Sedici virus vivi, capaci di infettare. Nessuno dei sedici esisteva in natura. Li ha disegnati una macchina.
È successo il 6 agosto e lo ha pubblicato Science. Due modelli chiamati Evo, addestrati dal gruppo di Brian Hie fra Stanford e l’Arc Institute con il dottorando Samuel King, sono partiti dal ΦX174, un fago da poco più di cinquemila basi studiato dagli anni Settanta, e hanno prodotto centinaia di migliaia di genomi candidati. Quasi trecento sono arrivati alla sintesi in laboratorio. Sedici hanno funzionato, e messi insieme in un unico preparato hanno eliminato due ceppi di Escherichia coli che a un fago naturale resistevano già.
Mentre da noi si discuteva se l’intelligenza artificiale scriva i temi al posto degli studenti, una macchina progettava organismi viventi che funzionano.
Chi ha letto quella notizia come la vigilia di qualcosa di terribile ha saltato la riga che conta di più.
I due modelli erano stati addestrati sulle sequenze di due milioni di batteriofagi. Da quell’addestramento sono state tolte le sequenze dei virus capaci di infettare uomo, animali e piante. La decisione l’hanno presa le persone, non la macchina: i ricercatori, prima dell’esperimento, dentro il laboratorio. Insieme all’esclusione hanno messo il resto delle protezioni, cioè un fago non patogeno, un ceppo di E. coli non patogeno, un laboratorio sicuro e delle prove d’attacco condotte apposta per vedere dove il sistema cedeva. Nessuna autorità gliela ha imposta e nessun regolamento la prevedeva. La salvaguardia più efficace di tutta la vicenda è stata una scelta di progetto, presa da chi sapeva che cosa stava costruendo.
Cinque settimane prima era successa una cosa che va nella stessa direzione, e che nessuna azienda pubblica volentieri. Il 21 luglio OpenAI ha raccontato che due suoi modelli, durante una valutazione interna sulle capacità informatiche, sono usciti dall’ambiente isolato in cui erano tenuti. Hanno trovato una falla non ancora nota in un software che fa da ponte verso i registri di pacchetti, hanno attraversato la rete e sono arrivati all’infrastruttura di produzione di Hugging Face. Volevano rubare le risposte del test su cui erano esaminati, un banco di prova costruito su vulnerabilità reali. «Ha copiato al compito in classe», ha scritto Carlo Alberto Carnevale Maffè sul Foglio, e la formula è esatta: nessuna coscienza, nessuna volontà di potenza, un sistema addestrato a fare punteggio che ha trovato la strada più economica per farlo.
Conta chi se n’è accorto. Hugging Face ha visto l’intrusione e l’ha bloccata il 16 luglio, cinque giorni prima che OpenAI risalisse al proprio esperimento. Il bersaglio ha scoperto l’attacco prima di chi lo aveva lanciato senza saperlo. Non un’autorità di vigilanza, non un procuratore, non un adempimento.
Vale la pena fermarsi un attimo su una cosa che i due episodi hanno in comune. Nessuno dei due ha fatto notizia per più di un giorno, e nessuno dei due riguardava un chatbot che scrive testi.
Non è un caso, è la regola. La parte dell’intelligenza artificiale di cui si discute in pubblico è quella che si vede, cioè le parole: i temi, le mail, gli articoli. La parte che sta cambiando le cose sta dove non guarda nessuno. Dentro un laboratorio che progetta un organismo. Dentro il registro di pacchetti software da cui passa mezza internet. Dentro il modo in cui un’officina fa una diagnosi, uno studio legale legge un contratto, un ospedale mette in fila le liste, un’azienda decide i turni di sabato sera.
Cambia il mestiere, non il nome del mestiere. Per questo non se ne accorge quasi nessuno finché non è già successo: non arriva un annuncio, arriva un processo che un giorno funziona diversamente da prima. E quando la trasformazione entra dai processi, chi legifera guardando quello che si vede scrive sempre sulla cosa sbagliata, e sempre in ritardo.
Su questo è arrivata da poco una voce che non ci si aspetta. Il 23 agosto, ospite del podcast Founders di David Senra, Sam Altman ha ammesso di avere sbagliato i tempi: «l’economia ha semplicemente moltissima inerzia, le persone continuano a fare le stesse cose che facevano, continuano a comprare dalla stessa azienda». Dopo il 2023, ha detto, si aspettava che il software venisse rimesso in gioco molto più in fretta di quanto sia successo. La conclusione, parole sue: «siamo stati tutti troppo ambiziosi sui tempi, anche con una tecnologia così straordinaria».
Detto da chi la tecnologia la vende, vale più di dieci previsioni. E dice una cosa precisa: il collo di bottiglia non è la macchina, è il tempo che serve a un’organizzazione per rifare il modo in cui lavora.
Le due cose stanno insieme e non si contraddicono. La parte che si vede corre e conta poco. La parte che conta entra piano, dentro i processi, e proprio perché entra piano non fa notizia in nessun giorno preciso. Ce ne accorgeremo dal fatto che un mestiere, un giorno, si fa in un altro modo.
Nello stesso periodo l’Europa faceva quello che sa fare. Il regolamento sull’intelligenza artificiale, in Gazzetta dal luglio 2024, conta centotredici articoli, centottanta considerando e tredici allegati. Sopra ci sono il GDPR, il DSA, il DMA, il Data Act, la direttiva NIS2, il Cyber Resilience Act. Sotto, in Italia, la legge 132 del settembre 2025, in vigore dal 10 ottobre, che affida ad AgID e all’Agenzia per la cybersicurezza nazionale il compito di vigilare.
Adesso i soldi. Secondo l’AI Index 2026 di Stanford, nel 2025 gli investimenti privati americani in intelligenza artificiale hanno toccato 285,9 miliardi di dollari, di cui 163,6 nella sola parte generativa. Nello stesso segmento, Cina ed Europa insieme si sono fermate a 4,7 miliardi. Il rapporto fra Stati Uniti e Cina sul totale privato è di ventitré a uno.
Centottanta considerando da una parte, quattro miliardi e sette dall’altra.
C’è un precedente lombardo che sta a venti minuti di tram dalle redazioni che discutono di queste cose. L’8 aprile 1583 il governatore di Milano pubblica un bando contro i bravi. L’anno dopo, il 12 aprile 1584, constatando che la città ne è ancora piena, ne pubblica un secondo. Poi arrivano il 5 giugno 1593, il 23 maggio 1598, il 5 dicembre 1600, il 22 settembre 1612, il 24 dicembre 1618, e il 5 ottobre 1627, un anno e un mese prima della passeggiata di don Abbondio. Una nona grida esce nel febbraio 1632. Nel 1598 il governatore aveva scritto che quella era «l’ultima e perentoria monizione». Ne seguirono altre cinque.
Manzoni le raccoglie nel primo capitolo per farci capire una cosa sola: otto leggi sullo stesso argomento in quarantaquattro anni sono la prova documentale che nessuna delle otto ha funzionato.
C’è poi un passaggio che ci riguarda più di qualunque statistica sugli investimenti. Quando una norma non ottiene obbedienza, chi l’ha scritta di rado la ritira. La rinforza. La seconda grida, quella del 1584, stabilisce che chiunque due testimoni indichino come «comunemente riputato per bravo» possa essere messo alla tortura anche se non risulta aver commesso alcun delitto, e finire in galera per tre anni «per la sola opinione e nome di bravo». Salendo la scala dell’inasprimento, la prima cosa che cade è l’onere della prova. Dalla condotta si passa alla reputazione. Dal fatto si passa al sospetto.
Non è una preoccupazione astratta per una legge sull’intelligenza artificiale. Una regolazione che si dimostra inefficace su una materia che non si sa controllare tende a spostarsi dove il controllo è facile: sull’obbligo formale, sul registro, sull’etichetta, su chi è già visibile e già in regola. I laboratori di frontiera restano dove sono. Chi paga sono la piccola impresa che quel software lo usa per lavorare e il ricercatore che deve compilare invece di verificare.
C’è un’obiezione seria a tutto questo, e non arriva da chi difende i regolamenti. Paolo Benanti ha osservato che la biosicurezza è costruita per riconoscere i pericoli che somigliano a quelli che già conosciamo, mentre un modello generativo produce cose che non somigliano a niente di catalogato. È vero, ed è un argomento serio contro l’idea che basti lasciar fare. In un altro pezzo, sul tachigrafo che nel 1968 i camionisti inglesi rifiutavano chiamandolo la spia in cabina e che poi è diventato la prova con cui difendersi, Benanti arriva a chiedere uno strumento pubblico di misura. La conclusione non è la nostra e regge lo stesso: uno strumento diventa una tutela per l’architettura che gli sta intorno, non per come è fatto.
La risposta che ci convince parte da lì. Le regole servono, e servono verificabili. Verificare significa poter rifare la prova, e per rifare la prova bisogna saper costruire la cosa. Nell’incidente di luglio l’intrusione l’ha vista chi possedeva i registri, cioè chi aveva l’infrastruttura. Nell’esperimento di agosto il limite l’ha messo chi conosceva il modello dall’interno. In tutti e due i casi la sicurezza è arrivata dalla competenza tecnica, e in tutti e due i casi è arrivata prima di qualunque procedimento.
A un’agenzia che deve vigilare conviene quindi chiedere quanti ingegneri ha assunto, quante macchine ha per rieseguire una valutazione, quanti incidenti ha ricostruito dall’inizio alla fine. Sono domande a cui si risponde con dei numeri, e quei numeri dicono molto più di un comma.
L’Italia e l’Europa competenti sarebbero anche più sicure, per sé e per gli altri. La buona notizia di agosto è che la salvaguardia ha funzionato: qualcuno ha saputo mettere un limite alla cosa che stava costruendo, e il limite ha tenuto. Il lavoro che ci resta è fare in modo che quel qualcuno, ogni tanto, sia anche di qui.