Pesi aperti, open source e il modello che ha memorizzato Harry Potter

Due verità coesistono nei modelli linguistici a pesi aperti, e l'industria ha passato tre anni a fingere il contrario. Sono davvero utili. E non sono open source.

Non si tratta di una sottigliezza semantica. Questa distinzione determina se chi sta fuori dal laboratorio che rilascia il modello possa verificare cosa ha imparato, riprodurne il processo di apprendimento o controllare le affermazioni su bias e sicurezza. L'attuale ondata di rilasci "aperti", dalla linea Llama di Meta al Mixtral di Mistral, pubblica i pesi e poco altro. Codice di addestramento, dataset e metodologia restano chiusi. Un articolo di Prompt Engineering del dicembre 2023 ha chiarito la differenza: i pesi aperti permettono di usare il modello ma non garantiscono piena trasparenza, mentre l'open source consente di capirlo e personalizzarlo, a patto di un lavoro di rilascio molto più impegnativo.

Che cos'è un peso

I pesi sono l'output numerico di una sessione di addestramento. Non sono leggibili da un umano, non si possono debuggare e non sono istruzioni. Il codice sorgente, invece, è tutte e tre le cose. Secondo Prompt Engineering, confondere i due concetti è un errore comune con conseguenze reali: porta a descrivere come open source una pipeline di addestramento proprietaria solo perché un file di parametri è scaricabile.

Il costo pratico emerge nella verificabilità. Se sono disponibili solo i pesi, gli sviluppatori possono eseguire modelli avanzati ma non riescono a valutare in modo significativo bias, limiti e impatti sociali, come sottolinea lo stesso articolo. Il disallineamento tra il modello e le esigenze del mondo reale diventa difficile da individuare. Con l'accesso completo al sorgente, ricercatori di organizzazioni diverse possono condurre audit rigorosi su equità, sicurezza e robustezza. È questo il compromesso: comodità immediata, ispezionabilità assente.

Rilasciare solo i pesi di un modello abilita ampiamente lo sviluppo di applicazioni, ma concentra il controllo in un piccolo gruppo di organizzazioni. Abilitare l'accesso open source distribuisce il controllo, ma richiede un impegno maggiore verso trasparenza e decentralizzazione.

Questa formulazione ha retto bene al tempo, anche perché le prove del problema dell'ispezionabilità continuano ad arrivare.

Il problema della memorizzazione

Il 18 maggio 2025, un gruppo di ricercatori tra cui A. Feder Cooper, Mark A. Lemley e Percy Liang ha pubblicato su arXiv un paper che misura quanto testo di libri protetti da copyright i modelli linguistici a pesi aperti possano essere indotti a riprodurre. Hanno applicato la loro tecnica di estrazione a 200 libri e 14 modelli a pesi aperti, eseguendo oltre 3.000 esperimenti. La sesta versione del paper, rivista il 20 luglio 2026, è quella attuale.

Il risultato principale contraddice entrambe le parti nel contenzioso sul copyright. Secondo il paper, la maggior parte dei modelli linguistici non memorizza la maggior parte dei libri, né integralmente né in parte. Ma ci sono eccezioni notevoli. Llama 3.1 70B memorizza interamente alcuni libri, tra cui Harry Potter e la Pietra Filosofale. La memorizzazione è così estesa da permettere di estrarre quasi alla lettera l'intero libro, in modo deterministico, usando le prime parole come prompt iniziale.

Attori e convenuti nelle cause sul copyright dell'IA generativa, scrivono gli autori, avanzano affermazioni ampie e opposte sulla memorizzazione, semplificando drasticamente il rapporto tra memorizzazione e copyright. I loro risultati, aggiungono, hanno implicazioni significative per i casi legali, anche se non tali da favorire inequivocabilmente l'una o l'altra parte.

Nota cosa richiedeva l'esperimento. Servivano pesi scaricabili e interrogabili. Un modello ad accesso ristretto avrebbe reso lo stesso test impossibile per i ricercatori esterni. I pesi aperti, in altre parole, hanno reso possibile la scoperta, anche se non sono open source.

Un piccolo controesempio

Non ogni rilascio a pesi aperti riguarda un modello di frontiera. Superwhisper ha pubblicato s1-mini, un normalizzatore di testo da 0,6B parametri per l'output speech-to-text, con licenza Apache 2.0 più una clausola sul nome. Prende una trascrizione ASR grezza e la riscrive come testo scritto pulito: rimuove i riempitivi, risolve i falsi inizi, applica punteggiatura e maiuscole, e rende in forma scritta numeri e date pronunciati. Su un set di validazione di 7.519 casi in inglese raggiunge il 94,8% di accuratezza sui token, e la build quantizzata è un file da 462 MiB che gira sulla CPU di un laptop.

Le note di rilascio sono insolitamente franche su una stranezza della documentazione. La barra laterale di Hugging Face riporta 0,8B parametri, ma la model card indica che la cifra reale è 596,0M parametri unici, perché l'embedding da 155,6M parametri è memorizzato due volte: 751,6M elementi tensoriali contro 596,0M unici. La struttura è ereditata da Qwen/Qwen3-0.6B, che riporta 0,8B sull'Hub per lo stesso motivo.

Questo tipo di divulgazione è l'argomento principale a favore del rilascio dei pesi con la documentazione. Ed è anche, esattamente, non codice sorgente. La model card ti dice il modello di base, la precisione, la forma attesa dell'input e la licenza. Non ti dà i dati di addestramento né la ricetta completa.

Perché le etichette contano meno dell'accesso

Prompt Engineering ha proposto di dividere il vocabolario: usare "Open Weights" per le licenze che coprono i pesi delle reti neurali, e "Ethical Weights" per una categoria separata di licenze pensate specificamente per i pesi. La proposta non è stata adottata su larga scala, e il marketing non ha rallentato.

• Pesi aperti: parametri rilasciati, codice e dati di addestramento trattenuti, uso e fine-tuning consentiti.
• Open source: codice dell'architettura, metodologia di addestramento, iperparametri, dataset originale e documentazione rilasciati.
• Pesi ristretti: parametri disponibili solo con significative limitazioni legali o etiche.

La distinzione ha un effetto di secondo ordine che raramente compare nei post di annuncio. L'open sourcing potenzia il progresso decentralizzato, nella formulazione di Prompt Engineering, perché ricercatori di tutto il mondo possono proporre miglioramenti e direzioni di sviluppo alternative, invece di lasciare il progresso strozzato dal piccolo numero di aziende in grado di addestrare enormi modelli proprietari. I pesi aperti concentrano invece quella capacità, mentre distribuiscono gli artefatti.

Niente di tutto questo significa che i rilasci a pesi aperti siano privi di valore. Lo studio sulla memorizzazione esiste proprio perché non lo sono. Ma un checkpoint scaricabile è una licenza per usare un modello, non una licenza per capirlo, e la distanza tra queste due cose è dove si sta svolgendo davvero la maggior parte dell'attuale dibattito sull'apertura dell'IA.