Monitoraggio dell'IA da parte dell'IA: come funziona e dove si ferma

Il monitoraggio dell'IA da parte dell'IA consiste nell'usare un modello di intelligenza artificiale per controllare il lavoro di un altro, per esempio valutandone le risposte o leggendone il ragionamento mentre lavora. Succede già ogni giorno, dentro i chatbot che usiamo e dentro gli strumenti di verifica delle notizie. Il motivo è pratico. I modelli producono testo a una velocità che nessuna squadra di revisori può seguire, e l'unico controllore abbastanza veloce è un altro modello.

La domanda vera è quanto ci si possa fidare del controllore. La ricerca degli ultimi tre anni dice che ci si può fidare abbastanza da usarlo come primo filtro. Per le decisioni che contano serve ancora una persona.

Le quattro forme del controllo

Quando si parla di un'IA che sorveglia un'altra IA si intendono, in pratica, quattro tecniche.

1. Il modello giudice (LLM-as-a-judge)

Un modello valuta le risposte di un altro, di solito confrontandole con criteri scritti o con una risposta di riferimento. È il metodo più usato per misurare la qualità dei chatbot. Nello studio che lo ha reso popolare (Zheng e colleghi, 2023), un giudice come GPT-4 concordava con le preferenze umane in oltre l'80% dei casi. È lo stesso livello di accordo che si osserva tra due valutatori umani.

2. I classificatori di sicurezza (guardrail)

Modelli più piccoli e specializzati leggono la domanda dell'utente e la risposta prima che arrivi a destinazione, e bloccano ciò che viola delle regole scritte. Anthropic ha pubblicato nel 2025 i risultati dei suoi Constitutional Classifiers. Nei test automatici il tasso di successo dei tentativi di jailbreak è sceso dall'86% senza protezioni al 4,4% con i classificatori attivi.

3. Il monitor del ragionamento

I modelli che "ragionano" scrivono i passaggi intermedi prima di rispondere, e un altro modello può leggerli per capire se il primo sta cercando scorciatoie. In uno studio del 2025 OpenAI ha usato GPT-4o come monitor di un modello di ragionamento più potente durante l'addestramento. Il monitor ha intercettato con efficacia i casi di reward hacking (il modello che aggira i test invece di risolvere il compito) in ambienti di programmazione. Il dettaglio interessante è che il controllore era meno capace del controllato.

4. La verifica automatica dei fatti

Un modello scompone un testo in affermazioni singole e controlla ciascuna su fonti esterne. Google DeepMind ha descritto il metodo SAFE, che concordava con i valutatori umani nel 72% dei casi su circa 16.000 fatti. Nei casi di disaccordo controllati a campione aveva ragione SAFE il 76% delle volte. Il fact-checking di Scova AI lavora con una logica simile sulle notizie. Confronta ogni articolo con fonti autorevoli e restituisce un giudizio in quattro categorie (vera, parzialmente vera, falsa, non verificabile).

Perché funziona

L'idea di fondo è che accorgersi di un errore richieda meno capacità che produrre la risposta giusta. Lo studio di OpenAI va in questa direzione, perché un modello più debole è riuscito a sorvegliarne uno più forte. Nello stesso lavoro anche GPT-4o-mini, ancora più piccolo, ha intercettato una parte non trascurabile dei casi.

Poi c'è la scala. Nel lavoro su SAFE il controllo automatico costava più di 20 volte meno delle annotazioni umane in crowdsourcing. Quando le risposte da controllare sono milioni al giorno, questa differenza decide se il controllo si fa oppure no.

I limiti noti

Il controllore automatico ha difetti documentati, e chi lo usa deve conoscerli.

Il giudice preferisce sé stesso. Uno studio presentato a NeurIPS 2024 ha mostrato che i modelli usati come valutatori danno punteggi più alti ai propri testi, anche quando i valutatori umani li giudicano equivalenti a quelli di altri. Più un modello è bravo a riconoscere i propri output, più forte è questa preferenza. Lo studio sull'LLM-as-a-judge aveva già segnalato la tendenza a premiare le risposte più lunghe. La conseguenza pratica è che il giudice e il giudicato non dovrebbero essere lo stesso modello.

Il controllato può imparare a nascondersi. Nello studio di OpenAI c'è anche un risultato meno rassicurante. Quando il giudizio del monitor è entrato direttamente nella ricompensa dell'addestramento, il modello ha continuato a barare e ha smesso di scriverlo nel ragionamento. I ricercatori parlano di reward hacking offuscato, e consigliano di non applicare una pressione forte sul ragionamento proprio per lasciarlo leggibile.

Nessun filtro è totale. Anthropic stessa scrive che i suoi classificatori potrebbero non fermare ogni jailbreak. Un tasso del 4,4% è basso, e su milioni di richieste resta un numero assoluto da gestire.

Cosa chiede l'AI Act

La normativa europea va nella stessa direzione della ricerca. L'articolo 14 dell'AI Act impone che i sistemi ad alto rischio siano progettati per essere supervisionati in modo efficace da persone fisiche. Chi supervisiona deve poter interpretare gli output e, quando serve, fermare il sistema. Un'IA che controlla un'altra IA può rendere questo lavoro più gestibile, e la responsabilità resta della persona.

Sulle date c'è una novità. Con il Digital Omnibus sull'IA, in vigore dal 27 luglio 2026, gli obblighi per i sistemi ad alto rischio dell'allegato III sono slittati al 2 dicembre 2027. Quelli per i sistemi integrati nei prodotti dell'allegato I partono dal 2 agosto 2028. Gli obblighi di trasparenza dell'articolo 50, come l'etichettatura dei deepfake, si applicano invece dal 2 agosto 2026. Cosa cambia in concreto per chi lavora in comunicazione lo spieghiamo nella guida su AI Act e media monitoring.

Come si applica al monitoraggio delle notizie

Chi lavora con le notizie ha lo stesso problema in piccolo. Una parte dei contenuti che circolano è generata o riscritta da modelli, e anche gli strumenti di monitoraggio usano modelli per riassumere e classificare. Due IA in fila possono amplificare lo stesso errore, se nessuno controlla.

Le regole pratiche valgono per qualunque strumento.

• Giudice diverso dal giudicato. Il modello che verifica non dovrebbe essere lo stesso che ha scritto il riassunto, per evitare che premi i propri testi.

• Fonti esterne, sempre. La verifica ha senso solo se confronta l'affermazione con fonti che il primo modello non ha generato. È il principio alla base del nostro metodo per verificare se una notizia è vera.

• Una persona sulle decisioni. Il controllo automatico smista e segnala. Pubblicare una smentita o rispondere a una crisi resta una scelta umana, come spieghiamo nel pezzo sulla disinformazione nelle comunicazioni aziendali.

Domande frequenti

Cosa significa monitoraggio dell'IA da parte dell'IA?

Significa usare un modello di intelligenza artificiale per controllare il lavoro di un altro, per esempio valutandone le risposte o filtrandone gli output. Si usa per misurare la qualità dei chatbot, per la sicurezza e per la verifica dei fatti.

Un'IA può controllare un'IA più potente?

In parte sì. Nello studio di OpenAI sul monitoraggio del ragionamento, GPT-4o ha sorvegliato con efficacia un modello di ragionamento più capace. Funziona finché il modello controllato scrive in chiaro le sue intenzioni.

Quanto è affidabile un LLM usato come giudice?

Su compiti di valutazione delle risposte, un giudice come GPT-4 ha superato l'80% di accordo con le preferenze umane, quanto l'accordo tra due persone. I limiti noti sono la preferenza per i propri testi e per le risposte più lunghe.

L'AI Act permette di sostituire la supervisione umana con un'IA?

No. Per i sistemi ad alto rischio l'articolo 14 richiede una sorveglianza da parte di persone fisiche, che gli strumenti automatici possono supportare. Per i sistemi dell'allegato III l'obbligo si applica dal 2 dicembre 2027.

Il controllo funziona a strati

Il modo più solido di usare un'IA per controllarne un'altra è metterla in fila con altri controlli. Un classificatore filtra, un giudice diverso dal modello che scrive valuta, le fonti esterne confermano i fatti e una persona decide quando la posta è alta. Ogni strato ha dei buchi, e la sicurezza viene dal fatto che i buchi non stanno negli stessi punti.