zk-ML e AI privata: provare senza mostrare i dati

Le prove a conoscenza zero entrano nell’AI privata

Il primo ottobre 2026 la Ethereum Foundation, insieme al collettivo The Open Anonymity Project, ha portato in mainnet un sistema chiamato zkAPI. Il meccanismo è tanto semplice quanto ambizioso: si depositano ether o USDC in un contratto (il ZkApiVault), il dispositivo dell’utente genera una prova a conoscenza zero che quei fondi coprono la richiesta e in cambio arriva una chiave temporanea con un tetto di spesa. Chi incassa il pagamento non vede mai il prompt inviato al modello; chi fornisce l’inferenza non sa mai chi ha pagato. Come sintetizza il progetto, l’obiettivo è che «il server che gestisce il denaro non veda mai il contenuto, e il fornitore che vede il contenuto non conosca mai l’identità dietro la chiave». Il disegno, battezzato ZK API Usage Credits, era stato pubblicato sul forum Ethereum Research da Vitalik Buterin e da Davide Crapis, a capo del gruppo dAI della fondazione.

Un dettaglio tecnico aiuta a inquadrare il resto della guida: zkAPI usa prove Groth16 sulla curva BN254, funzioni hash Poseidon e alberi di Merkle a 32 livelli per impedire la doppia spesa dei crediti. Ma attenzione, perché zkAPI non è zk-ML. Lo zkAPI protegge il «chi» e nasconde a chi fattura il contenuto della domanda; lo zk-ML, la tecnologia al centro di questo articolo, fa una cosa diversa e complementare: dimostra che il calcolo del modello è stato eseguito davvero e correttamente, e può farlo senza rivelare né i dati in ingresso né i pesi della rete. Sono due rami della stessa idea, lo zero-knowledge applicato all’AI, e il 2026 è l’anno in cui entrambi hanno smesso di essere teoria da convegno e hanno iniziato a girare in produzione.

Che cosa significa davvero zk-ML

Lo zk-ML, abbreviazione di zero-knowledge machine learning, è l’incontro tra due mondi che fino a pochi anni fa parlavano lingue diverse. Da una parte le prove a conoscenza zero, strumenti crittografici che permettono di dimostrare che un’affermazione è vera senza rivelare nulla oltre alla sua verità. Dall’altra l’apprendimento automatico, cioè le reti neurali che oggi scrivono testo, riconoscono immagini e muovono capitali. Mettere insieme i due significa poter prendere una inferenza (l’operazione con cui un modello, dato un input, produce un output) e accompagnarla con una prova compatta che attesta una cosa precisa: quell’output è stato calcolato da quel modello, su quell’input, senza scorciatoie.

Il punto che cambia tutto è la verifica asimmetrica. Generare la prova è costoso, ma controllarla è quasi gratis: un verificatore (un altro computer, uno smart contract, un revisore) può accertarsi in millisecondi che il calcolo sia corretto, senza rieseguirlo e senza fidarsi di chi lo ha svolto. È il contrario del modello mentale a cui ci ha abituati il cloud, dove l’unica garanzia che un’API abbia usato il modello promesso (e non una versione più piccola e più economica) è la parola del fornitore. Con lo zk-ML la fiducia si sposta dalla reputazione alla matematica: non «fidati del server», ma «verifica la prova».

La cornice concettuale l’ha disegnata Vitalik Buterin nel saggio The promise and challenges of crypto + AI applications, dove colloca lo zk-ML tra gli approcci che consentono di usare l’AI «come regola del gioco» in sistemi decentralizzati solo se l’esecuzione è dimostrabile. Finché non puoi provare che il modello ha fatto ciò che dichiara, un’AI che gestisce denaro, vota in una governance o decide un prezzo resta un atto di fede.

Le due promesse: correttezza e riservatezza

Dietro la sigla zk-ML si nascondono in realtà due garanzie distinte, ed è la loro combinazione a rendere la tecnologia interessante proprio nel 2026. La prima è l’integrità: la prova certifica che l’output deriva esattamente da quel modello e da quell’input, quindi nessuno ha sostituito i pesi, troncato i calcoli o barato sul risultato. La seconda, spesso trascurata nelle prime spiegazioni, è la riservatezza: la proprietà «zero-knowledge» consente di dimostrare la correttezza nascondendo ciò che si vuole tenere privato. Puoi provare senza mostrare.

Cosa, in concreto, si può nascondere? Tre cose, in combinazioni diverse. L’input, cioè i dati dell’utente: la cartella clinica, la transazione, il volto biometrico. I pesi del modello, cioè la proprietà intellettuale di chi lo ha addestrato. Oppure entrambi. Un ospedale potrebbe dimostrare ai pazienti che una diagnosi è uscita dal modello certificato dall’autorità sanitaria, senza che il fornitore veda i dati clinici e senza che l’ospedale riceva i pesi riservati del modello. Una banca potrebbe provare a un cliente, o a un revisore, che il rifiuto di un prestito è stato prodotto dal modello di scoring approvato, senza esporre il profilo creditizio usato come riferimento.

È proprio su questa seconda promessa che si sta spostando la frontiera. Per due anni il dibattito sullo zk-ML è stato quasi tutto sulla correttezza: provare che un’AI on-chain non bari. Ma le applicazioni che muovono mercati veri (sanità, finanza, identità, pubblica amministrazione) hanno un vincolo ancora più stringente, che non è «dimostrami che hai calcolato bene» ma «calcola senza vedere i miei dati». La riservatezza, in Europa, non è un lusso: è un obbligo di legge, come vedremo.

Dalla rete neurale al circuito: come nasce una prova

Per capire perché lo zk-ML è stato così difficile serve seguire il percorso che porta da un modello addestrato a una prova verificabile. Si parte da una rete già allenata e la si esporta in un formato standard, di solito ONNX, che descrive il modello come un grafo di operazioni. Poi arriva il passaggio più delicato: la quantizzazione. I modelli lavorano in virgola mobile a 32 bit, ma le prove a conoscenza zero vivono in un mondo di numeri interi dentro un campo finito. Occorre quindi riscrivere la rete con aritmetica intera, tipicamente a 8 bit.

Il modello quantizzato viene poi «aritmetizzato»: ogni moltiplicazione, ogni somma, ogni funzione di attivazione diventa un vincolo in un sistema di equazioni, il circuito. Il prover esegue il modello, registra tutti i valori intermedi e genera la prova crittografica che quei valori rispettano i vincoli. Il verificatore, a quel punto, controlla la prova senza rieseguire nulla. Il collo di bottiglia è tutto nel prover: costruire e risolvere il circuito di una rete neurale è enormemente più oneroso che far girare la rete e basta.

La quantizzazione, inoltre, ha un prezzo in accuratezza. Come ha spiegato Elena Burger, deal partner di a16z crypto, in una analisi diventata un riferimento, «le prove a conoscenza zero oggi non riescono a rappresentare operazioni in virgola mobile a 32 bit nel formato a circuito aritmetico richiesto senza costi enormi»; il risultato è che il modello dimostrabile è spesso «un’approssimazione grezza» di quello originale. Tenere insieme fedeltà del modello e dimostrabilità è la tensione di fondo di tutto il settore.

I tre muri: non-linearità, virgola mobile e scala

Perché, allora, per anni si è detto che lo zk-ML non avrebbe mai retto un modello serio? Per tre ostacoli ben precisi. Il primo sono le operazioni non lineari. Le moltiplicazioni tra matrici, il cuore di una rete, si traducono in circuito con un sovraccarico contenuto; Buterin stima meno di quattro volte rispetto al calcolo nativo. Ma le funzioni non lineari come ReLU e softmax, indispensabili perché una rete «decida» qualcosa, esplodono: nello stesso saggio Buterin indica un sovraccarico intorno a 200 volte. Sono proprio i passaggi che danno intelligenza al modello a costare di più da provare.

Il secondo muro è la virgola mobile, di cui si è detto: i numeri reali con cui ragiona un modello non entrano in un circuito senza essere prima storpiati in interi. Il terzo è la scala. Un conto è provare una piccola rete che riconosce cifre scritte a mano, un altro è un modello linguistico con miliardi di parametri. Buterin ricordava che generare una prova a conoscenza zero di un intero blocco Ethereum, molto più semplice di un LLM, poteva richiedere ore; applicare la stessa logica a un transformer sembrava fantascienza.

Questi tre muri spiegano anche perché lo zk-ML ha la forma che ha: la quantizzazione aggressiva, i modelli piccoli, i tempi di prova misurati in minuti o ore. Per anni il settore ha vissuto in una nicchia di reti giocattolo, utili per le dimostrazioni ma lontane dai modelli che la gente usa davvero. Nel 2026 questo quadro è cambiato.

Il 2026 abbatte il muro degli LLM

La svolta ha due nomi tecnici: lookup e sumcheck. Invece di tradurre ogni funzione non lineare in una catena di vincoli aritmetici, le tecniche basate su tabelle di lookup permettono di «cercare» il risultato in una tabella precalcolata e provare soltanto che la ricerca è corretta. È l’intuizione dietro Jolt Atlas, l’adattamento dello zkVM Jolt di a16z al mondo dei tensori ONNX, portato avanti da ICME Labs e NovaNet. Wyatt Benno, tra gli autori, lo ha sintetizzato senza mezzi termini: «i lookup eliminano del tutto la necessità di rappresentare il modello come circuito», con benchmark che scendono da quattro o cinque secondi di EZKL a meno di un secondo.

Il salto più rumoroso lo ha fatto però Lagrange con DeepProve. A giugno 2026 la società ha reso open source il sistema, dichiarando oltre 12 milioni di prove generate e più di 3 milioni di inferenze verificate, con una generazione di prove da 54 a 158 volte più veloce di EZKL e verifiche fino a 671 volte più rapide. Soprattutto, DeepProve è stato il primo a provare end-to-end un modello linguistico completo, GPT-2 e poi Gemma-3, con i modelli in stile Llama in sviluppo. Il fondatore e amministratore delegato Ismael Hishon-Rezaizadeh ha accompagnato il rilascio con una frase programmatica: «non abbiamo costruito DeepProve per possedere l’AI verificabile. Lo abbiamo costruito perché nessuno dovesse farlo. La scatola nera è aperta».

Il senso non è che domani si potrà provare un modello di frontiera in tempo reale: la distanza resta enorme. Ma il muro «lo zk-ML non farà mai girare un LLM» è caduto, e con esso l’argomento principale di chi considerava la tecnologia una curiosità accademica. Il sovraccarico, che qualche anno fa si misurava in milioni di volte rispetto all’inferenza nativa, è sceso di ordini di grandezza. La domanda è passata da «si può fare?» a «chi paga per farlo, e per proteggere cosa?».

zk-ML, FHE, MPC e TEE: le quattro vie alla privacy

Lo zk-ML non è l’unico modo per far girare un’AI su dati che non si vogliono mostrare. È uno dei quattro grandi approcci alla computazione riservata, e capire come si distinguono è il modo migliore per capire a cosa serve davvero ciascuno. La differenza sta in che cosa viene nascosto, a chi, e a quale costo.

Con lo zk-ML chi calcola conosce i dati, ma la prova li nasconde al verificatore: ideale quando si vuole dimostrare la correttezza e, insieme, tenere privato l’input o i pesi. Con la crittografia completamente omomorfica (FHE) si fa un passo oltre: si calcola direttamente sui dati cifrati, cosicché nemmeno chi esegue il calcolo vede mai il testo in chiaro. È la scommessa di Zama, la società francese fondata da Pascal Paillier e Rand Hindi diventata nel 2025 il primo «unicorno» della FHE con un round da 57 milioni di dollari e una valutazione oltre il miliardo, come riportato da Tech.eu. «La privacy nell’AI è cruciale», ha dichiarato Hindi in più di un’intervista; «senza, consegniamo semplicemente tutti i nostri dati alle aziende».

La terza via è il calcolo multiparte sicuro (MPC): il lavoro viene spezzato tra più nodi, nessuno dei quali vede l’intero dato, e solo la loro cooperazione produce il risultato; è il modello di reti come Nillion. La quarta è l’ambiente di esecuzione fidato (TEE), un’enclave hardware che decifra i dati dentro un chip sigillato: velocissima, ma la fiducia si sposta sul produttore del silicio, non sulla matematica. Proprio nel 2025 l’attacco TEE.Fail ha mostrato che con meno di mille dollari di hardware e accesso fisico si potevano estrarre le chiavi di attestazione da chip Intel, AMD e NVIDIA, ricordando che «fidarsi del chip» non equivale a «fidarsi di una prova».

Nessuno dei quattro vince su tutto, ed è per questo che il 2026 è l’anno degli ibridi: sistemi che usano il TEE per la velocità e lo zero-knowledge per la garanzia matematica, oppure l’FHE per il dato e lo zk-ML per la prova di correttezza. La riservatezza «perfetta» a costo zero non esiste; esiste la combinazione giusta per il caso d’uso.

La prova sul dispositivo: quando i dati non escono mai

C’è un filone del 2026 che porta la promessa della riservatezza alle sue conseguenze più estreme: il proving lato client, cioè la generazione della prova direttamente sul dispositivo dell’utente. Se la prova nasce sul mio telefono, i dati grezzi (il mio volto, la mia posizione, il mio referto) non lasciano mai la tasca: verso l’esterno viaggia soltanto una prova compatta. È lo stesso schema che fa funzionare zkAPI, dove è il dispositivo a firmare la prova che i fondi coprono la richiesta.

Il lavoro accademico si sta muovendo in fretta in questa direzione. Un esempio è Bionetta, un framework di zk-ML basato su UltraGroth pensato esplicitamente per il client: gli autori sostengono di riuscire a provare «anche su dispositivi mobili» e di essere «l’unico distribuibile su smart contract EVM nativi senza costi di prova e di verifica proibitivi». Il contesto non è casuale: molte di queste ricerche nascono nel mondo dell’identità e della biometria, dove dimostrare «sono maggiorenne» o «questo volto corrisponde» senza cedere il documento o l’immagine è esattamente il problema che la crittografia a conoscenza zero sa risolvere.

Il proving lato client ribalta anche l’economia della fiducia. Nel modello cloud classico l’utente invia i dati e si fida; nel modello client l’utente trattiene i dati e invia una garanzia. Per un’Europa che ha fatto della minimizzazione dei dati un principio giuridico, non è un dettaglio tecnico: è il modo in cui un servizio di AI può diventare conforme per costruzione, e non per promessa.

Gli strumenti che spediscono davvero

Il passaggio da teoria a produzione si misura negli strumenti che gli sviluppatori usano oggi. Il punto d’ingresso storico resta EZKL, che prende un modello ONNX e produce un verificatore compatibile con l’EVM senza chiedere allo sviluppatore competenze di crittografia; è la base di riferimento che gli altri cercano di battere. Un caso concreto già in produzione è la collaborazione tra OpenGradient ed EZKL per un meccanismo di commissioni dinamiche su Uniswap, in cui un modello fissa le fee di una pool in base alla volatilità e una prova garantisce che il modello non sia stato manomesso.

Accanto a EZKL si sono affermati i sistemi basati su GKR e sumcheck come DeepProve di Lagrange, gli zkVM generalisti come RISC Zero e Succinct SP1 (che provano programmi in RISC-V, non solo reti neurali) e gli adattamenti ai tensori come Jolt Atlas. C’è anche una lezione di mercato: Giza, partita come progetto puro di zk-ML nel 2023, ha progressivamente spostato il baricentro verso agenti finanziari autonomi, segno che «lo zk-ML puro è un business difficile» da monetizzare. La tecnologia funziona; trovarci sopra un modello di ricavi è un’altra storia.

A cosa serve: dai modelli privati agli agenti

Messi insieme, correttezza e riservatezza aprono una manciata di casi d’uso che nel 2026 iniziano a essere più che slide. Il primo è l’inferenza privata su dati regolati: sanità, credito, assicurazioni, settori in cui il dato non può circolare ma la decisione va comunque giustificata. Il secondo sono gli oracoli verificabili e la DeFi, dove un modello che fissa un prezzo o un parametro di rischio deve poter dimostrare di non essere stato alterato, come nel caso Uniswap già citato.

Il terzo, il più discusso, sono gli agenti autonomi. Un agente che gestisce fondi, firma transazioni o negozia per conto di un utente ha bisogno di dimostrare che ha agito secondo il modello e le regole concordate, non secondo un prompt iniettato da un malintenzionato. È il tema su cui lavorano progetti come Ritual, che porta l’AI dentro lo smart contract, e che si intreccia con l’infrastruttura di inferenza decentralizzata di mercati GPU come Akash: la potenza di calcolo si può affittare ovunque, ma senza una prova resta il problema di fidarsi di chi la fornisce. Qui zkAPI aggiunge un tassello sul lato pagamento, permettendo a un agente di comprare inferenza senza farsi profilare.

C’è infine la questione, non banale, di quanto di tutto questo abbia bisogno di un token. Progetti come il framework Eliza mostrano che un’infrastruttura AI può finanziarsi e crescere anche senza emettere una moneta; è una domanda che vale anche per lo zk-ML, dove la tecnologia più solida non coincide sempre con il token più quotato.

Il nodo dei token: la tecnologia corre, i prezzi no

Perché se la tecnologia ha fatto un salto, i token del settore raccontano un’altra storia. Praticamente ogni moneta legata alle prove verificabili resta sprofondata rispetto ai massimi storici, nonostante infrastrutture vive e credibili. È uno scollamento tra valore tecnico e valore di mercato che vale la pena guardare in faccia, con i dati di CoinGecko al 7 ottobre 2026.

Due dettagli dicono molto. Il primo è che l’unico token davvero in movimento è PHA, cioè il TEE, l’approccio più veloce e più pronto alla produzione: il mercato premia ciò che spedisce oggi, non ciò che è più elegante domani. Il secondo è GIZA, oltre il 99% sotto il picco, il promemoria più crudo che una tecnologia può funzionare e un token può comunque non trovare un modello di ricavi. La domanda scomoda, che vale per l’intero settore, è se l’AI verificabile abbia davvero bisogno di una moneta propria o se non sia, più semplicemente, un servizio da far pagare.

Privacy, GDPR e AI Act: perché l’Europa è il mercato

Se la riservatezza è la frontiera dello zk-ML, l’Europa è il posto dove quella frontiera incontra la domanda più forte, perché qui la protezione del dato è scritta nella legge. Il GDPR impone principi di minimizzazione e limitazione della finalità e tratta i dati sanitari e biometrici come categorie particolari, soggette a tutele rafforzate. Un sistema che dimostra di aver calcolato correttamente senza mai vedere il dato in chiaro non è un vezzo da crittografi: è un modo per rendere la conformità una proprietà tecnica del servizio, non una promessa sulla fiducia.

A questo si somma l’AI Act, il regolamento europeo sull’intelligenza artificiale. Dal 2 agosto 2026 si applicano, come ricorda la Commissione europea, le regole generali di governance, gli obblighi di trasparenza e la vigilanza sui modelli di uso generale (GPAI), mentre gli obblighi più pesanti per i sistemi ad alto rischio, che includono proprio biometria e scoring creditizio, sono stati rinviati per fasi al dicembre 2027 e all’agosto 2028. La direzione, però, è segnata: più auditabilità, più tracciabilità, più capacità di dimostrare che un modello fa ciò che dichiara. Ed è esattamente ciò che una prova a conoscenza zero sa fornire.

Che la domanda esista lo dicono gli stessi fornitori. Lagrange, citando una ricerca McKinsey, sostiene che il 71% dei dirigenti d’azienda non scalerà i sistemi di AI senza una prova di correttezza. Numero da prendere con le molle, ma coerente con una tendenza reale: nei settori regolati, un’AI non verificabile è un’AI che non supera il vaglio del compliance.

L’Italia e la vigilanza: Consob, Banca d’Italia e i token

Sul piano della vigilanza vale una distinzione netta. L’infrastruttura in sé, i prover, i circuiti, le librerie, non è un servizio regolato: non esiste una «licenza per fare zk-ML». A cadere sotto le regole sono semmai i token che pagano questi servizi e, soprattutto, i servizi di AI che maneggiano asset o dati dei clienti. In Italia il decreto legislativo 129/2024 ha assegnato a Consob la vigilanza di mercato e di condotta sui prestatori di servizi in cripto-attività nel quadro MiCA, e a Banca d’Italia i profili prudenziali e quelli sulle stablecoin (gli EMT e gli ART). Le cripto-attività derivate, come futures e perpetual, restano invece strumenti finanziari sotto la MiFID II, quindi ancora competenza di Consob.

Non è un paradosso che proprio un’autorità di mercato guardi con interesse all’AI verificabile: Consob utilizza già tecniche di machine learning per la sorveglianza sugli abusi di mercato, con un principio dichiarato di «uomo nel ciclo». Una tecnologia che permette di dimostrare come un modello è arrivato a una decisione parla la stessa lingua di chi vigila. Diverso il caso statunitense, dove l’interpretazione congiunta SEC e CFTC del marzo 2026 ha classificato una serie di cripto-attività come «digital commodity» senza dire nulla sulle infrastrutture di AI verificabile, lasciando questi token in una zona grigia che il dibattito americano non ha ancora sciolto.

Un’ultima avvertenza sui pagamenti privati. zkAPI accetta depositi in USDC, e le stablecoin in dollari viaggiano ormai con un proprio quadro di regole, dal GENIUS Act americano alle norme europee. Un conto è la riservatezza del pagamento, un altro è la conformità dello strumento con cui si paga: lo zero-knowledge nasconde il «chi», non esonera dal rispetto delle regole su antiriciclaggio e stablecoin. Vale per gli agenti AI come per chiunque altro.

Domande frequenti

Che cos’è lo zk-ML in parole semplici?

Lo zk-ML (zero-knowledge machine learning) è l’uso delle prove a conoscenza zero per dimostrare che un modello di intelligenza artificiale ha calcolato un certo risultato in modo corretto, senza dover rieseguire il calcolo e, se serve, senza rivelare i dati in ingresso o i pesi del modello. In pratica sposta la fiducia dalla parola del fornitore a una prova matematica verificabile in millisecondi.

Qual è la differenza tra zk-ML e FHE?

Lo zk-ML e la FHE risolvono problemi diversi. Lo zk-ML dimostra che un calcolo è stato eseguito correttamente e può nascondere l’input al verificatore, ma chi calcola vede i dati. La FHE, la crittografia completamente omomorfica, permette di calcolare direttamente sui dati cifrati, cosicché nemmeno chi esegue il calcolo li vede mai in chiaro; non produce però una prova di correttezza. Spesso i due approcci sono complementari.

Lo zk-ML funziona con i modelli linguistici (LLM)?

Sì, dal 2026. Per anni lo zk-ML ha retto solo reti piccole, ma tecniche come i lookup e i sistemi basati su GKR hanno abbattuto il costo delle operazioni non lineari. DeepProve di Lagrange è stato il primo a provare end-to-end un modello linguistico completo come GPT-2 e Gemma-3. I modelli di frontiera restano fuori portata in tempo reale, ma il muro «lo zk-ML non farà mai girare un LLM» è caduto.

Lo zk-ML protegge la privacy dei miei dati?

Può farlo, se il sistema è progettato per quello. La proprietà «zero-knowledge» consente di dimostrare la correttezza nascondendo l’input, i pesi del modello o entrambi; con il proving lato client la prova nasce sul tuo dispositivo e i dati grezzi non escono mai. Attenzione però: non tutte le implementazioni nascondono l’input, e la privacy di rete (indirizzo IP) richiede strumenti aggiuntivi.

Esiste un token dello zk-ML su cui investire?

Esistono diversi token legati all’AI verificabile, da LA di Lagrange a PROVE di Succinct, ma questa guida non è un consiglio di investimento. Vale la pena notare che quasi tutti restano molto sotto i massimi storici nonostante la tecnologia funzioni, segno di uno scollamento tra valore tecnico e valore di mercato. L’infrastruttura zk-ML, inoltre, non ha necessariamente bisogno di un token per funzionare.

Di Marcus Okafor, redazione AI e crypto di HOGE Wire.