Da qui in poi si entra nel tecnico. Le scelte che seguono non sono preferenze di ingegneria: sono ciò che rende il sistema sostenibile nel costo e difendibile davanti a un'amministrazione e a un garante.
Quella sul telefono conosce lei. Quella sul server conosce la città. Si scambiano intenzioni minimizzate, mai documenti grezzi.
Memoria personale cifrata, chiavi crittografiche, consensi. Un modello piccolo, quando il telefono lo permette, legge e filtra sul dispositivo: estrae i valori da un referto e manda al server solo "serve una visita cardiologica".
I dati sensibili non lasciano il telefonoIl grafo del territorio: chi c'è, cosa offre, cosa serve, come le cose si legano. Gli agenti sono sottili: un contesto, una memoria, dei permessi. Si svegliano quando accade un evento, non girano a vuoto.
Funziona a telefono spentoIl modello grande entra solo sul ragionamento difficile: ottimizzare l'energia di una comunità, istruire una proposta del fondo, leggere un fascicolo. Il traffico ordinario lo servono modelli piccoli e veloci.
Non lascia il territorioIl sistema funziona al cento per cento anche senza il modello sul telefono.
Ciò che gira sul dispositivo migliora privacy e reattività, non abilita funzioni. I modelli locali richiedono telefoni recenti, e un telefono da 150 euro è esattamente quello di chi ha più bisogno del servizio. In un servizio pubblico non esistono cittadini di serie A e di serie B in base al dispositivo.
Un agente persistente che si sveglia ogni ora per controllare se c'è qualcosa da fare, moltiplicato per tutti i cittadini di un comune, produce centinaia di migliaia di risvegli al giorno, quasi tutti per scoprire che non c'era nulla. Un agente a eventi si sveglia solo quando succede qualcosa, e ogni risveglio ha una ragione tracciabile.
Due modelli che si scambiano frasi libere sono lenti, costosi, impossibili da verificare e manipolabili con testo ostile. I nostri agenti si scambiano intenzioni strutturate su un protocollo aperto: una prenotazione è un oggetto con dei campi, non una conversazione. Il linguaggio naturale resta ai bordi, verso le persone.
Qualunque modello di frontiera oggi sarà superato entro diciotto mesi e verrà sostituito. Il sistema è costruito perché quella sostituzione sia manutenzione, non un rischio: il fornitore del modello è astratto dal primo giorno.
Il grafo di chi c'è, cosa offre, cosa serve e come le cose si legano, invece, si accumula ogni giorno e non è ricostruibile da fuori. È l'asset che cresce mentre tutto il resto si deprezza, e va progettato per primo.
Il novantacinque per cento del traffico è routine: orari, prenotazioni, moduli, indirizzi. Lo servono modelli piccoli e veloci. Il modello grande, ospitato nel datacenter di Perugia, interviene sul cinque per cento che richiede ragionamento vero. Usare un modello da centinaia di miliardi di parametri per prenotare una cena è insostenibile economicamente, e non serve.
Il vantaggio di avere il modello grande in casa non è la velocità: è la sovranità. Atti amministrativi e dati sanitari che non escono mai dal territorio.
Le GPU si comprano per ultime, non per prime.
Si parte su modelli via interfaccia esterna, si costruisce il grafo, si dimostra il valore, si chiude il finanziamento, e solo allora si porta il modello in casa: quando i volumi lo giustificano e la residenza del dato è diventata un requisito contrattuale che la pubblica amministrazione paga.
Il cittadino apre una schermata e vede il registro degli accessi ai propri dati, leggibile da una persona, non da un avvocato. E revoca con un dito. Le chiavi stanno sul dispositivo, quindi il consenso è applicato tecnicamente, non promesso in un'informativa.
È la differenza fra "il Comune mi sorveglia" e "il Comune mi serve", e nessuna tecnologia recupera quella percezione se la si sbaglia all'inizio.
Il business plan completo, con il modello economico a tre scenari, il team, l'uso dei fondi e le verifiche ancora aperte. E la roadmap con i traguardi misurabili di ogni fase.