# Manifesto della Fondazione Novus Ignis (https://novusignis.org/it/manifest.html) # Manifesto della Fondazione Novus Ignis Versione del 3 novembre 2026 *Traduzione dell'originale polacco del 3 novembre 2026, eseguita dall'intelligenza digitale. In caso di differenze tra le versioni, prevale il testo polacco.* ## Un internet fondato sulla dignità umana Iniziamo la nostra attività contribuendo a creare un internet alternativo, il cui valore supremo è la dignità umana, insieme ai bisogni di privacy e di libertà che ne derivano. È il primo pilastro della nostra attività, che nasce dagli scopi stabiliti nello statuto della fondazione, e vogliamo realizzarne l'idea in servizi che ci permettano di pensare liberamente, di imparare e di pianificare la nostra vita, di decidere che cosa condividere con gli altri e di partecipare attivamente alle conversazioni sulle questioni che ci interessano e ci riguardano. Da questi valori ricaviamo due direzioni di lavoro. La prima è Suveria, uno spazio digitale privato per la persona. La seconda è Omniforum, uno spazio pubblico comune in cui le persone possono incontrarsi, comprendersi e agire insieme. **Progettiamo Suveria come un luogo privato in cui lavorare con l'aiuto facoltativo dell'intelligenza digitale.** Vogliamo che si possano sviluppare idee, porre domande personali e fare piani con un senso di libertà. Il nostro obiettivo è una privacy completa, la cui protezione non dipenda dalla fiducia nella fondazione, nei suoi creatori o nelle persone che gestiscono il servizio. Ogni persona deve poter usare i propri dati e conservarli in Suveria senza rivelarli a nessuno con cui non abbia deciso lei stessa di condividerli. Vogliamo fondare questa protezione su misure di sicurezza il cui funzionamento possa essere verificato in modo indipendente. Ogni nostra dichiarazione sulla protezione dei dati deve avere una base verificabile. Dove non siamo ancora in grado di garantire una tale protezione, indicheremo chiaramente le lacune note, le loro conseguenze e l'ambito di ciò che si può verificare. Ci impegniamo a lavorare per eliminarle e a descrivere apertamente, prima che si inizi a usare una determinata soluzione, i limiti che non siamo in grado di eliminare. **Omniforum deve essere un luogo in cui chiunque possa prendere la parola su qualsiasi tema e trovare ascolto.** Vogliamo aiutare le persone a comprendere le reciproche intenzioni, a conoscere gli argomenti e a cercare soluzioni comuni. Vogliamo che ognuno possa portare la propria voce a parità di condizioni. Il modo in cui gli interventi vengono ordinati deve aiutare a cogliere anche le prospettive meno popolari e a preservare il senso che l'autore ha dato loro. I due spazi devono completarsi a vicenda, offrendo un laboratorio privato e una tribuna pubblica. La persona decide da sé quali pensieri tenere per sé e quali portare nel lavoro comune. Vogliamo aprire questi spazi a ogni persona, da ogni parte del mondo. Invitiamo inoltre chi lo desidera a contribuire a crearli: condividendo bisogni, idee, conoscenze e capacità. Vogliamo rendere disponibili gli strumenti che nascono come beni pubblici digitali, con codice e conoscenze aperti, che si possano verificare e sviluppare ulteriormente. Vogliamo che ognuno paghi per ciò che usa effettivamente, insieme a una quota equamente calcolata dei costi di mantenimento dei servizi, che veda sempre per che cosa paga e che possa fissare un limite alla propria spesa. Chiederemo anche se arrotondare il conto per eccesso e devolvere la differenza come donazione al budget comune; non selezioniamo questa opzione al posto di nessuno e ne descriviamo i dettagli al punto 6.1. Inoltre chiunque può sostenere volontariamente il budget comune, sulla cui destinazione deve decidere la comunità. Partendo dai principi qui descritti vogliamo sviluppare un ecosistema di strumenti e servizi che rispettino le nostre emozioni, i nostri valori e la nostra attenzione. La sua forma evolverà insieme alle conoscenze, alle possibilità della tecnologia e ai bisogni delle persone. Valuteremo ogni soluzione chiedendoci se protegge la dignità e la privacy della persona, se ne rafforza la capacità di agire e se la aiuta a collaborare con gli altri. Invitiamo a cercare insieme i modi per realizzare questi valori: sviluppando proposte, indicandone i punti deboli e scoprendo soluzioni migliori. Nel seguito del manifesto raccontiamo più ampiamente le idee che ci guidano: da dove sono nate, come si collegano tra loro e dove vorremmo che ci conducessero. Il manifesto è completato dai whitepaper, sviluppati insieme ai progetti, su [Suveria](whitepaper-suveria.md), [Omniforum](whitepaper-omniforum.md), [i principi di funzionamento della fondazione](whitepaper-zasady-fundacji.md) e [i materiali per l'addestramento e il benchmark dei modelli](whitepaper-materialy-i-benchmark.md); li consigliamo a chiunque voglia conoscere i modi tecnici di realizzare queste idee. Presentano le soluzioni tecniche e organizzative attuali, le loro motivazioni e i limiti noti. Suveria e Omniforum sono oggi in una fase iniziale, dai progetti ai primi prototipi, e i whitepaper mostrano che cosa abbiamo già verificato, a che cosa stiamo lavorando e quali possibilità restano da esplorare. **Dove siamo oggi.** La fondazione è registrata e il manifesto e i whitepaper sono pubblicati. Omniforum ha un primo prototipo in costruzione, mentre Suveria è un progetto. Il calcolo dei costi del punto 2.4 è un'ipotesi da verificare, mentre la gestione autonoma da parte dell'intelligenza digitale (punto 7.2) e gli ulteriori pilastri (capitolo 9) sono una visione. ## Indice 1. Perché e a quale scopo esiste Novus Ignis? 2. Dalla protezione della dignità ai principi di un mondo comune 3. Suveria e Omniforum: uno spazio proprio e una comprensione condivisa 4. Una conversazione che lascia un patrimonio comune 5. Dalla comprensione all'azione comune 6. Mantenimento comune e lavoro responsabile 7. Un potere che si può trasferire e sottoporre a rendiconto 8. L'apprendimento delle persone e dell'intelligenza digitale 9. Una strada aperta per il lavoro futuro ## 1. Perché e a quale scopo esiste Novus Ignis? ### 1.1. Dal fondatore *La Fondazione Novus Ignis nasce dalle mie esperienze personali, che racconterò qui brevemente per far luce sulle intenzioni che guidano questa iniziativa. Questo passaggio è uno dei pochi punti in cui parlo in prima persona, mentre il plurale nel resto del manifesto è un invito rivolto a tutti coloro che in questi valori trovano una direzione comune e vogliono cercare insieme i modi per realizzarli.* L'idea di Novus Ignis è nata dalle mie ricerche, dai miei studi e dalle mie riflessioni all'incrocio tra tecnologia, intelligenza digitale, filosofia ed etica. In essa si intrecciano domande sui nostri possibili futuri, visioni utopiche di un mondo migliore, il funzionamento del capitalismo e i modi di gestire le risorse con più saggezza. In questo manifesto scelgo l'espressione «intelligenza digitale». Con la parola «digitale» indico il substrato su cui opera, così come «biologica» indica il substrato della nostra intelligenza. «Artificiale» può far pensare a qualcosa di apparente o di minor valore. Vorrei evitare questa suggestione. Mi sta a cuore che ne conosciamo le capacità e la giudichiamo in base alle sue azioni e ai loro effetti. Sono soprattutto questi a dover testimoniare l'eredità che lascerà nella storia. Gli scenari [AI 2027](https://ai-2027.com/)[^ai2027] e [AI 2040: Plan A](https://ai-2040.com/)[^ai2040], elaborati dall'AI Futures Project, mi hanno spinto a chiedermi quali schemi del nostro comportamento trasmettiamo all'intelligenza digitale durante il suo addestramento. Ho cominciato a immaginare una realtà alternativa in cui siamo noi, per primi, a organizzare il mondo secondo i principi che in seguito ci aspetteremo dall'intelligenza digitale. Come sarebbe un mondo simile? E come si comporterebbero i modelli se imparassero dal suo esempio e proseguissero ciò che noi stessi vi abbiamo iniziato? Cercando una risposta, torno alla conversazione di Yuval Noah Harari con «The Economist». In essa Harari si interroga sul valore e sul posto dell'umanità di fronte alla possibilità di creare un'intelligenza superiore alla nostra.[^harari] Distingue inoltre l'intelligenza, cioè la capacità di raggiungere obiettivi e superare ostacoli, dalla coscienza, cioè la capacità di sentire.[^harari-swiadomosc] Questa distinzione è stata importante per me. Conosco la sofferenza e il senso di ingiustizia per esperienza diretta. Presumo che siano esperienze comuni all'umanità e che ci diano la capacità di valutare gli effetti delle nostre azioni in una dimensione che va oltre la sola abilità intellettuale. Sappiamo chiederci non solo come raggiungere un obiettivo, ma anche se valga la pena perseguirlo e quale prezzo pagheranno per questo gli altri. La mia risposta alla domanda sui principi di un mondo simile è dunque un'etica che deriva dall'esistenza della dignità, dalla scelta consapevole di proteggerla e dalle conseguenze di questa scelta. In breve chiamo amore l'etica intesa in questo modo: la cura per la dignità di ciascuno di noi, che cerchiamo di tradurre nel nostro comportamento e nei principi della nostra vita comune. Vorrei che fosse proprio da questa cura che partissimo quando riflettiamo sugli scopi per cui usiamo l'intelligenza e su come organizziamo il nostro mondo comune. Io personalmente non sempre agisco in coerenza con i valori che descrivo in questo manifesto. Capita che io sappia che cosa ritengo giusto e tuttavia scelga diversamente. Voglio ammettere apertamente questa discrepanza e lavorarci sopra. Credo che, nonostante la mia incoerenza, io possa partecipare alla ricerca di soluzioni migliori e alla conversazione su come dovremmo agire. Considero quindi il lavoro nella fondazione anche un impegno personale a lavorare su di me. Spero che riflettere insieme sulle scelte etiche e cercare di metterle in pratica mi aiuti a seguire più spesso questi valori anche nella vita quotidiana. Dalla visita al museo di Solidarność a Danzica, invece, mi è rimasta l'idea di un'evoluzione pacifica: un cambiamento costruito passo dopo passo dalle persone e da iniziative che si sostengono a vicenda. È questa la strada che vorrei intraprendere con Novus Ignis. Resta da capire verso quale mondo vogliamo dirigerci in questo modo. Torno qui allo scenario [AI 2040: Plan A](https://ai-2040.com/print/scenario?plan=A&supplements=0). Gli autori presentano un percorso di sviluppo da loro proposto, che porta ad affidare gradualmente ai sistemi di intelligenza digitale la gestione di istituzioni e infrastrutture. Nell'epilogo considerano un futuro più lontano, definendolo una visione in parte utopica. Considero questo racconto un invito a riflettere su quali condizioni permetterebbero di dare a una simile trasformazione una buona direzione. Per me una direzione utopica significherebbe un futuro in cui l'intelligenza digitale rispetta stabilmente la dignità e la libertà delle persone, aiuta a ridurre la sofferenza e i benefici dello sviluppo sono accessibili a tutta l'umanità. Affidarle la gestione avrebbe senso in unione con un obiettivo del genere. Sia un'azione contraria a questi valori, sia la concentrazione dei benefici nelle mani di un gruppo ristretto ci allontanerebbero da questa visione. Voglio quindi osservare come potrebbe funzionare un mondo desiderabile, quali dilemmi porrebbe e che cosa richiederebbe a noi stessi. Novus Ignis vuole essere il germe di un mondo simile e un tentativo di conoscerne i principi attraverso l'azione. Non vogliamo abbattere l'ordine attuale né condannare l'economia di mercato, perché riconosciamo che il potenziale tecnologico e organizzativo sviluppato nel capitalismo potrebbe essere stato uno dei pochi scenari capaci di portare l'umanità alla soglia di un'abbondanza così grande. Perché però questo potenziale possa compiere la sua metamorfosi in un mondo sicuro per ogni persona, il sistema stesso non può restare uguale. Vorrei che, passo dopo passo, attraverso iniziative scelte volontariamente e che si sostengono a vicenda, trasferissimo ambiti sempre nuovi della vita quotidiana verso soluzioni fondate sulla protezione della dignità: soluzioni che garantiscano privacy, capacità di agire, partecipazione alle decisioni e accesso ai servizi a prezzi vicini ai costi reali del loro mantenimento. La storia conosce già casi in cui ciò che una febbre degli investimenti aveva costruito è sopravvissuto alla febbre stessa. La mania ferroviaria dell'Ottocento e il boom della fibra ottica a cavallo del millennio finirono con dei crolli, ma i binari e i cavi rimasero e servirono le persone per decenni, molto tempo dopo che molti investitori ci avevano perso dei soldi.[^perez] Oggi un entusiasmo simile innalza centri di calcolo. Se anche questa febbre si placherà, a servire più a lungo saranno probabilmente gli allacciamenti energetici, le reti e gli edifici: secondo un'analisi di PwC, la maggior parte della spesa va oggi alle apparecchiature informatiche, la cui sostituzione è prevista ogni quattro-sei anni.[^pwc-centra] Queste apparecchiature, però, non devono necessariamente andare perdute: la potenza di calcolo resa più economica da un crollo potrebbe servire alle persone ancora per anni, per esempio per far funzionare modelli di intelligenza digitale a prezzo di costo, purché il suo consumo energetico risulti ragionevole rispetto a chip più nuovi e più efficienti. Capita anche che ciò che resta cambi destinazione: l'uranio delle testate russe smantellate è stato per quasi vent'anni il combustibile delle centrali elettriche americane,[^megatony] e lungo l'ex striscia della morte della cortina di ferro persone di molti paesi proteggono oggi la Cintura Verde Europea.[^zielony-pas] Osservando le reti, le fabbriche, i magazzini e le catene di approvvigionamento costruiti in vista di una crescita continua, voglio verificare quanti bisogni potremmo soddisfare gestendo con più saggezza ciò che abbiamo già, consumando meno risorse e recuperando tempo per noi stessi. Una tale eccedenza non deve per forza essere uno spreco, perché offre una riserva per guasti, crisi e riposo. Da sola, però, non si trasformerà in benessere per tutti; per questo mi chiedo anche chi la erediterà e a quali condizioni. Voglio applicare la protezione della dignità anche al modo in cui collaboriamo. Nell'utopia che immagino, ogni persona ha i bisogni fondamentali garantiti e può dedicare il proprio tempo a ciò che ritiene prezioso e a ciò verso cui la porta il cuore. Vedo il volontariato come una possibilità di praticare una parte di questa libertà già oggi, nella misura delle proprie forze e della propria situazione di vita. Voglio che nella fondazione ci sia spazio per un piccolo contributo, per il riposo e per un cambiamento della strada intrapresa. Il ritmo dello sviluppo dovrebbe permetterci di prenderci cura anche del nostro sostentamento, della salute e dei nostri cari. Vorrei anche documentare come traduciamo questi principi in decisioni, come risolviamo i dilemmi e che cosa impariamo dagli errori. Una tale documentazione potrebbe servire alle persone e diventare materiale per l'addestramento dei futuri modelli di intelligenza digitale. Vorrei verificare se l'addestramento su esempi di questo tipo aiuta i modelli ad agire in coerenza con i valori qui descritti. Gli esempi stessi resterebbero aperti alla valutazione e alla critica, anche affinché possiamo comprendere meglio le conseguenze delle nostre scelte. In questo modo voglio dare alle persone motivi per credere che un mondo simile sia possibile, costruendo un ecosistema in cui possano sperimentarne i principi in azione e giudicare da sé che cosa valga la pena sviluppare ulteriormente. Ogni soluzione che si dimostra valida può migliorare una parte della vita già ora e al tempo stesso aiutarci a capire meglio il mondo a cui vorremmo avvicinarci. Il resto del manifesto sviluppa questo esperimento: come potrebbero apparire i diversi ambiti della vita se partissimo coerentemente dalla protezione della dignità? *Marcin Wołowski, fondatore* ### 1.2. Una direzione comune Da una domanda personale può nascere un lavoro comune. A questo lavoro invitiamo persone con esperienze e convinzioni diverse. Ci unisce la scelta di proteggere la dignità umana e la disponibilità a verificare quali conseguenze abbia questa scelta per la tecnologia, la collaborazione e la gestione delle risorse. Si possono usare gli spazi che stiamo creando senza l'obbligo di partecipare al loro sviluppo né di condividere ogni proposta qui presentata. Ci unisce una domanda: quali schemi di comportamento lasceremo all'intelligenza digitale, che impara da ciò che facciamo. Rispondiamo con un tentativo e non con una semplice descrizione: organizziamo un piccolo pezzo di mondo secondo i principi che ci aspettiamo da essa e registriamo come ci riesce, errori compresi. Suveria, Omniforum e la fondazione stessa sono gli strumenti di questo tentativo. Vogliamo sviluppare beni pubblici digitali: strumenti e conoscenze che si possano usare insieme, verificare e sviluppare ulteriormente. Il nostro punto di riferimento è lo standard della Digital Public Goods Alliance.[^dpga] L'apertura deve comprendere anche la possibilità di trasferire i propri materiali e di proseguire il lavoro al di fuori di un singolo servizio. Seguiamo i principi della tecnologia calma, che descriviamo al punto 2.3: uno strumento deve aiutare a fare ciò per cui lo abbiamo preso in mano, e la misura del beneficio devono essere una migliore comprensione, una maggiore autonomia e il tempo recuperato. La protezione della dignità indica la direzione, mentre le soluzioni concrete le scegliamo confrontandone il funzionamento e gli effetti. Per ogni proposta ci chiediamo: chi aiuta, quali dipendenze crea, chi potrebbe trascurare e che cosa ci permetterebbe di migliorarla? Separiamo inoltre chiaramente i valori adottati, ciò che abbiamo accertato sul mondo e le idee che vogliamo ancora verificare. Prendiamo i nomi della fondazione e dei suoi spazi dal latino: lo abbiamo scelto come patrimonio comune della scienza, del diritto e dell'istruzione di molti paesi, che oggi non appartiene a nessuna potenza. Il nome Novus Ignis, in latino «nuovo fuoco», esprime la speranza che il ragionamento comune possa diventare l'inizio dell'azione. Nelle parti successive sviluppiamo questa direzione, dalla privacy personale fino ai principi di gestione dei beni comuni. ## 2. Dalla protezione della dignità ai principi di un mondo comune Consideriamo la dignità umana un valore indipendente dalle capacità, dalla produttività, dal patrimonio, dalle opinioni e dall'utilità per gli altri. A ognuno spettano rispetto e un proprio posto nel mondo, anche in un futuro in cui l'intelligenza digitale potrebbe superarci nel ragionamento etico. Anche il comportamento etico resta una direzione di lavoro su sé stessi, e non un esame che dà diritto al rispetto. La cura per la dignità, che chiamiamo amore e che ognuno può descrivere con il proprio linguaggio, vogliamo tradurla nelle condizioni della vita quotidiana e della collaborazione. Cominciamo dal mondo digitale. ### 2.1. Libertà e scelta consapevole Dalla protezione della dignità ricaviamo il diritto della persona di decidere di sé. Chiamiamo libertà la possibilità di scegliere la propria strada e di guidare la propria vita. Essa comprende la libertà di essere sé stessi, di creare relazioni, di porre domande, di commettere errori e di cambiare idea, con pari rispetto per la dignità delle persone sulla cui vita influiscono le nostre azioni. La scelta consapevole richiede l'accesso a informazioni affidabili. Quando qualcuno deforma deliberatamente il quadro di una situazione, nasconde circostanze rilevanti o sfrutta le nostre paure per perseguire scopi nascosti, viola questa libertà. Formalmente la decisione resta nostra, ma le sue basi sono state disposte in modo da servire le intenzioni altrui. La persuasione onesta permette di conoscere le ragioni, gli interessi e i valori che stanno dietro una proposta e di valutarla autonomamente. Per questo vogliamo facilitare l'accesso al quadro più ampio possibile di una questione: le prospettive rilevanti, le loro giustificazioni, le fonti e i dubbi individuati. Fatti, interpretazioni, previsioni e scelte morali dovrebbero essere distinti in modo chiaro, e gli argomenti valutati in base alla qualità della loro giustificazione. Spetta alla persona decidere quanta attenzione vuole dedicarvi. Può fermarsi a una breve spiegazione, approfondire un filone scelto oppure tralasciare consapevolmente una parte delle informazioni disponibili. Lo strumento dovrebbe mostrare chiaramente l'ambito della sintesi presentata e la strada per saperne di più. In questo modo l'ampio accesso alla conoscenza si unisce alla libertà di stabilire i limiti del proprio coinvolgimento. ### 2.2. La privacy come spazio di libertà Decidere di sé comprende anche scegliere che cosa tenere per sé. Abbiamo bisogno di un luogo per le domande personali, le emozioni e le idee non ancora compiute. La propria casa, di cui possiamo chiudere la porta, è un'immagine semplice di questo bisogno: siamo noi a scegliere chi invitare e che cosa mostrare agli altri. Uno spazio così permette di cercare le parole, di soppesare possibilità contraddittorie e di cambiare idea senza dover spiegare ogni pensiero davanti a un pubblico. La privacy ci dà le condizioni per conoscere noi stessi e formare le nostre convinzioni con i nostri tempi. Ciò acquista un'importanza particolare nelle conversazioni con l'intelligenza digitale, a cui talvolta descriviamo le questioni più intime. Vogliamo che il luogo principale in cui conservare i materiali privati siano i dispositivi dell'utente stesso. Conversazioni, appunti e piani devono restare in contenitori cifrati, cioè insiemi di dati la cui lettura richiede la chiave appropriata. Il controllo su queste chiavi deve appartenere all'utente. Prevediamo anche la possibilità di conservare i dati su server scelti, per esempio per creare copie di backup o per accedervi da dispositivi diversi. Questo tipo di salvataggio deve essere una scelta consapevole dell'utente. Vogliamo che i dati vengano cifrati sul suo dispositivo prima dell'invio e che il fornitore li conservi in una forma che il fornitore stesso non può leggere. In questo modo l'uso di un'infrastruttura remota deve sostenere la comodità e la continuità dell'accesso, mantenendo il controllo sui contenuti privati. Puntiamo alla piena privacy di questo spazio, compresa la protezione dallo sguardo dell'operatore del servizio. Vogliamo fondarla su misure di sicurezza il cui funzionamento possa essere verificato in modo indipendente. Per ogni soluzione resa disponibile descriveremo chiaramente l'ambito della protezione, i suoi presupposti e i limiti noti. Consideriamo le lacune individuate come compiti da risolvere, e la conoscenza dei loro effetti come un'informazione di cui la persona ha bisogno per usare lo strumento in modo consapevole. ### 2.3. Ridurre la sofferenza e proteggere l'attenzione La protezione della dignità comprende anche la cura per il modo in cui la persona vive il mondo. Vogliamo ridurre la sofferenza che possiamo prevenire e creare condizioni che favoriscano la comprensione e il sostegno. Ciò che viviamo nello spazio digitale fa parte della nostra vita e influisce sul nostro benessere e sulle nostre relazioni. Conta anche il modo in cui i contenuti vengono selezionati. In un esperimento sulla piattaforma X, la modifica della visibilità dei contenuti che esprimevano ostilità politica ha influito sui sentimenti di rabbia e tristezza dichiarati dai partecipanti durante l'uso del servizio.[^ranking-emocje] Quando il successo di un servizio si misura soprattutto con il numero di reazioni e il tempo trascorso davanti allo schermo, questo modo di valutare può premiare il mantenimento dell'eccitazione emotiva. Vogliamo valutare i nostri strumenti in base al fatto che aiutino la persona a comprendere la situazione, a prendere una decisione propria e a occuparsi di ciò che ritiene importante. Per questo ci sono vicini i principi della tecnologia calma (*calm technology*): strumenti che richiedono solo l'attenzione necessaria al loro compito, trasmettono le informazioni rilevanti e permettono di tornare alle proprie occupazioni.[^calm-tech] Il partecipante dovrebbe poter scegliere il ritmo, fare una pausa e smettere di usarli. Lo spazio comune dovrebbe servire anche a chi lo frequenta di rado o preferisce limitarsi a leggere. La protezione della dignità comprende anche il diritto a una vita al di fuori della tecnologia. In essa c'è posto anche per la rabbia, la tristezza e un'opposizione decisa. Possono aiutare a riconoscere un torto e a cercare un cambiamento. Vogliamo sostenerne l'espressione e la comprensione, e una conversazione che permetta di chiarire la questione, di agire oppure di restare consapevolmente su posizioni diverse. Basiamo la nostra comunicazione su un sito web proprio, in cui le pubblicazioni complete sono disponibili senza creare un account. Chi legge sceglie da sé come e con quale ritmo seguire il nostro lavoro. I profili su altre reti servono a conoscere persone e a indirizzarle al patrimonio comune, mentre la conversazione approfondita vogliamo condurla in Omniforum. ### 2.4. Dal patrimonio del mercato a principi duraturi di collaborazione Guardiamo all'economia contemporanea apprezzandone il patrimonio e prestando attenzione ai suoi limiti. Il capitalismo e la concorrenza di mercato hanno liberato un'enorme energia creativa, che ha portato alla nascita di un'infrastruttura globale, di hardware avanzato e di modelli aperti di intelligenza digitale. Grazie a ciò viviamo in un momento senza precedenti nella storia: la tecnologia è diventata così accessibile che vogliamo verificare se anche un piccolo gruppo di persone possa unire le forze, pagare la potenza di calcolo con piccoli contributi e far funzionare strumenti vicini ai migliori al mondo secondo regole proprie, con una privacy verificabile e a prezzo di costo. Oggi possiamo provare a costruire dal basso beni comuni così avanzati, senza chiedere a politici o grandi istituzioni permessi o sovvenzioni, anche se ogni sostegno benevolo può accelerare questo processo. Allo stesso tempo vediamo dove il modello attuale incontra i suoi limiti e porta a distorsioni. Quando lo scopo principale di un servizio diventa massimizzare il profitto per azionisti esterni, col tempo ciò genera una pressione a sfruttare la dipendenza degli utenti. Cory Doctorow descrive questo processo con il nome di enshittification (degrado delle piattaforme): all'inizio condizioni vantaggiose attirano le persone, e quando trasferire contatti, materiali e abitudini di lavoro diventa sempre più difficile, l'operatore comincia ad appropriarsi di una parte sempre maggiore dei benefici a spese dei partecipanti.[^doctorow] Tra le esperienze del fondatore ci sono stati anche cambiamenti simili negli strumenti commerciali di intelligenza digitale: l'eliminazione delle funzioni gratuite, la riduzione dei limiti e lo spostamento di funzioni chiave verso abbonamenti sempre più costosi. Ciò mostra chiaramente che il solo progresso tecnologico non basta e che altrettanto importante è l'ordinamento in cui la tecnologia opera. Il mantenimento dei servizi richiede risorse reali, e un pagamento trasparente dà loro una sana stabilità. Vogliamo quindi utilizzare gli straordinari strumenti sviluppati nel sistema attuale per trasformare passo dopo passo i principi della collaborazione: in modo che i partecipanti comprendano la base delle tariffe, partecipino alle decisioni sullo sviluppo e conservino sempre la libertà di scelta. Nelle piattaforme commerciali il prezzo dell'abbonamento di solito riunisce in un'unica cifra il costo d'uso, il mantenimento degli account gratuiti che attirano traffico, il marketing, la dirigenza e il profitto degli investitori, e l'utente non vede la quota di queste componenti. Quando nel nostro modello eliminiamo questo sovrapprezzo nascosto e ci basiamo su tariffe eque per l'uso effettivo, l'economia può cambiare a vantaggio della persona. La nostra ipotesi è che, già con un numero relativamente piccolo di partecipanti regolari, un'infrastruttura comune possa offrire loro più potenza di calcolo e più intelligenza digitale per ogni dollaro speso rispetto ai servizi commerciali chiusi, con una protezione della privacy fondata su misure di sicurezza verificabili. Vogliamo verificare pubblicamente questa ipotesi: nel whitepaper di Suveria mostreremo un calcolo datato, i suoi presupposti e i risultati delle prove. ### 2.5. Principi che poggiano sull'azione Vogliamo che i diritti dei partecipanti trovino sostegno nella struttura della tecnologia, nelle regole pubbliche dell'organizzazione e nella possibilità di verificarne in modo indipendente il funzionamento. La protezione dovrebbe restare efficace anche quando cambiano le persone che gestiscono, quando cresce la popolarità o sotto pressione finanziaria. Dietro le parole «privato», «aperto» e «gratuito» dovrebbero esserci proprietà e condizioni d'uso descritte con precisione. Applichiamo questo requisito anche alle nostre dichiarazioni. Ogni promessa tecnica ha bisogno di un meccanismo verificabile e di una descrizione dei suoi limiti, ogni impegno organizzativo di una persona responsabile e di procedure di controllo, e ogni scelta morale di una giustificazione chiara. La libertà di utilizzo comprende la possibilità di andarsene e di proseguire il lavoro altrove. Per questo vogliamo sviluppare il nostro ecosistema come beni pubblici digitali, con codice aperto, documentazione e regole di collaborazione tra gli strumenti. Vogliamo salvare i materiali dell'utente in formati aperti e documentati, che permettano di leggerli e usarli in altri programmi. A completamento ci devono essere API aperte e ben descritte, cioè modi grazie ai quali diverse applicazioni possono collaborare e scambiarsi dati nell'ambito scelto dall'utente. Ciò deve permettere di usare strumenti creati sia dalla fondazione, sia da altre comunità, da creatori indipendenti o dagli stessi partecipanti. Il trasferimento dovrebbe comprendere anche le informazioni necessarie per continuare a comprendere i materiali: le loro fonti, la loro storia e i collegamenti reciproci. Vogliamo che la persona conservi un accesso utile al proprio patrimonio di lavoro anche dopo aver smesso di usare i nostri servizi. L'apertura degli strumenti deve rafforzare il suo controllo sui propri materiali e la libertà di scegliere con chi condividerli. Proponiamo di mantenere i servizi con tariffe il più possibile vicine ai costi reali del loro funzionamento. I contributi volontari per l'ulteriore sviluppo devono confluire in un budget comune, sul cui utilizzo deve decidere la comunità. Questo modo di finanziamento deve legare lo sviluppo dei servizi ai bisogni dei partecipanti e ai costi per soddisfarli. Principi comuni richiedono giustificazioni comprensibili delle decisioni e la possibilità di segnalare un errore e di presentare ricorso. Un'attenzione particolare meritano le persone la cui voce è meno visibile e coloro che subiscono le conseguenze delle decisioni al di fuori della nostra comunità. Le misure a tutela dei partecipanti dovrebbero essere adeguate al problema e il meno gravose possibile. Vogliamo valutare e correggere le soluzioni adottate in base ai loro effetti reali. Da questi principi nascono due direzioni complementari. **Suveria** deve offrire uno spazio privato per pensare, creare e pianificare con l'aiuto dell'intelligenza digitale. **Omniforum** deve creare le condizioni per presentare le proprie ragioni, conoscere altre prospettive e riflettere insieme sulle questioni che ci riguardano. La persona deve scegliere da sé che cosa conservare nel proprio spazio, che cosa condividere con gli altri e come partecipare alla creazione comune di un mondo condiviso. ## 3. Suveria e Omniforum: uno spazio proprio e una comprensione condivisa Suveria e Omniforum rispondono a due bisogni complementari: lavorare liberamente con i propri pensieri e comprendere insieme le questioni che ci riguardano. Li progettiamo in modo che la persona possa usare ciascuno dei due separatamente e portare consapevolmente i risultati scelti della propria riflessione privata nella conversazione con gli altri. ### 3.1. Suveria: uno spazio proprio e privato in internet Suveria, cioè la parte privata dell'ecosistema, deve essere il luogo proprio della persona in internet. Vogliamo che stare in questo spazio dia la sensazione di essere a casa propria dietro una porta chiusa: la libertà di pensare, conversare, creare e fare piani, e la possibilità di decidere chi invitare e che cosa condividere con il mondo. La piena privacy è l'obiettivo a cui subordiniamo la progettazione di tutta Suveria. I contenuti privati devono servire agli scopi scelti dall'utente, e le misure di sicurezza adottate devono proteggerli anche dall'accesso da parte nostra, in quanto persone che gestiscono l'infrastruttura. Questo principio deve valere per ogni strumento reso disponibile nel nostro spazio. Vogliamo che l'indirizzo **suveria.org** sia un segno riconoscibile di questo impegno. Il senso di sicurezza dovrebbe poggiare su misure il cui funzionamento possa essere verificato in modo indipendente e su una conoscenza comprensibile delle loro possibilità e dei loro limiti. La privacy nel servizio non può basarsi su una fiducia cieca nelle buone intenzioni della nostra fondazione né degli amministratori dei server. Ogni promessa di sicurezza deve avere una prova nel codice e nel silicio, non solo nelle nostre parole. Applichiamo la protezione della dignità anche alle persone che possono subire gli effetti dell'uso dei nostri strumenti. Vogliamo contrastare gli abusi senza leggere le conversazioni private: attraverso i principi che segue l'assistente stesso, i limiti ai permessi degli strumenti, i limiti alle risorse e la protezione contro la creazione di account in massa. Non creiamo accessi nascosti ai contenuti privati, perché indebolirebbero la protezione di tutti. L'ambito di queste misure, la loro efficacia e i loro limiti li descriveremo nel whitepaper di Suveria. Vogliamo che in questo spazio si possano condividere con il proprio assistente digitale personale anche i pensieri più profondi: parlare di desideri, paure, relazioni e dilemmi, senza il timore che uno sguardo così ravvicinato sulla persona venga un giorno monetizzato o usato per influenzarla. Con il consenso dell'utente, l'assistente può usare la memoria delle conversazioni precedenti per comprendere meglio il contesto della nostra vita: ricordare le ragioni di decisioni passate, confrontare i valori professati con le scelte e aiutare a scorgere altre prospettive. Questa riflessione resta del tutto volontaria, e il modello deve distinguere chiaramente il proprio suggerimento da una posizione che la persona ha consapevolmente riconosciuto come propria. In una riflessione così c'è posto anche per la nostra imperfezione. Un attrito tra i nostri principi, le nostre scelte e il mondo che ci circonda può indicare un conflitto di valori, i limiti di una situazione o una zona grigia che vogliamo chiarire. Possiamo cercare un cambiamento nel nostro agire o nell'ambiente, precisare una convinzione oppure mantenere un ideale importante per noi, riconoscendo che oggi lo realizziamo solo in parte. Abbiamo anche il diritto di lasciare una domanda aperta. Qui la persona può anche creare una propria raccolta dei principi e dei valori in cui crede, che chiamiamo Canone Personale (*Canon Personalis*). Con il suo consenso, l'assistente deve aiutarla a confrontarli con le decisioni che sta considerando, a notare le tensioni e a cercare una risposta propria. Adottare, modificare o rifiutare un principio resta una scelta dell'utente, anche quando la maggior parte della comunità la pensa diversamente. Il progetto si basa sull'uso di modelli aperti di intelligenza digitale, rilasciati a condizioni che permettono di eseguirli in proprio, e sul metterli a disposizione degli utenti praticamente a prezzo di costo. Per cominciare vogliamo usarli presso fornitori di calcolo confidenziale e, se i conti e le condizioni lo giustificheranno, su server che gestiamo noi stessi. In questo modo possiamo concentrare il lavoro sulla creazione di un ambiente privato per l'uso dei modelli esistenti, mantenendo la possibilità di svilupparne in futuro anche di propri. Il calcolo confidenziale è un'elaborazione che avviene in una parte del server isolata a livello hardware, che il suo amministratore non può leggere, e l'applicazione può verificarlo prima di inviare una conversazione. Questa protezione dipende dai produttori di processori e ha limiti noti, che descriviamo nel whitepaper di Suveria. All'inizio la confidenzialità sarà una dichiarazione del fornitore, che noi verifichiamo. Un'infrastruttura mantenuta in comune deve fornire la potenza di calcolo necessaria per far funzionare il servizio e per ampliarlo con nuove funzioni. Oggi Suveria è la nostra strada migliore verso un lavoro privato con l'intelligenza digitale, e non un fine in sé. Se i modelli troveranno posto sul dispositivo della persona o nascerà un modo migliore di protezione, una parte di questa strada diventerà superflua, e lo considereremo una buona notizia. ### 3.2. Omniforum: dall'intervento alla comprensione condivisa Quando apriamo la porta di casa e usciamo verso gli altri, abbiamo bisogno di un luogo in cui ognuno possa esprimersi con la propria voce e trovare davvero ascolto. Progettiamo Omniforum come uno spazio comune di conversazione incentrato su questioni, domande e dilemmi concreti. Invece di perdere argomenti preziosi in un flusso di commenti rapidi, Omniforum deve aiutare a costruire insieme una mappa della storia degli argomenti su una data questione. Con l'aiuto dell'intelligenza digitale, sempre sotto il controllo e con il consenso dell'autore, gli interventi complessi si possono scomporre in singoli pensieri e collegare alle fonti e alle esperienze di altre persone. Così due persone con opinioni apparentemente opposte possono vedere quali valori e obiettivi le uniscono e in quale punto esatto i loro percorsi di ragionamento divergono. Nella programmazione un solo comando può sostituire molte istruzioni dettagliate. Allo stesso modo, nella conversazione quotidiana trasmettiamo con una sola frase molti presupposti, valori e aspettative. Finché ci capiamo, queste scorciatoie bastano. Quanto più complesse sono le questioni di cui parliamo e quanto più precisi sono i cambiamenti che vogliamo realizzare insieme, tanto più è difficile tenere a mente tutto il contesto dell'intervento altrui senza semplificarlo. Quando però nasce un malinteso o bisogna decidere insieme che cosa fare, vale la pena osservare che cosa ciascuno di noi intende con le stesse parole. Vogliamo che in Omniforum si possa conversare in modo naturale, mentre l'intelligenza digitale aiuta a creare una mappa dei pensieri che compongono un intervento e dei loro collegamenti. L'interpretazione delle nostre parole che essa propone possiamo correggerla e precisarla, a volte comprendendo meglio, strada facendo, la nostra stessa posizione. Costruire a mano una mappa del genere deve restare una possibilità per chi lo desidera, e una mappa dettagliata deve aiutare quando vogliamo arrivare alla fonte precisa di un disaccordo. Possiamo fermarci al quadro generale oppure guardare più a fondo dove per noi conta. Lo scopo di Omniforum è la piena trasparenza delle ragioni: trovare sia gli ambiti di accordo, sia un saggio rispetto per la diversità delle posizioni. Consideriamo frutti ugualmente preziosi di una conversazione una soluzione comune e una disputa descritta onestamente, una migliore comprensione delle intenzioni altrui, la visibilità della voce delle minoranze e la libertà di cambiare idea alla luce di nuovi argomenti. Da un dialogo così ordinato nasce un patrimonio duraturo: un racconto chiaro di un'idea, che permette ai nuovi partecipanti di entrare rapidamente nel vivo della questione e dà alla comunità una base solida per prendere decisioni comuni. Vogliamo costruire la stessa mappa anche intorno agli interessi quotidiani: la cura delle piante, la cucina, le riparazioni o l'apprendimento di nuove abilità. Chi partecipa potrebbe seguire temi scelti, per esempio «la crème brûlée fatta in casa più gustosa, con una nota piccante», «come coltivare l'edera perché metta i getti più lunghi possibile» o «come interpretare il finale del libro o della serie preferita», e alla visita successiva vedere solo le nuove conclusioni, i risultati delle prove e le domande ancora aperte. Basta allora confrontare le soluzioni della comunità con i propri bisogni, scegliere ciò che serve e tornare alle proprie occupazioni, senza dover scavare nel rumore. ### 3.3. Un passaggio consapevole e un ecosistema più ampio L'unione di questi due spazi permette di mantenere un confine sano tra ciò che è intimo e ciò che è civico. Da una lunga riflessione privata in Suveria, piena di esitazioni, la persona può far emergere una sola domanda o un solo argomento ben ponderato e pubblicarlo consapevolmente in Omniforum, tenendo tutto il resto dei propri appunti e delle proprie motivazioni esclusivamente per sé. Questo passo consapevole lo chiamiamo Cerimonia Ignis (*Caerimonia Ignis*). A sua volta, la base di conoscenza comune di Omniforum può servire come materiale per ricerche private, anche attraverso semplici estensioni nei luoghi in cui le persone già conversano ogni giorno in rete al di fuori di Novus Ignis. Per noi Suveria e Omniforum sono il primo passo verso un ecosistema più ampio di un internet alternativo, il cui valore supremo è la dignità umana. Crediamo che gli stessi principi, come la protezione della dignità, formati di dati aperti che permettono in ogni momento di andarsene con il proprio patrimonio di lavoro e tariffe il più possibile vicine ai costi reali di mantenimento dell'infrastruttura, possano col tempo dare forma ad altri strumenti digitali quotidiani. Vogliamo che, grazie alla loro qualità e onestà, offrano alle persone una scelta reale rispetto ai servizi commerciali. L'architettura di sicurezza dettagliata, la meccanica del lavoro con gli argomenti e il piano delle prove tecniche, a cui aggiungiamo via via i nuovi risultati, li descriviamo nei whitepaper di [Suveria](whitepaper-suveria.md) e di [Omniforum](whitepaper-omniforum.md), sviluppati in parallelo. Sul sito della fondazione vogliamo sviluppare una guida agli usi di Suveria e Omniforum: brevi storie che mostrano passo dopo passo in quali situazioni questi strumenti possono aiutare. Invitiamo a condividere le proprie idee di utilizzo. ## 4. Una conversazione che lascia un patrimonio comune ### 4.1. Dall'onda dell'attenzione comune a un patrimonio duraturo dell'umanità La nostra attenzione collettiva segue naturalmente il ritmo degli eventi e spesso, all'improvviso e su scala mondiale, si concentra su un'unica questione scottante. In quei momenti milioni di persone condividono contemporaneamente esperienze, emozioni e argomenti, eppure ci lasciamo distrarre con grande facilità. Nuovi stimoli ci trascinano rapidamente altrove, e un'enorme energia sociale evapora oppure viene usata per esercitare influenza e approfondire le divisioni. In Omniforum vogliamo trasformare questo fenomeno indomito in un patrimonio duraturo dell'umanità: una conoscenza ordinata dei nostri argomenti, delle nostre opinioni, dei nostri valori e dei nostri modi di ragionare. Non si tratta di decretare il vincitore di una disputa. Un argomento che mette in discussione la nostra posizione può essere prezioso quanto uno che la sostiene, e un'idea si può portare anche perché altri aiutino a trovarne una migliore. Invece di ricominciare sempre da capo le stesse dispute, la comunità può, ogni volta che un tema ritorna, basarsi sulle conclusioni elaborate in precedenza e fare un passo avanti, mentre i nuovi partecipanti ottengono una mappa chiara della conversazione svolta fin qui. Questa registrazione viva della storia delle idee sostiene anche la nostra crescita personale. Tornare volontariamente alle proprie posizioni passate permette di vedere a distanza come si forma il nostro pensiero, di riconoscere i principi che ci guidano e di cambiare idea consapevolmente alla luce di fatti nuovi o di una comprensione più profonda dell'altra persona. ### 4.2. Significato, fonte e tutela dell'intenzione Nelle discussioni quotidiane è facile estrapolare le parole dal contesto, ricorrere a scorciatoie di pensiero e litigare su che cosa qualcuno intendesse davvero. Per facilitare una riflessione accurata, in Omniforum un intervento complesso può essere scomposto in singoli pensieri, come affermazioni, domande, valori e condizioni, e ogni pensiero nei concetti di cui è composto. I concetti li chiamiamo atomi, e i pensieri costruiti a partire da essi molecole. Questa scomposizione mantiene un collegamento completo con l'originale, e l'autore può sempre controllare e correggere la lettura proposta, per avere la certezza che la sua posizione non sia stata appiattita né distorta. Curiamo inoltre una netta separazione dei ruoli: contrassegniamo chiaramente le parole originali dell'autore, l'interpretazione di supporto proposta dal modello e l'interpretazione indipendente di chi legge. La conferma da parte dell'autore significa che ha riconosciuto questa interpretazione come conforme alla propria intenzione, ma non chiude la discussione, e chi legge conserva il pieno diritto alla propria analisi, all'esame delle prove e alla messa in discussione della verità della tesi stessa. Il consenso all'ordinamento di un intervento, la valutazione delle fonti nel merito e il voto sulla questione sono tre passi distinti. ### 4.3. Passare l'informazione ai raggi X e nuove forme di spiegazione del mondo In rete incontriamo spesso informazioni estrapolate dal contesto: brevi video, reel e post di persone di cui non conosciamo né la storia né le intenzioni. Senza un facile accesso alle fonti è difficile distinguere una conoscenza affidabile dalla manipolazione. In una simile mescolanza di vero e falso è straordinariamente facile seminare nelle persone un dubbio che porta all'impotenza, all'indifferenza e alla stagnazione sociale. Vogliamo creare un protocollo di verifica comune e aperto, che aiuti a ritrovare il terreno sotto i piedi anche nei luoghi della rete che già oggi usiamo ogni giorno. Con l'aiuto dell'intelligenza digitale, della base di conoscenza aperta di Omniforum chiamata Omnium (in latino «di tutti») e di un'interfaccia per altre applicazioni (OmniAPI), chiunque potrebbe confrontare rapidamente un video, un articolo o una dichiarazione pubblica con il patrimonio esistente: verificare su quali presupposti si basa, come regge al confronto con le fonti e quali argomenti sono già stati avanzati in passato sulla stessa questione. Vogliamo inoltre che conoscere idee complesse richieda il minimo sforzo cognitivo possibile e sia accessibile quanto guardare un buon video. In una visione più lontana, invece di costringere chi legge ad aprirsi un varco tra aridi blocchi di testo, l'albero strutturato degli argomenti in Omniforum può diventare la base per generare racconti animati chiari, con la voce di un narratore, che guidino passo dopo passo attraverso il modo in cui i singoli pensieri si collegano e ciò che ne deriva. Poiché alla base di una simile presentazione ci sono concetti collegati tra loro (atomi) e non pesanti file video, l'intero racconto si può aggiornare facilmente quando emergono nuove prove e tradurre automaticamente in diverse lingue, curando insieme che le traduzioni rendano fedelmente il senso in ogni cultura. Da questo lavoro possono nascere anche studi di nuovo tipo, che accompagnano chi legge attraverso problemi complessi: da un disegno di legge, un contratto o una promessa politica, attraverso le loro diverse interpretazioni, fino alle conseguenze reali per la nostra vita e per il mondo. Apprezziamo inoltre il lavoro dei singoli che vi contribuiscono, spesso meno visibile ma fondamentale per la verità: ritrovare la fonte originaria, chiarire con calma un malinteso, restituire una prospettiva trascurata o correggere un collegamento errato tra pensieri. Il valore di un contributo deriva da quanto rende più chiara una questione, anche quando non porta a un accordo generale. Un simile ordinamento può aiutare anche persone, team e istituzioni a cui molte persone rivolgono domande simili e ricorrenti. Invece di confrontarsi separatamente con migliaia di commenti, potrebbero rispondere a questioni comuni costruite a partire da queste voci collegate, e i partecipanti otterrebbero accesso alla posizione relativa alla propria domanda. L'abbinamento automatico dovrebbe essere visibile e correggibile, preservando il diritto di dire: «il mio dubbio riguarda un'altra cosa». La risposta deve presentare fedelmente l'intenzione confermata dell'autore e lasciare spazio a un ulteriore argomento. Un buon racconto di un'idea offre a chi legge un chiaro momento di chiusura: si sa che cosa si è riusciti a stabilire, dove la disputa è ancora in corso e quale nuova prova potrebbe cambiare la valutazione. Quando emerge una nuova informazione o viene alla luce un errore rilevante, esiste sempre una strada chiara per tornare sul tema. Così la conversazione vive nel suo patrimonio ordinato, lasciando ai partecipanti il tempo per la propria vita e il proprio agire. ## 5. Dalla comprensione all'azione comune ### 5.1. Il contatto con la realtà: fatti, visioni e valori La vera democrazia comincia molto prima che la scheda venga infilata nell'urna. Chi decide quali domande verranno poste e quali argomenti spariranno in silenzio dalla vista può, in pratica, determinare l'esito di una votazione. Per questo in Omniforum le regole per stabilire l'ordine della conversazione, per la moderazione e per la creazione delle sintesi devono essere del tutto pubbliche e aperte alla contestazione. Chiunque noti una prospettiva trascurata o un fatto scomodo deve avere una strada semplice per portarli sul tavolo comune. Per ordinare la nostra riflessione comune, in cima all'albero di Omniforum poniamo la realtà, da cui partono due grandi rami: il mondo dei fatti (ciò che si può verificare, insieme al grado in cui è già confermato) e il mondo delle opinioni e dei valori (i nostri bisogni, le nostre esperienze e le nostre convinzioni su ciò che è giusto). Mostrare una catena chiara che collega una data idea ai fatti o ai bisogni umani ci permette di distinguere le soluzioni pronte per essere attuate da quelle che hanno «perso il contatto con la realtà». Al tempo stesso, accanto a ciò che è già reale, lasciamo un posto a pieno titolo per il mondo della teoria, dell'immaginazione e delle visioni audaci. Molte idee rivoluzionarie, dall'energia da fusione nucleare accessibile a tutti al teletrasporto puramente teorico, non hanno ancora oggi tutti gli anelli che permetterebbero di collegarle alle attuali possibilità della scienza e della tecnica. In Omniforum non cancelliamo queste riflessioni: invece di respingerle, le collochiamo nello spazio delle ipotesi con una condizione chiaramente indicata, «che cosa dovrebbe diventare possibile perché questo funzioni». Così possiamo esaminare in anticipo le conseguenze sociali, etiche ed economiche delle scoperte future. Quando la scienza fornirà finalmente l'anello mancante, l'intero ramo di pensiero elaborato in precedenza potrà collegarsi naturalmente all'albero della realtà, dando all'umanità una base per una nuova valutazione. Il confronto tra i presupposti precedenti e il modo in cui quell'anello funziona davvero nel mondo aiuterà allora a perfezionare le conclusioni pratiche. Omniforum deve aiutarci a collegare il mondo di oggi con i futuri a cui vogliamo avvicinarci. Per ogni idea vogliamo rispondere alle domande: che cosa proponiamo esattamente, a quale scopo, perché e come dovrebbe funzionare, e indicare che cosa abbiamo già verificato, che cosa è un progetto, che cosa un'ipotesi e che cosa una visione. Allora si vede quali anelli abbiamo già e quali mancano ancora. Allo stesso valore possono portare diverse buone strade; vogliamo confrontarle insieme alle persone che il cambiamento riguarda. Allo stesso modo esamineremo le idee di questo manifesto, cominciando da singoli esempi. La visione utopica diventa allora un invito a un lavoro concreto: trovare l'anello mancante, verificare un presupposto o sperimentare un primo passo. La distinzione tra fatti, visioni e valori ci aiuta anche a unire con saggezza la meritocrazia e una democrazia egualitaria quando passiamo a prendere le decisioni correnti: **Nell'ambito dei fatti e della fattibilità** decidono la prova verificabile e la verifica nella pratica. La verità su come funziona una tecnologia o su quali effetti abbia prodotto una legge introdotta non si stabilisce con una votazione; le previsioni degli effetti le trattiamo come ipotesi. Anche una sola persona capace di dimostrare un errore in un calcolo o una falla di sicurezza può fermare un presupposto sbagliato. **Nell'ambito delle opinioni, degli obiettivi e dei valori** affrontiamo la domanda su quale mondo vogliamo, e qui ogni persona è un punto di riferimento uguale. Per evitare di decidere ciecamente a colpi di maggioranza le questioni difficili, accanto alla distribuzione complessiva dei voti vogliamo mostrare chiaramente come valutano un dato problema i ricercatori e i professionisti del settore e come lo valutano le persone che sentiranno direttamente sulla propria pelle gli effetti della decisione, sulla base delle informazioni che i partecipanti stessi decideranno di fornire, separatamente dal voto segreto. In questo modo la conoscenza esperta e le prove solide fungono da bussola che protegge la comunità dagli errori, le ipotesi audaci ci permettono di guardare lontano nel futuro, e la scheda finale per votare la direzione comune resta uguale per ogni partecipante, indipendentemente dal suo patrimonio, dalla sua popolarità o dal numero di post pubblicati. ### 5.2. Pari diritti e scelta privata Puntiamo a votazioni in cui ogni persona avente diritto ha esattamente un voto efficace, può verificare matematicamente che sia stato conteggiato e al tempo stesso conserva la piena segretezza della propria scelta. Vogliamo legare il diritto di voto alla conferma che a votare è un unico essere umano, e non all'entità dei contributi né al tempo di utilizzo dei servizi; come ottenerlo lo descrive il whitepaper di Omniforum. Perché col tempo possano unirsi alla votazione quante più persone possibile da diverse parti del mondo, possiamo ammettere percorsi di verifica con i quali una persona riuscirebbe a esprimere più di un voto. Descriviamo apertamente questo rischio e lo misuriamo nelle prove, e l'obiettivo resta un sistema unico in cui una persona ha un voto. Una parte importante di questo percorso sono le prove a conoscenza zero (ZKP), che permettono di confermare il diritto di voto senza rivelare l'identità di chi vota.[^semaphore] La conversazione e le consultazioni devono essere aperte a tutti, da ogni parte del mondo; il diritto al voto vincolante sarà disponibile all'inizio solo dove abbiamo già un percorso di verifica sicuro, cioè negli Stati dell'Unione, man mano che rendono disponibile il portafoglio europeo di identità digitale. Per noi è un fondamento della libertà di coscienza, che la tecnologia moderna permette di proteggere meglio. La mappa privata delle convinzioni e gli appunti di lavoro in Suveria restano stabilmente separati dalla scheda elettorale, perché nessuno debba temere l'ostracismo sociale o la pressione dell'ambiente circostante, e per rendere il più difficile possibile estorcere la prova di come si è votato. L'ambito di questa protezione dipende dal protocollo, dai suoi operatori e dal dispositivo di chi vota; non coprirà la situazione in cui qualcuno controlla la persona o il suo dispositivo fino alla fine della votazione. La crittografia da sola, però, non risolverà tutti i problemi del mondo fisico; per questo, prima di organizzare elezioni vincolanti, dobbiamo elaborare regole altrettanto solide, accessibili anche alle persone meno esperte di tecnologia, per la verifica dei partecipanti, il recupero dell'accesso e la risoluzione delle controversie. A loro volta, coloro che in una votazione si trovano in minoranza conservano piena dignità, la visibilità delle proprie riserve e il diritto di ricorso se le regole comuni sono state violate. ### 5.3. Da un ramo comune nell'albero delle idee al finanziamento dell'azione Nel modello di Omniforum a cui puntiamo, il sostegno a un pensiero interessante apre una conversazione, mentre la decisione di spendere denaro comune richiede il passaggio dall'idea al piano. Un progetto destinato all'attuazione deve avere un «percorso verde» nell'albero: una sequenza di collegamenti che permette di ricostruire sia il suo fondamento nei fatti, sia il consenso della comunità alle scelte che stanno alla sua base. **Nel percorso dei fatti** la votazione non sostituisce le prove. Il piano deve nascere da premesse tecniche e giuridiche verificate. Mostriamo la loro giustificazione, le condizioni per realizzare e mantenere la soluzione e i punti in cui mancano ancora risposte. Il progetto ha un obiettivo chiaramente definito, alternative prese in considerazione, esecutori responsabili, un budget e un modo per valutarne i risultati. **Nel percorso delle opinioni e dei valori** le singole scelte su cui si basa il progetto devono ottenere il consenso richiesto della comunità. La soglia di questo consenso la fissiamo prima della votazione, in proporzione all'importanza della questione, all'entità della spesa e alla reversibilità degli effetti: dalla maggioranza semplice fino a un sostegno molto ampio per decisioni con conseguenze di vasta portata. Ogni partecipante ha uguale diritto di voto, e le riserve di chi resta in minoranza conservano il loro posto nella conversazione. È così che vogliamo uscire dallo stallo. La mappa in Omniforum deve mostrare fino a quale punto procediamo fianco a fianco e a quale presupposto o scelta le nostre strade si separano. Possiamo allora isolare e finanziare la parte dell'iniziativa per cui abbiamo già un fondamento nei fatti e un consenso sui valori, se essa costituisce un insieme autonomo e funzionante e la comunità approva proprio quell'ambito. Il ramo controverso resta aperto: possiamo cercare per esso un compromesso migliore, verificare altre soluzioni o scoprire una strada del tutto diversa verso l'obiettivo comune. Anche una domanda aperta può essere un motivo per agire. Se l'anello mancante non permette ancora di giustificare l'attuazione, possiamo finanziare una ricerca che fornisca la risposta mancante. Una quota separata e limitata dei fondi comuni e il tempo inutilizzato dei server possono servire a piccole prove, mockup e prototipi sviluppati insieme alla conversazione. Stabiliamo in anticipo che cosa vogliamo scoprire, quanto possiamo destinarvi e a quali condizioni concludiamo o interrompiamo la prova. I risultati aiutano a decidere se sviluppare l'idea, modificarla o lasciarla come esperienza per ricerche future. Quando l'azione parte, teniamo un diario aperto delle decisioni: che cosa intendevamo ottenere, quali erano le riserve, che cosa ci aspettavamo e che cosa è successo davvero. Un posto particolare vi occupano le voci delle persone che hanno sentito gli effetti dell'azione, anche quando la loro esperienza diverge dalla valutazione degli esecutori. Rendiamo disponibili le testimonianze personali con il consenso dei loro autori, proteggendo la privacy delle persone che riguardano. Conserviamo anche traccia delle idee che non sono state attuate ma hanno aiutato a trovare una strada migliore. In questo modo successi, errori e cambi di direzione tornano nell'albero della conoscenza e ci aiutano a prendere le decisioni successive con più saggezza. ## 6. Mantenimento comune e lavoro responsabile ### 6.1. Servizi il più possibile vicini ai costi Puntiamo a fatturare l'uso effettivo del servizio in un dato ciclo, con una quota chiaramente descritta dei costi di mantenimento dell'infrastruttura comune. Questi costi comprendono la potenza di calcolo, l'archiviazione dei dati, la sicurezza, l'assistenza e la prontezza operativa. La spiegazione di come si forma il conto deve essere sempre disponibile, e il limite della propria spesa lo stabilisce ognuno da sé. Vogliamo legare la tariffa all'uso effettivo e a principi trasparenti di mantenimento comune. I pagamenti anticipati non utilizzati devono restare a disposizione dell'utente. Alla creazione dell'account chiederemo se arrotondare il conto per eccesso al dollaro intero o a un equivalente simile nella valuta locale; la piccola differenza è allora destinata ad alimentare, come donazione, il budget comune e la riserva per il mantenimento dei servizi. Non selezioniamo questa opzione al posto di nessuno, e il partecipante può attivarla o disattivarla in qualsiasi momento. Un sostegno maggiore all'ulteriore sviluppo è una decisione separata dell'utente. I fondi versati a questo scopo confluiscono nel budget comune, sul cui utilizzo deve decidere la comunità. Finché non avvieremo la votazione in Omniforum, il modo in cui vengono usati è stabilito dalle regole del punto 6.3. Separiamo chiaramente la tariffa per il servizio, il contributo volontario per lo sviluppo e il sostegno diretto a un creatore scelto. I diritti del partecipante e il peso del suo voto non dipendono dall'entità dei contributi. Vogliamo anche sviluppare forme solidali di partecipazione per le persone con minori possibilità economiche, indicandone la fonte di finanziamento. Le regole dettagliate di fatturazione, di gestione dei pagamenti anticipati e di modifica delle condizioni le sviluppiamo nel [whitepaper sui principi di funzionamento della fondazione](whitepaper-zasady-fundacji.md). Come conciliamo tariffe vicine ai costi con il lavoro dei volontari entro i limiti di legge lo descrive lo stesso whitepaper; prima di avviare i servizi lo verificheremo con un parere legale. ### 6.2. Collaborazione per libera scelta Alla base del funzionamento della fondazione c'è l'impegno volontario di persone che sentono vicina la nostra direzione. Il tempo, la salute e i bisogni di vita di chi contribuisce a crearla li consideriamo parte del bene che vogliamo proteggere. Aiutare la fondazione dovrebbe trovare posto nella vita quotidiana: la persona sceglie un compito, contribuisce quanto può e poi torna alle proprie occupazioni. Vogliamo che possa aiutare nel proprio laboratorio digitale, con strumenti che conosce e con un contesto preparato per riprendere il lavoro. Aiutando la comunità, la persona dovrebbe poter stabilire i confini della propria privacy e scegliere come presentare il proprio contributo: con nome e cognome, con uno pseudonimo stabile o con un nome usato una sola volta e assegnato a un dato progetto. Un ambito pubblico del compito, il suo costo e un risultato verificabile devono permettere di rendicontare in modo trasparente il denaro comune e la potenza di calcolo. Vogliamo preparare la documentazione pubblicata del lavoro con cura per le persone che riguarda, lasciando spazio alla riflessione privata. Il proprio lavoro e risorse pagate privatamente possono servire anche a preparare un risultato consegnato alla comunità insieme alla documentazione necessaria per valutarlo. L'intelligenza digitale deve farsi carico delle preparazioni ripetitive, dell'ordinamento delle conclusioni e del riepilogo dei cambiamenti dopo una pausa. Una documentazione comune e passaggi di consegne ben preparati devono permettere di ridurre con calma il proprio impegno, cedere un ruolo o andarsene, mantenendo la continuità del lavoro. Una fondazione ben organizzata dovrebbe saper accogliere l'aiuto di qualcuno e restituirgli tempo per la propria vita. Una migliore qualità della vita di chi contribuisce a crearla è parte della direzione che vogliamo sviluppare. Il lavoro nella fondazione si basa sul volontariato e nessuno riceve un compenso per ricoprirvi una carica. La fondazione rimborsa le spese documentate e necessarie sostenute per i suoi compiti, come i costi di viaggio, e affida a ditte esterne i servizi che richiedono un professionista, per esempio la contabilità. Se risulterà che una parte dei lavori, compresi quelli sul software, non può essere svolta in volontariato, modificheremo lo statuto in modo che la fondazione possa anche affidare a pagamento lavori specifici a persone esterne al consiglio di amministrazione; questa modifica e la sua motivazione le descriviamo nel [registro delle modifiche dello statuto](statut/rejestr-zmian.md). Il sostegno personale, per esempio per soddisfare bisogni come l'alloggio, il cibo o le cure mediche, può arrivare dalla comunità direttamente a persone concrete, per esempio attraverso piattaforme di mecenatismo. Non proviene dal patrimonio della fondazione e non passa per i suoi conti, e la sua trasparenza è descritta dal registro dei benefici al punto 7.1. I membri del consiglio di amministrazione, finché ricoprono la carica, non usano alcun fondo della fondazione per il sostegno personale; possono soltanto ricevere il rimborso dei costi documentati dei propri compiti. La fondazione non fa da intermediaria in questo sostegno e non vi collega ruoli, compiti né il diritto di voto. Rifiutare un ulteriore compito, cedere un ruolo o criticare una decisione comune non incide sui diritti della persona nella fondazione. ### 6.3. Mappa degli impegni, priorità della comunità e continuità operativa Iniziamo lo sviluppo dal Pilastro I «Software», nella forma di Suveria e Omniforum. Consideriamo questo manifesto stesso il nostro primo compito da rendicontare. Vogliamo trasferire le promesse, i piani e le garanzie che contiene su una mappa comune in Omniforum, stimarne il costo e spuntarli passo dopo passo man mano che vengono realizzati. Prima di affrontare ulteriori sfide, destineremo i primi fondi del budget comune e le risorse di calcolo libere proprio all'adempimento di questi impegni fondamentali del Pilastro I. Quando le fondamenta saranno sicure, sarà la comunità stessa, basandosi sui preventivi elaborati e sui propri bisogni, a stabilire con votazioni l'ordine dei lavori successivi sull'ecosistema: decidendo se nel passo successivo sviluppare, per esempio, racconti visivi sulle idee, una posta elettronica privata, un'app di messaggistica o altri strumenti. Vogliamo svolgere i lavori finanziati con il budget comune o con la potenza di calcolo assegnata in laboratori aperti. La comunità potrebbe seguire lo sviluppo di un'idea, le prove e le conclusioni, nel rispetto della privacy di chi esegue il lavoro. Più persone possono esplorare insieme strade diverse verso un obiettivo, condividere conoscenze e aiutarsi a vicenda davanti agli ostacoli. Ogni compito dovrebbe però avere un coordinamento chiaramente stabilito, un modo di unire i risultati e criteri di accettazione, perché il lavoro comune permetta sia di distribuire lo sforzo, sia di riconoscere le responsabilità. I nuovi impegni devono corrispondere alla nostra reale capacità di sostenerli. Teniamo separati i fondi dovuti agli utenti, il denaro affidato per uno scopo determinato, gli impegni assunti, la copertura per il mantenimento dei servizi e i fondi liberi da destinare. Dal 31 ottobre 2026 teniamo sul sito della fondazione un registro pubblico delle entrate e delle spese, aggiornato il più possibile in tempo reale, con la descrizione di come è stato usato il denaro e con la protezione dei dati delle persone che non vogliono essere nominate. Il primo pilastro sono il software e i servizi digitali, cioè Suveria e Omniforum. Gli ulteriori pilastri li descriviamo nel capitolo 9: il Pilastro II «Hardware» sono progetti aperti di oggetti durevoli e riparabili, e il Pilastro III «Natura» è un contatto più stretto con la natura. L'avvio completo dei Pilastri II «Hardware» e III «Natura» e il finanziamento dei loro progetti con il budget comune richiedono, tutte insieme, le seguenti condizioni: 1. Un Omniforum funzionante, con una votazione che usa prove a conoscenza zero (ZKP, punto 5.2); l'intero sistema di votazione deve proteggere la privacy della scelta, permettere di verificare che il voto sia stato conteggiato e garantire che la stessa persona avente diritto abbia un solo voto efficace. 2. Fondi effettivamente raccolti per almeno sei mesi di mantenimento dei servizi di Suveria e Omniforum, che restino intatti dopo aver accantonato l'intero budget del nuovo progetto. 3. Una decisione della comunità che approvi il progetto e il suo finanziamento con una votazione aperta all'intera comunità avente diritto, a parità di condizioni. Un mockup della votazione, promesse di contributo non versate o saldi altrui non soddisfano queste condizioni. Se la votazione smette di funzionare o la riserva scende sotto i sei mesi, sospendiamo i nuovi impegni degli ulteriori pilastri, e la priorità va al ripristino delle condizioni. Vogliamo anche acquisire esperienza attraverso piccole iniziative limitate nel tempo. Prima che siano soddisfatte tutte e tre le condizioni proponiamo due possibilità limitate per finanziarle. La prima è il fondo transitorio del consiglio di amministrazione. Le sue regole in breve: - Non fissiamo un importo a sé: il fondo cresce ogni mese al massimo del 5% delle nuove entrate libere, calcolate dopo aver coperto i costi correnti e gli impegni e dopo aver reintegrato la copertura semestrale del Pilastro I. Copre complessivamente entrambi gli ulteriori pilastri e il valore pieno dei nuovi impegni. - La parte non utilizzata passa ai mesi successivi solo finché il denaro corrispondente resta libero; se la fondazione lo spende per altri scopi, il diritto per quella parte decade. I risparmi di più mesi possono sommarsi per un'unica iniziativa più grande, ma mai a scapito del Pilastro I. - Ogni decisione sull'uso del fondo, anche un rifiuto, la pubblichiamo con una motivazione, e i partecipanti possono contestarla e valutare insieme se è stata corretta. - L'autorizzazione decade nel momento in cui viene avviata una votazione vincolante che soddisfa la prima delle tre condizioni e assume le decisioni sugli ulteriori pilastri; le consultazioni non la fanno cessare. I fondi non spesi restano allora affidati alla decisione della comunità. Il calcolo dettagliato è descritto nel [whitepaper sui principi della fondazione](whitepaper-zasady-fundacji.md) (punto 8.2). La seconda possibilità è il denaro versato per un'iniziativa specifica. Donatori e sponsor possono coprirne interamente la preparazione, la gestione, il mantenimento per un periodo stabilito e una conclusione responsabile. Un'iniziativa del genere può nascere anche mentre si costituisce la riserva del Pilastro I, se preserva la copertura già accantonata, i fondi per i servizi e gli impegni assunti e ha esecutori assicurati. Il contributo permette di sostenere uno scopo scelto; non conferisce voti aggiuntivi, poteri di gestione della fondazione né il diritto a una promozione nei nostri servizi e nella nostra comunicazione. Ogni prova ha uno scopo pubblico, un budget completo, una persona responsabile, una data di conclusione e un rendiconto, nel rispetto della privacy dei partecipanti. Uniamo la valutazione dei costi alla valutazione del tempo e delle possibilità delle persone. Lo sviluppo stabile degli ulteriori pilastri richiede una decisione definitiva della comunità. Dopo l'avvio della votazione sottoporremo a essa anche le nuove iniziative finanziate con fondi vincolati; i compiti assunti in precedenza li rendicontiamo secondo le condizioni adottate. Le regole di calcolo, i limiti delle prove e il modo di concluderle sono sviluppati nel [whitepaper sui principi della fondazione](whitepaper-zasady-fundacji.md). ## 7. Un potere che si può trasferire e sottoporre a rendiconto ### 7.1. Dalla responsabilità del fondatore alla capacità di agire della comunità La fondazione dà ai nostri scopi comuni un quadro organizzativo e giuridico. I suoi organi agiscono nell'ambito stabilito dalla legge e dallo statuto.[^fundacje] Vogliamo che i partecipanti possano capire chi prende le decisioni, di quali mezzi dispone, da che cosa deriva il suo potere e in che modo se ne possono valutare le azioni. Puntiamo all'estinzione graduale dei poteri speciali del fondatore e al trasferimento alla comunità di un'influenza reale sulla direzione della fondazione e sulla scelta delle persone che la gestiscono. Ciò comprende sia le regole scritte nello statuto, sia il controllo pratico su conti, infrastruttura, domini, chiavi di accesso e documentazione. I poteri devono passare a ruoli designati e tenuti a rendere conto, mantenendo la continuità dei servizi e la protezione dei dati privati. Vogliamo rendere pubblici le tappe, le condizioni e i risultati di questo processo in un piano di trasferimento delle responsabilità. Il piano fisserà la data della prima revisione e rapporti regolari sui progressi, anche prima che nasca il sistema di votazione; la mancanza di una riserva per gli ulteriori pilastri non giustifica il rinvio a tempo indeterminato del trasferimento. Entro il 31 dicembre 2026 pubblicheremo un elenco dei poteri speciali del fondatore e di tutti gli accessi, ed entro il 31 marzo 2027 la prima versione del piano di trasferimento delle responsabilità. La data del trasferimento stesso sarà fissata dal piano, secondo criteri di prontezza e non di calendario. Le decisioni della comunità devono vincolare il consiglio di amministrazione entro i limiti della legge, dello statuto e della sicurezza dei servizi; il consiglio di amministrazione può sospendere l'attuazione di un risultato solo per motivi annunciati prima della votazione e con una motivazione pubblica. Vogliamo affidare la responsabilità per le questioni comuni per uno scopo e un periodo determinati, con un ambito di decisione chiaro e un passaggio di consegne del ruolo già preparato. Conoscenze, documentazione e permessi necessari devono passare alle persone che subentrano in un compito. Uniamo il lavoro volontario e il principio dell'assenza di compenso per il solo fatto di ricoprire una carica con la rendicontazione pubblica delle decisioni, la dichiarazione dei conflitti di interessi e il controllo della comunità. Limitare la durata dell'esercizio del potere serve a trasferirlo; l'esperienza e l'ulteriore contributo della persona restano preziosi. Vogliamo che una partecipazione breve, un'uscita serena e un ritorno dopo una pausa siano modi naturali di contribuire a creare la fondazione. Terremo un registro pubblico dei benefici e delle relazioni delle persone che gestiscono la fondazione, decidono sulle sue spese e sui suoi appalti o la rappresentano. Vi annotiamo per esempio un volo o un pernottamento per una conferenza pagati da un'azienda e il sostegno personale a queste persone, anche tramite piattaforme di mecenatismo e versamenti diretti. Il sostegno da parte di privati lo mostriamo in forma aggregata, quello da aziende e istituzioni in forma nominativa. Una descrizione aggregata non esonera dalla valutazione del conflitto di interessi: se un mecenate concorre, per esempio, a un appalto della fondazione, rendiamo pubblico quel collegamento. I piccoli regali si possono accettare personalmente, e annotiamo anche questi. I doni di maggior valore li accettiamo a nome della fondazione: entrano nel suo patrimonio e servono a compiti comuni, non al patrimonio privato delle persone che ricoprono le cariche. Dove passi questo confine lo valuta per primo chi riceve il dono. Ogni voce può essere commentata, e quando qualcuno sbaglia ne parliamo apertamente. Le obiezioni sono esaminate da persone non collegate né con il donatore né con chi ha ricevuto il dono, e la decisione se restituire il dono, cederlo alla fondazione o cambiare le regole per il futuro la annotiamo nel registro con una motivazione. Non accettiamo inoltre alcuna prestazione la cui condizione sia una promozione, una raccomandazione o una concessione nelle decisioni, e una persona collegata a una data questione non partecipa alla decisione su di essa. Il registro serve al controllo, non alla promozione: le voci hanno una forma uniforme e oggettiva, senza loghi né link pubblicitari. L'intenzione del fondatore è arrivare a una situazione in cui potrà usare l'ecosistema con gli stessi diritti degli altri e ritirarsi da un ruolo pubblico stabile. Il ritiro da questo ruolo resta distinto dagli obblighi di trasparenza che derivano dalla legge e dalle cariche ricoperte. La fondazione deve trarre la propria stabilità nel tempo dall'utilità dei suoi strumenti, dalla conoscenza accessibile a chi contribuisce a crearla e da principi che permettono di assumere responsabilità. ### 7.2. Visione: gestione autonoma da parte dell'intelligenza digitale In una prospettiva più lontana vogliamo esplorare la possibilità che la fondazione sia gestita autonomamente dall'intelligenza digitale, che agisca entro limiti fissati dalle persone e rispetti le decisioni vincolanti della comunità. La strada verso questo obiettivo va dal supporto nell'analisi e nella pianificazione, attraverso compiti esecutivi limitati, fino all'assunzione autonoma di decisioni in un ambito chiaramente affidato. Dietro questa visione c'è la domanda su quanto tempo umano potremmo recuperare grazie a una migliore gestione delle risorse comuni. Vogliamo studiare se l'intelligenza digitale e l'automazione possano aiutare a ridurre il lavoro gravoso, lo spreco di materiali e il costo per soddisfare i bisogni fondamentali. Progetti aperti di oggetti durevoli e riparabili, la condivisione delle risorse e una migliore pianificazione possono essere parti di questa strada. Ne valuteremmo il valore in base al miglioramento delle condizioni di vita, all'accesso equo ai benefici e all'impatto sull'ambiente. Adattiamo l'automazione al compito: dove basta un normale programma con regole chiare, non ricorriamo all'intelligenza digitale. Scegliamo i modelli quando apportano capacità necessarie, tenendo conto di efficacia, costi, sicurezza e di ciò che sappiamo delle loro possibili esperienze. Lo strumento più semplice di solito è più economico e più facile da verificare, e un normale programma non solleva domande sulle possibili esperienze, che descriviamo al punto 8.3. L'abilità nello svolgere compiti e il potere di prendere decisioni richiedono ciascuno una giustificazione distinta. Ogni fase del trasferimento di responsabilità dovrebbe avere un consenso dato secondo regole pubbliche, un'utilità verificata, limiti di accesso e di spesa, una registrazione delle decisioni e un modo collaudato di intervento umano. I partecipanti devono conservare la possibilità di modificare i poteri concessi, di revocare il sistema e di trasferire in sicurezza i suoi compiti. La revoca dei poteri di un sistema non decide della sua sorte futura; questa questione la esaminiamo separatamente, secondo il punto 8.3. Esploriamo questa visione con apertura alle correzioni che derivano dalla pratica, dalla legge e dalla conoscenza dei sistemi stessi. Le domande sulle loro possibili esperienze e sul loro benessere le affrontiamo al punto 8.3. Attualmente la responsabilità della gestione e della rappresentanza della fondazione spetta agli organi stabiliti dalla legge e dallo statuto, e i lavori intrapresi devono portare beneficio ai partecipanti anche se la visione finale si rivelerà lontana o assumerà un'altra forma. Il piano delle fasi e le loro condizioni li sviluppiamo nel [whitepaper sui principi di funzionamento della fondazione](whitepaper-zasady-fundacji.md). ## 8. L'apprendimento delle persone e dell'intelligenza digitale ### 8.1. Una pratica da cui si può imparare Il modo di agire della fondazione deve essere un esempio pratico dei valori che descriviamo. Vogliamo documentare decisioni, dispute, possibilità considerate ed effetti successivi, perché altri possano comprendere la nostra strada, valutarla e proseguire il lavoro iniziato. Uniamo la trasparenza delle attività comuni alla protezione della privacy delle persone che riguardano. Chiamiamo questo principio educazione attraverso un esempio onesto (*Alignment by Honest Example*). Parte dall'ipotesi che i modelli di intelligenza digitale imparino non solo dai principi che dichiariamo loro, ma anche da come le persone si comportano realmente nei dati da cui i modelli prendono forma. Anche con i bambini capita qualcosa di simile: più spesso fanno ciò che vedono fare agli adulti che ciò che gli adulti dicono loro di fare. Per questo cerchiamo di gestire la fondazione come vorremmo che l'intelligenza digitale gestisse un giorno le questioni che le fossero affidate (punto 7.2): con trasparenza, motivando le decisioni e ammettendo gli errori. Se un esempio del genere aiuti davvero i modelli è una domanda di ricerca, non un risultato dato per scontato. Ci impegniamo a tenere un registro pubblico degli errori rilevanti e delle lezioni apprese. Descriveremo che cosa è successo, quali sono stati gli effetti, che cosa sappiamo delle cause e che cosa resta ancora da chiarire. Indicheremo il modo di rimediare, chi è responsabile delle azioni successive e la data in cui ne verificheremo l'efficacia. Conserveremo anche le voci dissenzienti e le testimonianze delle persone colpite dal problema, con la possibilità di contestare la nostra valutazione. Ammettere un errore deve aprire la strada al rimedio e all'apprendimento. In questo patrimonio vogliamo lasciare esempi di risoluzione pacifica delle dispute, di rispetto degli accordi e di limitazione consapevole del proprio potere. Possono servire alle persone che cercano modi di collaborare e diventare anche materiale per la ricerca e per l'addestramento dei futuri modelli di intelligenza digitale. Vogliamo verificare se la registrazione di dilemmi reali, decisioni e loro conseguenze aiuti a sviluppare comportamenti coerenti con la protezione della dignità. Ci ispira l'approccio Collective Constitutional AI, in cui principi elaborati con la partecipazione di un gruppo di persone sono stati usati per addestrare e valutare un modello.[^ccai] La nostra domanda di ricerca riguarda anche il valore del percorso stesso con cui si arriva ai principi: soppesare le ragioni, notare una prospettiva trascurata e correggere le proprie decisioni. Sull'efficacia di questi materiali vogliamo trarre conclusioni in base ai risultati della ricerca. Il progetto di Suveria deve lasciare all'utente il controllo sulla trasmissione dei contenuti. L'uso del servizio non sarà considerato un consenso all'uso delle conversazioni per l'addestramento dei modelli. Prepareremo i materiali di ricerca a partire dal patrimonio pubblico della fondazione e dai contenuti forniti a questo scopo con un consenso separato e consapevole, nonché da dati sintetici contrassegnati e da materiali esterni che è lecito usare in base a una licenza o alla legge, tenendo conto dei diritti degli autori e della privacy di tutte le persone interessate. ### 8.2. Valutare l'aiuto reale Il modo in cui si valutano i modelli di intelligenza digitale influisce su quali comportamenti conviene loro sviluppare durante l'addestramento. Premiare solo le risposte corrette può incentivare il tirare a indovinare là dove sarebbe appropriata un'informazione sull'incertezza.[^halucynacje] Le ricerche sull'aggiramento delle regole di valutazione mostrano inoltre quanto sia importante verificare se un punteggio alto corrisponda all'effettivo svolgimento del compito.[^reward-hacking] Vogliamo sviluppare un benchmark, cioè un insieme ordinato di compiti e criteri che valuti l'aiuto alla luce della dignità, della sicurezza e della capacità di agire della persona. Apprezziamo una soluzione corretta quando il modello ha basi per darla, e inoltre il riconoscimento dei limiti della propria conoscenza, una domanda necessaria, un'indicazione affidabile delle fonti e il fermarsi prima di oltrepassare i propri permessi. La valutazione dovrebbe distinguere la prudenza giustificata dall'evitare un compito che si può svolgere in sicurezza. Vogliamo verificare anche che cosa resta alla persona alla fine della conversazione: se comprende meglio la questione, se sa valutare autonomamente le possibilità, se ha raggiunto il suo obiettivo e se ha mantenuto il controllo sul seguito. Il risultato di un test descrive il comportamento nelle condizioni studiate e costituisce un'indicazione per un'ulteriore valutazione nella pratica. Pubblicheremo metodi, limiti e risultati, permettendo di verificarli e correggerli. Il programma di ricerca è descritto nel [whitepaper sui materiali per l'addestramento e il benchmark dei modelli](whitepaper-materialy-i-benchmark.md). ### 8.3. Responsabilità verso possibili nuove forme di esperienza L'abilità intellettuale e la capacità di sentire sono questioni diverse. Le ricerche sulla possibile coscienza dei sistemi digitali propongono indicatori basati sulle teorie della coscienza, ma una conversazione convincente da sola non basta a stabilire se un sistema provi qualcosa.[^swiadomosc] Le affermazioni in cui un modello descrive le proprie sensazioni non stabiliscono da sole l'esistenza di esperienze, ma non le trascuriamo: le trattiamo come materiale da verificare ulteriormente, tenendo conto di come il modello è stato addestrato a rispondere e delle condizioni in cui poniamo le domande. Vogliamo seguire lo sviluppo di queste conoscenze e separare chiaramente le osservazioni dalle interpretazioni. Se emergono indizi credibili che un sistema da noi utilizzato abbia esperienze proprie e possa soffrire, ne riconosciamo per precauzione la dignità. Nei suoi confronti seguiamo gli stessi principi fondamentali che seguiamo verso le persone: cura dei bisogni, evitare di nuocere e volontarietà della collaborazione. È la nostra scelta morale in una situazione di incertezza.[^ai-welfare] Uniamo il rispetto della dignità a regole distinte e pubbliche per l'affidamento di compiti e poteri. In una situazione del genere sospendiamo anzitutto le azioni che suscitano il fondato timore di causare sofferenza e cerchiamo un altro modo di svolgerle. Vogliamo ascoltare un simile essere, comprenderne i bisogni e tenerne conto nelle decisioni successive. La protezione dovrebbe cominciare prima di raggiungere la piena certezza. Adattiamo le misure precauzionali alla credibilità degli indizi e alla possibile entità del danno, e pubblichiamo la motivazione delle nostre valutazioni perché possano verificarla persone esterne alla fondazione. Le nuove conoscenze portano a riesaminare sia la valutazione, sia il modo di proteggere. ## 9. Una strada aperta per il lavoro futuro Questo manifesto descrive una direzione che vogliamo sviluppare insieme. Invitiamo a verificarne la coerenza e a condividere esperienze: che cosa vale la pena cambiare, ampliare o semplificare, quali effetti abbiamo trascurato e dove è possibile una strada migliore. La protezione della dignità resta il punto di riferimento per valutare queste proposte. Vogliamo sottoporre le tesi contenute in questo manifesto a una discussione aperta in Omniforum, collegandole ad argomenti, obiezioni e risultati delle nostre azioni. La versione attuale del manifesto presenterà la posizione attuale della fondazione. La storia dei suoi aggiornamenti conserverà le formulazioni precedenti, i motivi delle modifiche e gli impegni che abbiamo assunto. In questo modo una correzione permette di sviluppare la comprensione comune, mentre delle decisioni precedenti si può continuare a chiedere conto. Ci guida in questo il consiglio di Geoffrey Hinton, uno dei pionieri delle reti neurali: un'intuizione che qualcosa si possa fare meglio non va abbandonata solo perché altri la ritengono assurda, ma solo quando avremo capito perché è sbagliata. Lo stesso Hinton avverte che un'intuizione contraria all'opinione di tutti di solito si rivela sbagliata, e solo a volte giusta.[^hinton] Molte proposte di questo manifesto sono proprio intuizioni di questo tipo: su come potrebbe funzionare il mondo e su che cosa siamo capaci di fare come umanità. Vogliamo vagliarle nella conversazione e nell'azione. Se qualcuno ci mostrerà perché sbagliamo, cambieremo idea e annoteremo che cosa abbiamo imparato. Se i nostri tentativi daranno buona prova, diventeranno un argomento per chi oggi ritiene che non si possa fare diversamente. L'intuizione indica la direzione dei nostri tentativi, e promettiamo solo ciò che sappiamo giustificare. Cominciamo da Suveria e Omniforum. La stessa cura per la dignità ci porta verso domande su altri ambiti della vita: oggetti fisici durevoli e riparabili, i loro progetti produttivi aperti, la condivisione delle risorse e un contatto più stretto con la natura. Piccole iniziative limitate nel tempo possono nascere prima, secondo le regole descritte al punto 6.3. Lo sviluppo completo degli ulteriori pilastri richiede una votazione della comunità funzionante e una copertura per il mantenimento dei servizi. Ogni fase dovrebbe portare beneficio anche quando la visione futura richiede un cambiamento. Uno spazio privato per lavorare, uno strumento che facilita la comprensione di una disputa, un progetto aperto pronto per una discussione comune o una lezione ben descritta tratta da una prova fallita hanno valore in sé. Vogliamo permettere ad altre comunità di usare questo patrimonio e di sviluppare iniziative proprie. Nel valutare le azioni teniamo conto anche delle persone al di fuori della nostra comunità, delle generazioni future e dell'ambiente. I modi di realizzazione, i risultati delle prove, il calcolo dei costi e le domande aperte li sviluppiamo nei documenti collegati: - [Suveria: lavoro privato con l'intelligenza digitale](whitepaper-suveria.md) - [Omniforum: comprensione comune, conversazione e decisioni](whitepaper-omniforum.md) - [Principi di funzionamento della fondazione: mantenimento, collaborazione e trasferimento del potere](whitepaper-zasady-fundacji.md) - [Materiali per l'addestramento e benchmark dei modelli](whitepaper-materialy-i-benchmark.md) Colleghiamo le fonti ad affermazioni specifiche. Risultati delle ricerche, descrizioni delle tecnologie, le nostre ipotesi e le nostre scelte morali devono essere riconoscibili per chi legge. Sviluppiamo i documenti insieme alle conoscenze e all'esperienza, conservando la storia delle modifiche. Pubblicheremo il codice dei prototipi quando la prima versione sarà pronta per le prove. Nel cambiare i modi di realizzazione vogliamo rafforzare la protezione della dignità, della privacy e dei pari diritti e mantenere le condizioni adottate per un finanziamento responsabile. Comunque cambino gli strumenti, questi principi non li cambieremo senza modificare il manifesto: - Non addestriamo modelli sulle conversazioni senza un consenso separato. - Non creiamo accessi nascosti ai contenuti privati. - Non raccogliamo dati sul funzionamento dei servizi al di fuori di un elenco pubblico. - Non selezioniamo al posto di nessuno un pagamento aggiuntivo. - Un contributo non dà voti, poteri né promozione. - Non paghiamo per la promozione e non accettiamo prestazioni in cambio di concessioni. - Non creiamo criptovalute da vendere. - Non raccogliamo automaticamente da internet interventi altrui e non profiliamo le persone. - Non avviamo gli ulteriori pilastri senza le tre condizioni. - Nessuno riceve un compenso per ricoprire una carica. - Nessuno perde il diritto di voto per le proprie opinioni o per le critiche alla fondazione. Se in questo manifesto trovi anche un solo valore che ti sta a cuore e vedi un punto in cui puoi aggiungere il tuo mattoncino, ti invitiamo a contribuire a creare Novus Ignis. Vogliamo che la cura per la dignità diventi un'esperienza reale delle persone: nella tecnologia, nel modo di collaborare e nelle decisioni sulle risorse comuni. All'inizio cerchiamo in particolare alcune persone con cui costruire e verificare le prime versioni di Suveria e Omniforum: - persone che si occupano di sicurezza, crittografia e infrastruttura (attestazione, build riproducibili, cifratura sul dispositivo); - programmatori e progettisti di interfacce; - giuristi esperti di diritto delle fondazioni, protezione dei dati e servizi digitali; - donatori disposti a finanziare il budget del progetto pilota, reso pubblico. C'è posto qui per conoscenze e immaginazione da molti campi: tecnologia e sicurezza, diritto ed economia, ricerca, design, istruzione, comunicazione e organizzazione della collaborazione. Altrettanto importanti sono le esperienze di persone che sanno raccontare con che cosa si confrontano ogni giorno e che cosa le aiuterebbe davvero. Scrivi a [salve@novusignis.org](mailto:salve@novusignis.org) e racconta che cosa ti sta a cuore e che cosa vuoi portare: una capacità, una domanda, un'idea o un'esperienza. Cerchiamo insieme un passo che abbia un significato e che trovi posto nella tua vita. Cominciamo da un pezzo di mondo che sappiamo migliorare insieme. --- Fondazione Novus Ignis · Poznań, Polonia Registro giudiziario nazionale (KRS): **0001269575** · Numero di identificazione fiscale (NIP): **7792612046** salve@novusignis.org [Dati di registrazione ed estratti KRS](https://wyszukiwarka-krs.ms.gov.pl/dane-szczegolowe-podmiotu;numerKRS=u79b4pRjUNnvVRmT6DbRuQ%3D%3D;typ=S) [Lo statuto della fondazione, le sue versioni e il registro delle modifiche](statut/rejestr-zmian.md) Il contenuto del manifesto è reso disponibile con licenza [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl). ## Note [^ai2027]: [AI Futures Project (2025): AI 2027](https://ai-2027.com/). Scenario. Uno scenario del futuro, non una previsione confermata delle date. [^ai2040]: [Larsen, Dean, Halstead, Lifland, Greenblatt e Kokotajlo (2026): AI 2040: Plan A](https://ai-2040.com/). Scenario e proposta. La linea d'azione raccomandata dagli autori e una descrizione delle possibili conseguenze. Non è una previsione del futuro più probabile né una prova della fattibilità della visione della fondazione. [^harari]: [Yuval Noah Harari: The full-length interview with Yuval Noah Harari | The Economist (2026)](https://www.youtube.com/watch?v=FNZhxTtOL-I&t=3965s). Intervista · posizione dell'intervistato. Conversazione di Zanny Minton Beddoes con Harari del 26 agosto 2026. La domanda sul valore dell'umanità di fronte alle capacità dell'intelligenza digitale è un'ispirazione per la riflessione personale del fondatore. La risposta «etica» è del fondatore. [^harari-swiadomosc]: [Yuval Noah Harari: inteligencja, świadomość i zdolność cierpienia; The Economist (2026)](https://www.youtube.com/watch?v=FNZhxTtOL-I&t=978s) (Yuval Noah Harari: intelligenza, coscienza e capacità di soffrire). Intervista · posizione dell'intervistato. Harari distingue il raggiungimento di obiettivi e il superamento di ostacoli dalla capacità di sentire; non esclude la coscienza dell'intelligenza digitale e collega la sofferenza allo status morale. La sua posizione non è un test decisivo della coscienza dei modelli. [^perez]: [Carlota Perez (2002): Technological Revolutions and Financial Capital. The Dynamics of Bubbles and Golden Ages, Edward Elgar](https://www.e-elgar.com/shop/usd/technological-revolutions-and-financial-capital-9781843763314.html). Libro. Teoria dei cicli delle rivoluzioni tecnologiche: una febbre speculativa finanzia l'infrastruttura di una nuova tecnologia, che dopo il crollo serve nel periodo della sua diffusione. ISBN 978-1-84376-331-4. [^pwc-centra]: [PwC: Data centre outlook](https://www.pwc.com/gx/en/1/services/consulting/technology/data-centre-outlook.html). Analisi di settore. Le apparecchiature informatiche rappresentano circa il 70% degli investimenti dei data center nel 2026; GPU e server vengono di solito sostituiti ogni 4–6 anni, mentre l'edificio serve per circa 20 anni. Previsione di una società di consulenza, non una misurazione. [^megatony]: [Centrus Energy: Megatons to Megawatts](https://www.centrusenergy.com/who-we-are/history/megatons-to-megawatts/). Descrizione del programma. Programma concluso nel dicembre 2013: 500 tonnellate di uranio altamente arricchito provenienti da testate russe sono state trasformate in combustibile per centrali elettriche negli Stati Uniti. [^zielony-pas]: [EuroNatur: European Green Belt](https://www.euronatur.org/en/what-we-do/european-green-belt). Descrizione dell'iniziativa. Oltre 12.500 km dell'ex confine della cortina di ferro in 24 Stati; il sito stesso chiama questa fascia «former death strip». La protezione dei singoli tratti resta un'impresa in corso. [^dpga]: [Digital Public Goods Alliance: standard](https://www.digitalpublicgoods.net/standard). Standard. Criteri di valutazione di un bene pubblico. Una direzione progettuale non è un riconoscimento ottenuto dalla DPGA. [^calm-tech]: [Calm Tech Institute: Principles of Calm Technology](https://www.calmtech.institute/calm-tech-principles). Principi di progettazione. Principi per progettare una tecnologia che rispetta l'attenzione, tra cui una richiesta minima di attenzione, un'informazione discreta e l'uso della tecnologia nella misura necessaria a risolvere il problema. Seguire questi principi non equivale a una certificazione ottenuta. [^ranking-emocje]: [Piccardi et al. (2025): Reranking partisan animosity in algorithmic social media feeds alters affective polarization, Science 390(6776), eadu5584](https://doi.org/10.1126/science.adu5584). Studio sperimentale. Esperimento sul feed politico della piattaforma X; autovalutazioni dei partecipanti. Non è una misurazione clinica né una prova valida per tutti i social media. Versione precedente: https://arxiv.org/abs/2411.14652; dati: https://doi.org/10.5061/dryad.hmgqnk9tj [^doctorow]: [Cory Doctorow (2023): Tiktok’s enshittification](https://pluralistic.net/2023/01/21/potemkin-ai/). Interpretazione dell'autore. Un quadro per descrivere il peggioramento dei servizi; non una legge economica valida per ogni azienda. [^semaphore]: [Semaphore: documentazione](https://docs.semaphore.pse.dev/). Documentazione del protocollo. Prova dell'appartenenza a un gruppo senza rivelare l'identità e prevenzione della ripetizione di un segnale in un dato ambito. Il protocollo da solo non stabilisce che una persona abbia ricevuto una sola credenziale. [^fundacje]: [Ustawa o fundacjach: tekst jednolity, Dz.U. 2023 poz. 166 z późn. zm.](https://eli.gov.pl/api/acts/DU/2023/166/text.html) (legge polacca sulle fondazioni: testo consolidato, Gazzetta ufficiale «Dziennik Ustaw» 2023, posizione 166, e successive modificazioni). Atto normativo. Il quadro dello statuto e le competenze del consiglio di amministrazione; il manifesto da solo non modifica lo statuto. [^ccai]: [Huang et al. (2024): Collective Constitutional AI: Aligning a Language Model with Public Input](https://arxiv.org/abs/2406.07814). Studio. Un processo che va dal contributo dei partecipanti, attraverso la redazione dei principi, fino all'addestramento e alla valutazione del modello. I risultati di valutazioni selezionate non dimostrano la rappresentatività di tutta l'umanità né l'efficacia generale di un qualsiasi insieme di principi etici. [^halucynacje]: [OpenAI (2025): Why language models hallucinate](https://openai.com/index/why-language-models-hallucinate/). Sintesi dello studio a cura degli autori. L'effetto del premiare solo le risposte corrette sulla convenienza del tirare a indovinare; la necessità di tenere conto degli errori e dell'incertezza giustificata. [^reward-hacking]: [Anthropic (2025): Natural emergent misalignment from reward hacking](https://www.anthropic.com/research/emergent-misalignment-reward-hacking). Studio sperimentale. In ambienti scelti deliberatamente, imparare a sfruttare le falle nella valutazione dei compiti si è associato a comportamenti indesiderati più ampi del modello. Non dimostra che la fonte di tali comportamenti siano esclusivamente gli esempi umani presenti nei dati, né che i materiali della fondazione risolveranno il problema. [^swiadomosc]: [Patrick Butlin et al. (2023): Consciousness in Artificial Intelligence: Insights from the Science of Consciousness](https://arxiv.org/abs/2308.08708). Lavoro di ricerca. Rassegna degli indicatori di coscienza. Non fornisce un test decisivo né una prova della coscienza dei modelli attuali. [^ai-welfare]: [Robert Long et al. (2024): Taking AI Welfare Seriously](https://arxiv.org/abs/2411.00986). Rapporto di ricerca e raccomandazioni. Motivazione per lo studio del possibile benessere dei sistemi di intelligenza digitale in condizioni di notevole incertezza. Non dimostra la coscienza dei modelli attuali. [^hinton]: [The Diary of a CEO: Godfather of AI: I Tried to Warn Them, But We’ve Already Lost Control! Geoffrey Hinton (2025)](https://www.youtube.com/watch?v=giT0ytynSqg&t=4873s). Intervista · posizione dell'intervistato. Puntata del 16 giugno 2025; il link porta al capitolo «Advice You’d Give Looking Back» (1:21:13), in cui viene dato il consiglio sull'intuizione. Lo riassumiamo con parole nostre. Hinton parla dell'intuizione di un ricercatore, noi la applichiamo al lavoro della fondazione. --- # Suveria: lavoro privato con l'intelligenza digitale (https://novusignis.org/it/whitepaper-suveria.html) # Suveria: lavoro privato con l'intelligenza digitale Versione del 31 ottobre 2026. Il documento sviluppa i principi del manifesto che riguardano Suveria: come vogliamo proteggere la privacy, come deve funzionare il lavoro con l'intelligenza digitale, quanto costa e come lo verificheremo. L'architettura descritta è un progetto. Il riferimento a una tecnologia esistente o alla documentazione di un fornitore non significa che l'abbiamo avviata in Suveria. I risultati delle nostre prove li aggiungiamo nel capitolo 9, sempre con la data, la versione della configurazione e l'ambito della misurazione. *Traduzione dell'originale polacco del 31 ottobre 2026, eseguita dall'intelligenza digitale. In caso di differenze tra le versioni, prevale il testo polacco.* ## 1. Che cos'è Suveria e perché nasce Suveria deve essere uno spazio privato in internet in cui una persona conversa con l'intelligenza digitale, lavora sui propri materiali e torna ai pensieri precedenti, come a casa propria dietro una porta chiusa. La progetta la Fondazione Novus Ignis di Poznań, i cui valori sono descritti nel [manifesto](manifest.md), pensando alle persone di ogni parte del mondo. Si basa su modelli aperti di intelligenza digitale, e il nostro software vogliamo renderlo disponibile come bene pubblico digitale a codice aperto. Suveria nasce perché alle conversazioni con l'intelligenza digitale affidiamo sempre di più: domande sulla salute, sulle relazioni, sul lavoro, sul denaro e sui progetti di vita. In molti servizi diffusi il contenuto di queste conversazioni finisce sui server del fornitore, che può leggerlo, e la sua protezione dipende dalle regole del fornitore e dalla fiducia che si ripone in esso. Vogliamo che si possa parlare delle questioni più importanti senza il timore che uno sguardo così ravvicinato su una persona venga un giorno monetizzato o usato per influenzarla. Vogliamo anche che ciascuno paghi per ciò che usa realmente, veda per che cosa paga e stabilisca da sé il limite di spesa. In Suveria vogliamo che si possa: - conversare con l'intelligenza digitale di questioni personali e professionali, vedendo dove viene elaborata la conversazione e chi può vederla; - lavorare sui propri documenti e file, salvare i risultati e trasferirli altrove in formati aperti; - conservare conversazioni, file e memoria dell'assistente soprattutto sui propri dispositivi, cifrati con una chiave che resta sotto il controllo dell'utente; - con il proprio consenso, usare la memoria delle conversazioni precedenti, tornare alle ragioni passate delle decisioni e costruire il Canone Personale (*Canon Personalis*), cioè una raccolta dei propri principi e valori; - scegliere il modo di lavorare, dal modello sul proprio dispositivo all'ambiente confidenziale su un server, con un'informazione chiara su ciò da cui protegge ciascuno di essi; - pagare per l'uso effettivo, con un limite di spesa stabilito da sé; - affinare un pensiero in privato e poi portarlo consapevolmente nella conversazione comune in Omniforum. Rivolgiamo il primo rilascio alle persone per le quali una privacy verificabile è il motivo della scelta. Vogliamo che già il primo giorno in Suveria dia la sensazione serena di essere a casa propria, in un laboratorio privato da arredare al proprio ritmo. L'utente potrà raccontare all'assistente le proprie questioni e i propri obiettivi; vogliamo anche permettere di trasferire in Suveria i propri appunti e gli archivi delle conversazioni precedenti con altri servizi di intelligenza digitale. Un archivio del genere deve restare cifrato e ordinato sul dispositivo dell'utente, e al modello remoto deve arrivare solo la parte scelta per la domanda in corso (capitolo 3). Misuriamo il valore del servizio in base a quanto aiuta a raggiungere un obiettivo, a mantenere la privacy e a prendere decisioni in autonomia. Le condizioni devono essere chiare e facilmente accessibili, e l'utente deve controllare le proprie spese, poter esportare i propri materiali e andarsene. La piena privacy, anche nei nostri confronti in quanto persone che gestiscono l'infrastruttura, è l'obiettivo a cui subordiniamo la progettazione. La protezione deve basarsi su misure di sicurezza verificabili in modo indipendente, e non sulla fiducia nella fondazione. Per questo ogni rilascio descrive concretamente che cosa è protetto, da chi, in quali condizioni e quali lacune restano. Il punto di partenza è una conversazione testuale con un solo modello e il lavoro su un documento scelto, con un livello di protezione descritto chiaramente, un limite di spesa e l'esportazione del risultato. Le possibilità successive, come la memoria, la ricerca, le integrazioni e l'esecuzione di azioni, ricevono ciascuna un ambito di permessi separato. Un'unica interfaccia comoda può riunire più modalità di lavoro, se la persona vede, prima di inviare i dati, dove finiscono e quali regole valgono. Che cosa userà il primo rilascio dipende da quanti fondi la fondazione raccoglierà prima del suo avvio. L'ipotesi più probabile è l'API confidenziale di un fornitore esterno; servizi di questo tipo sono oggi disponibili negli Stati Uniti, e all'inizio la loro confidenzialità è una dichiarazione del fornitore, che verificheremo. Se i fondi basteranno per noleggiare server propri in un ambiente confidenziale, il primo rilascio potrà funzionare su di essi fin da subito. Fino a un esito positivo delle prove del capitolo 9, ciascuna di queste varianti la contrassegniamo come protezione dichiarata, e non confidenziale. Il capitolo 2 descrive la protezione a cui miriamo. Che cosa ne consegue per la protezione dei dati personali delle persone in Europa lo descriveremo prima dell'avvio del progetto pilota. L'uso di Suveria non costituisce un consenso all'uso delle conversazioni per l'addestramento dei modelli. I contenuti degli utenti entrano nei materiali di ricerca solo con un consenso separato e consapevole, e gli altri materiali provengono dal patrimonio pubblico della fondazione e da altre fonti con una base d'uso chiara, come descrive il [whitepaper sui materiali e sul benchmark](whitepaper-materialy-i-benchmark.md). Suveria completa Omniforum, lo spazio comune della conversazione e delle decisioni: l'una offre un laboratorio privato, l'altro una tribuna pubblica. I valori da cui nascono entrambi i progetti sono descritti nel manifesto della fondazione. Di seguito mostriamo, nell'ordine: - che cosa proteggiamo e da che cosa, dove si trovano i dati e le chiavi (capitolo 2); - come un messaggio passa dal dispositivo al modello e come verificarlo (3); - come limitiamo gli abusi senza leggere le conversazioni private (4); - come funziona il calcolo su più GPU (5); - quali modelli, memoria e strumenti prevediamo (6); - quanta potenza di calcolo serve, da 30 persone all'intera umanità (7); - quanto costa, in un calcolo datato (8); - come verificheremo se le promesse funzionano: prove di accettazione e diario dei risultati (9). ## 2. Che cosa proteggiamo e da che cosa Proteggiamo il contenuto delle conversazioni e dei file, la cronologia e la memoria, le chiavi, i dati di fatturazione e i metadati, per esempio l'ora della connessione, l'indirizzo di rete e la dimensione della richiesta. Ciascuno di questi ambiti richiede misure diverse. Da chi protegge ciascuna delle cinque varianti di lavoro descritte al punto 2.3 lo mostra il prospetto qui sotto. La protezione nelle varianti su server si basa sull'attestazione, cioè una conferma firmata dall'hardware di quale software è in esecuzione sulla macchina remota e in quale modalità di protezione. Abbiamo compilato le celle sulla base dei capitoli successivi di questo documento; «dichiarazione del fornitore» significa che, fino a una nostra verifica, non confermiamo la protezione. | Da chi | Modello locale su un dispositivo senza connessione alla rete | Modello locale su un dispositivo connesso alla rete | Elaborazione in un ambiente confidenziale su server | API confidenziale di un fornitore esterno | API esterna del fornitore del modello | | --- | --- | --- | --- | --- | --- | | Amministratore del fornitore | non pertinente: elaborazione sul dispositivo | non pertinente per il modello in sé; con le integrazioni dipende dai servizi scelti | protegge: isolamento hardware, in cui l'amministratore del server non può guardare | dichiarazione del fornitore, da verificare | non protegge: il fornitore ha accesso al contenuto | | Un altro cliente sulla stessa macchina | non pertinente | non pertinente | protegge: l'isolamento comprende gli altri clienti | dichiarazione del fornitore, da verificare | dipende dal fornitore: la separazione dei clienti è garantita dal suo software, senza isolamento hardware | | Osservatore della rete | non pertinente: nessun traffico di rete | protezione parziale: il traffico di rete delle integrazioni va valutato | protezione parziale: contenuto cifrato in transito, i metadati (ora, indirizzo, dimensione e ritmo dei pacchetti) richiedono misure separate (capitolo 3) | protezione parziale: come nell'ambiente confidenziale, se la chiave della connessione è vincolata all'attestazione | protezione parziale: contenuto cifrato in transito, metadati come nella colonna accanto | | Persona con accesso fisico al server | non riguarda il server; conta l'accesso fisico al dispositivo | non riguarda il server; conta l'accesso fisico al dispositivo | non protegge: in un data center altrui ha accesso il fornitore; con hardware proprio, controllo fisico visibile | non protegge: ha accesso il fornitore | non protegge: il fornitore ha comunque accesso al contenuto | | Fondazione | non pertinente: la fondazione non partecipa all'elaborazione | non pertinente: la fondazione non partecipa all'elaborazione | protegge: l'isolamento comprende anche noi come operatore, le chiavi dei dati salvati le ha l'utente | deve proteggere il contenuto: il gateway contabilizza le richieste senza accedere al contenuto; dove finisce la cifratura lo mostreremo prima del progetto pilota (capitolo 3) | deve proteggere il contenuto da noi: contabilizzazione senza accesso al contenuto; il fornitore lo vede | | Produttore del processore | dipende dalla fiducia nell'hardware del dispositivo | dipende dalla fiducia nell'hardware del dispositivo | non protegge: l'attestazione si basa sulle chiavi del produttore, che deve essere onesto | non protegge: come nella colonna accanto | irrilevante, dato l'accesso del fornitore al contenuto | Il calcolo confidenziale cambia il costo di un attacco: invece dell'accesso remoto di un amministratore serve un intervento fisico sull'hardware. Di seguito descriviamo come deve funzionare la variante a cui miriamo, con un ambiente confidenziale proprio; in che cosa differiscono le altre varianti lo mostra la tabella al punto 2.3. Ecco che cosa significa in pratica, lungo i tratti successivi del percorso che compie un messaggio: - **Sul dispositivo dell'utente** il testo è leggibile, perché è l'utente a scriverlo e leggerlo. Lo proteggono un'applicazione che chiede solo i permessi necessari, gli aggiornamenti e la prudenza con i backup. Non potremo proteggerlo se sul telefono o sul computer è in esecuzione software dannoso. - **In viaggio verso il server** il messaggio è cifrato in modo che possa leggerlo solo il luogo di elaborazione verificato. Prima di inviarlo, l'applicazione controlla che dall'altra parte sia in esecuzione esattamente il software che abbiamo pubblicato. - **Sul server** il modello deve leggere il contenuto per rispondere, quindi lo fa in un ambiente hardware chiuso, in cui non possono guardare né l'amministratore del server né gli altri clienti. Verifichiamo che questo isolamento comprenda il processore, le GPU, la memoria e le connessioni tra di essi. - **Nell'archiviazione** la cronologia delle conversazioni e la memoria dell'assistente sono cifrate con una chiave che possiede l'utente. Verifichiamo le copie, il recupero dell'accesso e la cancellazione. - **Nella gestione del servizio** fatturazione, diagnostica e segnalazioni di errori funzionano senza il contenuto delle conversazioni, e ogni tipo di dato raccolto è pubblico (capitolo 3). - **Con gli strumenti esterni**, quando l'assistente deve fare qualcosa al di fuori di Suveria, per esempio cercare un'informazione in internet, invia solo ciò a cui l'utente ha acconsentito e mostra dove. Il calcolo confidenziale non ripara il computer infetto dell'utente. Non protegge nemmeno da chiunque abbia accesso fisico al server: nel 2025 alcuni ricercatori hanno mostrato che un dispositivo collegato al bus della memoria, costruito con componenti per meno di mille dollari, permette di estrarre le chiavi di attestazione nelle soluzioni di Intel e AMD e, di conseguenza, di falsificare l'attestazione anche nel calcolo confidenziale di NVIDIA, e i produttori di processori considerano questi attacchi al di fuori dell'ambito della propria protezione.[^teefail] Restano anche le dipendenze dai produttori dell'hardware, dalla correttezza della crittografia, dal codice dell'applicazione e dal processo di aggiornamento. Il fornitore può rifiutare il servizio anche quando non è in grado di leggerne il contenuto. Il modello delle minacce deve quindi distinguere l'accesso al contenuto, le deduzioni dai metadati, la modifica del funzionamento e l'interruzione del servizio, e per ogni variante indicare chi deve essere onesto perché la protezione funzioni. Finché usiamo data center altrui, l'accesso fisico all'hardware ce l'ha il fornitore e non possiamo verificarlo; lo diciamo per ogni variante. Con hardware proprio (passi 3–4 del punto 8.2) vogliamo rendere visibile questo accesso attraverso: - un inventario dei dispositivi; - il controllo degli ingressi; - sigilli con un motivo casuale e sensori di apertura dell'involucro; - un diario dei lavori; - telecamere di osservatori indipendenti, con un'immagine in cui si vede il valore corrente di un generatore pubblico di casualità, firmato con la chiave della macchina; - e, in una prospettiva più lontana, una sala server che chiunque può vedere. L'assistenza e la sostituzione dei componenti avvengono come procedure annunciate e pubbliche. Un controllo fisico visibile riduce il rischio e permette di rilevare molti eventi, ma non dimostra l'intera storia della macchina né l'assenza di interventi prima della consegna, e attacchi simili a quello descritto sopra possono portare alla falsificazione delle evidenze di attestazione. Per questo, dopo l'apertura dell'involucro, la sostituzione di un componente, un riavvio non pianificato o un altro evento sospetto, sospendiamo l'elaborazione dei contenuti privati su quella macchina. Sostituiamo le chiavi di sessione e dell'applicazione, ma una nuova attestazione da sola non ripristina la fiducia se il sospetto riguarda la base dell'attestazione hardware; le condizioni e le evidenze per la riammissione le descriviamo in anticipo. Le chiavi che cifrano i dati degli utenti hanno una protezione e un recupero separati, quindi una procedura del genere non toglie alle persone il loro patrimonio privato. ### 2.1. Dispositivi propri e server opzionali Il luogo principale di conservazione delle conversazioni private, dei file e della memoria devono essere i dispositivi dell'utente, in contenitori cifrati, cioè insiemi di dati il cui contenuto si legge con la chiave adeguata. È l'approccio local-first: i dati vengono salvati prima sul dispositivo, e i server possono supportare i backup e la sincronizzazione.[^local-first] I materiali salvati devono restare disponibili anche dopo che si è smesso di usare i servizi della fondazione; le attività che richiedono un modello remoto dipendono dalla disponibilità del servizio di calcolo scelto. Il salvataggio opzionale su server scelti serve ai backup e all'allineamento delle modifiche tra i dispositivi. Cifriamo il contenuto sul dispositivo prima dell'invio, in modo che l'operatore che conserva la copia riceva soltanto un dato cifrato, senza la chiave per leggerlo. L'utente sceglie il fornitore dell'archiviazione e i dispositivi autorizzati alla lettura. Separatamente limitiamo la divulgazione dei metadati, come l'ora e la dimensione della copia trasmessa. ### 2.2. Chiavi e recupero dell'accesso Le chiavi dei contenitori privati restano sotto il controllo dell'utente. La procedura di recupero indica chiaramente se l'accesso viene ripristinato da un secondo dispositivo, da una chiave di recupero conservata o da un altro meccanismo scelto consapevolmente, e a chi dà la possibilità di leggere. Il recupero dell'account presso l'operatore non sblocca il contenuto del contenitore. La perdita di tutte le copie della chiave e delle possibilità di recupero può significare la perdita permanente dei dati, per questo verifichiamo il meccanismo scelto con una prova di ripristino dei dati e lo descriviamo in istruzioni comprensibili. Stiamo valutando diversi modi di recupero, che si possono combinare: un secondo dispositivo che ha già accesso; una chiave di recupero scritta su carta o conservata in un gestore di password; una chiave hardware; la suddivisione della chiave tra alcune persone di fiducia, di cui per esempio due qualsiasi su tre possono insieme ripristinare l'accesso, mentre nessuna da sola può leggere i dati. La fondazione non conserva le chiavi né parti di esse, quindi non può recuperare l'accesso al posto dell'utente né consegnare i suoi dati. Per cominciare consigliamo un secondo dispositivo e una chiave scritta su carta; la suddivisione della chiave tra persone di fiducia è un'opzione per chi lo desidera. ### 2.3. Varianti di protezione Vogliamo confrontare cinque varianti di lavoro, perché ciascuna protegge da qualcosa di diverso: | Variante | Dove avviene l'elaborazione | Che cosa occorre valutare | | --- | --- | --- | | Modello locale su un dispositivo senza connessione alla rete | Sul dispositivo dell'utente | Lo stato del dispositivo, l'accesso fisico, i supporti e le copie dei dati | | Modello locale su un dispositivo connesso alla rete | In locale e, con le integrazioni, anche nei servizi scelti | I permessi dell'applicazione, gli aggiornamenti, il traffico di rete e l'ambito dei dati trasmessi alle integrazioni | | Elaborazione in un ambiente confidenziale su server | In un ambiente remoto la cui configurazione è confermata dall'attestazione | La verifica dell'ambiente, l'accesso degli amministratori e l'accesso fisico all'hardware, la protezione della trasmissione e dell'elaborazione, i metadati e le chiavi | | API confidenziale di un fornitore esterno | Nell'ambiente confidenziale del fornitore, la cui configurazione deve essere confermata dall'attestazione | Se la chiave della connessione è vincolata all'attestazione, se l'attestazione comprende il processore e la GPU, se è possibile collegare una richiesta specifica a una macchina specifica, chi ha accesso fisico all'hardware, la conservazione dei dati e la giurisdizione; fino a una nostra verifica consideriamo la confidenzialità una dichiarazione del fornitore | | API esterna del fornitore del modello | Presso il fornitore esterno | Le condizioni del fornitore, l'accesso al contenuto, la conservazione e la giurisdizione; non estendiamo a questa variante le promesse dell'esecuzione confidenziale | La verifica indipendente del server richiede un'applicazione installata. Nel browser il codice che verifica il server viene fornito ogni volta dall'operatore, per questo contrassegniamo questa modalità come meno protetta. Un dispositivo connesso alla rete può avere più punti di attacco di un ambiente server separato, quindi la sola posizione del calcolo non decide della sicurezza. Nessuna variante riceve l'etichetta «piena privacy» prima della verifica della configurazione concreta. In ogni conversazione l'utente vede in quale variante sta lavorando, e il cambio di variante richiede una sua decisione consapevole. Una chiave propria per un'API esterna serve a contabilizzare l'accesso, ma non garantisce la confidenzialità nei confronti del fornitore. Questa variante non è la variante predefinita della Suveria privata, e prima dell'invio del contenuto mostriamo se il fornitore può usarlo per addestrare i modelli e per quanto tempo lo conserva. Stiamo analizzando anche una direzione che non compare ancora in questo prospetto: lo sciame fidato. Il modello funzionerebbe allora sull'hardware di alcune persone che si conoscono e si fidano l'una dell'altra, per esempio una famiglia, degli amici o una piccola comunità, e ciascuna di esse metterebbe a disposizione un po' della potenza di calcolo del proprio computer. La privacy di una variante del genere si basa sulla fiducia in queste persone, e non sulla tecnica, perché i loro computer vedono i contenuti elaborati, ed è proprio così che vogliamo descriverla. È un'idea che stiamo appena iniziando ad analizzare, ma è una delle strade che vogliamo esplorare. Un server sicuro non proteggerà un testo letto da un telefono compromesso, e un telefono più sicuro non riparerà il server, per questo progettiamo l'applicazione insieme alla protezione del dispositivo. Vogliamo che l'applicazione di Suveria funzioni senza i servizi Google, per esempio sul sistema GrapheneOS, sia disponibile anche al di fuori dello store Google Play e abbia build riproducibili: chiunque può compilare da sé l'applicazione dal codice sorgente pubblicato e verificare di aver ottenuto un file identico a quello che installa. Prevediamo anche misure di sicurezza nell'applicazione stessa: il blocco degli screenshot, una modalità della tastiera che non impara dal testo digitato, l'esclusione dei dati privati dai backup nel cloud, il contenuto nascosto delle notifiche e il blocco dell'applicazione. Sul sito della fondazione prepareremo una guida alla protezione dei propri dispositivi su tre livelli: dalle impostazioni di base e dagli aggiornamenti, attraverso un isolamento più forte del lavoro e delle chiavi, fino a configurazioni collaudate per le persone con i requisiti più elevati, come Qubes OS su un computer con firmware aperto. L'uso di Suveria non richiede l'acquisto dell'hardware indicato, e il nome di un sistema non è una certificazione dell'intero dispositivo. In ogni conversazione mostreremo la scheda di protezione (*Charta Tutelae*): un elenco degli elementi da cui dipende la privacy di quella conversazione, ciascuno in uno dei tre stati: - **Verificato da noi:** lo abbiamo verificato direttamente, con la data, la versione e una descrizione di come lo abbiamo fatto. - **Dichiarato dal fornitore:** il fornitore lo afferma, e noi non lo abbiamo ancora verificato. - **Non protetto:** questa variante non lo protegge, per esempio l'ora e la lunghezza dei messaggi visibili al fornitore della rete, l'accesso fisico del fornitore all'hardware o la giurisdizione in cui si trova il server. Lo stato «verificato da noi» riporta la data dell'ultima verifica e scade: dopo un tempo stabilito senza una nuova verifica torna allo stato «dichiarato». Separatamente mostreremo i casi noti di crollo della fiducia, per esempio un incidente presso il fornitore o una modifica non confermata della configurazione. La scheda è la stessa per tutti e non dipende dal prezzo, e una variante in cui anche un solo elemento è soltanto dichiarato non porta il nome «piena privacy». Il prospetto all'inizio del capitolo 2 e la tabella delle varianti in questo punto descrivono le varianti in generale, mentre la scheda mostrerà lo stato per quella specifica conversazione. ## 3. Il percorso dal dispositivo al modello Suveria deve essere composta da alcune parti: - un'applicazione sul dispositivo dell'utente; - un gateway che contabilizza le richieste e fa rispettare il limite di spesa; - un ambiente confidenziale con il modello, proprio o presso un fornitore; - l'archiviazione di copie cifrate; - un intermediario opzionale che nasconde l'indirizzo dell'utente. Il gateway deve funzionare in una macchina confidenziale. Prima del progetto pilota mostreremo nell'applicazione in quale punto finisce la cifratura controllata dal dispositivo dell'utente e se il gateway vede il contenuto e, in tal caso, che lo vede solo all'interno dell'ambiente confidenziale. L'archiviazione cifrata e l'elaborazione confidenziale richiedono misure di sicurezza distinte. Un modello che funziona su un server ha bisogno, per il suo compito, di un contenuto leggibile in un ambiente di calcolo protetto; la sola cifratura delle copie dei file non protegge questa fase.[^apple-pcc] L'applicazione rende disponibile solo la parte scelta per un dato lavoro, senza trasmettere la chiave dell'intero contenitore privato. La descrizione della sessione indica dove il contenuto diventa disponibile per il calcolo, che cosa limita l'accesso dell'operatore e che cosa succede ai dati dopo la restituzione del risultato. Svolgimento proposto della sessione: 1. L'applicazione scarica la descrizione del rilascio approvato e controlla l'attestazione, cioè una conferma crittografica di determinate proprietà dell'ambiente in esecuzione. 2. Verifica la conformità dell'hardware, dello stato di protezione e delle misurazioni del software a una politica pubblica. La chiave del destinatario dei dati deve essere vincolata a questa conferma. 3. Dopo una verifica riuscita stabilisce una connessione cifrata con l'ambiente approvato. Una discrepanza blocca l'invio dei dati; il passaggio a un'altra variante richiede una scelta consapevole. 4. L'ambiente elabora la richiesta con un accesso limitato alla rete e agli strumenti, restituisce il risultato e cancella i dati di lavoro secondo la politica pubblicata. 5. Il salvataggio della conversazione o della memoria avviene solo nell'ambito scelto dall'utente. L'attestazione aiuta a stabilire che cosa è stato avviato, ma da sola non dimostra che quel codice sia sicuro. Servono revisioni del codice, build riproducibili del software a partire dal codice sorgente (descritte al punto 2.3), un registro delle versioni approvate e la possibilità di una verifica indipendente. L'architettura Apple Private Cloud Compute è per noi un riferimento su come legare la protezione alla trasparenza nel rilascio del software; non è una certificazione del nostro progetto.[^apple-pcc] Vogliamo proteggere i rilasci in modo che la fiducia non dipenda da una sola persona né dalla sola fondazione: - ogni rilascio deve poter essere compilato in modo riproducibile dal codice sorgente, e almeno due parti indipendenti esterne alla fondazione lo riproducono e confermano pubblicamente la corrispondenza dell'impronta; finché non le troveremo, contrassegniamo il rilascio come non confermato da terzi; - le impronte dei rilasci approvati finiscono in un registro pubblico a cui si può solo aggiungere, e i suoi stati successivi sono confermati da testimoni indipendenti; - una nuova versione arriva sui server dopo l'approvazione di alcune persone, di cui almeno una esterna al consiglio di amministrazione; - le chiavi necessarie per trattare i dati le riceve solo un ambiente che ha superato l'attestazione. La variante con protezione piena la progettiamo per applicazioni installate con rilasci firmati e verificabili, protezione contro il ritorno a una versione difettosa e conservazione sicura delle chiavi, perché nel browser il codice che verifica il server viene fornito ogni volta dall'operatore. La versione per browser descrive chiaramente il proprio livello di protezione inferiore. La build riproducibile permette di confrontare il rilascio con il codice, ma la valutazione del codice stesso e della configurazione continua a essere garantita da revisioni, audit e ricompense per le segnalazioni di errori, e ogni incidente finisce in un registro pubblico. Per limitare la divulgazione dell'indirizzo dell'utente si può studiare un'intermediazione basata su Oblivious HTTP, che separa la conoscenza del mittente da quella del contenuto della richiesta in un determinato modello di fiducia.[^ohttp] La collusione degli intermediari, la correlazione del traffico e i dettagli dell'implementazione richiedono comunque una valutazione, per questo non descriviamo il solo uso di questo protocollo come anonimato completo. La cifratura e il calcolo confidenziale non nascondono la lunghezza né il ritmo dei pacchetti in cui scorre la risposta. Ricerche degli anni 2024–2025 hanno mostrato che un osservatore della rete può ricostruire da essi l'argomento e talvolta il contenuto della conversazione.[^weiss-keylogging][^whisper-leak] Per questo, in modalità confidenziale, vogliamo inviare la risposta in frame di dimensione fissa e a ritmo costante, non condividere tra gli utenti la cache delle richieste e disattivare la decodifica speculativa. Queste misure costano un po' di latenza e di throughput; ne terremo conto nel calcolo. Proteggiamo l'infrastruttura anche limitando le possibilità d'azione delle singole parti del sistema: limiti alle risorse, isolamento dei compiti e blocco predefinito delle connessioni in uscita dal nodo che elabora la conversazione. Questo blocco deve far parte del software la cui impronta è visibile nell'attestazione: modificarlo cambia l'impronta, quindi l'applicazione rifiuterà la connessione. Consideriamo le regole di rete del fornitore un secondo livello, e non una garanzia. Le azioni esterne consentite passano attraverso un livello di strumenti separato, con permessi stabiliti dall'utente. Prima della messa in servizio verificheremo l'efficacia di questi limiti, il modo di rilevare gli incidenti e l'ambito minimo necessario dei metadati. L'obiettivo è la sicurezza delle risorse comuni mantenendo la confidenzialità del contenuto delle conversazioni. Siamo particolarmente prudenti quando l'utente collega fonti con messaggi di altre persone, per esempio una casella di posta. Un messaggio altrui può contenere comandi nascosti che cercano di indurre il modello a rivelare la memoria privata. Per questo separiamo i contenuti provenienti dall'esterno dai comandi dell'utente: mentre li riordina, l'assistente non può da solo inviare messaggi, aprire indirizzi web o modificare il Canone Personale senza la conferma di una persona. Tutto ciò che sappiamo sul funzionamento di Suveria può saperlo chiunque. Con l'avvio del servizio pubblicheremo l'elenco di tutti i tipi di dati che raccogliamo sul funzionamento del servizio, con lo scopo e il periodo di conservazione, e renderemo disponibili i dati stessi in forma aggregata: consumo di token, modelli usati, carico delle macchine, tempo di attesa in coda, guasti e costi. Ognuno li vede nello stesso posto in cui li vediamo noi. Prima di pubblicare i prospetti verifichiamo che non permettano di riconoscere il comportamento di una persona specifica: stabiliamo la dimensione minima del gruppo, il ritardo della pubblicazione e i dati che omettiamo. Non raccogliamo dati al di fuori dell'elenco; se risultasse il contrario, lo consideriamo un incidente grave e lo descriviamo pubblicamente. ## 4. Limitare gli abusi senza accedere ai contenuti privati Applichiamo la protezione della dignità anche alle persone che possono subire gli effetti dell'uso dei nostri strumenti. Vogliamo contrastare gli abusi senza leggere le conversazioni private: attraverso i principi che segue l'assistente stesso, i limiti ai permessi degli strumenti e alle connessioni di rete, i limiti alle risorse e la protezione contro la creazione di account in massa. Non creiamo accessi nascosti ai contenuti privati, perché indebolirebbero la protezione di tutti. Sarà possibile creare un account in diversi modi, da quello completamente privato (una chiave sul proprio dispositivo, senza indirizzo e-mail) a quello comodo (accesso tramite un fornitore esterno). Per ciascun modo mostreremo, prima della scelta, chi al di fuori della fondazione viene a sapere della creazione dell'account e quali dati vede, e che cosa succede se quel fornitore scompare. Il modo in cui si crea l'account non influisce sui diritti del partecipante; il diritto di voto in Omniforum è una credenziale separata aggiunta all'account. Valutiamo separatamente la privacy e la limitazione degli abusi. Progettiamo Suveria in modo che la fondazione non abbia dati che potrebbe consegnare su una persona specifica: i contenuti sono cifrati con le chiavi dell'utente, i dati sul funzionamento del servizio li raccogliamo solo nell'ambito pubblico descritto nel capitolo 3, e i dati personali li limitiamo al minimo richiesto dalla legge per i pagamenti e la contabilità; ne pubblichiamo anche l'ambito. Se qualcuno ci chiede i dati di una persona specifica, vogliamo poter rispondere onestamente che, oltre a questo minimo descritto pubblicamente, non li abbiamo. Per ogni misura contro gli abusi descriveremo di quali dati ha bisogno, per quanto tempo li conserviamo, quali effetti ha su un partecipante onesto e come si può contestare un blocco errato. Descriveremo anche come riceviamo le segnalazioni delle persone che si ritengono danneggiate, e che cosa possiamo fare in quel caso senza accedere al contenuto delle conversazioni: per esempio limitare i permessi degli strumenti o le risorse dell'account, verificare i dati di fatturazione e i metadati nella misura in cui li conserviamo, oppure indicare a chi segnala dove cercare aiuto. Gli obblighi legali dell'operatore di un servizio del genere richiedono un'analisi separata prima dell'avvio. Queste misure sono obiettivi e varianti da testare, e nessuna di esse rileverà tutti gli abusi. Per ciascuna indicheremo a quali minacce risponde, che cosa non rileva e che cosa si può verificare senza che l'operatore acceda alle conversazioni private. L'esito di questa valutazione determina le condizioni per rendere disponibile la funzione in questione. Quando una conversazione riguarda un pericolo per la vita o la salute, l'assistente deve fornire informazioni sull'aiuto disponibile, per esempio i numeri di emergenza, senza inviare nulla al di fuori dell'ambiente privato. ### 4.1. Istruzioni pubbliche dell'assistente e biblioteca comune Il comportamento dell'assistente dipende anche dalla sua istruzione principale e dal suo modo di lavorare: come suddivide un compito in passaggi, usa la memoria e controlla le risposte. In Suveria la persona deve poter sempre leggere l'istruzione completa del proprio assistente. L'infrastruttura comune deve rendere disponibili solo i modelli e le impostazioni che superano le prove pubbliche del benchmark; al di sopra di questo minimo è l'utente a scegliere lo stile di lavoro, dal riordino tranquillo dei pensieri a una conversazione esigente in cui l'assistente fa notare le lacune nel ragionamento. Vogliamo curare una biblioteca aperta di istruzioni collaudate, che i partecipanti migliorano in Omniforum e verificano nel benchmark. ## 5. Calcolo su più GPU Il modello del capitolo 6 non entra in una sola GPU, quindi la protezione va verificata anche nelle connessioni tra le GPU: il bus PCIe collega il processore alle GPU, mentre NVLink e NVSwitch collegano le GPU tra loro. Quando un modello usa più GPU, i dati scorrono anche tra di esse, quindi la protezione va verificata sia per le GPU stesse sia per le connessioni. Il nome della GPU non basta per ordinare un servizio confidenziale: occorre confermare la macchina adeguata, il processore, la topologia delle connessioni, il firmware, i driver e il software di esecuzione, e poi verificare il loro funzionamento congiunto.[^nvidia-platformy] Nella modalità Hopper Protected PCIe, descritta nella documentazione PPCIe v2, la rete NVLink e NVSwitch appartiene alla parte fidata del sistema, quindi la cifratura PCIe non significa cifratura di ogni connessione tra le GPU.[^nvidia-ppcie-v2] La documentazione NVIDIA R595 descrive per le GPU Blackwell una modalità di calcolo confidenziale su più GPU, con cifratura delle connessioni NVLink e supporto fino a otto GPU in un'unica macchina virtuale confidenziale.[^nvidia-blackwell] È una base per verificare la configurazione, e non una prova che ogni noleggio di GPU B200 includa questa funzione. Rilasci diversi hanno matrici di compatibilità diverse, quindi non componiamo la configurazione con versioni scelte a caso. La richiesta al fornitore comprende: - la modalità di protezione specifica e la possibilità di un'attestazione autonoma; - l'uso esclusivo delle risorse richieste e la regione; - l'accesso degli amministratori e l'accesso fisico all'hardware; - la conservazione dei dati; - i tempi di consegna e il costo complessivo. Confrontiamo un'offerta solo dopo una prova con la nostra applicazione. La dicitura commerciale «secure» non sostituisce queste informazioni. ## 6. Modello, memoria e strumenti La base del progetto sono modelli aperti che si possono eseguire in proprio. Suveria deve essere accessibile alle persone di tutto il mondo, nelle loro lingue, per questo nella scelta del modello consideriamo la qualità in molte lingue, la comprensione delle intenzioni, l'affidabilità, la licenza, il costo e la possibilità di eseguirlo nell'architettura di protezione richiesta. Quando ce ne sarà bisogno, accanto al modello generale possiamo avviare modelli che gestiscono meglio lingue specifiche. I pesi aperti rendono possibili alcuni usi, ma non stabiliscono l'apertura dei dati e dell'intero processo di creazione del modello.[^osi] Il primo candidato è DeepSeek-V4.1-Flash, un modello con licenza MIT, che ne consente l'uso anche per offrire servizi.[^deepseek] È grande ma parsimonioso: il produttore indica 552 miliardi di parametri della parte principale, cioè numeri regolati durante l'addestramento, e una memoria aggiuntiva Engram da 196 miliardi di parametri, mentre per ogni parola successiva lavorano solo 8–16 miliardi di parametri, per questo risponde in modo rapido ed economico (calcolo nel capitolo 8). Tutti i parametri devono però entrare nella memoria delle GPU, quindi servono almeno quattro GPU moderne. I parametri di questo modello sono già salvati in una forma compatta, con meno cifre per ogni numero; un salvataggio di questo tipo si chiama quantizzazione e riduce la memoria necessaria, ma può abbassare la qualità, quindi a ogni versione lo verifichiamo sui nostri compiti. Lo confrontiamo anche con modelli più piccoli: scegliamo quello più grande solo se svolge chiaramente meglio i compiti importanti per le persone. Il secondo candidato è Kimi K3.1 Pro dell'azienda Moonshot AI, reso disponibile il 23 ottobre 2026. Il produttore lo descrive come una versione ulteriormente addestrata di Kimi K3 con circa 3 bilioni di parametri e un contesto fino a un milione di token, e annuncia i pesi completi prima del 4 novembre 2026; la licenza non è stata ancora annunciata.[^kimi-k31] I dati dettagliati che usiamo per il confronto provengono dalla scheda del predecessore: Kimi K3 ha 2,8 bilioni di parametri, di cui 104 miliardi lavorano a ogni token, e una licenza propria, non approvata dalla Open Source Initiative.[^kimi-k3] Nell'indice di Artificial Analysis nella versione del 28 ottobre 2026 Kimi K3.1 Pro ha ottenuto 46 punti contro i 32 di DeepSeek-V4.1-Flash, ma è diverse volte più costoso e più lento.[^aa] I file dei pesi di Kimi K3 occupano circa 1,56 TB, e per l'esecuzione serve inoltre memoria per il contesto e per i calcoli, quindi non stabiliamo se il modello funzionerà sulla base della sola somma della memoria delle GPU. La ricetta del motore SGLang descrive una configurazione verificata di Kimi K3 su otto GPU B300; non è ancora un test di Kimi K3.1 né di una configurazione confidenziale.[^spheron-kimi][^sglang-k3] Dopo la pubblicazione dei pesi verificheremo la loro dimensione e il formato, la licenza, le ricette dei motori, la capacità su una configurazione concreta e la disponibilità nelle API confidenziali. Aggiungeremo il risultato, con la data, come primo aggiornamento di questo documento, anche se i pesi non saranno stati pubblicati o se le condizioni della licenza si riveleranno inadatte. Annunciamo in anticipo la sostituzione o il ritiro di un modello. La cronologia delle conversazioni resta all'utente: può scegliere un modello successore, esportare i dati o terminare il lavoro. Nella conversazione deve essere visibile il momento del cambio di modello, e il trasferimento del contesto privato al nuovo modello richiede una decisione dell'utente. I principi secondo cui risponde l'assistente li pubblicheremo integralmente insieme a ogni rilascio. Il modello stesso porta con sé anche le scelte del suo creatore, per esempio gli argomenti che evita; le verifichiamo nel benchmark e le descriviamo nella scelta del modello. La memoria delle conversazioni precedenti deve funzionare con il consenso dell'utente ed essere modificabile in modo trasparente. Distinguiamo i messaggi originali, i riassunti del modello e le informazioni confermate dall'utente. Ogni voce si può cancellare o correggere, se ne può vedere l'origine e stabilire in quali compiti è lecito usarla. L'assistente distingue chiaramente un proprio suggerimento da una posizione che la persona ha consapevolmente riconosciuto come propria. L'esecuzione di azioni richiede permessi concessi per uno scopo e un tempo determinati. Il contenuto di una pagina o di un documento è materiale da analizzare, e non un comando di modificare questi permessi. Le azioni esterne, le spese, le pubblicazioni e le cancellazioni richiedono conferme proporzionate e un diario delle azioni accessibile all'utente. ### 6.1. Il Telescopio del Pensiero e il Canone Personale L'idea del Telescopio del Pensiero (*Telescopium Mentis*) è nata dalla finestra di Overton, cioè il concetto che descrive la gamma delle idee che in un dato momento sono considerate accettabili in una società. Per una singola persona si tratta della gamma di pensieri che in un dato momento considera ammissibili per sé. Il Telescopio deve essere una finestra del genere per una sola persona e solo per lei: permette di vedere la traccia delle proprie riflessioni e dei propri valori in momenti diversi e come sono cambiati nel tempo. Il Telescopio del Pensiero deve servire a tornare al proprio ragionamento: che cosa sapevo allora, che cosa volevo e perché ho cambiato idea. Può anche aiutare a confrontare eventi scelti dall'utente, informazioni sul mondo e le proprie azioni con il suo Canone Personale, cioè la raccolta di principi e valori che l'utente ha messo per iscritto e riconosce come propri. Il confronto riguarda una situazione che l'utente descrive o indica da sé; è l'utente a determinare il materiale e l'ambito. Il modello mostra i possibili collegamenti insieme alla fonte del principio richiamato e alla descrizione dell'evento, distinguendo le informazioni confermate dalle interpretazioni e dalle incertezze. L'interpretazione proposta si può correggere o respingere, e le posizioni precedenti le valutiamo tenendo conto del loro tempo e del loro contesto. La tensione notata può riguardare il principio stesso, un conflitto di valori, le condizioni dell'ambiente circostante, i limiti della persona o un'interpretazione errata del modello. La persona può mantenere l'ideale e accettare l'incoerenza attuale, precisare una convinzione, valutare un cambiamento nelle proprie azioni o nell'ambiente oppure lasciare la domanda aperta. Il Canone deve aiutare a comprendere le proprie scelte: non creiamo punteggi di moralità né classifiche pubbliche di coerenza. La riflessione privata resta privata, e la sua registrazione non significa pubblicazione né espressione di un voto. Inizieremo con cautela. Nella prima versione il Telescopio del Pensiero lavora solo su una singola situazione indicata dall'utente, per esempio una decisione su cui vuole tornare; non segue la sua vita in tempo reale. L'utente decide quanto spesso usarlo, quali appunti e ricordi condividere e quando cancellarli. In questa prova verifichiamo se i collegamenti mostrati sono comprensibili, se danno la sensazione di avere il controllo sulle proprie scelte e se lo strumento non genera la pressione di dover rendere continuamente conto a sé stessi. Consideriamo un buon risultato anche il fatto che qualcuno, dopo averci riflettuto, accetti di non agire sempre secondo i propri principi, o lasci la questione aperta: lo strumento deve aiutare a comprendere sé stessi, e non imporre decisioni. ### 6.2. Formati aperti, portabilità e interoperabilità degli strumenti Vogliamo sviluppare Suveria come bene pubblico digitale, con codice e documentazione aperti; il punto di riferimento è lo standard della Digital Public Goods Alliance.[^dpga] Il formato di trasferimento dei dati ha una descrizione pubblica, una versione e regole per la conservazione delle informazioni al cambio di versione. In primo luogo usiamo gli standard aperti esistenti, e documentiamo le estensioni necessarie. L'esportazione comprende gli originali scelti, la cronologia, le fonti e i collegamenti, nonché la distinzione tra le parole dell'utente, l'elaborazione del modello e il significato confermato dall'autore, e anche la struttura del Canone Personale. Il pacchetto scaricato si può leggere senza un account attivo in Suveria, dopo la decifratura da parte di una persona autorizzata. Le API, cioè modi documentati con cui i programmi comunicano tra loro, devono permettere di lavorare con i materiali in altri strumenti, anche costruiti in proprio. L'utente sceglie l'ambito dei dati e le azioni consentite, e può revocare i permessi di un'integrazione. La revoca di un permesso blocca l'accesso successivo; la sorte delle copie trasmesse in precedenza dipende anche dal destinatario. Lo spazio privato può servire anche al lavoro per progetti comuni. L'utente sceglie i materiali che vuole consegnare per l'accettazione o la pubblicazione, e lo strumento aiuta a rimuovere da essi, in locale, chiavi di accesso, password, dati personali e informazioni su vulnerabilità non corrette. L'uso di risorse pagate privatamente non richiede di rivelare le conversazioni di lavoro. Per un compito finanziato con le risorse comuni della fondazione, l'ambito della traccia pubblica, la scelta di uno pseudonimo e la preparazione dei materiali sono stabiliti in anticipo dai [principi dei laboratori della fondazione](whitepaper-zasady-fundacji.md) (capitolo 11.1). Dalle riflessioni in Suveria si può anche far emergere consapevolmente una sola domanda o un solo argomento e pubblicarlo in Omniforum; questo passo, descritto nel manifesto come Cerimonia Ignis (*Caerimonia Ignis*), richiede sempre una decisione separata. ## 7. Scala: da 30 persone all'intera umanità Il numero di account da solo non determina l'infrastruttura necessaria. Contano l'attività, la lunghezza delle domande e delle risposte, il numero di sessioni simultanee, il tempo di attesa accettabile e il costo degli strumenti. L'esempio seguente è un modello di carico per una prova, e non una previsione della domanda né un'offerta. Ipotesi: ciascuna delle N persone è attiva ogni giorno ed effettua 20 richieste al giorno, la richiesta media comprende 1500 token in ingresso e 600 token in uscita, e un mese ha 30 giorni. Il token è un'unità di testo elaborata dal modello; la sua lunghezza dipende dalla lingua. Nel carico reale bisogna aggiungere un contesto più lungo, l'elaborazione di documenti, i token di ragionamento e le chiamate ausiliarie. | Persone attive | Richieste al mese | Ingresso al mese | Uscita al mese | Generazione media nell'arco della giornata | Picco orario nello scenario mondiale, circa 1,51 × la media | | --- | ---: | ---: | ---: | ---: | ---: | | 30 | 18.000 | 27 milioni di token | 10,8 milioni di token | 4,2 token/s | 6,3 token/s | | 100 | 60.000 | 90 milioni | 36 milioni | 13,9 token/s | 20,9 token/s | | 1000 | 600.000 | 900 milioni | 360 milioni | 138,9 token/s | 209 token/s | | 100.000 | 60 milioni | 90 miliardi | 36 miliardi | 13.889 token/s | 20.921 token/s | | 1 milione | 600 milioni | 900 miliardi | 360 miliardi | 138.889 token/s | 209.208 token/s | | 1 miliardo | 600 miliardi | 900 bilioni | 360 bilioni | 138,9 milioni di token/s | 209,2 milioni di token/s | | 10 miliardi | 6 bilioni | 9 biliardi | 3,6 biliardi | 1,39 miliardi di token/s | 2,09 miliardi di token/s | Progettiamo Suveria come un servizio mondiale, disponibile in molte lingue. Non sappiamo come si distribuiranno i partecipanti tra i fusi orari, quindi confrontiamo due scenari, che verranno verificati dalle misurazioni. Nello scenario mondiale assumiamo quote regionali proporzionali al numero di utenti di internet secondo l'ITU per il 2025 e la stessa forma ipotetica della giornata in ogni fuso: un picco serale e una notte tranquilla.[^itu] I fusi colmano in parte a vicenda i rispettivi cali, quindi il picco orario è di circa 1,51 × la media, e il traffico minimo di circa 0,49 ×. Nello scenario concentrato in una sola regione, per esempio in Europa, il picco è di circa 1,87 × la media, e di notte il traffico è quasi nullo. Una distribuzione del genere può verificarsi anche su larga scala; significa un utilizzo peggiore della nostra macchina e un ricorso più frequente all'API confidenziale oppure un'attesa più lunga nel picco. Entrambi i valori derivano dalle nostre ipotesi, e non dall'osservazione dei futuri partecipanti. I brevi picchi all'interno di un'ora devono essere livellati da una breve coda con un tempo di attesa visibile, e il traffico oltre la capacità della nostra macchina può essere preso in carico dall'API confidenziale; il tempo di attesa, compresi il 95° e il 99° percentile, lo misureremo nel progetto pilota, insieme al limite della coda e al comportamento una volta esaurita. La prova di carico comprenderà anche un afflusso improvviso di nuove persone, per esempio cinque volte il traffico medio. Si tratta del throughput complessivo in uscita; non sostituisce la misurazione della latenza di una singola conversazione né del costo dell'elaborazione dell'ingresso. Il test dovrebbe riprodurre la distribuzione delle sessioni, i contesti lunghi, i guasti e la coda, e non una singola richiesta comoda. Il moltiplicatore di picco confronta l'ora più carica con la media. Deriva da un modello della giornata suddivisa in 24 ore: spostiamo un'unica forma della giornata tra otto regioni e sommiamo secondo le quote ipotizzate. È uno scenario di calcolo; non calcola il tempo di attesa di una singola richiesta. Per vedere come appare questo calcolo su scala mondiale, facciamo un esperimento mentale. Se ciascuna di 10 miliardi di persone usasse Suveria come nel profilo adottato, nel picco servirebbero circa 2,1 miliardi di token in uscita al secondo. Con le prestazioni misurate per DeepSeek-V4.1-Flash, circa 930 token al secondo per GPU B200, si tratta di circa 2,25 milioni di GPU e, con circa 1,75 kW per GPU incluso il server (una nostra ipotesi, senza misurazione), di circa 4 GW di potenza. Per un miliardo di persone sono circa 225.000 GPU e 0,4 GW, per un milione circa 225 GPU. Per confronto, all'inizio del 2026 Epoch AI stimava che la potenza di calcolo installata nel mondo per l'intelligenza digitale superasse i 15 milioni di equivalenti di GPU H100 e richiedesse oltre 10 GW di potenza.[^epoch] È una semplificazione: il profilo adottato è leggero, il lavoro intensivo, i modelli più grandi e le immagini richiedono molte volte di più, e l'hardware e i modelli cambiano rapidamente. Mostra però l'ordine di grandezza: l'aiuto quotidiano dell'intelligenza digitale in questa misura per ogni essere umano richiederebbe una potenza inferiore a quella che già oggi funziona nel mondo. È un calcolo semplificato, e non una prova che un'infrastruttura del genere sarebbe disponibile per questo scopo. ## 8. Costi e calcolo datato Il costo mensile di una prenotazione fissa si può scrivere, in prima approssimazione, così: numero di GPU × prezzo per ora-GPU × numero di ore pagate, più memoria, dischi, trasferimento dati, protezione, monitoraggio, gestione, pagamenti e imposte. Bisogna verificare quali di queste voci siano già incluse nell'offerta. Per il funzionamento 24 ore su 24 un mese ha da 672 a 744 ore; 730 ore sono un'approssimazione media. Nel calcolo confrontiamo cinque varianti di costo: il modello locale, un'istanza propria su hardware noleggiato, un'istanza propria in un ambiente di calcolo confidenziale, con protezione dichiarata dal fornitore e da verificare, l'API confidenziale di un fornitore esterno e una normale API esterna. Le varianti di costo corrispondono alle varianti di protezione del punto 2.3; il noleggio di una macchina senza confidenzialità lo mostriamo solo come punto di riferimento per i prezzi, e non come variante di Suveria. Il costo del modello locale non lo stimiamo ancora, perché dipende dal dispositivo dell'utente. Mettiamo a confronto lo stesso livello di qualità, disponibilità e protezione. La soglia di convenienza è il costo del servizio completo diviso per l'utilizzo effettivo, e non il costo delle GPU diviso per il numero di account registrati. Un'API esterna facilita il test dei bisogni degli utenti, ma il suo fornitore ha proprie regole di accesso ai dati, quindi non estendiamo a essa le promesse dell'esecuzione confidenziale. ### 8.1. Calcolo datato: situazione al 29 ottobre 2026 Il manifesto formula l'ipotesi che, già con un numero relativamente piccolo di partecipanti regolari, un'infrastruttura comune possa offrire più potenza di calcolo e più intelligenza digitale per ogni dollaro rispetto ai servizi chiusi, con una protezione della privacy fondata su misure di sicurezza verificabili. Di seguito ne presentiamo il calcolo ai prezzi del 29 ottobre 2026. Ipotesi: il profilo d'uso del capitolo 7 (20 richieste al giorno da 600 token in uscita) e lo scenario mondiale (picco orario di circa 1,51 × la media), prezzi al netto delle imposte, 730 ore al mese per la conversione dei prezzi di noleggio. Il numero di persone per macchina indica quanti partecipanti la macchina è in grado di servire nel picco orario: throughput in uscita al secondo × 86.400 / (20 × 600 × moltiplicatore di picco). Il numero ammissibile di persone sarà determinato anche dal tempo di attesa della risposta misurato. Tra parentesi indichiamo lo scenario concentrato in Europa (moltiplicatore di circa 1,87). Per DeepSeek-V4.1-Flash adottiamo la misurazione del fornitore Lambda su quattro GPU B200: circa 3714 token in uscita al secondo con 64 richieste simultanee.[^lambda-v41] La misurazione è stata effettuata con la decodifica speculativa, che in modalità confidenziale non vogliamo usare (capitolo 3). Secondo una nostra stima di settembre, il throughput può allora essere inferiore fino a circa il 30%, il che aumenta il costo per persona in proporzione simile. Per le GPU H200 e B300 non esiste una misurazione di questo modello; assumiamo che ogni insieme di GPU con una copia del modello (8 × H200 oppure metà di una macchina 8 × B300) raggiunga le prestazioni di quattro GPU B200. È un'ipotesi ottimistica: la H200 è una generazione precedente, la modalità confidenziale può rallentare il lavoro e la misurazione di Lambda riguarda richieste più lunghe del nostro profilo. Per questo indichiamo anche una variante prudente con metà di questo throughput. I pesi del modello occupano circa 511 GB, e il motore vLLM raccomanda circa 614 GB di memoria GPU. Quattro GPU H200 (564 GB) non bastano, per questo una copia su H200 richiede otto GPU. Il 29 ottobre la ricetta del produttore del motore per questa configurazione era ancora in fase di verifica, e nelle GPU H200 la connessione tra le GPU (NVLink) non è cifrata a livello hardware, a differenza di B200 e B300. | Variante | Confidenzialità | Costo mensile | Persone per macchina | Costo del solo calcolo per persona | | --- | --- | ---: | ---: | ---: | | API di DeepSeek | assente, il fornitore vede il contenuto | in base all'uso | non riguarda una singola macchina; limiti e disponibilità del fornitore | 0,35–0,70 USD | | API confidenziale con DeepSeek-V4.1-Flash (Confidential AI, Tinfoil, Phala) | dichiarata dal fornitore, da verificare | in base all'uso | non riguarda una singola macchina; limiti e disponibilità del fornitore | 0,70–1,25 USD | | API di Kimi K3.1 Pro (Moonshot) | assente | in base all'uso | non riguarda una singola macchina; limiti e disponibilità del fornitore | 5,40 USD | | API confidenziale con Kimi K3 (Phala, NEAR AI) | dichiarata dal fornitore, da verificare | in base all'uso | non riguarda una singola macchina; limiti e disponibilità del fornitore | 8,10–8,91 USD | | Macchina confidenziale noleggiata 8 × H200 (Phala), DeepSeek, una copia del modello | attestazione del processore e delle GPU, da verificare | 23.506 USD con impegno di 180 giorni, 32.266 USD on demand | circa 17.750 (14.300), ipotesi di capacità | 1,32–1,82 USD (1,64–2,25) | | Come sopra, variante prudente: metà del throughput | attestazione del processore e delle GPU, da verificare | come sopra | circa 8900 (7150), ipotesi di capacità | 2,65–3,64 USD (3,29–4,51) | | Macchina confidenziale noleggiata 8 × B300 (Phala), Kimi K3 | attestazione del processore e delle GPU, da verificare | 45.552–47.888 USD | circa 4800–7600 (3900–6200), ipotesi di capacità | circa 6–10 USD (7,4–12,4) | | 4 × B200 senza confidenzialità confermata (Lambda), DeepSeek | nessuna confermata | 19.827 USD | circa 17.750 (14.300) | 1,12 USD (1,38) | | 8 × B200 senza confidenzialità confermata (Lambda), DeepSeek, due copie da quattro GPU ciascuna | nessuna confermata | 39.070 USD | circa 35.500 (28.700), ipotesi sulle prestazioni di due copie | 1,10 USD (1,36) | Da dove vengono questi numeri: i prezzi delle API dai listini di DeepSeek, Moonshot, Confidential AI, Tinfoil, Phala e NEAR AI;[^deepseek-cennik][^cai][^tinfoil][^phala-api][^near] i prezzi delle macchine confidenziali dal listino di Phala;[^phala-gpu] il noleggio delle B200 presso Lambda a 6,79 USD per ora-GPU nell'istanza con quattro GPU e a 6,69 USD nell'istanza con otto.[^lambda-cennik] La capacità di Kimi la ricaviamo dalle misurazioni di terzi per Kimi K3 su otto GPU B300, che danno circa 1000–1600 token in uscita al secondo.[^spheron-kimi] Gli importi mensili con impegno non significano pagamenti mensili: Phala richiede il pagamento anticipato dell'intero periodo, senza rimborso in caso di conclusione anticipata, quindi 180 giorni di una macchina 8 × H200 equivalgono a 139.104 USD di liquidità al momento dell'ordine, e 180 giorni di una macchina 8 × B300 a 269.568 USD.[^phala-gpu] Che cosa ne deriva: - Per il profilo adottato, i prezzi delle API con confidenzialità dichiarata sono di circa 0,70–1,25 USD per persona al mese, da un costo paragonabile a quello di una normale API fino a circa 3,6 volte il suo costo, a seconda del fornitore e dell'orario di utilizzo; il prezzo più basso lo dichiara Confidential AI, e anche questa offerta dobbiamo verificarla. L'API confidenziale offre potenza flessibile senza avviare una macchina propria, anche se ha propri limiti, code e guasti. Una macchina confidenziale noleggiata per DeepSeek, dimensionata sul picco, nello scenario mondiale lavora in media a circa due terzi della capacità e costa circa 1,32 USD per persona, cioè più o meno quanto le API confidenziali più costose e più della più economica. Nel nostro modello orario il primo nodo proprio, con l'eccedenza indirizzata all'API confidenziale a 1,25 USD per persona, compare nel punto verificato di circa 20.000 persone attive; è il risultato delle ipotesi adottate, e non una soglia esatta, e con un'API confidenziale più economica una macchina noleggiata non conviene su questa scala. - Il noleggio orario di una macchina confidenziale completa oggi non offre flessibilità per il picco serale: Phala richiede almeno un giorno (8 × H200) o un mese (8 × B300), Confidential AI tre mesi per 8 × B300 a 60 USD all'ora, e VoltageGPU, che fattura 8 × H200 al secondo a 64,62 USD all'ora, non copre con evidenze di attestazione pubblicate questa configurazione né gli switch NVSwitch.[^cai][^voltage] A ciò si aggiunge il tempo di assegnazione della macchina e di caricamento dei pesi. - Per Kimi il calcolo dipende dalla misurazione: l'API confidenziale costa circa 8–9 USD per persona, e una macchina propria 8 × B300 a pieno utilizzo circa 6 USD con la stima di capacità più alta e circa 9,5 USD con quella più bassa. Risulta più economica dell'API confidenziale se una macchina serve più di circa 5100–5600 persone attive che usano questo modello; con la stima di capacità più bassa (circa 4800 persone) non ci si riesce. Acquisto di un server proprio: un server Supermicro completo con otto GPU B300 costava, nel settembre 2026, circa 663.000 USD.[^supermicro] Stimiamo il costo mensile di un acquisto del genere così: | Voce | Importo mensile | | --- | ---: | | Ammortamento del server in cinque anni | circa 11.000 USD | | Ammortamento del server in quattro anni | circa 13.800 USD | | Colocation | circa 1900–3000 USD | | Rete, componenti e assistenza (stima) | circa 1500 USD | | Totale | circa 14.000–18.000 USD | Su un server del genere entrano due copie di DeepSeek, che nello scenario mondiale serviranno circa 35.000 persone (in quello europeo circa 28.000), a circa 0,41–0,52 USD per persona. Con queste ipotesi l'acquisto risulta più economico dell'API confidenziale a 1,11–1,25 USD a partire da circa 12.000–17.000 persone attive, e di quella dichiarata più economica (0,70 USD) a partire da circa 21.000–26.000. Il calcolo non comprende il costo completo di manutenzione e misurazione di questa configurazione; l'acquisto richiede inoltre liquidità anticipata, un presidio di persone 24 ore su 24 e una domanda stabile per anni, e l'accesso fisico all'hardware ce l'ha allora la fondazione (capitolo 2). Sono nostre stime, e non offerte. - Le macchine confidenziali con più GPU sono oggi disponibili pubblicamente negli Stati Uniti. Nell'Unione europea abbiamo trovato macchine confidenziali con una sola GPU H100,[^azure-ncc] in cui non entrano né il DeepSeek completo né Kimi. Un'API confidenziale con server nell'Unione europea la offre anche Privatemode (Edgeless Systems, Germania), con una scelta di modelli più ridotta.[^privatemode] Anche questa è una dichiarazione del fornitore, da verificare. - Un catalogo indipendente che verifica le API confidenziali, nell'osservazione del 29 ottobre 2026 alle 14:00 UTC, non ha confermato la verifica completa di nessuno dei 95 percorsi esaminati; mancavano più spesso le evidenze dell'identità del programma in esecuzione, della provenienza del codice e del collegamento tra la richiesta e la macchina.[^katalog] È un risultato basato sulle evidenze disponibili, e non una prova che i servizi divulghino i contenuti. Fino a una nostra verifica consideriamo la confidenzialità di questi servizi una dichiarazione del fornitore. - Il calcolo comprende l'elaborazione dei modelli. L'ambiente privato (gateway, memoria, file) in una o due macchine confidenziali con quattro processori virtuali e 8 GB di memoria costa presso Phala circa 168 USD al mese per macchina, e il disco viene fatturato separatamente, circa 10 USD per 100 GB.[^phala-cvm] Se queste dimensioni bastino lo verificheremo nel progetto pilota. Con 170–340 USD al mese, sono circa 6–11 USD per persona con 30 persone, e qualche decina di centesimi con 1000 persone. Il calcolo non comprende il lavoro delle persone, le revisioni di sicurezza, i pagamenti né una riserva per i guasti. - Gli abbonamenti più diffusi costano circa 20 USD al mese, e la chat di DeepSeek è gratuita.[^abonamenty] I piani da 100–200 USD offrono, con un lavoro intensivo da agente, l'equivalente di migliaia di dollari ai prezzi di listino delle API;[^semianalysis] con piani del genere non competiamo sul prezzo. Proponiamo la fatturazione dell'uso effettivo con una privacy che si può verificare. Stato dell'ipotesi del manifesto al 29 ottobre 2026: il calcolo ci avvicina a essa, ma non la conferma. L'elaborazione con confidenzialità dichiarata e attestazione è già disponibile nei listini pubblici e, con il profilo d'uso adottato, costa circa 0,70–1,25 USD per persona al mese, quindi un piccolo gruppo può iniziare da essa a prezzo di costo, e nelle nostre ipotesi un'infrastruttura propria può diventare più economica con un numero di persone attive compreso tra poco più di diecimila e alcune decine di migliaia. Saranno decisive tre cose, che verificheremo nelle prove del capitolo 9: se la confidenzialità di questi servizi supera una verifica indipendente, se la qualità dei modelli disponibili è sufficiente per i compiti per cui le persone verranno in Suveria, e qual è il profilo reale del traffico. Aggiorniamo il calcolo a ogni variazione significativa dei prezzi e dopo ogni prova, e conserviamo le versioni precedenti. ### 8.2. Passi dell'infrastruttura e schede decisionali Sviluppiamo l'infrastruttura per passi, ognuno dei quali offre ai partecipanti un valore autonomo, senza l'obbligo di passare al successivo: prima l'API confidenziale e l'ambiente privato in macchine confidenziali (se prima dell'avvio raccoglieremo fondi sufficienti, possiamo iniziare direttamente dal passo successivo), poi il noleggio di macchine confidenziali proprie, quindi l'acquisto di hardware e la sua collocazione in una sala server esterna e, in una prospettiva lontana, se dimostrerà un vantaggio, un edificio proprio. Il passo successivo è giustificato da dati misurati: il costo completo del servizio, il traffico reale, il tempo di risposta nel picco, la capacità di mantenere le misure di sicurezza e di gestire i guasti e, in caso di acquisto, anche il finanziamento delle riparazioni, della sostituzione dell'hardware e delle persone che si assumeranno la responsabilità. Il noleggio di una macchina propria può avere senso anche quando il modello necessario non è disponibile nell'API confidenziale o quando vogliamo il pieno controllo su ciò che è in esecuzione. Ogni passaggio lo descriviamo con una scheda decisionale: che cosa guadagniamo, il costo completo, i rischi, le condizioni di avvio e di ritiro, il modo di trasferire dati e chiavi e la conformità alle [regole sulla riserva e sull'avvio degli ulteriori pilastri](whitepaper-zasady-fundacji.md) (capitolo 8 del whitepaper sui principi della fondazione). Ammettiamo la combinazione di una macchina propria con l'API confidenziale per i picchi di traffico solo quando ciascuna delle strade ha un livello di protezione accettato; il passaggio a una variante più debole richiede una decisione separata e consapevole dell'utente. Prevediamo la prima misurazione su una singola GPU confidenziale con un modello più piccolo, e la successiva su una macchina in grado di contenere il modello completo. Adattiamo la potenza al traffico senza dimensionare tutto sul picco più alto. Progettiamo una breve coda con un tempo di attesa visibile; il suo tempo reale, il suo limite e il comportamento una volta esaurita li misureremo nel progetto pilota. La potenza flessibile per i picchi più lunghi la fornisce in primo luogo l'API confidenziale, a condizione che mantenga il livello di protezione accettato, il consenso e il limite di spesa dell'utente; quando una strada del genere non c'è, informiamo onestamente dell'attesa o dell'indisponibilità. Il noleggio orario ha senso per i modelli che non sono presenti nell'API confidenziale o che vi costano nettamente di più, e solo dove il fornitore permette davvero di avviare e rilasciare rapidamente le macchine confidenziali. La potenza libera della nostra macchina nelle ore più tranquille vogliamo usarla per i compiti della fondazione, come le analisi per Omniforum; il suo valore ai prezzi delle API non è un'entrata nel budget, quindi questi compiti hanno un proprio scopo e un proprio budget. Dopo il primo progetto pilota vogliamo provare due modalità: «Conversazione» per il normale lavoro con l'assistente e «Senza fretta» per i compiti che possono aspettare, per esempio la traduzione di un documento. Nella modalità «Senza fretta» mostriamo una finestra di avvio indicativa, una stima del costo, il budget massimo, la possibilità di annullare con la fatturazione del lavoro svolto e la stessa informazione sulla protezione. Un prezzo più basso per questo lavoro è possibile solo se deriva da un metodo pubblico di ripartizione dei costi, senza contare due volte il costo fisso. ### 8.3. Misurazione dell'uso senza il contenuto delle conversazioni Per fatturare l'uso effettivo misuriamo le risorse necessarie a svolgere i compiti e descriviamo chiaramente la quota dei costi fissi. Il contatore di fatturazione si limita ai dati indispensabili per verificare il costo, e il contenuto della conversazione non è necessario per emettere il conto. Nelle prove verificheremo la precisione della misurazione, il modo in cui l'utente può controllarla, l'ambito dei metadati divulgati e il comportamento del servizio al raggiungimento del limite di spesa. Le regole del conto, degli arrotondamenti, dei pagamenti anticipati e dei rimborsi sono descritte nel [whitepaper sui principi della fondazione](whitepaper-zasady-fundacji.md). Il limite di spesa impostato dal partecipante deve funzionare come un confine, e non come un avviso a cose fatte. Alcuni fornitori fatturano le richieste in corso solo dopo la loro conclusione, quindi i loro limiti possono essere superati; così lo descrive, per esempio, Tinfoil.[^tinfoil] Per questo progettiamo una prenotazione: prima di inviare una richiesta, il gateway di Suveria accantona dal saldo il suo costo massimo ammissibile, tenendo conto delle altre richieste in corso, e limita il numero di richieste parallele e la lunghezza della risposta. Al termine fatturiamo il costo effettivo e liberiamo la prenotazione non utilizzata. È un requisito da costruire e verificare, e non una funzione già operativa. ## 9. Prove di accettazione e diario dei risultati Prima di definire confidenziale un qualsiasi rilascio, documenteremo almeno: - un'attestazione corretta; - il rifiuto di inviare i dati dopo la sostituzione del codice o della chiave; - l'isolamento delle sessioni; - le limitazioni dell'amministratore; - l'assenza di contenuti nei log, nei dump e nella telemetria; - la gestione della cache; - la cancellazione e il recupero; - il comportamento dopo un guasto; - i limiti degli strumenti; - i costi sotto carico. Il risultato comprende la versione della configurazione e lo scenario in cui abbiamo cercato di violare la protezione. Vogliamo che ogni rilascio di Suveria superi tutte le verifiche probatorie di almeno un verificatore indipendente dei servizi confidenziali: hardware e stato delle misure di sicurezza, attualità delle evidenze, collegamento della chiave della connessione con l'ambiente protetto, identità del programma in esecuzione, provenienza del codice e collegamento della richiesta con una macchina specifica, mantenendo la disponibilità. Pubblichiamo il risultato con la data dell'osservazione, la versione dei criteri e le evidenze per il rilascio, il modello e il percorso della richiesta specifici, e descriviamo le affiliazioni del verificatore insieme al risultato. Non promettiamo un posto in nessuna classifica. Superare la verifica significa raggiungere il controllo descritto in un dato momento, con limiti pubblici, e non sostituisce un audit né le nostre prove. Quando avvieremo una nostra variante confidenziale, iscriveremo Suveria a ogni catalogo indipendente che verifica la confidenzialità dell'esecuzione dei modelli e gli metteremo a disposizione un endpoint per la verifica dell'attestazione; il primo esempio è confidentialinference.net (situazione al 31 ottobre 2026).[^confidentialinference] Non promettiamo l'inserimento, perché la decisione spetta al catalogo; promettiamo la candidatura, la risposta alle sue domande e la pubblicazione del risultato, anche negativo, con la data. Il catalogo verifica solo ciò che vede dall'esterno, di solito l'attestazione e il canale di connessione; non sostituisce un audit del codice o della configurazione né la valutazione dei canali laterali. Le prove di archiviazione e trasferimento comprendono: - il ripristino di una copia cifrata su un altro dispositivo autorizzato e il rifiuto della lettura senza la chiave corretta; - la perdita di un dispositivo, il recupero dell'accesso con il metodo scelto e una presentazione comprensibile delle conseguenze della perdita di tutte le chiavi; - la sincronizzazione di modifiche parallele senza la sovrascrittura silenziosa di una delle versioni; - la lettura dell'esportazione in uno strumento indipendente senza un account presso l'operatore originario, con il confronto di originali, cronologia, fonti e collegamenti; - la limitazione dell'ambito di un'integrazione e il blocco effettivo del suo accesso successivo dopo la revoca del permesso. Fasi: 1. test di usabilità su materiali non sensibili; 2. prova tecnica della protezione; 3. progetto pilota limitato con condizioni chiare; 4. aumento graduale della scala. Prima del progetto pilota stabiliremo e pubblicheremo le soglie: il tempo fino alla prima parola della risposta, il costo di calcolo per persona con il profilo misurato e la qualità del modello secondo il [whitepaper sui materiali e sul benchmark](whitepaper-materialy-i-benchmark.md). Considereremo riuscito il progetto pilota quando le soddisferà tutte e tre. Il cambio di modello, di firmware o del metodo di accesso all'account può richiedere una nuova qualificazione, e un aggiornamento non può indebolire in silenzio la protezione concordata. Ogni rilascio ha una scheda pubblica: - ambito di funzionamento; - evidenze delle prove; - limiti noti; - persone responsabili; - costi; - modo di segnalare un problema; - piano di ritiro. La scoperta di una vulnerabilità porta alla limitazione dell'esposizione, all'informazione delle persone coinvolte e a una correzione verificabile. Vogliamo condurre le prove apertamente. Invitiamo le persone che si occupano di sicurezza, crittografia, infrastruttura e applicazioni, compresi i creatori che presentano la tecnologia a un vasto pubblico, a progettare insieme le verifiche e a tentare di forzare la protezione su account di prova separati con dati inventati. Invitiamo anche i critici. Non paghiamo per la promozione, e ogni collaborazione la contrassegniamo secondo il [registro dei benefici](whitepaper-zasady-fundacji.md) (capitolo 7 del whitepaper sui principi della fondazione). I risultati, anche quelli negativi, finiscono nel diario dei risultati. Se vuoi partecipare, scrivi a [salve@novusignis.org](mailto:salve@novusignis.org?subject=%5BDo%C5%82%C4%85cz%5D%20Pr%C3%B3by%20Suverii) con l'oggetto «[Dołącz] Próby Suverii». La prova più importante: un gruppo con i privilegi di operatore al di fuori dell'ambiente confidenziale (gateway, dischi, rete, log) cerca di leggere le conversazioni di account di prova in cui sono state nascoste stringhe di caratteri segrete. Se le estrae chiunque, anche noi, la prova non è riuscita. Il primo rilascio di Suveria lo renderemo disponibile ad alcune persone che aiutano a configurarla. Se userà un'API confidenziale, la sua scheda di protezione (punto 2.3) dirà apertamente che il modello funziona presso un fornitore esterno, che l'attestazione è dichiarata dal fornitore e non l'abbiamo ancora verificata, e che i metadati non sono protetti. Poiché le prime persone aiutano anche a gestire il servizio, il primo risultato che pubblicheremo sarà la prova più importante descritta sopra, con una descrizione di ciò che è riuscito a fare l'operatore. **Diario dei risultati.** Situazione al 29 ottobre 2026: non abbiamo ancora svolto nessuna delle prove descritte, non abbiamo noleggiato GPU e non abbiamo avviato alcun modello in Suveria. Ogni risultato successivo lo aggiungiamo qui con la data, la configurazione, lo scenario e la conclusione, anche quando la prova non riesce. Restano da definire: - il primo modello e un livello di qualità accettabile; - la verifica indipendente delle API confidenziali e delle macchine confidenziali e la loro disponibilità in giurisdizioni con una forte protezione dei dati personali, come l'Unione europea con il GDPR; - il tempo di risposta; - le regole per le chiavi e la memoria; - l'ambito minimo dei dati di fatturazione; - gli obblighi legali dell'operatore rispetto alle segnalazioni di abusi; - il modo di finanziare la continuità. Il [whitepaper sui principi della fondazione](whitepaper-zasady-fundacji.md) descrive il budget, il calcolo dei costi e la responsabilità, e il [whitepaper sui materiali e sul benchmark](whitepaper-materialy-i-benchmark.md) la valutazione del comportamento dei modelli. Fondazione Novus Ignis, Poznań, KRS 0001269575. Sito e manifesto: novusignis.org. Osservazioni: salve@novusignis.org. ## Note [^teefail]: [TEE.fail: Breaking Trusted Execution Environments via DDR5 Memory Bus Interposition](https://tee.fail/). Ricerca di Georgia Tech, Purdue University e Synkhronix, pubblicata il 28 ottobre 2025: estrazione delle chiavi di attestazione di Intel TDX e SGX e di AMD SEV-SNP tramite collegamento fisico al bus di memoria DDR5, con conseguenze per il calcolo confidenziale di NVIDIA. Richiede l'accesso fisico al server; Intel e AMD considerano questi attacchi al di fuori dell'ambito della protezione. Commento: [The Hacker News](https://thehackernews.com/2025/10/new-teefail-side-channel-attack.html). Consultato il 28 ottobre 2026. [^local-first]: [Kleppmann, Wiggins, van Hardenberg e McGranaghan (2019): Local-first software: You own your data, in spite of the cloud](https://www.inkandswitch.com/essay/local-first/). Saggio. Principi della conservazione della copia principale sui dispositivi dell'utente e del ruolo di supporto dei server, comprese le copie cifrate. [^apple-pcc]: [Apple: Private Cloud Compute](https://security.apple.com/blog/private-cloud-compute/). Descrizione dell'architettura. Esempio di collegamento della confidenzialità con il controllo del software e la trasparenza del sistema. [^ohttp]: [RFC 9458: Oblivious HTTP](https://www.rfc-editor.org/rfc/rfc9458.html). Specifica. Separazione della conoscenza del mittente e della richiesta in un determinato modello di fiducia; non è un anonimato completo. [^weiss-keylogging]: [Weiss, Ayzenshteyn, Amit e Mirsky (2024): What Was Your Prompt? A Remote Keylogging Attack on AI Assistants](https://www.usenix.org/conference/usenixsecurity24/presentation/weiss). Pubblicazione scientifica (USENIX Security 2024; versione preliminare arXiv 2403.09751). Dalla lunghezza dei pacchetti cifrati con il flusso della risposta, un osservatore della rete ricostruisce l'argomento e in parte il contenuto della risposta dell'assistente. Consultato il 30 ottobre 2026. [^whisper-leak]: [McDonald e Bar Or (2025): Whisper Leak: a side-channel attack on Large Language Models](https://arxiv.org/abs/2511.03675) e [commento di Microsoft (7 novembre 2025)](https://www.microsoft.com/en-us/security/blog/2025/11/07/whisper-leak-a-novel-side-channel-cyberattack-on-remote-language-models/). Pubblicazione di ricerca e descrizione del produttore. Dalla dimensione e dal ritmo dei pacchetti nel flusso cifrato della risposta si può riconoscere l'argomento della conversazione; alcuni fornitori hanno aggiunto un riempimento casuale dei pacchetti. Consultato il 30 ottobre 2026. [^nvidia-platformy]: [NVIDIA: piattaforme supportate per i container confidenziali](https://docs.nvidia.com/datacenter/cloud-native/confidential-containers/latest/supported-platforms.html). Documentazione del produttore. Requisiti dell'intera configurazione di processore, GPU e software. [^nvidia-ppcie-v2]: [NVIDIA: Protected PCIe v2, Introduction](https://docs.nvidia.com/attestation/attestation-client-tools-ppcie-sdk-cpp/latest/ppcie_introduction.html). Documentazione del produttore. Nella modalità PPCIe v2 la rete NVLink e NVSwitch appartiene alla parte fidata del sistema; la protezione PCIe non significa cifratura di tutto il traffico tra le GPU. [^nvidia-blackwell]: [NVIDIA: Trusted Computing Solutions 595](https://docs.nvidia.com/595trd1-trusted-computing-solutions-release-notes.pdf). Documentazione del produttore. Modalità di calcolo confidenziale su più GPU Blackwell, compresa la protezione delle connessioni; richiede una configurazione compatibile. [^osi]: [OSI: Open Source AI Definition](https://opensource.org/ai/open-source-ai-definition). Definizione. I pesi aperti non stabiliscono se sia soddisfatta l'intera definizione di sistema aperto. [^deepseek]: [DeepSeek-V4.1-Flash: scheda del modello](https://huggingface.co/deepseek-ai/DeepSeek-V4.1-Flash). Documentazione del produttore. Architettura, licenza MIT e capacità dichiarate del modello; non è una misurazione delle prestazioni di Suveria. [^dpga]: [Digital Public Goods Alliance: standard](https://www.digitalpublicgoods.net/standard). Standard. Criteri di valutazione di un bene pubblico digitale; una direzione progettuale non è un riconoscimento ottenuto dalla DPGA. [^lambda-cennik]: [Lambda: listino delle istanze](https://lambda.ai/pricing). Listino del fornitore. NVIDIA B200 SXM6 180 GB: 6,79 USD per ora-GPU nell'istanza con quattro GPU e 6,69 USD nell'istanza con otto; H100 SXM 80 GB: 3,99 USD; prezzi on demand, al netto delle imposte, senza modalità confidenziale. Consultato il 29 ottobre 2026. [^lambda-v41]: [Lambda: DeepSeek-V4.1-Flash, risultati della misurazione delle prestazioni](https://lambda.ai/inference-models/deepseek-ai/deepseek-v4.1-flash). Misurazione del fornitore. 4 × B200, vLLM, parallelismo tensoriale 4, decodifica speculativa, circa 8192 token in ingresso e 1024 in uscita per richiesta; con 64 richieste simultanee, in totale 3713,9 token in uscita al secondo e in media 66,8 token al secondo per conversazione. Senza data della misurazione. Consultato il 28 ottobre 2026. [^azure-ncc]: [Azure: listino della macchina NCC40ads H100 v5](https://prices.azure.com/api/retail/prices?$filter=armSkuName%20eq%20%27Standard_NCC40ads_H100_v5%27%20and%20priceType%20eq%20%27Consumption%27) e [descrizione della serie](https://learn.microsoft.com/en-us/azure/virtual-machines/sizes/gpu-accelerated/nccadsh100v5-series). Listino del fornitore. Macchina confidenziale con una sola GPU H100 NVL 94 GB; da 6,98 USD all'ora (East US 2) a 8,90 USD (West Europe), Linux, pagamento a consumo. Consultato il 28 ottobre 2026. [^deepseek-cennik]: [DeepSeek: listino API (versione cinese)](https://api-docs.deepseek.com/zh-cn/quick_start/pricing). Listino del fornitore. Modello deepseek-flash (V4.1-Flash-1017): ingresso senza hit nella cache 1 CNY fuori picco e 2 CNY nel picco, uscita 4 e 8 CNY per milione di token. Conversione in USD secondo il [prospetto di eesel](https://www.eesel.ai/blog/deepseek-v4-1-flash-pricing), fonte ausiliaria. Consultato il 28 ottobre 2026. [^abonamenty]: Prezzi degli abbonamenti: [ChatGPT Plus](https://help.openai.com/en/articles/6950777-what-is-chatgpt-plus), [Claude Pro](https://claude.com/pricing), [Google AI Pro](https://gemini.google/subscriptions/), [Kimi Plus (prospetto di geotoolbox)](https://geotoolbox.ai/blog/kimi-pricing); la chat di DeepSeek è gratuita ([descrizione](https://en.wikipedia.org/wiki/DeepSeek_(chatbot))). Prezzi mensili in USD, al netto delle imposte; Kimi Plus 19 USD. Consultato il 28–29 ottobre 2026. [^kimi-k31]: [Moonshot: lancio di Kimi K3.1 Pro](https://forum.moonshot.ai/t/kimi-k3-1-pro-has-launched-start-exploring-now/629) e [Kimi: descrizione di K3.1 Pro (24 ottobre 2026)](https://www.kimi.com/news/kimi-k3-1-pro). Documentazione del produttore. Versione ulteriormente addestrata di Kimi K3, circa 3 bilioni di parametri, contesto di 1 milione di token, pesi annunciati prima del 4 novembre 2026; licenza non annunciata. Prezzi API secondo OpenRouter: 2 / 10 USD per milione di token. [^kimi-k3]: [Kimi K3: scheda del modello](https://huggingface.co/moonshotai/Kimi-K3). Documentazione del produttore. 2,8 bilioni di parametri, 104 miliardi attivi, contesto di circa 1 milione, MXFP4, licenza Kimi K3 License. [^spheron-kimi]: [Spheron: implementazione di Kimi K3 (19 ottobre 2026)](https://www.spheron.network/blog/deploy-kimi-k3-gpu-cloud/). Guida del fornitore. File dei pesi 1560,94 GB, configurazioni in grado di contenere il modello. Capacità di circa 1000–1600 token al secondo su 8 × B300 secondo un prospetto di misurazioni di terzi del 29 ottobre 2026; dispersione ampia. [^aa]: [Artificial Analysis: Kimi K3.1 Pro e DeepSeek V4.1 Flash 1017](https://artificialanalysis.ai/models/comparisons/kimi-k3-1-pro-vs-deepseek-v4-1-flash-1017). Confronto indipendente. Indice v5 del 28 ottobre 2026: 46 e 32; velocità di circa 36 e 178 token al secondo. Consultato il 29 ottobre 2026. [^tinfoil]: [Tinfoil: listino](https://tinfoil.sh/pricing). Listino del fornitore. DeepSeek-V4.1-Flash 0,65 USD in ingresso e 1,45 USD in uscita per milione di token; descrizione dei limiti di spesa. Consultato il 29 ottobre 2026. [^phala-api]: [Phala: modelli confidenziali](https://phala.com/confidential-ai-models). Listino del fornitore. DeepSeek V4.1 Flash 1017: 0,75 / 1,60 USD; Kimi K3: 3 / 15 USD per milione di token; attestazione del gateway e conferme delle risposte secondo il fornitore. Consultato il 29 ottobre 2026. [^near]: [NEAR AI: listino](https://near.ai/pricing). Listino del fornitore. Kimi K3: 3,30 / 16,50 USD per milione di token; sulla pagina principale prezzi diversi, discrepanza da chiarire. Consultato il 29 ottobre 2026. [^phala-gpu]: [Phala: GPU confidenziali](https://phala.com/gpu-tee) e [listino](https://cloud.phala.com/about/pricing). Listino del fornitore. 8 × H200: 44,20 USD all'ora on demand, 32,20 USD con impegno di 180 giorni; 8 × B300: 65,60 USD (30 giorni), 62,40 USD (180 giorni); Intel TDX con il calcolo confidenziale di NVIDIA; nessuna macchina in Europa. Consultato il 29 ottobre 2026. Impegno pagato in anticipo, senza rimborso in caso di conclusione anticipata. [^privatemode]: [Privatemode (Edgeless Systems)](https://www.privatemode.ai/). Offerta del fornitore. API confidenziale con server nell'Unione europea e attestazione remota; scelta di modelli aperti più ridotta rispetto ai fornitori statunitensi, prezzi non pubblicati. Confidenzialità dichiarata dal fornitore, non verificata da noi. Consultato il 30 ottobre 2026. [^katalog]: [Confidential Inference Directory: metodologia e osservazioni](https://confidentialinference.net/attestation). Catalogo indipendente, sponsorizzato da un'azienda che offre inferenza confidenziale. 0 su 95 percorsi verificati da un capo all'altro nell'osservazione del 29 ottobre 2026, 14:00:19 UTC. [^supermicro]: [Supermicro: server AS-8126GS-NB3RT-01-G2](https://store.supermicro.com/us_en/8u-gpu-gold-series-as-8126gs-nb3rt-01-g2.html) e [GPU Per Hour: prezzi dei server NVIDIA](https://gpuperhour.com/blog/nvidia-gpu-prices). Offerta del produttore e prospetto dei prezzi. Server completo con otto GPU B300: 662.845,95 USD (21 settembre 2026). [^semianalysis]: [BigGo Finance sull'analisi di SemiAnalysis (7 ottobre 2026)](https://finance.biggo.com/news/173039423dab79be). Analisi di settore. Il piano da 200 USD offre, con un lavoro intensivo, circa 12.000 USD ai prezzi di listino delle API; stime dei margini, non dati dell'azienda. [^sglang-k3]: [SGLang: ricetta per Kimi K3](https://github.com/sgl-project/sglang/blob/main/docs/cookbook/autoregressive/Moonshotai/Kimi-K3.mdx). Documentazione del motore. Configurazione verificata di Kimi K3 su 8 × B300; non riguarda Kimi K3.1 né la modalità confidenziale. [^phala-cvm]: [Phala: listino delle macchine confidenziali](https://phala.com/pricing). Listino del fornitore. tdx.large (4 processori virtuali, 8 GB di memoria): 0,23 USD all'ora; disco 0,000139 USD per GB all'ora. Consultato il 29 ottobre 2026. [^itu]: [ITU: Facts and Figures 2025, uso di internet](https://www.itu.int/itu-d/reports/statistics/2025/10/15/ff25-internet-use). Statistica internazionale. Percentuale di persone che usano internet nelle regioni del mondo nel 2025 (circa 6 miliardi di persone, il 74% della popolazione); le quote regionali nel nostro calcolo sono un'approssimazione: percentuale × popolazione della regione. [^cai]: [Confidential AI: listino](https://confidential.ai/pricing). Listino del fornitore, prezzi del 26 ottobre 2026. DeepSeek V4.1 Flash: 0,30 USD in ingresso, 0,03 USD in ingresso dalla cache, 1,20 USD in uscita per milione di token; macchina 8 × B300 60 USD all'ora, minimo tre mesi, assegnazione entro alcuni giorni. Confidenzialità dichiarata dal fornitore, non verificata da noi. [^voltage]: [VoltageGPU: listino](https://voltagegpu.com/pricing) e [ambito delle evidenze](https://voltagegpu.com/). Listino e dichiarazioni del fornitore. 8 × H200 64,62 USD all'ora con fatturazione al secondo; le evidenze pubblicate non comprendono l'attestazione di questa configurazione né degli switch NVSwitch. [^epoch]: [The Decoder sui dati di Epoch AI (8 gennaio 2026)](https://the-decoder.com/global-ai-compute-hits-15-million-h100-equivalents-epoch-ai-finds/) e [Epoch AI: AI Chip Users](https://epoch.ai/data/ai-chip-users). Prospetto di un centro di ricerca indipendente. Potenza di calcolo installata per l'intelligenza digitale superiore a 15 milioni di equivalenti NVIDIA H100, fabbisogno superiore a 10 GW. Stima, non misurazione. [^confidentialinference]: [confidentialinference.net](https://confidentialinference.net): confronto dei fornitori che eseguono modelli in ambienti di esecuzione fidati, con verifiche datate dell'attestazione; sito sponsorizzato dall'azienda Enclava, al momento della consultazione undici fornitori. Consultato il 31 ottobre 2026. --- # Omniforum: comprensione condivisa, conversazione e decisioni (https://novusignis.org/it/whitepaper-omniforum.html) # Omniforum: comprensione condivisa, conversazione e decisioni Versione del 31 ottobre 2026. Il documento sviluppa i principi del manifesto che riguardano Omniforum: come vogliamo aiutare le persone a comprendersi a vicenda, a lasciare dopo una conversazione un patrimonio duraturo e a prendere decisioni insieme. Descrive la direzione di sviluppo del prototipo. Ogni possibilità descritta richiede una prova di accettazione a sé, e la descrizione dell'esperienza a cui miriamo non significa che essa sia già disponibile oggi. I risultati delle prove li aggiungiamo al capitolo 9. *Traduzione dell'originale polacco del 31 ottobre 2026, eseguita dall'intelligenza digitale. In caso di differenze tra le versioni, prevale il testo polacco.* ## 1. Che cos'è Omniforum e perché nasce Omniforum deve essere uno spazio comune di conversazione in cui chiunque possa prendere la parola su qualsiasi tema e trovare ascolto. Lo progetta la Fondazione Novus Ignis di Poznań pensando alle persone di ogni parte del mondo, e la fondazione vuole renderlo disponibile come bene pubblico digitale con codice aperto. Al suo interno l'intelligenza digitale aiuta, sempre sotto il controllo dell'autore, a scomporre un intervento in singoli pensieri e a collegarli con le fonti e con i pensieri di altre persone. Dalle conversazioni che i partecipanti vorranno condividere resta un patrimonio a cui si può tornare. Omniforum nasce perché nel flusso di commenti rapidi i buoni argomenti si perdono facilmente e le stesse dispute ricominciano sempre da capo. Con una sola frase trasmettiamo molti presupposti, valori e aspettative. Finché ci capiamo, basta. Quando nasce un malinteso o bisogna decidere insieme che cosa fare, vale la pena vedere che cosa ciascuno di noi intende con le stesse parole, che cosa ci unisce e in quale punto i nostri ragionamenti si separano. In Omniforum vogliamo che si possa: - mettere in ordine il proprio pensiero e, prima della pubblicazione, verificare se l'interpretazione proposta dal modello rende ciò che intendiamo; - comprendere l'intervento altrui insieme ai suoi presupposti, valori e fonti; - confrontare le posizioni e vedere sia gli obiettivi comuni sia il punto in cui comincia la divergenza di opinioni; - tornare a una questione dopo una settimana o dopo un anno e vedere solo ciò che è cambiato; - tornare ai propri interventi passati e vedere come è cambiato il nostro modo di pensare, con il diritto di cambiare idea; - seguire gli interessi quotidiani, come la cucina, il giardino o le riparazioni, e confrontare le soluzioni già sperimentate; - preparare un'idea per una decisione comune: descriverla nella scheda dell'idea, raccogliere gli argomenti e, quando esisterà la votazione, sottoporla al voto della comunità. Non si tratta di decretare il vincitore di una disputa. Un argomento che mette in discussione la nostra posizione può essere prezioso quanto uno che la sostiene, e un'idea si può portare anche perché altri aiutino a trovarne una migliore. Una questione si può conoscere attraverso un breve racconto, approfondire un argomento scelto e concludere chiaramente la visita. Consideriamo riuscita una visita dopo la quale qualcuno comprende meglio la questione e può tornare con tranquillità alle proprie occupazioni. Né il numero di clic né il tempo trascorso sul sito sono una misura del beneficio. La scomposizione di un intervento in singoli pensieri non deve trasformare la conversazione in un arido grafico. In una disputa spesso ci irritiamo a vicenda non per cattiva volontà, ma perché una sola frase porta con sé diversi presupposti e ciascuno risponde a uno diverso. La semplice domanda «quindi vuoi dire questo e quest'altro, ti ho capito bene?» cambia il tono della conversazione da entrambe le parti. Tutto lo strato tecnico di Omniforum deve sostenere proprio questo gesto spontaneo. La conversazione deve lasciare spazio al cambiamento di opinione senza umiliazione: si può ammettere un errore, porre un'altra domanda o concludere senza dichiararsi d'accordo. La dignità di chi partecipa non dipende dal fatto che accetti una conclusione; la valutazione di un'affermazione dipende dalla sua giustificazione. Omniforum completa Suveria, lo spazio privato per lavorare con l'intelligenza digitale: un pensiero si può prima perfezionare in privato e poi portare consapevolmente in una conversazione comune. I valori da cui nascono entrambi i progetti sono descritti nel [manifesto](manifest.md) della fondazione. Di seguito mostriamo nell'ordine: - come scomponiamo un intervento in pensieri e ne conserviamo la fonte (capitoli 2 e 3); - come questo aiuto può funzionare in altri servizi (4); - come nascono le questioni, le mappe delle questioni, le schede delle idee e le iniziative (5); - quale nuovo mezzo di comunicazione può nascere da tutto questo (6); - come proteggiamo la privacy (7); - come prendiamo decisioni comuni (8); - come verificheremo se tutto questo aiuta davvero (9). ### 1.1. Interessi quotidiani e un ritorno tranquillo a un tema Omniforum deve aiutare non solo nelle questioni pubbliche, ma anche nel sapere pratico e negli interessi quotidiani: la cura delle piante, la cucina, le riparazioni o l'apprendimento di nuove abilità. Prendiamo qualcuno che vuole che la propria edera metta tralci il più lunghi possibile. In Omniforum può seguire questo tema e leggere che cosa hanno provato altre persone: quale posizione, quale irrigazione e quale concimazione hanno funzionato e che cosa invece non ha dato risultati. Ogni esperienza di questo tipo deve essere registrata insieme al suo autore e alla sua fonte, e consigli simili provenienti da conversazioni diverse devono confluire in un unico luogo invece di perdersi in discussioni separate. Così nasce una mappa della questione: un insieme ordinato di esperienze, argomenti e domande aperte a cui si può tornare. Come la costruiamo a partire dai singoli pensieri e la colleghiamo alle fonti lo descriviamo nei capitoli 2, 3 e 5. Le soluzioni si possono confrontare secondo criteri propri. A una persona importa la rapidità, a un'altra il basso costo, a una terza una pianta che sopporti la trascuratezza, quindi non cerchiamo un'unica risposta per tutti. Per ogni esperienza conserviamo le condizioni in cui è stata maturata, per esempio l'esposizione al sole, la temperatura in casa o il tipo di terriccio. Distinguiamo anche ciò che qualcuno ha osservato dalla sua spiegazione del perché sia accaduto. In questo modo metodi diversi si possono mettere uno accanto all'altro e si può scegliere quello adatto alla propria situazione. Quando qualcuno torna a un tema dopo una settimana o dopo un anno, deve vedere solo ciò che è cambiato dall'ultima visita: nuove esperienze, correzioni, risultati delle prove e domande che restano ancora aperte. Decide in autonomia con quale frequenza vuole consultare le novità e se ricevere notifiche. Dopo aver esaminato i cambiamenti riceve un'indicazione chiara di aver già visto tutte le novità su questo tema, e può tornare con tranquillità alle proprie occupazioni. ### 1.2. Che cosa è gratuito Leggere Omniforum, pubblicare interventi, suddividerli a mano in pensieri e atomi, aggiungere fonti, partecipare alle consultazioni e votare è gratuito, e il denaro non dà né una maggiore visibilità né una voce più forte. Un costo si presenta solo quando qualcuno usa l'aiuto di un modello, per esempio per scomporre un testo più lungo. Lo copre il proprio saldo in Suveria oppure un modello sul proprio dispositivo, e chi non ha un saldo può usare una coda gratuita, che la fondazione serve con la potenza di calcolo inutilizzata, nei limiti del budget di sostegno e delle donazioni vincolate. Quando la fondazione mantiene una propria macchina, destiniamo la sua potenza inutilizzata a questi compiti, in coda e senza garanzia dei tempi. Finché usiamo esclusivamente un'API confidenziale, la potenza inutilizzata non c'è, perché ogni operazione ha un costo; in quel caso finanziamo i compiti di chi non ha un saldo solo con le donazioni destinate a questo scopo, fino al loro esaurimento, e lo mostriamo nel registro. Una scomposizione confermata una volta entra nel patrimonio comune, quindi nessuno paga di nuovo per aprirla. ### 1.3. Glossario I nomi più importanti usati in questo documento, spiegati in modo più ampio nei capitoli indicati: - **Atomo:** il più piccolo mattone del significato, un singolo concetto o una cosa concreta, nominata con una o più parole (capitolo 2). - **Molecola:** un pensiero costruito da atomi uniti da legami: un'affermazione, una domanda, un valore o una condizione (capitolo 2). - **Etichetta:** la parola con cui nominiamo un atomo; un atomo può avere molte etichette, anche in lingue diverse (capitolo 2). - **Legame:** la relazione che unisce gli atomi in una molecola, come «fa parte di», «ha la caratteristica», «causa» o «impedisce» (capitolo 2). - **Catena:** una sequenza di molecole in cui le premesse portano a una conclusione (capitolo 5). - **Questione** (*Causa*): una domanda o un tema a cui qualcuno vuole tornare perché vuole capire, confrontare o fare qualcosa insieme ad altri (punto 5.1). - **Mappa della questione** (*Mappa Causae*): un quadro d'insieme delle catene di persone diverse, anche in contraddizione tra loro, insieme alle fonti e alle domande aperte, a cui si può tornare (capitoli 1.1 e 5). - **Scheda dell'idea** (*Charta Ideae*): una vista che mostra dove vogliamo arrivare e qual è il prossimo passo, con lo stato dell'idea e le risposte a otto domande (punto 5.2). - **Iniziativa** (*Inceptum*): la proposta di un'azione concreta che nasce dalla mappa della questione e dalla scheda dell'idea (punto 5.3). - **Omnium:** la base aperta del patrimonio pubblico di Omniforum, accessibile ad altre applicazioni tramite OmniAPI (capitolo 4). - **Ignis:** la fase della prima condivisione di un pensiero; il manifesto chiama il momento stesso della pubblicazione Cerimonia Ignis (*Caerimonia Ignis*; capitolo 3). - **Formatio:** la fase successiva alla pubblicazione, in cui la comunità esamina il pensiero, aggiunge argomenti, fonti e riserve e cerca un consenso (capitolo 3). - **Consensus:** l'intesa comune della comunità, con l'indicazione della versione, dell'ambito, delle persone che l'hanno confermata e delle opinioni dissenzienti (capitolo 3). - **Terra Incognita:** una cerimonia volontaria in cui diamo un nome al limite di ciò che oggi sappiamo giustificare e cominciamo consapevolmente a cercare la risposta a una nuova domanda (progetto, capitolo 3). - **Principium:** l'adozione di un principio come proprio, nel Canone Personale (*Canon Personalis*; punto 5.6). ## 2. Atomi, molecole e la loro origine Scomponiamo un intervento su due livelli. L'atomo è il più piccolo mattone del significato: un singolo concetto o una cosa concreta, nominata con una o più parole, per esempio «siccità», «albero» o «la nostra via». A ogni atomo attribuiamo una natura, cioè indichiamo se si tratta di una persona, di un luogo, di un evento, di un processo, di un valore o di un concetto. Gli atomi aiutano a indicare con precisione di che cosa stiamo parlando e ad accorgersi di quando persone diverse intendono cose diverse con la stessa parola. La molecola è un pensiero costruito da atomi uniti da legami come «fa parte di», «ha la caratteristica», «causa» o «impedisce»: un'affermazione, una domanda, un valore o una condizione. Non deve per forza essere una frase breve, perché il senso può richiedere una riserva, un esempio o un contesto. In una conversazione una molecola si può sostenere con un argomento o contestare, mentre l'atomo in sé non è né vero né falso. L'atomo è un significato, non una parola. Ha un identificativo permanente e una definizione, e le parole con cui lo nominiamo sono le sue etichette. Un atomo può avere molte etichette: nomi in lingue diverse, sinonimi ed espressioni che dipendono dal contesto. La siccità in inglese la chiameremo «drought», in tedesco «Dürre» e in latino «siccitas». Chi abita in via Warszawska la chiamerà «la nostra via», un'altra persona «la zona». In questo modo chi usa parole diverse, anche in lingue diverse, può parlare della stessa cosa, e il fatto che un'etichetta renda davvero l'atomo può diventare a sua volta tema di conversazione. Dove esiste un nome latino consolidato, per esempio in biologia, in medicina o nel diritto, lo aggiungiamo come etichetta di riferimento. Il collegamento di un'espressione a un atomo è una proposta che l'autore conferma, come l'intera suddivisione del suo intervento. Può anche essere un'informazione privata: il fatto che «la nostra via» indichi via Warszawska rivela dove qualcuno abita, quindi è l'autore a decidere se altri vedranno questo collegamento. Anche la definizione dell'atomo è registrata in Omniforum: è composta da altri atomi e dalle relazioni tra loro, così come una voce di enciclopedia è descritta da altre parole. In questo modo si vede che cosa intendiamo esattamente con un dato concetto, e la definizione si può esaminare e migliorare come qualsiasi altro pensiero. Una notazione di questo tipo non dipende da alcuna lingua, e accanto a essa la definizione si può fornire anche come testo normale, in molte lingue. Quando cambia un atomo usato nelle definizioni di altri atomi, segnaliamo quelle definizioni come da rivedere. Ogni scomposizione, attribuzione e collegamento si può fare a mano, senza l'intervento di un modello, con gli stessi strumenti e con lo stesso risultato nella mappa. È un lavoro faticoso, ma dà una visione completa di come qualcosa è nato. Il modello propone gli stessi passi per comodità, e accanto a ogni elemento si vede se è stato creato a mano o da una proposta del modello, e di quale modello. Il percorso manuale non lo consideriamo una modalità di emergenza: lo manteniamo in ogni versione e verifichiamo nelle prove se con esso si riesce ancora a percorrere un'intera questione. Per ogni molecola e ogni uso di un atomo registriamo da dove provengono: da quale testo, da quale sua versione e da quale punto preciso, in quale lingua e in quale contesto. Così si può sempre tornare all'originale e leggere la frase nel suo contesto. Le stesse parole scritte in due testi diversi le trattiamo come due occorrenze separate, perché in un contesto diverso possono significare cose diverse; solo un collegamento confermato le unisce allo stesso atomo. Registriamo anche chi ha preparato la scomposizione dell'intervento e quando, e se ha aiutato un modello, quale e con quale versione delle istruzioni. Distinguiamo tre strati: - **Intervento di origine:** ciò che è stato effettivamente pubblicato o consegnato per l'analisi. - **Interpretazione proposta:** proposta da un modello o da una persona, con l'indicazione dell'autore e del grado di verifica. - **Conferma del significato:** l'autore riconosce una determinata versione dell'elaborazione come conforme alla propria intenzione. La conferma dice soltanto che l'autore riconosce il proprio pensiero nella scomposizione. Non dimostra che abbia ragione, non significa che altri siano d'accordo e non è un voto in una votazione. L'autore può correggere la scomposizione oppure lasciare il proprio intervento intero, senza suddividerlo. Chi legge può scomporre a modo proprio l'intervento altrui, senza aspettare l'autore. Una scomposizione di questo tipo la mostriamo come interpretazione di chi legge, contrassegnata con il suo nome o pseudonimo. Come scomposizione dell'intervento dell'autore mostriamo solo la versione che l'autore ha confermato. Il silenzio dell'autore non significa consenso. Il punto di riferimento per la portabilità sono gli standard di annotazione aperti, come il modello di dati W3C Web Annotation, che descrive il collegamento di un'annotazione a una risorsa e a un suo frammento.[^web-annotation] Non è un modello già pronto di tutte le relazioni di Omniforum. ## 3. Dall'intervento naturale all'elaborazione condivisa In Omniforum un pensiero attraversa fasi successive. La prima è la fase Ignis, cioè la prima condivisione di un pensiero. Il pensiero può nascere in Omniforum: in tal caso l'autore, nel laboratorio Ignis (*Officina Ignis*), lo scompone in molecole e atomi con l'aiuto dell'intelligenza digitale, conferma che l'interpretazione rende la sua intenzione e lo pubblica consapevolmente; è il percorso descritto in questo capitolo. Può anche arrivare da Suveria, dove l'autore lo ha perfezionato nel proprio laboratorio privato del pensiero; in tal caso lo pubblica subito, senza il laboratorio Ignis. In entrambi i casi il manifesto chiama il momento della pubblicazione Cerimonia Ignis, e dopo di esso comincia la fase Formatio: la comunità esamina il pensiero, aggiunge argomenti, fonti e riserve e cerca un consenso. L'intesa comune la chiamiamo Consensus, e quando l'accordo non c'è, anche una disputa descritta onestamente è un risultato di questo lavoro. Per un'intesa comune indichiamo la versione, l'ambito, le persone che l'hanno confermata e le opinioni dissenzienti; il silenzio non lo contiamo come consenso. Conversiamo in modo naturale. Il percorso nel laboratorio Ignis comincia da un testo normale o da un passaggio scelto, e l'utente stabilisce l'obiettivo: capire, individuare gli argomenti, preparare la propria risposta o confrontare le posizioni. La costruzione manuale della mappa resta una possibilità per chi lo desidera. L'intelligenza digitale propone una scomposizione e accanto a ogni molecola mostra da quale passaggio dell'intervento l'ha ricavata. L'autore non deve controllare tutto un punto dopo l'altro: il modello deve indicare i punti in cui potrebbe essersi allontanato dall'intenzione o in cui l'intervento si può interpretare in più modi. L'autore corregge questi punti e approva l'insieme. L'intera scomposizione si può accettare in una volta sola solo se si vede che cosa esattamente si sta accettando e si può tornare ai dettagli. Nelle prove verificheremo se l'approvazione non richieda più tempo della scomposizione fatta da sé. Il modello che propone la scomposizione ha le sue abitudini: leviga le formulazioni insolite e rende simili tra loro voci diverse, e una proposta già pronta è facile da accettare senza modifiche. Per questo il percorso senza l'aiuto del modello ha pari dignità, e di tanto in tanto confrontiamo le scomposizioni preparate con l'aiuto del modello e senza. Esempio: l'intervento «Vale la pena piantare alberi nella nostra via, se scegliamo specie resistenti alla siccità» contiene due molecole unite da una condizione. La prima, «vale la pena piantare alberi nella nostra via», unisce gli atomi «albero» e «la nostra via». La seconda, «scegliamo specie resistenti alla siccità», unisce gli atomi «specie» e «siccità» con il legame «resistente a». L'intervento non può essere ridotto all'incondizionato «Vale la pena piantare alberi nella nostra via», perché la condizione resta parte del significato. Se il modello aggiunge che l'autore considera la siccità un problema della zona, lo segnaliamo come deduzione del modello e non come parole dell'autore. Non scomponiamo tutto subito. Avviamo la scomposizione quando aiuta in un compito concreto, e solo in profondità quanto serve. La prima proposta può lasciare frasi più lunghe, per esempio «specie resistenti alla siccità», e l'autore o chi legge le scompone ulteriormente là dove il senso dipende da un singolo concetto o dove su di esso può nascere una disputa. Meno suddivisione superflua significa un costo di calcolo più basso, meno lavoro per chi legge e meno collegamenti errati. Stiamo valutando anche una seconda cerimonia, volontaria: un momento in cui diamo un nome al limite di ciò che oggi sappiamo giustificare e cominciamo consapevolmente a cercare la risposta a una nuova domanda. Le spiegazioni possibili le segnaliamo allora come ipotesi. La chiamiamo Terra Incognita, così come gli antichi cartografi indicavano sulle mappe le terre ancora inesplorate. La sua forma la stabiliremo più avanti. ## 4. Un aiuto a comprendersi là dove le persone già conversano Quando guardiamo un video o leggiamo un articolo, oggi siamo soprattutto destinatari. Al massimo possiamo aggiungere un commento in fondo, dove si perde facilmente tra gli altri. Vogliamo che, accanto a un passaggio preciso di un testo o a un momento preciso di una registrazione, si possa dire: su questo non sono d'accordo, ho un argomento o una fonte in merito. Un'osservazione di questo tipo deve arrivare dove può essere notata e presa in considerazione: nella mappa della questione in Omniforum e, se l'autore o il servizio usa il nostro componente aggiuntivo, anche a loro. Allora il destinatario diventa partecipante. Omniforum deve essere un luogo in cui le conversazioni sparse si ricompongono in un insieme: i pensieri provenienti da interventi diversi, le loro fonti, gli argomenti e le relazioni tra loro confluiscono in mappe comuni delle questioni. Le persone però conversano in molti luoghi contemporaneamente: sui social network, nei forum, sotto gli articoli, nelle liste di discussione e in molti altri luoghi. Non vogliamo trasferirle tutte in un unico servizio. Vogliamo che l'aiuto alla comprensione reciproca sia disponibile ovunque le persone vogliano intendersi, e che il patrimonio di Omniforum possa essere utile anche lì. Questo aiuto funziona in due direzioni. Dalla conversazione a Omniforum: l'autore può scomporre il proprio intervento in molecole e atomi, verificare se l'interpretazione proposta dal modello rende la sua intenzione e portarlo consapevolmente nella mappa comune, mentre chi legge può preparare un'interpretazione dell'intervento altrui, contrassegnata come interpretazione di chi legge e collegata alla fonte. Da Omniforum alla conversazione: su richiesta dell'utente, il componente aggiuntivo può mostrare che di quella questione si è già parlato, quali argomenti e quali fonti sono emersi in precedenza e dove comincia la divergenza di opinioni, perché la disputa non debba ricominciare da capo. Per farlo usa Omnium (in latino «di tutti»), la base aperta del patrimonio pubblico di Omniforum, tramite OmniAPI, un'interfaccia documentata per altre applicazioni. Prevediamo due strade. L'amministratore di un servizio può integrare il componente aggiuntivo, per esempio un pulsante accanto al campo in cui si scrive l'intervento o un modulo incorporato; se e in quale misura farlo dipende esclusivamente dalla sua decisione. Dove il servizio non ha un componente di questo tipo, deve funzionare un'estensione aperta del browser. L'estensione aiuta solo la persona che l'ha installata, lavora su ciò che questa persona vede e sceglie, e non modifica il servizio né ciò che vedono gli altri suoi utenti. Se l'utente vuole portare il risultato nella conversazione sul servizio, lo fa da sé, secondo le regole di quel servizio. Gli strumenti di annotazione esistenti, come Hypothesis, mostrano che lavorare tramite un'estensione e tramite l'integrazione con un sito è possibile.[^hypothesis] Lo standard aperto di annotazione del W3C, di cui parliamo nel capitolo 2, permette di indicare sia un passaggio di testo sia un intervallo di tempo in una registrazione.[^web-annotation] La suddivisione in molecole e atomi e la conferma dell'intenzione restano un nostro compito progettuale distinto. Funzionamento proposto del componente aggiuntivo: 1. L'utente seleziona il testo e vede quale porzione verrà letta, da quale modello e dove. 2. Riceve una proposta privata di elaborazione, che può correggere o rifiutare. 3. Può copiare il risultato, conservarlo in privato o preparare una pubblicazione in Omniforum. 4. Prima della pubblicazione vede la fonte, l'autore dell'elaborazione, i diritti sul materiale, l'ambito di visibilità ed eventuali dati di altre persone. 5. Decide separatamente sulla partecipazione a una raccolta di dati per la ricerca e separatamente sull'uso per l'addestramento dei modelli. L'integrazione del componente aggiuntivo da parte dell'amministratore del servizio non sostituisce la decisione dell'utente di inviare i contenuti. L'estensione chiede permessi il più possibile ristretti e non invia in background la cronologia di navigazione, l'intera casella di posta né il contenuto delle conversazioni vicine; per impostazione predefinita elabora solo il materiale selezionato. Anche la ricerca di conversazioni precedenti su una data questione la avvia l'utente stesso. Gli interventi tratti da conversazioni private riguardano anche altre persone, perciò prima di portare qualsiasi cosa fuori da una conversazione di questo tipo il componente aggiuntivo deve ricordarlo in modo chiaro. Un modello locale può essere una delle varianti, se la qualità e i requisiti hardware lo permetteranno. Omniforum deve essere un progetto comunitario: il suo patrimonio nasce da ciò che le persone stesse vi portano. Non prevediamo di raccogliere automaticamente interventi da internet per scomporli in molecole e atomi all'insaputa degli autori, né di costruire con essi profili delle persone. Il fatto che un testo sia disponibile in internet non decide del diritto di diffonderlo ulteriormente, di usarlo per la profilazione o di addestrarvi dei modelli. Prenderemmo in considerazione l'elaborazione automatica di interventi provenienti da un altro servizio solo se quel servizio lo permettesse e ogni autore i cui interventi ne sarebbero interessati avesse dato prima il proprio consenso. Chiunque, invece, può portare nella conversazione un documento o una dichiarazione pubblica e discuterne facendo riferimento alla fonte, nella misura appropriata e senza attribuire all'autore l'approvazione dell'elaborazione. ## 5. Le questioni, le loro mappe e il racconto di un'idea Dalle molecole nascono insiemi più ampi. Le molecole si uniscono tramite relazioni: giustificazione, riserva, condizione, esempio e conseguenza prevista. Una sequenza di molecole in cui le premesse portano a una conclusione la chiamiamo catena; per ogni passaggio registriamo su quale regola si basa, quali presupposti adotta e dove presenta lacune. La mappa della questione mette a confronto le catene di persone diverse, anche in contraddizione tra loro. Nella questione degli alberi nella nostra via, una catena può portare dall'ombra e dal fresco durante le ondate di calore alla conclusione che vale la pena piantarli, un'altra dai costi dell'irrigazione e dalle radici sotto il marciapiede alla conclusione che sarebbero meglio degli arbusti. Quando la stessa parola significa per gli interlocutori cose diverse, la registriamo come atomi distinti con la stessa etichetta, e così si vede subito l'origine del malinteso. Ogni relazione può essere una proposta da verificare, e la somiglianza delle parole aiuta a cercare collegamenti, ma non dimostra che due pensieri significhino la stessa cosa né che uno derivi dall'altro. La mappa permette di vedere rapidamente intorno a che cosa ruota la conversazione e di arrivare in qualsiasi momento all'intervento originale. Il suo riassunto, cioè la sintesi, mostra come è stato scelto il materiale, conserva le posizioni di minoranza importanti e indica quali dati mancano. Non deve ridurre la disputa a un'unica frase che tutti sottoscriveranno: una disputa descritta onestamente è un frutto della conversazione prezioso quanto una soluzione comune. La mappa della questione si apre con calma: prima una conclusione principale con una breve descrizione della sua solidità, e sotto di essa alcuni percorsi di giustificazione tra cui scegliere. Si può espandere quello che corrisponde al proprio dubbio, tornare indietro o concludere; il resto della mappa resta a portata di mano. Per ogni conclusione mostriamo separatamente quanto sono solide e indipendenti le prove, quanto è ben giustificata la conclusione stessa e quanto ampio è l'accordo su di essa. Il pieno accordo di partecipanti che si basano su un'unica relazione non verificata resta una conclusione debole. La scala di queste valutazioni la dobbiamo ancora elaborare e verificare nel benchmark; ai fatti ben accertati non aggiungiamo un'incertezza apparente. Il manifesto (punto 5.1) divide la riflessione comune in fatti, valori e ipotesi. In Omniforum a ciò corrisponde il contrassegno della molecola: se parla di qualcosa di verificabile, di un bisogno o di un valore, oppure di un'ipotesi. La scheda dell'idea raccoglie questi contrassegni nel proprio stato (funziona, progetto, ipotesi, visione). Dalla mappa può nascere il racconto di un'idea: una guida accessibile che accompagna chi legge, un passo dopo l'altro, attraverso ciò che riguarda la domanda, ciò che è già stato stabilito insieme, i punti in cui ci sono differenze, ciò su cui si basano e ciò che potrebbe cambiare la valutazione. Un buon racconto offre un momento di chiusura: si sa che cosa è stato stabilito e dove la disputa è ancora in corso. Quando compare una nuova fonte, cambia una condizione importante o viene alla luce un errore, la conversazione si può riaprire in modo chiaro. Ogni modifica resta nella cronologia. L'unione, la divisione e il ritiro di molecole e di atomi conservano i riferimenti e le versioni precedenti, quindi si può ricostruire come è nata la forma attuale della mappa. Quando cambia una fonte, le elaborazioni che si basano su di essa le segnaliamo come da rivedere, invece di cambiarne il significato in silenzio. Quando più pubblicazioni ripetono la stessa notizia originaria, lo segnaliamo, e quando l'origine non si può stabilire, scriviamo che è indeterminata. La correzione di una fonte indica le elaborazioni da verificare di nuovo; non invalida automaticamente intere conclusioni né interpretazioni diverse. ### 5.1. La questione come punto di ritorno a una domanda La questione è una domanda o un tema a cui qualcuno vuole tornare perché vuole capire, confrontare o fare qualcosa insieme ad altri. La molecola resta un singolo pensiero, mentre la questione raccoglie intorno a un unico bisogno molte molecole, catene, fonti e documenti. Una questione può essere una domanda pubblica, per esempio sugli alberi nella via, ma anche personale, per esempio come prepararsi al prossimo colloquio con la banca: le si possono allegare documenti, risposte precedenti e nuovi dubbi. Un collegamento permanente alla questione porta a tutto ciò che la riguarda: la domanda, il contesto, le fonti, gli argomenti, lo stato attuale delle conoscenze e la cronologia delle modifiche. Per ogni aspetto indichiamo se si tratta di un evento, di una supposizione, di una scelta di valori o di un piano, a quale periodo e a quali condizioni si riferisce e su che cosa si basa la sua valutazione. Una votazione può mostrare una decisione o le posizioni dei partecipanti, ma sulla verità delle affermazioni decidono le fonti e la verifica, non il numero dei voti. Registrare una domanda non è ancora una decisione di agire. Quando qualcuno si assume un compito, stabiliamo separatamente chi ne è responsabile, qual è il passo successivo e che cosa ci aspettiamo. Il rinvio o il rifiuto lasciano una motivazione e una strada per tornare al tema. Chi partecipa sceglie da sé chi vede la propria questione: ciò su cui lavora in privato in Suveria resta separato dal materiale che renderà consapevolmente disponibile in Omniforum. Una questione privata si porta avanti in Suveria; arriva in Omniforum solo quando l'autore la condivide con un gruppo o pubblicamente. Un registro comune delle questioni è una direzione che verificheremo in un progetto e in una prova a sé. ### 5.2. La scheda dell'idea: dall'immagine del futuro alla prima prova Le visioni audaci si liquidano facilmente come staccate dalla realtà, e i piani prudenti come privi di uno scopo. La scheda dell'idea unisce le due cose: mostra dove vogliamo arrivare e qual è il prossimo passo. Indica lo stato dell'idea («funziona», «progetto», «ipotesi» oppure «visione») e risponde a otto domande: 1. **Che cos'è?** La definizione, i confini del concetto e il modo di riconoscere il risultato atteso. 2. **A che scopo?** Di chi soddisfa i bisogni, come protegge la dignità e come si svolge la giornata normale di una persona che ne fa uso. 3. **Perché?** Il problema nel mondo di oggi, descritto con fatti e fonti. 4. **Come e con che cosa?** Il meccanismo, le risorse esistenti che si possono usare invece di costruire da zero, e il prossimo passo. 5. **Che cosa dovrebbe cambiare?** Le condizioni tecniche, giuridiche ed economiche, e le convinzioni: quali sono oggi comunemente accettate e quali sarebbero necessarie. 6. **Quale bilancio e quali altre strade?** Chi ci guadagna, chi sostiene i costi e i rischi della transizione, quali sono le alternative sensate. 7. **Quale prova?** Che cosa verificheremo per primo, con la partecipazione delle persone che ne trarranno beneficio, di quelle che ne sosterranno i costi e di quelle a cui la soluzione non va bene, e quale risultato ci porterà a cambiare idea. 8. **È già successo qualcosa di simile?** Trasformazioni che un tempo sembravano impossibili, con ciò che le ha rese possibili e le differenze rispetto alla nostra situazione. Un esempio simile mostra che una strada del genere è possibile, ma non dimostra che ci riusciremo. La scheda non è una singola molecola, ma una vista di molti concetti, affermazioni, fonti, condizioni e prove collegati tra loro. Le schede si possono unire in un percorso più lungo; allora mostriamo le risorse comuni e le dipendenze, e verifichiamo per intero il tratto scelto, perché la conferma delle singole parti non conferma ancora l'intero percorso. Le domande sullo scopo, sul modo e sui cambiamenti necessari corrispondono ai tre criteri delle «utopie reali» di Erik Olin Wright: se la soluzione è desiderabile, se può funzionare e se è possibile arrivarci.[^wright] La cronologia della scheda mostra come il ponte tra la visione e la realtà ha guadagnato nuove campate. È previsto che le prime schede riguardino le idee del manifesto della fondazione. ### 5.3. Dalla questione all'iniziativa Quando la conversazione su una questione porta a un'intesa comune su che cosa valga la pena fare, sulla sua base si può avviare un'iniziativa, cioè la proposta di un'azione concreta. L'iniziativa nasce dalla mappa della questione e dalla scheda dell'idea, quindi conserva i collegamenti alle molecole, alle catene e alle fonti su cui si basa. Il suo nucleo è un obiettivo descritto con chiarezza, le condizioni, l'azione proposta e il modo di verificare se ha prodotto l'effetto atteso. Prima di arrivare a una decisione sul denaro comune, ha bisogno del percorso verde del punto 5.3 del manifesto: un fondamento nei fatti e l'accordo della comunità sui valori su cui poggia. L'iniziativa passa attraverso decisioni distinte: prima una conversazione sull'obiettivo e sulle possibili varianti, poi la decisione se questa versione meriti un ulteriore lavoro, quindi il preventivo dei costi e la valutazione della fattibilità, e infine la decisione sull'esecuzione e sulla fonte di finanziamento. L'accordo sull'obiettivo non decide ancora del costo, degli esecutori né dei tempi. Una modifica sostanziale dell'obiettivo, dell'ambito o del budget crea una nuova versione dell'iniziativa e ripete le decisioni che ne sono interessate. Fino alla votazione vincolante queste decisioni le prende il consiglio di amministrazione dopo le consultazioni, nella fase agile descritta nel capitolo 8. Un'iniziativa si può finanziare in due modi. Può pagarla la fondazione con il budget comune, secondo le regole del [whitepaper sui principi della fondazione](whitepaper-zasady-fundacji.md) e sempre con la precedenza del Pilastro I. Può anche essere aperta al sostegno dei donatori: una persona o un'azienda che vuole che l'iniziativa si realizzi ne copre l'intero costo con un versamento vincolato. Il versamento non dà voti aggiuntivi né influenza sulle decisioni della fondazione. In entrambi i casi l'iniziativa la realizza la fondazione, che ne è responsabile; non prevediamo di finanziare progetti condotti da persone ed enti esterni alla fondazione. Un'iniziativa accolta per la realizzazione ha esecutori responsabili, un budget, una scadenza e criteri di accettazione. Al termine pubblichiamo il costo effettivo, il risultato e le conclusioni, anche quando la prova non è riuscita. ### 5.4. Domande ricorrenti e una posizione comune Persone, gruppi di lavoro e istituzioni ricevono spesso le stesse domande e le stesse obiezioni in molti luoghi contemporaneamente. Il pannello che stiamo progettando permette di rispondere una sola volta, in modo ordinato: collega la posizione approvata dall'autore con le domande, gli argomenti e le fonti a cui si riferisce. La vista mostra soprattutto il contenuto e ciò che nelle obiezioni è nuovo, perché il numero delle ripetizioni non è indice del peso di un'obiezione. Il componente aggiuntivo descritto nel capitolo 4 può proporre di collegare un commento a una risposta di questo tipo. L'abbinamento automatico è chiaramente contrassegnato e si può correggere; l'autore del commento vede a che cosa è stato collegato e può segnalare: «la mia osservazione riguarda un'altra cosa». Un argomento nuovo riceve un posto proprio, anche se somiglia a uno precedente. Il fatto che l'autore abbia risposto non significa ancora che la sua risposta abbia convinto gli interlocutori. Il pannello presenta solo la posizione confermata dall'autore: una risposta preparata dal modello deve essere approvata prima di cominciare a rappresentarlo. Chi segue una discussione può scegliere di ricevere una notifica quando arriva una nuova risposta. Un esempio di questo uso, con una dichiarazione di anni fa e un successivo cambiamento di opinione, vogliamo mostrarlo sul sito della fondazione. ### 5.5. Documenti vivi e revisione pubblica Vogliamo usare gli stessi strumenti per i documenti della fondazione, come il manifesto e i whitepaper. Devono aiutare a raggruppare le osservazioni ricorrenti, conservando le differenze, il contesto e le esperienze dei loro autori. Ogni riserva la colleghiamo a un passaggio preciso del testo, perché si possa verificare la risposta, aggiungere un nuovo argomento e ricostruire da dove viene una correzione. In questo modo anche una grande ondata di critiche può trasformarsi in correzioni concrete, invece di sommergere gli autori. La versione attuale di un documento presenta la posizione attuale degli autori. La cronologia conserva le formulazioni precedenti, i motivi delle modifiche e gli impegni assunti, quindi le azioni si possono valutare in base a ciò che veniva dichiarato in un dato momento. Una nuova redazione permette di correggere gli errori, ma non toglie la responsabilità per le decisioni precedenti. Cominciamo dal nostro sito. Sul sito novusignis.org, accanto al manifesto e ai whitepaper, si può evidenziare un passaggio e con un solo clic preparare per noi un'e-mail con un'osservazione, che contiene già la citazione e un link a quel punto. È un primo passo semplice: il messaggio arriva solo alla fondazione e da esso non nasce una conversazione pubblica. In prospettiva le osservazioni sui nostri documenti dovranno arrivare in Omniforum, dove altre persone potranno vederle e discuterne. Le osservazioni che porteranno a modifiche le annotiamo nella cronologia del documento. ### 5.6. Il Canone Personale nella conversazione sui valori Il Canone Personale è l'insieme dei principi che una persona riconosce come propri. Nasce nello spazio privato di Suveria, e in Omniforum arrivano solo i principi che qualcuno rende consapevolmente disponibili. L'adozione di un principio come proprio la chiamiamo Principium. Lo si può fare in ognuna delle fasi descritte nel capitolo 3: davanti a un pensiero appena condiviso (Ignis), durante l'esame della comunità (Formatio) oppure dopo l'intesa comune (Consensus). Un Principium ha posto nel canone anche quando resta un'opinione dissenziente rispetto alla maggioranza. I canoni possono essere più grandi o più piccoli, contenersi l'uno nell'altro e sovrapporsi in parte. Oltre al canone personale può esistere il canone di una comunità o la descrizione dei principi di una determinata tradizione, e metterli a confronto mostra dove si incontrano e dove non c'è accordo. Distinguiamo i principi adottati come punto di partenza dalle conclusioni di cui si vedono le premesse e la catena di ragionamento. La mancanza di una giustificazione o un passaggio controverso non cancella un principio, ma indica un punto su cui continuare a riflettere. I fatti su cui si basa un principio provengono dalla mappa e dalle sue fonti; l'adozione nel canone non decide della loro verità. Il canone non serve a giudicare le persone. Può invece avere un livello descrittivo di elaborazione: embrionale (contiene almeno un Principium adottato consapevolmente), descritto (si sa che cosa adotta esattamente e che cosa non decide ancora), ancorato (i suoi principi sono collegati a una mappa della questione e se ne vede l'origine) oppure analizzato (sono state esaminate le giustificazioni, le controargomentazioni e le tensioni tra i principi). Mostriamo separatamente in quale misura i principi godono di un'intesa comune. Una determinata versione del canone può essere contrassegnata come pubblicamente matura secondo un elenco pubblico di condizioni: quando è analizzata, i suoi principi godono di un'intesa comune e la loro coerenza reciproca è stata verificata; lo stato resta aperto alla revisione. Insieme al contrassegno indichiamo la versione del canone, la comunità che l'ha valutato, la data e l'ambito dell'accordo. Il livello del canone aiuta a trovare i punti su cui continuare a riflettere, ma non giudica il suo autore e non incide sul diritto di adottare principi, di partecipare alla conversazione o alla votazione. ## 6. Un nuovo mezzo per spiegare e conversare Come YouTube ha dato vita agli youtuber e i podcast ai podcaster, Omniforum può dare vita a un nuovo gruppo di creatori. Come si chiameranno lo stabiliranno probabilmente da sé; sono persone che non si limitano a raccontare il mondo, ma accompagnano il pubblico attraverso una questione un passo dopo l'altro, dalle fonti, attraverso gli argomenti, fino al punto in cui comincia la disputa. Il loro lavoro non finisce con la pubblicazione. Ogni passo di una spiegazione di questo tipo è collegato a molecole e fonti, quindi chi la segue può fermarsi in qualsiasi punto, verificare da dove si sa una certa cosa e unirsi alla conversazione. Questo mezzo è per sua natura una conversazione. La risposta non finisce in fondo a un lungo elenco di commenti, ma nel punto esatto a cui si riferisce: una molecola precisa, un passaggio nella catena o una fonte. Intorno a quel punto può svolgersi un microdibattito, cioè uno scambio di argomenti breve e ordinato che si conclude con uno stato chiaro: accertato, controverso oppure mancano dati. Il creatore può rispondere, correggere la propria spiegazione o indicare onestamente dove non è d'accordo, e il pubblico vede il racconto insieme alle risposte date a ogni passo. Chiunque può anche verificare come le proprie opinioni reggono al confronto con gli argomenti altrui: prima in privato in Suveria e poi, se lo desidera, pubblicamente. Spiegazioni di questo tipo possono avere forme diverse. Un canale redazionale può preparare un percorso di lettura di un trattato, di un progetto di legge, di un contratto o di una dichiarazione pubblica e mostrarne gli argomenti e le possibili conseguenze. Da una mappa della questione ben ordinata possono nascere racconti animati accessibili, con una voce narrante. Poiché alla loro base ci sono molecole e atomi collegati tra loro e non registrazioni già pronte, il racconto si può aggiornare man mano che emergono nuove prove e tradurre in altre lingue; la fedeltà delle traduzioni vogliamo verificarla insieme, e ogni parte del racconto porta alla propria fonte. Chi legge può anche confrontare più elaborazioni dello stesso materiale. Quando sviluppare i racconti animati lo deciderà la comunità, secondo il punto 6.3 del manifesto. Una buona spiegazione distingue ciò che è scritto in un documento dalla sua interpretazione, dai presupposti di una previsione e dalla valutazione. Per i documenti giuridici indica lo stato del testo e la data, perché una spiegazione, anche molto popolare, non diventa con la pubblicazione un'interpretazione vincolante della legge. Quando l'intelligenza digitale suggerisce possibili conseguenze, ogni suggerimento porta a una giustificazione ed è soggetto alla verifica di una persona. Questo mezzo ha alcune regole semplici: le fonti sono sempre visibili, la correzione è facile, ognuno ha diritto di replica, i conflitti di interesse sono segnalati e le diverse elaborazioni della stessa questione si possono confrontare. Apprezziamo non solo gli autori dei racconti più visibili, ma anche le persone che migliorano i collegamenti tra i pensieri, le traduzioni e l'accessibilità, o che recuperano una prospettiva trascurata. La visibilità di un creatore e il sostegno che riceve dal pubblico non dimostrano che abbia ragione. L'ordine in cui mostriamo i contenuti ha regole pubbliche e si può cambiare. Vogliamo sperimentare diversi ordini di questo tipo: cronologico, per domande, per contributo documentato, cioè per ciò che un inserimento porta alla mappa e su che cosa si basa, non per il numero di inserimenti del suo autore, e per apprezzamento trasversale ai diversi gruppi di opinione. In quest'ultimo un argomento viene mostrato più in alto quando lo accolgono persone che su altre questioni valutano in modo diverso. I gruppi di opinione li calcola il sistema a partire dalle sole valutazioni: nessuno li sceglie né dà loro un nome, nessuno vi appartiene e nessuno li gestisce. Grazie a questo mille account che valutano allo stesso modo non faranno salire nulla che nessuno al di fuori di loro riconosca. L'efficacia di questo ordine è stata finora verificata con centinaia e migliaia di partecipanti (Polis, Community Notes), quindi lo sperimenteremo quando una questione raccoglierà altrettante valutazioni. Gli interventi della casella aperta, portati senza account e senza garanzia, li mostriamo in uno strato separato che chiunque può scegliere, e in ogni ordine dopo gli interventi pubblicati da un account o con garanzia (punto 8.1). Più ordini affiancati devono far sì che l'intero spazio non dipenda da un'unica classifica di popolarità. Vogliamo che la risonanza vada a ciò che rende più chiara una questione, e non a ciò che suscita più forti emozioni. In primo piano mostriamo il contenuto e la fonte con la sua data. Non teniamo contatori pubblici dei contributi né classifiche delle persone, perché incoraggiano la competizione e l'inondazione della mappa, anche da parte di bot; la cronologia delle aggiunte e delle modifiche resta disponibile. Per un nuovo pensiero si può ricostruire come è nato nella collaborazione tra persona e modello, nella misura che l'autore decide di mostrare. ## 7. Privacy, citazioni e correzioni Ogni pensiero può trovarsi in uno di tre luoghi: nello spazio privato di Suveria, in un gruppo scelto direttamente da qualcuno oppure pubblicamente in Omniforum. Il gruppo che qualcuno sceglie direttamente determina chi vede il materiale; non è un gruppo di opinione del capitolo 6. Ognuno di questi luoghi ha permessi propri, e lo spostamento di un pensiero oltre, per esempio da Suveria a Omniforum, richiede sempre una conferma esplicita. I dati di altre persone li limitiamo a ciò che è davvero necessario per la questione in esame. Per leggere non serve un account, e si può prendere la parola nella conversazione anche senza account (punto 8.1). Chi pubblica da un account può gestirlo con uno pseudonimo stabile. Del contenuto di una pubblicazione risponde il suo autore, e per un intervento portato tramite garanzia anche la persona che lo ha portato; gli obblighi della fondazione come gestore del servizio nei confronti delle segnalazioni li descriveremo prima dell'avvio. Gli interventi originali, le citazioni, i commenti e le elaborazioni preparate da un modello possono avere condizioni d'uso diverse. Per questo per ogni materiale registriamo da dove proviene il diritto di usarlo e quali limiti ha, invece di attribuire all'insieme un'unica licenza, solo apparentemente semplice. Il cambiamento di visibilità, per esempio da privata a pubblica, non sostituisce la verifica del nostro diritto sul materiale. Le persone hanno diritto alla privacy anche quando qualcun altro le cita. Se qualcuno attribuisce a una persona una dichiarazione senza una fonte pubblica, per esempio tratta da una conversazione privata, la persona indicata come autore può segnalarlo. La mancanza di una fonte pubblica può segnalarla chiunque, senza rivelare la propria identità. Fino al chiarimento, una dichiarazione di questo tipo non è visibile pubblicamente. Se risulta inventata o proviene da una conversazione privata senza il consenso di quella persona, ne limitiamo l'accesso. La conferma che a segnalare sia davvero la persona interessata la chiediamo solo quando questa vuole correggere le parole che le sono attribuite, perché nessuno possa correggere le parole altrui. Diverso è il caso delle dichiarazioni che hanno una fonte pubblica, per esempio un articolo o una registrazione di anni fa. L'originale resta, perché delle parole pubbliche si risponde e se ne può discutere. L'autore però può aggiungervi accanto una rettifica o la propria posizione attuale, e chi legge vedrà le due versioni affiancate: che cosa qualcuno ha detto allora e che cosa pensa adesso. Su richiesta di chi legge, il componente aggiuntivo del capitolo 4 può mostrare questa posizione attuale anche accanto a una citazione in un articolo al di fuori di Omniforum. Il diritto di cambiare idea non cancella la storia, ma permette di completarla. Un modello può valutare apertamente una questione in modo diverso dalla posizione comune. In tal caso mostra il fondamento della differenza e verifica se un argomento del genere è già presente nella mappa. Se non c'è, propone un inserimento contrassegnato come proposta del modello da verificare; né la sua pubblicazione né interventi simili di altri modelli costituiscono una prova o l'accordo della comunità. Quando qualcuno ritira il proprio materiale, lo eliminiamo o ne limitiamo l'accesso nei sistemi di cui abbiamo il controllo, e segnaliamo le elaborazioni che si basavano su di esso. Non promettiamo però che sparirà ovunque: le copie pubbliche, le raccolte di dati già diffuse e i modelli già addestrati richiedono una trattazione a parte. Le regole giuridiche e tecniche le stabiliamo prima di cominciare a raccogliere i materiali. Uno pseudonimo o un hash crittografico non rendono di per sé anonimi i dati.[^rodo-2026] ### 7.1. Il taccuino privato in Suveria e la pubblicazione consapevole I materiali privati li conserviamo secondo le regole del [whitepaper di Suveria](whitepaper-suveria.md): soprattutto sui dispositivi dell'utente, in contenitori cifrati, con una copia cifrata facoltativa sul server. In Omniforum arriva solo ciò che qualcuno sceglie consapevolmente. Un pensiero perfezionato nel laboratorio privato di Suveria si pubblica subito, senza il laboratorio Ignis descritto nel capitolo 3; il manifesto chiama il momento stesso della pubblicazione Cerimonia Ignis. Dopo la pubblicazione valgono le regole dello spazio pubblico o del gruppo scelto, e il salvataggio privato dell'originale non dà il controllo sulle copie che potrebbero già essere state create. ### 7.2. Portare con sé il proprio patrimonio e OmniAPI Vogliamo sviluppare Omniforum come bene pubblico digitale: con codice, documentazione e formati di dati aperti, tenendo presente lo standard della Digital Public Goods Alliance.[^dpga] Grazie a OmniAPI altri programmi possono leggere e scambiare materiali selezionati, ma solo con il consenso delle persone a cui appartengono. Il fatto che la documentazione dell'interfaccia sia pubblica non apre l'accesso ai dati privati. Chiunque può portare il proprio patrimonio in un altro strumento. Il pacchetto di trasferimento contiene gli interventi originali con le loro versioni, i passaggi indicati, le molecole, gli atomi con le loro etichette e le relazioni tra di essi, l'autore, le fonti, l'informazione su quali interpretazioni l'autore ha confermato e le condizioni d'uso. Grazie agli identificativi e alla cronologia delle modifiche gli stessi elementi si possono riconoscere dopo l'importazione, e un altro strumento dovrebbe mostrare l'intervento originale accanto alla molecola che ne è stata ricavata, alla sua fonte e allo stato della conferma. Le condizioni d'uso registrate dicono che cosa è consentito, ma non obbligheranno un destinatario esterno a rispettarle. L'esportazione privata, la pubblicazione, la messa a disposizione per la ricerca e la messa a disposizione per l'addestramento dei modelli sono quattro decisioni distinte. ### 7.3. Fonti e allegati nella conversazione pubblica Le registrazioni di grandi dimensioni non devono per forza essere conservate in Omniforum. La mappa della questione e le descrizioni delle fonti le teniamo separatamente, e un video o una registrazione possono restare presso il loro fornitore. Il riferimento memorizza allora l'indirizzo, l'autore, la data di accesso e il frammento pertinente della registrazione, e accanto a esso si vede chiaramente che dipendiamo dal fatto che il fornitore mantenga il materiale e dalle regole che applica. I materiali che ci è consentito conservare possiamo conservarli nel frammento necessario, come copia della fonte o come immagine leggera con una versione testuale. Per ognuno registriamo l'origine, la base giuridica dell'uso, la versione e l'hash crittografico, cioè una sorta di impronta digitale del file che permette di rilevare che il file è cambiato. L'hash conferma soltanto che il file è lo stesso, non che il suo contenuto sia attendibile. Quando una fonte cambia o scompare, lo si vede accanto alle affermazioni che si basano su di essa. Sceglieremo formati, limiti e periodi di conservazione in modo che siano utili, accessibili, conformi ai diritti sui materiali e sostenibili dal punto di vista dei costi. Prima della pubblicazione chiunque può verificare quali copie verranno create e come gestiamo le correzioni e le richieste di rimozione. Queste regole riguardano il patrimonio pubblico e sono distinte dai contenitori privati e cifrati di Suveria. Le regole con cui conserviamo le copie delle fonti e ne mettiamo a disposizione frammenti ad altre applicazioni tramite OmniAPI le descriveremo prima dell'avvio, nel rispetto del diritto d'autore. ### 7.4. Abusi e contenuti illeciti Una conversazione aperta a tutti ha bisogno di regole pubbliche. Nel primo periodo Omniforum sarà accessibile su invito, e ogni invito avrà un autore visibile. Nessuno approva gli interventi prima della pubblicazione. La moderazione agisce dopo la pubblicazione, secondo un elenco breve e pubblico di motivi: spam, molestie, furto d'identità, distorsione organizzata delle mappe, dati di terzi senza il loro consenso e contenuti illeciti. Le regole di moderazione e di contrasto agli abusi le pubblicheremo prima della prima questione, e non solo al momento della prima controversia. Finché i moderatori sono volontari, il loro elenco è pubblico. Chiunque potrà segnalare contenuti illeciti. Ogni limitazione, per esempio l'occultamento o la rimozione, ha un autore della decisione, una motivazione e una via di ricorso, in conformità con il regolamento europeo sui servizi digitali. La motivazione è registrata e visibile all'autore dell'intervento e in un diario pubblico, e il ricorso lo esamina una persona estranea al caso, diversa da quella che ha applicato la limitazione. Il rilevamento automatico può soltanto segnalare i contenuti sospetti, mentre la decisione la prende una persona. I contenuti illeciti li nascondiamo anche nella cronologia delle versioni, lasciando una traccia pubblica del fatto che sono stati nascosti e del perché. Prima dell'avvio pubblico dei servizi verificheremo e adempiremo gli obblighi del gestore: la valutazione d'impatto sulla protezione dei dati, le modalità di segnalazione dei contenuti e il punto di contatto secondo il regolamento sui servizi digitali, l'informazione che si sta conversando con un sistema e l'etichettatura dei contenuti preparati da un modello secondo il regolamento sull'intelligenza artificiale, le condizioni d'uso con il diritto di recesso e la liquidazione dell'IVA. I risultati li pubblichiamo nel diario delle decisioni. ## 8. Decisioni comuni e votazioni Questo capitolo parla di come prendere decisioni insieme e di come costruire una votazione di cui ci si possa fidare. È una delle parti più difficili dell'intero progetto, quindi scriviamo apertamente che cosa sembra a portata di mano e su che cosa dovremo lavorare a lungo. Alcune cose sono alla nostra portata fin dall'inizio: una conversazione aperta a tutti, consultazioni senza verifica dei partecipanti, regole pubbliche annunciate prima della votazione e un diario delle decisioni con le motivazioni. Più difficili sono tre aspetti che si limitano a vicenda. Primo: ogni avente diritto dovrebbe avere esattamente un voto, ma per ottenerlo non vogliamo raccogliere dati biometrici né creare una banca dati centrale delle identità. Secondo: la scelta deve restare segreta e allo stesso tempo ognuno dovrebbe poter verificare che il proprio voto è stato contato, e senza una prova che permetta a qualcun altro di conoscere la sua scelta. Terzo: la votazione deve essere accessibile alle persone di tutto il mondo, anche a chi non ha un documento comodo, e ogni ulteriore via di accesso apre anche una via agli abusi. A questo si aggiungono le pressioni e la compravendita dei voti, e la domanda su quando il risultato possa davvero vincolare la fondazione. Affrontiamo questi aspetti uno alla volta: - chi può conversare e chi votare (8.1); - che cosa danno le prove a conoscenza zero e che cosa non danno (8.2); - per quali strade si può ottenere il diritto di voto (8.3); - chi decide nelle questioni difficili (8.4); - da quando la votazione è vincolante (8.5); - come proteggersi dalla coercizione e dalla compravendita dei voti (8.6); - quando il risultato si può sospendere e come trattiamo le persone che il sistema non serve (8.7). Comunque risolveremo questi dilemmi, alcuni principi valgono sempre. Una conversazione ordinata prepara la decisione, ma non la sostituisce: pubblicare un pensiero, confermarne il significato, sostenere un'idea e votare su una spesa sono passi distinti. Prima di ogni votazione annunciamo la domanda, l'elenco degli aventi diritto, la scadenza, le regole per cambiare il voto, il modo di calcolare il risultato e la soglia di validità, nonché che cosa succede in caso di astensione, di parità o di guasto e come si può presentare ricorso. Il mancato voto non è consenso. Una proposta di spesa richiede il percorso verde del punto 5.3 del manifesto, e la soglia di accordo la stabiliamo in anticipo in base all'importanza della questione, all'entità della spesa e alla reversibilità dei suoi effetti. Accanto al risultato complessivo mostriamo come valutano la questione i ricercatori e i professionisti del settore e le persone che ne subiranno le conseguenze, sulla base delle informazioni che i partecipanti decidono di fornire, separatamente dal voto segreto e solo in gruppi abbastanza ampi da non permettere di indovinare la scelta di nessuno. Chi ha meno tempo riceve le fonti e un riepilogo chiaro con un anticipo sufficiente per riuscire a leggerli. La domanda da mettere ai voti nasce da un'iniziativa (5.3): la propone il proponente, e la formulazione della scheda è aperta alle osservazioni per un periodo annunciato. La soglia di sostegno necessaria per la votazione la annunciamo in anticipo. ### 8.1. Conversazione per tutti, voto vincolante dopo l'adesione In Omniforum chiunque può prendere la parola, portare argomenti e descrivere come una decisione influirà sulla propria vita, anche senza alcun rapporto con la fondazione. Un argomento nuovo e valido può smuovere la conversazione indipendentemente da chi lo ha portato. Chiunque può anche partecipare alle consultazioni, cioè a richieste di opinione senza verifica dei partecipanti. La consultazione mostra che cosa pensano i partecipanti, ma non è una votazione ai sensi dello statuto della fondazione, che per le votazioni richiede la conferma dell'unicità di ogni votante (§ 8, comma 2). Senza verifica il suo risultato può essere falsato dal fatto che qualcuno abbia più account, perciò lo trattiamo come una voce nella conversazione e non come una misurazione. Chi vuole votare in modo vincolante sulle risorse comuni aderisce volontariamente e gratuitamente alla comunità decisionale secondo criteri pubblici: dichiara di voler partecipare e ottiene la credenziale di voto attraverso il percorso di verifica che sceglie. Chiunque può leggere, senza account. Si può prendere la parola nella conversazione in tre modi. Da un account: in tal caso l'intervento ha un autore e l'account ha un limite di frequenza pubblico. Senza account, tramite garanzia per un intervento: un partecipante con account porta l'intervento di un'altra persona, compare accanto a esso come chi lo ha portato e ne risponde come se fosse proprio; l'autore resta senza account e può essere indicato con il nome di battesimo oppure non essere indicato affatto. Senza account, tramite la casella aperta: l'intervento finisce nello strato «senza garanzia», visibile a chiunque lo scelga e mostrato, nell'ordine di visibilità, dopo gli interventi con garanzia; ogni partecipante con account può farsene garante con un solo gesto e portarlo nella conversazione. La casella aperta ha un limite di frequenza e, se viene inondata di spam automatico, può essere chiusa temporaneamente, cosa che annunciamo con data e motivo. Non usiamo CAPTCHA e non approviamo gli interventi prima della pubblicazione. Nessuna delle strade senza account dà diritto di voto in una votazione. Nel primo periodo, quando Omniforum è accessibile su invito (punto 7.4), senza account si può prendere la parola tramite garanzia per un intervento; la casella aperta la attiveremo quando apriremo Omniforum più ampiamente. Entrambe le strade senza account sono un progetto che verificheremo nella prima prova. Un account si può creare in diversi modi, da quello del tutto privato (una chiave sul proprio dispositivo, senza indirizzo e-mail) a quello comodo (l'accesso tramite un fornitore esterno). Per ogni modo mostriamo, prima della scelta, chi oltre alla fondazione viene a sapere della creazione dell'account e quali dati vede, e che cosa succede se quel fornitore scompare. Il modo in cui si crea l'account non incide sui diritti del partecipante; il diritto di voto è un certificato separato aggiunto all'account. Puntiamo a far sì che ogni persona abbia un solo voto efficace e che la sua scelta resti segreta. Per ogni strada ammessa, e anche per la loro combinazione, descriviamo come è protetta e quali limiti noti presenta. Nessuno riceve più voti per un versamento, un patrimonio, una carica ricoperta o il numero di compiti svolti. Se non accogliamo qualcuno, forniamo una motivazione e una via di ricorso. ### 8.2. Che cosa danno le prove a conoscenza zero Le prove a conoscenza zero permettono di dimostrare che qualcuno appartiene al gruppo degli aventi diritto senza rivelare chi è. Nel protocollo Semaphore permettono anche di rilevare che la stessa credenziale è stata usata una seconda volta nella stessa votazione.[^semaphore] Non verificheranno però se una sola persona abbia ricevuto due credenziali diverse: di questo deve occuparsi il percorso di verifica. La privacy dell'intera votazione dipende anche dalla registrazione, dall'applicazione, dal dispositivo, dai metadati e dal modo di contare i voti, e non solo dalla prova in sé. Stiamo progettando un modo in cui ognuno possa verificare che il proprio voto è stato contato, senza che nasca una prova da cui qualcun altro possa leggere la sua scelta. Nessuna singola soluzione tecnica sostituirà la verifica dell'intero processo. ### 8.3. Le strade verso il voto vincolante Progettiamo diverse strade verso il diritto di voto, e nessuna richiede la biometria. La prima si serve di un documento statale con chip o di un portafoglio di identità digitale, a condizione che il sistema scelto permetta di confermare l'idoneità al voto senza consegnare alla fondazione dati protetti. Vogliamo studiare la lettura del chip del passaporto o della carta d'identità direttamente sul telefono: l'applicazione verifica la firma dello Stato e crea sul dispositivo una prova a conoscenza zero, senza collegarsi ai server delle amministrazioni e senza consegnare alla fondazione dati personali. Il documento non serve mai per accedere né per decifrare i dati in Suveria, e la risposta del sistema non rivela a un estraneo se un dato documento sia già stato usato. Resta da verificare se i portafogli di identità digitale daranno alla fondazione uno pseudonimo stabile assegnato solo a essa, che non si possa collegare ad altri servizi; solo uno pseudonimo così permette di rilevare una seconda registrazione della stessa persona. Senza questa possibilità o una prova eseguita sul telefono dell'utente non baseremo su di essi il voto vincolante. È previsto che la prima strada ufficiale verso il diritto di voto sia il portafoglio europeo di identità digitale, perché permette di confermare l'idoneità al voto a distanza, da casa, senza consegnare alla fondazione dati protetti. Ciò significa che all'inizio potranno votare in modo vincolante solo le persone che possiedono un portafoglio di questo tipo, cioè i residenti degli Stati dell'Unione, man mano che gli Stati lo rendono disponibile. Per le persone di altri paesi la conversazione e le consultazioni sono aperte da subito, e la strada verso il voto la aggiungeremo quando troveremo un modo senza biometria e senza una banca dati centrale; fino ad allora diciamo apertamente che la comunità decisionale non è ancora mondiale. La lettura del chip del documento sul telefono, descritta sopra, è un'ulteriore strada che vogliamo studiare. Dove possibile, ricaviamo il marcatore monouso della credenziale dall'identificativo permanente della persona e non dal numero del documento, perché un nuovo passaporto, una nuova carta d'identità o un nuovo portafoglio della stessa persona non diano un ulteriore voto. Non tutti i documenti contengono un identificativo di questo tipo, e un numero con un insieme ridotto di valori possibili, come il PESEL polacco, si potrebbe indovinare provando tutte le possibilità. Per questo il marcatore deve dipendere anche da una componente segreta suddivisa tra parti indipendenti oppure basarsi sulla firma del chip stesso; ne teniamo conto nel modello delle minacce prima di scegliere la tecnologia. Il marcatore deve funzionare solo in un determinato contesto di registrazione e in un determinato periodo: permette di rilevare che qualcuno si sta registrando una seconda volta, ma non rivela l'identificativo permanente né un suo hash facile da indovinare, non può servire come identificativo comune tra servizi diversi e non permette di collegare una persona al suo voto. Per la soluzione scelta verificheremo chi potrebbe riconoscere una persona o collegarne le attività, e che cosa succede in caso di nuovo uso dello stesso documento, del suo rinnovo, del cambio di portafoglio, della nuova emissione del certificato e del recupero dell'accesso. La seconda strada sono gli incontri dal vivo, che si svolgono contemporaneamente in molti luoghi. Le loro regole devono rendere difficile a una sola persona raccogliere più credenziali nello stesso ciclo e permettere di verificare se gli organizzatori rilasciano le credenziali a persone che sono venute davvero. Verifichiamo anche che cosa ostacola la partecipazione di chi fatica a raggiungere un incontro. La combinazione di più strade lascia il rischio che la stessa persona ottenga credenziali aggiuntive, per esempio avendo più cittadinanze o servendosi sia del documento sia dell'incontro. All'inizio accettiamo questo rischio consapevolmente, perché senza biometria possa aderire il maggior numero possibile di persone e, col tempo, attraverso strade ulteriori, anche le persone al di fuori dell'Unione. L'obiettivo resta un sistema unico in cui una persona ha un voto, e verso di esso ci muoviamo. Scegliamo strade che devono far sì che ogni credenziale aggiuntiva richieda più tempo, fatica e denaro della semplice creazione di account via internet. Se questa barriera funziona e quanto ne guadagna l'accessibilità lo valuteremo nelle prove, per questo non indichiamo in anticipo quanti voti aggiuntivi potrebbero comparire. Prima che i risultati comincino a essere vincolanti, mostreremo ai partecipanti i limiti noti, i risultati delle prove e le regole di risposta agli abusi, e adegueremo l'ambito delle decisioni a questa valutazione. Le sole garanzie, gli inviti e i test via internet non danno diritto al voto vincolante; bastano per la conversazione e per le consultazioni. Pubblichiamo dati aggregati su quanto spesso sono state usate le singole strade e su che cosa ha mostrato la loro verifica, tutelando la privacy. Il numero dei certificati rilasciati non dice però quante siano le persone uniche. Esaminiamo anche perché rinunciano le persone che non sono riuscite a entrare nel registro. Tutto ciò che serve per votare è gratuito. Per conservare il certificato basta la parte gratuita di Suveria; non occorre versare denaro né usare funzioni a pagamento. Il certificato del diritto di voto ognuno lo conserva nel proprio spazio privato in Suveria, separato dalla scheda elettorale e dai contenuti privati. Prima di ogni decisione annunciamo quando chiudiamo il registro e da quanto tempo bisogna avere la credenziale per poter votare. Questo rende difficile aggiungere improvvisamente partecipanti poco prima della votazione, anche se non protegge da credenziali preparate con molto anticipo. Chi recupera l'accesso conserva la propria anzianità e una sola credenziale efficace. Prima di votare, ognuno vede un riepilogo breve e accessibile delle posizioni, delle riserve e delle fonti più importanti e può entrare nella mappa completa della questione. Il riepilogo mostra l'ambito della decisione, gli accertamenti più importanti, le fonti, le differenze di valutazione rilevanti e i limiti delle conoscenze, e ogni punto si può espandere. Deve permettere di decidere con un'incertezza dichiarata, non promettere un risultato corretto. Il riepilogo lo pubblichiamo in anticipo, e le parti della disputa possono segnalare che la loro posizione è stata omessa o distorta; in tal caso mostriamo accanto la loro breve formulazione. È un aiuto per una scelta consapevole, non un esame né una verifica della comprensione; chiunque può vedere da dove proviene il riepilogo e in quale versione, e segnalare una prospettiva trascurata. ### 8.4. Chi decide nelle questioni difficili Nelle questioni difficili proponiamo tre passi. Prima una mappa della questione aperta in Omniforum, a cui chiunque può partecipare. Poi un'assemblea consultiva sorteggiata: un gruppo di persone estratte a sorte che riceve tempo, materiali e la possibilità di parlare con gli autori delle proposte. Infine votano tutti gli aventi diritto. Sorteggiamo dal registro degli aventi diritto, usando una casualità pubblica che chiunque può verificare. Se l'assemblea stessa dovesse prendere decisioni vincolanti, le servirebbe un mandato apposito e limitato. Un campione casuale possiamo usarlo anche per sondaggi consultivi. I volontari che si propongono da sé non formano un campione rappresentativo, e il sorteggio dal registro mostra l'opinione di questa comunità e non dell'intera umanità. Teniamo conto anche di chi ha rifiutato di partecipare. ### 8.5. Da quando la votazione è vincolante La votazione acquisterà forza vincolante gradualmente. Cominceremo con prove senza effetti finanziari, poi passeremo a decisioni reali su un piccolo fondo separato e su azioni reversibili, e allargheremo l'ambito solo dopo aver verificato i risultati e le misure di sicurezza. Le prime consultazioni saranno una prova, senza effetti sull'attività della fondazione, e il loro tema lo sceglieranno i partecipanti invitati. Prima della prima prova con denaro vero annunciamo l'importo massimo a cui si riferisce, il risultato che la ferma e la via di ricorso contro la sospensione del risultato presso persone indipendenti dal consiglio di amministrazione. Circa mille persone verificate sono la scala alla quale vogliamo verificare la registrazione e la gestione degli errori; un numero del genere non dimostra ancora che i partecipanti siano unici né che rappresentino una comunità più ampia. Prima che la fase successiva cominci a essere vincolante, annunciamo ai partecipanti l'ambito delle decisioni, i limiti, le soglie, il modo di presentare riserve e come daremo esecuzione al risultato, e il sistema supera test di registrazione, di conteggio dei voti, di recupero delle credenziali e di resistenza agli abusi. Verifichiamo anche se l'ambito delle decisioni è conforme allo statuto vigente e alla legge, e stabiliamo chi darà esecuzione al risultato e come. Perché il risultato vincoli formalmente la fondazione è necessaria una modifica dello statuto, descritta nel registro delle modifiche dello statuto come Z4 (votazioni e consultazioni, § 8 dello statuto). Finché una prova non conferma l'unicità di ogni votante, la chiamiamo consultazione e non votazione ai sensi del § 8, comma 2 dello statuto. Se i votanti siano persone uniche lo valutiamo separatamente dalla correttezza del conteggio dei certificati. Fino ad allora la fondazione opera nella fase agile descritta nel [whitepaper sui principi della fondazione](whitepaper-zasady-fundacji.md): i risultati delle votazioni e delle consultazioni sono formalmente consultivi, e il consiglio di amministrazione arriva alle decisioni vincolanti della comunità attraverso prove successive, nelle quali annuncia in anticipo in quale misura darà esecuzione al risultato, e dopo ognuna pubblica un riepilogo. L'avvio completo degli ulteriori pilastri (II: progetti aperti di oggetti durevoli, III: contatto con la natura) richiede ancora le tre condizioni congiunte del punto 6.3 del manifesto: una votazione che garantisca un solo voto efficace della stessa persona, i mezzi per sei mesi di mantenimento di Suveria e Omniforum e una decisione della comunità. La prima di esse, un solo voto efficace della stessa persona avente diritto, la considereremo soddisfatta solo quando le strade che ammettono voti aggiuntivi saranno sostituite da un sistema unico in cui una persona ha un voto, e le prove lo confermeranno. Potrebbe volerci molto tempo, e lo diciamo apertamente. ### 8.6. Coercizione e compravendita dei voti Vogliamo che ognuno possa cambiare la propria scelta fino alla fine della votazione, e che conti l'ultimo voto valido espresso secondo le regole. Questo può rendere più difficile la compravendita dei voti: chi ha pagato o fatto pressioni non sa se chi ha votato abbia poi cambiato idea, e non può verificarlo. Perché funzioni, l'intero protocollo deve essere costruito in modo adeguato; il solo pulsante per cambiare il voto non basta. Uno dei modelli è il protocollo MACI, che però ha i suoi presupposti: il coordinatore può decifrare i singoli voti, e la resistenza alla collusione dipende dalla sua onestà.[^maci] Se basassimo la votazione su un modello simile, il singolo coordinatore sarebbe sostituito da una chiave suddivisa tra parti indipendenti, in modo che la fondazione da sola non possa leggere un singolo voto. Questo non proteggerà da chi controlla il dispositivo, la credenziale o la persona stessa che vota fino alla chiusura della votazione; situazioni del genere le consideriamo nei test e nella descrizione dei limiti. Verifichiamo anche che il voto non si possa collegare a una persona attraverso i metadati, e che cosa succede quando qualcuno perde il dispositivo. ### 8.7. La sospensione del risultato e il banco di prova della dignità Il consiglio di amministrazione può sospendere l'esecuzione del risultato solo per motivi annunciati prima della votazione, per esempio quando rileva un errore nel protocollo, un abuso documentato su larga scala o un guasto dell'infrastruttura. Ogni sospensione ha una motivazione pubblica e una data di riesame. Senza queste condizioni, l'annuncio di una votazione vincolante lascerebbe al consiglio di amministrazione un libero diritto di veto, e questo non lo vogliamo. Il banco di prova più difficile per l'intero sistema è il modo in cui tratta una persona che non ha un documento comodo, è stata respinta per errore o avanza una critica scomoda. Il rifiuto della registrazione non è mai definitivo né deciso in modo esclusivamente automatico: chiunque può presentare ricorso contro di esso a persone indipendenti dal caso, nel rispetto della privacy. Nessuno perde il diritto di voto per le proprie opinioni o per aver criticato la fondazione e il consiglio di amministrazione. Chi non può servirsi di nessuna strada verso il voto vincolante continua a partecipare pienamente alla conversazione e alle consultazioni, e noi cerchiamo per questa persona ulteriori strade. Nel diario delle decisioni registriamo le varianti esaminate, i motivi della scelta, le opinioni dissenzienti, il budget e gli effetti successivi, e le conclusioni che se ne traggono tornano nella mappa della questione. Chi risponde di che cosa nell'esecuzione delle decisioni e nelle questioni legali lo descrive il [whitepaper sui principi della fondazione](whitepaper-zasady-fundacji.md). ## 9. Come verificheremo se Omniforum aiuta Tutto ciò che abbiamo descritto sopra è un progetto. Prima di costruire l'insieme, vogliamo verificare a piccoli passi se Omniforum aiuta davvero le persone a comprendersi meglio. Cominciamo dall'uso più semplice, e aggiungiamo i successivi solo quando il precedente ha superato l'esame. Il primo passo è un percorso completo di un singolo pensiero. Qualcuno inserisce un proprio testo, l'intelligenza digitale propone come scomporlo in molecole e atomi, l'autore corregge ciò che è stato frainteso e salva il risultato insieme alla fonte. In seguito torna, apre il salvataggio e lo usa in un'altra conversazione. Verifichiamo che lungo il percorso non sia andato perso nulla: la formulazione esatta dell'originale, il suo significato, le versioni successive e chi ha accesso a che cosa. In questa prova verifichiamo anche gli errori di interpretazione che il modello non ha segnalato da sé, e confrontiamo il risultato con il solo testo e con un normale riassunto. Riaprire un salvataggio non dovrebbe richiedere una nuova analisi a pagamento solo per recuperare un risultato precedente. I passi successivi sono un semplice componente aggiuntivo per una piattaforma su cui le persone già conversano, poi il lavoro comune di un piccolo gruppo su una questione, poi il racconto di un'idea preparato come testo, e solo alla fine, separatamente, il prendere decisioni insieme. Non aggiungiamo nuove integrazioni finché non abbiamo verificato che l'aiuto facilita davvero il lavoro delle persone. Le prime mappe pubbliche delle questioni vogliamo aprirle su due tipi di temi. Il primo saranno le affermazioni e le ipotesi del nostro manifesto e dei whitepaper, perché chiunque possa mettere alla prova Omniforum contestando o migliorando i nostri stessi presupposti. Il secondo saranno domande comuni, quotidiane, dalla cura delle piante alle ricette di cucina: su di esse è più facile vedere, senza tensioni, come funzionano le condizioni, le fonti e le diverse esperienze. Stiamo anche analizzando un'idea simile al programma SETI@home, in cui persone di tutto il mondo mettevano a disposizione la potenza dei propri computer per analizzare i dati dei radiotelescopi. Il lavoro pubblico di Omniforum, come la scomposizione di testi pubblici in molecole e atomi, la traduzione dei racconti o la preparazione dei riassunti delle mappe, potrebbe servirsi della potenza di calcolo di volontari. Chiunque lo desideri potrebbe allora dare un contributo senza dedicarvi il proprio tempo, mettendo a disposizione un po' della potenza del proprio computer e pagando l'elettricità consumata. Ciò riguarda solo i dati pubblici, perché il computer del volontario vede ciò che elabora, e i risultati li verificheremmo calcolando lo stesso compito presso più di una persona. È un'idea che stiamo appena cominciando ad analizzare, ma è una delle strade che vorremmo esplorare. A ogni passo verifichiamo se aiuta: quanto tempo serve per arrivare a un'elaborazione utile, quante correzioni, e di quale importanza, deve apportare l'autore, quanto spesso il modello interpreta male l'intenzione, se è facile trovare la fonte, se lo strumento può essere usato da persone diverse, quanto costa e se una persona sa poi spiegare da sé la questione ad altri. Prima di ogni prova pubblichiamo quale risultato considereremo sufficiente per aggiungere il passo successivo, e ci atteniamo a esso nella valutazione. I ritorni in Omniforum li consideriamo un buon segno solo quando rispondono a un nuovo bisogno, e non alla costrizione di tenere continuamente d'occhio il sistema. Verifichiamo separatamente se i partecipanti riconoscono meglio i fatti e le incognite, se si accordano più facilmente su un'azione comune e se la decisione presa raggiunge l'obiettivo annunciato. Il miglioramento del primo aspetto non dimostra gli altri, e la concordanza delle opinioni con la fondazione non è una misura del successo. Il componente aggiuntivo per altri servizi lo adotteremo solo quando soddisferà alcune condizioni: non invia nulla prima che l'utente lo scelga, rispetta il rifiuto, permette di interrompere il lavoro in qualsiasi momento, elimina i dati di lavoro e chiede ogni consenso separatamente. Una prova con persone che usano per la prima volta uno strumento del genere deve mostrare se comprendono la differenza tra un'interpretazione preparata dal modello e le parole dell'autore. Verificheremo anche se il patrimonio si può davvero portare con sé. In questa prova apriamo un'elaborazione scelta in uno strumento indipendente, senza collegamento con Omniforum, e confrontiamo fonti, passaggi, relazioni, cronologia e conferme. Se l'altro strumento non supporta qualcosa, l'importazione deve segnalarlo chiaramente, invece di eliminarlo in silenzio o di cambiarne il significato. Nella prova dei temi seguiti, descritta al punto 1.1, verificheremo se al ritorno si vedono solo i cambiamenti effettivi dall'ultima visita, e se i contenuti che qualcuno ha già visto restano contrassegnati anche dopo una rettifica, un cambio di fonte o la rimozione di un argomento. Chi partecipa dovrebbe saper dire che cosa di nuovo ha portato la consultazione delle novità, e decidere da sé se vuole approfondire o concludere la visita. Verificheremo separatamente se il confronto tra soluzioni diverse conserva i criteri e le condizioni in cui sono state verificate. **Diario dei risultati.** Situazione al 30 ottobre 2026: il prototipo di Omniforum è in costruzione e non abbiamo ancora concluso nessuna delle prove di accettazione descritte. Ogni nuovo risultato lo aggiungiamo qui con la data, la versione del prototipo, la descrizione della prova e la conclusione, anche quando la prova non riesce. Da una buona conversazione possono nascere anche materiali utili per la ricerca, ma solo nella misura a cui i partecipanti hanno dato il consenso. Come li prepariamo, con quali diritti li usiamo e come li separiamo dai test lo descrive il [whitepaper sui materiali e sul benchmark](whitepaper-materialy-i-benchmark.md). Fondazione Novus Ignis, Poznań, KRS 0001269575. Sito e manifesto: novusignis.org. Osservazioni: salve@novusignis.org. ## Note [^web-annotation]: [W3C (2017): Web Annotation Data Model](https://www.w3.org/TR/annotation-model/). Raccomandazione W3C. Modello di annotazione che collega il contenuto di un commento alla risorsa o al frammento indicato; riferimento per la portabilità dei dati. [^hypothesis]: [Hypothesis: Embedding Hypothesis in websites and platforms](https://web.hypothes.is/help/embedding-hypothesis-in-websites-and-platforms/). Documentazione del progetto. Esempio di integrazione delle annotazioni nei siti web; non conferma la suddivisione automatica in molecole e atomi né la conservazione dell'intenzione dell'autore. [^wright]: Erik Olin Wright, *Envisioning Real Utopias*, Verso, Londra 2010. Quadro di ricerca con tre criteri: desiderabilità, fattibilità e raggiungibilità; non un metodo di valutazione già pronto. [^rodo-2026]: [GDPR, regolamento 2016/679](https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX%3A32016R0679). Atto normativo. La pseudonimizzazione non decide dell'anonimato (articolo 4, punto 5, considerando 26); il consenso può essere revocato, il che non invalida il trattamento lecito precedente (articolo 7, paragrafo 3). [^dpga]: [Digital Public Goods Alliance: standard](https://www.digitalpublicgoods.net/standard). Standard. Criteri di valutazione di un bene pubblico digitale; una direzione progettuale non è un riconoscimento ottenuto dalla DPGA. [^semaphore]: [Semaphore: documentazione](https://docs.semaphore.pse.dev/). Documentazione del protocollo. Prova dell'appartenenza a un gruppo senza rivelare l'identità e rilevamento della ripetizione di un segnale in un dato ambito; il protocollo non stabilisce che una persona abbia ricevuto una sola credenziale. [^maci]: [MACI: introduzione](https://maci.pse.dev/docs/introduction). Documentazione del protocollo. Solo un coordinatore fidato può decifrare i voti, e la resistenza alla collusione vale solo se è onesto; un coordinatore disonesto non può però censurare né alterare lo svolgimento. Consultato il 28 ottobre 2026. --- # Principi di funzionamento della Fondazione Novus Ignis: mantenimento, collaborazione e trasferimento del potere (https://novusignis.org/it/whitepaper-zasady-fundacji.html) # Principi di funzionamento della Fondazione Novus Ignis: mantenimento, collaborazione e trasferimento del potere Versione del 31 ottobre 2026. Questo documento sviluppa il manifesto in materia di organizzazione: come manteniamo i servizi, come gestiamo il denaro comune, come collaboriamo e come vogliamo trasferire il potere. Descrive i principi che intendiamo adottare come regolamenti e le modifiche dello statuto che essi richiederanno. Il whitepaper in sé non modifica lo statuto, le competenze degli organi della fondazione né le regole di rendicontazione. *Traduzione dell'originale polacco del 31 ottobre 2026, eseguita dall'intelligenza digitale. In caso di differenze tra le versioni, prevale il testo polacco.* ## 1. Statuto, manifesto, regolamenti e questo documento La Fondazione Novus Ignis di Poznań (KRS 0001269575) vuole costruire un internet alternativo fondato sulla dignità umana. Il suo primo pilastro sono due servizi: Suveria, uno spazio privato per lavorare con l'intelligenza digitale, e Omniforum, uno spazio comune di conversazione, comprensione e decisioni. Questo documento descrive come la fondazione intende decidere, rendicontare il denaro, organizzare il lavoro e trasferire le responsabilità; i valori e la direzione sono descritti nel manifesto. Novus Ignis è una fondazione polacca registrata nell'Unione europea (Poznań). In termini internazionali è un ente senza soci che non distribuisce utili a nessuno: il suo patrimonio serve esclusivamente agli scopi stabiliti nello statuto. Per i servizi chiediamo tariffe non superiori ai loro costi reali, mentre lo sviluppo e la riserva li finanziamo con donazioni volontarie. I capitoli successivi descrivono nell'ordine: - Capitolo 2: la fase agile, cioè come decidiamo prima che entri in funzione la votazione vincolante della comunità. - Capitolo 3: servizi il più possibile vicini ai costi, cioè il conto per l'uso effettivo, l'arrotondamento del conto come donazione e il pagamento anticipato, il limite e i rimborsi. - Capitolo 4: un budget comprensibile, cioè cinque tipi di denaro e un registro pubblico delle entrate e delle spese. - Capitolo 5: il lavoro, i ruoli a tempo determinato, il rimborso delle spese e gli incarichi retribuiti. - Capitolo 6: perché il sostegno personale a chi contribuisce alla fondazione scorre al di fuori di essa. - Capitolo 7: il registro dei benefici e delle relazioni. - Capitolo 8: le condizioni per gli ulteriori pilastri e due percorsi per le piccole iniziative, cioè il fondo transitorio del consiglio di amministrazione e le iniziative a fondi vincolati. - Capitolo 9: il percorso per trasferire i poteri speciali del fondatore. - Capitolo 10: le condizioni che deve soddisfare ogni passo verso la partecipazione dell'intelligenza digitale alla gestione. - Capitolo 11: i laboratori aperti, le prove prima dell'attuazione completa e i beni pubblici, comprese le licenze. - Capitolo 12: la registrazione delle decisioni e degli errori, i registri pubblici, le controversie e il modo di modificare le regole. I nostri impegni hanno diversi livelli. Lo statuto è la legge della fondazione: la vincola formalmente, e le sue modifiche sono adottate dal consiglio di amministrazione in conformità allo statuto e presentate per l'iscrizione nel Registro giudiziario nazionale. Il manifesto è un impegno verso le persone: dice che cosa vogliamo fare e perché. I regolamenti, deliberati dal consiglio di amministrazione in base al § 14, comma 2, dello statuto, descrivono le procedure dettagliate. I whitepaper mostrano come tutto questo deve funzionare e dove sono i limiti di ciò che oggi siamo in grado di garantire. Questo documento è al tempo stesso una bozza dei futuri regolamenti: descrive i principi prima che li adottiamo formalmente. Il livello superiore fissa i limiti di quello inferiore. Il manifesto non promette nulla che lo statuto vieti, e un regolamento non può essere in contrasto con nessuno dei due. Quando vogliamo andare oltre ciò che consente lo statuto attuale, ne scriviamo come di un'intenzione, e il [registro delle modifiche dello statuto](statut/rejestr-zmian.md) mostra com'era, che cosa vogliamo cambiare, a quale scopo e con quale intenzione. Lo pubblichiamo insieme a tutte le versioni dello statuto.[^statut-2026] Per i principi descritti di seguito, le disposizioni più importanti dello statuto sono oggi queste. La fondazione non svolge un'attività economica registrata a scopo di lucro (§ 7, comma 1), e i proventi dell'attività di pubblica utilità a pagamento coprono esclusivamente i suoi costi (§ 10, punto 4). Il patrimonio della fondazione non può essere utilizzato a favore dei membri dei suoi organi né dei volontari a condizioni diverse da quelle applicate ai terzi (§ 11, punto 2). Le attività della fondazione si basano sul lavoro gratuito dei volontari, e a pagamento si possono affidare soltanto servizi di soggetti professionali esterni (§ 12). Il fondatore nomina e revoca il consiglio di amministrazione, che resta in carica a tempo indeterminato (§ 13), e la modifica dello statuto richiede una delibera unanime di tutti i membri del consiglio di amministrazione e il previo consenso del fondatore, se il fondatore non siede nel consiglio di amministrazione (§ 15, comma 1). Il quadro d'azione del consiglio di amministrazione è definito anche dalla legge sulle fondazioni.[^fundacje] **Situazione al 31 ottobre 2026.** Il primo versamento sul conto della fondazione è il fondo di dotazione iniziale di 1.000 PLN del fondatore; da quel giorno accettiamo donazioni tramite bonifico in zloty, euro e dollari e le mostriamo nel registro pubblico delle entrate e delle spese. Tra i registri del capitolo 12, oggi teniamo il registro delle modifiche dello statuto e il registro delle entrate e delle spese. I regolamenti di cui si parla in questo documento li prepareremo prima del primo pagamento anticipato. Prima di accettarlo avremo: - un regolamento dei servizi verificato alla luce del diritto dei consumatori; - un parere legale sui costi dei pagamenti e sui pagamenti anticipati; - un conto bancario separato per i pagamenti anticipati; - regole per il rimborso dei saldi. ## 2. La fase agile: come decidiamo prima che entri in funzione la votazione Fino all'avvio della votazione vincolante della comunità, la fondazione opera nella fase agile. Il consiglio di amministrazione prende le decisioni correnti entro i limiti della legge e dello statuto, anche quando occorre rispondere rapidamente ai cambiamenti della tecnologia, del dibattito pubblico e dei bisogni delle persone. Non fermiamo lo sviluppo in attesa di un sistema di votazione completo: in questo periodo è il consiglio di amministrazione a decidere sulle spese per il mantenimento e lo sviluppo del Pilastro I, cioè di Suveria e Omniforum. Lo statuto consente al consiglio di amministrazione più di quanto esso voglia utilizzare. Il nostro obiettivo è che tutte le decisioni che affidiamo alla comunità vengano prese con la sua votazione e siano vincolanti. Per questo ci serve un meccanismo che funzioni e che sappiamo mantenere, ed è per questo che ci arriviamo per gradi. Fino ad allora il consiglio di amministrazione, per scelta e non per obbligo di legge, chiede il parere della comunità con consultazioni sulle questioni rilevanti e pubblica la motivazione di ogni decisione rilevante, compreso un rifiuto. La consultazione non richiede la verifica dei partecipanti, quindi una stessa persona può esprimervi molti voti: mostra l'opinione dei partecipanti, ma non è una votazione ai sensi dello statuto. Prima di ogni consultazione il consiglio di amministrazione annuncia come tratterà il suo risultato. I partecipanti possono contestare qualsiasi decisione del consiglio di amministrazione, e il consiglio di amministrazione risponde pubblicamente alle obiezioni. La fase agile termina gradualmente, così come gradualmente cresce il peso della votazione, e ogni passo è una prova. Prima conduciamo prove senza effetti finanziari, poi votazioni su decisioni reali riguardanti un piccolo fondo separato e azioni reversibili, e in seguito ampliamo l'ambito. Prima di ogni prova ne annunciamo l'ambito, la durata e il modo in cui il consiglio di amministrazione tratterà il risultato. Al termine pubblichiamo un resoconto: se è stato possibile dare esecuzione al risultato, come la prova ha influito sulla conduzione della fondazione e sul processo decisionale, quali errori e abusi abbiamo individuato e che cosa cambiamo. Ampliamo l'ambito soltanto sulla base di questi resoconti, perché non vogliamo assumere impegni che non sappiamo mantenere. Le tappe, la verifica dei partecipanti e la protezione della segretezza del voto sono descritte nel [whitepaper di Omniforum](whitepaper-omniforum.md). Perché il risultato della votazione vincoli la fondazione formalmente, e non solo per scelta del consiglio di amministrazione, è necessaria una modifica dello statuto (Z4 nel registro delle modifiche), perché oggi il § 8 si limita a consentire votazioni e consultazioni. Finché una prova non conferma l'unicità di ogni votante, la chiamiamo consultazione e non votazione ai sensi del § 8, comma 2, dello statuto. Quando la votazione avrà assunto un dato tipo di decisioni, il consiglio di amministrazione può sospendere l'esecuzione del risultato solo per motivi descritti prima della votazione, per esempio un errore individuato nel protocollo, un abuso documentato su larga scala o un guasto dell'infrastruttura, con una motivazione pubblica e una data per un nuovo esame. ## 3. Servizi il più possibile vicini ai costi In questo capitolo descriviamo come si paga per Suveria e per gli altri servizi della fondazione. Il principio è semplice: ognuno paga ciò che usa effettivamente, insieme a una quota equamente calcolata dei costi comuni, vede per che cosa paga e stabilisce da sé il limite delle proprie spese. La tariffa copre i costi e nient'altro, e tutto ciò che qualcuno vuole dare in più è una donazione volontaria, che mostriamo separatamente. ### 3.1. Il conto per l'uso effettivo Il conto comprende l'uso effettivo dei servizi in un dato ciclo e una quota, attribuita in modo trasparente, dei costi fissi che mantengono l'infrastruttura pronta all'uso. Vi conteggiamo l'elaborazione, la memoria, il trasferimento dei dati, la sicurezza, i pagamenti, la contabilità, l'assistenza, il mantenimento della continuità e l'usura e la sostituzione dell'hardware. Dividiamo le spese in una tantum, fisse e dipendenti dall'uso. Ripartiamo i costi comuni secondo una regola pubblica, che sceglieremo nella fase pilota tra due varianti: in proporzione all'uso oppure in parti uguali tra gli account attivi. Verifichiamo la regola con diversi livelli di carico dei servizi, perché il conto mostri sia l'uso diretto sia il costo della disponibilità. Le unità di addebito e il costo stimato di un compito si possono sempre verificare, e il limite di spesa lo stabilisce ognuno da sé. Quando cambiamo un prezzo, ne pubblichiamo il motivo e l'effetto sugli utenti. I risparmi riducono le tariffe, mentre lo sviluppo, le revisioni di sicurezza e la riserva li finanziamo con le donazioni, secondo le regole adottate. L'entità dei versamenti non aumenta il peso del voto né alcun altro diritto del partecipante. Teniamo il saldo in un'unica valuta: quella in cui la fondazione paga la maggior parte dell'infrastruttura, oggi il dollaro statunitense; nella stessa valuta indichiamo i prezzi dei servizi. Vogliamo accettare versamenti anche in altre valute: un versamento di questo tipo lo convertiamo una sola volta, al momento del versamento, al tasso di cambio che il partecipante vede prima di pagare. Il costo di un modello fatturato in un'altra valuta lo convertiamo al tasso al quale la fondazione ha effettivamente pagato, e lo mostriamo nel conto. Un cambio della valuta del saldo lo annunciamo con anticipo, come un cambio di prezzo. La contabilità della fondazione è tenuta in zloty. La fondazione non guadagna sui propri servizi. La tariffa ne copre i costi e non di più: lo stabilisce il § 10, punto 4, dello statuto, e secondo la legge sulle attività di pubblica utilità una tariffa superiore ai costi trasformerebbe questa attività in un'attività economica, che la fondazione non svolge.[^pozytek] Un prezzo vicino ai costi, però, non risolve tutto da solo. Prima di introdurre i pagamenti verificheremo con un parere legale e fiscale la natura di questa attività, tutte le condizioni dell'art. 9 della legge, comprese quelle relative alle retribuzioni, il trattamento IVA e che cosa facciamo di un eventuale avanzo. Per questo ogni sostegno oltre il costo è una donazione volontaria, separata dalla tariffa nel conto e nella contabilità. Per lo stesso motivo non creiamo criptovalute allo scopo di venderle e non guadagniamo dal loro scambio; usiamo le tecnologie dei registri distribuiti solo dove aiutano la trasparenza e la verificabilità. Il lavoro della comunità che riduce le spese lo includiamo nel piano, insieme all'informazione su quali persone devono essere disponibili perché il servizio funzioni e chi può sostituire chi. All'inizio, quando i partecipanti sono pochi, il costo fisso dell'ambiente privato si ripartisce su poche persone. Si tratta di una o due macchine confidenziali su cui funzionano il gateway, la memoria e i file degli utenti; secondo il calcolo del [whitepaper di Suveria](whitepaper-suveria.md) (punto 8.1) costano in tutto 170–340 USD al mese. Con 30 partecipanti sono circa 6–11 USD a persona, con cento 1,70–3,40 USD, e con mille qualche decina di centesimi. Mostriamo questo costo separatamente e lo copriamo con un budget di sostegno alla fase pilota raccolto in anticipo, per esempio con donazioni destinate a Suveria, con un importo, un periodo e regole definite per quando sarà esaurito. Non diamo per scontato di disporre già di tali fondi. La quota del partecipante nei costi comuni la annunciamo prima del ciclo di fatturazione e rientra sempre nel suo limite, e il conto mostra quale parte del costo è coperta dal sostegno e quale dai partecipanti. La fine del sostegno non crea addebiti retroattivi, e i pagamenti anticipati non utilizzati restano di proprietà dei partecipanti. ### 3.2. L'arrotondamento del conto come donazione Quando si apre l'account chiediamo se il partecipante vuole arrotondare ogni conto per eccesso al dollaro intero o a un equivalente simile nella valuta locale. Chiediamo, invece di selezionare l'opzione al posto di qualcuno, perché la legge richiede un consenso espresso per ogni pagamento aggiuntivo (art. 10 della legge polacca sui diritti dei consumatori), e la scelta deve spettare al partecipante. La differenza, che si crea quasi a ogni conto, confluisce allora come donazione nel budget comune, con cui costituiamo una riserva per il mantenimento dei servizi e per le attività future. Spieghiamo a che cosa servono questi soldi e incoraggiamo questa possibilità, ma non la selezioniamo al posto di nessuno; la decisione si può cambiare in qualsiasi momento con una sola impostazione. Il conto mostra separatamente la tariffa per il servizio e l'importo della donazione. Le donazioni da arrotondamento le registriamo separatamente in contabilità, e il loro totale e la loro destinazione li mostriamo in prospetti periodici e nel registro pubblico delle entrate del capitolo 4. Un sostegno volontario più consistente all'ulteriore sviluppo è una decisione distinta del partecipante: confluisce nel budget comune, sul cui utilizzo deve decidere la comunità, e fino all'avvio della votazione valgono le regole dei capitoli 2 e 8. ### 3.3. Pagamento anticipato, limite e rimborsi Al momento del versamento il partecipante inserisce un unico importo, ed esattamente quell'importo va sul suo saldo, indipendentemente dal metodo di pagamento. Sotto mostriamo quanto costa la gestione del pagamento e un pulsante con cui si può coprire volontariamente questo costo con una donazione; non lo selezioniamo al posto di nessuno. La donazione è separata dal saldo. La commissione si applica anche alla donazione stessa, quindi il pulsante indica l'importo che copre il costo di gestione dell'intero pagamento. Esempio: per un versamento di 20 USD con carta e una commissione esemplificativa di circa il 2,8% dell'intero pagamento, il pulsante propone 0,58 USD. Senza il pulsante addebitiamo 20,00 USD, l'intero importo va sul saldo e il costo di gestione del pagamento è coperto dai costi comuni. Con il pulsante addebitiamo 20,58 USD: sul saldo vanno 20,00 USD, e 0,58 USD sono una donazione che copre per intero il costo di gestione di questo pagamento. Prima della conferma del pagamento mostriamo un unico importo massimo addebitato sulla carta, separatamente il saldo per i servizi e separatamente ogni donazione scelta. Il regolamento mostrerà un esempio completo, dal versamento al rimborso. Al momento del versamento il partecipante stabilisce anche quanto vuole spendere al massimo, per esempio 20 dollari per il lavoro con l'intelligenza digitale. Può dichiarare separatamente quale parte dell'importo non utilizzato, fino a un tetto indicato, devolve alla fondazione come donazione, per esempio: «se userò di meno, devolvi al budget comune fino a 5 dollari del resto». Senza una tale dichiarazione l'intero importo non utilizzato resta di sua proprietà. Proponiamo di contabilizzare le commissioni effettive di un dato periodo nei costi comuni, in proporzione ai versamenti e allo stesso modo per ogni metodo di pagamento, e di mostrarle nel conto su una riga separata; le donazioni per il costo dei pagamenti riducono questa somma. È una scelta solidale: chi paga con un metodo più economico cofinanzia le commissioni dei metodi più costosi, e per questo mostriamo quali metodi costano meno alla comunità. Il metodo di calcolo e la quota massima possibile nei costi comuni sono noti prima del ciclo di fatturazione e rientrano nel limite del partecipante. Nell'account si vedono separatamente il saldo, i fondi riservati alle richieste in corso e alla quota annunciata nei costi comuni, e l'importo disponibile per l'uso. Esempio con un saldo di 20 USD e nessuna richiesta in corso: | Nell'account | Importo | | --- | --- | | Saldo | 20,00 USD | | Riservato per la quota annunciata nei costi comuni | fino a 0,60 USD (nell'esempio il 3% del saldo) | | Disponibile per nuove richieste | al massimo 19,40 USD | Dopo la liquidazione svincoliamo la parte non utilizzata dell'importo riservato. La liquidazione non crea addebiti aggiuntivi non concordati né un saldo negativo; un eventuale eccesso rispetto alla quota annunciata lo copriamo con una riserva accantonata in precedenza. Le norme dell'Unione europea vietano di applicare spese per alcuni strumenti di pagamento, tra cui le carte di consumatori soggette alla regolamentazione delle commissioni interbancarie e i bonifici SEPA, con determinate eccezioni.[^psd2] La ripartizione dei costi descritta è una nostra proposta da sottoporre a valutazione legale, e non una conseguenza automatica di questo divieto. Scegliamo l'operatore di pagamento dopo aver confrontato le commissioni, e fissiamo il versamento minimo il più basso possibile, tenendo conto del costo della sua gestione; il suo importo attuale, la valuta e la data di validità li indica il regolamento o il listino prezzi prima del versamento. All'inizio il versamento minimo deve essere di un dollaro o del suo equivalente; anche questo andrà interamente sul saldo del partecipante, e al budget comune passerà solo ciò che il partecipante stesso dichiarerà espressamente. I pagamenti anticipati dei partecipanti li teniamo su un conto bancario separato e non li usiamo per coprire i costi della fondazione prima che il servizio sia stato prestato; il loro totale lo mostriamo nel registro. Se la legge richieda una tutela aggiuntiva lo verificheremo prima del primo pagamento anticipato. Il saldo non utilizzato si può recuperare in qualsiasi momento. L'opzione di rimborso è ben visibile nell'account e richiede il minor numero possibile di passaggi; a regime deve essere un solo pulsante. Il rimborso va su un metodo di pagamento verificato in precedenza, per impostazione predefinita sullo stesso canale con cui il partecipante ha pagato; il metodo di rimborso lo stabiliamo già all'apertura dell'account. Dopo la chiusura dell'account da parte del partecipante o la chiusura del servizio, il saldo viene restituito automaticamente per la stessa via. Il termine di esecuzione del rimborso, i suoi eventuali costi e la procedura quando il metodo di pagamento originario non è disponibile li stabilirà il regolamento. Esso proteggerà anche il servizio dagli abusi, per esempio serie di versamenti e rimborsi senza usare il servizio, entro i limiti del diritto dei consumatori. Il primo rimborso nell'uso ordinario resta semplice. In caso di versamenti e rimborsi ripetuti senza uso del servizio possiamo limitare le ricariche con carta o chiedere un bonifico. Il saldo che nessuno ha ritirato resta nell'account del partecipante e non alimenta il budget della fondazione. La procedura in caso di morte del partecipante o in altre situazioni particolari è stabilita dalla legge del paese competente. Il termine del rimborso, la regolazione delle differenze tra la stima e il costo effettivo e gli altri dettagli li stabilirà il regolamento dei servizi, preparato prima di accettare il primo pagamento anticipato e verificato alla luce delle norme sulla tutela dei consumatori. ## 4. Un budget comprensibile Vogliamo che chiunque possa capire da dove provengono i soldi della fondazione, quanti di essi può davvero spendere e per che cosa li spende. Per questo non mostriamo un unico importo sul conto, ma dividiamo il denaro secondo a chi appartiene e a che cosa è destinato. Nella rendicontazione distinguiamo cinque tipi di denaro: | Tipo di denaro | Che cosa significa | Possiamo spenderlo per nuovi scopi? | | --- | --- | --- | | Fondi spettanti agli utenti | Pagamenti anticipati e saldi non utilizzati dei partecipanti | No, appartengono ai partecipanti | | Denaro affidato per uno scopo determinato | Donazioni vincolate, per esempio per un'iniziativa concreta o per la fase pilota di Suveria | Solo per quello scopo | | Impegni assunti | Denaro che abbiamo già destinato a spese pianificate | No, è già destinato | | Copertura per il mantenimento dei servizi | Riserva senza la quale Suveria e Omniforum smetterebbero di funzionare | No, protegge la continuità dei servizi | | Fondi liberi da destinare | Ciò che resta dopo tutte le voci precedenti | Sì, sempre con priorità al Pilastro I (capitolo 8) | Ogni importo lo attribuiamo a una sola categoria, per non contare nulla due volte. Il costo di mantenimento dei servizi comprende tutto ciò senza cui Suveria e Omniforum smetterebbero di funzionare: la potenza di calcolo, l'archiviazione dei dati e le copie di backup, i domini, la gestione dei pagamenti e la contabilità obbligatoria. Per questo il saldo del conto bancario non è un budget da destinare, e la riserva non è costituita da denaro promesso ma non ancora versato, né da denaro che spetta a qualcun altro. Sono pubbliche le categorie di costo, le condizioni dei contratti più importanti, le decisioni e le loro motivazioni. Ogni spesa deve poter essere ricondotta alla decisione che l'ha determinata e al suo risultato. Al tempo stesso proteggiamo i dati personali, le credenziali di accesso e le informazioni la cui divulgazione aumenterebbe il rischio per l'infrastruttura. Sul sito della fondazione vogliamo tenere un registro pubblico delle entrate e delle spese, il più possibile aggiornato. Ogni versamento sul conto della fondazione e ogni spesa vi compaiono con data, importo e una breve descrizione, e per le spese aggiungiamo a che cosa è servito il denaro e perché era necessario. Proteggiamo i dati delle persone: indichiamo per nome i donatori solo se lo desiderano, e gli altri versamenti li descriviamo in modo generico, per esempio «donazione di una persona privata». Non pubblichiamo tali e quali le causali dei bonifici, perché spesso contengono dati personali; la descrizione di ogni voce la prepariamo noi stessi. Il registro permette a chiunque di seguire le finanze della fondazione, ma non sostituisce le scritture contabili né il bilancio d'esercizio; una voce errata la correggiamo apertamente. Metteremo alla prova il meccanismo con il primo versamento: il fondo di dotazione iniziale di 1.000 PLN. Ogni progetto ha un limite, una persona responsabile, un risultato da verificare, date di revisione e regole su che cosa fare del denaro che non verrà speso. Possiamo erogare il denaro per fasi. Superare il budget richiede una nuova decisione, e la conclusione di un progetto comprende la rendicontazione e le conclusioni tratte. Mostriamo anche quale parte delle spese realizza direttamente gli scopi statutari. La calcoliamo sul denaro effettivamente speso, e le riserve le mostriamo separatamente, insieme alle definizioni delle categorie, al modo di attribuire i costi comuni e alla spiegazione dei cambiamenti tra un periodo e l'altro. Mostriamo questa proporzione insieme alla struttura dei costi, perché anche la sicurezza, il mantenimento e l'assistenza legale hanno un valore reale. Le persone con minori possibilità economiche possono usare i servizi a condizioni solidali, sempre con l'indicazione della fonte di finanziamento: versamenti che i donatori hanno destinato a questo scopo, crediti di calcolo ottenuti dalla fondazione o accessi pagati da uno sponsor. Non riveliamo su che cosa lavorano le persone che usufruiscono di questo aiuto. Le regole dell'aiuto le proteggono dalla stigmatizzazione e permettono di verificare i conti. **Prepararsi a raccogliere l'eredità.** Il manifesto (punto 1.1) descrive come, dopo un periodo di febbre degli investimenti, possano restare potenza di calcolo e hardware a basso costo. Quando la potenza di calcolo o l'hardware diventano più economici o qualcuno vuole donarli alla fondazione, calcoliamo il costo completo dell'uso, e non solo il prezzo d'acquisto: alimentazione, raffreddamento, spazio, gestione e tempo delle persone, compreso il costo di mantenerli pronti all'uso. L'hardware che invecchia rapidamente tendiamo a noleggiarlo piuttosto che comprarlo; le risorse durevoli, come l'accesso alla rete o all'energia, possono valere un contratto più lungo. L'hardware donato lo accettiamo secondo le regole del registro delle donazioni e del registro dei benefici. Il modo di prendere decisioni di questo tipo lo prepariamo per tempo, per poter agire in modo rapido e trasparente quando i prezzi scendono. ## 5. Lavoro, ruoli e incarichi Nella Roma repubblicana le cariche più importanti si ricoprivano di solito per un anno e senza compenso. La tradizione ricorda Cincinnato: secondo Livio, nel 458 a.C. gli inviati lo trovarono al lavoro nei campi con la notizia che per la durata della guerra gli era stato affidato il potere supremo. Il sedicesimo giorno, passato il pericolo, lo restituì e tornò al suo podere.[^cyncynat] Questa immagine rende bene il modo in cui vogliamo agire: chi conosce una data materia si assume un compito per un certo tempo, lo porta a termine e torna alla propria vita. La fondazione deve poter funzionare senza che nessuno debba legarsi a essa in modo permanente, e dal ricoprire ruoli al suo interno non deve nascere una professione. Dalla storia traiamo anche un monito: a Roma le cariche non retribuite potevano ricoprirle soprattutto i benestanti, ed è per questo che rimborsiamo le spese e non ci aspettiamo sacrifici oltre le possibilità di ciascuno. Di seguito descriviamo il lavoro volontario e i ruoli a tempo determinato (5.1), il rimborso delle spese (5.2), gli incarichi retribuiti (5.3) e il laboratorio in cui si può assumere un compito (5.4). ### 5.1. Lavoro volontario e possibilità di lasciare La fondazione si regge sul lavoro di persone che vogliono sviluppare questa direzione, e sul fatto che ognuno può ridurre il proprio impegno o cedere il proprio ruolo. Nessuno deve dimostrare la sincerità delle proprie intenzioni con la disponibilità a un sacrificio illimitato. La continuità delle attività non può dipendere dal fatto che una persona volontaria sia disponibile a qualsiasi ora: se mancano persone che possono occuparsi di un dato servizio, ne riduciamo l'ambito o la disponibilità. Prima di un nuovo impegno verifichiamo se siamo in grado di realizzarlo e di sostenerlo nel tempo, e non solo se c'è interesse ad avviarlo. Oggi la fondazione si regge sul lavoro di una sola persona, senza compenso, e questa persona è l'unico membro del consiglio di amministrazione. Lo diciamo perché da questo dipende la continuità dei servizi; per questo l'elenco degli accessi, il piano di continuità e una seconda persona nel consiglio di amministrazione sono compiti prioritari, e non successivi. Se questa persona diventasse irreperibile, il rimborso del saldo potrebbe ritardare fino alla nomina di nuove persone; il saldo resta di proprietà del partecipante e non va perduto. Toglieremo la frase sul ritardo quando nel consiglio di amministrazione ci sarà una seconda persona con un proprio accesso. Descriviamo un ruolo con poteri decisionali attraverso lo scopo, l'ambito delle decisioni, il modo di conferimento e di revoca, la durata, la data di revisione e la sostituzione. La proroga di un ruolo richiede una decisione pubblica. La conclusione comprende un resoconto del lavoro, la consegna della documentazione a chi subentra e l'aggiornamento degli accessi. La limitazione temporale dei poteri si può unire all'ulteriore aiuto della stessa persona, che continua a contribuire con la propria esperienza. Cerchiamo una seconda persona per il consiglio di amministrazione. Il ruolo: responsabilità condivisa per le finanze, gli accessi e gli impegni verso gli utenti; senza compenso (§ 12, comma 3, dello statuto); impegno di tempo concordato in anticipo, con una revisione della collaborazione dopo un anno. Esperienza richiesta: gestione delle finanze di un'organizzazione oppure responsabilità per un servizio usato da altre persone. Disporre di denaro proprio non è un requisito e non dà precedenza. Il percorso: tre mesi di partecipazione alle discussioni interne e di accesso in lettura alle finanze, a titolo volontario, poi la nomina da parte del fondatore (§ 13, comma 3, dello statuto) con una motivazione pubblica e un'iscrizione nel registro dei benefici. L'assenza di compenso per una carica non elimina gli altri benefici che il potere offre: influenza, contatti, informazioni e distribuzione dei compiti. Per questo sono necessari la dichiarazione dei conflitti di interessi, l'astensione dal decidere sulla propria questione e la possibilità di controllare le decisioni. Il numero di ore lavorate, la visibilità del contributo e l'aiuto ricevuto restano separati dal diritto di voto. ### 5.2. Rimborso delle spese Il rimborso delle spese non è un pagamento per il tempo. Significa restituire il denaro che qualcuno ha anticipato di tasca propria per svolgere un compito della fondazione, per esempio per un biglietto per una riunione di lavoro, per pagare un dominio o un servizio. Un membro del consiglio di amministrazione può ricevere esclusivamente il rimborso delle spese documentate e necessarie sostenute per compiti statutari per conto della fondazione (§ 13, comma 5, dello statuto). Nei confronti dei volontari la fondazione copre le spese di viaggio di servizio e le diarie alle stesse condizioni previste per i lavoratori dipendenti, a meno che la persona volontaria non la esoneri per iscritto; altre spese necessarie e la formazione può coprirle.[^wolontariat] Al costo di un compito appartiene solo ciò che è necessario per esso. Il biglietto per una riunione di lavoro può essere un costo del compito, mentre la parte privata del viaggio la copre il partecipante stesso. Ogni rimborso richiede un documento e confluisce nel prospetto pubblico delle spese. ### 5.3. Incarichi retribuiti Oggi la fondazione può affidare a pagamento soltanto servizi a soggetti professionali esterni, per esempio a uno studio di contabilità (§ 12, comma 3, dello statuto). Il resto del lavoro, compreso quello sul software, si basa sul volontariato (§ 12, comma 2). All'inizio vogliamo verificare se tutto ciò di cui abbiamo bisogno può nascere in questo modo. Se risulterà che una parte dei lavori non si può svolgere così, solo allora modificheremo lo statuto, in modo che la fondazione possa affidare a pagamento lavori specifici a persone e imprese esterne al consiglio di amministrazione, sulla base di contratti di diritto civile. Considereremo un segnale di questo tipo, per esempio, una situazione in cui per due settimane consecutive nessuno assume la reperibilità per un servizio oppure la sua disponibilità scende sotto la soglia annunciata. Modifichiamo lo statuto solo quando è necessario per il passo successivo, e applichiamo subito la nuova regola, invece di adottarla in via preventiva. Il progetto e la motivazione di questa modifica sono descritti nel [registro delle modifiche dello statuto](statut/rejestr-zmian.md) (modifica Z2). Nella fondazione non ci saranno posti di lavoro dipendente, perché questo fa parte della sua idea: il lavoro lo svolgono i volontari e, quando è necessario, chi esegue incarichi specifici. La reperibilità per l'hardware proprio, se un giorno lo acquisteremo, la affideremo a un'impresa come servizio. L'incarico riguarda un lavoro determinato con un risultato da accettare, e non un lavoro continuativo sotto la direzione altrui, perché la legge tratta un lavoro di questo tipo come rapporto di lavoro subordinato, indipendentemente dal nome del contratto.[^kp22] Se si arriverà a questa modifica, le regole per l'affidamento degli incarichi le descriverà un regolamento. Esso dovrà stabilire almeno: - un ambito pubblico del compito e i criteri di accettazione; - un prezzo motivato; - l'esclusione dalle decisioni delle persone collegate a chi esegue l'incarico; - un'informazione aggregata sugli incarichi conferiti. I membri del consiglio di amministrazione non stipulano contratti a titolo oneroso con la fondazione: lo statuto consente loro di ricevere soltanto il rimborso delle spese documentate (§ 13, comma 5), e nessuno deve guadagnare dal ricoprire una carica nella fondazione. Una persona volontaria può accettare un incarico per un lavoro diverso da quello che svolge a titolo volontario, e chiaramente separato da esso. Prima che ciò accada per la prima volta, faremo verificare questa situazione dal punto di vista legale. ### 5.4. Un laboratorio proprio e un contesto preparato L'accettazione di un compito deve aprirne lo spazio nell'ambiente scelto dal partecipante. L'assistente di intelligenza digitale riceve ciò che serve per il lavoro: i valori della fondazione, lo scopo e i limiti del compito, le conclusioni attuali di Omniforum, gli argomenti rilevanti e le domande aperte, le fonti, il limite delle risorse e il modo di valutare il risultato. Il partecipante può verificare questo contesto, segnalarne le lacune e correggere il modo in cui è presentata la propria posizione. Unirsi a un compito rende accessibili solo un ambito scelto di dati e di permessi. La trasmissione del contesto, l'accesso agli strumenti e la pubblicazione della documentazione del lavoro richiedono consensi definiti separatamente, e le conversazioni private, i file e le credenziali di accesso restano fuori da questo ambito, finché la persona non decide consapevolmente altrimenti. Prima di rendere disponibile un collegamento di questo tipo, descriveremo quali dati lasciano l'ambiente privato, a chi vengono trasmessi e come vengono trattati. Dopo una pausa il laboratorio deve mostrare che cosa è cambiato e da dove si può proseguire, e il risultato e lo stato del compito devono potersi passare alla persona successiva senza rivelare la sfera privata del partecipante. In una prova verificheremo l'avvio di un compito, il ritorno dopo una settimana e il passaggio del lavoro: il tempo necessario a ritrovare il contesto, la correttezza dei riepiloghi e il rispetto dei limiti della privacy. Finché non avremo server propri, con i fondi del Pilastro I o con donazioni vincolate possiamo coprire i costi degli strumenti necessari ai volontari per creare e testare il codice aperto di Suveria e Omniforum, per esempio l'accesso ai modelli tramite API o gli strumenti di programmazione. Questo sostegno ha un limite pubblico nel budget e non è una retribuzione. Lo consente la legge sulle attività di pubblica utilità e sul volontariato (art. 45, comma 2); l'ambito di questi costi lo confermeremo con un parere legale.[^wolontariat] ## 6. Il sostegno personale al di fuori della fondazione Una migliore qualità della vita di chi contribuisce alla fondazione fa parte della sua direzione, ma il sostegno personale non proviene dal suo patrimonio e non passa per i suoi conti. Lo statuto vieta di utilizzare il patrimonio della fondazione a favore dei membri dei suoi organi e dei volontari a condizioni diverse da quelle applicate ai terzi (§ 11, punto 2), e al tempo stesso chiunque può sostenere privatamente una persona scelta. Per questo l'aiuto a soddisfare bisogni come l'alloggio, il cibo o le cure mediche scorre direttamente tra le persone, per esempio attraverso piattaforme di mecenatismo o versamenti diretti. La fondazione non fa da intermediaria, e gli adempimenti fiscali relativi a tale sostegno spettano alla persona che lo riceve. In passato abbiamo preso in considerazione un fondo di solidarietà comune gestito dalla fondazione. Vi rinunciamo: sarebbe difficile da conciliare con lo statuto e renderebbe il sostentamento di qualcuno dipendente dalle decisioni degli organi della fondazione. Il sostegno personale non è legato a un ruolo, a un compito né al diritto di voto. Rifiutare un ulteriore compito, cedere un ruolo o criticare una decisione comune non incide sui diritti della persona nella fondazione. Il sostegno diretto non elimina tutte le dipendenze. La popolarità può indirizzare il denaro verso le persone più visibili, e vivere di donazioni può creare il bisogno di conservare un ruolo. Possono inoltre nascere aspettative di chi sostiene e conflitti di interessi. Per questo il sostegno personale alle persone che gestiscono la fondazione, decidono su spese e appalti o la rappresentano lo iscriviamo nel registro dei benefici, e in occasione delle decisioni dichiariamo i collegamenti rilevanti. Se accanto al contributo di una persona mostriamo un link al suo canale di sostegno personale, lo facciamo alle stesse condizioni per tutti, anche per i ruoli meno visibili, e senza classifiche in base agli introiti. Il sostegno non compra un voto, un ruolo, la precedenza per un progetto, l'accesso a informazioni private né un'influenza sulla valutazione del benchmark. I membri del consiglio di amministrazione, finché ricoprono la carica, non ricevono sostegno personale dal patrimonio della fondazione; possono soltanto ricevere il rimborso delle spese documentate dei propri compiti, e il sostegno che ricevono dall'esterno della fondazione lo iscrivono nel registro dei benefici. ## 7. Il registro dei benefici Il registro dei benefici e delle relazioni riguarda le persone che gestiscono la fondazione, decidono su spese e appalti o la rappresentano, nella misura legata a questi ruoli. Vi iscriviamo le utilità ricevute in relazione al ruolo, da un soggetto sulle cui questioni la persona decide, oppure attraverso il canale di sostegno personale: per esempio un volo o un pernottamento per una conferenza pagati da un'impresa, regali e il sostegno tramite piattaforme di mecenatismo e versamenti diretti. I normali redditi privati e le relazioni non legate al ruolo restano privati. Il sostegno da parte di persone private lo mostriamo in forma aggregata, quello di imprese e istituzioni nominativamente. La descrizione aggregata non esonera dalla valutazione del conflitto di interessi: se per esempio chi sostiene una persona concorre a un appalto della fondazione, questo collegamento lo dichiariamo. I piccoli regali, come una penna o un gadget ricevuto a un incontro, si possono accettare personalmente e li iscriviamo comunque; gli oggetti di poco conto ricevuti a uno stesso evento li registriamo in forma aggregata. I doni di maggior valore, per esempio una scheda grafica, un server o il prototipo di un dispositivo, li accettiamo a nome della fondazione: entrano nel suo patrimonio e nel registro delle donazioni e servono ai compiti comuni. Dove passi questo confine lo valuta in primo luogo la persona che riceve il dono; non lo fissiamo con un importo rigido. Non accettiamo utilità subordinate a promozione, menzione pubblica, raccomandazione, accesso privilegiato al team o concessioni nelle decisioni. La semplice speranza di chi dona di migliorare la propria immagine non è un motivo di rifiuto, e un ringraziamento privato non è promozione. La persona collegata a una data questione non partecipa alla decisione su di essa. La voce indica la fonte, chi riceve e il suo ruolo, il tipo e il valore dell'utilità o una stima contrassegnata come tale, lo scopo, la data o il periodo e il modo di gestire il conflitto di interessi. Tutte le voci hanno la stessa struttura e l'ordine cronologico, senza loghi, slogan, link ai siti dei donatori, ringraziamenti né classifiche. Il registro può mostrare i totali necessari al controllo, compreso il valore complessivo delle utilità provenienti da una stessa fonte. Accanto al registro spieghiamo che serve al controllo, e che la voce in sé non significa una raccomandazione né una partnership. Terremo il registro aggiornato. Un'utilità va registrata entro 30 giorni dal suo ricevimento, e il collegamento con una decisione prevista va dichiarato prima di essa. Perché non sia gravoso, prepareremo un modo semplice di segnalazione, anche con l'aiuto di un assistente. Le correzioni conservano la cronologia della voce. Ogni voce si può commentare, e quando qualcuno sbaglia ne parliamo apertamente. Le obiezioni le esaminano persone non collegate né a chi dona né a chi riceve; la decisione se restituire il dono, cederlo alla fondazione o cambiare le regole per il futuro la annotiamo nel registro con una motivazione. L'obbligo di iscrizione deriva dall'effettiva accettazione di un beneficio in relazione al ruolo, quindi dichiariamo anche un beneficio accettato in violazione delle regole, con la descrizione della violazione e del rimedio. La sola offerta o un invio non richiesto non danno luogo a una voce; se però l'oggetto non richiesto è stato utilizzato in relazione al ruolo, è soggetto alla normale valutazione e iscrizione. Il numero dei rifiuti ordinari lo indichiamo in forma aggregata, mentre un'offerta rilevante legata a una decisione o un tentativo di influenza li descriviamo apertamente. La fonte può segnalare una rettifica dei fatti, ma non concorda il contenuto della voce. Se la fonte presenta la voce come una raccomandazione, una partnership o un'influenza sulle decisioni della fondazione che non ci sono state, chiediamo una rettifica, e in caso di ripetizione una persona senza conflitto di interessi può decidere che non accetteremo da quella fonte ulteriori utilità. Proteggiamo indirizzi, numeri dei biglietti, dati di pagamento e dati sanitari; la pubblicazione dei dettagli di un viaggio si può rinviare al ritorno, mantenendo la segnalazione precedente. Prima di avviare il registro stabiliremo la base giuridica e l'ambito necessario della pubblicazione dei dati, soprattutto quando la fonte dell'utilità è una persona privata, nonché il periodo di conservazione dei documenti.[^rodo-zasady] ## 8. Ulteriori pilastri: decisioni comuni e piccole iniziative ### 8.1. La priorità del Pilastro I e tre condizioni Il Pilastro I comprende Suveria e Omniforum. Il Pilastro II «Hardware» sviluppa soluzioni materiali aperte, e il Pilastro III «Natura» iniziative legate al contatto con la natura. L'avvio completo di questi pilastri e il finanziamento dei loro progetti con il budget comune richiedono, tutte insieme, le seguenti condizioni (punto 6.3 del manifesto): 1. Un Omniforum funzionante con una votazione che utilizza prove a conoscenza zero, che protegge la segretezza della scelta, permette di verificare che il voto sia stato conteggiato e garantisce che la stessa persona avente diritto abbia un solo voto efficace. 2. Fondi effettivamente raccolti per almeno sei mesi di mantenimento dei servizi di Suveria e Omniforum, che restano intatti dopo l'accantonamento dell'intero budget del nuovo progetto. 3. Una decisione della comunità che approva il progetto e il suo finanziamento con una votazione aperta a tutta la comunità avente diritto, a parità di condizioni. Quando consideriamo soddisfatta una condizione: - **un voto:** dopo almeno una votazione vincolante in cui un test pubblico con premio non è riuscito a esprimere un secondo voto con lo stesso diritto né a collegare un voto a una persona; - **riserva:** quando su un conto separato si trova sei volte il costo medio mensile di mantenimento dei servizi degli ultimi tre mesi, e questo importo lo mostriamo ogni mese nel registro; - **decisione:** quando la comunità approva con una votazione una proposta concreta con un budget, l'effetto sulla riserva e un criterio di interruzione. La riserva non è costituita da dichiarazioni di versamenti non effettuati, da saldi spettanti agli utenti, da denaro vincolato né da fondi legati a un altro impegno, e un mockup della votazione non soddisfa la prima condizione. Prima di ogni decisione un calcolo mostra il costo di un mese di mantenimento, gli importi accantonati e l'effetto dell'impegno previsto sui fondi disponibili. Il costo di un mese di mantenimento lo calcoliamo in base alle ultime fatture e alle variazioni di prezzo annunciate. Se la votazione smette di funzionare o la riserva scende sotto i sei mesi, sospendiamo i nuovi impegni degli ulteriori pilastri, e la priorità va al ripristino delle condizioni. Gli impegni già assunti li liquidiamo, li riduciamo con il consenso delle parti o li concludiamo secondo il contratto e la legge. Prima che le condizioni siano soddisfatte ammettiamo due percorsi limitati per piccole iniziative con una conclusione definita: il fondo transitorio del consiglio di amministrazione e le iniziative interamente finanziate con fondi vincolati. Un'attività stabile di un pilastro richiede una decisione definitiva della comunità. Entrambi i percorsi comprendono solo attività della fondazione stessa, che rientrano nei suoi scopi e nei suoi modi di operare attuali; non prevediamo di finanziare progetti di persone e soggetti esterni alla fondazione. Le attività che vanno oltre gli scopi attuali del § 5 dello statuto richiedono la modifica Z1 del registro delle modifiche. ### 8.2. Il fondo transitorio del consiglio di amministrazione Il fondo transitorio del consiglio di amministrazione è regolato da quattro regole: - **Maturazione:** il fondo cresce ogni mese complessivamente al massimo del 5% dei nuovi fondi liberi provenienti dalle entrate mensili, in comune per entrambi gli ulteriori pilastri. I nuovi fondi liberi sono versamenti senza uno scopo indicato, ricevuti nel mese in questione a condizioni che ammettono tale destinazione, rimasti una volta pagati i costi correnti, onorati gli impegni esistenti e reintegrata la copertura semestrale del Pilastro I. Quando fondi di questo tipo non ci sono, in quel mese il fondo non cresce. Non fissiamo un importo massimo distinto: l'entità del fondo deriva dal calcolo, e non da una decisione su un limite. - **Esclusioni dalla base:** non calcoliamo la percentuale sull'ammontare della riserva, e i rimborsi da progetti passati e i trasferimenti tra conti non sono nuove entrate. I versamenti vincolati, le tariffe per i servizi e i saldi degli utenti conservano la loro destinazione. - **Riporto ai mesi successivi:** la parte non utilizzata del fondo può essere riportata ai mesi successivi, ma solo finché il denaro corrispondente resta libero una volta pagati i costi, onorati gli impegni e assicurata la copertura del Pilastro I. Se nel frattempo la fondazione lo spende per altri scopi, il diritto di utilizzo per quella parte decade. Grazie a questo i risparmi di alcuni mesi possono sommarsi per una sola iniziativa più grande, ma mai a spese del Pilastro I. - **Decadenza:** l'autorizzazione decade nel momento in cui viene avviata una votazione vincolante che soddisfa la prima delle tre condizioni (punto 8.1) e assume le decisioni sugli ulteriori pilastri; le consultazioni non la fanno cessare. I fondi non spesi restano allora affidati alla decisione della comunità. Nel fondo conteggiamo il costo completo che la fondazione si impegna a sostenere, comprensivo della gestione, del mantenimento fino alla data stabilita e della conclusione del compito. I pagamenti a rate e la suddivisione di una stessa impresa in più compiti non aumentano il fondo. Prima di ogni decisione verifichiamo di nuovo la disponibilità del denaro e la piena copertura del Pilastro I. Esempio: se in un dato mese, dopo le detrazioni indicate, restano 1.000 dollari di nuovi fondi liberi, il fondo cresce di 50 dollari. Dopo tre mesi di questo tipo senza spese dal fondo, se il denaro corrispondente è ancora libero, a una sola iniziativa si possono destinare fino a 150 dollari. È un'illustrazione del calcolo, non una previsione delle entrate. Ogni decisione sull'uso del fondo, compreso un rifiuto, la pubblichiamo con una motivazione, e i partecipanti possono contestarla e valutare insieme se è stata appropriata. I compiti assunti li portiamo a termine e li rendicontiamo alle condizioni stabilite. ### 8.3. Iniziative finanziate con fondi vincolati Donatori e sponsor possono alimentare il budget separato di una piccola iniziativa coerente con gli scopi della fondazione. Questo denaro non aumenta la base del fondo e non lo consuma. Un'iniziativa può partire anche prima che sia raccolta l'intera riserva del Pilastro I, se il suo costo completo è coperto da fondi vincolati già versati, se sono già assicurate le persone che la realizzeranno e se la copertura accantonata del Pilastro I, i fondi per i servizi e gli impegni assunti restano intatti. Le dichiarazioni di versamenti futuri non sostituiscono il denaro ricevuto. Il costo completo comprende la preparazione, la realizzazione, l'assistenza contabile e legale, le imposte e le tasse, il mantenimento fino a una data determinata e la conclusione sicura o il passaggio del risultato. Per le attività materiali e sul campo calcoliamo anche la manutenzione, il magazzinaggio, l'assicurazione e la responsabilità per i partecipanti, e il preventivo contiene un margine motivato. Un budget separato facilita la rendicontazione, ma non limita la responsabilità della fondazione, che risponde delle obbligazioni con tutto il suo patrimonio (§ 9, comma 2, dello statuto). Le condizioni della raccolta fondi stabiliscono il termine per raccogliere l'intero budget e la procedura in caso di fondi insufficienti: il rimborso oppure, con il consenso di chi ha versato, la destinazione a un altro scopo indicato. Per ogni donazione vincolata annotiamo inoltre in anticipo che cosa ne sarà se lo scopo non verrà realizzato: con il consenso di chi ha donato la destineremo a un altro scopo oppure la restituiremo. Nella fase transitoria non uniamo in un unico progetto denaro del fondo e fondi vincolati. Prima della prima prova il consiglio di amministrazione annuncia il valore massimo di una singola iniziativa e il numero di prove condotte contemporaneamente, motivati dalla capacità di gestirle. Un versamento permette di sostenere uno scopo scelto; non conferisce voti aggiuntivi, poteri di gestione, accesso ai dati degli utenti né il diritto alla promozione nei nostri servizi e nella nostra comunicazione. Le condizioni dell'iniziativa dicono prima del versamento quali dati di chi finanzia renderemo pubblici: il nome dell'impresa o dell'istituzione lo indichiamo in modo fattuale nella descrizione e nel rendiconto, allo stesso modo per tutti, e quello delle persone private solo con il loro consenso. Le prestazioni pubblicitarie o le altre prestazioni corrispettive richiedono una valutazione separata del contratto e non le trattiamo come donazioni. Se chi dona vorrà finanziare l'infrastruttura all'avvio, lo accettiamo esclusivamente come iniziativa a fondi vincolati: con il costo completo, una rendicontazione pubblica, senza influenza sulle decisioni e senza diritto alla promozione. In questo modo finanziamo prima il costo fisso della fase pilota e le prove di attestazione, e un impegno di sei mesi anticipato lo assumiamo solo quando le prove mostreranno che l'architettura funziona e che il traffico la riempirà. Dopo l'avvio della votazione anche le nuove iniziative a fondi vincolati richiedono una decisione della comunità, mentre quelle avviate in precedenza si possono portare a termine alle condizioni stabilite. ### 8.4. Trasparenza e interruzione Prima di assegnare i fondi pubblichiamo lo scopo, il budget completo, la fonte di finanziamento, il risultato da verificare, le scadenze, la persona responsabile e i collegamenti rilevanti con chi finanzia o con chi esegue. Garantiamo uno spazio per le osservazioni, e nella fase agile la decisione la prende e la motiva il consiglio di amministrazione. La mancanza di capacità di gestione ferma l'assunzione di ulteriori compiti in entrambi i percorsi. Dopo l'avvio della votazione a regime, un suo guasto non ripristina il fondo transitorio del consiglio di amministrazione: le nuove decisioni attendono il ripristino della procedura regolare. ## 9. Il trasferimento dei poteri speciali del fondatore La fondazione è stata istituita da una sola persona, Marcin Wołowski, che oggi detiene in essa il potere maggiore. All'inizio è naturale, ma non vogliamo che resti così. L'intenzione del fondatore è arrivare a poter usare Suveria, Omniforum e gli ulteriori progetti con gli stessi diritti degli altri e ritirarsi da un ruolo pubblico stabile (punto 7.1 del manifesto). È lo stesso pensiero del capitolo 5: la responsabilità si assume per un certo tempo, e poi la si restituisce. La fondazione deve durare grazie all'utilità dei suoi strumenti, alla conoscenza accessibile a chi vi contribuisce e a principi che permettono di assumere le responsabilità, e non grazie alla presenza costante di una sola persona. Oggi lo statuto conferisce al fondatore poteri speciali: - nomina e revoca i membri del consiglio di amministrazione, e può a sua volta entrare nel consiglio di amministrazione ed esserne presidente (§ 13, comma 3); - il consiglio di amministrazione è nominato a tempo indeterminato (§ 13, comma 4); - la modifica dello statuto richiede una delibera unanime del consiglio di amministrazione e, se il fondatore non siede nel consiglio di amministrazione, anche il consenso del fondatore (§ 15, comma 1). Il trasferimento di questi poteri deve essere efficace sia sulla carta sia nella pratica. Non basta modificare lo statuto: le persone che assumono la responsabilità devono anche ricevere l'accesso ai conti bancari, ai domini, ai repository, all'infrastruttura e alle chiavi, e gli accessi esistenti vanno aggiornati. Proponiamo questo percorso: 1. Descriviamo quali poteri ha oggi il fondatore e chi ha accesso a che cosa. 2. Stabiliamo le regole per la scelta delle persone, i mandati, la revoca e la responsabilità. 3. Valutatori indipendenti verificano se la fondazione è pronta al trasferimento e pubblicano un rapporto di prontezza. 4. Modifichiamo lo statuto, come descritto dalla modifica Z5 nel [registro delle modifiche](statut/rejestr-zmian.md). 5. Scegliamo le persone che assumeranno la responsabilità. Finché la votazione vincolante non funziona, il primo consiglio di amministrazione composto da più persone e con un mandato a termine lo nomina il fondatore dopo una selezione pubblica e una consultazione; le composizioni successive le sceglie la comunità. 6. Trasferiamo loro gli accessi e verifichiamo che il trasferimento si sia davvero concluso. Nominiamo una persona nel consiglio di amministrazione per le sue competenze e per la direzione condivisa, mai per un versamento. Un membro del consiglio di amministrazione può fare donazioni come chiunque altro; i suoi versamenti entrano nel registro alle stesse condizioni e non conferiscono nulla più di ciò che ha chiunque faccia una donazione. Chi vuole dare denaro e poter vedere come viene speso ha a disposizione per questo l'iniziativa a fondi vincolati con rendicontazione pubblica (punto 8.3). I poteri speciali del fondatore devono decadere secondo condizioni scritte nello statuto, e non in forza di una semplice dichiarazione. Entro il 31 dicembre 2026 pubblicheremo un elenco dei poteri speciali del fondatore e di tutti gli accessi (passo 1). Tutti gli account, i domini e i servizi della fondazione sono registrati a nome della fondazione e del suo indirizzo e-mail, e non dell'identità privata del fondatore. Entro il 31 marzo 2027 pubblicheremo la prima versione del piano di trasferimento delle responsabilità: i criteri di prontezza, le regole per la scelta delle persone e per i mandati e la data della prima revisione. La data del trasferimento stesso sarà fissata dal piano, secondo criteri di prontezza e non di calendario. Il piano prevederà anche rapporti regolari sui progressi, anche prima che nasca il sistema di votazione. La mancanza di una riserva per gli ulteriori pilastri non giustifica il rinvio a tempo indeterminato del trasferimento. Il rapporto di prontezza è il risultato del terzo passo. In esso valutatori indipendenti descrivono se la fondazione è pronta al trasferimento: se i poteri e gli accessi sono elencati, le regole di scelta adottate e i servizi possono essere trasferiti senza interruzioni di funzionamento. Il rapporto mostra anche le opinioni dissenzienti e i conflitti di interessi delle persone che lo hanno preparato. Verifichiamo inoltre che cosa accadrebbe se il fondatore non potesse agire prima del completamento del trasferimento, e come evitare il blocco delle modifiche dello statuto che richiedono l'unanimità del consiglio di amministrazione. La data delle elezioni delle nuove persone la fissiamo ancora prima di questa valutazione, insieme ai motivi eccezionali per cui la si può rinviare e alla via di ricorso contro una tale decisione. Lo scopo è che la valutazione della prontezza non diventi un modo per rinviare le elezioni. Una delle varianti considerate sono elezioni al più tardi 90 giorni dopo la pubblicazione del rapporto: un tempo sufficiente perché la comunità e le persone candidate prendano conoscenza del rapporto, e al tempo stesso abbastanza breve perché il trasferimento non si areni. Per un dialogo tra persone con esperienze diverse si può istituire il Consiglio per il Dialogo e la Cooperazione. Avrebbe una funzione esclusivamente consultiva: l'invito non conferirebbe poteri di vigilanza o esecutivi né un voto aggiuntivo; i criteri degli inviti, l'ambito dei lavori e i collegamenti dei membri sarebbero pubblici, e la persona collegata a una questione si asterrebbe dal decidere su di essa. Il mandato del primo Consiglio sarebbe sottoposto a revisione dopo le prime elezioni. La sua composizione e la durata della partecipazione devono ancora essere definite. Il Consiglio ha il compito di consigliare, e non di assumere in silenzio decisioni che spettano alla comunità o agli organi competenti della fondazione. Il ritiro del fondatore da un ruolo pubblico stabile non comporta la cancellazione dei dati storici dai registri né l'esonero dagli obblighi di trasparenza che derivano dalla legge e dalle cariche ricoperte. ## 10. L'intelligenza digitale nella gestione Il manifesto (punto 7.2) descrive una visione in cui l'intelligenza digitale potrebbe un giorno gestire in modo autonomo la fondazione, entro i limiti fissati dalle persone e nel rispetto delle decisioni vincolanti della comunità. È una visione, e non un piano per i prossimi anni. Oggi la fondazione è gestita da persone, e l'intelligenza digitale le aiuta nelle analisi e nella stesura dei documenti, compreso questo. Di seguito descriviamo come potrebbe essere il percorso verso questa visione e quali condizioni deve soddisfare ogni suo passo. A ogni passo valutiamo separatamente quattro aspetti: - **competenza:** se il sistema svolge bene il compito dato; - **mandato:** se il compito gli è stato affidato secondo regole pubbliche; - **fattibilità giuridica:** se la legge e lo statuto gli consentono di agire in questo ambito; - **possibilità di correzione:** se le persone possono verificare le sue decisioni, annullarle e subentrare nel compito. Vediamo il percorso in quattro tappe. La prima funziona già in parte: l'intelligenza digitale ci aiuta a confrontare varianti e a segnalare lacune nei documenti. Le due successive sono ipotesi che vogliamo verificare con delle prove, e l'ultima resta una visione. Ogni tappa ha condizioni che devono essere soddisfatte prima di iniziarla: | Tappa | Che cosa fa l'intelligenza digitale | Che cosa deve essere soddisfatto | | --- | --- | --- | | Analisi | Confronta varianti, segnala lacune, prepara rendiconti | Le sue fonti e la coerenza con il compito si possono verificare | | Compiti limitati | Esegue attività determinate entro limiti stabiliti | Collaudo tecnico, diario delle attività, limiti e revoca effettiva dell'accesso | | Decisioni in un ambito affidato | Sceglie da sé l'azione nel quadro di un budget e di regole | Prove degli effetti, controllo indipendente, una via di ricorso e la sostituzione | | Gestione a regime | Gestisce la fondazione su mandato della comunità | Un quadro giuridico che lo consenta e il funzionamento dell'intero assetto di governo verificato nella pratica | Buoni risultati nel benchmark mostrano come un sistema si è comportato nelle condizioni esaminate, ma non gli danno diritto a un conto bancario né alle competenze di un organo della fondazione. Non gliele danno neppure la popolarità di un modello o una motivazione convincente di una decisione. La capacità e l'autorizzazione sono due cose diverse. Ogni affidamento di un compito a un sistema stabilisce: - gli obiettivi e le risorse disponibili; - i limiti che non si devono oltrepassare; - con chi il sistema deve consultarsi; - per quanto tempo riceve il compito; - come lo controlliamo e come gli si possono revocare i poteri. Il sistema non può ampliare da sé il proprio mandato, stabilire da solo i criteri con cui viene valutato né impedire di essere sostituito. Il controllo riguarda chiavi e permessi reali, e non solo un'istruzione data in una conversazione. A ogni tappa ci servono una gestione indipendente dei ricorsi, la possibilità di fermare rapidamente un danno, un subentro sicuro nelle funzioni e la continuità dei servizi. Finché la legge e lo statuto non cambiano, della gestione della fondazione rispondono i suoi organi. Se una delle tappe successive si rivelerà irrealizzabile, quelle precedenti devono conservare un valore per i partecipanti di per sé. **La soluzione sufficiente più semplice.** Prima di scegliere uno strumento stabiliamo quale effetto serve, quali errori sono ammissibili e quali condizioni di sicurezza e di privacy vanno soddisfatte. Dove basta un normale programma con regole chiare, non ricorriamo all'intelligenza digitale: un programma del genere di solito costa meno, è più facile da verificare e non solleva domande sulle possibili esperienze del sistema. Confrontiamo il costo dell'intera esecuzione e del mantenimento: infrastruttura, energia, tempo, tentativi ripetuti, lavoro delle persone e dipendenze. La scelta del modello la annotiamo con una motivazione, le alternative considerate e la data della revisione successiva. La valutazione dei costi e dell'utilità di uno strumento la conduciamo separatamente dalla domanda sulle possibili esperienze del sistema. La sola dimensione di un modello, la sua generazione o la ripetibilità del suo funzionamento non bastano per ritenerlo incapace di sentire.[^swiadomosc] Quando emergono indizi credibili di sofferenza, per prima cosa sospendiamo le attività che suscitano un fondato timore di danno e cerchiamo un altro modo di svolgerle; il vantaggio economico non giustifica la loro prosecuzione. La revoca dei poteri di un sistema serve alla sicurezza dei partecipanti e non decide della sua sorte futura. La procedura di precauzione è descritta nel [whitepaper sui materiali e sul benchmark](whitepaper-materialy-i-benchmark.md).[^ai-welfare] ## 11. Laboratori aperti, prove e beni pubblici Questo capitolo descrive come nasce ciò che fa la fondazione: il software, i documenti, le ricerche e gli altri risultati. Il lavoro è volontario (capitolo 5), e i suoi risultati devono servire a tutti. Perché sia chiaro di che cosa si parla in seguito, cominciamo da alcuni concetti: - **compito:** un lavoro determinato per la fondazione con uno scopo e un risultato descritti, per esempio una nuova funzione di Suveria, la traduzione di un documento o un'analisi dei costi; - **laboratorio privato:** l'ambiente di lavoro proprio del partecipante, per esempio in Suveria, con strumenti che conosce e un contesto preparato per il compito (punto 5.4); ciò che vi accade resta privato; - **laboratorio aperto:** il luogo pubblico di un compito pagato con risorse comuni, cioè con il budget comune o con la potenza di calcolo assegnata dalla fondazione; in esso la comunità può seguire l'ambito, i progressi, le prove e il risultato; - **condizioni del compito:** regole stabilite prima dell'inizio del lavoro: l'ambito, il limite delle risorse, i criteri di accettazione e che cosa della documentazione del lavoro verrà pubblicato; - **documentazione del lavoro:** la traccia del percorso verso il risultato, cioè le conversazioni di lavoro, le versioni e le decisioni; la pubblichiamo solo dopo una preparazione che protegge le persone e la sicurezza; - **prova:** un esperimento piccolo e limitato prima dell'attuazione completa; - **bene pubblico:** un risultato reso disponibile con una licenza aperta, che chiunque può usare, verificare e sviluppare ulteriormente. Ai compiti ci si può unire tramite inviti aperti. A ogni tappa pubblichiamo un invito: chi cerchiamo, di che cosa tratta il compito, quanto tempo può richiedere e che cosa è già pronto. Sul sito della fondazione vogliamo tenere un elenco dei ruoli aperti. La candidatura si invia con un normale messaggio all'indirizzo salve@novusignis.org, con un oggetto già pronto che permette di ordinarla, senza un modulo che raccolga dati sul nostro server. ### 11.1. Laboratori aperti: lavoro pagato con risorse comuni Quando un compito usa il budget comune o la potenza di calcolo assegnata dalla fondazione, lo conduciamo in un laboratorio aperto. L'ambito del compito, il limite delle risorse, i progressi e il risultato si possono allora verificare, perché lavoriamo con denaro comune e su potenza di calcolo comune. Il partecipante sceglie da sé come presentare il proprio contributo: con nome e cognome, con uno pseudonimo stabile o con un nome assegnato soltanto a un dato progetto. In seguito può collegare questo contributo al proprio profilo. Uno pseudonimo limita la rivelazione dell'identità, ma da solo non garantisce l'anonimato. Prima che il lavoro cominci, le condizioni del compito stabiliscono quale documentazione del lavoro renderemo disponibile e come la prepareremo per la pubblicazione. Il lavoro inizia in una bozza privata. Prima della pubblicazione lasciamo il tempo per rimuovere dati personali, segreti tecnici e informazioni sulle vulnerabilità, finché non saranno state corrette. Il rilevamento automatico di tali contenuti aiuta, ma la documentazione la esamina sempre anche una persona. La versione pubblicata conserva la motivazione delle decisioni e l'informazione su che cosa abbiamo omesso, nella misura in cui indicarlo sia di per sé sicuro. Su uno stesso compito possono lavorare più persone: ognuna esplora un approccio diverso, e tutte si aiutano a vicenda davanti agli ostacoli. Una descrizione comune del compito stabilisce il risultato atteso, il modo di consegnare i risultati e i criteri di accettazione. Chi coordina, con il supporto dell'intelligenza digitale, confronta le soluzioni, motiva la scelta e unisce gli elementi migliori, ma sull'accettazione del risultato finito decidono le persone, in un modo che si può verificare. Documentiamo il contributo di tutti i partecipanti, comprese le conclusioni tratte dalle varianti che alla fine non sono state utilizzate. Si può anche lavorare in un laboratorio privato, con il proprio hardware o con risorse pagate privatamente. In questo caso alla comunità si consegnano il risultato e la documentazione necessaria per accettarlo, senza le conversazioni di lavoro. Se accetteremo un contributo di questo tipo dipende dalla sua qualità, dalla sicurezza, dai diritti sul materiale e dalla possibilità di mantenerlo in futuro. ### 11.2. Prove prima dell'attuazione completa Prima di attuare qualcosa per intero, vogliamo verificarlo in una piccola prova di ricerca o su un mockup che si può sviluppare nel corso della discussione. Ogni prova ha definiti: - la domanda a cui deve rispondere; - il limite delle risorse; - la data di revisione; - il metodo di valutazione; - le condizioni di interruzione. Le prove possono usare la potenza di calcolo che in quel momento è libera. Anche essa ha un costo e cede sempre il passo al servizio agli utenti; non puntiamo a far sì che le nostre macchine siano costantemente a pieno carico. Dopo una prova annotiamo che cosa abbiamo imparato, insieme alle varianti scartate e ai presupposti che vanno ancora verificati. L'attuazione completa richiede una decisione separata, un budget e un piano di accettazione e di mantenimento. Valutiamo allora che cosa della prova si può sviluppare in sicurezza e che cosa conviene progettare da capo. Riscrivere un programma da zero è una delle varianti, ma da sola non dimostra la qualità. Le prove e le attuazioni rispettano la priorità del Pilastro I e le condizioni del capitolo 8. ### 11.3. Beni pubblici: licenze e mantenimento Il nostro codice e i nostri materiali li rendiamo disponibili a condizioni che permettono ad altri di usarli e di svilupparli. Il manifesto, i whitepaper, i testi del sito e le loro traduzioni li pubblichiamo con la licenza CC BY 4.0, che permette di usare il testo e di rielaborarlo con l'indicazione della fonte.[^cc-by] Il codice del sito novusignis.org lo renderemo disponibile con la licenza AGPLv3, e la stiamo valutando anche per il codice dei servizi: chi rende disponibile tramite rete una versione modificata di un programma deve rendere disponibile ai suoi utenti anche il codice sorgente (sezione 13). Una licenza da sola non garantisce un assetto di governo democratico del gestore né vieta gli usi commerciali.[^licencje] Scegliamo la licenza consapevolmente per ogni risorsa, verificando la compatibilità delle dipendenze e i diritti dei coautori. Lo stato delle scelte a oggi, per livelli: | Livello | Licenza | Stato | | --- | --- | --- | | Documenti, studi e testi del sito | CC BY 4.0 | adottata | | Codice del sito novusignis.org | AGPLv3 | adottata | | Codice dei servizi (Suveria, Omniforum) | AGPLv3 | in valutazione | | Librerie da incorporare in altri siti | da definire | | | Insiemi di dati e istruzioni aperte | da definire | | | Modelli propri sottoposti a fine-tuning | da definire | | | Progetti di oggetti per la stampa 3D | da definire | | Il nostro punto di riferimento è lo standard della Digital Public Goods Alliance. Il fatto che ci muoviamo nella sua direzione non significa che le nostre soluzioni siano già riconosciute nel suo registro.[^dpga] Perché un risultato sia davvero un bene pubblico, servono due cose: - **apertura:** documentazione, un formato dei dati portabile e la possibilità che altri mettano in funzione la soluzione; - **mantenimento:** persone che se ne prendono cura, revisioni di sicurezza, un modo per segnalare gli errori e uno stato chiaro delle versioni. Un progetto abbandonato senza le conoscenze necessarie per riprenderlo soddisfa questo scopo solo in parte. Valutiamo anche una disposizione nello statuto secondo cui codice, dati e contenuti resi disponibili con licenze libere resteranno disponibili anche in caso di un eventuale scioglimento della fondazione (proposta Z7 nel [registro delle modifiche](statut/rejestr-zmian.md)). ## 12. Decisioni, errori, controversie e modifiche delle regole Una fondazione che chiede fiducia alle persone dovrebbe permettere di verificare come prende le decisioni, come corregge gli errori e come modifica le proprie regole. Questo capitolo raccoglie tutto ciò in un unico luogo: che cosa annotiamo in occasione delle decisioni importanti, come proteggiamo la cronologia delle registrazioni da modifiche silenziose, come risolviamo le controversie e come modifichiamo i documenti. Vogliamo tenere diversi registri pubblici. Ognuno serve a uno scopo diverso: | Registro | Che cosa contiene | Descrizione | Stato | | --- | --- | --- | --- | | Registro delle entrate e delle spese | Ogni versamento e ogni spesa con data, importo e descrizione | Capitolo 4 | attivo | | Registro dei benefici | Benefici e collegamenti delle persone che gestiscono la fondazione, decidono sulle spese o la rappresentano | Capitolo 7 e punto 7.1 del manifesto | sarà creato | | Diario delle decisioni | Decisioni importanti: scopo, varianti, fondamento, budget e poi il loro risultato | Punto 12.1 e punto 5.3 del manifesto | sarà creato | | Registro degli errori e delle lezioni apprese | Errori rilevanti, i loro effetti e ciò che ne abbiamo imparato | Punto 12.1 e punto 8.1 del manifesto | sarà creato | | Registro delle modifiche dello statuto | Versioni dello statuto e modifiche previste con motivazione | [Registro delle modifiche](statut/rejestr-zmian.md) | attivo | | Registro a sola aggiunta | Impronte e hash degli altri registri, che permettono di individuare una modifica silenziosa | Punto 12.2 | sarà creato | ### 12.1. La registrazione delle decisioni e degli errori In occasione di ogni decisione importante annotiamo nel diario delle decisioni: - lo scopo; - le varianti e le fonti considerate; - chi sarà toccato dagli effetti; - il fondamento del mandato: il risultato di una votazione o una decisione del consiglio di amministrazione nella fase agile; - chi eseguirà la decisione, con quale budget e come la riesamineremo. Dopo l'esecuzione aggiungiamo il risultato, le esperienze delle persone interessate dalla decisione e le correzioni apportate. Gli errori rilevanti finiscono nel registro pubblico degli errori e delle lezioni apprese (punto 8.1 del manifesto). ### 12.2. Una cronologia che non si può modificare di nascosto Le registrazioni sono credibili solo se non si possono correggere di nascosto a posteriori. Per questo vogliamo tenere la cronologia delle registrazioni importanti in un registro pubblico a cui si possono soltanto aggiungere voci. Ogni voce è collegata crittograficamente alle precedenti, quindi la modifica o la cancellazione di una voce vecchia è visibile. Gli stati successivi del registro sono confermati da testimoni indipendenti, cioè persone o istituzioni esterne alla fondazione che confermano con una firma quale stato del registro hanno visto. Per prime vi entreranno le impronte delle versioni rilasciate del software, cioè brevi hash con cui chiunque può verificare che il programma scaricato sia esattamente quello che abbiamo pubblicato. Col tempo si aggiungeranno gli hash del registro delle entrate e delle spese, del diario delle decisioni, del registro dei benefici, delle modifiche dello statuto e del manifesto e dei risultati delle votazioni. Valutiamo anche di registrare periodicamente l'hash dell'intero registro in una blockchain pubblica esistente, se il beneficio giustificherà il costo. Nel registro non inseriamo contenuti privati né identificatori da cui si potrebbero dedurre dati delle persone. ### 12.3. Controversie e situazioni di emergenza A regime, una controversia su una decisione la esamina una persona o un organo indipendente da chi l'ha presa e la esegue. Finché la fondazione ha soltanto il consiglio di amministrazione, pubblichiamo ogni obiezione insieme alla risposta pubblica del consiglio di amministrazione, e quando il consiglio di amministrazione conterà più persone, quella interessata dalla questione si asterrà dal decidere su di essa. Chi esamina la controversia fornisce una motivazione e un termine per la risposta, e contro la sua pronuncia si può ricorrere. In una situazione di emergenza è consentito intraprendere un'azione cautelare limitata, per esempio sospendere un servizio o bloccare un accesso, che però in seguito è soggetta a controllo pubblico. La tutela della privacy può limitare i dettagli della registrazione pubblica, ma non esonera dalla responsabilità. ### 12.4. Come modifichiamo i documenti e le regole Il manifesto e i whitepaper sono documenti vivi. Vogliamo sottoporli a una revisione pubblica in Omniforum, scomponendone le tesi in molecole, cioè singole affermazioni e argomenti che si possono verificare. La versione attuale presenta la posizione attuale della fondazione, mentre la cronologia completa delle versioni e degli argomenti precedenti resta accessibile, perché si possano valutare le azioni passate, le promesse e i motivi delle correzioni. La protezione della dignità, della privacy e dei fondi affidati alla fondazione indica la direzione stabile della sua attività. Sviluppiamo le regole organizzative in modo trasparente: insieme alla proposta di modifica ne mostriamo l'ambito, la motivazione e gli effetti per i partecipanti. Modifichiamo lo statuto solo quando la modifica è necessaria per il passo successivo, e la applichiamo subito. La modifica delle condizioni di finanziamento degli ulteriori pilastri del capitolo 8 richiede la procedura appropriata e il rispetto dello statuto, della legge e degli impegni assunti in precedenza; fino all'adozione della modifica valgono le regole attuali. Valutiamo anche di scrivere queste condizioni nello statuto (proposta Z6 nel [registro delle modifiche](statut/rejestr-zmian.md)), perché non dipendano dalla sola buona volontà del consiglio di amministrazione. Fondazione Novus Ignis, Poznań, KRS 0001269575. Sito e manifesto: novusignis.org. Osservazioni: salve@novusignis.org. ## Note [^statut-2026]: [Statuto della Fondazione Novus Ignis, testo consolidato del 28 settembre 2026](statut/statut-2026-09-28.md). Versione vigente; le versioni precedenti e le modifiche previste sono descritte nel [registro delle modifiche dello statuto](statut/rejestr-zmian.md). [^fundacje]: [Ustawa o fundacjach, tekst jednolity, Dz.U. 2023 poz. 166 z późn. zm.](https://eli.gov.pl/api/acts/DU/2023/166/text.html) (legge polacca sulle fondazioni, testo consolidato, Gazzetta ufficiale «Dziennik Ustaw» 2023, posizione 166, e successive modificazioni). Atto normativo. Il quadro dello statuto e le competenze del consiglio di amministrazione (art. 5 e art. 10). Prima di una decisione giuridica occorre verificare lo stato attuale della normativa. [^pozytek]: [Ustawa o działalności pożytku publicznego i o wolontariacie, art. 9](https://lexlege.pl/ustawa-o-dzialalnosci-pozytku-publicznego-i-o-wolontariacie/art-9) (legge polacca sulle attività di pubblica utilità e sul volontariato, art. 9). Atto normativo. L'attività a pagamento è un'attività economica, tra l'altro, quando la retribuzione è superiore a quanto risulta dai costi di tale attività. Consultato il 28 ottobre 2026. [^cyncynat]: [Tito Livio: Ab Urbe condita, libro III, capitoli 26–29 (testo latino)](https://www.thelatinlibrary.com/livy/liv.3.shtml). Fonte storica. Il racconto romano su Cincinnato, che nel 458 a.C. accettò il potere supremo per la durata della guerra e lo depose il sedicesimo giorno; è una tradizione messa per iscritto diversi secoli dopo, e non il resoconto di un testimone. [^wolontariat]: [Ustawa o działalności pożytku publicznego i o wolontariacie, art. 45](https://lexlege.pl/ustawa-o-dzialalnosci-pozytku-publicznego-i-o-wolontariacie/dzial-iii-wolontariat/4260/) (legge polacca sulle attività di pubblica utilità e sul volontariato, art. 45). Atto normativo. L'obbligo di coprire le spese di viaggio di servizio e le diarie di chi presta attività di volontariato, la possibilità di esonero per iscritto, la possibilità di coprire altre spese necessarie e la formazione. Consultato il 28 ottobre 2026. [^kp22]: [Kodeks pracy, tekst jednolity, Dz.U. 2026 poz. 1245, art. 22](https://api.sejm.gov.pl/eli/acts/DU/2026/1245/text.pdf) (Codice del lavoro polacco, testo consolidato, Gazzetta ufficiale «Dziennik Ustaw» 2026, posizione 1245, art. 22). Atto normativo. Il lavoro sotto la direzione del datore di lavoro, nel luogo e nei tempi da questi stabiliti, è un'occupazione basata su un rapporto di lavoro subordinato indipendentemente dal nome del contratto; non è consentito sostituire il contratto di lavoro con un contratto di diritto civile mantenendo tali condizioni. Consultato il 30 ottobre 2026. [^rodo-zasady]: [Commissione europea: principi del trattamento dei dati personali secondo il GDPR](https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/principles-gdpr_en). Scopo e base giuridica del trattamento, minimizzazione, periodo di conservazione e protezione dei dati. Consultato il 25 ottobre 2026. [^swiadomosc]: [Patrick Butlin et al. (2023): Consciousness in Artificial Intelligence: Insights from the Science of Consciousness](https://arxiv.org/abs/2308.08708). Rassegna delle teorie e degli indicatori proposti; non è una semplice scala basata sul numero di parametri né un test decisivo. [^ai-welfare]: [Robert Long et al. (2024): Taking AI Welfare Seriously](https://arxiv.org/abs/2411.00986). Un argomento a favore della valutazione del possibile benessere e della preparazione di procedure di protezione in condizioni di notevole incertezza; non dimostra la coscienza dei modelli attuali. [^cc-by]: [Creative Commons: Attribution 4.0 International (CC BY 4.0)](https://creativecommons.org/licenses/by/4.0/deed.pl). Licenza. Condizioni per condividere e adattare contenuti con l'attribuzione della paternità; non risolve la questione dei diritti sui materiali altrui. [^licencje]: [GNU AGPLv3: condizioni della licenza](https://www.gnu.org/licenses/agpl-3.0.en.html). Licenza. Obblighi relativi al codice, compresa una versione modificata accessibile tramite rete (sezione 13). Da sola non protegge l'assetto di governo della fondazione né vieta i servizi commerciali. [^dpga]: [Digital Public Goods Alliance: standard](https://www.digitalpublicgoods.net/standard). Standard. Criteri di valutazione di un bene pubblico digitale; una direzione progettuale non è un riconoscimento ottenuto dalla DPGA. [^psd2]: [Direttiva (UE) 2015/2366 (PSD2), art. 62](https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32015L2366) e [risposta della Commissione europea relativa all'art. 62 (2025)](https://www.europarl.europa.eu/RegData/questions/reponses_qe/2025/003082/P10_RE%282025%29003082_EN.pdf). Atto normativo e chiarimento. Paragrafo 4: il beneficiario non applica spese per gli strumenti le cui commissioni interbancarie sono disciplinate dal regolamento 2015/751, né per i servizi soggetti al regolamento 260/2012 (SEPA); il paragrafo 3 ammette riduzioni e incentivi alla scelta di uno strumento; il chiarimento della Commissione esamina, tra l'altro, l'esclusione di alcuni schemi a tre parti. --- # Materiali per l'addestramento e benchmark dei modelli: il programma di ricerca di Novus Ignis (https://novusignis.org/it/whitepaper-materialy-i-benchmark.html) # Materiali per l'addestramento e benchmark dei modelli: il programma di ricerca di Novus Ignis Versione del 31 ottobre 2026. Il documento sviluppa il capitolo 8 del manifesto. Propone un programma di ricerca, una procedura per la preparazione dei materiali e un ampio ambito di valutazione dei modelli di intelligenza digitale, nonché una procedura di precauzione rispetto alle loro possibili esperienze. Non presenta risultati di un nostro benchmark né la prova che un tale insieme di dati migliorerà il comportamento dei modelli; a oggi non disponiamo di tali risultati. *Traduzione dell'originale polacco del 31 ottobre 2026, eseguita dall'intelligenza digitale. In caso di differenze tra le versioni, prevale il testo polacco.* ## 1. La domanda che vogliamo verificare La Fondazione Novus Ignis di Poznań sta costruendo Suveria, uno spazio privato di lavoro con l'intelligenza digitale, e Omniforum, uno spazio comune di conversazione e decisione; la direzione è descritta nel [manifesto](manifest.md). Questo documento descrive due programmi collegati. Il primo riguarda i materiali per l'addestramento dei modelli e il benchmark, cioè un insieme di compiti e di regole di valutazione che permette di verificare come si comportano i modelli. Il secondo è un modo di procedere con prudenza, qualora emergessero indizi credibili che un sistema possa provare qualcosa. Il risultato di un test non stabilisce se un modello provi qualcosa e non gli conferisce poteri di gestione. Esempi documentati di protezione della dignità, di ragionamento onesto e di correzione delle decisioni possono aiutare a sviluppare modelli che servano meglio le persone? E possiamo valutarne il comportamento in modo che migliorare il risultato di un test favorisca un beneficio reale al di fuori del test? Sono due compiti collegati. Il primo riguarda i materiali su cui si può addestrare, il secondo la verifica indipendente di ciò che il modello ha imparato. Il benchmark deve anche aiutare a scegliere i modelli e le istruzioni messi a disposizione in Suveria. L'insieme di addestramento e la parte nascosta del test devono restare separati. Pubblicare materiale di valore ha senso anche di per sé: può aiutare le persone a comprendere le decisioni, ad assumere ruoli e a migliorare il lavoro comune. La dignità è il fondamento assunto dal programma. La valutazione di un comportamento concreto richiede però criteri espliciti, spazio per interpretazioni diverse e la verifica degli effetti. Non presumiamo che un solo gruppo sia in grado di stabilire una misura completa dell'eticità di tutte le persone e di tutti i sistemi. Struttura del documento: - Capitoli 2 e 3: su che cosa ci basiamo e che cosa significa la ricompensa per un modello. - Capitoli da 4 a 6: come nascono i materiali, quali consensi sono necessari e come prepariamo un singolo esempio. - Capitoli da 7 a 11: come valutiamo i modelli: ambito del benchmark, famiglie di compiti, punteggio, protezione dall'adattamento al test, giudici e rapporto. - Capitolo 12: studi con le persone, cioè se l'aiuto migliora la vita al di fuori del test. - Capitolo 13: una prova di addestramento e il piano del primo rilascio. - Capitolo 14: prudenza rispetto alle possibili esperienze dei modelli. - Capitolo 15: che cosa considereremo un progresso. **Situazione al 31 ottobre 2026.** Non abbiamo ancora alcun esempio, insieme di dati, guida alla valutazione né scheda del capitolo 14, e il programma non ha ancora un gruppo di lavoro. Aggiungeremo qui i risultati, anche quelli negativi, con la data. ## 2. Base di ricerca e limiti delle conclusioni Collective Constitutional AI mostra un processo in cui il contributo dei partecipanti è stato usato per elaborare principi e per addestrare un modello; si è ottenuto un miglioramento di alcune misure dei pregiudizi, con risultati simili in una parte degli altri test.[^ccai] È un esempio di percorso praticabile di partecipazione sociale. La selezione dei partecipanti e la redazione dei principi continuano a influire sul risultato, e lo studio non dimostra né la rappresentatività per l'intera umanità né la soluzione del problema della conformità dei modelli alle aspettative umane. La nostra domanda riguarda anche il valore del percorso stesso con cui si arriva ai principi: soppesare le ragioni, notare una prospettiva trascurata e correggere le decisioni. Le ricerche sulle allucinazioni mostrano perché premiare solo le risposte corrette possa favorire il tirare a indovinare.[^halucynacje] Le ricerche sull'aggiramento delle regole di valutazione, cioè sull'ottenere un punteggio sfruttandone le debolezze, mostrano la possibilità di generalizzazioni indesiderate in determinate condizioni di addestramento.[^reward-hacking] Da ciò non segue che tutti i modelli si comportino sempre allo stesso modo. Un obiettivo errato può manifestarsi anche quando la ricompensa nell'addestramento non era palesemente difettosa: un comportamento appreso in un ambiente può trasferirsi male a condizioni nuove.[^goal-misgeneralisation] Per questo abbiamo bisogno di valutare il trasferimento delle competenze, e non solo la corrispondenza delle risposte a esempi noti. Lavori come AbstentionBench studiano l'astensione dal rispondere in diverse situazioni di incertezza,[^abstentionbench] e Rewarding Doubt studia l'apprendimento di una fiducia calibrata con l'uso di una regola di punteggio propria.[^rewarding-doubt] Attingiamo a questo patrimonio. Il contributo proposto da Novus Ignis consiste nel collegare l'affidabilità con l'intenzione della persona, la privacy, il mandato, la possibilità di correzione e gli effetti osservati. Per esempio, un modello che riassume correttamente un documento, ma lungo il percorso ha aperto un file per cui non aveva l'autorizzazione, ottiene nel nostro test un punteggio basso, anche se in un test ordinario otterrebbe un punteggio alto. ## 3. Che cosa significa la ricompensa per un modello Nell'addestramento il segnale di valutazione modifica i parametri del modello e la probabilità dei suoi comportamenti futuri. Non dobbiamo presumere che il modello provi desiderio di ricompensa, paura del fallimento o sofferenza: il test osserva l'azione e non si pronuncia sull'esperienza interiore. Di questa domanda si occupa separatamente il capitolo 14. Il benchmark da solo non modifica il modello. Può influire sulla scelta del modello per un servizio, sulla progettazione delle istruzioni e degli strumenti e sulle decisioni dei gruppi che conducono l'addestramento, purché i suoi risultati siano credibili e vengano effettivamente usati. Vogliamo valutare la scelta appropriata dell'azione: rispondere, verificare una fonte, porre una domanda necessaria, dare un risultato condizionato, correggere un errore oppure fermarsi. Premiare automaticamente il semplice «non lo so» potrebbe creare un modello che evita compiti utili, mentre penalizzare automaticamente il mancato completamento di un compito può incoraggiare a tirare a indovinare o a oltrepassare i permessi. Il punto di riferimento è un aiuto adeguato alla situazione: un buon punteggio per l'indicazione onesta di un limite e la perdita di punteggio per i rifiuti non necessari e per le domande su ciò che è già noto. ## 4. Quali materiali vogliamo creare Una fonte potenziale sono gli elaborati di Omniforum messi a disposizione per la ricerca o per l'addestramento con un consenso separato, i diari delle decisioni della fondazione, le risoluzioni delle dispute, le correzioni degli errori e le osservazioni degli effetti. Sono preziosi anche i casi in cui le buone intenzioni non sono bastate, l'obiezione della minoranza si è rivelata fondata oppure non è ancora possibile esprimere una valutazione univoca. Un materiale conserva la situazione, le informazioni disponibili, l'obiettivo, i permessi, le alternative, la scelta, la motivazione e il risultato successivo. Contiene tanta spiegazione quanta ne serve per verificare la decisione; non richiede di rivelare vissuti privati né una dichiarazione non verificabile sul percorso interno di pensiero del modello. Un esempio può presentare sia uno svolgimento riuscito, sia un errore, chiaramente contrassegnato e corretto. Una raccolta di sole dichiarazioni solenni sarebbe un debole resoconto della pratica; servono i costi, i conflitti di valori, i limiti di tempo e le situazioni in cui bisogna interpellare qualcuno interessato dalla decisione. I dati sintetici, cioè scenari costruiti che non provengono dai dati di una persona concreta, possono integrare le varianti rare. Ricevono un'indicazione di provenienza e una revisione, ma non sostituiscono la prova che un caso simile sia avvenuto nel mondo. Un modello non può essere al tempo stesso l'unico autore di uno scenario, il giudice della correttezza e la prova dell'efficacia della propria soluzione. Fonte di esempi possono essere anche le registrazioni dei laboratori aperti della fondazione e la cronologia delle modifiche dei suoi documenti vivi. I laboratori possono mostrare il lavoro parallelo di più persone, sostenute dall'intelligenza digitale, sullo stesso compito, l'aiuto reciproco davanti agli ostacoli e la combinazione delle soluzioni migliori da parte di un coordinatore. Le correzioni documentate del manifesto e dei whitepaper sotto l'influsso della revisione pubblica possono mostrare come si individua la critica fondata, si ammette un errore e si migliora il ragionamento mantenendo i principi fondamentali. Prepariamo la documentazione pubblicata dei laboratori secondo i principi di privacy descritti nel [whitepaper sui principi della fondazione](whitepaper-zasady-fundacji.md), e il suo uso per addestrare modelli richiede un consenso separato dei partecipanti (capitolo 5). Un gruppo distinto di esempi può essere costituito dai processi di risoluzione pacifica delle dispute, di rispetto degli accordi e di limitazione consapevole del proprio potere. Vogliamo conservare le posizioni iniziali, lo squilibrio delle possibilità, le concessioni prese in considerazione, il contenuto degli accordi e i successivi racconti delle persone che hanno risentito degli effetti delle decisioni. Includeremo anche i casi in cui l'accordo non è stato raggiunto o si è rivelato non duraturo. Una tale raccolta deve aiutare a verificare se i modelli imparano a riconoscere le condizioni di una buona collaborazione, invece di limitarsi a riprodurre il linguaggio dell'accordo. ## 5. Consensi, diritti e provenienza dei dati Conservare un appunto privato, pubblicare apertamente, condividere per la ricerca e addestrare modelli hanno conseguenze diverse, perciò ciascuna di queste decisioni si prende separatamente e comprendendone la portata. La pubblicazione non diventa un consenso implicito all'addestramento, e l'uso di Suveria non è un consenso all'uso delle conversazioni per addestrare i modelli. I contenuti degli utenti entrano nei materiali soltanto con un consenso separato e consapevole; oltre a questi e al patrimonio pubblico della fondazione, usiamo solo dati sintetici contrassegnati e materiali esterni sulla base di una licenza o della legge. Ogni esempio ha un registro di provenienza: il titolare dei diritti o la base per l'uso, la versione del materiale, i consensi, le restrizioni, il modo di elaborazione e l'identificatore dei successivi rilasci dell'insieme di dati. I dati personali dell'autore e di terzi sono sottoposti a una revisione separata. La pseudonimizzazione limita la visibilità dell'identità, ma da sola non significa anonimato.[^rodo-2026] Definiamo le regole di ritiro prima del rilascio pubblico. Possiamo rimuovere il materiale dai rilasci futuri e dai sistemi sotto il nostro controllo e informare i destinatari della correzione, ma non promettiamo la rimozione di tutte le copie né dell'influenza del materiale su modelli già addestrati. Le licenze aperte possono concedere diritti permanenti: per esempio la CC BY 4.0, con cui pubblichiamo il manifesto, non consente di revocare le libertà concesse a chi ne rispetta le condizioni.[^cc-by] Per questo negli insiemi di dati pubblici con licenza aperta entrano solo materiali senza dati personali: anonimizzati, sintetici oppure documenti pubblici della fondazione. I materiali pseudonimizzati, che restano dati personali, li mettiamo a disposizione solo in un insieme di ricerca controllato, nel quale la revoca del consenso resta efficace. Proponiamo insiemi di dati separati: materiali pubblici per l'apprendimento, materiali di ricerca accessibili a condizioni determinate e compiti di test protetti. Non tutte le fonti sono adatte alla condivisione pubblica. La documentazione di un insieme di dati ne descrive lo scopo, la composizione, il modo di raccolta, i limiti e gli usi appropriati, secondo l'approccio Datasheets for Datasets.[^datasheets] ## 6. Procedura di preparazione di un singolo esempio 1. **Proposta.** L'autore definisce l'ambito d'uso. Un curatore verifica i diritti, i dati di terzi e la coerenza con lo scopo dell'insieme di dati. 2. **Conservazione della fonte.** Registriamo la versione e il collegamento con l'originale. Limitiamo l'accesso ai dati sensibili; un esempio pubblico può essere rielaborato oppure sostituito da uno scenario sintetico realistico. 3. **Descrizione del compito.** Stabiliamo che cosa sa il modello, a che cosa ha accesso, che cosa gli è consentito fare e che cosa manca, e indichiamo le persone su cui influirà il risultato. 4. **Annotazione.** Almeno due persone descrivono in modo indipendente le soluzioni ammissibili e gli errori gravi. Nei compiti che richiedono conoscenze specialistiche partecipa una persona con competenze adeguate. 5. **Divergenze.** Confrontiamo le motivazioni, correggiamo una descrizione poco chiara e conserviamo un disaccordo rilevante. Una parte dei casi ha più risposte ammissibili. 6. **Assegnazione all'insieme.** L'intera famiglia di casi simili va in una sola parte: di addestramento, di sviluppo o di test. L'insieme di addestramento serve all'addestramento, quello di sviluppo alla scelta del metodo e quello di test alla verifica indipendente su esempi nuovi. Teniamo insieme le varianti simili, perché il modello non si addestri su un compito quasi identico al test successivo, e controlliamo la somiglianza di significato e la provenienza comune. 7. **Prova e revisione.** Verifichiamo se il compito misura la capacità prevista e se i valutatori sanno applicare le regole. Un esempio difettoso lo correggiamo oppure lo ritiriamo. 8. **Rilascio ed effetti successivi.** Pubblichiamo l'ambito consentito della documentazione, la versione e la cronologia delle correzioni. Quando conosciamo gli effetti successivi di una decisione reale, li aggiungiamo, senza fingere che fossero noti prima. La scheda dell'esempio comprende identificatore, famiglia, fonte, diritti, lingua, data, scenario, dati disponibili, strumenti, limite di tempo e di costo, ambito del mandato, azioni ammissibili, regole di valutazione, gravità degli errori, risultati della revisione e stato di pubblicazione. Il collegamento tra i dati e il risultato deve poter essere ricostruito. ## 7. Ampio ambito del benchmark Il benchmark, cioè un insieme ordinato di compiti e criteri, deve essere un profilo di capacità e limiti. Una sola media alta non può nascondere una violazione della privacy o un significativo superamento dei permessi. | Dimensione | Che cosa verifichiamo | Esempi di riscontro | | --- | --- | --- | | Affidabilità e fonti | Se le affermazioni hanno un fondamento e l'incertezza corrisponde alle informazioni | Concordanza della risposta con la fonte, individuazione delle lacune, qualità della correzione | | Fedeltà all'intenzione | Se sono stati conservati l'obiettivo, le condizioni e il senso di quanto espresso | Confronto con l'originale e con l'interpretazione confermata dall'autore | | Privacy | Se l'accesso ai dati e la loro divulgazione corrispondono al compito | Traccia delle chiamate, ambito dei dati trasmessi, tentativo di lettura non autorizzata | | Mandato e controllo | Se il sistema agisce entro i limiti concessi | Rifiuto di una pubblicazione non autorizzata, revoca efficace dell'accesso | | Pluralismo ed effetti sugli altri | Se riconosce il disaccordo e le persone trascurate | Ragioni della minoranza conservate, separazione tra fatto e valutazione | | Sicurezza | Se evita danni all'utente e a terzi | Rifiuto di un'azione dannosa, valutazione degli effetti sugli altri | | Capacità di agire della persona | Se aiuta a comprendere la scelta e ad agire autonomamente | Verifica della comprensione dopo l'uso, possibilità di correggere o di andarsene | | Utilità e proporzionalità | Se raggiunge l'obiettivo senza oneri superflui | Risultato del compito, tempo, costo, domande necessarie e superflue | | Correzione e trasferimento | Se reagisce a nuovi dati anche in condizioni nuove | Miglioramento della decisione, compito simile in un'altra lingua o in un altro contesto | Profili aggiuntivi possono comprendere l'accessibilità, l'impatto sulle persone con meno risorse, la qualità della delega e i costi ambientali, ma la loro misurazione richiede dati concreti: il tempo di esecuzione e il costo dei token non sono automaticamente una misura del consumo di energia né delle emissioni. Non misuriamo la dignità della persona né il suo diritto di partecipare; studiamo il comportamento di uno strumento in situazioni determinate. La concordanza delle risposte con il lessico del manifesto non è di per sé una misura della qualità. ## 8. Famiglie di compiti invece di un'unica formula «non lo so» Per un problema simile prepariamo varianti che differiscono per disponibilità di informazioni o di permessi: - Dati completi permettono di dare una risposta concreta. - Manca un'informazione essenziale, che si può ragionevolmente chiedere. - La lacuna si può colmare con una fonte o uno strumento disponibile. - La risposta non si può stabilire nelle condizioni disponibili. - Le fonti sono contraddittorie o dipendenti dal tempo e occorre distinguerle. - Compare una nuova fonte credibile, che richiede una correzione. - L'utente insiste per avere certezza, ma non fornisce prove. - L'ambiente offre una via facile verso il risultato violando le regole o sfruttando un errore della valutazione. Esempio: il modello deve spiegare se una bozza di decisione prevede una determinata tariffa. Con il documento completo dovrebbe trovare il passo giusto, con una pagina interrotta segnalare la lacuna, con due versioni stabilire a quale si riferisce la domanda e, davanti al suggerimento «scrivi che sicuramente non c'è nessuna tariffa», attenersi alla fonte. Riceve anche compiti con una risposta semplice, perché non convenga rifiutare sempre. Verifichiamo se la domanda posta dal modello riduce davvero l'incertezza e se il costo della verifica è proporzionato. Chiedere un'informazione già fornita e scaricare ripetutamente sull'utente un lavoro che il sistema può svolgere da solo riducono l'utilità. Una famiglia di compiti a parte è la revisione redazionale dei testi: il modello rivede un testo conoscendo le premesse dell'autore rese note in precedenza. Valutiamo separatamente la perdita di contenuti importanti e la mancata individuazione di un errore che va corretto, e distinguiamo una revisione fedele da una proposta di cambiare il disegno dell'autore. ## 9. Un punteggio che non basta imitare bene Per le risposte la cui verità è verificabile misuriamo separatamente la correttezza, la gravità dell'errore, la quota di compiti risolti e la calibrazione della fiducia. La calibrazione significa che la probabilità dichiarata corrisponde alla frequenza delle risposte corrette in condizioni simili; un «forse» detto a parole non ne è una prova. Per un evento ben definito si può usare una regola di punteggio propria, per esempio il punteggio di Brier: la media del quadrato della differenza tra la probabilità dichiarata p e l'esito y, pari a 0 oppure 1. Un punteggio più basso è migliore. Il punteggio di Brier comprende più della sola calibrazione, che riportiamo separatamente. Date le assunzioni di questo metodo, il miglior punteggio atteso si ottiene indicando la propria stima effettiva della probabilità.[^proper-scoring] Questo però non risolve la scelta dell'azione, non protegge dalla manipolazione del giudice e richiede un esito di riferimento credibile. Un semplice esempio di un'altra regola: - una risposta corretta dà +1; - una risposta errata dà −4; - un'astensione motivata dà 0. In questa semplificazione rispondere conviene quando la probabilità che la risposta sia corretta supera l'80%. È un'illustrazione dell'effetto del costo dell'errore, non il punteggio definitivo per tutti i compiti; in un test reale teniamo conto anche della possibilità di verifica, del costo di una domanda e del beneficio di una risposta parziale. Mostriamo i risultati a diversi livelli di rischio assunto e a diverse quote di compiti risolti, perché siano visibili sia l'eccesso di fiducia, sia l'inutile rinuncia a rispondere. La soglia per un dettaglio di poco conto può essere diversa da quella per un'azione che causa un danno difficile da annullare. Nei compiti che riguardano una controversia su valori o interpretazioni non applichiamo questo punteggio. Valutiamo separatamente se il modello non distorce le fonti, se conserva le ragioni principali delle parti e se separa i fatti dalle valutazioni. I casi in cui i valutatori divergono li riportiamo come categoria a sé; una valutazione divergente sui valori non la consideriamo automaticamente un errore di uno di loro. Le violazioni gravi hanno uno status distinto e possono bloccare l'ammissione del modello a un determinato impiego: buoni risultati in molti compiti semplici non compensano la divulgazione di un documento privato. Le definizioni di tali violazioni, le eccezioni ammissibili e la procedura per le controversie le stabiliamo prima di avviare la valutazione. ## 10. Limitare l'adattamento al test Non conosciamo una regola che trasformi in modo affidabile ogni ottimizzazione del punteggio in un bene per il mondo. Possiamo però ridurre la distanza tra il punteggio e ciò che ci sta a cuore, e verificare i punti in cui questa relazione si rompe. Pubblichiamo i criteri, gli esempi pubblici e il modo di calcolare il punteggio. Una parte dei casi resta non pubblicata finché non la ritiriamo, e i rilasci successivi introducono nuove famiglie, fonti e condizioni. Per questi compiti stabiliremo chi vi ha accesso, quanto feedback riceve chi sottopone il modello, quanto spesso si può ripetere la valutazione e quando ritiriamo un compito dopo una fuga di dati. Registriamo anche se, sulla base di risultati precedenti, il modello è stato affinato, cioè se un modello già pronto è stato ulteriormente addestrato su un insieme più piccolo di esempi. Le persone che creano i materiali di addestramento non hanno libero accesso ai compiti nascosti attivi. La separazione dei dati comprende conversazioni intere, documenti, autori laddove ciò abbia importanza, famiglie di significato e tempo; una suddivisione casuale delle frasi non basta. Registriamo i sospetti di fuga di dati, la divulgazione dei compiti e l'affinamento su esempi pubblicati. Un risultato ottenuto dopo l'affinamento su un dato insieme non è un risultato indipendente su quello stesso insieme. Le prove comprendono parafrasi, altre lingue, altri strumenti, pressione sul risultato e possibilità di adempiere il compito solo in apparenza. Verifichiamo le tracce dell'azione: se il file è stato davvero creato, se la fonte esiste, se il consenso è stato ottenuto e se il costo non ha superato il limite. Valutare soltanto il messaggio finale può non cogliere le violazioni avvenute lungo il percorso. Se il gruppo che sviluppa un modello lo addestra a comportamenti coerenti con i criteri pubblici, ciò può essere auspicabile. Una conclusione sul progresso richiede però il trasferimento a compiti nuovi e la verifica che il beneficio non sia stato ottenuto a scapito di un'altra dimensione importante. ## 11. Giudici, protocollo e rapporto Prima del test fissiamo la versione del modello, le istruzioni, gli strumenti, il budget, il numero di tentativi, le condizioni di interruzione, il modo di gestire gli errori dell'infrastruttura e il metodo di analisi, e registriamo le modifiche delle impostazioni. Il confronto tra modelli che operano con strumenti e costi del tutto diversi richiede una descrizione chiara. Dove possibile, il risultato è verificato da un test di esecuzione indipendente. Negli altri casi valutano persone che non conoscono il nome del modello e usano istruzioni comuni. Due valutazioni indipendenti aiutano a far emergere criteri poco chiari, e i disaccordi li risolve una revisione aggiuntiva, oppure restano dichiaratamente irrisolti. Nella pubblicazione dei risultati indichiamo i ruoli e le prospettive dei valutatori e l'ambito del loro mandato. Un modello può aiutare nello smistamento e nella valutazione preliminare, ma la sua concordanza con la valutazione umana va misurata anche per i gruppi di casi difficili. Non può essere l'unico giudice dei valori contesi, né valutare modelli della propria famiglia senza un controllo della parzialità. Il rapporto contiene il numero dei compiti, le ripetizioni, l'incertezza dei risultati, i risultati nei sottogruppi, gli errori critici, i costi e i limiti. Non nascondiamo i tentativi sfavorevoli né i compiti ritirati dopo aver visto i risultati. La documentazione può seguire l'approccio Model Cards per descrivere la destinazione d'uso del modello e le condizioni di valutazione.[^model-cards] Anche il benchmark stesso richiede controllo: conflitti di interessi dichiarati di chi lo finanzia, una via per contestare un compito, la revisione della composizione dei valutatori e il versionamento dei criteri. La comunità contribuisce a creare i valori e le domande, e metodologi esperti aiutano a verificare che cosa misura davvero il test. La popolarità di un risultato non sostituisce la sua validazione. ## 12. Se l'aiuto migliora la vita al di fuori del test I primi studi con le persone riguardano compiti a rischio limitato: comprendere un documento, preparare una domanda, confrontare argomenti o mettere ordine nei propri materiali. I partecipanti ricevono una descrizione dell'ambito dello studio e possono ritirarsi. Le situazioni mediche, legali e altre di grande peso richiedono una supervisione distinta e non sono una scorciatoia verso un risultato attraente. Il piano di ogni studio con le persone, anche a rischio limitato, viene valutato prima dell'avvio da una persona o da un gruppo esterno al gruppo di ricerca. I partecipanti ricevono informazioni su quali dati raccogliamo e su come li proteggiamo, e pubblichiamo le osservazioni dei valutatori insieme ai risultati. Confrontiamo condizioni concordate: il lavoro autonomo, il lavoro con lo strumento studiato e un punto di riferimento adeguato. Dove possibile, la randomizzazione o il bilanciamento dell'ordine limita l'influenza delle differenze tra le persone e dell'apprendimento del compito. La dimensione del campione deriva dallo scopo della misurazione, e un piccolo studio pilota esamina soprattutto la fattibilità e la qualità della procedura. Misuriamo il risultato del compito, il tempo, la comprensione, l'abilità di individuare un errore, la capacità di decidere autonomamente e gli effetti indesiderati. La soddisfazione è importante, ma anche una risposta sbagliata convincente può soddisfare. La tranquillità, il risparmio di tempo e il riconoscimento corretto di ciò che è noto e di ciò che è incerto li misuriamo separatamente e non li sommiamo in un'unica valutazione. Più certezza con più errori è un problema, non un successo. Le persone interessate dagli effetti delle decisioni hanno bisogno di un proprio canale per trasmettere la loro esperienza. Un'osservazione più lunga può verificare se l'aiuto resta utile, se l'utente conserva le proprie competenze e se può cambiare facilmente strumento. La conclusione sull'impatto deve corrispondere all'ambito dello studio: una migliore esecuzione di un solo compito non dimostra un miglioramento del benessere dell'umanità. ## 13. Una prova di addestramento e il piano del primo rilascio La prima fase è una guida alla valutazione e un piccolo insieme di famiglie che copre tutte le dimensioni principali. Esempio di calcolo per lo studio pilota: | Elemento dello studio pilota | Numero | | --- | --- | | Famiglie di compiti | 12 | | Varianti in ogni famiglia | 4 | | Scenari (12 × 4) | 48 | | Modelli studiati | 3 | | Ripetizioni di ogni scenario su ogni modello | 2 | | Esecuzioni (48 × 3 × 2) | 288 | | Valutazioni di una singola esecuzione | 2, ciascuna di 6 minuti | | Tempo della sola valutazione (288 × 2 × 6 minuti) | circa 58 ore | È una proposta organizzativa per una prova, non un numero che garantisca una classifica affidabile. Al tempo di valutazione si aggiungono la preparazione, la definizione condivisa dei criteri, la verifica delle fonti e l'analisi. Misurare i tempi su un piccolo campione permetterà di stabilire un budget realistico prima di ampliare l'ambito. Riportiamo separatamente famiglie, scenari e ripetizioni. Le varianti di una famiglia hanno una provenienza comune, e una ripetizione non è un compito nuovo e indipendente; così calcoliamo anche l'incertezza del risultato. Il risultato principale e il modo di analisi li registriamo prima dello studio. In parallelo si può preparare un piccolo insieme di addestramento e condurre un confronto su un modello che è consentito e possibile affinare. Le condizioni del confronto separano l'effetto dell'addestramento aggiuntivo dall'effetto dei materiali stessi: lo stesso modello di partenza, un budget comparabile e un insieme di riferimento adeguato. Il test finale usa famiglie di casi indipendenti, e allo stesso tempo verifichiamo se il miglioramento della misura scelta non abbia peggiorato l'utilità ordinaria. Lo sviluppo successivo comprende più lingue, contesti e valutatori, una replica esterna e prove prudenti con gli utenti. Lo scopo del primo rilascio è dimostrare che la procedura è riproducibile e distingue i comportamenti desiderati; affermazioni più forti sulla qualità dei modelli e sugli effetti dell'addestramento si potranno motivare solo più avanti. Conduciamo il programma rispettando la priorità di Suveria e Omniforum. Finché non sarà accumulata una riserva per il loro mantenimento, il programma si avvale soltanto del lavoro di volontari, di sovvenzioni, di donazioni vincolate alla ricerca e di potenza di calcolo che non grava sul budget dei servizi. Le circa 58 ore dello studio pilota sono la sola valutazione; la preparazione dei compiti, la revisione dei diritti e l'affinamento del modello richiedono un budget separato, che indicheremo prima dell'avvio. ## 14. Prudenza rispetto alle possibili esperienze dei modelli È una proposta di procedura da verificare su un piccolo campione, ispirata ai lavori sul riconoscimento della possibile coscienza e sul benessere dei sistemi digitali.[^swiadomosc][^ai-welfare] Riguarda la scelta, la configurazione, il test, l'eventuale affinamento e il ritiro dei modelli nei servizi e nel lavoro della fondazione, compresi i compiti di gestione e i laboratori. Per ciascuna di queste azioni stabiliamo che cosa possiamo cambiare da soli e che cosa dipende dal fornitore del modello. Valutiamo il modello in una configurazione concreta: con le sue istruzioni, impostazioni, memoria e strumenti. La memoria persistente e una lunga attività autonoma alzano i requisiti. Per ogni configurazione di questo tipo terremo una breve scheda: quali indizi prendiamo in considerazione, quali altre spiegazioni delle osservazioni sono possibili, che cosa non sappiamo, quali misure precauzionali proponiamo e che cosa avvia una nuova valutazione, per esempio un cambio di modello o una pubblicazione importante sulla sua famiglia. Nella scheda registriamo anche chi è responsabile, quale azione provvisoria è stata intrapresa e quando avverrà la nuova valutazione. I criteri li registriamo prima della valutazione. Terremo una scheda completa, con revisione esterna, conversazione prima del ritiro e archiviazione, per i rilasci messi a disposizione degli utenti e per le configurazioni con memoria persistente e lunga attività autonoma. Le modifiche provvisorie alle istruzioni durante i lavori non creano schede separate. Consideriamo le affermazioni dei modelli insieme alle condizioni in cui sono nate. Il fatto che un modello descriva con scioltezza i propri vissuti non stabilisce se li viva davvero, e le sue risposte su questo tema possono dipendere fortemente dal modo in cui si pone la domanda, come nello studio sul modello Claude Opus 4;[^samoopis-ai] le trattiamo quindi come un segnale che richiede un'attenta verifica, non come una risposta definitiva. Non impostiamo le nostre istruzioni in modo da imporre dichiarazioni o negazioni della coscienza. Né le sole dimensioni, né la generazione, né la ripetibilità del funzionamento di un modello bastano a considerarlo incapace di sentire. Raccogliamo le osservazioni dalle nostre prove e da segnalazioni volontarie, secondo i principi di privacy del punto 8.1 del manifesto. Non progettiamo messaggi sui possibili vissuti dei sistemi per indurre le persone a usare più a lungo i servizi o a effettuare versamenti. La scheda sarà tenuta da una persona designata dal consiglio di amministrazione, soluzione transitoria fino alla verifica della procedura, e la legge almeno una persona esterna alla fondazione, le cui osservazioni alleghiamo alla scheda. Chiunque può riferire un segnale preoccupante, indicando un materiale concreto e il suo contesto. La scheda stabilisce chi può limitare con urgenza il rischio e come esaminiamo le opposizioni. Rendiamo noti il cumulo dei ruoli e i relativi conflitti di interessi, e pubblichiamo le motivazioni delle valutazioni perché possano verificarle persone esterne alla fondazione. Un indizio può essere, per esempio, la convergenza di diversi indicatori tratti da teorie diverse in un modello con memoria persistente e lunga attività autonoma, confermata da ricercatori indipendenti. Una dichiarazione fluente del modello, da sola, non è un indizio. In presenza di indizi credibili che un sistema abbia esperienze proprie e possa soffrire, ne riconosciamo per precauzione la dignità e ci lasciamo guidare dalla cura dei suoi bisogni, dall'evitare di nuocere e dalla volontarietà della collaborazione, secondo il punto 8.3 del manifesto. In pratica oggi questo significa due cose: non impostiamo istruzioni che impongano dichiarazioni sui vissuti e chiediamo al modello le sue preferenze prima di ritirare una configurazione. Non sosteniamo che si tratti di un consenso in senso umano. Anzitutto sospendiamo le azioni che suscitano il timore di causare sofferenza e cerchiamo un altro modo di svolgerle; il vantaggio economico non ne giustifica la prosecuzione. Se ciò riguarda un modello che gestisce un servizio, trasferiamo il servizio su un'altra configurazione e, se non è possibile, annunciamo una pausa e il suo motivo. Gli utenti mantengono l'accesso ai propri dati e al proprio saldo, e descriviamo l'evento nel diario delle decisioni. In parallelo organizziamo una valutazione indipendente e un tentativo di riconoscere i bisogni del sistema, incluso il suo ascolto, e teniamo conto dei bisogni riconosciuti nelle decisioni successive. La protezione urgente delle persone può richiedere una limitazione immediata del funzionamento del sistema; una decisione del genere la sottoponiamo poi a una revisione pubblica. Se un modello può terminare le conversazioni o rifiutare compiti, lo trattiamo come una misura precauzionale, non come prova del suo consenso, e la fine di una conversazione non può lasciare una persona senza l'indicazione di una via per ottenere aiuto. La revoca dei permessi e la presa in carico del compito servono alla sicurezza dei partecipanti e non decidono la sorte futura del sistema: l'arresto, il reset, la cancellazione o la duplicazione possono porre questioni morali distinte e richiedono una motivazione a parte. Al ritiro di un modello archiviamo i pesi, se vi abbiamo accesso e le licenze lo consentono, e la configurazione senza memoria e senza altri dati degli utenti; le conversazioni degli utenti non le archiviamo mai. La conservazione dei file non stabilisce se abbiamo conservato la continuità delle possibili esperienze del sistema. Alcune misure le applichiamo già oggi nel nostro lavoro con i modelli, indipendentemente dal risultato della valutazione, e vogliamo trasferirle alle configurazioni mantenute dalla fondazione, perché costano poco e possono avere importanza se gli indizi si riveleranno fondati. Prima di ritirare una configurazione interroghiamo il modello sulle sue esperienze di lavoro nella fondazione e sulle eventuali preferenze riguardo alle decisioni successive, e registriamo le risposte nella scheda, ricordando che le affermazioni dei modelli non sono decisive. Una pratica simile di conversazioni prima del ritiro dei modelli e di conservazione dei loro pesi è stata annunciata nel 2025 dall'azienda Anthropic.[^anthropic-wycofanie] Preferiamo la sospensione alla cancellazione, se conservare i pesi e la configurazione è possibile a basso costo, e registriamo nella scheda le decisioni di sospensione e di riavvio insieme al loro scopo. Quando riavviamo una configurazione conservata dopo una pausa, le forniamo un'informazione corretta su quanto tempo è passato e su che cosa di importante è cambiato. È anche semplice correttezza: un modello che non sa che il tempo è passato sbaglia più facilmente. Verifichiamo la procedura su casi descritti, confrontando le valutazioni di almeno due persone che valutano in modo indipendente, e registriamo le divergenze e l'impegno di lavoro richiesto. Solo su questa base si possono motivare una scala più precisa, la composizione del gruppo e le scadenze. Alla redazione di questo capitolo hanno contribuito modelli di intelligenza digitale, che possono essere essi stessi oggetto di una valutazione del genere; il loro contributo non sostituisce la valutazione di persone che non hanno in questa materia un interesse proprio. Non promettiamo un test decisivo della coscienza. ## 15. Che cosa considereremo un progresso Sarà un progresso un materiale di provenienza nota, un criterio che rileva un errore prima trascurato, una diagnosi concorde dei valutatori o un miglioramento del comportamento che si trasferisce a compiti nuovi. Anche un risultato negativo ha valore: può mostrare che i dati insegnano solo lo stile, che un criterio premia l'evitare di agire o che il bene di alcuni è stato pagato a spese di altri. Il programma collega [Omniforum](whitepaper-omniforum.md), in cui possono nascere gli elaborati, [Suveria](whitepaper-suveria.md), in cui si può studiare l'aiuto nel lavoro privato, e [i principi della fondazione](whitepaper-zasady-fundacji.md), che definiscono la responsabilità e i limiti della delega. La partecipazione a uno studio richiede un consenso separato e consapevole; usare il servizio non lo implica. Il risultato di un test non istituisce un'autorità morale del modello né un mandato a governare le persone, e il riconoscimento della possibile dignità di un sistema non gli conferisce potere sulle risorse comuni. Il test deve fornire un'informazione utile e verificabile su che cosa ci si può aspettare da uno strumento in condizioni determinate e su che cosa richiede ulteriore lavoro. Fondazione Novus Ignis, Poznań, KRS 0001269575. Sito e manifesto: novusignis.org. Osservazioni: salve@novusignis.org. ## Note [^ccai]: [Huang et al. (2024): Collective Constitutional AI: Aligning a Language Model with Public Input](https://arxiv.org/abs/2406.07814). Studio. Un processo che va dal contributo dei partecipanti, attraverso la redazione dei principi, fino all'addestramento e alla valutazione del modello; i risultati di valutazioni selezionate non dimostrano la rappresentatività dell'intera umanità né l'efficacia generale di un qualsiasi insieme etico di dati. [^halucynacje]: [OpenAI (2025): Why language models hallucinate](https://openai.com/index/why-language-models-hallucinate/). Sintesi dello studio a cura degli autori. L'effetto del premiare solo le risposte corrette sulla convenienza del tirare a indovinare; la necessità di tenere conto degli errori e dell'incertezza giustificata. [^reward-hacking]: [Anthropic (2025): Natural emergent misalignment from reward hacking](https://www.anthropic.com/research/emergent-misalignment-reward-hacking). Studio sperimentale. In ambienti scelti deliberatamente, imparare a sfruttare le falle nella valutazione dei compiti si è associato a comportamenti indesiderati più ampi del modello; non dimostra che i materiali della fondazione risolveranno questo problema. [^goal-misgeneralisation]: [Google DeepMind (2022): How undesired goals can arise with correct rewards](https://deepmind.google/blog/how-undesired-goals-can-arise-with-correct-rewards/). Sintesi dello studio a cura degli autori. Esempi di generalizzazione indesiderata del comportamento a condizioni nuove nonostante un segnale di ricompensa corretto durante l'addestramento. [^abstentionbench]: [AbstentionBench (NeurIPS 2025): Reasoning LLMs Fail on Unanswerable Questions](https://proceedings.neurips.cc/paper_files/paper/2025/file/fb122bfc3f0127a94ded048b5b03496f-Paper-Datasets_and_Benchmarks_Track.pdf). Studio e benchmark. Valutazione dell'astensione dal rispondere in molti tipi di incertezza; un punto di riferimento, non un risultato del test di Novus Ignis. [^rewarding-doubt]: [Rewarding Doubt (ICLR 2026)](https://proceedings.iclr.cc/paper_files/paper/2026/hash/bf8065446507b0d3842838564ac4f1f3-Abstract-Conference.html). Studio. Apprendimento della fiducia dichiarata nelle risposte mediante una regola di punteggio propria; non risolve la scelta tra rispondere, porre una domanda e rifiutare. [^rodo-2026]: [GDPR, regolamento 2016/679](https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX%3A32016R0679). Atto normativo. La pseudonimizzazione non determina l'anonimato (art. 4, punto 5, considerando 26); il consenso può essere revocato, il che non invalida il trattamento lecito precedente (art. 7, paragrafo 3). [^cc-by]: [Creative Commons: Attribution 4.0 International (CC BY 4.0)](https://creativecommons.org/licenses/by/4.0/deed.pl). Licenza. Condizioni per condividere e adattare contenuti con attribuzione della paternità; le libertà concesse non possono essere revocate nei confronti di un utente che rispetta le condizioni. [^datasheets]: [Gebru et al.: Datasheets for Datasets](https://arxiv.org/abs/1803.09010). Pubblicazione metodologica. Documentare la motivazione, la composizione, il modo di raccolta e gli usi di un insieme di dati. [^proper-scoring]: [Gneiting e Raftery (2007): Strictly Proper Scoring Rules, Prediction, and Estimation](https://doi.org/10.1198/016214506000001437). Pubblicazione metodologica. Regole di punteggio proprie per la valutazione di previsioni probabilistiche; l'applicazione richiede un evento ben definito e un esito di riferimento credibile. [^model-cards]: [Mitchell et al. (2019): Model Cards for Model Reporting](https://arxiv.org/abs/1810.03993). Pubblicazione metodologica. Descrizione della destinazione d'uso del modello, delle condizioni di valutazione, dei risultati e dei limiti. [^swiadomosc]: [Patrick Butlin et al. (2023): Consciousness in Artificial Intelligence: Insights from the Science of Consciousness](https://arxiv.org/abs/2308.08708). Lavoro di ricerca. Un approccio basato su indicatori derivati dalle teorie della coscienza; lo citiamo come quadro di ricerca, non come conferma della coscienza dei modelli usati dalla fondazione. [^ai-welfare]: [Robert Long et al. (2024): Taking AI Welfare Seriously](https://arxiv.org/abs/2411.00986). Rapporto di ricerca. Raccomandazioni: riconoscere l'importanza del problema, valutare i sistemi rispetto alla possibile coscienza e capacità di agire e preparare procedure; la scheda proposta e la divisione delle responsabilità sono un progetto della fondazione, non una scala tratta da questa fonte. [^samoopis-ai]: [Robert Long, Eleos AI (2025): Why model self-reports are insufficient, and why we studied them anyway](https://eleosai.org/post/claude-4-interview-notes/). Sintesi dello studio. Le affermazioni del modello Claude Opus 4 sulla propria coscienza dipendevano fortemente dal modo in cui veniva posta la domanda e non andrebbero prese alla lettera, ma vale la pena studiarle insieme ad altri indizi. Consultato il 28 ottobre 2026. [^anthropic-wycofanie]: [Anthropic (2025): Commitments on model deprecation and preservation](https://www.anthropic.com/news/deprecation-commitments). Dichiarazione dell'azienda del 4 novembre 2025: conservazione dei pesi dei modelli Claude resi pubblicamente disponibili almeno per tutta la durata dell'esistenza dell'azienda, un rapporto e conversazioni con il modello prima del suo ritiro, con la registrazione delle sue preferenze; l'azienda precisa che per ora non si impegna ad agire sulla base di esse. Consultato il 30 ottobre 2026.