Ogni volta che inserisci un prompt in un’AI centralizzata, quel testo viaggia verso un server, viene elaborato e soprattutto viene registrato.
L’azienda che gestisce quel server può leggerlo. Può conservarlo, usarlo per addestrare i modelli futuri e consegnarlo alle autorità se richiesto.
La maggior parte degli utenti accetta questo compromesso senza quasi pensarci.
Ma una nuova ondata di progetti blockchain — con Venice oggi in prima linea — sta costruendo qualcosa di diverso: un’architettura in cui né l’operatore della rete né terzi possono vedere ciò che hai chiesto al modello.
Per capire davvero come funziona, bisogna scomporre il problema in due parti. Primo, dove finisce concretamente il tuo dato quando interroghi un’AI. Secondo, quali strumenti crittografici possono impedirne la fuga.
Le risposte sono più tangibili di quanto sembri.
TL;DR
- I provider AI centralizzati come OpenAI registrano di default i prompt, garantendosi piena visibilità sulle tue richieste.
- L’inference AI privata on-chain instrada le richieste su reti di nodi decentralizzate e usa hardware di confidential computing per elaborare i dati senza esporli, nemmeno all’operatore del nodo.
- Venice Token (VVV) è oggi l’implementazione più osservata di questo modello, con inference su Base e un design “privacy-first” già a livello di applicazione.
- I trade-off principali sono velocità, costo e dimensione dei modelli: oggi l’inference privata è più lenta e costosa di una normale chiamata API.
- Questa architettura conta davvero per query mediche, legali, finanziarie e aziendali dove la riservatezza del prompt è imprescindibile.
Perché proprio l’“inference” è il collo di bottiglia della privacy
Un modello di intelligenza artificiale vive due fasi. La prima è l’addestramento, in cui apprende da grandi dataset. La seconda è l’inference, quando il modello addestrato riceve un input — la tua domanda — e genera una risposta. Ogni volta che usi ChatGPT, Claude o Gemini, stai eseguendo inference.
È qui che la privacy si rompe. In fase di training, i tuoi dati personali non entrano in gioco. Ma nell’inference, il tuo prompt deve essere leggibile dal sistema che lo elabora, almeno nell’istante del calcolo. Non puoi chiedere qualcosa a un modello “in una scatola chiusa” senza che il modello legga davvero la domanda.
Nei sistemi centralizzati, risolvere questo vincolo non è una priorità.
Le usage policies di OpenAI consentono all’azienda di usare gli input API per monitoraggio di sicurezza e, salvo opt-out via accordi enterprise, anche per migliorare i modelli. Quasi nessun utente consumer effettua l’opt-out. Risultato: una mole enorme di pensiero sensibile finisce nei database aziendali.
Il problema di privacy dell’inference AI non è teorico: è lo stato predefinito di tutte le grandi piattaforme AI centralizzate oggi.
L’inference decentralizzata ribalta l’assunto: non si tratta più di fidarsi di un server centrale, ma di capire se qualunque nodo di una rete distribuita possa essere reso tecnicamente incapace di leggere il tuo prompt, pur eseguendo il modello che ti risponde.
Da leggere anche: Il costo della guerra in Iran sale a 37,5 miliardi mentre i senatori scaricano Hegseth
Come funziona davvero il logging dell’AI centralizzata
Quando invii un prompt a una API AI centralizzata, la richiesta viaggia via HTTPS verso l’infrastruttura del provider. La cifratura protegge i dati in transito, impedendo a terzi di intercettarli. Ma una volta arrivata al server, il livello HTTPS viene rimosso.
Il software del provider vede il testo in chiaro. Da quel momento, è l’azienda a decidere cosa farne.
Molti fornitori enterprise offrono modalità di zero-retention, in cui i prompt non vengono conservati oltre la sessione. Il servizio Microsoft Azure OpenAI Service, ad esempio, permette ai clienti enterprise di configurare endpoint in cui gli input non vengono salvati su disco.
Ma queste opzioni richiedono contratti aziendali a pagamento e una configurazione attiva. Per l’utenza consumer, l’impostazione di default è la conservazione.
Il logging avviene su più livelli. I log applicativi catturano la richiesta grezza. L’infrastruttura che serve il modello può memorizzare prompt in cache per motivi di performance. I filtri di sicurezza eseguono controlli sul contenuto prima e dopo la generazione. Ogni livello è un punto in cui il tuo dato esiste in forma leggibile. Anche con rigide policy di cancellazione, il dato è transitato su sistemi che possono essere oggetto di audit, violazioni o richieste legali proprio nel momento dell’elaborazione.
A questo si aggiunge l’incentivo economico. Un modello addestrato anche sui prompt degli utenti è un modello migliore. Chi raccoglie questi dati ha un vantaggio strutturale nel migliorare il prodotto. Ne nasce un conflitto permanente tra privacy degli utenti e ottimizzazione del business che, per design, i provider centralizzati non possono eliminare.
Da leggere anche: Solana e Hyperliquid catturano l’80% dei volumi sugli ETF altcoin
Le due tecnologie crittografiche che rendono possibile l’inference privata
Due tecniche principali consentono di eseguire inference senza esporre i dati di input a chi calcola. Non sono alternative esclusive: le implementazioni reali spesso le combinano.
I Trusted Execution Environments (TEE) sono enclave sicure a livello hardware all’interno dei processori moderni. SGX di Intel e SEV-SNP di AMD sono gli esempi più diffusi. Un TEE crea un’area di memoria isolata che né il sistema operativo host, né l’operatore del nodo, né lo stesso produttore dell’hardware può leggere. Il codice che gira nel TEE è attestato: una controparte remota può verificare crittograficamente che un programma specifico, non alterato, stia girando in un’enclave autentica. Il tuo prompt entra nell’enclave cifrato, il modello gira al suo interno, e l’output esce di nuovo cifrato. Il proprietario della macchina non vede nulla.
La Fully Homomorphic Encryption (FHE) adotta un approccio diverso. Consente di eseguire operazioni matematiche direttamente su dati cifrati, senza doverli mai decrittare. Il modello lavora sui ciphertext e produce un output anch’esso cifrato, che solo il richiedente originale può decifrare. La FHE è teoricamente elegante ma computazionalmente proibitiva: eseguire l’inference di un grande modello linguistico in FHE è oggi ordini di grandezza più lento dell’inference standard. Per questo, gli impieghi pratici attuali si concentrano su modelli più piccoli o su sotto-componenti specifiche, non su LLM completi.
I TEE offrono oggi un’inference privata praticabile a velocità quasi normali. La FHE fornisce garanzie teoriche più forti ma, a metà 2026, è troppo lenta per la maggior parte dei casi d’uso reali con LLM.
Una terza tecnica emergente è la secure multi-party computation (MPC), in cui i pesi del modello e l’input dell’utente vengono suddivisi tra più soggetti che collaborano al calcolo dell’output senza che nessuno veda l’intero quadro. L’MPC è molto flessibile, ma introduce un overhead di coordinamento significativo.
Da leggere anche: Il chip AI segreto di Google integra Gemini nell’hardware per un boost 10x
Come Venice costruisce l’inference privata su blockchain
Venice gira su Base, una rete Layer 2 di Ethereum (ETH) spiegata in Layer 2. L’architettura di Venice separa tre funzioni che i provider centralizzati tendono a integrare: hosting del modello, calcolo di inference e regolamento dei pagamenti.
Gli operatori di nodo della rete Venice mettono a disposizione potenza di calcolo GPU.
Scaricano i pesi di modelli open source — Llama, Mistral e altri modelli pubblici — ed eseguono le richieste di inference usando quei pesi. Poiché i modelli sono aperti, non c’è un asset proprietario da proteggere. La sfida di privacy riguarda esclusivamente input e output dell’utente.
Venice utilizza isolamento basato su TEE sui nodi partecipanti. Quando un utente invia una query tramite l’interfaccia Venice, la richiesta viene instradata verso un nodo il cui ambiente TEE la elabora. Il sistema host dell’operatore non può ispezionare il contenuto dell’enclave. Le prove di attestazione consentono al client di verificare che il software di inference corretto e non alterato sia in esecuzione prima di inviare il prompt.
Venice Token (VVV) è il token di utilità della rete. Dà accesso alla capacità di inference; chi mette in staking VVV ottiene priorità di throughput. Il token funge da livello economico sopra l’infrastruttura di privacy: i fornitori di calcolo guadagnano commissioni, gli utenti spendono o mettono in staking VVV per accedere a inference privata. Questo sposta la privacy dal piano del semplice marketing a quello dell’architettura: il TEE la fa rispettare a livello hardware, indipendentemente da cosa vogliano fare l’azienda Venice o i singoli operatori.
La categoria più ampia è quella della decentralized AI inference, di cui Venice è solo uno dei protagonisti. Gensyn, io.net e Akash Network affrontano il tema del calcolo GPU distribuito con diversi gradi di garanzie sulla privacy. Il posizionamento di Venice è incentrato sulla riservatezza dei prompt come vincolo di progetto primario, non come optional.
Da leggere anche: Warren Buffett definisce i mercati un casinò, poi punta forte sull’AI
Cosa può vedere (e cosa no) l’operatore di nodo
Qui serve precisione, perché “privato” può essere fuorviante. In un’architettura con TEE alla Venice, la visibilità dell’operatore di nodo è rigidamente limitata dal perimetro hardware.
Cosa l’operatore non può vedere: il testo in chiaro del tuo prompt, le computazioni intermedie del modello, il testo in chiaro dell’output prima che venga cifrato per la risposta.
Cosa invece l’operatore può vedere: il fatto che la sua macchina sta elaborando una richiesta (un job è arrivato), la dimensione in byte di input e output, i timestamp dell’operazione, l’indirizzo wallet o l’identificativo associato alla richiesta se non viene ulteriormente anonimizzato.
Questo significa che il sistema è costruito per ridurre al minimo la superficie informativa esposta, pur mantenendo gli elementi strettamente necessari per far funzionare la rete e remunerare chi mette a disposizione capacità di calcolo. Privato nel senso più stretto per quanto riguarda i contenuti: nessuno può leggere cosa hai chiesto né cosa ha risposto il modello. Non è invece pienamente anonimo sul piano dei metadati. Un operatore può vedere che l’indirizzo X ha inviato un prompt da 340 token alle 14:22 UTC e ha ricevuto una risposta da 1.200 token. L’analisi dei pattern nel tempo potrebbe comunque far emergere informazioni sensibili sulle modalità d’uso, anche senza accedere al contenuto.
Per la maggior parte degli utilizzi professionali – uno studio legale che interroga l’AI su dossier riservati, un medico che verifica diagnosi differenziali, un’azienda che elabora dati finanziari proprietari – la privacy dei contenuti è il requisito essenziale. La riservatezza dei metadati è una preoccupazione secondaria, che può essere gestita con strumenti di rete aggiuntivi come VPN o soluzioni di identità a conoscenza zero.
I sistemi basati su TEE garantiscono la privacy dei contenuti per via hardware. La privacy dei metadati richiede invece ulteriore anonimizzazione a livello applicativo, che le implementazioni attuali lasciano in capo all’utente.
Da leggere anche: Nvidia Svela Una CPU Da 88 Core Per Attaccare I Margini Di Intel E AMD
I Veri Trade-Off Tra Velocità, Costi E Dimensione Dei Modelli
L’inferenza privata ha un prezzo. L’overhead arriva da più fronti e comprenderlo è fondamentale per valutare se il compromesso abbia senso rispetto al tuo caso d’uso.
Velocità. Le enclave TEE introducono un overhead di isolamento della memoria. Paginazione della memoria cifrata e handshake di attestazione aggiungono latenza rispetto a una GPU bare-metal che esegue un normale server di inferenza.
Nella pratica, l’inferenza basata su TEE su macchine AMD EPYC di ultima generazione con SEV-SNP risulta circa dal 10 al 30 per cento più lenta rispetto all’inferenza non-TEE su hardware equivalente, stando ai benchmark pubblicati dal team SUAVE di Flashbots e alla documentazione per sviluppatori di AMD. È un impatto rilevante, ma non bloccante per la maggior parte delle applicazioni conversazionali.
Costi. Le reti decentralizzate di calcolo non riescono ancora a competere con l’economia di scala dei cluster GPU degli hyperscaler. Amazon, Google e Microsoft operano con volumi tali da abbattere il costo marginale di inferenza a frazioni di centesimo per mille token. Le reti decentralizzate non hanno la stessa densità di utilizzo. Venice e progetti analoghi applicano in genere un markup rispetto alle API centralizzate. Quel premio è il costo esplicito della privacy.
Dimensione dei modelli. Le enclave TEE dispongono di memoria protetta limitata. Caricare interamente un modello da 70 miliardi di parametri dentro un’enclave sicura non è oggi realistico sulla maggior parte dell’hardware disponibile.
Le implementazioni reali scelgono quindi tra: modelli più piccoli (7-13 miliardi di parametri), approcci ibridi in cui gli strati input-output sensibili girano nel TEE mentre le moltiplicazioni di matrici non sensibili restano in memoria non protetta, oppure cifratura dei pesi del modello invece del caricamento completo nell’enclave. Conta, perché i modelli di frontiera più potenti – la classe GPT-4, con centinaia di miliardi di parametri – non sono attualmente eseguibili in modalità pienamente privata entro i vincoli dei TEE di oggi.
Il bilancio onesto è questo: l’inferenza privata, oggi, offre una forte tutela della privacy con modelli open da 7 a 13 miliardi di parametri, a costi da 2 a 5 volte superiori rispetto alle API centralizzate. Se il tuo caso d’uso rientra in questi parametri, l’architettura è già pronta per la produzione.
Da leggere anche: Claude Fable 5 Chiude Una Contesa Matematica Lunga 87 Anni, E Bitcoin Ci Fa Caso
Chi Ha Davvero Bisogno Di Inferenza AI Privata On-Chain
Non tutti gli utenti di AI necessitano di questo livello di protezione. Ma alcuni profili affrontano rischi concreti e immediati derivanti dal logging dei prompt, rischi che l’inferenza privata risolve alla radice.
Professionisti legali e compliance usano regolarmente l’AI per analisi documentale, revisione contratti, ricerche giurisprudenziali. Inviare comunicazioni con il cliente a un AI centralizzato che registra gli input può creare problemi di segreto professionale e violare codici deontologici forensi in diversi stati USA. L’inferenza privata elimina il problema del logging da parte di terzi.
Operatori sanitari e ricercatori devono rispettare l’HIPAA, che limita dove i dati sanitari protetti possono essere trasmessi e archiviati. Usare il ChatGPT standard per la documentazione clinica apre un fronte di rischio compliance. Un sistema di inferenza basato su TEE, che dimostri di non memorizzare mai i dati dei pazienti, sposta il profilo di rischio su tutt’altro piano.
Analisti finanziari e trader che lavorano con informazioni privilegiate non pubbliche non possono legalmente alimentare tali dati in sistemi dove potrebbero essere loggati, rinvenuti o trapelare. L’inferenza privata consente di usare strumenti AI su dati sensibili di M&A o operazioni di mercato senza creare una scia documentale regolamentare.
Individui in contesti ad alta sorveglianza – giornalisti, attivisti, dissidenti – possono aver bisogno di assistenza AI per ricerche delicate senza lasciare traccia di ciò che hanno consultato. Gli strumenti standard sono una passività. L’inferenza privata no.
Imprese che proteggono segreti industriali possono effettuare query su R&S, analisi competitiva o formule proprietarie attraverso l’AI senza il rischio che le informazioni restino su server di terzi che potrebbero essere violati, sequestrati o indicizzati.
Per l’utenza generalista – bozza di email, contenuti creativi, risposta a quesiti di cultura generale – l’overhead dell’inferenza privata difficilmente giustifica il sovrapprezzo. L’architettura potrà scalare anche verso questi use case man mano che i costi scenderanno, ma il valore immediato è più evidente negli scenari ad alta posta in gioco descritti sopra.
Da leggere anche: Telegram Integrerà Un Wallet Gram Non-Custodial In Ogni App, Conferma Durov
Considerazioni Finali
L’inferenza AI privata on-chain sta risolvendo un problema che molti non sapevano di avere.
I provider AI centralizzati registrano per default i prompt. Questo garantisce a corporation – e potenzialmente a governi – visibilità su alcune delle attività cognitive più sensibili dei loro utenti.
La risposta non è rinunciare all’AI. È spostare il luogo in cui avviene l’inferenza.
Le Trusted Execution Environments permettono già oggi a un nodo decentralizzato di eseguire un modello linguistico sul tuo prompt senza avere alcuna possibilità di leggerlo.
L’hardware fa valere la garanzia di privacy a un livello che nessuna policy o termini di servizio possono eguagliare.
Venice Token è oggi l’implementazione più visibile di questa architettura. Ma rappresenta un pattern più ampio, destinato a diffondersi in tutto il segmento AI decentralizzato con il calo dei costi GPU e il progresso dell’hardware TEE.
Da leggere dopo: L’Ultimo Match Sulla Terra Battuta Di Wawrinka Arriva Nel Pieno Di Un Boom Da 3 Milioni Di Utenti Nei Mercati Di Previsione