La competizione globale sull’intelligenza artificiale non riguarda più soltanto chip, investimenti e potenza di calcolo. Il nuovo terreno di scontro è ciò che un modello ha imparato e la possibilità che un concorrente riesca a trasferire quelle capacità nel proprio sistema senza sostenere gli stessi costi di sviluppo.
FBI, National Security Agency e Cybersecurity and Infrastructure Security Agency hanno accusato diverse aziende cinesi, tra cui DeepSeek, Alibaba, Moonshot AI, MiniMax, StepFun e Z.ai, di avere condotto campagne di distillazione su scala industriale contro alcuni dei principali modelli statunitensi. Secondo l’avviso congiunto delle autorità, almeno dalla fine del 2024 queste società avrebbero interrogato sistematicamente modelli come Claude, GPT, Gemini e Grok per estrarne funzionalità avanzate e utilizzarle nello sviluppo dei propri prodotti. Le autorità americane parlano di milioni di richieste distribuite attraverso account, abbonamenti e percorsi di accesso differenti. Anthropic, in una precedente ricostruzione relativa ai propri sistemi, aveva dichiarato di avere individuato oltre 16 milioni di scambi riconducibili a circa 24.000 account fraudolenti, associandoli a campagne attribuite a DeepSeek, Moonshot AI e MiniMax.
Le accuse non costituiscono però una sentenza né dimostrano automaticamente che sia stato commesso un illecito. Le aziende coinvolte non sono state dichiarate responsabili da un tribunale e il governo cinese ha respinto la ricostruzione americana, sostenendo che lo sviluppo tecnologico nazionale sia il risultato di ricerca e innovazione autonome. È proprio questa distanza tra accusa politica, comportamento tecnico e responsabilità giuridica a rendere il caso particolarmente importante.
COME FUNZIONA LA DISTILLAZIONE DI UN MODELLO
La distillazione è una tecnica conosciuta e normalmente utilizzata nell’industria dell’intelligenza artificiale. Un modello più potente, definito “teacher”, viene interrogato ripetutamente; le sue risposte vengono poi utilizzate per addestrare un modello più piccolo, lo “student”, affinché riproduca almeno una parte delle capacità del sistema originario.
Il vantaggio economico è evidente. Costruire un modello avanzato da zero richiede enormi quantità di dati, chip, energia, personale specializzato e sperimentazione. Un’impresa che utilizza gli output di un sistema già sviluppato può trasformare quelle risposte in nuovi dati di addestramento e ridurre il numero di tentativi necessari per raggiungere prestazioni competitive.
Immaginiamo una società che voglia migliorare il proprio modello nella programmazione. Potrebbe sottoporre a un concorrente milioni di problemi informatici, raccogliere le soluzioni, gli errori corretti e le spiegazioni prodotte e utilizzare quel materiale per addestrare il proprio sistema. Non otterrebbe il codice sorgente né i parametri interni del modello interrogato, ma ne assorbirebbe indirettamente una parte del comportamento. La distillazione, quindi, non è illecita in quanto tale. Gli stessi sviluppatori occidentali la impiegano per creare versioni più piccole ed efficienti dei propri modelli. Il problema nasce quando viene realizzata utilizzando senza autorizzazione un sistema concorrente, violandone le condizioni contrattuali, eludendo le limitazioni tecniche oppure riproducendo in modo sistematico contenuti e funzionalità riservate.
IL MODELLO NON VIENE RUBATO, MA INTERROGATO
Parlare genericamente di “furto dell’intelligenza artificiale” rischia di creare un’immagine sbagliata. Secondo la ricostruzione americana, non sarebbe stato sottratto un archivio contenente il codice di GPT o Claude. Le aziende cinesi avrebbero ottenuto accesso ai servizi e li avrebbero interrogati su scala anomala, distribuendo le richieste tra numerosi account per evitare i controlli predisposti dai fornitori.
La differenza è decisiva dal punto di vista giuridico. Nel furto tradizionale un bene passa dalla disponibilità di un soggetto a quella di un altro. Nel caso della distillazione, invece, il titolare continua a possedere il proprio modello, mentre il concorrente utilizza le risposte ricevute per costruire un sistema capace di comportarsi in modo simile.
Quello che viene trasferito non è necessariamente un’opera identificabile, ma una combinazione di capacità: risolvere problemi, scrivere codice, seguire istruzioni, organizzare un ragionamento o utilizzare determinati strumenti. Il diritto è abituato a proteggere software, banche dati, documenti e segreti industriali. È molto meno preparato a stabilire se possa essere protetto anche il comportamento emergente di un modello, prodotto da anni di ricerca e da investimenti miliardari.
DAL CONTRATTO ALL’ACCESSO NON AUTORIZZATO
Il primo livello di tutela è contrattuale. I fornitori di modelli possono vietare nelle proprie condizioni di utilizzo l’impiego degli output per sviluppare servizi concorrenti, l’uso automatizzato oltre determinati limiti, la condivisione degli account o l’accesso da territori non supportati. Se una società accetta queste condizioni e poi organizza una campagna di distillazione vietata, il fornitore può contestare un inadempimento e chiedere il risarcimento del danno. La questione diventa più delicata quando vengono impiegati account falsi, società intermediarie o strumenti destinati a eludere i sistemi di rilevamento. Negli Stati Uniti potrebbe allora essere valutata anche la normativa sull’accesso non autorizzato ai sistemi informatici, in particolare il Computer Fraud and Abuse Act. Non ogni violazione delle condizioni di utilizzo, tuttavia, si trasforma automaticamente in un reato informatico. Bisogna distinguere tra l’utilizzo scorretto di un servizio al quale si è comunque autorizzati ad accedere e il superamento di una vera barriera tecnica o giuridica. Questa distinzione sarà fondamentale qualora la controversia arrivi davanti a un giudice.
Anche la quantificazione del danno non sarebbe semplice. Il titolare dovrebbe dimostrare il costo delle risorse consumate, il valore delle capacità trasferite, l’eventuale perdita di mercato e il collegamento tra le risposte raccolte e i miglioramenti ottenuti dal modello concorrente.
COPYRIGHT E SEGRETI COMMERCIALI NON DANNO UNA RISPOSTA AUTOMATICA
Il copyright potrebbe proteggere singoli output quando presentano i requisiti richiesti dal diritto d’autore e derivano da un contributo umano giuridicamente rilevante. Ma non protegge normalmente idee, metodi, funzioni o stili considerati in astratto. Dimostrare che un modello concorrente ha imparato a risolvere gli stessi problemi non equivale, da solo, a provare la riproduzione di un’opera protetta. La situazione cambierebbe se la distillazione comportasse la copia e la memorizzazione sistematica di testi, immagini, codice o altri materiali protetti, oppure se il nuovo modello fosse in grado di riprodurli in maniera sostanzialmente identica. Anche in quel caso bisognerebbe analizzare quali contenuti siano stati utilizzati, chi ne detenga i diritti e se trovi applicazione il fair use previsto dall’ordinamento statunitense. La tutela dei segreti commerciali potrebbe sembrare più adatta, perché protegge informazioni economicamente preziose mantenute riservate attraverso misure ragionevoli. Tuttavia, gli output normalmente offerti agli utenti non sono segreti nello stesso senso dei parametri interni, dei dataset riservati o delle tecniche proprietarie di addestramento. Il titolare dovrebbe dimostrare che la campagna ha permesso di ricavare informazioni effettivamente riservate e che queste sono state ottenute mediante appropriazione indebita.
Resta poi la concorrenza sleale. Un’attività organizzata per sfruttare sistematicamente gli investimenti di un concorrente, nascondendo la propria identità e aggirando i suoi controlli, potrebbe essere valutata diversamente dalla normale osservazione di un prodotto disponibile sul mercato. Ma anche qui mancano regole specifiche capaci di tracciare con certezza il confine tra apprendimento, imitazione e appropriazione tecnologica.
IL CASO CONCRETO DI UNA STARTUP CHE IMPARA DAL CONCORRENTE
Consideriamo una startup che abbia sviluppato un modello economico ma ancora poco efficace nella redazione di contratti. Per migliorarlo, l’azienda acquista migliaia di abbonamenti a un assistente legale concorrente e gli sottopone milioni di clausole, richieste di revisione e casi societari. Gli output vengono raccolti, classificati e utilizzati per addestrare il modello della startup. Se il servizio consentisse espressamente quell’utilizzo, la distillazione potrebbe costituire una normale tecnica di sviluppo. Se invece il contratto vietasse l’addestramento di modelli concorrenti, la società potrebbe essere responsabile per inadempimento. Se utilizzasse identità false o strumenti tecnici per superare blocchi e limiti, aumenterebbe il rischio di responsabilità ulteriori. Se infine gli output contenessero documenti protetti, dati personali o informazioni riservate, entrerebbero in gioco anche copyright, privacy e segreto professionale.
Il caso mostra perché non è possibile classificare ogni distillazione come lecita o illecita in modo automatico. Contano l’autorizzazione concessa, la provenienza dei dati, le misure aggirate, la scala dell’operazione, lo scopo perseguito e il tipo di conoscenza trasferita. La tecnica rimane la stessa, ma il contesto può trasformarla da strumento legittimo di ottimizzazione a condotta contrattualmente vietata o potenzialmente illecita.
LA PROSSIMA GUERRA TECNOLOGICA SI COMBATTERÀ SUGLI OUTPUT
Per Washington la distillazione non rappresenta soltanto un problema tra imprese. I modelli avanzati possono essere utilizzati nella programmazione, nella cybersecurity, nella ricerca scientifica e nello sviluppo di tecnologie a possibile impiego militare. Consentire a un concorrente geopolitico di acquisire rapidamente quelle capacità potrebbe ridurre l’efficacia dei controlli americani sulle esportazioni dei chip più potenti.
Da questa prospettiva, proteggere gli output significa proteggere indirettamente gli investimenti, la potenza di calcolo e il vantaggio strategico incorporati nel modello. Le aziende americane stanno quindi sviluppando strumenti capaci di riconoscere schemi anomali, collegare account apparentemente distinti e modificare le risposte quando sospettano un tentativo di distillazione. Questa difesa apre però un nuovo rischio: limitare l’accesso ai modelli, discriminare utenti in base alla provenienza geografica o introdurre controlli sempre più invasivi può frammentare il mercato globale dell’intelligenza artificiale. La tutela della tecnologia rischia così di trasformarsi in una forma di confine digitale. Il caso dimostra soprattutto che la proprietà intellettuale tradizionale non copre perfettamente il valore economico dei modelli contemporanei. Il vero patrimonio di un sistema AI non coincide soltanto con il suo codice, ma comprende dati, parametri, procedure di addestramento e capacità manifestate attraverso gli output. Stabilire quali di questi elementi possano essere utilizzati dai concorrenti sarà una delle questioni giuridiche decisive dei prossimi anni.
La nuova competizione tecnologica non si giocherà soltanto su chi costruirà il modello più potente. Si giocherà anche su chi potrà imparare da quel modello, a quali condizioni e fino a quale punto l’apprendimento diventerà appropriazione.
A cura degli studenti sotto la Facoltà di Giurisprudenza e Ingegneria Informatica
NOTE E RIFERIMENTI
