Bozza di un trattato, con annotazioni

Ciascuna Parte del presente Trattato si impegna a non sviluppare, rilasciare, o cercare di sviluppare o rilasciare in alcun modo la superintelligenza artificiale ("SIA"). Ciascuna Parte si impegna a vietare e impedire tale sviluppo all'interno dei propri confini e giurisdizioni e, data l'incertezza su quando ulteriori progressi potrebbero produrre una SIA, si impegna a non intraprendere o permettere attività che costituiscano un progresso materiale verso la SIA, come descritto nel presente Trattato. Ciascuna Parte favorirà, o non ostacolerà, le misure ragionevoli di altre Parti per dissuadere e prevenire tale sviluppo da parte di, e all'interno di, Stati e giurisdizioni non Parte. Ciascuna Parte attuerà e adempirà a tutti gli altri obblighi, misure e disposizioni di verifica stabiliti nel presente Trattato.

Laddove alcune classi di infrastrutture e capacità di IA che si mantengono lontane dalla SIA possano essere ritenute accettabili, ma solo in condizioni di supervisione internazionale, solo le Parti del Trattato possono svolgere tali attività, o possedere o gestire chip di IA e capacità di produzione che potrebbero potenzialmente portare allo sviluppo di una SIA se non supervisionate. Alle non Parti è negato tale accesso per la sicurezza delle Parti e di tutta la vita sulla Terra (Articolo V, Articolo VI, Articolo VII).

Le Parti si impegnano a un processo di risoluzione delle controversie (Articolo XI) per ridurre al minimo le Azioni di Protezione non necessarie (Articolo XII).

Precedenti

L'Articolo I del TNP, come in molti trattati, stabilisce l'impegno di alto livello che le Parti assumono — in questo caso, di non condividere le proprie armi nucleari o aiutare altri a ottenerle:

Ogni Stato Parte del Trattato dotato di armi nucleari si impegna a non trasferire a nessun destinatario, direttamente o indirettamente, armi nucleari o altri dispositivi esplosivi nucleari o il controllo su tali armi o dispositivi esplosivi; e a non facilitare, incoraggiare o indurre in alcun modo Stati non dotati di armi nucleari a fabbricare o acquisire in altro modo armi nucleari o altri dispositivi esplosivi nucleari, o il controllo su tali armi o dispositivi esplosivi.

L'impegno riassunto nell'Articolo I della nostra bozza di accordo è più forte, perché non si può permettere che avvenga una fuga di SIA da parte di chiunque e in nessun luogo, nemmeno una volta.⁴ Non basterà non “facilitare, incoraggiare o indurre” altri a svilupparla. Abbiamo quindi incluso l'impegno a “facilitare, o non ostacolare, misure ragionevoli” da parte delle Parti per dissuadere e prevenire tale sviluppo ovunque.

Il TNP mira a contenere una minaccia esistente (le armi nucleari), mentre la nostra bozza di accordo mira a impedire che una minaccia (la SIA) venga mai a esistere. Un precedente per la prevenzione dello sviluppo di nuove tecnologie pericolose si trova nel Protocollo sulle armi laser accecanti, parte della Convenzione su alcune armi convenzionali.⁵ Il suo Articolo I recita:

È vietato impiegare armi laser specificamente progettate, come loro unica funzione di combattimento o come una delle loro funzioni di combattimento, per causare cecità permanente alla visione non potenziata, cioè all'occhio nudo o a un occhio dotato di dispositivi correttivi della vista. Le Alte Parti contraenti non trasferiranno tali armi a nessuno Stato o entità non statale.

Tale formulazione, tuttavia, non mira a impedire a chicchessia di testare o realizzare accidentalmente un sistema del genere. Il nostro accordo deve essere sufficientemente forte da impedire la realizzazione accidentale di una SIA. Poiché non è chiaro dove possa trovarsi il punto di non ritorno, il nostro Articolo I include l'impegno a "non intraprendere né consentire attività che portino a un progresso sostanziale verso la SIA".

Ai fini del presente Trattato:

1. Intelligenza artificiale (IA): un sistema computazionale che svolge compiti che richiedono cognizione, pianificazione, apprendimento o azioni negli ambiti fisico, sociale o cibernetico. Ciò include i sistemi che svolgono compiti in condizioni variabili e imprevedibili, o che possono apprendere dall'esperienza e migliorare le proprie prestazioni.
2. Superintelligenza artificiale (SIA): è definita operativamente come qualsiasi IA con prestazioni cognitive sufficientemente superumane da poter pianificare ed eseguire con successo la distruzione dell'umanità.
   1. Ai fini del presente Trattato, si presume che lo sviluppo di IA non esplicitamente autorizzato dall'AISI (Articolo III), e che viola i limiti descritti nell'Articolo IV, abbia lo scopo di creare una superintelligenza artificiale.
3. Le attività pericolose di IA sono quelle che aumentano sostanzialmente il rischio che venga creata una superintelligenza artificiale, e non si limitano alla fase finale dello sviluppo di una superintelligenza artificiale, ma includono anche le fasi preliminari come stabilito in questo Trattato. L'ambito completo delle attività pericolose di IA è specificato dagli Articoli da IV a IX e può essere elaborato e modificato attraverso l'applicazione del trattato e le attività dell'AISI.
4. Per Operazioni in virgola mobile (FLOP, acronimo di FLoating-point OPerations) si intende la misura computazionale usata per quantificare la scala dell'addestramento e del post-addestramento, basata sul numero di operazioni matematiche eseguite. Il conteggio delle FLOP deve essere effettuato o in operazioni equivalenti al formato in virgola mobile a mezza precisione (FP16) o in operazioni totali (nel formato utilizzato), scegliendo il valore più alto.
5. Per Ciclo di addestramento si intende qualsiasi processo computazionale che ottimizza i parametri di un'IA (cioè i dettagli della propagazione delle informazioni attraverso una rete neurale, ad esempio pesi e bias) utilizzando metodi di ricerca/apprendimento basati sul gradiente o altri metodi, tra cui pre-addestramento, messa a punto, apprendimento per rinforzo, ricerche di iperparametri su larga scala che aggiornano i parametri e auto-gioco iterativo o addestramento curricolare.
6. Per Pre-addestramento si intende la fase di addestramento con cui i parametri di un'IA vengono inizialmente ottimizzati utilizzando set di dati su larga scala per apprendere schemi o rappresentazioni generalizzabili prima di qualsiasi adattamento specifico per un'attività o un ambito. Include l'ottimizzazione supervisionata, non supervisionata, auto-supervisionata e basata sul rinforzo quando viene eseguita prima di tale adattamento.
7. Per Post-addestramento si intende una fase di addestramento eseguita dopo il pre-addestramento di un modello. Inoltre, qualsiasi addestramento eseguito su un'IA creata prima che questo Trattato entrasse in vigore è considerato post-addestramento.
8. Per Chip informatici avanzati si intendono circuiti integrati fabbricati con processi avanzati almeno quanto il nodo di elaborazione da 28 nanometri.
9. Per Chip per l'IA si intendono circuiti integrati specializzati progettati principalmente per i calcoli di IA, incluse, a titolo esemplificativo ma non esaustivo, le operazioni di addestramento e inferenza per i modelli di apprendimento automatico [la definizione andrebbe precisata in un Allegato]. Tra questi vi sono GPU, TPU, NPU e altri acceleratori di IA. Possono essere inclusi anche componenti hardware non originariamente progettati per l'IA, ma che possono essere efficacemente riadattati a tale scopo. I chip per l'IA sono un sottoinsieme dei chip informatici avanzati.
10. Per Hardware per IA si intende tutto l'hardware informatico utilizzato per l'addestramento e l'esecuzione delle IA. Ciò include i chip per l'IA, così come le apparecchiature di rete, di alimentazione e di raffreddamento.
11. Apparecchiature per la produzione di chip per l'IA: le apparecchiature utilizzate per fabbricare, testare, assemblare o confezionare chip per l'IA, tra cui, a titolo esemplificativo ma non esaustivo, le apparecchiature per litografia, deposizione, incisione, metrologia, collaudo e packaging avanzato [un elenco più completo andrebbe definito in un Allegato].
12. Equivalente-H100: unità di potenza di calcolo (FLOP al secondo) pari a quella di un acceleratore NVIDIA H100 SXM, 990 TFLOP/s in VM16, o a una Potenza di Elaborazione Totale (PET) di 15.840, dove la PET è calcolata come PET = 2 × MacTOPS non-sparse × (lunghezza in bit dell'input della moltiplicazione).
13. Cluster di chip coperti (CCC): qualsiasi insieme di chip per l'IA o cluster in rete con una capacità di calcolo effettiva aggregata superiore a 16 equivalenti-H100. Un cluster in rete si riferisce a chip che sono fisicamente co-locati, che hanno una larghezza di banda aggregata tra i nodi (definita come la somma della larghezza di banda tra host/chassis distinti) superiore a 25 Gbit/s, o che sono collegati in rete per eseguire carichi di lavoro in comune. La capacità di calcolo effettiva aggregata di 16 chip H100 è di 15.840 TFLOP/s, o 253440 PET, e si basa sulla somma delle PET dei singoli chip. Esempi di CCC includono: il server GB200 NVL72, tre server H100 HGX a otto vie ubicati nello stesso edificio, CloudMatrix 384, un pod con 32 chip TPUv6e e qualsiasi supercomputer.
14. Mezzi tecnici nazionali (MTN): l'insieme delle capacità satellitari, aeree, informatiche, di intelligence dei segnali e di analisi delle immagini (comprese quelle termiche), e altre capacità di telerilevamento impiegate dalle Parti a fini di verifica, in conformità con il presente Trattato.
15. Verifica dell'uso dei chip: metodi che forniscono indicazioni sulle attività eseguite su specifici chip, al fine di distinguere le attività consentite da quelle proibite.
16. Per metodi utilizzati per creare modelli di frontiera si intende l'ampia gamma di metodi utilizzati nello sviluppo dell'IA. Questi includono, a titolo esemplificativo ma non esaustivo, architetture di IA, ottimizzatori, metodi di tokenizzazione, cura dei dati, generazione di dati, strategie di parallelismo, algoritmi di addestramento (ad esempio algoritmi apprendimento per rinforzo) e altri metodi di addestramento. Ciò include il post-addestramento, ma esclude i metodi che non modificano i parametri di un modello già addestrato, come il prompting. In futuro potrebbero essere creati nuovi metodi.

Note

La definizione di IA qui riportata (adattata dall'AI Whistleblower Protection Act del senatore Chuck Grassley) è forse troppo ampia, e prevediamo che dovrà essere definita in modo più preciso per escludere sistemi informatici palesemente sicuri come i correttori ortografici o i sistemi di riconoscimento delle immagini.

Nell'attuale paradigma di sviluppo dell'IA, questa definizione è probabilmente accettabile, dato che lo sviluppo dell'IA è ben distinguibile da ricerca e sviluppo non legati all'IA per via dell'uso di ingenti risorse computazionali. Tuttavia, la definizione definitiva di IA che verrà adottata dovrebbe comprendere più dei soli sistemi di apprendimento profondo o apprendimento automatico. Sebbene l'apprendimento profondo sia l'attuale paradigma dominante per l'IA, il trattato dovrebbe tenere conto della possibilità che in futuro un altro paradigma di IA diventi preponderante; altrimenti, un trattato che vieti esclusivamente l'apprendimento automatico incoraggerebbe i ricercatori a sviluppare nuovi paradigmi per costruire IA più potenti e generali, con conseguenze potenzialmente catastrofiche. Se dovesse emergere un paradigma innovativo, in particolare uno che non sia così intensivo nell'uso di chip per l'IA come l'apprendimento profondo, il trattato andrebbe probabilmente aggiornato.

Usiamo l'equivalente-H100 come unità di misura principale per la capacità di calcolo. Nell'Articolo V, questo valore viene usato per stabilire la dimensione del più grande cluster di chip non monitorato consentito (16 equivalenti-H100).⁶ L'Articolo IV definisce le soglie in termini di operazioni totali usate per addestrare un'IA; di conseguenza, fissare limiti alle operazioni non monitorate al secondo renderebbe proibitivi i tempi necessari per condurre un addestramento di dimensioni illegali su hardware non monitorato.

Usiamo gli equivalenti-H100 per tenere conto del fatto che esistono diversi chip per l'IA, ma l'aspetto per noi più importante è il numero di operazioni che possono eseguire in un dato intervallo di tempo. Esistono altre metriche importanti per i chip (come la memoria ad alta larghezza di banda), ma nel complesso riteniamo che siano meno rilevanti del numero di operazioni al secondo. Usare l'equivalente-H100 come unità di misura è un modo piuttosto standard per discutere della capacità di calcolo.

La definizione di cluster di chip coperti (CCC) che includiamo è un'ipotesi iniziale su come definire tale concetto. Idealmente, il limite dovrebbe essere abbastanza alto da impedire alle persone comuni di infrangere le regole (ad esempio, una larghezza di banda di 25 Gbit/s tra chassis è più veloce delle normali connessioni Internet non da data center; il possesso di più di 16 equivalenti-H100 da parte di un singolo individuo è un evento molto raro, oltre che costoso). Dovrebbe anche essere abbastanza basso da impedire attività di IA pericolose e rendere difficile la sovversione (cioè, rendere difficile l'addestramento distribuito su più insiemi di chip sub-CCC). Discutiamo questa decisione più approfonditamente nel commento all'Articolo V.

I chip per l'IA sono un sottoinsieme dei chip avanzati e non esiste una linea di demarcazione netta che li distingua dai chip non dedicati all'IA. Anziché definire e fare affidamento su tale distinzione, usiamo la capacità di calcolo complessiva (in operazioni al secondo) di un cluster, misurata in equivalenti-H100. Se i chip possono essere configurati per l'addestramento o l'esecuzione di IA e superano la soglia definita, il Trattato ne richiede il monitoraggio.

Si noti che la dicitura "mezzi tecnici nazionali" (MTN) potrebbe essere considerata obsoleta come termine ufficiale da alcuni governi. La usiamo in questa bozza di trattato, seguendo lo stile dei precedenti accordi sul controllo degli armamenti per facilitare il confronto.

1. Le Parti del Trattato istituiscono l'Agenzia Internazionale per la Superintelligenza (AISI), al fine di attuare il presente Trattato e le sue disposizioni, incluse quelle per la verifica internazionale del suo rispetto, e per fornire un foro di consultazione e cooperazione tra le Parti.
2. Vengono istituiti quali organi dell'AISI: la Conferenza delle Parti, il Consiglio Esecutivo e il Segretariato Tecnico.
3. Conferenza delle Parti
   1. La Conferenza delle Parti è composta da tutte le Parti del Trattato.
   2. La Conferenza delle Parti: determina la politica generale; adotta e supervisiona il bilancio; elegge i membri del Consiglio Esecutivo; esamina le questioni di conformità segnalate dal Consiglio Esecutivo; e adotta e rivede gli allegati su raccomandazione del Consiglio Esecutivo.
   3. Si riunisce in sessione ordinaria almeno una volta all'anno, o con una frequenza maggiore stabilita dalla Conferenza, oltre alle sessioni straordinarie che si rendessero necessarie. Ogni Parte ha diritto a un voto. Il quorum è costituito dalla maggioranza delle Parti.
4. Consiglio Esecutivo
   1. Il Consiglio Esecutivo è composto da 15 membri: (i) 5 seggi designati per i membri permanenti del Consiglio di sicurezza delle Nazioni Unite e (ii) 10 seggi elettivi distribuiti secondo un'equa rappresentanza geografica. I dettagli sono esposti nell'Allegato A.
   2. I membri eletti restano in carica per due anni. Metà dei seggi viene rinnovata ogni anno.
   3. Il Consiglio Esecutivo: approva le ispezioni su richiesta; raccomanda il bilancio e la politica alla Conferenza; nomina il Direttore Generale; supervisiona il Segretariato Tecnico tramite il potere di veto.
   4. I processi decisionali sono i seguenti:
      1. Il Consiglio Esecutivo elegge il proprio presidente e vicepresidente.
      2. Possono fungere da presidente di seduta il Presidente o il Vicepresidente.
      3. La votazione avviene secondo il principio "un membro, un voto".
      4. Per l'approvazione di un'ispezione su richiesta, ai sensi dell'Articolo X, è richiesta la maggioranza dei voti.
      5. Per porre il veto alle modifiche delle definizioni o dei protocolli di salvaguardia apportate dal Segretariato Tecnico è richiesta la maggioranza dei due terzi.
      6. Per revocare o nominare un Direttore Generale è richiesta la maggioranza dei due terzi.
      7. Tutte le altre decisioni richiedono la maggioranza dei due terzi.
      8. Il quorum è di due terzi dei membri del Consiglio Esecutivo.
5. Segretariato Tecnico e Direttore Generale
   1. Il Direttore Generale del Segretariato Tecnico ne è il capo e il principale funzionario amministrativo.
   2. Il Direttore Generale viene nominato dal Consiglio Esecutivo per un mandato di quattro anni, rinnovabile una volta. Il Consiglio Esecutivo può revocare il Direttore Generale.
   3. Il Segretariato Tecnico comprende inizialmente divisioni tecniche per il tracciamento dei chip e le misure di salvaguardia della produzione, le misure di salvaguardia per la verifica dell'uso dei chip, i controlli sulla ricerca, il consolidamento delle informazioni, le revisioni tecniche, l'amministrazione e le finanze, e le questioni legali e di conformità. Il Direttore Generale può creare e sciogliere divisioni tecniche.
   4. Il Segretariato Tecnico, per tramite del Direttore Generale, propone le modifiche alle definizioni tecniche e ai protocolli di salvaguardia necessari ad attuare gli Articoli IV, V, VI, VII, VIII, IX e X del presente Trattato.
      1. Le modifiche urgenti alle soglie di FLOP (Articolo IV), alle dimensioni dei cluster di calcolo interessati (Articolo V) e ai limiti della ricerca soggetta a restrizioni (Articolo VIII) possono essere attuate immediatamente dal Direttore Generale qualora l'inazione ponga un rischio per la sicurezza. Tali modifiche rimangono in vigore per trenta giorni. Trascorso tale termine, le modifiche devono essere approvate dal Consiglio Esecutivo per rimanere in vigore.
      2. Il Consiglio Esecutivo delibera sulle questioni sostanziali, per quanto possibile, per consenso; il Direttore Generale si adopera per raggiungere il consenso. Qualora non sia possibile raggiungere il consenso entro 24 ore, si procede a una votazione e il Consiglio Esecutivo approva le modifiche se la maggioranza dei membri presenti e votanti vota a favore, altrimenti le respinge.
6. Il bilancio ordinario dell'AISI è finanziato con i contributi obbligatori delle Parti, utilizzando una scala derivata dalla scala di valutazione delle Nazioni Unite, soggetta a un massimale e a un minimale stabiliti dal Consiglio Esecutivo. Gli Stati membri hanno anche la possibilità di versare contributi volontari per la ricerca sulla sicurezza dell'IA relativa alle attività di allineamento, interpretabilità e sviluppo delle capacità degli Stati membri, compresi gli usi benefici dell'IA sicura, lo sviluppo di banchi di prova, le buone pratiche, la condivisione di informazioni e la facilitazione della cooperazione e delle attività congiunte liberamente ispirate al modello della rete AIEA dei Centri di supporto alla sicurezza nucleare.

Note

Come in altri organismi internazionali, l'AISI sarebbe composta da diplomatici ed esperti tecnici dei paesi firmatari. Il punto principale di questa formulazione è che all'AISI viene conferita l'autorità di attuare la maggior parte di quanto previsto dal trattato e di aggiornare alcuni aspetti dello stesso nel corso del tempo. Questo approccio dà la priorità alla prevenzione della creazione della superintelligenza e al mantenimento della forza del trattato fino a quando il mondo non sarà pronto a procedere. In questo modo, questa bozza conferirebbe a questa organizzazione multinazionale l'autorità di fare gran parte di quanto richiesto. L'AISI centralizza l'attuazione di diverse funzioni chiave del trattato, tra cui il mantenimento dei limiti precisi della ricerca, dello sviluppo e del dispiegamento dell'IA consentiti, la verifica primaria del rispetto del trattato, e il consolidamento delle informazioni di intelligence riservate dei firmatari. Un aspetto cruciale è che il funzionamento cooperativo dell'AISI crea, nel tempo, la fiducia necessaria tra le parti del trattato.

Detto ciò, questo tipo di approccio comporta dei compromessi. Il primo compromesso è che una maggiore centralizzazione richiede una maggiore fiducia da parte delle nazioni firmatarie. I potenziali firmatari del trattato potrebbero non ritenere politicamente fattibile assegnare questo livello di autorità a un'organizzazione internazionale, oppure potrebbero non avere fiducia che l'organizzazione possa operare in modo sufficientemente indipendente dall'influenza dominante del suo membro o dei suoi membri più potenti.

Un'alternativa potrebbe essere quella di centralizzare solo quelle poche funzioni la cui centralizzazione è indispensabile (come il mantenimento e il chiarimento dei limiti alla ricerca, allo sviluppo e al dispiegamento dell'IA), lasciando che i singoli firmatari verifichino individualmente la conformità fino a ritenerla comprovata.

Un altro compromesso riguarda il grado di inclusività di un tale trattato. Il nostro testo di esempio creerebbe un'organizzazione multilaterale in cui tutti gli Stati sono invitati a firmare il trattato e a partecipare alla sua attuazione. Un'alternativa è un trattato incentrato, ad esempio, solo su Cina e Stati Uniti. L'idea di fondo sarebbe quella di costruire un regime di verifica bilaterale ristretto che soddisfi le esigenze di ciascuna parte, sacrificando al minimo l'autonomia e la trasparenza. A ciascuna parte verrebbe quindi assegnato l'obiettivo, separato e successivo, di far aderire altri Stati.

Poiché lo scopo di questo trattato è dimostrare come potrebbero presentarsi i controlli internazionali se i leader di tutto il mondo si rendessero conto dei pericoli pressanti, illustriamo una struttura che funzionerebbe con molte Parti, le quali avrebbero tutte qualcosa da guadagnare dall'adesione.

Pertanto, la struttura proposta per il Consiglio Esecutivo dell'AISI include tutti i membri permanenti del Consiglio di Sicurezza dell'ONU ed è basata sulla composizione dell'AIEA.

Dato lo status di TSMC come produttore preminente di chip per l'IA, qualsiasi trattato sull'intelligenza artificiale deve considerare come affrontare la questione di Taiwan. Scegliamo di utilizzare il precedente del TNP riguardo a Taiwan. Idealmente, Taiwan dovrebbe attuare accordi formali e/o dichiarazioni in cui affermi di considerarsi vincolata dai principi di questo Trattato. Ciò comporterebbe un'adesione di fatto al Trattato. Ancor più importante, Taiwan dovrebbe accettare un accordo che consenta ispezioni di routine e/o su richiesta in loco per garantire la sua conformità ai principi del trattato.

Resta una questione in parte aperta come il Consiglio Esecutivo e l'AISI debbano prendere le decisioni e quali poteri vengano delegati ai diversi organi. Questo Articolo include una proposta per tale struttura, una proposta che conferisce un potere significativo al Segretariato Tecnico, attribuendo al contempo un potere di supervisione al Consiglio Esecutivo.

Un vantaggio di questa impostazione è che consente all'organo tecnico di prendere decisioni rapidamente e gli conferisce un ampio mandato per adempiere alla sua missione, sebbene qualsiasi modifica richieda l'approvazione della maggioranza semplice dei membri del Consiglio Esecutivo entro 30 giorni per rimanere in vigore. Se da un lato i leader mondiali possono esitare a delegare così tanto potere agli esperti tecnici, dall'altro è altrettanto probabile che questi ultimi non si fidino né degli attori geopolitici per risolvere le spinose questioni tecniche che emergeranno nell'attuazione di questo Trattato, né della loro capacità di adattarsi a un panorama tecnico in continua evoluzione. Questo Articolo presenta solo una delle possibili proposte su come bilanciare il potere decisionale tra questi gruppi, ma esistono molti altri approcci.

Un altro approccio simile consisterebbe nel disaggregare ulteriormente le responsabilità, le definizioni e i tipi di salvaguardia attuati dall'AISI (ad esempio, le soglie di FLOP per l'addestramento, la definizione di CCC, la definizione di chip per IA, la classificazione di una particolare struttura come impianto di produzione di chip, i protocolli di verifica dell'uso dei chip, la definizione di Ricerca Soggetta a Restrizioni, ecc.), e nello stabilire procedure di voto diverse per queste modifiche, a seconda del loro impatto.

Precedenti

La struttura di governo tripartita dell'Agenzia Internazionale per la Superintelligenza (AISI), prevista dalla nostra bozza di trattato, è basata su quella dell'OPCW⁷, l'organismo incaricato di attuare la Convenzione sulle Armi Chimiche (ACC). Anche i nomi di questi organi sono presi in prestito dall'OPCW. (La versione definitiva di un trattato potrebbe preferire strutture e nomi alternativi che svolgano le stesse funzioni; di seguito forniamo alcuni precedenti per assetti meno centralizzati).

Il Consiglio Esecutivo istituito dal nostro Paragrafo 4, commi (a) e (d), emula il Consiglio dei Governatori del TNP. La designazione di cinque dei quindici seggi del Consiglio ai membri permanenti del Consiglio di Sicurezza delle Nazioni Unite riflette il fatto che i cinque Stati nucleari originari del TNP erano anche i cinque membri permanenti del Consiglio di Sicurezza dell'ONU; senza la loro partecipazione come partner chiave, il TNP sarebbe probabilmente fallito fin dall'inizio.

Anche la nostra disposizione per "10 seggi elettivi distribuiti in base a un'equa rappresentanza geografica" si ispira al TNP, il quale stabilisce che i suoi Governatori uscenti includano "il membro più avanzato nella tecnologia dell'energia atomica, compresa la produzione di materiali di base in ciascuna delle" otto regioni specificate.

La questione di Taiwan complica la nostra idea di trattato, data la sua delicata situazione geopolitica e il suo status di principale produttore mondiale di chip per l'IA. Fortunatamente, esistono precedenti che possono fungere da guida: sebbene Taiwan non sia parte del TNP, ha dichiarato in più occasioni di considerarsi vincolata dai suoi principi. Taiwan consente all'AIEA di condurre ispezioni e applicare salvaguardie ai suoi impianti nucleari attraverso un accordo trilaterale con gli Stati Uniti e l'AIEA stessa. Una soluzione simile potrebbe essere adottata per la nostra bozza di trattato.

I processi decisionali del Consiglio Esecutivo della nostra bozza di trattato sono stati modellati sul Regolamento del Consiglio dei Governatori adottato dall'Agenzia Internazionale per l'Energia Atomica (AIEA), la principale organizzazione per la governance internazionale della tecnologia nucleare.⁸ Allo stesso modo, le procedure di voto seguono lo Statuto dell'AIEA.

In altri trattati sulle armi nucleari si possono trovare precedenti di meccanismi di attuazione meno centralizzati (ma comunque potenzialmente efficaci). Il Trattato sulle forze nucleari a raggio intermedio (FNRI) e i trattati per la riduzione delle armi strategiche (START I, START II e New START) affidano la responsabilità dell'attuazione e della verifica alle singole parti; ciascuna si impegna ad adottare procedure che consentano all'altra di ottenere ragionevoli garanzie di conformità.

Le "ispezioni su richiesta" di cui al Paragrafo 4(c) sono basate sul meccanismo della Parte X della CAC; approfondiremo questo precedente nell'Articolo X.

1. Ciascuna Parte si impegna a vietare l'addestramento dell'IA al di sopra delle seguenti soglie: qualsiasi sessione di addestramento che superi 1e24 FLOP o qualsiasi sessione di post-addestramento che superi 1e23 FLOP. Ciascuna Parte si impegna a non condurre sessioni di addestramento al di sopra di tali soglie e a non permettere a nessuna entità soggetta alla propria giurisdizione di condurre tali sessioni.
   1. Il Segretariato Tecnico può modificare queste soglie, in conformità con la procedura descritta nell'Articolo III. Il Consiglio Esecutivo può porre il veto a tali decisioni con un voto a maggioranza di due terzi.
2. Ciascuna Parte deve notificare all'AISI qualsiasi sessione di addestramento compresa tra 1e22 e 1e24 FLOP prima del suo avvio. Ciò si applica alle sessioni di addestramento condotte dalla Parte o da qualsiasi entità soggetta alla sua giurisdizione.
   1. Tale notifica deve includere, a titolo esemplificativo ma non esaustivo, tutto il codice di addestramento e una stima delle FLOP totali da utilizzare. La Parte deve fornire al personale dell'AISI un accesso supervisionato a tutti i dati, con una registrazione degli accessi adeguata alla sensibilità dei dati e protezioni contro la duplicazione o la divulgazione non autorizzata. La mancata fornitura di un sufficiente accesso ai dati al personale dell'AISI costituisce motivo di diniego della sessione di addestramento, a discrezione dell'AISI. L'AISI può richiedere qualsiasi documentazione aggiuntiva relativa alla sessione di addestramento. L'AISI approverà inoltre in via preliminare una serie di piccole modifiche che potrebbero essere apportate alla procedura durante la sessione di addestramento. Tali modifiche dovranno essere comunicate all'AISI qualora vengano apportate.
   2. La mancata risposta da parte dell'AISI trascorsi 30 giorni costituisce approvazione; tuttavia, l'AISI può prorogare tale periodo comunicando di necessitare di ulteriore tempo per la revisione. Non vi sono limiti a tali proroghe, ma le Parti possono presentare ricorso per ritardi eccessivi al Direttore o al Consiglio Esecutivo.
   3. L'AISI può monitorare tali sessioni di addestramento e la Parte fornirà all'AISI, su richiesta, i checkpoint del modello, compreso il modello finale addestrato [i dettagli iniziali di tale monitoraggio dovranno essere descritti in un Allegato].
   4. Nel caso in cui il monitoraggio indichi capacità o comportamenti preoccupanti dell'IA, l'AISI può emettere un ordine di sospensione di una sessione o di una classe di sessioni di addestramento, finché non riterrà sicuro procedere con la sessione.
   5. L'AISI adotterà pratiche di sicurezza solide. L'AISI non condividerà informazioni sulle sessioni di addestramento dichiarate, a meno che non stabilisca che una di esse violi il Trattato; in tal caso, fornirà a tutte le Parti del Trattato informazioni sufficienti per determinare se si sia verificata una violazione.
   6. Qualora una Parte individui una sessione di addestramento al di sopra delle soglie designate, dovrà segnalarla all'AISI e interromperla (se in corso). Tale sessione potrà riprendere solo previa approvazione dell'AISI.
3. Ogni Parte, e gli enti sotto la sua giurisdizione, possono condurre sessioni di addestramento inferiori a 1e22 FLOP senza la supervisione o l'approvazione dell'AISI.
4. L'AISI può autorizzare, con una maggioranza di due terzi dei voti del Consiglio Esecutivo, deroghe specifiche per attività quali valutazioni di sicurezza, veicoli a guida autonoma, tecnologia medica e altre attività, con modalità ritenute sicure dal Direttore Generale. Tali deroghe possono consentire sessioni di addestramento superiori a 1e24 FLOP con la supervisione dell'AISI, o una presunzione di approvazione da parte dell'AISI per sessioni di addestramento comprese tra 1e22 e 1e24 FLOP.

Note

Uno dei modi principali per migliorare le attuali IA è aumentare le risorse computazionali investite nell'addestramento delle IA. Limitare queste risorse e la ricerca sul progresso algoritmico (descritta nell'Articolo VIII) può ridurre il rischio, che nel breve periodo, venga creata un'IA più intelligente dell'uomo.

Il divieto si basa sul numero di operazioni computazionali, dato che è un parametro relativamente facile da definire e misurare, e le prestazioni degli attuali modelli di IA all'avanguardia ci danno un'idea delle quantità di potenza di calcolo che risultano sicure con gli algoritmi odierni.

In un mondo perfetto, limiteremmo invece l'addestramento in base alle capacità del sistema addestrato. Ma nessuno ha la capacità tecnica di prevedere con certezza cosa sarà in grado di fare o non fare una nuova IA prima che venga addestrata. Pertanto, le risorse computazionali vengono utilizzate come proxy.

Il divieto assoluto di 1e24 FLOP per l'addestramento è leggermente inferiore alla quantità di risorse computazionali usate per i modelli prossimi allo stato dell'arte dell'agosto 2025, come DeepSeek-V3 con 3e24 FLOP. Abbiamo scelto questa soglia perché è al di sotto del livello al quale prevediamo che le IA possano diventare pericolose (dati gli algoritmi attuali), e perché offre un certo margine di manovra in caso di lievi progressi algoritmici.

Il divieto di superare 1e23 FLOP nel post-addestramento è pensata per essere applicata alle IA create prima dell'entrata in vigore del Trattato. Molte di queste IA saranno state create usando più di 1e24 FLOP (a metà 2025 esistono tra 50 e 100 modelli di questo tipo). Dato che i pesi di molte di queste IA saranno stati resi pubblici, non è fattibile impedirne l'uso, ma è fattibile impedirne modifiche sostanziali tramite il post-addestramento.

Un addestramento da 1e22 FLOP su 16 H100 richiederebbe circa una settimana. È un'operazione che richiede una potenza di calcolo tale che gli hobbisti non rischiano di superare accidentalmente la soglia addestrando modelli piccoli e consentiti. Le IA addestrate su questa scala (con gli algoritmi attuali) si sono finora dimostrate tutt'altro che pericolose. I progressi nella ricerca sugli algoritmi di IA, se la loro esecuzione e disseminazione non venissero altrimenti impedite, potrebbero porre l'umanità in uno scenario ancora più pericoloso, richiedendo divieti mirati ad attività che attualmente potrebbero essere svolte da piccoli gruppi determinati e disposti a sostenere spese ingenti.

Nella fascia di potenza di calcolo tra 1e22 e 1e24 FLOP, l'AISI riceverebbe in anticipo il codice di addestramento e le stime delle FLOP totali. Ciò le consentirebbe di approvare il ciclo di addestramento, a condizione che questo non utilizzi metodi algoritmici innovativi.

L'addestramento di un'IA comporta spesso piccole correzioni di bug in corso d'opera (come l'installazione della versione corretta di una libreria o il rimescolamento dei dati di addestramento). L'AISI può pre-approvare una serie di piccole modifiche a un ciclo di addestramento che non richiedano una nuova approvazione. Tali modifiche andrebbero comunque segnalate all'AISI.

La segnalazione e il monitoraggio richiesti per i cicli di addestramento tra 1e22 e 1e24 FLOP consentirebbero di ottenere alcuni dei benefici derivanti dall'addestramento di IA con modalità che al momento appaiono sicure, prevenendo al contempo la costruzione di IA più grandi e potenzialmente pericolose.

Il monitoraggio da parte dell'AISI le permetterebbe inoltre di rimanere (in una certa misura) aggiornata sui progressi algoritmici che si verificano nonostante i divieti; inoltre, l'Articolo XIII prevede che l'AISI effettui valutazioni dei modelli addestrati in questa fascia. Ciò aiuterà a rendere l'AISI consapevole delle tendenze nello sviluppo dell'IA e le consentirà (si spera) di abbassare le soglie di FLOP se necessario.

Il monitoraggio dei cicli di addestramento da parte dell'AISI è fattibile e applicabile grazie al consolidamento dei chip (Articolo V) e alla verifica del loro uso (Articolo VII). Il consolidamento dei chip implica che l'hardware utilizzato per i cicli di addestramento su larga scala sarà accessibile all'AISI. La verifica dell'uso dei chip permetterà all'AISI di avere una ragionevole certezza che i chip vengano utilizzati per addestrare IA solo previa autorizzazione.

Al personale dell'AISI è permesso l'accesso ai dati di addestramento utilizzati nelle sessioni di addestramento monitorate, fatte salve diverse restrizioni. L'intento di queste restrizioni è di garantire che la registrazione e altri metodi di controllo siano utilizzati per prevenire la divulgazione non autorizzata di contenuti sensibili nei dati di addestramento, inclusi, a titolo esemplificativo ma non esaustivo, informazioni di identificazione personale, informazioni sanitarie personali, dati classificati, segreti commerciali, dati bancari soggetti a obbligo di segretezza, e così via.

Precedenti

Sebbene i valori numerici delle soglie specificate nel nostro accordo possano e debbano essere riesaminati una volta superata la fase iniziale di stesura, i tetti quantitativi sono comuni negli accordi internazionali, in quanto prevengono controversie che altrimenti dipenderebbero da diverse interpretazioni del linguaggio qualitativo.

Il Trattato sulla limitazione degli esperimenti nucleari sotterranei (Threshold Test Ban Treaty) del 1974 stabilì un tetto di 150 chilotoni per i test nucleari sotterranei eseguiti da Stati Uniti e URSS.⁹ Lo scopo e l'effetto del trattato furono di ostacolare, almeno in parte, l'ulteriore sviluppo di testate più grandi e distruttive del tipo "city buster". Un parallelo pertinente con lo sviluppo dell'IA è che, a metà del 2025, i modelli più generici e potenti (e quindi più pericolosi) richiedono per la loro creazione sessioni di addestramento corrispondentemente più grandi; il nostro trattato specifica dei tetti volti a impedire che tali IA vengano sviluppate intenzionalmente, ma anche a cogliere il vantaggio essenziale (sebbene non parallelo) di ridurre il rischio che una soglia di capacità imprevista venga superata accidentalmente e irrimediabilmente.

Il limite di addestramento che abbiamo suggerito come punto di partenza è abbastanza basso da essere superato da alcuni modelli di IA addestrati al giorno d'oggi; lo consideriamo prudente in previsione di progressi che renderanno i modelli più recenti più potenti a parità di addestramento (come discusso nell'Articolo VIII). Gli accordi per la riduzione degli armamenti costituiscono un precedente per soglie fissate al di sotto del livello massimo attuale. Il Trattato navale di Washington del 1922 fissò limiti al dislocamento delle navi da guerra, che costrinsero gli Stati Uniti e altre potenze navali a rottamare decine di capital ship.¹⁰ Nell'Articolo II del trattato START del 1991,¹¹ gli Stati Uniti e l'Unione Sovietica (e in seguito la Federazione Russa) concordarono limiti alle dimensioni dei loro arsenali nucleari e dei loro sistemi di lancio che richiesero a ciascuna parte di eliminare gradualmente più di quattromila testate ciascuno.

I precedenti per le soglie quantitative che limitano il potenziale di fuga verranno discussi nell'Articolo V.

1. Ciascuna Parte garantisce che, all'interno della propria giurisdizione, tutti i cluster di chip coperti (CCC), come definiti nell'Articolo II (ossia un insieme di chip con una capacità superiore a 16 equivalenti-H100) [nota: 16 H100 hanno un costo complessivo di circa 430.000 euro nel 2025 e raramente sono di proprietà di privati], siano ubicati in strutture dichiarate all'AISI e che tali chip per l'IA siano soggetti al monitoraggio da parte dell'AISI.
   1. Le parti cercheranno di evitare di co-locare chip per l'AI e hardware non-IA non ausiliario in queste strutture dichiarate.
   2. Queste strutture devono essere accessibili per ispezioni fisiche. Ciò può includere, ad esempio, che i team di verifica possano raggiungere qualsiasi CCC da almeno un aeroporto con servizio internazionale di linea entro 12 ore.
   3. Le parti non devono collocare i chip per l'AI in così tante sedi diverse da rendere impossibile per l'AISI monitorarle tutte. Se richiesto dall'AISI, le parti devono consolidare ulteriormente i propri chip per l'IA in un numero inferiore di strutture monitorate.
2. I chip perv l'IA non monitorati che non fanno parte di un CCC (cioè che hanno una capacità inferiore a 16 equivalenti-H100) possono rimanere al di fuori delle strutture dichiarate dall'AISI, a condizione che tali scorte non siano aggregate o collegate in rete per soddisfare la definizione di CCC, non siano ruotate tra i siti per aggirare il monitoraggio e non siano utilizzate per attività di addestramento vietate. Le Parti compiranno sforzi ragionevoli per monitorare la vendita e l'aggregazione dei chip per l'IA per garantire che qualsiasi CCC di nuova creazione venga individuato e monitorato.
3. Entro 120 giorni dall'entrata in vigore del trattato, ogni parte individuerà, inventarierà e consoliderà tutti i CCC in strutture dichiarate all'AISI. Le parti non disgregheranno, nasconderanno o riassegneranno in altro modo i chip per eludere questo requisito o per far sì che un insieme di chip altrimenti classificabile come CCC non venga più classificato come tale.
4. L'AISI supervisionerà il processo di consolidamento nazionale, anche attraverso ispezioni in loco, verifica documentale e inventariale, affiancamento delle autorità nazionali durante i trasferimenti e le ispezioni, e condivisione di informazioni con le Parti ai sensi dell'Articolo X. L'AISI potrà richiedere la documentazione della catena di custodia per i trasferimenti e condurre ispezioni su richiesta, come descritto nell'Articolo X. Le Parti garantiranno un accesso tempestivo alle strutture, agli snodi di trasporto e ai registri pertinenti. Le tutele e gli incentivi per gli informatori previsti dall'Articolo X si applicano al processo di consolidamento e l'AISI manterrà canali di segnalazione protetti.
5. Entro 120 giorni dall'entrata in vigore del Trattato, le Parti presenteranno all'AISI un registro dei loro CCC. Il registro dovrà includere l'ubicazione, il tipo, la quantità, i numeri di serie o altri identificatori univoci, ove disponibili, e le interconnessioni associate di tutti i chip per l'IA presenti nei CCC. Ciascuna Parte fornirà all'AISI un registro aggiornato e accurato ogni 90 giorni al più tardi.
6. Le Parti notificheranno in anticipo all'AISI qualsiasi trasferimento pianificato di chip per l'IA, sia nazionale che internazionale, con un preavviso di almeno 14 giorni rispetto alla data prevista per il trasferimento. Nessun trasferimento potrà avere luogo senza che all'AISI sia data l'opportunità di supervisionarlo. Per i trasferimenti internazionali, sia la Parte mittente che quella ricevente dovranno coordinarsi con l'AISI per quanto riguarda il tragitto, la custodia e la ricezione. I trasferimenti di emergenza effettuati per ragioni di sicurezza dovranno essere notificati non appena possibile e saranno soggetti a verifica a posteriori.
7. I chip per l'IA rotti, difettosi, in eccedenza o altrimenti dismessi continueranno a essere trattati come chip funzionanti, finché l'AISI non ne certificherà la distruzione. Le Parti non distruggeranno i chip per l'IA senza la supervisione dell'AISI. La distruzione o la messa fuori uso permanente dovranno essere condotte sotto la supervisione dell'AISI, utilizzando metodi da essa approvati, e registrate in un certificato di distruzione [i dettagli dovranno essere esplicitati in un Allegato]. Il recupero o la rivendita di componenti di tale hardware sono vietati, salvo espressa autorizzazione dell'AISI.

Note

Discuteremo quale obiettivo questo Articolo si prefigge di raggiungere, perché riteniamo che tale obiettivo sia importante, perché lo riteniamo fattibile, perché è stato scelto il limite di 16 H100 e varie altre considerazioni.

Obiettivo dell'Articolo V

Questo Articolo mira a centralizzare, in strutture monitorate, tutti i cluster di chip per l'IA (ossia insiemi di chip interconnessi al di sopra di una certa piccola dimensione) e la stragrande maggioranza dei chip per l'IA.

Una volta che i chip sono stati centralizzati in strutture monitorate, l'AISI può adottare numerosi altri approcci per garantire che non vengano utilizzati in violazione dell'Articolo IV; tali approcci sono discussi nell'Articolo VII.

È auspicabile una verifica internazionale di questo processo di centralizzazione, affinché tutte le Parti abbiano la certezza che anche tutti gli altri abbiano centralizzato i propri chip. Questo tipo di verifica può essere effettuato con relativa facilità per i grandi data center di IA, dato che le agenzie di intelligence probabilmente sanno già dove si trovano. Per i data center più piccoli, l'AISI può supervisionare i processi di centralizzazione nazionali come misura di rafforzamento della fiducia.

L'Articolo prevede in effetti un'eccezione per un numero ridotto di chip: meno di 16 equivalenti-H100. Questa quantità di chip è talmente ridotta che è improbabile che i chip non monitorati rappresentino una minaccia (in assenza di progressi nella ricerca). Soglie più basse sarebbero più difficili da radunare con successo e potrebbero iniziare a costituire costi ingenti per un'ampia fascia della popolazione. (Diverse persone possiedono una manciata di GPU a casa propria, ma poche possiedono 16 equivalenti-H100).

Perché l'Articolo V esiste

La centralizzazione dei chip è un'operazione utile perché apre altre strade per controllare lo sviluppo dell'intelligenza artificiale tramite i chip.

Per esempio, la centralizzazione dei chip in strutture dichiarate implica che questi potrebbero in seguito essere soggetti a ulteriore monitoraggio sul loro utilizzo (Articolo VII) o a verifiche per assicurarsi che siano spenti.

La centralizzazione dei chip in strutture dichiarate renderebbe anche più facile per le Parti distruggerli, come potrebbe rendersi necessario ai sensi dell'Articolo XII, qualora una Parte violi continuamente il Trattato.

Data la possibilità che i CCC vengano distrutti, sarebbe auspicabile costruirli lontano dai centri abitati, ove possibile. Questo punto non è incluso nel testo dell'Articolo per problemi di fattibilità (i data center attuali sono spesso vicini alle città, quindi sarebbe necessario costruirne di nuovi); inoltre, in casi estremi, i data center possono probabilmente essere disattivati senza ingenti danni collaterali e, infine, questo non è un aspetto portante del Trattato. Tuttavia, dato il loro enorme potenziale di pericolo, sembra appropriato trattare i data center di IA come strutture militari.

Verifica

Un elemento chiave per il successo di un trattato sull'IA è la verifica. I Paesi non si fideranno l'uno dell'altro riguardo al rispetto delle regole, ma vorranno poterlo verificare concretamente. La centralizzazione dei chip per l'IA in strutture dichiarate dovrà essere confermata dalle ispezioni e dal monitoraggio di questo processo da parte dell'AISI. Altrimenti, i Paesi non otterranno sufficiente fiducia che gli altri abbiano effettivamente centralizzato i loro chip.

La centralizzazione dei chip potrebbe non essere necessaria se esistessero altri modi per monitorarli. Purtroppo, riteniamo che questa sia attualmente l'unica opzione fattibile, se si esclude la distruzione fisica di tutte le scorte di chip per l'IA, considerate le potenzialità dei meccanismi di sicurezza disponibili sui chip attuali.

In futuro, potrebbero essere sviluppati meccanismi di governance basati sull'hardware per consentire la governance remota dei chip per l'IA, in modo che non sia necessario centralizzarli in luoghi dichiarati. Aarne et al. (2024) forniscono stime sui tempi di implementazione di alcuni di questi meccanismi di governance su chip. Le loro stime coprono i tempi necessari per sviluppare meccanismi robusti contro diversi avversari. Per brevità, useremo le loro stime per la sicurezza in un contesto velatamente avversariale, poiché pensiamo che questo corrisponda alla situazione che intendiamo affrontare: attori statali competenti potrebbero provare a violare i meccanismi di governance, ma ci sarebbero conseguenze importanti se questa sovversione venisse scoperta. Stimano un tempo di sviluppo di 2-5 anni per soluzioni ideali, con opzioni meno sicure ma potenzialmente funzionanti disponibili in pochi mesi.

Anche se quel rapporto risale a più di un anno fa, non siamo a conoscenza di progressi significativi verso questi meccanismi, e riteniamo che quella di 2-5 anni aggiuntivi sia la stima più pertinente di Aarne et al.

Oltre allo sviluppo, i meccanismi di governance su chip devono essere o aggiunti ai nuovi chip (che a loro volta dovranno diffondersi nel parco chip esistente) oppure adattati a quelli già in uso. Aarne et al. stimano che la prima di queste opzioni potrebbe richiedere quattro anni, ma siamo ottimisti sul fatto che l'adattamento potrebbe essere completato in uno o due anni se i chip sono già tracciati.

Per essere chiari, la centralizzazione di cui all'Articolo V comporta la concentrazione fisica e il monitoraggio (nell'Articolo VII) dei cluster di chip coperti, ma non richiede che i governi ne assumano la proprietà. Per i grandi data center, il trattato permette che il data center e i suoi chip rimangano nello stesso posto, pur restando di proprietà delle aziende, a patto che ricevano monitoraggio e supervisione dal governo nazionale e dall'AISI per garantire che i data center siano impiegati solo in attività non legate all'IA o in attività come l'esecuzione di vecchi modelli, piuttosto che nella creazione di nuovi modelli di IA più capaci. Per un numero minore di chip, potrebbe essere necessario spostarli fisicamente in un data center più grande, ma il proprietario potrebbe continuare ad accedervi da remoto, in modo simile ad alcuni modelli di cloud computing esistenti. In alternativa, i chip potrebbero essere trasferiti alla proprietà del governo in cambio di un giusto compenso.

Fattibilità

Probabilmente è fattibile individuare la maggior parte dei chip per l'IA (e verificarne l'individuazione a livello internazionale). Per i data center di IA più grandi, come quelli con più di 100 000 equivalenti-H100, la verifica internazionale sembra relativamente semplice; questi data center sono difficili da nascondere e i servizi di intelligence probabilmente sanno già dove si trovano. (A metà del 2025, non ci aspettiamo che ci siano ancora stati tentativi di nascondere questi data center.) Questi data center sono individuabili dalla loro impronta fisica e dal consumo energetico, e molti di essi sono pubblicamente segnalati.

Tali metodi consentiranno probabilmente di individuare anche data center di dimensioni ridotte, pari a circa 10 000 equivalenti-H100. Al di fuori dei MTN e dei servizi di intelligence delle Parti, il piano proposto per la centralizzazione dei chip prevede che le autorità nazionali utilizzino vari poteri per eseguirla e consentano l'ispezione del processo da parte dell'AISI per evitare che alcuni data center vengano esclusi.

Gli Stati avranno a disposizione una serie di strumenti per rintracciare i chip di proprietà nazionale. Potranno richiedere legalmente che tutti i cluster di chip superiori a 16 H100 vengano segnalati; potranno utilizzare i registri di vendita e altre informazioni finanziarie dei distributori di chip; potranno intervistare tecnici esperti nella costruzione di data center; ecc. Qualora sospettino attività di contrabbando o che i chip vengano nascosti, potranno ricorrere alle forze dell'ordine per ulteriori indagini. Questo processo di centralizzazione nazionale sarà supervisionato dagli ispettori dell'AISI per garantire che sia eseguito correttamente.

La localizzazione dei data center esistenti potrebbe probabilmente essere effettuata rapidamente (in pochi giorni o settimane per i cluster superiori a 1.000 equivalenti-H100) utilizzando i metodi descritti.

In realtà, la centralizzazione dei chip potrebbe richiedere più tempo, poiché potrebbe essere necessario aumentare la capacità dei data center nelle strutture che diventerebbero CCC. Non è chiaro quanto tempo ci vorrebbe, né se sarebbe fattibile in alcuni paesi, individuare tutti i cluster di, ad esempio, 100 H100. Una tale quantità di chip sarebbe vietata, ma tale divieto potrebbe essere difficile da applicare.

Una delle maggiori sfide alla fattibilità della centralizzazione dei cluster di chip consiste nel fornire agli altri Paesi la ragionevole certezza che una Parte non stia sviluppando un progetto segreto di IA con chip non dichiarati. La verifica internazionale della centralizzazione nazionale dei chip potrebbe essere utile, ma potrebbe non bastare, dato che gli sforzi di centralizzazione nazionale potrebbero essere volutamente non esaustivi.

I vincoli imposti da questo Articolo contribuiscono in modo significativo a fornire alle Parti garanzie contro il rischio di progetti segreti di IA sostenuti da governi e operanti in altri Paesi. Oltre alla supervisione dell'AISI sul processo di centralizzazione nazionale, la raccolta di informazioni e le ispezioni su richiesta trattate nell'Articolo X potrebbero essere di grande aiuto.

Le ragioni della definizione di CCC

Questo Articolo e la corrispondente definizione di CCC stabiliscono un limite di 16 equivalenti-H100. Tale soglia mira a soddisfare alcuni criteri:

• Il monitoraggio dei cluster di chip con potenza superiore a 16 H100 è compatibile con le soglie di FLOP per l'addestramento di cui all'Articolo IV. L'addestramento con 16 H100 (precisione FP8, utilizzo al 50% — parametri realistici ma ottimistici) richiederebbe 7,3 giorni per raggiungere 10^22 FLOP e 2 anni per raggiungere 10^24 FLOP. Pertanto, sarebbe fattibile utilizzare chip non dichiarati per raggiungere la soglia più bassa, ma sarebbe poco praticabile raggiungere la soglia di addestramento proibita.
• Questa soglia è verosimilmente sufficiente a impedire l'avanzamento delle capacità dell'IA, se combinata con i divieti alla ricerca sull'IA previsti dall'Articolo VIII. L'Articolo IV stabilisce restrizioni all'addestramento, in base alle quali l'addestramento su larga scala è vietato e quello su media scala è consentito ma soggetto a supervisione. È probabilmente accettabile (ossia, comporta un rischio minimo) consentire l'addestramento su piccola scala, come quello che si può effettuare con 16 H100 in un lasso di tempo realistico.
• Questa soglia ha effetti collaterali limitati per gli hobbisti e le persone comuni. Pochissimi individui possiedono più di 16 H100. A metà del 2025, 16 chip H100 costano circa 430.000 euro; non sono un bene di consumo comune. Nessuno supererà per errore la soglia solo perché possiede qualche vecchia console da gaming.
• Il censimento dei chip per l'IA diventa più difficile per numeri di chip consentiti sempre più piccoli. Trovare data center con 100.000 chip è facile; anche con 10.000 chip, probabilmente, è relativamente facile; con 1.000 non è chiaro; e con 100, potrebbe essere piuttosto difficile. Questa soglia è stata scelta in parte a causa dell'impossibilità di imporne una più bassa: persino una soglia di 16 H100 potrebbe essere difficile da far rispettare.
• È possibile che si debba rivedere questa definizione e abbassare la soglia (ad esempio, a 8 equivalenti-H100). In questo trattato, l'AISI avrebbe il compito di valutare questa definizione e di modificarla secondo necessità.

Altre considerazioni

Questo Articolo invita le parti a cercare di evitare la co-locazione di chip per l'IA con chip non-IA non ausiliari. Questo perché la co-locazione potrebbe rendere più difficile la verifica dell'uso dei chip (Articolo VII) e richiederebbe che anche questi chip non-IA fossero monitorati per implementare efficacemente la verifica dell'uso dei chip per l'IA. Tuttavia, questo non è strettamente necessario e potrebbe non essere auspicabile. Ad esempio, attualmente i chip per l'IA sono spesso co-locati con chip non-IA e il disagio di cambiare questa situazione potrebbe superare il disagio di monitorare anche i chip non-IA.

In linea con gli accordi precedenti, questo Articolo richiede che i CCC siano rapidamente accessibili agli ispettori per la verifica. In questo caso, ci sarà probabilmente un monitoraggio continuo di molte di queste strutture (Articolo VII) e l'accesso agli aeroporti potrebbe essere vantaggioso.

C'è il rischio che privati cittadini possano costruire un CCC non monitorato con chip "sfusi" equivalenti-H100. Per contrastare questo rischio, il trattato prevede che le Parti compiano "ogni ragionevole sforzo" per monitorare le vendite di chip (in quantità superiori a 1 equivalente-H100) e individuare la formazione di nuovi CCC. Potrebbero essere adottate misure più rigorose, come l'obbligo di registrare e tracciare formalmente tutti questi chip e le relative vendite. La nostra bozza non si spinge a tal punto, sia perché non prevediamo che, dopo la catalogazione di tutti i chip nei CCC, rimangano molti chip "sfusi" equivalenti a H100 non contabilizzati, sia perché altri meccanismi (come la protezione degli informatori) contribuiscono a individuare i CCC di nuova formazione.

Alternative

Invece di richiedere immediatamente la centralizzazione dei cluster di piccole dimensioni (ad esempio 100 H100), il trattato potrebbe adottare un approccio graduale. Ad esempio, nei primi 10 giorni tutti i data center con più di 100.000 chip equivalenti-H100 devono essere centralizzati e dichiarati, poi nei 30 giorni successivi tutti i data center con più di 10-000 chip equivalenti-H100 devono essere centralizzati e dichiarati, ecc.

Questo approccio graduale potrebbe allinearsi meglio con la verificabilità internazionale del rilevamento di questi cluster, man mano che i servizi di intelligence intensificano i loro sforzi. In altre parole: è probabile che all'inizio i servizi di intelligence sappiano dove si trovano i data center più grandi, ma non quelli di medie dimensioni (se non li stavano già cercando). Di conseguenza, inizialmente verrebbero dichiarati solo i data center di grandi dimensioni e poi, con il proseguire della ricerca dei chip da parte dei servizi di intelligence, la soglia si abbasserebbe.

Questo approccio potrebbe rispecchiare meglio il modo in cui la verificabilità e l'applicabilità hanno influito su ciò che è stato concordato nei precedenti accordi internazionali. Ad esempio, il Trattato sulla messa al bando parziale degli esperimenti nucleari del 1963 non vietò i test sotterranei di armi nucleari, a causa della difficoltà di rilevarli. Il team di governance tecnica del MIRI ha in programma di pubblicare un rapporto con un approccio graduale di questo tipo.

Uno svantaggio di un approccio graduale è che potrebbe offrire agli Stati maggiori opportunità per nascondere i chip e stabilire data center segreti.

Precedenti

La dichiarazione delle risorse di interesse è spesso il primo passo nei trattati restrittivi. Le Parti del Trattato navale di Washington del 1922 fornirono gli inventari delle navi da guerra e la loro dimensione, e si impegnarono a comunicarsi reciprocamente la sostituzione di queste navi. Il trattato START I del 1991 includeva un accordo riservato sullo scambio di coordinate e schematiche dei siti (nell'Articolo VIII), che prevedeva la condivisione dei dati sulla posizione di tutte le armi strategiche dichiarate. L'Articolo V, Paragrafo 3, della nostra bozza di accordo richiede alle Parti di individuare, inventariare e consolidare i cluster di chip contemplati entro 120 giorni.

Il consolidamento delle risorse per facilitare la verifica della conformità è spesso un altro passo nei trattati restrittivi. L'Articolo III dello START I vietava la collocazione congiunta di missili balistici intercontinentali (MBIC) con gli impianti di lancio spaziale, facilitando così il monitoraggio. Il Paragrafo 1.a del nostro Articolo V impegna le Parti a «evitare di co-locare chip per l'AI e hardware non-IA non ausiliario» per lo stesso motivo.

La storia dimostra che il consolidamento limita anche il potenziale di rottura degli accordi (breakout), rendendo più facile colpire le concentrazioni di beni problematici in caso di crisi di fiducia. Nel JCPOA del 2016¹² (noto anche come accordo nucleare con l'Iran), l'Iran ha accettato di mantenere operative le sue centrifughe per l'arricchimento dell'uranio in soli due siti designati (Natanz e Fordow), entrambi colpiti nel giugno 2025 da operazioni di Israele e Stati Uniti. Ciò motiva una nota che accompagna il nostro Articolo V, in cui suggeriamo alle Parti di localizzare i loro cluster di chip coperti (CCC) lontano dai centri abitati.

Il monitoraggio e le ispezioni sono componenti comuni dei trattati precedenti in contesti di fiducia limitata; abbiamo quindi redatto, ove opportuno, apposite disposizioni nei Paragrafi 1, 4, 6 e 7 di questo Articolo. Alcuni precedenti specifici:

• La verifica dello START I ha incluso centinaia di ispezioni in loco nei primi anni.
• La CAC richiede la dichiarazione e l'ispezione di tutti gli impianti di produzione di armi chimiche (ne sono stati dichiarati 97) e la maggior parte di questi è stata verificabilmente distrutta. (Nel richiedere la dichiarazione degli impianti esistenti, questi accordi proibiscono anche lo svolgimento di determinate attività al di fuori degli impianti dichiarati, analogamente al divieto, previsto da questo Articolo, per i CCC non monitorati).
• Oltre 700 impianti nucleari dichiarati in tutto il mondo sono monitorati dall'AIEA nell'ambito del TNP.

Analogamente a quanto previsto dal Paragrafo 3 di questo Articolo, numerosi accordi sul controllo degli armamenti richiedono che le Parti non interferiscano con i rispettivi MTN nel contesto della verifica del trattato. Ne sono esempi il SALT I,¹³ l'ABM,¹⁴ l'INF¹⁵ e lo START I.

Un precedente in cui le Parti limitano le industrie del proprio settore privato nazionale per adempiere agli impegni del trattato (come sarebbe necessario nel caso dell'IA) è riscontrabile nella legislazione statunitense successiva alla ratifica della CAC: il Chemical Weapons Convention Implementation Act del 1998 e i regolamenti del Dipartimento del Commercio hanno assicurato la conformità delle entità statunitensi. Allo stesso modo, il Congresso degli Stati Uniti ha emendato il Clean Air Act a seguito della ratifica del Protocollo di Montreal per vietare le sostanze che riducono lo strato di ozono.

Negli Stati Uniti, gli approcci all'implementazione della centralizzazione dei chip potrebbero basarsi sulla Takings Clause del Quinto Emendamento, in base alla quale il governo può usare il suo potere di espropriazione per pubblica utilità per acquisire proprietà privata, a condizione che paghi un adeguato indennizzo.

1. L'AISI implementerà un monitoraggio degli impianti di produzione di chip per l'IA e degli input chiave per la loro produzione. Tale monitoraggio garantirà che tutti i chip per l'IA di nuova produzione siano immediatamente tracciati e monitorati fino alla loro installazione nei CCC dichiarati e che non vengano create catene di approvvigionamento non monitorate.
   1. L'AISI monitorerà gli impianti di produzione di chip per l'IA che è stato determinato producano, o potrebbero produrre, chip per l'IA e hardware rilevante [le definizioni precise di impianti di produzione di chip per l'IA, chip per l'IA e hardware rilevante andrebbero ulteriormente dettagliate in un Allegato; anche i metodi di monitoraggio andrebbero descritti in un Allegato].
   2. Il monitoraggio dei chip per l'IA di nuova produzione includerà il monitoraggio della produzione, della vendita, del trasferimento e dell'installazione. Il monitoraggio della produzione dei chip inizierà con la fabbricazione. La serie completa di attività include la fabbricazione di memorie ad alta larghezza di banda (ALB), la fabbricazione di chip logici, il collaudo, l'imballaggio e l'assemblaggio [questa serie di attività andrebbe specificata in un Allegato].
2. Negli impianti in cui il tracciamento e il monitoraggio da parte dell'AISI non siano fattibili o implementati, la produzione di chip per l'IA sarà interrotta. La produzione di chip per l'IA potrà riprendere quando l'AISI dichiarerà che sono state implementate misure di tracciamento e monitoraggio accettabili.
3. Se un impianto di produzione di chip monitorato viene dismesso o riutilizzato, l'AISI supervisionerà tale processo e, se condotto in modo soddisfacente per l'AISI, l'obbligo di monitoraggio cesserà.
4. Nessuna Parte potrà vendere o trasferire chip per l'IA o attrezzature per la produzione di chip per l'IA, se non secondo le modalità autorizzate e tracciate dall'AISI.
   1. La vendita o il trasferimento di chip per l'IA all'interno delle Parti del Trattato o tra di esse godrà della presunzione di approvazione e sarà tracciato dall'AISI.
   2. La vendita o il trasferimento di attrezzature per la produzione di chip per l'IA all'interno delle Parti del Trattato o tra di esse non godrà della presunzione di approvazione. L'approvazione di tale trasferimento si baserà su una valutazione del rischio di sviamento o di recesso dal Trattato da parte della Parte ricevente.
   3. La vendita o il trasferimento di chip per l'IA e di attrezzature per la produzione di chip per l'IA a Stati non firmatari o a entità al di fuori di uno Stato firmatario sono soggetti a presunzione di diniego.
5. A nessuna Parte è consentito vendere o trasferire chip avanzati non-IA o attrezzature per la produzione di chip avanzati non-IA a Stati non firmatari o entità al di fuori di uno Stato firmatario, salvo autorizzazione e tracciamento da parte dell'AISI.
6. La vendita o il trasferimento di chip avanzati non-IA o di attrezzature per la produzione di chip avanzati non-IA all'interno o tra le Parti del Trattato non sono soggetti a restrizioni ai sensi del presente Articolo.

Note

La catena di approvvigionamento dei chip per l'IA è ristretta e specializzata, per cui monitorarne la produzione è fattibile. La stragrande maggioranza dei chip per l'IA è progettata da NVIDIA. I chip logici più avanzati (il processore principale) utilizzati nei chip per l'IA sono quasi tutti fabbricati da TSMC, che detiene circa il 90% della quota di mercato. La maggior parte dei chip per l'IA sono prodotti su versioni del nodo di elaborazione da cinque nanometri di TSMC, un nodo che probabilmente è supportato solo da due o tre stabilimenti di produzione. Le macchine per litografia EUV, un componente fondamentale nella produzione di chip logici avanzati, sono prodotte esclusivamente da ASML. La memoria ad alta larghezza di banda (ALB), un altro componente chiave per i chip per l'IA, è dominata da due o tre aziende. Questa catena di approvvigionamento ristretta sarebbe relativamente facile da monitorare se ci fosse la volontà di farlo.

Monitorare la produzione di chip per l'IA avrebbe ricadute relativamente limitate. Anche se alcuni dei processi utilizzati per produrre per l'IA sono gli stessi utilizzati per altri chip (ad esempio, quelli per smartphone), i chip stessi sono diversi e potrebbero essere differenziati tramite il monitoraggio. Il design dei chip cambierebbe nel tempo, ma, allo stato attuale, i chip per l'IA odierni sarebbero probabilmente identificabili grazie alla loro grande capacità ALB, ai componenti specializzati per la moltiplicazione di matrici, alla capacità di scale-out e all'interconnessione.

La ricerca futura dovrebbe concentrarsi sull'identificazione delle parti principali della catena di approvvigionamento dei chip per l'IA che sarebbero più adatte al monitoraggio. Sulla base degli attuali colli di bottiglia, un'ipotesi iniziale è quella di concentrare il monitoraggio sulla produzione di ALB, sulla fabbricazione di die logici e sulle fasi successive (ad esempio confezionamento, collaudo, assemblaggio dei server), insieme al monitoraggio di input chiave come le macchine per litografia EUV.

Questo Articolo nota che la vendita di chip all'interno degli Stati firmatari avrà una presunzione di approvazione, ma non indica la stessa presunzione per le attrezzature per la produzione di chip per l'IA. Potrebbe essere accettabile consentire la vendita diffusa di attrezzature per la produzione di chip all'interno degli Stati firmatari, ma tale questione dovrebbe probabilmente essere trattata con maggiore cautela rispetto alla vendita dei chip stessi. La vendita dei chip avrà probabilmente un effetto a breve termine, dato che il ciclo di vita dei chip per l'IA è in genere di pochi anni. Al contrario, la capacità di produzione di chip potrebbe portare a una produzione significativa di chip per molti anni a venire, e sarebbe particolarmente preoccupante se i Paesi con una produzione nazionale matura di chip per l'IA si ritirassero dal Trattato. Pertanto, suggeriamo un approccio più cauto alle attrezzature per la produzione di chip rispetto ai chip stessi.

I paragrafi 4 e 5 di questo Articolo permettono la vendita di chip per l'IA e di attrezzature per la produzione di chip alle Parti del Trattato, ma non a non-Parti o ad altre entità esterne alle Parti. In altre parole, le Parti accettano i rischi derivanti dalla produzione e dalla concentrazione dei chip, ma solo nei casi in cui i chip siano sottoposti a monitoraggio. La possibilità di produrre e possedere chip senza una risposta protettiva da parte di altri Stati emerge quindi come un incentivo positivo ad aderire al Trattato.

Di per sé, questo non impedisce agli Stati non Parte di accedere da remoto ai chip per l'IA presenti negli Stati Parte (ad esempio, tramite cloud computing o Infrastructure-as-a-Service), ma tali chip sarebbero soggetti al monitoraggio dell'AISI per garantire che non vengano utilizzati in violazione dell'Articolo IV.

Le restrizioni per gli Stati non Parte potrebbero andare oltre, se necessario. Ad esempio, a tali Stati potrebbe essere vietato l'accesso da remoto ai chip per l'IA (ossia il noleggio di chip per l'IA negli Stati Parte tramite cloud) o l'accesso a modelli di IA tramite API.

Questo Articolo sfrutta il fatto che i chip sono un input altamente escludibile per lo sviluppo dell'IA. Propone di monitorare la produzione dei chip e di garantire che non vengano contrabbandati al di fuori degli Stati Parte o verso strutture non dichiarate. Un altro approccio sarebbe quello di vietare completamente la produzione di nuovi chip per l'IA. Questo approccio comporterebbe un minor rischio di diversione dei chip, ma avrebbe il costo di perdere il valore che questi chip potrebbero generare in applicazioni di IA non legate alla ricerca e allo sviluppo. Si baserebbe comunque su un certo monitoraggio degli impianti di produzione dei chip, ad esempio per garantire che producano solo chip non-IA o che vengano dismessi. L’attuale impostazione del Trattato invita la produzione di chip a continuare, dati i grandi vantaggi che il mondo trarrebbe dal loroo utilizzo. Tuttavia, per permettere che la produzione di chip continui in sicurezza, sarebbe necessario monitorare la catena di approvvigionamento e l'utilizzo dei chip (Articolo VII). Riteniamo che entrambe queste attività siano fattibili, ma se una delle due non lo fosse, l'alternativa consisterebbe nell'interrompere del tutto la produzione di chip.

Precedenti

Le disposizioni dei trattati per il monitoraggio degli impianti di produzione non sono una novità. L'Articolo XI del Trattato INF del 1987 ha consentito per tredici anni ispezioni negli impianti designati dove in precedenza venivano prodotti sistemi di lancio nucleari a raggio intermedio; la Sezione VII del relativo protocollo di ispezione permetteva il monitoraggio continuo del perimetro e dei varchi, il che poteva includere la pesatura (e in alcuni casi l'esame ai raggi X) di qualsiasi veicolo in uscita dall'impianto abbastanza grande da trasportare un missile pertinente.

Il monitoraggio della produzione di chip per l'IA è più complicato, a causa della difficoltà di discernere la funzione e le potenzialità di un chip dalle sue caratteristiche esteriori; per questo motivo, il nostro Articolo VI stabilisce che "l'hardware rilevante dovrebbe essere descritto più dettagliatamente in un Allegato", insieme ai metodi di monitoraggio. Ma l'esperienza delle salvaguardie dell'AIEA nell'ambito del TNP dimostra che la verifica di un'ampia gamma di componenti di produzione e di precursori lungo l'intera catena di approvvigionamento è possibile. A tal fine, l'AIEA forniscedelle linee guida per la progettazione di impianti che agevolino le ispezioni e riducano i costi di adeguamento.

Gli embargo sul trasferimento di prodotti finiti, precursori e attrezzature di produzione (come quello qui suggerito per i chip per l'IA e le attrezzature avanzate per la produzione di chip per computer verso Stati non firmatari del trattato) hanno tutti precedenti significativi:

• Nell'Articolo I del TNP, ogni Stato dotato di armi nucleari si impegna a «non trasferire a chicchessia armi nucleari o altri congegni esplosivi nucleari». Nel Paragrafo 2 del suo Articolo III, si impegna altresì a non fornire «materiali grezzi o prodotti fissili speciali» o attrezzature «specialmente progettate o preparate per il trattamento, l'impiego o la produzione di prodotti fissili speciali».
• L'Articolo I della CAC impegna parimenti le parti a non «trasferire mai, direttamente o indirettamente, armi chimiche a nessuno»; il suo Articolo VII richiede loro di sottoporre i precursori elencati a specifici «divieti di produzione, acquisizione, detenzione, trasferimento e uso».
• Il Comitato di coordinamento per i controlli multilaterali sulle esportazioni (ComCo), istituito durante la Guerra Fredda, stabilì una serie coordinata di controlli sulle esportazioni dai Paesi del blocco occidentale a quelli del blocco comunista, riguardanti materiali nucleari, munizioni e prodotti industriali a duplice uso come i semiconduttori.
• Il Gruppo dei fornitori nucleari è un regime multilaterale di controllo delle esportazioni che limita la fornitura di tecnologia nucleare e ad essa correlata che potrebbe essere deviata verso programmi di armi nucleari.
• Particolarmente rilevante è la serie di controlli sulle esportazioni statunitensi che, negli ultimi due anni, si sono concentrati sui chip per l'IA e sulle attrezzature avanzate per la loro produzione, arrivando a interessare decine di Paesi.

1. Le parti accettano la verifica continua in loco di tutto l'utilizzo dei chip da parte dell'AISI presso i CCC dichiarati. I metodi utilizzati per la verifica saranno determinati e aggiornati dal Segretariato Tecnico, in conformità con la procedura descritta nell'Articolo III. Il Consiglio Esecutivo può porre il veto su tali decisioni con un voto a maggioranza dei due terzi. Tali metodi possono includere, a titolo esemplificativo ma non esaustivo:
   1. Ispettori in presenza
   2. Telecamere a prova di manomissione
   3. Misurazioni delle caratteristiche di alimentazione, termiche e di rete
   4. Meccanismi hardware integrati nel chip, compresi quelli installati a posteriori
   5. Dichiarazione dei carichi di lavoro e delle operazioni dei chip da parte dell'operatore CCC
   6. Ri-esecuzione dei carichi di lavoro dichiarati presso una struttura AISI per confermare la veridicità delle dichiarazioni
2. L'obiettivo di questa verifica sarà garantire che i chip non vengano utilizzati per attività vietate, come l'addestramento di IA su larga scala descritto nell'Articolo IV.
3. Nei casi in cui l'AISI ritenga che gli attuali metodi di verifica non possano fornire garanzie sufficienti che l'hardware per l'IA non venga utilizzato per attività vietate, tale hardware deve essere spento e la sua inoperatività deve essere continuamente verificata da ispettori in loco o da altri meccanismi di verifica approvati dall'AISI.
4. L'AISI può imporre varie restrizioni sul funzionamento dei chip al fine di garantire una verifica adeguata. Tali restrizioni possono includere, a titolo esemplificativo ma non esaustivo:
   1. Restrizioni sulla larghezza di banda e sulla latenza tra chip diversi, o tra chip e la rete del loro data center, per distinguere l'inferenza consentita dall'addestramento vietato.
   2. Restrizioni sul numero o sulla velocità di FLOP/s o sulla larghezza di banda della memoria a cui i chip possono operare, per distinguere l'inferenza consentita dall'addestramento vietato o da altri carichi di lavoro vietati.
   3. Restrizioni sulla precisione numerica delle operazioni dei chip, per differenziare i carichi di lavoro per l'IA da quelli non-IA.
5. L'AISI adotterà un approccio differenziato alla verifica dei diversi CCC, in base alla loro probabilità di essere utilizzati per attività legate all'IA e alla loro sensibilità in relazione alla sicurezza nazionale.
6. L'AISI guiderà la ricerca e lo sviluppo di tecnologie migliori per il monitoraggio e la verifica dell'uso dei chip. Le parti sosterranno questi sforzi [maggiori dettagli saranno forniti in un Allegato].

Note

I Paesi vorranno assicurarsi che i chip per l'IA esistenti non vengano utilizzati per l'addestramento di IA pericoloso. Ci saranno anche ragioni legittime per utilizzare questi chip per l'esecuzione di servizi di IA esistenti come (le versioni già esistenti di) ChatGPT. Per gestire questa tensione, l'AISI può applicare misure di verifica ai chip per l'IA per garantire che non siano impiegati in attività proibite.

Ciò costituisce quindi un incentivo positivo per l'adesione al Trattato: si possono continuare a usare i chip per l'IA, a condizione che un'attività di supervisione possa verificare che non vengano utilizzati in modo da violare il Trattato (ad esempio per l'addestramento di IA su larga scala). Sebbene il monitoraggio continuo da parte dell'AISI possa sembrare sgradevole, riteniamo che sia la migliore soluzione disponibile. Dato l'obiettivo di impedire l'addestramento di IA su larga scala, esistono due approcci principali: assicurarsi che nessuno disponga dell'hardware necessario (cioè che i chip per l'IA non possano esistere), oppure assicurarsi che l'hardware esistente non venga utilizzato per l'addestramento su larga scala (ovvero il tracciamento e la verifica dell'uso dei chip, come descritto negli Articoli V, VI e VII). Ciò è concettualmente analogo alle salvaguardie dell'AIEA: affinché un Paese non dotato di armi nucleari sia autorizzato a disporre di materiali e impianti nucleari, è necessario che l'AIEA effettui ispezioni per garantire che il loro uso sia limitato a scopi pacifici.

Affinché la verifica dell'uso dei chip sia efficace, l'AISI necessita di meccanismi che forniscano garanzie credibili del fatto che i chip per l'IA non vengano utilizzati in modi proibiti da questo Trattato. La soluzione più semplice consisterebbe nel richiedere lo spegnimento di tutti i chip, ma ciò impedirebbe alle Parti di beneficiare dell'uso dei chip per scopi non pericolosi. La verifica potrebbe essere facilitata anche da mezzi tecnologici, con la riserva che la tecnologia attuale probabilmente presenta vulnerabilità di sicurezza che consentirebbero ai proprietari dei chip di eludere le misure di monitoraggio. Dato l'attuale stato embrionale della tecnologia di verifica, quest'ultima richiederebbe probabilmente un monitoraggio continuo in loco, oppure lo spegnimento dei chip fino alla maturazione dei mezzi tecnologici. Tuttavia, una volta che la tecnologia di monitoraggio sarà matura, solidi meccanismi di governance basati sull'hardware potrebbero consentire il monitoraggio remoto e affidabile dei chip.¹⁶

Varie restrizioni e limiti potrebbero rendere più facile monitorare l'uso dei chip. I diversi carichi di lavoro legati all'IA, quali l'addestramento e l'inferenza, hanno requisiti tecnici differenti, e queste differenze potrebbero potenzialmente costituire la base per la verifica (se fossero sufficientemente robuste).

Per esempio, un meccanismo di verifica potrebbe consistere nel porre dei limiti all'interconnessione: limitare la quantità di comunicazione che un certo insieme di chip può avere con il mondo esterno usando cavi di rete a bassa larghezza di banda. In pratica, si prende un piccolo gruppo di chip — diciamo 8 H100 — e si limita la loro comunicazione esterna a un livello talmente basso da permettere ai chip di eseguire solo inferenze in modo efficiente, ma non di essere usati efficientemente per l'addestramento su larga scala. Questo funziona perché (con gli algoritmi del 2025) l'addestramento ha requisiti di comunicazione molto più elevati rispetto all'inferenza. Questo meccanismo sarebbe utile se l'esecuzione delle IA esistenti fosse accettabile, mentre non lo fosse l'addestramento di nuove IA.

Ci sono varie sfumature in questi meccanismi e molti altri potenziali meccanismi di verifica, quindi rimandiamo i lettori curiosi ai precedentilavorisull'argomento. Questo Articolo affida all'AISI il compito di sviluppare meccanismi di verifica migliori e di implementarne di diversi, definiti in senso lato. Riteniamo che questa flessibilità sia necessaria a causa della rapida evoluzione del settore dell'IA e della difficoltà di prevedere sviluppi che potrebbero invalidare i metodi di verifica. Inoltre, lo stato della ricerca sulla verifica dell'IA è nascente, e sono necessari ulteriori progressi prima che l'AISI possa disporre di un solido insieme di strumenti.

L'Articolo IV vieta l'addestramento su larga scala delle IA. Se al momento dell'entrata in vigore della verifica non fossero ancora state addestrate IA altamente potenti (e quindi pericolose), la verifica potrebbe concentrarsi specificamente sull'addestramento. Tuttavia, qualora fossero già state create IA sufficientemente potenti, potrebbe essere necessario monitorare anche se vengano implementate su chip per l'IA o quali attività svolgano: la verifica non potrebbe più concentrarsi sulla prevenzione dell'addestramento. La verifica sarebbe molto più difficile se fossero stati creati sistemi di IA sufficientemente pericolosi (ad esempio, quelli che potrebbero contribuire in modo sostanziale alla ricerca e sviluppo nel campo dell'IA), poiché verificare che non svolgano attività proibite sarebbe più difficile che verificare che non si stia effettuando un addestramento di IA su larga scala. Concretamente, sarà probabilmente più facile distinguere tra l'addestramento e l'esecuzione delle IA che tra l'esecuzione di IA per un tipo di compito e per un altro. A causa di questa differenza nella difficoltà di verifica, l'attuazione di questo Trattato sarebbe molto più semplice in un mondo in cui il progresso delle capacità dell'IA si arrestasse presto. Se invece tale progresso dovesse continuare, la verifica dell'uso dei chip potrebbe richiedere più lavoro, spese e restrizioni.

Allo stesso modo, potrebbe essere auspicabile monitorare il contenuto dell'inferenza dell'IA per assicurarsi che le IA non vengano usate per scopi dannosi. Questo tipo di monitoraggio è già applicato oggi da molte aziende del settore, ad esempio per rilevare se gli utenti stiano cercando di usare le IA per creare armi biologiche. Potrebbe essere auspicabile applicare un monitoraggio simile a livello globale, a condizione che i relativi rischi per la privacy e la sicurezza possano essere mitigati.

Il Paragrafo 5 di questo Articolo consente all'AISI di utilizzare metodi di verifica diversi per CCC diversi. Una delle ragioni di questa discriminazione è di ordine pratico: CCC diversi richiederanno approcci di verifica diversi al fine di stabilire con fondata fiducia che non vengano utilizzati per lo sviluppo di IA pericolose. Per esempio, i grandi data center che in precedenza venivano usati per l'addestramento di IA di frontiera avrebbero maggiore potenzialità di contribuire all'addestramento proibito, quindi per loro potrebbe essere richiesto un monitoraggio più intenso.

In secondo luogo, una discriminazione negli approcci di verifica renderebbe il trattato più accettabile, richiedendo un monitoraggio meno invasivo per i CCC sensibili. Ad esempio, se le agenzie di intelligence o le forze armate non vogliono alcun monitoraggio dei loro data center da parte dell'AISI, e questa disposizione aiuta a trovare un equilibrio. Sarebbe comunque necessario verificare che tali data center non vengano utilizzati per attività di IA pericolose, e l'AISI collaborerebbe con questi gruppi per assicurarsi di ottenere le informazioni necessarie, rispettando al contempo le esigenze di privacy e sicurezza dei proprietari dei CCC. D'altra parte, consentire protocolli di verifica diversi potrebbe compromettere la sostenibilità del trattato se questi fossero considerati iniqui, soprattutto se il relativo processo decisionale risultasse sbilanciato.

Il piano esposto in questo trattato prevede di consentire la continuazione dell'uso e della produzione di chip. Questo permette al mondo di beneficiare di questi chip. Un approccio alternativo consiste nel fermare la produzione di nuovi chip e/o distruggere quelli esistenti. Se i chip venissero distrutti, in assenza di progressi algoritmici, il tempo di breakout (cioè il tempo che intercorre tra l'inizio di attività pericolose da parte di un attore e il momento in cui queste avrebbero successo se non venissero fermate) si allungherebbe, perché gli attori dovrebbero prima produrre molti chip di IA (il che sarebbe probabilmente rilevabile e potrebbe richiedere anni o decenni, a seconda dello stato della catena di fornitura dei chip). Pertanto, la distruzione dei chip comporterebbe il vantaggio significativo di tempi di breakout molto più lunghi e una maggiore difficoltà nello sviluppo di IA pericolose. Tuttavia, comporterebbe anche un costo notevole, non consentendo al mondo di beneficiare di questi chip. Poiché riteniamo fattibile tracciare i chip e verificarne l'utilizzo, la nostra bozza di trattato segue questa strada piuttosto che quella dell'eliminazione dei chip per l'IA. Entrambe le strade, però, hanno i loro meriti.

Precedenti

Quando abbiamo parlato dei precedenti per l'Articolo VI, abbiamo descritto il monitoraggio continuo degli ex siti di produzione di missili a medio raggio nell'ambito del trattato INF, che, pur permettendo la pesatura e la scansione non distruttiva dei veicoli in uscita dagli impianti, non consentiva agli ispettori di entrare nei camion o nei siti stessi. Un monitoraggio perimetrale analogo dei data center può fornire alcuni indizi sulle operazioni in base al consumo energetico, alle emissioni termiche e alla larghezza di banda della rete. Tuttavia, per avere una ragionevole certezza che non si verifichino operazioni di IA soggette a restrizioni, sarà probabilmente necessaria una combinazione degli elementi elencati al Paragrafo 1 del nostro Articolo VII, che include telecamere a prova di manomissione, meccanismi hardware integrati nel chip, e ispettori in loco.

Tali pratiche sono già prassi di routine per l'Agenzia internazionale per l'energia atomica, che fa sempre più ricorso a tecnologie di sorveglianza attive 24 ore su 24 per integrare le ispezioni:

Oltre un milione di dati crittografati sulle salvaguardie vengono raccolti da oltre 1400 telecamere di sorveglianza e 400 sensori di radiazioni e di altro tipo in tutto il mondo. Più di 23.000 sigilli installati negli impianti nucleari garantiscono il contenimento di materiali e attrezzature.

Uno dei metodi usati nell'ambito dello START I per verificare la conformità alle caratteristiche prestazionali dei missili era la condivisione di quasi tutti i dati telemetrici trasmessi dai sensori di volo durante i test, come specificato nel protocollo telemetrico, che richiedeva anche alle parti di fornire qualsiasi apparecchiatura di riproduzione e informazioni sulla formattazione dei dati necessarie per interpretarli. A seconda della combinazione di metodi di verifica adottati, un'agenzia internazionale di superintelligenza può utilizzare metodi analoghi, basandosi sul monitoraggio leggero, che è prassi comune per i fornitori di cloud computing per la raccolta di informazioni sui carichi di lavoro dei clienti.

Il monitoraggio continuo da parte del governo delle strutture commerciali private (come la maggior parte dei data center) ha anche numerosi precedenti. La Commissione per la regolamentazione nucleare degli Stati Uniti, incaricata di supervisionare la sicurezza dei reattori nucleari nazionali, disloca due ispettori residenti in ogni centrale elettrica commerciale degli Stati Uniti, e i produttori di carne statunitensi non possono effettuare operazioni di macellazione se il personale di ispezione del FSIS¹⁷ non è sul posto per supervisionarle.

1. Al fine di prevenire ricerche specifiche che facciano avanzare la frontiera delle capacità dell'IA o che compromettano la capacità delle Parti di implementare le misure del presente Trattato, questo Trattato designa come "Ricerca Soggetta a Restrizioni" la ricerca che soddisfa una qualsiasi delle seguenti condizioni:
   1. Miglioramenti ai metodi utilizzati per creare modelli all'avanguardia, come definiti nell'Articolo II, che migliorerebbero le capacità dei modelli o l'efficienza dello sviluppo, dell'implementazione o dell'uso dell'IA
   2. Metodi di addestramento distribuiti o decentralizzati, o metodi di addestramento ottimizzati per l'uso su hardware ampiamente disponibile o di consumo
   3. Ricerca su paradigmi di intelligenza artificiale che vadano oltre l'apprendimento automatico
   4. Progressi nella fabbricazione di chip o componenti di chip rilevanti per l'IA
   5. Progettazione di chip per l'IA più performanti o più efficienti
2. La divisione Controlli sulla Ricerca dell'AISI classificherà tutte le attività di Ricerca Soggetta a Restrizioni come Controllate o Vietate.
   1. Ciascuna Parte monitorerà tutte le attività di Ricerca Controllata all'interno della propria giurisdizione e adotterà misure per garantire che tutte le ricerche controllate siano monitorate e messe a disposizione della divisione Controlli sulla Ricerca a fini di revisione e monitoraggio.
   2. Ciascuna Parte non condurrà alcuna Ricerca Vietata, e ne proibirà e preverrà la conduzione da parte di qualsiasi entità all'interno della propria giurisdizione.
3. Nessuna Parte assisterà, incoraggerà o condividerà ricerche vietate, anche tramite finanziamento, approvvigionamento, ospitamento, supervisione, insegnamento, pubblicazione, fornitura di strumenti o chip controllati, o facilitazione di collaborazioni.
4. Ciascuna Parte nominerà un rappresentante presso la divisione Controlli sulla Ricerca dell'AISI, in seno al Segretariato Tecnico (istituito nell'Articolo III). A tale divisione sono attribuite le seguenti responsabilità:
   1. Interpretare e chiarire le categorie di Ricerca Soggetta a Restrizioni e rispondere alle domande sui confini di tale ricerca, in risposta a nuove informazioni e alle richieste di ricercatori, organizzazioni o membri delle Parti.
   2. Interpretare e chiarire il confine tra Ricerca Controllata e Ricerca Vietata, e rispondere alle domande su tale confine, in risposta a nuove informazioni e alle richieste di ricercatori, organizzazioni o membri delle Parti.
   3. Modificare la definizione di Ricerca Soggetta a Restrizioni e sue categorie, in risposta al mutare delle condizioni o a richieste da parte di ricercatori, organizzazioni o membri delle Parti.
   4. Modificare il confine tra Ricerca Controllata e Ricerca Vietata in risposta al mutare delle condizioni o a richieste da parte di ricercatori, organizzazioni o membri delle Parti.
   5. Il Consiglio Esecutivo potrà porre il veto su qualsiasi modifica alla Ricerca Soggetta a Restrizioni o alle categorie e classificazioni al suo interno con una maggioranza dei due terzi, come descritto nell'Articolo III.

Note

Sarà difficile vietare diverse ampie categorie di ricerca, dato che le conoscenze tecniche necessarie sono già diffuse nel settore privato. Nella nostra proposta, la ricerca è soggetta a restrizioni se accresce le capacità o le prestazioni dell'IA, o se mette a rischio il sistema di verifica definito negli Articoli precedenti.

Alcune ricerche devono essere vietate per impedire l'avanzamento delle capacità dell'IA, anche mantenendo costante la quantità di FLOP usata per l'addestramento. Questo divieto dovrebbe coprire tutte le ricerche che potrebbero rendere l'addestramento delle IA più efficiente o che potrebbero accrescerne le capacità. Questo viene spesso definito "progresso algoritmico". Nei paradigmi attuali, ciò include progressi negli algoritmi usati nel pre-addestramento, nel post-addestramento e al momento dell'inferenza. Con il mutare dei paradigmi, queste distinzioni potrebbero diventare meno nette e potrebbero sorgere nuove categorie. Per questo motivo, il trattato fa riferimento a "sviluppo, impiego o uso".

I precedenti miglioramenti algoritmici, come il trasformatore, dimostrano il potenziale per enormi e rapidi progressi sulla frontiera delle capacità dell'IA: i nuovi algoritmi possono trasformare il modo in cui l'IA funziona. Inoltre, paradigmi innovativi potrebbero ridurre drasticamente la quantità di risorse computazionali necessaria per un dato livello di capacità dell'IA. Ad esempio, le IA moderne sono molto meno efficienti in termini di dati rispetto agli esseri umani, il che suggerisce che esistano algoritmi molto più efficienti in termini di dati, che aspettano solo di essere scoperti.

Altre ricerche devono essere vietate affinché non riducano i requisiti computazionali per l'addestramento di IA pericolose, fino a che queste non possano essere addestrate con un piccolo numero di chip per l'IA (o con molti chip distribuiti in piccoli cluster presso numerose località), il che ostacolerebbe gli sforzi di monitoraggio.

Inoltre, questo divieto deve estendersi alla ricerca di nuovi modi per produrre chip per l'IA non tracciabili, poiché il regime di monitoraggio è realizzabile in gran parte grazie all'attuale complessità e centralizzazione della produzione di semiconduttori avanzati per l'IA.

Questo Articolo vieta anche la ricerca sulla progettazione di chip per l'IA più performanti o efficienti, che altrimenti diventerebbero sostanzialmente più efficienti di anno in anno. Un data center che utilizza chip per l'IA più efficienti sarebbe più facile da nascondere, poiché questi chip consumerebbero meno elettricità a parità di prestazioni o per prestazioni superiori.

I tipi specifici di ricerca soggetti a restrizioni dovranno essere aggiornati nel tempo. Un esempio di attività che l'AISI potrebbe voler limitare in futuro è la ricerca su un migliore hardware di calcolo non-IA, se tali progressi dovessero rappresentare un rischio per la verifica.

Gli sforzi nazionali per limitare la ricerca potrebbero iniziare concentrandosi sulla pubblicazione e sul finanziamento della ricerca. Il cambiamento delle leggi e delle norme sociali sarebbe probabilmente molto efficace nel convincere la maggior parte dei ricercatori a interrompere le ricerche pericolose. La diversità di azioni soggette a restrizioni nel Paragrafo 3 risponde alla necessità di garantire che, se le attività di ricerca sono suddivise tra più giurisdizioni, il trattato continui ad attribuire inequivocabilmente a ogni Stato la responsabilità di proibire e prevenire le singole attività. Questo si applica, per esempio, al caso in cui un'azienda in una giurisdizione assuma un dipendente in una seconda che opera da remoto su chip ospitati in una terza.

Precedenti

Le restrizioni preventive alla diffusione di informazioni relative a tecnologie pericolose trovano un precedente nell'Atomic Energy Act del 1946, tuttora in vigore, che classificò come dati riservati le informazioni su determinati argomenti (la dottrina del "born secret"); le eccezioni erano a discrezione della Commissione per l'Energia Atomica, istituita da questa stessa legge:¹⁸

Con l'espressione "dati riservati", ai sensi di questa sezione, si intendono tutti i dati riguardanti la fabbricazione o l'utilizzo di armi atomiche, la produzione di materiale fissile o l'impiego di materiale fissile nella produzione di energia; l'espressione non include tuttavia i dati che la Commissione, di volta in volta, stabilisca possano essere pubblicati senza pregiudicare la difesa e la sicurezza comuni.

A differenza di altri tipi di classificazione governativa, i dati riservati possono essere creati (deliberatamente o accidentalmente) dal settore privato, una questione di costituzionalità irrisolta¹⁹ che evidenzia la necessità di un organo di regolamentazione autorizzato e capace di prendere decisioni quotidiane sui confini esatti dei dati riservati. La National Nuclear Security Administration (NNSA) svolge questo compito per i segreti nucleari negli Stati Uniti. Ai sensi del nostro Articolo VIII, Paragrafo 5, la divisione per il Controllo sulla Ricerca della nuova AISI assumerebbe questo ruolo per la ricerca sull'IA soggetta a restrizioni. Svolgerebbe anche altre funzioni analoghe a quelle della NNSA, delineate nel nostro Articolo IX, attraverso: (1) il mantenimento dei rapporti con ricercatori e organizzazioni che lavorano a progetti che si avvicinano alla soglia di classificazione, e (2) la creazione di un'infrastruttura sicura per la segnalazione e il contenimento di scoperte involontarie.

Esistono precedenti anche per il contenimento e il controllo della ricerca in campi pericolosi. Negli ultimi mesi della seconda guerra mondiale, il Regno Unito e gli Stati Uniti collaborarono alla missione Alsos per catturare gli scienziati nucleari tedeschi, raccogliere informazioni sui progressi della Germania verso la bomba atomica, e impedire all'URSS di ottenere queste risorse per il proprio programma nucleare. Il Progetto Overcast (noto anche come Operazione Paperclip) fu un programma segreto statunitense per impiegare ingegneri missilistici tedeschi al termine della guerra.

Il contenimento della ricerca riservata sull'IA all'interno degli Stati Parte potrebbe avvenire attraverso i quadri normativi esistenti. Negli Stati Uniti, questi includono:

• Il concetto di "esportazioni presunte" nella normativa sul controllo delle esportazioni, che obbliga un'entità statunitense a ottenere una licenza di esportazione dal Bureau of Industry and Security²⁰ prima di condividere tecnologie controllate con soggetti stranieri, poiché tale condivisione è considerata un'esportazione.
• Le International Traffic in Arms Regulations (ITAR), un insieme di regolamenti del Dipartimento di Stato degli Stati Uniti che controllano l'esportazione di tecnologie militari e di alcune tecnologie a duplice uso. Fino al 1996, l'ITAR è stato utilizzato per impedire un più ampio sviluppo e utilizzo delle tecniche di crittografia da parte del settore privato, poiché queste erano classificate come "articoli di difesa" nella United States Munitions List.
• L'Invention Secrecy Act del 1951, che conferisce alle agenzie governative statunitensi il potere di imporre "ordini di segretezza" sulle nuove domande di brevetto con implicazioni per la sicurezza nazionale. Agli inventori non solo può essere negato il brevetto, ma è anche legalmente vietato loro divulgare, pubblicare o persino utilizzare le loro invenzioni.²¹

Il Progetto Overcast offre anche un precedente per controllare i ricercatori, retribuendoli generosamente affinché agiscano nell'interesse dello Stato. Un ulteriore precedente per tali incentivi è trattato nell'Articolo IX.

1. Ogni Parte deve creare o conferire poteri a un'agenzia nazionale con le seguenti responsabilità:
   1. Tenersi aggiornata e mantenere i contatti con i ricercatori e le organizzazioni nazionali che lavorano in settori affini alla Ricerca Soggetta a Restrizioni, al fine di comunicare le categorie di Ricerca Soggetta a Restrizioni stabilite nell'Articolo VIII.
   2. Imporre sanzioni per dissuadere i ricercatori e le organizzazioni nazionali dal condurre Ricerca Soggetta a Restrizioni. Tali sanzioni dovranno essere proporzionate alla gravità della violazione e concepite come un deterrente efficace. Ciascuna Parte dovrà promulgare o modificare le disposizioni di legge necessarie per consentire l'imposizione di tali sanzioni.
   3. Istituire infrastrutture sicure per la segnalazione e il contenimento di scoperte involontarie che soddisfano le condizioni per la Ricerca Soggetta a Restrizioni. Tali segnalazioni saranno condivise con la divisione per il Controllo sulla Ricerca.
2. Per agevolare la verifica internazionale dei divieti di ricerca, la divisione Controllo sulla Ricerca svilupperà e implementerà meccanismi di verifica.
   1. Tali meccanismi potrebbero includere, a titolo esemplificativo ma non esaustivo:
      1. Colloqui dell'AISI con ricercatori che hanno lavorato in passato su argomenti di Ricerca Soggetta a Restrizioni o che attualmente lavorano in settori adiacenti.
      2. Monitoraggio dello stato occupazionale e dell'ubicazione dei ricercatori che hanno lavorato in passato su argomenti di Ricerca Soggetta a Restrizioni o che attualmente lavorano in settori adiacenti.
      3. Mantenimento di revisori interni dell'AISI in organizzazioni selezionate ad alto rischio (ad esempio, progetti difficili da distinguere dalla Ricerca Soggetta a Restrizioni, ex organizzazioni di ricerca sull'IA).
   2. Le Parti collaboreranno all'implementazione di questi meccanismi di verifica.
   3. Le informazioni ottenute attraverso questi meccanismi di verifica saranno raccolte in relazioni per il Consiglio Esecutivo, garantendo la massima riservatezza delle informazioni sensibili al fine di proteggere la privacy e le informazioni riservate di individui e Parti.

Note

Oltre alle regole dell'Articolo VIII, i Paesi verificheranno che non vengano condotte ricerche vietate sull'IA. Un aspetto chiave di questo approccio consiste nello stabilire "aree adiacenti alla Ricerca Soggetta a Restrizioni" e poi nello stabilire relazioni con i ricercatori che lavorano in tali aree. Il numero di ricercatori di punta nel campo dell'IA a livello mondiale è sufficientemente basso da rendere fattibile il monitoraggio delle attività di una frazione significativa di essi. Il solo personale tecnico delle principali aziende di IA ammonterebbe a circa 5.000 ricercatori, mentre il numero di partecipanti alle più importanti conferenze sull'IA sarebbe dell'ordine di 70.000. È opinione comune che un gruppo molto più piccolo sia cruciale per lo sviluppo dell'IA di frontiera, probabilmente nell'ordine delle centinaia.²² Gli Stati potrebbero anche contattare i ricercatori in merito alle loro attività e offrire asilo e incentivi finanziari a eventuali informatori (si veda l'Articolo X).

Sebbene sia già pubblicamente disponibile una notevole conoscenza tecnica sulle attuali pratiche di sviluppo dell'IA, che un attore malintenzionato potrebbe sfruttare, riteniamo che le restrizioni legali e le verifiche avrebbero un impatto profondo sul progresso generale del settore.

Se il monitoraggio fosse esteso ai ricercatori e agli ingegneri coinvolti nella progettazione e nella produzione di semiconduttori, ciò aumenterebbe notevolmente la portata del monitoraggio richiesto. Ove ciò non fosse fattibile, gli Stati potrebbero monitorare le aziende piuttosto che i singoli individui, sfruttando la complessità e la portata della produzione di semiconduttori avanzati.

Il Paragrafo 2 di questo Articolo stabilisce un regime di maggiore trasparenza che facilita la verifica del divieto di ricerca. Tali misure di cooperazione mirano a fornire alle Parti le garanzie di cui hanno bisogno. Prevediamo che le Parti si adopereranno per trovare, attraverso lo sviluppo di meccanismi specifici, un livello di trasparenza che infonda fiducia nel divieto di ricerca, riducendo al minimo i costi per gli interessi statali e la privacy personale. La verifica di un divieto di ricerca è un'impresa complessa e delicata che richiederà uno sforzo continuo e iterativo.

Le Parti potrebbero essere preoccupate dalla possibilità che altre Parti promulghino divieti di ricerca a livello nazionale, per poi violarli con attività governative segrete celate ai servizi di intelligence stranieri. La ricerca che violerebbe i divieti può variare in scala, ed è probabile che gli sforzi su larga scala (che coinvolgono molti ricercatori e chip rilevanti per l'IA) sarebbero facilmente rilevabili da attori statali determinati. Ma gli sforzi su scala ridotta, come lo sviluppo di paradigmi alternativi di intelligenza artificiale, potrebbero richiedere solo pochi ricercatori e hardware di uso comune. Sarà difficile assicurare alle altre Parti che tali sforzi non vengano celati. La combinazione di raccolta di informazioni (Articolo X) e meccanismi di verifica da parte dell'AISI potrebbe essere sufficiente. Sottolineiamo inoltre l'importanza di proteggere gli informatori (Articolo X).

Precedenti

Tra le agenzie esistenti con il potere di "mantenere la consapevolezza e le relazioni con i ricercatori e le organizzazioni nazionali" a rischio di sviluppare informazioni soggette a restrizioni, come previsto dall'Articolo IX (1.a.), figurano il DOE e la NNSA, già trattati nei precedenti per l'Articolo VIII.

Un precedente per il "monitoraggio dello stato occupazionale e dell'ubicazione dei ricercatori" in settori ad alto rischio, come da noi suggerito nel Paragrafo 2.(a).(ii), è costituito dall'International Science and Technology Center (ISTC).²³ Istituito nel 1994, l'ISTC fu creato appositamente per ridurre i rischi di proliferazione nucleare, mantenendo i ricercatori nucleari sovietici proficuamente impiegati in attività pacifiche e connessi alla comunità scientifica internazionale. L'ISTC dimostra inoltre il potenziale degli incentivi quale complemento alle sanzioni, per evitare che gli esperti tecnici (che potrebbero trovarsi disoccupati a seguito di questo trattato) intraprendano una Ricerca Soggetta a Restrizioni.

Nella misura in cui le sanzioni debbano essere severe per garantire la deterrenza indicata nell'Articolo IX.1.(b), si può trovare un modello nel capitolo sull'applicazione (18) dell'Atomic Energy Act del 1946, in base al quale la condivisione non autorizzata di Dati Soggetti a Restrizioni può essere punita con la morte o la reclusione se la divulgazione è avvenuta con intento di tradimento.²⁴

Nello sviluppo di un'infrastruttura sicura dell'AISI "per la segnalazione e il contenimento di scoperte involontarie di Ricerca Soggetta a Restrizioni", precedenti e modelli potenzialmente utilizzabili sono reperibili nelle ampie procedure del DOE per la gestione di diverse categorie di dati sensibili. Anche il Sistema di Segnalazione e Trattamento delle Occorrenze del DOE, così come le istruzioni del Comitato per i Sistemi di Sicurezza Nazionale²⁵ per la fuga di informazioni classificate, possono rivelarsi utili.

La divisione per il Controllo della Ricerca del nostro trattato potrebbe ispirarsi alle pratiche esistenti dell'AIEA per sviluppare i protocolli di ispezione. Nel quadro del Protocollo Aggiuntivo Modello, approvato nel 1997 dal Consiglio dei Governatori dell'AIEA, gli Stati che hanno stipulato accordi di salvaguardia globali²⁶ consentono ispezioni di accesso complementare volte a individuare materiale nucleare non dichiarato. Nell'ambito di tali visite, gli ispettori possono sottoporre gli operatori a colloquio, come previsto dalla nostra proposta al Paragrafo IX.2.a.i.

Proponiamo anche di "mantenere revisori interni dell'AISI in organizzazioni selezionate ad alto rischio", proprio come oggi gli uffici locali del DOE e della NNSA hanno sede presso i laboratori nucleari nazionali e gli impianti di produzione gestiti da appaltatori.

Per "proteggere la privacy e i segreti di individui e Parti" durante le verifiche, come richiesto dal Paragrafo 2(c) del presente Articolo, la divisione per il Controllo della Ricerca dell'AISI potrebbe adattare le pratiche di compartimentazione dalle agenzie di intelligence esistenti delle Parti e dagli accordi multilaterali di condivisione dell'intelligence. Ad esempio, in base alla "regola della terza parte" o al "principio del controllo dell'originatore" considerati pratica comune in tali accordi, è vietato divulgare informazioni condivise a terzi (potenzialmente anche agli organi di vigilanza) senza l'autorizzazione dell'agenzia di origine.

1. Una fonte fondamentale di informazioni per l'AISI è costituita dalle attività indipendenti di raccolta informazioni delle Parti. Pertanto, la divisione Consolidamento delle Informazioni (Articolo III) riceverà tali informazioni.
   1. La divisione Consolidamento delle Informazioni adotterà le opportune precauzioni per proteggere i segreti commerciali, industriali, di sicurezza e di Stato e le altre informazioni riservate di cui venga a conoscenza nell'attuazione del Trattato, incluso il mantenimento di canali di segnalazione sicuri, riservati e, facoltativamente, anonimi.
   2. Per garantire il rispetto delle disposizioni del presente Trattato, ciascuna Parte utilizzerà i Mezzi Tecnici Nazionali (MTN) di verifica a sua disposizione in modo conforme ai principi generalmente riconosciuti del diritto internazionale.
      1. Ciascuna Parte si impegna a non interferire con i Mezzi Tecnici Nazionali di verifica delle altre Parti che operano in conformità con quanto sopra.
      2. Ciascuna Parte si impegna a non ricorrere a misure deliberate di occultamento che impediscano la verifica, tramite Mezzi Tecnici Nazionali, del rispetto delle disposizioni del presente Trattato.
      3. Le Parti sono incoraggiate, ma non obbligate, a collaborare per individuare attività pericolose legate all'IA nei paesi che non sono Parti. Le Parti sono incoraggiate, ma non obbligate, a sostenere i MTN delle Parti rivolti ai paesi che non sono Parti, nella misura in cui sono rilevanti ai fini del presente Trattato.
2. Una fonte chiave di informazioni per l'AISI sono le persone che forniscono all'AISI prove di attività pericolose legate all'IA. Queste persone sono soggette a misure di protezione per gli informatori.
   1. Questo Articolo stabilisce protezioni, incentivi e assistenza per le persone ("Informatori Tutelati") che, in buona fede, forniscono all'AISI o a una Parte informazioni credibili riguardanti violazioni effettive, tentate o pianificate del presente Trattato o altre attività che comportano un grave rischio di estinzione umana, tra cui chip nascosti, data center non dichiarati, addestramento o ricerca proibite, evasione della verifica o falsificazione delle dichiarazioni. Gli Informatori Tutelati includono dipendenti, appaltatori, funzionari pubblici, fornitori, ricercatori e altre persone in possesso di informazioni rilevanti, nonché le Persone Associate (familiari e collaboratori stretti) che assistono o sono a rischio a causa della divulgazione.
   2. Le Parti devono vietare e prevenire ritorsioni contro gli Informatori Tutelati e le Persone Associate, tra cui, a titolo esemplificativo ma non esaustivo: licenziamento, retrocessione, inserimento in liste nere, perdita di benefici, molestie, intimidazioni, minacce, azioni civili o penali, revoca del visto, violenza fisica, reclusione, restrizione della libertà di movimento o altre misure avverse. Qualsiasi clausola contrattuale (compresi gli accordi di non divulgazione o di non denigrazione) che miri a limitare le divulgazioni protette ai sensi del presente Trattato sarà nulla e inapplicabile. Il maltrattamento degli informatori costituirà una violazione del presente Trattato e sarà trattato ai sensi dell'Articolo XI, Paragrafo 3.
   3. L'AISI deve mantenere canali di segnalazione sicuri, riservati e, facoltativamente, anonimi. Le Parti devono istituire canali nazionali interoperabili con il sistema dell'AISI. L'AISI e le Parti devono proteggere l'identità degli Informatori Tutelati e delle Persone Associate, e possono rivelarla solo quando strettamente necessario e previa adozione di adeguate misure di protezione. La divulgazione non autorizzata delle identità protette costituirà una violazione del presente Trattato e sarà trattata ai sensi dell'Articolo XI, Paragrafo 3.
   4. Le Parti devono offrire asilo o protezione umanitaria agli Informatori Protetti e alle loro famiglie, fornire documenti di salvacondotto e coordinare un transito sicuro.
3. L'AISI può condurre ispezioni a sorpresa di siti sospetti sulla base di informazioni credibili riguardo ad attività pericolose legate all'intelligenza artificiale.
   1. Le Parti possono richiedere all'AISI di effettuare un'ispezione a sorpresa. Il Consiglio Esecutivo, sia su richiesta che sulla base dell'analisi fornita dalla divisione Consolidamento delle Informazioni, prenderà in esame le informazioni disponibili al fine di richiedere ulteriori informazioni a Parti o a non-Parti, proporre un'ispezione a sorpresa, o decidere che non è giustificata alcuna ulteriore azione.
   2. Un'ispezione a sorpresa richiede l'approvazione della maggioranza del Consiglio Esecutivo.
   3. L'accesso a un sito sospetto deve essere concesso dallo Stato sul cui territorio si trova il sito, entro 24 ore dalla richiesta di un'ispezione a sorpresa da parte dell'AISI. Durante questo periodo, il sito può essere sorvegliato e le persone o i veicoli che lasciano il sito possono essere ispezionati da funzionari di una Parte firmataria o dell'AISI.
   4. L'ispezione a richiesta sarà condotta da una squadra di funzionari dell'AISI, approvati sia dalla Parte ispezionata che dalla Parte che ha richiesto l'ispezione. L'AISI ha la responsabilità di collaborare con le Parti per mantenere aggiornati gli elenchi degli ispettori approvati a tale scopo.
   5. Le ispezioni a richiesta possono essere condotte nel territorio di una data Parte per un massimo di 20 volte all'anno, e tale limite può essere modificato da un voto a maggioranza del Consiglio Esecutivo.
   6. Gli ispettori avranno la massima cura di proteggere le informazioni sensibili dello Stato ispezionato, trasmettendo al Consiglio Esecutivo solo le informazioni pertinenti al trattato.

Note

Raccolta di informazioni

Prevediamo che vi saranno sforzi costanti e persino crescenti da parte di tutte le Parti per determinare autonomamente se qualcuno stia conducendo attività pericolose legate all'IA. Di conseguenza, le diverse attività di intelligence statali integrano e convalidano il monitoraggio che l'AISI conduce direttamente (si vedano, ad esempio, gli Articoli da IV a VII). La riservatezza applicata alle informazioni di intelligence fornite alla divisione per il Consolidamento delle Informazioni è della massima importanza. L'obiettivo è far sì che i servizi di intelligence degli Stati ritengano giustificati i rischi imposti ai loro metodi di intelligence, al fine di fornire le informazioni necessarie all'AISI. Mantenere tali informazioni nella più stretta riservatezza minimizza i rischi di compromissione.

I firmatari del trattato hanno familiarità con diverse forme di intelligence, come l'analisi di immagini satellitari e l'intelligence umana, su cui si continuerà a fare affidamento anche dopo l'entrata in vigore del trattato. Prevediamo che le Parti si aspettino che tali attività proseguano, e un obiettivo di questo Articolo è permettere che le prove raccolte con questi mezzi vengano fornite all'AISI senza imporre costi eccessivi a chi le ha prodotte.

Questo Articolo affronta anche la sorveglianza dei non firmatari, per i quali la necessità di intelligence sarà maggiore. Il trattato si astiene dall'imporre un tale obbligo ai firmatari, il che appare superfluo. I firmatari condurrebbero questo tipo di attività di intelligence anche in assenza di un trattato.

Protezione degli informatori

L'efficacia generale di questo Trattato si basa sulla fiducia delle Parti che le altre Parti non stiano intraprendendo attività vietate e pericolose nel campo dell'IA. Anche con i Mezzi Tecnici Nazionali e altre attività di intelligence, per gli Stati potrebbe essere difficile individuare tentativi clandestini di sviluppare una superintelligenza. Esistono molti ambiti in cui per gli Stati potrebbe non essere fattibile raccogliere informazioni sui propri rivali, come per le attività che si svolgono all'interno di installazioni militari. Gli Stati potrebbero essere giustamente preoccupati che qualche struttura sia sfuggita agli sforzi di monitoraggio. Gli informatori possono quindi fungere da fonte di informazione aggiuntiva, e la possibilità di una loro segnalazione fornisce un'ulteriore deterrenza contro le violazioni.

Gli informatori possono essere una risorsa efficace perché gli individui coinvolti in violazioni segrete del Trattato (ad esempio, sessioni di addestramento clandestine o ricerche sull'IA) potrebbero essere essi stessi preoccupati del pericolo rappresentato da una superintelligenza artificiale. Questo Articolo si propone di rendere la segnalazione di violazioni più sicura e meno onerosa per tali individui, spostando gli incentivi personali dal silenzio alla divulgazione.

Gli informatori potrebbero lanciare l'allarme riguardo a varie violazioni del Trattato:

• Articolo IV: Segnalare sessioni di addestramento non monitorate, che superano le soglie o che utilizzano metodi di addestramento distribuito vietati.
• Articolo V: Divulgare l'esistenza di cluster di chip non dichiarati, il mancato consolidamento di tutto l'hardware designato o la diversione di chip verso strutture segrete e non monitorate.
• Articolo VI: Segnalazione qualora nuovi chip di IA vengano prodotti senza rientrare nel regime di monitoraggio, o qualora vengano creati chip senza le funzionalità di sicurezza richieste.
• Articolo VIII: Segnalazione di Ricerca Vietata nel campo dell'IA.

Alcune violazioni del trattato potrebbero essere particolarmente difficili da rilevare con le sole attività di intelligence ordinarie; ad esempio, le reti di addestramento distribuite e i progetti di ricerca segreti sull'IA gestiti dallo Stato.

Modifiche a questo Articolo potrebbero cambiarne l'efficacia e la fattibilità politica in vari modi. Ad esempio, gli Stati potrebbero offrire un compenso economico agli informatori legittimi per fornire ulteriori incentivi, ma ciò potrebbe essere visto come un modo per pagare i cittadini affinché tradiscano il proprio Paese.

Ispezioni su richiesta

Le ispezioni su richiesta sono una funzione fondamentale prevista dal Trattato e dall'AISI. Senza la credibile minaccia di essere scoperti, le Parti potrebbero temere che i loro rivali tentino di violare il Trattato (nonostante il fatto che una corsa alla superintelligenza sia intrinsecamente una perdita per tutti). La raccolta di informazioni è un metodo per contrastare quelli che vengono (erroneamente) percepiti come incentivi a defezionare. Sarebbe senza precedenti e indesiderabile finanziare la creazione di una capacità di raccolta informazioni autonoma all'interno dell'AISI, al livello necessario per fornire garanzie agli Stati; pertanto, l'AISI si affida alle Parti per la fornitura delle informazioni di intelligence cruciali.

Precedenti

In precedenza, trattando l'Articolo VIII, abbiamo discusso i precedenti per il consolidamento delle informazioni, citando l'esistenza di accordi di intelligence che includono pratiche di compartimentazione come la "regola della terza parte". Regole simili si riscontrano in seno all'AIEA, come in INFCIRC/153, Parte 1.5:

...l'Agenzia adotterà ogni precauzione per proteggere i segreti commerciali e industriali e le altre informazioni riservate di cui venga a conoscenza nell'attuazione dell'Accordo.

Il personale è vincolato da obblighi di riservatezza ed è soggetto a sanzioni penali in caso di fughe di notizie. Questo è un aspetto importante, perché l'AIEA ha beneficiato della condivisione di informazioni di intelligence da parte degli Stati partecipanti, comprese immagini satellitari e documenti, come nel caso dell'Iran e delle sue attività di arricchimento non dichiarate. Allo stesso modo, l'AIEA ha richiesto un'ispezione speciale sulla produzione non dichiarata di plutonio della Corea del Nord in risposta a informazioni di intelligence che ha ricevuto.

Riconoscendo il ruolo fondamentale dei mezzi tecnici nazionali (MTN — immagini satellitari, raccolta di segnali e altri sistemi di telerilevamento) nella verifica degli accordi multilaterali, la nostra bozza di accordo mutua la formulazione del trattato ABM che limita i sistemi antimissili balistici, in cui “ciascuna Parte utilizza mezzi tecnici nazionali di verifica” e “si impegna a non interferire con i mezzi tecnici nazionali di verifica dell'altra Parte”. Una formulazione simile si trova nell'Articolo XII del Trattato sulle Forze Nucleari a Raggio Intermedio del 1987, nell'Articolo IV del Trattato sulla Messa al Bando Totale degli Esperimenti Nucleari del 1996 e in tutto il trattato New START del 2010.

Poiché i mezzi tecnici nazionali (MTN) non sarebbero sufficienti a rilevare tutte le violazioni pericolose nel caso della superintelligenza artificiale, abbiamo ripreso alcune caratteristiche del quadro delle Salvaguardie dell'AIEA che incoraggiano le segnalazioni interne e forniscono i canali per farlo. Queste sono però ostacolate dalla mancanza di tutele esplicite per gli informatori; nulla nel TNP o in queste Salvaguardie proteggerà un informatore dal suo governo qualora questo decidesse di avviare ritorsioni, a meno che tale Stato non disponga di tutele nazionali applicabili. Le disposizioni a livello di trattato per la tutela degli informatori e il diritto d'asilo contenute nella nostra bozza di accordo hanno lo scopo di ovviare a questa lacuna.

La recente legislazione dell'UE sull'IA ha adottato misure simili. Il Considerando 172 della legge sull'IA dell'UE estende esplicitamente le tutele generali per gli informatori già previste dall'Unione a coloro che segnalano violazioni della legge sull'IA.

La Convenzione sui Rifugiati del 1951 offre un possibile quadro di riferimento per la concessione del diritto d'asilo agli informatori, basando l'idoneità sul “fondato timore di essere perseguitati”, anche se potrebbe essere necessario un emendamento o un accordo supplementare per garantire che la segnalazione di illeciti in materia di IA costituisca un motivo di persecuzione legalmente valido.

L'asilo per le persone con conoscenze o competenze sensibili veniva concesso regolarmente durante la guerra fredda e nel periodo successivo. La Sezione 7 della Legge sulla CIA del 1949 prevedeva l'ammissione e la residenza permanente di un massimo di cento disertori e dei loro familiari diretti per ogni anno fiscale, se ritenuti "nell'interesse della sicurezza nazionale o essenziali per il perseguimento della missione di intelligence nazionale". Il Soviet Scientists Immigration Act del 1992 concesse fino a 750 visti a scienziati provenienti dall'ex Unione Sovietica e dagli Stati baltici con "competenze in campo nucleare, chimico, biologico o in altri settori dell'alta tecnologia, o che lavorano a progetti di difesa negli stessi campi".

Il meccanismo di ispezioni su richiesta che descriviamo nel Paragrafo 3 di questo Articolo è basato su quello della Parte IX della CAC:

Ogni Stato Parte ha il diritto di richiedere un'ispezione in loco su richiesta presso qualsiasi impianto o luogo nel territorio o in qualsiasi altro luogo sotto la giurisdizione o il controllo di qualsiasi altro Stato Parte, al solo scopo di chiarire e risolvere eventuali questioni concernenti una possibile violazione...

La CAC, insieme ad altri trattati sul controllo degli armamenti come l'INF e il trattato nucleare START I tra Stati Uniti e Unione Sovietica, combina i MTN con ispezioni su richiesta per verificarne la conformità.

1. Qualsiasi Parte ("Parte Interessata") può sollevare preoccupazioni in merito all'attuazione del presente Trattato, ivi incluse preoccupazioni su situazioni ambigue o possibili non conformità da parte di un'altra parte ("Parte Richiesta"). Ciò include l'uso improprio delle Azioni di Protezione (Articolo XII).
   1. La Parte Interessata deve comunicare la propria preoccupazione alla Parte Richiesta, condividendola anche con il Direttore Generale e il Consiglio Esecutivo. La Parte Richiesta deve accusare ricevuta di tale notifica entro 36 ore e fornire chiarimenti entro 5 giorni.
2. Se la questione non viene risolta, la Parte Interessata può chiedere assistenza al Consiglio Esecutivo nella risoluzione e nel chiarimento della questione. Ciò può includere la richiesta da parte della Parte Interessata di un'ispezione di verifica ai sensi dell'Articolo X.
   1. Il Consiglio Esecutivo fornirà le informazioni pertinenti in suo possesso relative a tale preoccupazione.
   2. Il Consiglio Esecutivo può incaricare il Segretariato Tecnico di raccogliere ulteriore documentazione, convocare sessioni tecniche a porte chiuse e raccomandare misure risolutive.
3. Se il Consiglio Esecutivo accerta una violazione del Trattato, può adottare misure per prevenire attività pericolose di IA o ammonire la Parte Richiesta. Questi provvedimenti possono includere:
   1. Richiedere un monitoraggio aggiuntivo o ulteriori restrizioni sulle attività di IA
   2. Richiedere la consegna dell'hardware di IA
   3. Richiedere sanzioni
   4. Raccomandare alle Parti di adottare Azioni di Protezione ai sensi dell'Articolo XII

Note

Lo scopo di questa clausola è istituire un processo di consultazione e chiarimento per risolvere le questioni che sorgono tra i firmatari. Le ispezioni su richiesta forniscono un meccanismo per garantire che tutte le Parti del Trattato rispettino le disposizioni del Trattato stesso.

Dato il ritmo dell'innovazione nel campo dell'intelligenza artificiale, determinare le violazioni in tempi ragionevoli può essere complesso. Il ruolo del Consiglio Esecutivo è quello di pronunciarsi su qualsiasi preoccupazione sollevata da una delle Parti del Trattato. Il Segretariato Tecnico ha il ruolo di garantire che le ispezioni siano condotte da esperti con una profonda conoscenza delle tecnologie di IA all'avanguardia. Il Trattato prevede tempi molto stretti (misurati in ore e giorni) nella speranza che siano sufficientemente rapidi da consentire alle Parti di attendere le decisioni prima di intraprendere Azioni di Protezione (come descritto nell'Articolo XII), sebbene, naturalmente, il Trattato non vieti mai alle Parti di intraprendere le Azioni di Protezione che ritengono necessarie per garantire la propria sicurezza.

Precedenti

Le procedure di risoluzione delle controversie del nostro Articolo XI si ispirano agli Articoli IX, XII e XIV della Convenzione sulle Armi Chimiche. L'Articolo IX della CAC richiede ai firmatari di rispondere alle richieste di chiarimenti "il prima possibile, ma comunque entro 10 giorni dalla richiesta". Data la rapidità con cui si propagano gli sviluppi in ambito digitale, abbiamo scelto un termine di risposta di 5 giorni, ma è possibile che anche questo periodo debba essere ulteriormente ridotto.

Il nostro Paragrafo 2 di questo Articolo segue il modello dell'Articolo XIV della CAC, che permette al suo Consiglio Esecutivo di "contribuire alla risoluzione di una controversia con qualsiasi mezzo ritenga opportuno, compresa l'offerta dei suoi buoni uffici, invitando gli Stati parti in causa ad avviare il processo di risoluzione di loro scelta e raccomandando un termine per qualsiasi procedura concordata". Le Parti sono inoltre incoraggiate a deferire i casi alla Corte Internazionale di Giustizia, se opportuno.

Analogamente al Paragrafo 3 del nostro Articolo XI, l'Articolo XII della CAC conferisce al Consiglio Esecutivo il potere di raccomandare rimedi, comprese sanzioni, "nei casi in cui le attività vietate dalla presente Convenzione possano causare gravi danni all'oggetto e allo scopo della stessa". Per dare forza a tali raccomandazioni, il Consiglio della CAC deve "portare la questione, comprese le informazioni e le conclusioni pertinenti, all'attenzione dell'Assemblea Generale delle Nazioni Unite e del Consiglio di Sicurezza delle Nazioni Unite". Le raccomandazioni del Consiglio Esecutivo dell'AISI previste dal nostro Trattato possono essere analogamente portate a un'istanza superiore.

1. Riconoscendo che lo sviluppo della SIA o di altre attività pericolose legate all'intelligenza artificiale, come indicato negli Articoli da IV a IX, potrebbe mettere a rischio la sicurezza globale e la vita di tutti, potrebbe essere necessario che le Parti di questo Trattato prendano misure drastiche per impedire tale sviluppo. Le Parti riconoscono che lo sviluppo della superintelligenza artificiale (SIA), in qualsiasi parte del mondo, rappresenterebbe una minaccia per tutte le Parti. Ai sensi dell'Articolo 51 della Carta delle Nazioni Unite e secondo un precedente consolidato, gli Stati hanno il diritto alla legittima difesa. Data la scala e la rapidità delle minacce legate alla SIA, la legittima difesa potrebbe richiedere azioni preventive per impedire lo sviluppo della SIA.
2. Per evitare lo sviluppo o l'impiego della SIA, questo Articolo autorizza Azioni di Protezione mirate. Qualora esistano prove credibili che uno Stato o altro attore (sia esso una Parte o una non-Parte) stia conducendo o intenda condurre in modo imminente attività volte allo sviluppo o all'impiego della SIA in violazione dell'Articolo I, dell'Articolo IV, dell'Articolo V, dell'Articolo VI, dell'Articolo VII o dell'Articolo VIII, uno Stato Parte può intraprendere Azioni di Protezione necessarie e proporzionate per impedire tali attività. In considerazione dei danni e della natura escalatoria delle Azioni di Protezione, queste ultime dovrebbero essere utilizzate come ultima risorsa. Al di fuori delle emergenze e delle situazioni urgenti, le Azioni di Protezione devono essere precedute da altri approcci quali, a titolo esemplificativo ma non esaustivo:
   1. Restrizioni commerciali o sanzioni economiche
   2. Restrizioni sui beni
   3. Divieti di viaggio
   4. Richiesta di intervento al Consiglio di sicurezza delle Nazioni Unite
3. Le Azioni di Protezione possono includere misure come operazioni informatiche per sabotare lo sviluppo dell'IA, l'interdizione o il sequestro di cluster di chip designati, azioni militari per disabilitare o distruggere hardware per l'IA, la messa fuori uso fisica di strutture o beni specifici che consentono direttamente lo sviluppo dell'IA, e metodi per impedire ai ricercatori di lavorare su Ricerche Soggette a Restrizioni.
4. Le Parti devono ridurre al minimo i danni collaterali, inclusi i danni a civili e servizi essenziali, ove praticabile, nel rispetto dei requisiti della missione.
5. Le Azioni di Protezione devono essere strettamente limitate alla prevenzione dello sviluppo o dell'impiego della SIA e non devono essere usate come pretesto per acquisire territori, cambiare regimi, estrarre risorse o raggiungere obiettivi militari più ampi. L'occupazione permanente o l'annessione di territorio è vietata. L'azione cesserà una volta che l'AISI avrà verificato che la minaccia non esiste più.
6. Ogni Azione di Protezione deve essere accompagnata, al suo avvio o non appena le condizioni di sicurezza lo consentono, da una pubblica Dichiarazione di Azione di Protezione che:
   1. Spieghi lo scopo protettivo dell'azione;
   2. Identifichi le specifiche attività e risorse abilitanti per l'IA prese di mira;
   3. Indichi le condizioni per la cessazione;
   4. Si impegni a cessare le proprie attività una volta soddisfatte tali condizioni.
7. Le Azioni di Protezione cesseranno senza indugio al verificarsi di una delle seguenti condizioni:
   1. Certificazione da parte dell'AISI che le attività in questione siano cessate.
   2. La resa o la distruzione verificate dei cluster di chip coperti o delle risorse che permettono la SIA, potenzialmente inclusa la predisposizione di tutele adeguate a prevenire attività di Ricerca Soggetta a Restrizioni.
   3. Una determinazione da parte della Parte agente, comunicata all'AISI, secondo cui la minaccia si è attenuata.
8. Le Parti non considerano le misurate Azioni di Protezione intraprese da un'altra Parte ai sensi del presente Articolo come atti provocatori, e non intraprendono rappresaglie o sanzioni su tale base. Le Parti convengono che le Azioni di Protezione conformi ai requisiti di cui sopra non possano essere interpretate come un atto di aggressione o una giustificazione per l'uso della forza.
9. Il Consiglio Esecutivo esamina ogni Azione di Protezione per verificarne la conformità al presente Articolo e riferisce alla Conferenza delle Parti. Se il Consiglio Esecutivo ritiene che un'azione non fosse necessaria, proporzionata o adeguatamente mirata, possono essere intraprese azioni ai sensi dell'Articolo XI, Paragrafo 3.

Note

Il Trattato vero e proprio che verrà firmato potrebbe non essere così esplicito sulla necessità di Azioni di Protezione contro gli Stati che intraprendono lo sviluppo di SIA, lasciando invece questo aspetto implicito, come spesso accade in accordi simili. Abbiamo scelto di essere espliciti su questo punto perché questo regime di deterrenza è fondamentale per l'efficacia del Trattato, ed esplicitarlo contribuisce alla chiarezza. Questa esplicitezza ci permette anche di includere misure che possano contribuire a prevenire l'uso improprio delle Azioni di Protezione, tra cui una descrizione più dettagliata di quando tali Azioni sono accettabili. È importante che tutti i firmatari comprendano il regime di deterrenza implicito e le conseguenze dell'inadempienza.

Come discusso in precedenza, una volta che i leader mondiali avranno compreso la minaccia rappresentata dalla SIA, saranno probabilmente disposti a intraprendere azioni per fermare lo sviluppo di IA fuori controllo, compresi interventi militari limitati. Le azioni militari, come gli attacchi aerei mirati, dovrebbero essere considerate l'ultima risorsa per impedire lo sviluppo della SIA, una volta falliti tutti gli altri tentativi diplomatici. Ma è importante che siano un'opzione reale, affinché il sistema di deterrenza e conformità possa reggere.

Sottolineiamo che qualsiasi uso della forza dovrebbe essere mirato a prevenire la SIA, e dovrebbe cessare una volta che la minaccia sia stata chiaramente rimossa. Il presente Articolo chiarisce che i firmatari non impediranno l'adozione di ragionevoli Azioni di Protezione da parte di altre Parti, ma anche queste Azioni dovranno essere revisionate per garantire che non si abusi di questo Articolo.

Precedenti

L'idea che gli Stati-nazione possano adottare misure protettive per la propria sicurezza è una realtà a prescindere dai precedenti, ma un caso della sua codificazione nel diritto internazionale è il Capitolo VII della Carta delle Nazioni Unite, che stabilisce che il Consiglio di Sicurezza può adottare misure militari o non militari per mantenere la pace e la sicurezza internazionali, quando necessario.

Il concetto di Azioni di Protezione, come appare nella bozza sopra riportata, trova ulteriore fondamento in precedenti storici in cui gli Stati hanno agito, individualmente o collettivamente, per impedire lo sviluppo di tecnologie ritenute una minaccia alla sicurezza internazionale. Queste azioni vanno dalle sanzioni agli attacchi informatici e militari.

L'impegno internazionale per impedire all'Iran di sviluppare armi nucleari ne è un chiaro esempio moderno. Il Consiglio di sicurezza delle Nazioni Unite ha più volte imposto sanzioni all'Iran a causa del suo programma nucleare, in gran parte revocate dopo che l'Iran ha accettato di limitare tale programma nel Piano d'Azione Congiunto Globale del 2015.

Gli Stati Uniti e Israele avrebbero collaborato allo sviluppo di Stuxnet, un'arma informatica altamente sofisticata che nel 2010 ha distrutto molte delle centrifughe iraniane per l'arricchimento dell'uranio.

Nel giugno 2025, Israele ha lanciato attacchi aerei contro molte delle strutture nucleari iraniane, seguiti nove giorni dopo da attacchi aerei statunitensi mirati in parte a mettere fuori uso l'impianto di arricchimento dell'uranio di Fordow.

Un altro precedente storico per le Azioni di Protezione è la risposta internazionale all'inadempienza nucleare dell'Iraq negli anni '90. Dopo la guerra del Golfo del 1991, fu istituita la Commissione Speciale delle Nazioni Unite (UNSCOM) per supervisionare la distruzione delle armi di distruzione di massa dell'Iraq. L'inadempienza al regime di ispezione dell'UNSCOM portò infine, nel 1998, all'Operazione Desert Fox, una campagna di bombardamenti volta a indebolire la capacità dell'Iraq di produrre armi di distruzione di massa.

1. Per i modelli di IA creati tramite addestramento dichiarato o post-addestramento entro i limiti dell'Articolo IV, l'AISI può richiedere valutazioni e altri test. Questi test serviranno a determinare se le soglie fissate negli Articoli IV, V, VII e VIII debbano essere riviste. I metodi utilizzati per le revisioni saranno stabiliti dall'AISI e potranno essere aggiornati.
2. Le valutazioni saranno effettuate presso le strutture dell'AISI o i CCC monitorati, da funzionari dell'AISI. I funzionari delle Parti del Trattato potranno essere informati in merito ai test condotti e l'AISI potrà fornire una sintesi dei risultati dei test. Le Parti non avranno accesso ai modelli di IA che non hanno addestrato, a meno che l'accesso non sia concesso dal proprietario del modello, e l'AISI adotterà misure per garantire la sicurezza delle informazioni sensibili.
3. L'AISI può condividere informazioni dettagliate con le Parti o il pubblico, qualora il Direttore Generale lo ritenga necessario per ridurre il rischio di estinzione umana causata dall'IA avanzata.

Note

Lo scopo di questo Articolo è garantire che l'AISI si mantenga aggiornata sullo stato dell'IA, in caso di suoi progressi. Ad esempio, la revisione dell'addestramento dichiarato permetterebbe all'AISI di comprendere il livello di potenza dell'IA che si può raggiungere con diversi livelli di FLOP di addestramento.

Anche se la ricerca algoritmica è vietata, potrebbero esserci progressi che non possono essere fermati in modo efficace, e l'AISI deve tenerne traccia. Inoltre, l'AISI deve monitorare i progressi nellasollecitazione delle capacità. Per esempio, potrebbero essere scoperti nuovi metodi di prompting che consentono a una vecchia IA di ottenere prestazioni molto migliori su alcuni parametri di valutazione critici. Questi sono solo due esempi di cambiamenti nel panorama dello sviluppo dell'IA che potrebbero richiedere modifiche alle soglie rilevanti per l'Articolo IV e l'Articolo V, nonché modifiche alle definizioni di Ricerca Soggetta a Restrizioni nell'Articolo VIII. Le revisioni previste dall'Articolo XIII sono un meccanismo che consente all'AISI di comprendere meglio lo stato delle capacità dell'IA e di rispondere in modo appropriato.

Un articolo del genere potrebbe non essere strettamente necessario, considerati i divieti sui grandi cicli di addestramento e sui progressi algoritmici. Tuttavia, le revisioni appaiono una misura prudente e sembrano essere parte del modo in cui il mondo potrebbe continuare a usare le moderne IA come ChatGPT senza rischiare una corsa alla superintelligenza.

Queste revisioni dell'AISI potrebbero includere valutazioni di capacità pericolose, per assicurarsi che le IA non diventino eccessivamente potenti in aree specifiche. Potrebbero anche esaminare i dati di addestramento per garantire che le IA non vengano addestrate per compiti specificamente pericolosi (come l'automazione della ricerca sull'IA), o altrimenti testare l'IA per rilevare comportamenti inaspettati.

Precedenti

I precedenti per i test con supervisione richiesti dall'AISI sono analoghi a quelli relativi alla verifica dell'uso dei chip discussi nell'Articolo VII, con il protocollo di condivisione della telemetria dei missili dello START I come caso particolarmente rilevante. L'elemento aggiuntivo qui, nel nostro Articolo XIII, è l'utilizzo dei dati raccolti per formulare raccomandazioni su potenziali correzioni delle soglie (che potrebbero avvenire tramite i meccanismi con precedenti di cui discutiamo nell'Articolo XIV).

Per quanto riguarda la tensione intrinseca tra la divulgazione al pubblico (Paragrafo 3) e le disposizioni sul consolidamento delle informazioni del nostro Articolo X, notiamo che la disposizione sulla riservatezza dell'Articolo VII dello Statuto dell'AIEA²⁷ non ha impedito all'agenzia di pubblicare rapporti regolari e dettagliati sui principali sviluppi nel suo campo di competenza e sulle loro implicazioni per la sicurezza globale.

1. Qualsiasi Stato Parte può proporre emendamenti al presente Trattato. Per "emendamenti" si intendono le revisioni del corpo principale e degli Articoli del Trattato. Gli emendamenti includono revisioni allo scopo degli Articoli del Trattato. Ai sensi dell'Articolo III, il Segretariato Tecnico dell'AISI, senza veto da parte del Consiglio Esecutivo, può modificare definizioni specifiche e metodi di attuazione, come quelli relativi agli Articoli IV, V, VI, VII, VIII, IX e X. Le revisioni fondamentali allo scopo di questi Articoli o alle procedure di voto richiedono un Emendamento.
2. Le proposte di emendamento saranno sottoposte al Direttore Generale dell'AISI e comunicate agli Stati Parti.
3. Affinché un emendamento possa essere formalmente considerato, è necessario il sostegno di almeno un terzo degli Stati Parti.
4. Gli emendamenti al corpo principale del Trattato non sono ratificati finché non vengono accettati da tutti gli Stati Parte (senza voti contrari).
5. Se il Consiglio Esecutivo raccomanda a tutti gli Stati Parte di adottare la proposta, le modifiche saranno considerate approvate se nessuno Stato Parte le respinge entro 90 giorni.
6. Tre anni dopo l'entrata in vigore del presente Trattato, si terrà a Ginevra, in Svizzera, una Conferenza delle Parti per esaminare il funzionamento del Trattato al fine di garantire che gli obiettivi del Preambolo e le disposizioni del Trattato siano realizzati. Successivamente, a intervalli di tre anni, le Parti del Trattato convocheranno ulteriori conferenze con il medesimo obiettivo di riesaminare il funzionamento del Trattato.

Note

Questo Articolo definisce il processo per apportare revisioni sostanziali alla struttura del Trattato. Tali revisioni richiedono un notevole sostegno da parte delle Parti ed è previsto un quorum elevato per la loro approvazione. Al contrario, le modifiche ai dettagli di implementazione di gran parte del Trattato possono essere apportate molto più facilmente, come descritto nell'Articolo III, in linea con la rapida evoluzione del settore dell'IA. Le revisioni più ampie allo scopo del Trattato possono essere soggette a processi più lenti, come quello qui descritto.

Precedenti

Il TNP ha un processo di modifica rigido, che richiede l'approvazione da parte della «maggioranza dei voti di tutte le Parti del Trattato». Ciò rende, volutamente, le modifiche formali estremamente difficili. La nostra bozza di trattato segue questo precedente con l'obiettivo di rafforzare l'accordo contro le pressioni a breve termine volte ad allentare le soglie o a indebolire le disposizioni.

I trattati difficili da modificare (e quindi da indebolire) si affidano ad altri meccanismi per essere rafforzati secondo necessità. Il TNP non è mai stato modificato, ma è stato adattato attraverso la Conferenza di Riesame quinquennale prevista dall'Articolo VIII, in cui vengono raggiunti accordi consensuali «al fine di garantire che gli scopi del Preambolo e le disposizioni del Trattato siano realizzati».

Allo stesso modo, l'Articolo XII della Convenzione sulle Armi Biologiche del 1975 fa affidamento sulle sue Conferenze di Revisione quinquennali per rafforzare il trattato attraverso misure non vincolanti di rafforzamento della fiducia, poiché gli emendamenti formali sono rari. Il nostro accordo stabilisce una conferenza a cadenza triennale, dato che l'IA è un campo soggetto a rapidi mutamenti; tale periodo potrebbe dover essere ulteriormente ridotto.

L'Articolo XV della Convenzione sulle Armi Chimiche distingue tra emendamenti e modifiche amministrative o tecniche, prevedendo per queste ultime disposizioni di approvazione meno rigide. Una formulazione simile potrebbe essere aggiunta alla nostra bozza di accordo per garantire un certo livello di flessibilità nella gestione dei futuri sviluppi nel campo dell'IA.

L'Articolo XV del Trattato sullo Spazio Extra-Atmosferico contiene una clausola di emendamento, ma non è mai stato formalmente emendato; sono stati invece negoziati nuovi trattati per affrontare le questioni spaziali emergenti. Questa potrebbe essere un'altra opzione per porre rimedio alle debolezze che potrebbero manifestarsi in un trattato sull'IA.