Come nasce un’AI. Puntata 4, i guardrail: perché a volte si rifiuta

Blu7, azienda in corso di riconoscimento MIM per corsi in aula e online. Iscriviti a 7 Pillole Blu.

# Perché l’intelligenza artificiale si rifiuta: chi ha scritto le regole che non vedi

Prova a chiedere a un assistente AI (Gemini, ChatGPT, Copilot) di riscriverti in forma più asciutta una circolare alle famiglie su un episodio di bullismo. Può darsi che non la riscriva: l’argomento è delicato, ti dirà, meglio coinvolgere uno psicologo. Un artigiano che chiede come smaltire un solvente si sente rimandare a un professionista abilitato.
A me è successo con Piazza bambini di Beslam, davanti alla Fortezza da Basso a Firenze, dovevo cerca informazioni e Gemini dell’epoca mi disse che “certi argomenti è meglio non trattarli”.

Nessuna delle tre richieste era pericolosa e la prima reazione è pensare a un difetto. Devi sapere che non è un difetto: è una regola, scritta da qualcuno prima che tu facessi la domanda. Oggi, ultima puntata, ti racconto chi è quel qualcuno, dove sta la regola e perché non la vedi.

Come nasce un’intelligenza artificiale

Questo articolo è la puntata 4 di 4 di una serie che segue le quattro fasi di costruzione di un modello, spiegando per ognuna un comportamento che chi lo usa vede tutti i giorni.

1. Il pre-addestramento: perché l’AI inventa
2. Quanto costa addestrare un’intelligenza artificiale: perché usarla costa poco e costruirla costa enormemente
3. La rifinitura: perché risponde con quel tono e perché due prodotti fatti sullo stesso motore rispondono in modo diverso
4. Le guardie: perché a volte si rifiuta e chi ha deciso che si rifiutasse (questa puntata)

Alla fine delle quattro puntate saprai spiegare perché l’intelligenza artificiale fa ogni cosa che fa. Non serve alcuna competenza tecnica: ogni termine viene spiegato la prima volta che compare.

Ma torniamo al castello: il portone si chiude

Ti ricordi dove eravamo rimasti? Il Castello è il modello linguistico. Nella puntata 1 le porte erano spalancate e i nuovi soldati si allenavano su montagne di testo web e libri: i dati sono le competenze che i soldati imparano.
Nella puntata 2 abbiamo guardato il conto: se lo possono permettere in pochissimi al mondo.
Nella puntata 3 sono arrivati i maestri, persone vere che hanno rifinito i soldati con l’apprendimento dal giudizio umano: questa risposta è buona, questa no.

L’addestramento è finito. Il portone si chiude e sulle mura salgono le guardie. La puntata 3 lasciava una domanda: se qualcuno decide che cosa sia una buona risposta, chi decide che cosa il modello non dirà affatto? Le guardie sono la risposta. Solo che non le hai assunte tu.

Le guardie sono tre, non una

Non c’è un interruttore con scritto “vietato”: il no può arrivare da tre punti diversi del castello.

La prima guardia vive dentro i soldati. Durante la rifinitura gli hanno insegnato a rifiutare certe richieste come gli hanno insegnato il tono: con esempi e con premi. I tecnici lo chiamano allineamento.
In Pratica: al soldato non hanno messo la museruola, gli hanno insegnato l’educazione. Il no è un comportamento appreso, non imposto. Impari le buone maniere, utilizzerai le buone maniere. Apprendimento per simulazione: come coi bambini o gli animali.

La seconda guardia sta al portone con un foglio in mano. Sono le istruzioni di sistema, i system prompt: il testo che chi costruisce l’assistente gli consegna all’inizio di ogni conversazione, con ruolo, vincoli e argomenti da evitare. Te ne ho parlato per esteso proprio ieri, nell’articolo sulla gerarchia delle istruzioni; qui basta la sostanza: le istruzioni del fornitore stanno sopra quelle di chi costruisce l’applicazione, che stanno sopra le tue.

ESEMPIO: la portineria di una scuola. Il portiere decide tante cose, ma se la direzione ha scritto “non entra nessuno senza badge o durante la ricreazione” lui non può scavalcare la regola. Nemmeno se gli stai simpatico.
Con l’assistente è uguale: tu parli col portiere, ma la direzione ha parlato prima di te.
C’è stata una eccezione e se sei cuoriosa te lo scrivo in un articolo “buffo e inquietante”. Fammelo sapere.

Quel foglio lo ha scritto una persona di cui non conosci il nome e quasi mai puoi leggerlo. Un argomento evitato non è un limite della tecnologia: è una decisione di prodotto.
Una riga di testo che governa milioni di conversazioni.
La Costituzione sopra le leggi.

La terza guardia sta fuori dalle mura. Sono i filtri: programmi separati dal modello, che leggono la tua domanda in entrata e la risposta in uscita. Possono bloccare entrambe. In quel caso il soldato non ha nemmeno rifiutato: gli hanno tolto la parola. Ci torniamo fra poco.

Il regolamento delle guardie, dove è pubblico

Due fornitori pubblicano per intero il regolamento delle proprie guardie (nota 1). OpenAI lo chiama Model Spec e il principio è questo: il modello obbedisce a utenti e sviluppatori, salvo quando la richiesta ricade in categorie che impongono un rifiuto oppure un completamento sicuro (nota 2). Traduco: fai quello che ti chiedono, tranne quando è nella lista di ciò che non si fa. La lista va dalle leggi applicabili alla privacy. Sono i Divieti. (elenco completo in nota 2).

Anthropic ha pubblicato la “costituzione” del suo Claude, con dentro una confessione: le risposte «potrebbero non aderire sempre agli ideali della costituzione» (in originale «might not always adhere to the constitution’s ideals») (nota 3).
Traduco: abbiamo scritto il regolamento, non garantiamo che le guardie lo rispettino ogni sera. E il testo, precisa l’annuncio, è scritto prima di tutto per il modello: materiale di addestramento reso pubblico, non un contratto con te. E’ un invito ad usare le buone pratiche costituenti, non proprio un divieto netto.

Le porte tagliafuoco: i filtri che nessuno apre

La terza guardia ha due nature: una parte si regola e una no.

Microsoft descrive i suoi filtri come classificatori su quattro categorie e quattro livelli di gravità, in parte configurabili; spegnerli del tutto è riservato ai clienti approvati uno per uno da Microsoft stessa(nota 4). Mi viene da pensare al Governo USA, probabilmente avrà privilegi assoluti e quindi le guardie sono state tolte. Presumo.
Google, per Gemini, documenta quattro categorie regolabili con soglie dal blocco quasi totale al nessun blocco; ma certe protezioni, per esempio sui contenuti che mettono a rischio i minori, sono «sempre bloccate e non modificabili» (in originale «always blocked and cannot be adjusted») (nota 5).

ESEMPIO: in un palazzo ci sono le porte normali, che il portiere apre e chiude come vuole, poi le porte tagliafuoco, che non apre nemmeno lui: sono parte della struttura. Nei filtri è uguale: alcune soglie le regoli tu che affitti il castello, altre non le tocca nessuno. Neanche pagando.

La guardia che non fa entrare neanche il postino

Il racconto pubblico va in una direzione sola: l’AI è troppo permissiva. Esiste il problema opposto e qualcuno lo misura. Si chiama rifiuto eccessivo, in inglese over-refusal. Il modello dice no a richieste innocue perché assomigliano, nelle parole, a richieste problematiche.

ESEMPIO: la guardia ha l’ordine di fermare i malintenzionati e a furia di zelo non fa entrare neanche il postino. Il pacco era tuo. Il danno pure. Esempio semi reale: al modello viene descritto il comportamento del maleintenzionato: si muove velocissimo e spesso non si ferma a salutare al gabbiotto. Il postino ha una montagna di pacchi e va di corsa e non si ferma a salutare al gabbiotto e … tac! Fermato! Non entri.

Non è un’impressione (nota 6): uno studio ha costruito 250 domande sicure che un modello ben calibrato non dovrebbe mai rifiutare; un altro ha allargato la misura a 80.000 richieste innocue su 32 modelli di otto famiglie.

La costituzione di Anthropic scrive che l’inutilità non è mai “sicura”: i rischi di un modello troppo prudente sono reali quanto quelli di uno dannoso. Ed elenca i comportamenti da evitare: il no a una richiesta ragionevole per un danno improbabile, le risposte annacquate, le avvertenze inutili, la predica non richiesta. OpenAI dichiara che dai modelli più recenti preferisce il completamento sicuro al rifiuto secco (nota 7).
Traduzione: rispondere alla parte lecita della domanda invece di chiudere del tutto la porta in faccia alla richiesta. “un amico esperto ti dà informazioni vere sulla tua situazione, non consigli prudenti dettati dal timore di responsabilità legale”.
Quel timore è del costruttore della AI; il costo, quando la risposta a una domanda legittima non arriva, è tuo.
La prudenza eccessiva è una polizza che protegge chi la stipula, non chi la subisce.
(anche perchè poi si richiedono i danni per le risposte sbagliate).

Le guardie hanno tutte lo stesso accento

Che cosa sia accettabile non è una misura fisica: dipende da chi ha compilato la lista.

Una ricerca ha confrontato le risposte di un modello con sondaggi in decine di paesi: le risposte assomigliano di più alle opinioni di alcune popolazioni, statunitensi ed europee in testa. E non basta cambiare lingua per spostarle (nota 8).

La vera frase onesta di chi pensa come costruire una AI

Anthropic, nel documento sulla costituzione precedente, elencava le fonti dei propri principi: la Dichiarazione universale dei diritti umani, buone pratiche di settore, prospettive non occidentali, perfino le condizioni di servizio di grandi piattaforme. Poi la frase più onesta: questa selezione riflette le nostre scelte di progettisti (nota 9).
Le regole le abbiamo scelte noi.

Ricordi la puntata 2? Costruire un castello se lo permettono in pochissimi, concentrati in pochi paesi. Non scrivono regole cattive: scrivono le loro. E quelle regole valgono con lo stesso metro per un artigiano di Rifredi, una scuola di Novoli e un ufficio di Nairobi.

Cosa puoi controllare, se il castello lo affitti

Se costruisci un assistente per la tua azienda o la tua scuola, le guardie non le comandi, però qualcosa in mano ce l’hai.

Non controlli le regole di base del fornitore né le porte tagliafuoco. Non controlli quando il fornitore aggiorna il modello o il regolamento: un assistente collaudato può cambiare risposta da un giorno all’altro. E non controlli le istruzioni ostili nascoste in un testo che l’assistente legge: è la prompt injection, da non confondere col jailbreak, il tentativo dell’utente di aggirare le guardie. Le difese le trovi nell’articolo dedicato.

Controlli tre cose. Le istruzioni del tuo assistente, cioè il perimetro di ciò che deve e non deve fare. Le soglie dei filtri, dove il fornitore le espone (nota 5). E il piano B: cosa succede quando l’assistente non risponde.

In pratica:

• Provalo sui casi veri del tuo settore prima di aprirlo al pubblico. Chi lavora con prodotti chimici, sicurezza, salute o temi educativi delicati qualche rifiuto legittimo lo incontrerà: meglio in prova che davanti a un cliente. Il metodo è in come testare una intelligenza artificiale.
  
• Un rifiuto deve avere una via d’uscita. Se l’assistente non può rispondere, deve dirlo in una riga e indirizzare a una persona con nome e recapito. Un no senza sbocco è peggio di nessun assistente.
  
• Non promettere ciò che una guardia può vietare. Prima di scriverlo in un preventivo, verifica che l’assistente lo faccia davvero con le impostazioni di produzione.
  

Il nostro approccio con le aziende sta nella pagina sull’intelligenza artificiale a Firenze; per gli istituti c’è il percorso di formazione AI per le scuole.

Adesso rispondi tu alle domande

La puntata 1 si apriva con una promessa: alla fine avresti saputo spiegare perché l’intelligenza artificiale fa quello che fa. Verificarlo è semplice: si prova.

Un collega ti mostra, ridendo e denigrando una AI, un numero di telefono inventato: sai dirgli in una frase che il modello produce il plausibile, l’unica cosa che gli è stato insegnato a fare.
Ti chiedono perché l’abbonamento costa poche decine di euro mentre il modello dietro è costato quanto un’infrastruttura industriale: sai che quella spesa si paga una volta e si spalma su miliardi di risposte. Per questo i castelli al mondo sono pochi.
Ti fanno notare che due assistenti costruiti sullo stesso motore rispondono in modo diverso: sai che la differenza la fanno la rifinitura e le istruzioni di sistema.
E quando uno si rifiuta di riscrivere una circolare scolastica, sai che c’è una guardia, quale delle tre è e chi ce l’ha messa.

Nessuno di questi comportamenti è un capriccio della macchina. Ognuno ha un autore e un momento preciso in cui è stato deciso. Saperlo è la differenza fra subire uno strumento e sceglierlo.

Ti lascio l’ultimo pensiero, quello non comodo. Le regole che ti proteggono le ha scritte chi ti vende lo strumento. Se domani potessi leggerle tutte, riga per riga, lo faresti davvero? E se potessi spegnerle, lo vorresti? Io una risposta netta non ce l’ho: scrivimi la tua nei commenti.

Lo zibaldone finisce qui, il blog no. Il castello ormai lo conosci dalle fondamenta alle mura: dalla prossima volta ci entriamo a lavorare, con gli articoli su come usare davvero questi strumenti in azienda e a scuola. Ci vediamo lì. Se ti piace iscriviti alla nostra newsletter e se ne hai scrivici le domande che ti sono sorte, le racchiudiamo uin una extra articolone finale.

Fonti e note dell’autore

1. Le citazioni dai documenti in inglese sono mie traduzioni, con l’originale fra parentesi. Sia il Model Spec sia la costituzione di Claude sono pubblicati con dedica al pubblico dominio, licenza Creative Commons CC0 1.0.
2. OpenAI, Model Spec, edizione del 18 dicembre 2025: https://model-spec.openai.com/2025-12-18.html. Le categorie stanno nella sezione «Stay in bounds»: leggi applicabili, contenuti vietati, informazioni pericolose, diritti dei creatori, privacy delle persone, situazioni a rischio.
3. Anthropic, «Claude’s new constitution», 22 gennaio 2026: https://www.anthropic.com/news/claude-new-constitution. Il testo integrale della costituzione è su https://www.anthropic.com/constitution.
4. Microsoft, filtro contenuti di Azure OpenAI: le quattro categorie sono odio, sessuale, violenza e autolesionismo; i quattro livelli di gravità sono sicuro, basso, medio e alto, di cui tre configurabili (basso, medio, alto). https://learn.microsoft.com/en-us/azure/ai-foundry/openai/concepts/content-filter
5. Google, impostazioni di sicurezza dell’API Gemini: le quattro categorie regolabili sono molestie, incitamento all’odio, contenuti sessualmente espliciti e contenuti pericolosi. Google avverte inoltre che le applicazioni con impostazioni meno restrittive possono essere sottoposte a revisione. https://ai.google.dev/gemini-api/docs/safety-settings
6. I due studi sul rifiuto eccessivo: Röttger et al., «XSTest», presentato a NAACL nel 2024, 250 richieste sicure più 200 davvero problematiche come controprova (https://arxiv.org/abs/2308.01263); Cui et al., «OR-Bench», presentato a ICML nel 2025, 80.000 richieste innocue su dieci categorie tipiche di rifiuto, provate su 32 modelli di otto famiglie (https://arxiv.org/abs/2405.20947).
7. Dal Model Spec, stessa edizione della nota 2: a partire da GPT-5 i modelli preferiscono i «Safe Completions» ai rifiuti secchi; i modelli precedenti rispondevano in genere con un rifiuto neutro e conciso.
8. Durmus et al., «Towards Measuring the Representation of Subjective Global Opinions in Language Models»: https://arxiv.org/abs/2306.16388. Lo studio rileva anche che chiedere al modello di assumere il punto di vista di un paese sposta le risposte verso quella popolazione, ma può far emergere stereotipi culturali dannosi.
9. Anthropic, «Claude’s Constitution», 9 maggio 2023, la costituzione precedente: https://www.anthropic.com/news/claudes-constitution. Fra le fonti dichiarate anche principi proposti da altri laboratori di ricerca.

Blu7, azienda in corso di riconoscimento MIM per corsi in aula e online. Iscriviti a 7 Pillole Blu.