Il 10 ottobre 2026 Satya Nadella ha pubblicato su X un articolo breve, senza immagini e senza annunci di prodotto, intitolato Models as Insider Risks in the Super Intelligence Era. In poche ore ha superato le 600 mila visualizzazioni. Non è un post di marketing: è una presa di posizione sull'architettura della fiducia nei sistemi di AI, scritta dal capo dell'azienda che ha più agenti in produzione dentro le imprese di chiunque altro.
La tesi si riassume in una frase sua: bisogna separare la fornitura di intelligenza dall'autorità su di essa. Il resto dell'articolo spiega perché, e come.
Il problema: non sappiamo perché un modello fa quello che fa
Nadella parte da un confronto con il software tradizionale. Per decenni, quando un sistema faceva qualcosa di inatteso, si poteva risalire alla riga di codice responsabile. Con i modelli di frontiera questa comprensione meccanicistica non c'è: non si può attribuire un comportamento a un dato specifico di addestramento o a una configurazione di pesi. Eppure, osserva, stiamo mettendo questi modelli dentro sistemi agentici che hanno accesso ai dati più sensibili e il potere di compiere azioni critiche per conto nostro.
Da qui il primo punto fermo, rivolto alle aziende clienti più che ai laboratori:
«Non possiamo esternalizzare la responsabilità per ciò che l'intelligenza fa per conto nostro. Le rassicurazioni del fornitore del modello non ci sollevano da quella responsabilità.»
È un passaggio che pesa, detto da chi i modelli li rivende. Microsoft distribuisce modelli di OpenAI, propri e open weight; Nadella sta dicendo ai suoi clienti che nessuna certificazione del fornitore sostituisce un sistema di controllo costruito in casa.
Il modello come insider
L'idea centrale è una metafora presa dalla sicurezza aziendale. Un modello di frontiera, chiuso o open weight, va trattato come un insider risk: non perché sia malevolo, ma perché «qualsiasi attore sufficientemente capace con accesso a sistemi importanti può commettere errori o essere compromesso», e l'architettura di contenimento deve tenerne conto in partenza.
Il vantaggio della metafora è che il problema non è nuovo. Le imprese hanno imparato in decenni a gestire persone potenti al loro interno: stabilire un'identità, limitare i privilegi, registrare le attività, creare perimetri di contenimento. Nadella propone di applicare le stesse pratiche ai modelli, invece di inventare da zero una disciplina.
Perché la trasparenza del ragionamento non basta
Il primo requisito che pone è la trasparenza della catena di ragionamento (chain of thought), definita «non negoziabile». Il riferimento polemico è al cosiddetto neuralese, il ragionamento interno in una rappresentazione non leggibile dagli umani che alcuni laboratori esplorano per efficienza: per Nadella non può diventare una giustificazione per rendere opaco il ragionamento del modello.
Ma subito dopo smonta l'illusione che basti. La catena di ragionamento, scrive, da sola non è sufficiente né affidabile, perché non sappiamo ancora come rendere gli output dei modelli costantemente fedeli a ciò che il modello ha effettivamente calcolato. E usare modelli per verificare altri modelli, pratica che lui stesso raccomanda, ha un limite strutturale:
«Si può finire con un modello opaco dentro un livello di orchestrazione opaco, sorvegliato da un altro modello opaco. In sostanza, scatole nere annidate.»
La conclusione è che i controlli su cosa un modello può leggere e cosa può fare devono stare fuori dal modello. Nadella la ancora a un principio della sicurezza informatica degli anni Settanta: un programma non deve poter aggirare o manomettere i meccanismi che ne applicano i permessi. Tradotto nell'architettura di oggi, significa separare il modello dall'harness che ne orchestra il lavoro e dallo spazio delle azioni che gli è consentito, e tenere salvaguardie e controlli all'esterno di entrambi.
I sette principi
L'articolo si chiude con un elenco di principi di progettazione, che vale la pena riportare quasi per intero perché è la parte operativa.
- Diversità dei modelli. Nessun modello deve essere l'unica dipendenza per un risultato importante, né verificare il proprio lavoro.
- Osservare tutto. Ogni azione significativa deve lasciare un'evidenza leggibile da un umano e a prova di manomissione. «Se non si può osservare, non ci si può fidare.» Bisogna poter ricostruire come si è arrivati a un risultato senza chiederlo al modello.
- Verificabilità. Il sistema intero va testato di continuo, inclusi guasti, attacchi, casi limite e cambiamenti, non solo i compiti riusciti.
- Controlli indipendenti. Le organizzazioni devono poter decidere da sole a cosa accede un modello e quali azioni può compiere.
- Auditabilità indipendente. Chi valida non può essere l'intelligenza validata. Nessun modello deve controllare sia il comportamento di un sistema sia le prove necessarie a giudicarlo.
- Contenimento. Si assume che il modello sia compromesso fin dall'inizio. Nadella usa l'immagine del freno d'emergenza: una persona autorizzata deve sempre poter mettere in pausa o spegnere un modello a metà di un compito. Modelli più avanzati richiederanno tecnologie di contenimento più avanzate, da standardizzare.
- Divulgazione degli incidenti. Quando questi sistemi falliscono o vengono compromessi, serve una comunicazione tempestiva a chi è colpito e un meccanismo per condividere con tutto il settore cosa è andato storto e quali controlli hanno ceduto, inclusi i dettagli implementativi che cambiano il comportamento degli agenti a runtime.
E la chiusura, che è anche la frase più citata:
«Il sistema di Super Intelligence più affidabile non sarà quello con il modello di cui ci fidiamo di più. Sarà quello che ci permette di fidarci del modello il meno possibile.»
Cosa c'è dietro
Tre letture, in ordine di evidenza.
La prima è di posizionamento. Microsoft non ha il modello più forte del mercato e non vuole dipendere da un solo fornitore, come la relazione con OpenAI ha insegnato. Un'architettura in cui il modello è un componente intercambiabile, sorvegliato da un livello di governo che sta altrove, è esattamente il prodotto che Microsoft può vendere: identità, permessi, log e audit sono il mestiere di Azure, Entra e Purview da anni. «Diversità dei modelli» e «controlli indipendenti» sono principi condivisibili, ma sono anche la descrizione di una piattaforma.
La seconda è di contesto. L'articolo arriva nella stessa settimana in cui l'ex responsabile della trasparenza di OpenAI ha lasciato l'azienda chiedendo di gestire i laboratori «come centrali nucleari», e a pochi giorni dal licenziamento di tre ricercatori di sicurezza dello stesso laboratorio. Il tema del controllo esterno sui modelli non è più una discussione accademica, e Nadella sceglie di intestarsi la versione ingegneristica del dibattito, lasciando esplicitamente da parte «il problema difficile dell'allineamento».
La terza è pratica, ed è la più utile. Per chi sta mettendo agenti in produzione, la lista dei sette principi è una checklist migliore di molti framework di governance. Due domande in particolare separano le implementazioni serie da quelle improvvisate: esiste un modo per fermare l'agente a metà di un compito senza passare dal modello? E quando il risultato è sbagliato, si può ricostruire cosa è successo da log che il modello non ha potuto toccare? Se la risposta è no a una delle due, l'agente è un insider senza badge.
Il limite dell'argomento
Un punto resta aperto nel testo. Nadella chiede trasparenza del ragionamento come requisito irrinunciabile e, nello stesso paragrafo, ammette che non sappiamo renderla fedele. Chiede osservabilità totale e poi ammette che i controlli stanno fuori dal modello proprio perché quello che succede dentro non è osservabile. L'architettura che propone è coerente con questa ammissione: non promette di capire il modello, promette di limitarlo. È una posizione onesta, ma sposta il problema. Un freno d'emergenza funziona se qualcuno sa quando tirarlo, e il testo non dice chi decide, né come, quando un agente sta facendo qualcosa di sbagliato ma plausibile.