Il 16 ottobre i ministeri cinesi del Commercio (MOFCOM) e della Scienza e tecnologia hanno pubblicato una bozza che aggiunge 40 tecnologie all’elenco di quelle di cui l’export è vietato o limitato. Di queste, 23 riguardano l’IA, 12 il fotovoltaico e 5 la biomedicina. Prima dell’adozione definitiva c’è una consultazione pubblica aperta fino al 15 novembre, ma le aziende che esportano le tecnologie elencate devono già registrarsi in via preventiva.

I criteri tecnici sono nell’allegato 1, un file che abbiamo tradotto dal cinese con IA. Sebbene il documento lasci qualche dubbio interpretativo (che segnaliamo più avanti), vale la pena di essere letto anche solo per rilevare, ribaltando la prospettiva, quali applicazioni dell’IA sono ritenute strategiche dalla Cina e quali sono quindi le sue priorità interne. Trovate qui la traduzione italiana.

Le voci vengono divise in tecnologie la cui esportazione è vietata e altre in cui è solo limitata o soggetta ad autorizzazioni: sommando le sottovoci le prime sono 14 e 26 le seconde. Nell’IA il rapporto è di 6 a 17. Il MOFCOM assicura che la revisione non è rivolta a un Paese specifico e che la stragrande maggioranza delle tecnologie di IA resterà liberamente esportabile. Per chi usa modelli cinesi fuori dalla Cina, però, vale la pena capire quali di questi modelli, e in quale modalità di fruizione, finiranno sotto le nuove regole.

Modelli AI cinesi: cosa sarebbe vietato

Le sottovoci vietate nella sezione dell’Intelligenza Artificiale hanno a che fare con la sicurezza nazionale, e alcune sono piuttosto preoccupanti.

La voce più articolata riguarda la sicurezza informatica offensiva: è vietata l’esportazione delle tecniche di generazione e mutazione di codice malevolo guidate in modo autonomo dall’IA, se possono servire ad attaccare infrastrutture informative critiche, difesa e industria militare o servizi governativi essenziali. Le soglie sono tre famiglie di criteri:

  • Il codice generato deve avere un tasso di successo dell’attacco di almeno il 60% contro i rilevatori di malware multimotore, dell’85% contro un singolo antivirus diffuso o del 90% contro i modelli di machine learning;
  • deve adattarsi all’ambiente ostile, per esempio riconoscendo sandbox, debugger ed emulatori o riscrivendo almeno metà della propria struttura a ogni esecuzione;
  • deve saper produrre varianti in serie: almeno 20 per ciclo, o più di 10 ogni 24 ore con una differenza dell’albero sintattico di almeno il 30%.

Una voce poco chiara riguarda il divieto di esportare i sistemi per il rilevamento dei deepfake costruiti per proteggere i dati di rete cinesi nei trasferimenti verso l’estero, se raggiungono accuratezza e recall (la quota di contenuti falsi effettivamente individuati) pari ad almeno il 95%. Non è evidente cosa siano questi sistemi di rilevamento deepfake usati per proteggere la rete cinese, ed è contraddittorio il fatto che modelli in grado di raggiungere un’accuratezza superiore (98%) siano solo limitati e non vietati.

Chiudono l’elenco i grandi modelli che forniscono servizi dopo essere stati addestrati con “dati core”, la categoria più protetta dalla legge cinese sulla sicurezza dei dati, e gli agenti di IA dedicati a infrastrutture critiche, difesa e governo che abbiano un livello di prestazioni elevato.

Che cosa sarebbe soggetto a licenza

Modelli: parametri, calcolo e classifiche

Per i grandi modelli il bersaglio è la tecnologia di base: pesi, checkpoint (i salvataggi intermedi dell’addestramento), codice sorgente, architettura, tecniche di addestramento e di inferenza. La limitazione scatta quando si verifica almeno una di tre condizioni:

  • La prima riguarda l’intensità del calcolo usato per l’addestramento: 1026 FLOP (operazioni in virgola mobile) o più. È la stessa soglia che l’ordine esecutivo statunitense del 2023 usava per gli obblighi di segnalazione, e per dare un termine di paragone l’AI Act europeo fissa a 1025 FLOP il limite oltre il quale si presume che un modello di uso generale possa comportare un rischio sistemico.
  • La seconda è la dimensione: almeno 2.000 miliardi di parametri, 2 trillion della notazione anglosassone.
  • La terza dipende dal posizionamento in classifica: basta essere tra i primi dieci al mondo, al momento dell’export, nelle valutazioni pubbliche di enti e piattaforme industriali su prestazioni complessive, capacità specifiche, volume globale di chiamate, sicurezza o efficienza di addestramento. Un modello può quindi essere coperto anche sotto soglia di parametri e calcolo, se primeggia in una graduatoria, e il testo non indica quali valutatori contino.

La stessa voce limita anche i modelli addestrati con dati importanti (una categoria con protezione inferiore ai dati core, ma comunque definita dalle leggi locali). Fa eccezione l’uso di quantità minime, non oltre lo 0,1%, che non migliorano in modo sostanziale le capacità del modello in quell’ambito, con dati anonimizzati e senza che riemergano negli output, oppure di dati che si possono ottenere pubblicamente in modo lecito.

Al momento, modelli come Kimi K3 di Moonshot AI e Qwen3.8-Max di Alibaba superano i 2.000 miliardi di parametri e rientrerebbero quindi nelle limitazioni, se non fosse che queste non si applicano ai modelli già rilasciati.

Contenuti sintetici, sicurezza informatica, voce e lingue

Oltre alle limitazioni sulla capacità di riconoscimento dei deepfake già citate, ci sono divieti anche per la steganografia, cioè le tecniche per nascondere un’informazione in un’immagine o in un video, come i watermark invisibili. In questo caso, i criteri vanno soddisfatti tutti insieme: errore sui bit non oltre lo 0,5% o recall di almeno il 99,9%, falsi positivi non oltre lo 0,1% e impercettibilità misurata in base a diversi indici.

Per la sicurezza informatica sono limitate le tecniche di individuazione delle vulnerabilità assistita dall’IA che soddisfano anche solo uno di diversi criteri:

  • un punteggio di almeno il 75% nei benchmark autorevoli;
  • un tasso di successo end-to-end di almeno il 50% nel costruire una catena di exploit completa contro i principali sistemi operativi o browser;
  • una produttività almeno 10 volte superiore a quella di un esperto senior;
  • la scoperta autonoma di almeno 5 vulnerabilità gravi non divulgate in un importante progetto open source (o almeno 50 difetti di qualsiasi gravità);
  • In alternativa, basta raggiungere il livello massimo nei principali sistemi di classificazione degli exploit.

Nello stesso gruppo ci sono il riconoscimento basato sull’impronta vocale e la traduzione.

Per l’impronta vocale basta una di quattro condizioni:

  • un tasso di veri positivi di almeno il 99,1% con falsi positivi non oltre lo 0,01%;
  • un’elaborazione entro 300 millisecondi con almeno 100 richieste al secondo;
  • un tasso di rilevamento di almeno il 98% contro frodi come registrazioni riprodotte o voci sintetizzate e convertite;
  • oppure un’ottimizzazione per le lingue delle minoranze etniche o per i dialetti regionali, con accuratezza di almeno il 90%.

Per la traduzione, vengono limitate tecnologie dedicate o destinate principalmente al cinese e alle lingue delle minoranze etniche locali che superano criteri di affidabilità semantica e valutazione umana.

Agenti, chip e cluster

Gli agenti di IA sono limitati se scompongono un’istruzione in almeno 20 sottocompiti, con precisione dell’80% e tasso di successo del 90%, se coordinano almeno 60 agenti in parallelo o se integrano almeno 200 strumenti di terze parti con precisione di scelta del 90%.

Per le ultime due capacità la bozza fissa anche soglie su tempi di completamento, coerenza dei risultati e successo end-to-end.

Per i chip di IA basta una sola di sei caratteristiche, tra cui processi a 14 nanometri o inferiori, packaging avanzato 2.5D o 3D, interconnessione ad alta velocità o architetture non von Neumann; per le memorie contano soglie come 8 Gb/mm2 per le flash 3D e 18 nanometri per le RAM.

Sui cluster, infine, sono limitate le interconnessioni con almeno 800 GB/s di banda bidirezionale e le tecniche di tolleranza ai guasti e di schedulazione per i sistemi con più di 10.000 acceleratori.

Conta come il modello arriva all’utente

Secondo le risposte del portavoce del ministero ai giornalisti, le restrizioni dipendono da ciò che esce fisicamente dalla Cina: la tecnologia, non il servizio che la usa. Chi accede a un modello tramite API, app, sito web o SaaS, o ne usa versioni leggere sul proprio dispositivo, non ricade nell’export di tecnologia, nemmeno se il modello supera le soglie.

Il caso opposto è l’installazione locale all’estero, per esempio sui server di un cliente: in quel caso, i pesi lasciano la Cina e si applicano divieti e licenza ordinaria. Autorizzabili invece i modelli erogati da servizi cloud di proprietà cinese, anche se localizzati in data center esteri, così come l’esportazione di tecnologie hardware quando servono a produrre chip fuori dalla Cina. Sono previste deroghe anche per le attività di ricerca congiunta con entità straniere o per la partecipazione alla definizione di standard internazionali. In quel caso si applicano agevolazioni come la licenza automatica.

I limiti “discrezionali” all’esportazione dei modelli open source

C’è un punto che richiederà ulteriori chiarimenti e una definizione più esplicita nella stesura finale, e riguarda il riconoscimento della licenza automatica per i progetti open source. Nell’incontro con la stampa, il portavoce ha detto che “Per sostenere la costruzione di un ecosistema di innovazione open source per l’intelligenza artificiale, verranno applicate misure agevolate come la concessione automatica di licenze per le esportazioni di tecnologie che coinvolgono tecnologie di IA open source”, ma specifica che “le tecnologie già di dominio pubblico tramite open source o pubblicazioni accademiche non saranno incluse nell’ambito della gestione delle esportazioni”.

Da quel che capiamo, i modelli open-weight dovrebbero quindi poter essere pubblicati subito dopo averli presentati al governo. Il documento usa la formula “si esporta appena registrati”, ma non chiarisce se l’autorizzazione possa essere negata in questa fase o successivamente. È una procedura discrezionale che ricorda da vicino la richiesta facoltativa del Governo USA di ottenere i modelli AI di frontiera prima del rilascio per una valutazione dei rischi. 

In un post su X, Dean W. Ball, responsabile dell’area Strategic Futures in OpenAI (ma che interviene a livello personale), sostiene che la bozza non chiude la porta all’open weight cinese ma dà a Pechino la possibilità di bloccare in modo discrezionale alcuni rilasci futuri.

Che cosa cambia per chi usa modelli cinesi oggi

Su questa architettura la bozza dovrebbe incidere poco, almeno nell’immediato. I modelli già pubblicati e ospitati da provider terzi non dovrebbero essere toccati, perché la tecnologia già pubblica è esclusa.

Il vero nodo sono le prossime generazioni, che la soglia dei 2.000 miliardi di parametri la supereranno quasi per definizione. Alibaba ha annunciato a settembre lo sviluppo di modelli da 5.000 a 10.000 miliardi di parametri, e secondo MadRobot DeepSeek ne vuole addestrare uno da 8.000 miliardi su chip cinesi. Per questi rilasci la registrazione preventiva sarà un passaggio obbligato.

Se resterà una formalità, come promette la licenza automatica, o diventerà una leva di Pechino sui tempi e sui destinatari dei pesi lo diranno il testo definitivo e le decisioni che la Cina adotterà caso per caso.

Fino a oggi, aziende e organizzazioni europee hanno basato la propria strategia per l’AI sovrana sulla disponibilità di modelli open weight di potenza sempre maggiore. Con questo cambio di direzione della politica cinese, conviene pensare allo sviluppo di modelli di frontiera locali. Anche contravvenendo ai propri principi sulla libera concorrenza e ai divieti agli aiuti di stato.

Il rilascio del modello Mistal Large 4 ha dimostrato che in Europa abbiamo le competenze per stare al passo. Le tanto celabrate EU AI Factories e Gigafactories potrebbero fornire l’infrastruttura di calcolo necessaria.