Competenza di missione: sistemi che sanno cosa possono fare

Chiedete a un operatore di sistemi critici che cosa teme di più in una piattaforma di intelligenza artificiale, e la risposta raramente sarà "che fallisca". Sarà "che affermi di saper fare qualcosa che non sa fare". Una capacità fantasma è peggiore di una capacità assente: quella assente è nota e viene aggirata; quella fantasma viene creduta — fino al momento in cui il mondo presenta il conto della differenza.

Zendrix tratta questo problema come una proprietà architetturale. Chiamiamo competenza di missione la disciplina con cui un sistema — a se stesso e ai suoi operatori — dichiara solo le capacità validate nel contesto in cui si trova. Questo articolo ne descrive i principi di modellazione, proseguendo le nostre pubblicazioni su autonomia con perimetro formale e incertezza calibrata.

La capacità non è binaria — è contestuale

L'errore più comune nella gestione delle capacità è trattarle come attributi permanenti dell'equipaggiamento. "Il sistema ha un sensore ottico" compare nell'inventario come un fatto; ma un sensore ottico con cielo sereno e lo stesso sensore con copertura chiusa sono, operativamente, due sistemi diversi. La capacità esiste nell'intersezione tra equipaggiamento, contesto e validazione — e qualsiasi modello che ignori uno dei tre fattori produce falsa conoscenza di sé.

La modellazione della competenza di Zendrix rappresenta quell'intersezione in modo esplicito. Ogni capacità è legata ai contesti in cui è stata validata — condizioni ambientali, regimi di comunicazione, classe di compito — e a ogni coppia (capacità, contesto) corrisponde un livello formale di autonomia, tra gli stessi livelli dichiarati e verificabili che la piattaforma già utilizza per la governance delle azioni. Una capacità validata in un contesto ampio opera con autonomia ampia; la stessa capacità in un contesto mai validato opera a livello zero: il sistema sa di non sapere lì.

Scelta per competenza, non per disponibilità

La conseguenza operativa più importante è il cambio del criterio di selezione. I sistemi convenzionali assegnano compiti in base a ciò che è disponibile: quale risorsa esiste, quale è libera, quale risponde. I sistemi con competenza di missione assegnano in base a ciò che è validato: quale risorsa ha competenza verificata per quel compito in quel contesto.

La differenza si mostra per intero nei casi difficili. Con copertura chiusa, una risorsa di imaging che dipende dalla vista diretta può essere disponibile e incompetente; una risorsa a sensore attivo, immune alla copertura, può essere meno comoda e la competente. La scelta per disponibilità scala la prima e scopre l'errore in operazione. La scelta per competenza scala la seconda — e registra il motivo della scelta nella traccia di audit, così che la decisione possa essere ricostruita e contestata in seguito.

Lo stesso vale per l'autoassegnazione interna: quando il sistema pianifica, pianifica con le competenze che possiede nel contesto in cui si trova, non con quelle che possiederebbe in condizioni ideali. Un piano che richiede una capacità non validata nel contesto corrente viene declassato, riassegnato o rifiutato — mai eseguito nella speranza.

Contesto vergine: l'onestà del livello zero

Ci saranno sempre contesti in cui non esiste validazione — ambiente nuovo, condizione mai vista, combinazione mai provata. La risposta matura non è estrapolare con fiducia decorativa; è dichiarare il livello zero e operare di conseguenza.

Il livello zero non è paralisi. È il sistema che dice in modo esplicito e verificabile: "in questo contesto questa capacità non è stata validata; raccomando, ma non eseguo in autonomia". L'autorità umana riceve la raccomandazione con l'incertezza dichiarata — e decide. Se la decisione è procedere, il risultato alimenta la base di validazione, e la competenza futura si acquisisce con evidenza, non si presume per analogia. È così che un sistema estende il proprio perimetro in modo responsabile: ogni nuovo contesto attraversato sotto supervisione umana diventa contesto validato per la volta successiva.

Questa architettura trasforma il rapporto tra operatore e sistema. L'operatore non deve indovinare quando fidarsi: il sistema dichiara il proprio livello di competenza per contesto, con la stessa obiettività con cui dichiara lo stato della batteria. La fiducia smette di essere una sensazione e diventa un'interfaccia — con numeri, livelli e tracce di audit dietro.

Competenza misurata: il ponte verso la cultura dell'evidenza

La competenza di missione è reale solo se misurata. Zendrix mantiene, come infrastruttura di questa modellazione, registri di validazione per coppia (capacità, contesto): scenari esercitati in simulazione ad alta fedeltà, soglie di accettazione raggiunte, data e versione della validazione. Una competenza senza registro di validazione è trattata come inesistente — non per pessimismo, ma perché l'alternativa è esattamente il fantasma con cui questo articolo si apre.

Questi registri si integrano nei meccanismi di garanzia che abbiamo già descritto pubblicamente: livelli formali e verificabili di autonomia, tracce di audit resistenti alla manomissione e verifica crittografica dell'effetto dichiarato delle azioni. Il modello di competenza non è uno strato di presentazione sopra il sistema — è parte del sistema di governance, consultato a ogni decisione di assegnazione e registrato a ogni scelta.

Uso duale e sovranità

Il problema della competenza contestuale attraversa difesa e infrastrutture critiche con la stessa forza. Un operatore di rete deve sapere se il sistema di rilevamento delle anomalie è stato validato per il regime di carico odierno; una protezione civile deve sapere se la capacità di analisi delle immagini è stata validata per condizioni notturne e di pioggia; un'autorità aeronautica deve sapere cosa un sistema senza equipaggio può e non può fare sotto degradazione del collegamento. In tutti i casi la domanda è la stessa — e la risposta onesta esige modellazione esplicita, non ottimismo.

C'è anche una dimensione sovrana. Un sistema che conosce e dichiara le proprie competenze è un sistema che può essere verificato dalla propria nazione: le validazioni, le soglie e i livelli restano sotto giurisdizione e controllo nazionali, invece di dipendere dalla parola di un fornitore straniero su ciò che la sua scatola nera "può fare". Trasparenza interna e sovranità vanno insieme.

Lo stato dello sviluppo

La modellazione della competenza di missione è implementata e operativa negli ambienti di validazione di Zendrix, integrata nella governance dell'autonomia e nei registri di simulazione descritti nelle nostre pubblicazioni precedenti. I criteri di assegnazione — quale evidenza promuove una competenza di livello, quale degradazione la retrocede — sono espliciti, versionati e verificabili, e diventano più severi a ogni ciclo di validazione.

La posizione istituzionale è quella di sempre, applicata a un nuovo oggetto: non promettiamo sistemi onniscienti. Costruiamo sistemi che sanno cosa possono fare, dichiarano ciò che non possono fare e non oltrepassano mai quel confine in silenzio. Un sistema così non impressiona nella dimostrazione — impressiona in operazione, ed è lì che difesa e infrastrutture critiche devono impressionare.