Il 22 luglio Michael Kratsios, direttore dell’Office of Science and Technology Policy della Casa Bianca, ha messo in fila tre accuse contro Moonshot AI. La società cinese avrebbe distillato Fable, il modello più avanzato di Anthropic, per sviluppare Kimi K3; avrebbe acquistato server equipaggiati con Nvidia GB300; e avrebbe avuto accesso ad altri GB300 in Thailandia, «probabilmente per addestrare i suoi modelli». Per distillazione si intende, in questo caso, l’uso sistematico delle risposte prodotte da un modello per addestrarne o migliorarne un altro.
Sei giorni prima, il 16 luglio, Moonshot aveva presentato Kimi K3: un modello multimodale da 2,8 trilioni di parametri, dotato di capacità visive native e di una finestra di contesto fino a un milione di token. L’azienda lo ha annunciato come il primo modello aperto vicino alla soglia dei tre trilioni di parametri, anche se il rilascio completo dei pesi è previsto entro il 27 luglio.
Le accuse di Kratsios, però, non sono tutte formulate allo stesso modo. La distillazione di Fable viene collegata esplicitamente allo sviluppo di K3. La frase sui GB300 parla invece, più genericamente, dell’addestramento dei «modelli» di Moonshot. Nelle dichiarazioni pubbliche consultate non vengono indicati il data center thailandese, il suo operatore, la proprietà dei sistemi, il periodo di utilizzo o il carico di lavoro eseguito. Non è nemmeno chiaro se l’hardware sia stato trasferito fisicamente attraverso la Thailandia oppure se Moonshot abbia raggiunto da remoto macchine già installate nel paese. Reuters ha riferito che la società non aveva risposto immediatamente a una richiesta di commento; l’ambasciata cinese a Washington ha definito le accuse «del tutto infondate».
Questa distinzione conta. I GB300 appartengono alla piattaforma Blackwell Ultra di Nvidia: sistemi da data center che, nella configurazione NVL72, collegano 72 GPU e 36 CPU Grace all’interno di un’unica architettura rack-scale. Le regole americane impongono licenze per l’esportazione verso la Cina, o verso società con sede o controllante in paesi del gruppo D:5, dei prodotti che superano determinate soglie di potenza, densità, memoria e interconnessione. Ma controllare la destinazione di una macchina è più semplice che controllare tutti quelli che potranno usarla una volta installata.
Un server può trovarsi in Thailandia e lavorare per un cliente che si trova altrove. Può essere acquistato, affittato, riservato per alcune settimane o raggiunto attraverso un’infrastruttura cloud. Se il compute viene venduto come servizio, sapere dove è arrivata la scatola non basta più: bisogna sapere chi ha ottenuto le credenziali, chi ha pagato il carico di lavoro e per conto di chi è stato eseguito.
La macchina regolatoria americana prova già a seguire questa catena. In una guida pubblicata il 13 maggio 2025, il Bureau of Industry and Security indicava tra i segnali di rischio il caso di un provider Infrastructure as a Service incapace di attestare che i propri utenti non abbiano sede in Cina. Raccomandava inoltre certificazioni dettagliate sull’utilizzatore finale, verifiche sulla società controllante e attestazioni scritte da parte dei data center. I siti capaci di alimentare infrastrutture superiori ai dieci megawatt, secondo il BIS, meritano controlli aggiuntivi perché possono offrire accesso a grandi quantità di chip avanzati per l’addestramento dei modelli.
La guida distingue però la due diligence dalle vere e proprie restrizioni. Esportazioni verso provider IaaS stranieri, cambiamenti dell’utilizzatore finale e perfino servizi prestati da cittadini o società statunitensi possono far scattare un obbligo di licenza quando esiste la consapevolezza che l’infrastruttura servirà ad addestrare modelli per conto di soggetti con sede in Cina e che l’attività possa sostenere usi militari, di intelligence o legati alle armi di distruzione di massa. Senza questa precisazione, si rischia di attribuire alla guida una portata più ampia di quella dichiarata dal BIS.
Il baricentro dei controlli, quindi, non si è ancora semplicemente trasferito dal chip al cloud. Si sta allargando. Al controllo del semiconduttore come oggetto si aggiunge quello del compute come servizio: proprietari dei rack, società di colocation, cloud regionali, registri degli accessi, identità delle controllanti e attestazioni contrattuali. Tutto quel lavoro di compliance che sembra burocrazia finché non diventa politica estera.
Gli Stati Uniti conservano un enorme potere sulla filiera mondiale dei semiconduttori. L’episodio Moonshot mostra però il limite operativo di quel potere, anche qualora le accuse americane non venissero dimostrate: conoscere la posizione dell’hardware non equivale a conoscere l’identità di chi ne consuma la capacità.
In questa storia la Thailandia conta, almeno per ora, più come possibile geografia dell’accesso che come geografia della spedizione. La prossima volta che qualcuno presenta i controlli sull’AI come una questione di scatole fermate in dogana, bisognerà chiedergli chi firma l’attestazione sull’utilizzatore finale e chi amministra il data center. La nuova mappa comincia lì.
Le fonti disponibili delimitano il perimetro dell’accusa. Kratsios ha parlato di server con GPU Nvidia GB300 e di accesso ai GB300 in Thailandia. Nelle fonti consultate non compaiono dettagli pubblici su un eventuale transito fisico dei chip attraverso la Thailandia, né su data center, operatore, proprietà dei sistemi o carico di lavoro esatto. Anche il collegamento diretto con Kimi K3 non è stato documentato pubblicamente: nella formulazione riportata da Reuters e da The New Stack, Kratsios ha parlato più in generale di modelli addestrati probabilmente con quel compute. La distinzione conta. Se il compute si affitta o si raggiunge da remoto, il controllo sulla scatola spedita pesa meno del controllo sulla capacità effettivamente usata.
Qui il segnale regolatorio precede il caso. Nella guida BIS del 13 maggio 2025 sulla diversione dei chip avanzati, il Bureau of Industry and Security del Dipartimento del Commercio aveva già messo nero su bianco che fornitori IaaS e data center esteri possono diventare il veicolo con cui soggetti con sede in paesi del gruppo D:5, inclusa la Cina, ottengono capacità di addestramento. La stessa guida raccomanda certificazioni sull’end user. Chiede informazioni su sede e controllante. Chiede attestazioni dei data center e uno scrutinio maggiore per i siti sopra i 10 megawatt, proprio perché possono offrire accesso a grandi quantità di chip avanzati per il training. La macchina regolatoria americana prova già a seguire l’utilizzatore finale oltre la destinazione fisica della spedizione.
Il baricentro dei controlli si sta spostando dal chip come oggetto al compute come servizio. Se Washington decide di stringere davvero su questo terreno, la pressione non cadrà solo su Nvidia o sugli importatori diretti. Cadrà sui proprietari di rack e sui colocation provider. Poi sui cloud regionali, sui loro log di accesso, sulle attestazioni contrattuali e su quel lavoro di compliance che sembra burocrazia finché non diventa politica estera. La guida BIS lo prevede già: esportazioni verso provider IaaS stranieri, trasferimenti in-country e perfino supporto prestato da persone statunitensi possono entrare nel perimetro dei controlli quando c’è conoscenza dell’uso per conto di soggetti con sede in paesi come la Cina.
Gli Stati Uniti mantengono ancora molto potere sulla filiera dei semiconduttori. Ma episodi come questo, anche quando restano allo stadio di accusa pubblica, mostrano il limite operativo di quel potere: sapere dove arriva l’hardware non equivale automaticamente a sapere chi consuma il compute. In questa storia la Thailandia conta più come geografia dell’accesso che come geografia della spedizione. La prossima volta che qualcuno vi racconta i controlli AI come una questione di scatole fermate in dogana, chiedetegli chi firma l’attestazione sull’end user e chi amministra il data center. La mappa comincia lì.
