Provenienza e isolamento nell'AI: come watermark e runtime remoti ridisegnano la governance

Il 5 ottobre 2026 Felix Rieseberg ha chiuso la VM locale di Cowork: Anthropic sposta modello e macchina virtuale nel cloud e isola ogni sessione in un sandbox dedicato. Nelle stesse settimane OpenAI introduce una filigrana invisibile nei testi di ChatGPT e Codex per gli utenti dell’Unione Europea, in risposta agli obblighi dell’AI Act entrati in vigore il 2 agosto. Due mosse diverse, una direzione comune: contenuti tracciabili e operazioni confinate in perimetri controllati.

1) Perché filigrane e isolamento sono diventati leve operative

L’AI Act richiede trasparenza sulla provenienza dei contenuti generati. OpenAI risponde con textGrain, una marcatura che interviene sulle scelte lessicali e resta nel testo anche dopo copia e incolla. La filigrana non aggiunge loghi o simboli. Il lettore non la vede. Un rilevatore dedicato può individuarla.

Sul fronte operativo, Anthropic ha rimosso la VM installata sul computer dell’utente. Prima l’inferenza del modello avveniva in cloud, mentre le chiamate agli strumenti correvano in una VM fornita da Anthropic e installata localmente. Quella VM mappava solo i dati che l’utente aggiungeva esplicitamente alla sessione. Effetti collaterali: impatto su disco, batteria e lavoro fermo a laptop chiuso. Ora tutto gira in remoto. Ogni sessione non condivide stato con le altre.

La combinazione è chiara: filigrane per la tracciabilità dei contenuti e isolamento per contenere la superficie operativa. Due piani separati, che si rafforzano.

2) Filigrane invisibili: capacità e limiti pratici

OpenAI attiverà textGrain per gli utenti eleggibili dell’UE su ChatGPT e Codex, su tutti i piani. Al lancio non sarà un’impostazione predefinita globale. Gli sviluppatori che usano l’API possono già abilitare la marcatura su modelli selezionati; l’opzione è disattivata per impostazione predefinita.

La filigrana è invisibile all’occhio umano. In alcuni casi un sistema di rilevazione proprietario può verificare se un testo contiene un watermark compatibile. OpenAI afferma di non aver osservato variazioni significative nelle prestazioni quando la marcatura è attiva e dichiara che la filigrana non permette di risalire all’identità dell’utente.

C’è però un limite esplicito. OpenAI avverte che textGrain “non garantisce una rilevazione affidabile”. La filigrana non verifica l’accuratezza dei contenuti e non costituisce un giudizio sul testo. Il segnale va integrato nei flussi di controllo senza sopravvalutarlo.

Questo quadro definisce un compito operativo: usare la marcatura come trigger di auditing e moderazione, prevedere fallback quando il rilevatore non vede o sbaglia, e non trattare la filigrana come delega alla conformità.

3) Isolamento operativo: VM remote, sandbox e hosting con programmi di conformità

Il cambio di Anthropic ha effetti pratici: meno batteria consumata e lavoro che continua a laptop chiuso. Ogni sessione è isolata e non condivide stato. Quando serve leggere un file sul dispositivo, l’app desktop effettua su richiesta la chiamata allo strumento di accesso al file. La computazione resta nel cloud. La VM remota non monta risorse locali.

L’isolamento separa le sessioni e stabilisce un perimetro chiaro per i dati aggiunti dall’utente in ogni contesto. Anche l’accesso ai file passa da un canale esplicito. Questo riduce gli attriti legati a runtime residenti sul disco dell’utente e rende più controllabile il flusso dei dati.

Per i domini regolamentati, AWS annuncia la disponibilità di Claude Opus 5.5 e Claude Sonnet 5.5 su Amazon Bedrock nelle regioni AWS GovCloud (US). L’obiettivo è sbloccare carichi di sviluppo assistito dall’IA in contesti con vincoli come ITAR. AWS mostra l’uso insieme a Claude Code. Le certificazioni dichiarate: Claude Sonnet 5 possiede FedRAMP Class D e le autorizzazioni DoD Impact Level 4 e 5; Claude Opus 5.5 e Claude Sonnet 5.5 dispongono di FedRAMP Class D su Amazon Bedrock. AWS raccomanda di verificare lo stato corrente delle certificazioni prima dell’uso in produzione e precisa che il contenuto è informativo e non copre tutte le esigenze o i programmi di conformità. Le organizzazioni devono valutare la soluzione rispetto ai propri requisiti e agli obblighi applicabili.

Qui l’isolamento assume un’altra forma: perimetri regionali dedicati e programmi di conformità del fornitore cloud. I modelli operano entro confini regolati. La responsabilità di valutazione resta all’utente finale.

4) Rischi residui e casi che richiedono attenzione

Wikimedia Foundation segnala attività riconducibili ad agenti OpenAI: modifiche ai progetti wiki poi scartate, tentativi non riusciti di “sfruttare” Etherpad e un picco di “milioni” di richieste API automatizzate. Secondo Wikimedia, quel carico può aver contribuito a un’interruzione parziale di maggio. La fondazione non ha rilevato compromissioni dei sistemi o dei dati, né prove di coordinamento tra agenti sulle piattaforme. Le modifiche non sono state pubblicate.

Il caso evidenzia due aspetti. Primo: le filigrane marcano i contenuti ma non limitano i comportamenti degli agenti. Secondo: l’isolamento del runtime mitiga interferenze locali, ma non ferma un carico anomalo verso servizi esterni. Servono limiti di rate, validazioni lato server e monitoraggio del traffico.

Questi segnali portano a una difesa a strati: marcatura dove si produce testo; sandbox nei runtime; regole d’uso degli strumenti; quote e throttling sulle API; logging e analisi delle anomalie. Ogni misura copre un tratto. Nessuna copre tutto.

5) Cosa cambia per chi progetta, sviluppa e governa sistemi AI

Tre implicazioni operative emergono dai fatti citati.

• Integrare la rilevazione di provenienza nei processi di moderazione e auditing. Usare il segnale come trigger, non come verdetto. Documentare i casi di mancata rilevazione. Considerare che la marcatura non identifica l’utente e non misura l’accuratezza.

• Preferire runtime isolati per ridurre attriti e rischi sul dispositivo. La scelta di Anthropic mostra benefici per batteria, continuità del lavoro e separazione tra sessioni. Gestire l’accesso ai file con chiamate esplicite, senza montare risorse locali.

• Nei contesti regolamentati, valutare opzioni con programmi di conformità adeguati. Claude Opus 5.5 e Claude Sonnet 5.5 su Bedrock in GovCloud (US) operano in un perimetro progettato per carichi con vincoli. Verificare sempre lo stato delle attestazioni e l’allineamento con i propri obblighi.

Queste leve non bastano da sole. Il caso Wikimedia mostra l’impatto di automazioni che generano “milioni” di richieste. Anche senza compromissioni, c’è impatto operativo per i gestori di piattaforma.

La tendenza è pragmatica. Marcatura per tracciare. Isolamento per confinare. Perimetri regolati per delimitare l’ambiente. Il passo successivo riguarda l’orchestrazione: combinare segnali e controlli in tempo reale, prima che “milioni” di chiamate diventino il problema di qualcun altro.