza informazioni interne, come pesi, logits o stati nascosti. Può trasferire le capacità in modo più efficiente, ma l’accesso a questi elementi richiede generalmente un’autorizzazione; l’acquisizione non autorizzata solleva problemi più diretti di sicurezza e segreti commerciali.

OpenAI e Anthropic hanno accusato aziende cinesi, tra cui DeepSeek, di aver usato gli output dei modelli nel processo di addestramento. La US-China Economic and Security Review Commission ha descritto accuse relative ad account fraudolenti, servizi proxy ed estrazione coordinata; Reuters ha riferito dell’accusa di OpenAI secondo cui DeepSeek avrebbe cercato di “free-ridere” sulle capacità sviluppate dai modelli di frontiera statunitensi. Si tratta di accuse, non di fatti definitivamente accertati da un tribunale o da un altro organo giudicante. 35

Il problema per i legislatori è che l’estrazione black-box può assomigliare a un uso legittimo e intenso del servizio, mentre dimostrarla pubblicamente può richiedere la divulgazione di prove investigative sensibili. La soluzione non dovrebbe essere considerare illegale ogni forma di distillazione: quando autorizzata, è una tecnica standard.

Cosa significa per la Silicon Valley e per Washington

I rilasci cinesi open-weight mettono sotto pressione il modello di business statunitense basato su API proprietarie e costose. Le aziende americane devono decidere se mantenere chiusi i pesi per proteggere il proprio vantaggio o se, così facendo, rischiano di lasciare a concorrenti cinesi e internazionali sviluppatori, integrazioni e distribuzione globale.

Il primato di Qwen nei download rispetto a Llama è un segnale concreto del peso della competizione sui modelli aperti. 18 Le informazioni disponibili, però, non permettono di stabilire una risposta specifica e attuale di Nvidia o Meta a DeepSeek V4 Pro o Kimi K3. Le dichiarazioni sulle reazioni delle singole aziende dovrebbero essere legate a comunicati primari datati, non dedotte dal più ampio cambiamento del mercato.

Washington ha aumentato il livello di attenzione. Commissioni della Camera dei rappresentanti hanno annunciato un’indagine congiunta sui rischi per la sicurezza nazionale e informatica associati all’adozione di modelli sviluppati nella Repubblica Popolare Cinese, compresi sistemi open-weight a basso costo e accessibili via API di aziende come DeepSeek, Alibaba e Moonshot AI. 14

Alcune ricostruzioni hanno parlato anche di possibili restrizioni, ma le prove disponibili non dimostrano che gli Stati Uniti abbiano già introdotto un divieto commerciale generalizzato sui modelli cinesi open-weight. 912

Le opzioni oltre “vietare tutto” o “non fare nulla”

Un quadro più mirato potrebbe combinare diverse misure:

1. Controllare gli impieghi ad alto rischio. Richiedere autorizzazioni o vietare modelli non verificati in ambito militare, d’intelligence, nelle infrastrutture critiche, nei sistemi governativi sensibili e negli ambienti che gestiscono dati ad alto impatto.
2. Stabilire requisiti per un deployment sicuro. Pretendere registri di provenienza, pacchetti firmati digitalmente, software bill of materials, test indipendenti, risultati di red teaming e possibilità di isolamento dalla rete per gli impieghi sensibili.
3. Distinguere i servizi ospitati dai pesi locali. Un’API ospitata in Cina crea un rischio di accesso ai dati diverso da quello di un artefatto eseguito localmente e sottoposto ad audit indipendente.
4. Perseguire l’estrazione non autorizzata. Rafforzare verifica degli account, monitoraggio delle frequenze di interrogazione, rilevamento degli abusi, tecniche di tracciamento della provenienza e applicazione dei contratti, senza definire ogni distillazione come furto.
5. Usare controlli mirati su export e investimenti. Concentrarsi su chip avanzati, apparecchiature per la produzione, accesso al cloud e soggetti credibilmente collegati a impieghi militari o d’intelligence, riconoscendo però che restrizioni troppo ampie possono accelerare lo sviluppo di alternative interne cinesi.
6. Costruire un ecosistema open-model statunitense e alleato. Investire in modelli sicuri e ben documentati, valutazioni multilingue, inferenza efficiente e strumenti per il deployment. Un’alternativa competitiva affronta più direttamente la strategia cinese basata sull’adozione, invece di limitarsi a restringere la scelta degli utenti. 10

In sintesi

I modelli cinesi open-weight stanno ridisegnando la corsa all’AI perché rendono i sistemi avanzati meno costosi da adottare, più facili da personalizzare e più difficili da contenere una volta pubblicati. La loro importanza strategica dipende dalla scala dell’ecosistema tanto quanto dalla qualità del singolo modello.

I timori per la sicurezza sono reali, soprattutto per i servizi ospitati, i dati sensibili, l’integrità della filiera e le accuse di distillazione non autorizzata. Ma la nazionalità non rivela da sola se un deployment sia sicuro; allo stesso modo, un modello statunitense chiuso non è privo di rischi solo perché i suoi pesi non sono disponibili.

La risposta più difendibile è quindi basata sul rischio: proteggere la filiera, limitare gli usi sensibili, indagare le prove credibili di furto di capacità e costruire un ecosistema open-model americano e alleato capace di competere non solo sulle prestazioni, ma anche sulla distribuzione.