Le costituzioni dell'AI di Microsoft, OpenAI e Anthropic

Il 14 settembre Microsoft AI ha pubblicato la bozza del suo Humanist AI Code of Conduct e l’ha aperta a una consultazione pubblica di sei settimane. Una versione rivista è prevista verso la fine dell’anno e guiderà lo sviluppo dei modelli dal 2027. Per le imprese italiane che introducono agenti AI nei processi aziendali, le costituzioni dell’AI come questa rappresentano il primo livello della governance. Decidono quale posizione il sistema deve occupare rispetto agli esseri umani. Definiscono da chi riceve autorità e quanto del suo comportamento dipenda da regole esterne.

Le tre “costituzioni”: Microsoft, OpenAI e Anthropic a confronto

Come osserva Nicola Mattina in un’analisi pubblicata su EconomyUp il 13 ottobre, è utile leggere il codice di Microsoft insieme al Model Spec di OpenAI e alla Costituzione di Claude, perché i tre testi rivelano filosofie molto diverse. Fino a oggi l’abitudine era confrontare i modelli sui benchmark, sulla qualità del codice e sui costi. Man mano che l’AI passa dalla generazione di contenuti all’esecuzione di azioni, però, conta altrettanto capire quale idea di delega sia incorporata nel sistema.

La posizione di Microsoft è la più netta sul piano filosofico. Il suo Code of Conduct parte dall’idea che le persone contano più dell’AI, dichiarandosi disposto a sacrificare generalità, autonomia o capacità pur di preservare sicurezza e controllo. I modelli devono poter essere interrotti, corretti e spenti, e non devono creare obiettivi propri né ampliare il mandato ricevuto. Nella sezione “AI is Artificial”, Microsoft afferma che i propri modelli non sono coscienti. I modelli non dovrebbero imitare la coscienza né rappresentarsi come dotati di sentimenti o motivazioni intrinseche. L’umano definisce i fini e assume la responsabilità.

La Costituzione di Claude parte da un’impostazione diversa, perché è scritta principalmente per il modello e usa concetti normalmente riservati agli esseri umani: virtù, saggezza, carattere e identità. Anthropic preferisce coltivare valori e capacità di giudizio anziché affidarsi solo a regole rigide, mantenendo però vincoli inderogabili per i rischi più gravi. Non sostiene che Claude sia cosciente, ma tiene aperta la possibilità di una forma di coscienza o status morale. Microsoft teme che questa impostazione renda più difficile distinguere umano e macchina; Anthropic ritiene plausibile che un’identità emerga comunque e cerca di orientarla.

Il Model Spec di OpenAI dedica meno attenzione alla natura del modello e molto di più alla distribuzione dell’autorità. Il suo nucleo è una gerarchia di istruzioni: Root, System, Developer, User e Guideline. In essa le regole fondamentali prevalgono. Il potere viene poi delegato a sviluppatore e utente. Per gli agenti, questa gerarchia definisce il mandato: operare entro un ambito di autonomia concordato, senza obiettivi ulteriori, monitorando gli effetti collaterali. Nessuno dei tre approcci è dichiarato vincente: il confronto serve a capire quale comportamento ciascun fornitore dichiara di voler ottenere.

Dai principi alle regole: il limite delle costituzioni

Le costituzioni dell’AI hanno un limite strutturale che riguarda direttamente chi le usa: sono scritte da chi sviluppa il modello, tradotte in training e controlli dallo stesso soggetto, e valutate con sistemi che restano in larga parte sotto il suo controllo. Aumentano la trasparenza, ma non costituiscono una garanzia esterna del comportamento effettivo. Chi adotta un agente accetta quindi una componente di fiducia. Non può controllare come il principio sia entrato nei pesi del modello e non conosce tutti i compromessi del training. Non può nemmeno prevedere ogni interpretazione concreta.

La storia offre un parallelo istruttivo. Il Quattordicesimo emendamento degli Stati Uniti, ratificato nel 1868, stabiliva l’eguaglianza delle persone davanti alla legge. Nel 1896, con la sentenza Plessy v. Ferguson, la Corte Suprema ritenne comunque compatibile con quel principio la segregazione razziale, secondo la dottrina “separate but equal”. Soltanto con la sentenza Brown v. Board of Education del 1954 e con il Civil Rights Act del 1964 quell’interpretazione venne superata. Lo stesso principio costituzionale aveva prodotto, attraverso regole e interpretazioni diverse, esiti opposti.

Questa lezione pesa sui costi e sui benefici della governance dell’AI per una PMI. Chi ci guadagna in primo piano è chi sa tradurre i principi in procedure. Un’impresa che definisce mandati e controlli può adottare agenti con rischi misurabili. Chi si affida alla sola “buona costituzione” del fornitore ne sopporta il costo quando qualcosa va storto. I costi nascosti non sono pochi. Configurare permessi, registrazioni ed escalation richiede tempo del management. Un controllo progettato male, con metriche sbagliate o permessi più ampi del necessario, dà un’apparenza di governance senza sostanza. C’è anche il rischio dei tempi: aspettare regole esterne perfette rallenta l’adozione. Ma procedere senza confini espliciti espone a errori per i quali non esiste nemmeno un criterio condiviso per dire se l’agente abbia oltrepassato i propri limiti.

Restano poi domande operative aperte: chi rappresenta il controllo umano quando un agente seleziona un candidato o blocca una transazione, l’utente che impartisce l’ordine, il responsabile del processo, il team che lo configura o il fornitore? Rispetto a quali gruppi va misurata l’equità? E quale rimedio ha chi subisce una decisione errata?

La governance multilivello dell’impresa

Quando un’impresa introduce l’AI, non parte da uno spazio privo di regole. Ci sono le norme dedicate alla tecnologia, come l’AI Act europeo e, in Italia, la legge 132 del 2025. L’uso di un modello può coinvolgere anche la protezione dei dati del GDPR. Può riguardare anche le responsabilità dell’ente previste dal decreto legislativo 231/2001, gli standard volontari, i codici etici interni e le regole deontologiche delle professioni. Un codice etico o un modello 231 non smettono di valere perché parte del processo è stata affidata a un sistema automatico.

Ne deriva una governance articolata in più livelli. La costituzione del fornitore orienta il comportamento generale del modello, la legge stabilisce obblighi e divieti, gli standard li adattano ai contesti. L’impresa definisce responsabilità e procedure, l’infrastruttura tecnica applica permessi e controlli. Nessuno di questi livelli, da solo, descrive il comportamento finale del sistema.

Il livello tecnico ha un nome: harness, cioè l’infrastruttura che circonda il modello e gli consente di operare in un ambiente reale. Comprende contesto, strumenti, permessi, memoria, controlli umani, registrazione delle azioni ed evaluation. OpenAI parla di “harness engineering” per descrivere il lavoro su strumenti, documentazione, feedback e guardrail. Anthropic usa lo stesso concetto per l’affidabilità degli agenti in compiti lunghi e complessi. L’harness stabilisce quali dati l’agente possa vedere, entro quali soglie possa agire senza conferma e quali evidenze restino disponibili per una verifica successiva.

Il suo valore è spostare una parte della governance dal modello, controllato dal fornitore, a un insieme di decisioni che l’impresa può progettare, verificare e modificare. “Mantenere il controllo umano” diventa così approvazioni obbligatorie, permessi limitati, rollback ed escalation. “Trattare le persone equamente” richiede di definire per quali decisioni e gruppi valutare gli esiti e cosa accada quando emerge una distorsione.

Cosa fare in pratica: mandati, deleghe e gestione degli errori

Le imprese non hanno bisogno di un manifesto separato dai processi. Devono stabilire alcune questioni prima di collegare un agente ai sistemi aziendali. Devono definire quali decisioni non intendono delegare, quale sia il mandato di ciascun agente e quali dati e strumenti siano necessari. Devono anche stabilire quando una persona debba intervenire e quali evidenze servano a controllarne il comportamento. Questo lavoro coinvolge tecnologia e compliance, ma anche i responsabili dei processi, che conoscono le eccezioni e le conseguenze delle decisioni. Per un agente, poter accedere a una casella email o a un archivio non significa poterli utilizzare per qualunque finalità.

Un riferimento concreto viene dal diritto italiano. L’articolo 13 della legge 132/2025 stabilisce che nelle professioni intellettuali l’AI debba essere usata solo per attività strumentali e di supporto, con prevalenza del lavoro intellettuale, e impone al professionista di comunicare al cliente, con linguaggio chiaro e semplice, quali sistemi di AI siano stati utilizzati. Negli ultimi mesi diversi ordini professionali italiani hanno adeguato i propri codici deontologici a questa norma. La sequenza è visibile: un principio generale viene recepito dalla legge, tradotto in regola professionale, collegato a una responsabilità individuale e accompagnato da una procedura informativa. Il professionista non può trasferire al modello la responsabilità dell’elaborato, e l’argomento “lo fa l’AI, quindi dovrebbe costare meno” trascura proprio ciò che la regola preserva: la responsabilità di decidere se e come usare l’output.

Un esempio operativo chiarisce la delega. Un agente commerciale può essere autorizzato a consultare il CRM, ricostruire la storia di un cliente e preparare un’offerta. L’approvazione dello sconto e l’invio restano al responsabile commerciale. Nella configurazione: l’agente accede ai dati e predispone una bozza, ma lo strumento di invio si abilita solo dopo l’approvazione. Se il modello interpreta male il mandato, l’operazione viene bloccata.

Infine, la gestione degli errori misura la qualità della governance. Se l’agente interpreta male un’istruzione o tenta un’operazione non autorizzata, l’impresa deve poter rispondere a tre domande. Non può affidarsi alla qualità dell’addestramento dichiarata dal fornitore. Le domande sono: quali controlli lo bloccano, chi viene avvisato, chi interviene. E se l’errore ha già prodotto effetti, deve essere possibile ricostruire le azioni compiute e porvi rimedio. Le costituzioni di Microsoft, OpenAI e Anthropic restano documenti importanti perché rendono visibili differenze altrimenti incorporate nel training. Ma per un’impresa sono un punto di partenza, non un meccanismo di controllo: il controllo si costruisce in azienda, prima di collegare l’agente ai sistemi con conseguenze reali.

Fonti:

• AI Act europeo | eur-lex.europa.eu
• gazzettaufficiale.it
• eur-lex.europa.eu
• Governance dell’AI: cosa dicono le “costituzioni” e cosa devono… | economyup.it