1. Ciascuna Parte garantisce che, all'interno della propria giurisdizione, tutti i cluster di chip coperti (CCC), come definiti nell'Articolo II (ossia un insieme di chip con una capacità superiore a 16 equivalenti-H100) [nota: 16 H100 hanno un costo complessivo di circa 430.000 euro nel 2025 e raramente sono di proprietà di privati], siano ubicati in strutture dichiarate all'AISI e che tali chip per l'IA siano soggetti al monitoraggio da parte dell'AISI.
   1. Le parti cercheranno di evitare di co-locare chip per l'AI e hardware non-IA non ausiliario in queste strutture dichiarate.
   2. Queste strutture devono essere accessibili per ispezioni fisiche. Ciò può includere, ad esempio, che i team di verifica possano raggiungere qualsiasi CCC da almeno un aeroporto con servizio internazionale di linea entro 12 ore.
   3. Le parti non devono collocare i chip per l'AI in così tante sedi diverse da rendere impossibile per l'AISI monitorarle tutte. Se richiesto dall'AISI, le parti devono consolidare ulteriormente i propri chip per l'IA in un numero inferiore di strutture monitorate.
2. I chip perv l'IA non monitorati che non fanno parte di un CCC (cioè che hanno una capacità inferiore a 16 equivalenti-H100) possono rimanere al di fuori delle strutture dichiarate dall'AISI, a condizione che tali scorte non siano aggregate o collegate in rete per soddisfare la definizione di CCC, non siano ruotate tra i siti per aggirare il monitoraggio e non siano utilizzate per attività di addestramento vietate. Le Parti compiranno sforzi ragionevoli per monitorare la vendita e l'aggregazione dei chip per l'IA per garantire che qualsiasi CCC di nuova creazione venga individuato e monitorato.
3. Entro 120 giorni dall'entrata in vigore del trattato, ogni parte individuerà, inventarierà e consoliderà tutti i CCC in strutture dichiarate all'AISI. Le parti non disgregheranno, nasconderanno o riassegneranno in altro modo i chip per eludere questo requisito o per far sì che un insieme di chip altrimenti classificabile come CCC non venga più classificato come tale.
4. L'AISI supervisionerà il processo di consolidamento nazionale, anche attraverso ispezioni in loco, verifica documentale e inventariale, affiancamento delle autorità nazionali durante i trasferimenti e le ispezioni, e condivisione di informazioni con le Parti ai sensi dell'Articolo X. L'AISI potrà richiedere la documentazione della catena di custodia per i trasferimenti e condurre ispezioni su richiesta, come descritto nell'Articolo X. Le Parti garantiranno un accesso tempestivo alle strutture, agli snodi di trasporto e ai registri pertinenti. Le tutele e gli incentivi per gli informatori previsti dall'Articolo X si applicano al processo di consolidamento e l'AISI manterrà canali di segnalazione protetti.
5. Entro 120 giorni dall'entrata in vigore del Trattato, le Parti presenteranno all'AISI un registro dei loro CCC. Il registro dovrà includere l'ubicazione, il tipo, la quantità, i numeri di serie o altri identificatori univoci, ove disponibili, e le interconnessioni associate di tutti i chip per l'IA presenti nei CCC. Ciascuna Parte fornirà all'AISI un registro aggiornato e accurato ogni 90 giorni al più tardi.
6. Le Parti notificheranno in anticipo all'AISI qualsiasi trasferimento pianificato di chip per l'IA, sia nazionale che internazionale, con un preavviso di almeno 14 giorni rispetto alla data prevista per il trasferimento. Nessun trasferimento potrà avere luogo senza che all'AISI sia data l'opportunità di supervisionarlo. Per i trasferimenti internazionali, sia la Parte mittente che quella ricevente dovranno coordinarsi con l'AISI per quanto riguarda il tragitto, la custodia e la ricezione. I trasferimenti di emergenza effettuati per ragioni di sicurezza dovranno essere notificati non appena possibile e saranno soggetti a verifica a posteriori.
7. I chip per l'IA rotti, difettosi, in eccedenza o altrimenti dismessi continueranno a essere trattati come chip funzionanti, finché l'AISI non ne certificherà la distruzione. Le Parti non distruggeranno i chip per l'IA senza la supervisione dell'AISI. La distruzione o la messa fuori uso permanente dovranno essere condotte sotto la supervisione dell'AISI, utilizzando metodi da essa approvati, e registrate in un certificato di distruzione [i dettagli dovranno essere esplicitati in un Allegato]. Il recupero o la rivendita di componenti di tale hardware sono vietati, salvo espressa autorizzazione dell'AISI.

Note

Discuteremo quale obiettivo questo Articolo si prefigge di raggiungere, perché riteniamo che tale obiettivo sia importante, perché lo riteniamo fattibile, perché è stato scelto il limite di 16 H100 e varie altre considerazioni.

Obiettivo dell'Articolo V

Questo Articolo mira a centralizzare, in strutture monitorate, tutti i cluster di chip per l'IA (ossia insiemi di chip interconnessi al di sopra di una certa piccola dimensione) e la stragrande maggioranza dei chip per l'IA.

Una volta che i chip sono stati centralizzati in strutture monitorate, l'AISI può adottare numerosi altri approcci per garantire che non vengano utilizzati in violazione dell'Articolo IV; tali approcci sono discussi nell'Articolo VII.

È auspicabile una verifica internazionale di questo processo di centralizzazione, affinché tutte le Parti abbiano la certezza che anche tutti gli altri abbiano centralizzato i propri chip. Questo tipo di verifica può essere effettuato con relativa facilità per i grandi data center di IA, dato che le agenzie di intelligence probabilmente sanno già dove si trovano. Per i data center più piccoli, l'AISI può supervisionare i processi di centralizzazione nazionali come misura di rafforzamento della fiducia.

L'Articolo prevede in effetti un'eccezione per un numero ridotto di chip: meno di 16 equivalenti-H100. Questa quantità di chip è talmente ridotta che è improbabile che i chip non monitorati rappresentino una minaccia (in assenza di progressi nella ricerca). Soglie più basse sarebbero più difficili da radunare con successo e potrebbero iniziare a costituire costi ingenti per un'ampia fascia della popolazione. (Diverse persone possiedono una manciata di GPU a casa propria, ma poche possiedono 16 equivalenti-H100).

Perché l'Articolo V esiste

La centralizzazione dei chip è un'operazione utile perché apre altre strade per controllare lo sviluppo dell'intelligenza artificiale tramite i chip.

Per esempio, la centralizzazione dei chip in strutture dichiarate implica che questi potrebbero in seguito essere soggetti a ulteriore monitoraggio sul loro utilizzo (Articolo VII) o a verifiche per assicurarsi che siano spenti.

La centralizzazione dei chip in strutture dichiarate renderebbe anche più facile per le Parti distruggerli, come potrebbe rendersi necessario ai sensi dell'Articolo XII, qualora una Parte violi continuamente il Trattato.

Data la possibilità che i CCC vengano distrutti, sarebbe auspicabile costruirli lontano dai centri abitati, ove possibile. Questo punto non è incluso nel testo dell'Articolo per problemi di fattibilità (i data center attuali sono spesso vicini alle città, quindi sarebbe necessario costruirne di nuovi); inoltre, in casi estremi, i data center possono probabilmente essere disattivati senza ingenti danni collaterali e, infine, questo non è un aspetto portante del Trattato. Tuttavia, dato il loro enorme potenziale di pericolo, sembra appropriato trattare i data center di IA come strutture militari.

Verifica

Un elemento chiave per il successo di un trattato sull'IA è la verifica. I Paesi non si fideranno l'uno dell'altro riguardo al rispetto delle regole, ma vorranno poterlo verificare concretamente. La centralizzazione dei chip per l'IA in strutture dichiarate dovrà essere confermata dalle ispezioni e dal monitoraggio di questo processo da parte dell'AISI. Altrimenti, i Paesi non otterranno sufficiente fiducia che gli altri abbiano effettivamente centralizzato i loro chip.

La centralizzazione dei chip potrebbe non essere necessaria se esistessero altri modi per monitorarli. Purtroppo, riteniamo che questa sia attualmente l'unica opzione fattibile, se si esclude la distruzione fisica di tutte le scorte di chip per l'IA, considerate le potenzialità dei meccanismi di sicurezza disponibili sui chip attuali.

In futuro, potrebbero essere sviluppati meccanismi di governance basati sull'hardware per consentire la governance remota dei chip per l'IA, in modo che non sia necessario centralizzarli in luoghi dichiarati. Aarne et al. (2024) forniscono stime sui tempi di implementazione di alcuni di questi meccanismi di governance su chip. Le loro stime coprono i tempi necessari per sviluppare meccanismi robusti contro diversi avversari. Per brevità, useremo le loro stime per la sicurezza in un contesto velatamente avversariale, poiché pensiamo che questo corrisponda alla situazione che intendiamo affrontare: attori statali competenti potrebbero provare a violare i meccanismi di governance, ma ci sarebbero conseguenze importanti se questa sovversione venisse scoperta. Stimano un tempo di sviluppo di 2-5 anni per soluzioni ideali, con opzioni meno sicure ma potenzialmente funzionanti disponibili in pochi mesi.

Anche se quel rapporto risale a più di un anno fa, non siamo a conoscenza di progressi significativi verso questi meccanismi, e riteniamo che quella di 2-5 anni aggiuntivi sia la stima più pertinente di Aarne et al.

Oltre allo sviluppo, i meccanismi di governance su chip devono essere o aggiunti ai nuovi chip (che a loro volta dovranno diffondersi nel parco chip esistente) oppure adattati a quelli già in uso. Aarne et al. stimano che la prima di queste opzioni potrebbe richiedere quattro anni, ma siamo ottimisti sul fatto che l'adattamento potrebbe essere completato in uno o due anni se i chip sono già tracciati.

Per essere chiari, la centralizzazione di cui all'Articolo V comporta la concentrazione fisica e il monitoraggio (nell'Articolo VII) dei cluster di chip coperti, ma non richiede che i governi ne assumano la proprietà. Per i grandi data center, il trattato permette che il data center e i suoi chip rimangano nello stesso posto, pur restando di proprietà delle aziende, a patto che ricevano monitoraggio e supervisione dal governo nazionale e dall'AISI per garantire che i data center siano impiegati solo in attività non legate all'IA o in attività come l'esecuzione di vecchi modelli, piuttosto che nella creazione di nuovi modelli di IA più capaci. Per un numero minore di chip, potrebbe essere necessario spostarli fisicamente in un data center più grande, ma il proprietario potrebbe continuare ad accedervi da remoto, in modo simile ad alcuni modelli di cloud computing esistenti. In alternativa, i chip potrebbero essere trasferiti alla proprietà del governo in cambio di un giusto compenso.

Fattibilità

Probabilmente è fattibile individuare la maggior parte dei chip per l'IA (e verificarne l'individuazione a livello internazionale). Per i data center di IA più grandi, come quelli con più di 100 000 equivalenti-H100, la verifica internazionale sembra relativamente semplice; questi data center sono difficili da nascondere e i servizi di intelligence probabilmente sanno già dove si trovano. (A metà del 2025, non ci aspettiamo che ci siano ancora stati tentativi di nascondere questi data center.) Questi data center sono individuabili dalla loro impronta fisica e dal consumo energetico, e molti di essi sono pubblicamente segnalati.

Tali metodi consentiranno probabilmente di individuare anche data center di dimensioni ridotte, pari a circa 10 000 equivalenti-H100. Al di fuori dei MTN e dei servizi di intelligence delle Parti, il piano proposto per la centralizzazione dei chip prevede che le autorità nazionali utilizzino vari poteri per eseguirla e consentano l'ispezione del processo da parte dell'AISI per evitare che alcuni data center vengano esclusi.

Gli Stati avranno a disposizione una serie di strumenti per rintracciare i chip di proprietà nazionale. Potranno richiedere legalmente che tutti i cluster di chip superiori a 16 H100 vengano segnalati; potranno utilizzare i registri di vendita e altre informazioni finanziarie dei distributori di chip; potranno intervistare tecnici esperti nella costruzione di data center; ecc. Qualora sospettino attività di contrabbando o che i chip vengano nascosti, potranno ricorrere alle forze dell'ordine per ulteriori indagini. Questo processo di centralizzazione nazionale sarà supervisionato dagli ispettori dell'AISI per garantire che sia eseguito correttamente.

La localizzazione dei data center esistenti potrebbe probabilmente essere effettuata rapidamente (in pochi giorni o settimane per i cluster superiori a 1.000 equivalenti-H100) utilizzando i metodi descritti.

In realtà, la centralizzazione dei chip potrebbe richiedere più tempo, poiché potrebbe essere necessario aumentare la capacità dei data center nelle strutture che diventerebbero CCC. Non è chiaro quanto tempo ci vorrebbe, né se sarebbe fattibile in alcuni paesi, individuare tutti i cluster di, ad esempio, 100 H100. Una tale quantità di chip sarebbe vietata, ma tale divieto potrebbe essere difficile da applicare.

Una delle maggiori sfide alla fattibilità della centralizzazione dei cluster di chip consiste nel fornire agli altri Paesi la ragionevole certezza che una Parte non stia sviluppando un progetto segreto di IA con chip non dichiarati. La verifica internazionale della centralizzazione nazionale dei chip potrebbe essere utile, ma potrebbe non bastare, dato che gli sforzi di centralizzazione nazionale potrebbero essere volutamente non esaustivi.

I vincoli imposti da questo Articolo contribuiscono in modo significativo a fornire alle Parti garanzie contro il rischio di progetti segreti di IA sostenuti da governi e operanti in altri Paesi. Oltre alla supervisione dell'AISI sul processo di centralizzazione nazionale, la raccolta di informazioni e le ispezioni su richiesta trattate nell'Articolo X potrebbero essere di grande aiuto.

Le ragioni della definizione di CCC

Questo Articolo e la corrispondente definizione di CCC stabiliscono un limite di 16 equivalenti-H100. Tale soglia mira a soddisfare alcuni criteri:

• Il monitoraggio dei cluster di chip con potenza superiore a 16 H100 è compatibile con le soglie di FLOP per l'addestramento di cui all'Articolo IV. L'addestramento con 16 H100 (precisione FP8, utilizzo al 50% — parametri realistici ma ottimistici) richiederebbe 7,3 giorni per raggiungere 10^22 FLOP e 2 anni per raggiungere 10^24 FLOP. Pertanto, sarebbe fattibile utilizzare chip non dichiarati per raggiungere la soglia più bassa, ma sarebbe poco praticabile raggiungere la soglia di addestramento proibita.
• Questa soglia è verosimilmente sufficiente a impedire l'avanzamento delle capacità dell'IA, se combinata con i divieti alla ricerca sull'IA previsti dall'Articolo VIII. L'Articolo IV stabilisce restrizioni all'addestramento, in base alle quali l'addestramento su larga scala è vietato e quello su media scala è consentito ma soggetto a supervisione. È probabilmente accettabile (ossia, comporta un rischio minimo) consentire l'addestramento su piccola scala, come quello che si può effettuare con 16 H100 in un lasso di tempo realistico.
• Questa soglia ha effetti collaterali limitati per gli hobbisti e le persone comuni. Pochissimi individui possiedono più di 16 H100. A metà del 2025, 16 chip H100 costano circa 430.000 euro; non sono un bene di consumo comune. Nessuno supererà per errore la soglia solo perché possiede qualche vecchia console da gaming.
• Il censimento dei chip per l'IA diventa più difficile per numeri di chip consentiti sempre più piccoli. Trovare data center con 100.000 chip è facile; anche con 10.000 chip, probabilmente, è relativamente facile; con 1.000 non è chiaro; e con 100, potrebbe essere piuttosto difficile. Questa soglia è stata scelta in parte a causa dell'impossibilità di imporne una più bassa: persino una soglia di 16 H100 potrebbe essere difficile da far rispettare.
• È possibile che si debba rivedere questa definizione e abbassare la soglia (ad esempio, a 8 equivalenti-H100). In questo trattato, l'AISI avrebbe il compito di valutare questa definizione e di modificarla secondo necessità.

Altre considerazioni

Questo Articolo invita le parti a cercare di evitare la co-locazione di chip per l'IA con chip non-IA non ausiliari. Questo perché la co-locazione potrebbe rendere più difficile la verifica dell'uso dei chip (Articolo VII) e richiederebbe che anche questi chip non-IA fossero monitorati per implementare efficacemente la verifica dell'uso dei chip per l'IA. Tuttavia, questo non è strettamente necessario e potrebbe non essere auspicabile. Ad esempio, attualmente i chip per l'IA sono spesso co-locati con chip non-IA e il disagio di cambiare questa situazione potrebbe superare il disagio di monitorare anche i chip non-IA.

In linea con gli accordi precedenti, questo Articolo richiede che i CCC siano rapidamente accessibili agli ispettori per la verifica. In questo caso, ci sarà probabilmente un monitoraggio continuo di molte di queste strutture (Articolo VII) e l'accesso agli aeroporti potrebbe essere vantaggioso.

C'è il rischio che privati cittadini possano costruire un CCC non monitorato con chip "sfusi" equivalenti-H100. Per contrastare questo rischio, il trattato prevede che le Parti compiano "ogni ragionevole sforzo" per monitorare le vendite di chip (in quantità superiori a 1 equivalente-H100) e individuare la formazione di nuovi CCC. Potrebbero essere adottate misure più rigorose, come l'obbligo di registrare e tracciare formalmente tutti questi chip e le relative vendite. La nostra bozza non si spinge a tal punto, sia perché non prevediamo che, dopo la catalogazione di tutti i chip nei CCC, rimangano molti chip "sfusi" equivalenti a H100 non contabilizzati, sia perché altri meccanismi (come la protezione degli informatori) contribuiscono a individuare i CCC di nuova formazione.

Alternative

Invece di richiedere immediatamente la centralizzazione dei cluster di piccole dimensioni (ad esempio 100 H100), il trattato potrebbe adottare un approccio graduale. Ad esempio, nei primi 10 giorni tutti i data center con più di 100.000 chip equivalenti-H100 devono essere centralizzati e dichiarati, poi nei 30 giorni successivi tutti i data center con più di 10-000 chip equivalenti-H100 devono essere centralizzati e dichiarati, ecc.

Questo approccio graduale potrebbe allinearsi meglio con la verificabilità internazionale del rilevamento di questi cluster, man mano che i servizi di intelligence intensificano i loro sforzi. In altre parole: è probabile che all'inizio i servizi di intelligence sappiano dove si trovano i data center più grandi, ma non quelli di medie dimensioni (se non li stavano già cercando). Di conseguenza, inizialmente verrebbero dichiarati solo i data center di grandi dimensioni e poi, con il proseguire della ricerca dei chip da parte dei servizi di intelligence, la soglia si abbasserebbe.

Questo approccio potrebbe rispecchiare meglio il modo in cui la verificabilità e l'applicabilità hanno influito su ciò che è stato concordato nei precedenti accordi internazionali. Ad esempio, il Trattato sulla messa al bando parziale degli esperimenti nucleari del 1963 non vietò i test sotterranei di armi nucleari, a causa della difficoltà di rilevarli. Il team di governance tecnica del MIRI ha in programma di pubblicare un rapporto con un approccio graduale di questo tipo.

Uno svantaggio di un approccio graduale è che potrebbe offrire agli Stati maggiori opportunità per nascondere i chip e stabilire data center segreti.

Precedenti

La dichiarazione delle risorse di interesse è spesso il primo passo nei trattati restrittivi. Le Parti del Trattato navale di Washington del 1922 fornirono gli inventari delle navi da guerra e la loro dimensione, e si impegnarono a comunicarsi reciprocamente la sostituzione di queste navi. Il trattato START I del 1991 includeva un accordo riservato sullo scambio di coordinate e schematiche dei siti (nell'Articolo VIII), che prevedeva la condivisione dei dati sulla posizione di tutte le armi strategiche dichiarate. L'Articolo V, Paragrafo 3, della nostra bozza di accordo richiede alle Parti di individuare, inventariare e consolidare i cluster di chip contemplati entro 120 giorni.

Il consolidamento delle risorse per facilitare la verifica della conformità è spesso un altro passo nei trattati restrittivi. L'Articolo III dello START I vietava la collocazione congiunta di missili balistici intercontinentali (MBIC) con gli impianti di lancio spaziale, facilitando così il monitoraggio. Il Paragrafo 1.a del nostro Articolo V impegna le Parti a «evitare di co-locare chip per l'AI e hardware non-IA non ausiliario» per lo stesso motivo.

La storia dimostra che il consolidamento limita anche il potenziale di rottura degli accordi (breakout), rendendo più facile colpire le concentrazioni di beni problematici in caso di crisi di fiducia. Nel JCPOA del 2016^* (noto anche come accordo nucleare con l'Iran), l'Iran ha accettato di mantenere operative le sue centrifughe per l'arricchimento dell'uranio in soli due siti designati (Natanz e Fordow), entrambi colpiti nel giugno 2025 da operazioni di Israele e Stati Uniti. Ciò motiva una nota che accompagna il nostro Articolo V, in cui suggeriamo alle Parti di localizzare i loro cluster di chip coperti (CCC) lontano dai centri abitati.

Il monitoraggio e le ispezioni sono componenti comuni dei trattati precedenti in contesti di fiducia limitata; abbiamo quindi redatto, ove opportuno, apposite disposizioni nei Paragrafi 1, 4, 6 e 7 di questo Articolo. Alcuni precedenti specifici:

• La verifica dello START I ha incluso centinaia di ispezioni in loco nei primi anni.
• La CAC richiede la dichiarazione e l'ispezione di tutti gli impianti di produzione di armi chimiche (ne sono stati dichiarati 97) e la maggior parte di questi è stata verificabilmente distrutta. (Nel richiedere la dichiarazione degli impianti esistenti, questi accordi proibiscono anche lo svolgimento di determinate attività al di fuori degli impianti dichiarati, analogamente al divieto, previsto da questo Articolo, per i CCC non monitorati).
• Oltre 700 impianti nucleari dichiarati in tutto il mondo sono monitorati dall'AIEA nell'ambito del TNP.

Analogamente a quanto previsto dal Paragrafo 3 di questo Articolo, numerosi accordi sul controllo degli armamenti richiedono che le Parti non interferiscano con i rispettivi MTN nel contesto della verifica del trattato. Ne sono esempi il SALT I,^† l'ABM,^‡ l'INF^§ e lo START I.

Un precedente in cui le Parti limitano le industrie del proprio settore privato nazionale per adempiere agli impegni del trattato (come sarebbe necessario nel caso dell'IA) è riscontrabile nella legislazione statunitense successiva alla ratifica della CAC: il Chemical Weapons Convention Implementation Act del 1998 e i regolamenti del Dipartimento del Commercio hanno assicurato la conformità delle entità statunitensi. Allo stesso modo, il Congresso degli Stati Uniti ha emendato il Clean Air Act a seguito della ratifica del Protocollo di Montreal per vietare le sostanze che riducono lo strato di ozono.

Negli Stati Uniti, gli approcci all'implementazione della centralizzazione dei chip potrebbero basarsi sulla Takings Clause del Quinto Emendamento, in base alla quale il governo può usare il suo potere di espropriazione per pubblica utilità per acquisire proprietà privata, a condizione che paghi un adeguato indennizzo.