Vietare un modello AI cinese per decreto, mentre i suoi pesi circolano liberamente su Hugging Face e affini, equivale a mettere un lucchetto su un fiume. L’ultima voce, ancora non confermata ufficialmente, vede l’amministrazione Trump tornare a studiare un bando contro i large language model sviluppati in Cina, citando preoccupazioni di cybersicurezza alzate di tono dopo il lancio di Kimi K3. Ma se il modello è distribuito con pesi aperti – e Kimi K3 sembra andare esattamente in quella direzione – ogni tentativo di blocco assoluto si scontra con la realtà: quei file possono essere scaricati, copiati e messi in esecuzione su hardware privato, al riparo da qualunque controllo centralizzato.

La natura dei pesi aperti rende il problema profondamente diverso da quello di un’app o di un servizio cloud. Non si tratta di oscurare un endpoint o di rimuovere un prodotto da un marketplace: qui parliamo di artefatti digitali che una volta rilasciati diventano sostanzialmente immutabili e replicabili all’infinito. Chiunque disponga di una GPU con sufficiente VRAM – anche un server in un armadio, lontano da datacenter tracciabili – può eseguire il modello in locale, fuori dalla giurisdizione di un eventuale bando. È il paradosso di ogni proibizione rivolta al codice open: l’obiettivo sfugge proprio perché la materia del contendere è intrinsecamente distribuita.

Per le organizzazioni che già valutano o gestiscono deployment on-premise di LLM, questa vicenda aggiunge un tassello non banale. La spinta verso il self-hosting, spesso motivata da sovranità dei dati e controllo sulle pipeline di inference, viene ora rinforzata da un incentivo normativo rovesciato: più gli apparati di controllo puntano a interdire modelli di una certa origine, più diventa strategico possedere l’infrastruttura che quei modelli può far girare senza lasciare tracce pubbliche. Non è un’esortazione all’elusione, ma la constatazione di un effetto strutturale: i vincoli imposti sulla distribuzione ufficiale spostano l’adozione verso circuiti privati, aumentando la domanda di hardware capace di supportare l’inference senza dipendere da terze parti.

Dal punto di vista della sicurezza nazionale, le preoccupazioni non sono infondate. Un modello addestrato in Cina potrebbe incorporare bias, backdoor o logiche di raccolta dati non trasparenti, e girando su infrastruttura locale diventerebbe invisibile agli audit remoti. Tuttavia, la risposta basata sul divieto assoluto rischia di trascurare il vero nodo: la capacità di verifica indipendente. I pesi aperti permettono a chiunque – ricercatori, aziende, agenzie – di ispezionare il modello, cercare anomalie o condurre test di robustezza, cosa impossibile con modelli chiusi serviti via API. Proibire tout court significa rinunciare a questa leva, spingendo l’eventuale utilizzo malevolo verso versioni modificate e ancora più difficili da tracciare.

L’intera vicenda segnala una frattura più profonda per l’industria dell’AI on-premise. Da un lato, la tensione geopolitica accelera gli investimenti in stack locali e hardware specializzato, perché le imprese vogliono mantenere libertà di scelta indipendentemente dalle restrizioni. Dall’altro, frammenta il panorama normativo, costringendo chi opera su scala globale a barcamenarsi tra giurisdizioni divergenti. Le GPU per l’inference – dalle schede consumer più capienti fino ai cluster aziendali – diventano non soltanto un costo operativo, ma un asset di sovranità tecnicica.

In questo scenario, la domanda non è se il bando riuscirà a fermare i modelli cinesi, ma quali trasformazioni innescherà nel modo in cui le organizzazioni costruiscono e proteggono la propria capacità di calcolo locale. La risposta, per ora, è scritta nei data center sempre più diffusi lontano dai radar del cloud.