Computer quantistico: cos'è, come funziona e cosa può cambiare davvero

Il problema è la seconda metà. Un computer quantistico può effettivamente rappresentare, dentro il proprio stato, un numero enorme di possibilità contemporaneamente. Ma quando lo si interroga, restituisce una risposta — e senza un algoritmo costruito nel modo giusto, quella risposta è casuale. Il lavoro difficile, quello che distingue un algoritmo quantistico utile da un costosissimo generatore di numeri casuali, sta nel far sì che la risposta che esce sia quella giusta.

Qui vediamo cos'è un qubit e perché non è «un bit che vale 0 e 1 insieme», da dove nasce il vantaggio quantistico, per quali problemi vale e per quali no, cosa rende oggi questi computer così fragili, a che punto siamo realmente nel 2026 e cosa cambia — e cosa non cambia — per la crittografia.

Perché non è «un computer normale, ma più veloce»

Vale la pena mettere subito il punto di arrivo. Un computer quantistico non è la generazione successiva del computer che hai sulla scrivania. È una macchina che calcola secondo regole diverse, buona per una famiglia specifica di problemi e inutile — davvero inutile, non «meno conveniente» — per quasi tutto il resto.

Aprire una pagina web, scrivere un documento, montare un video, far girare un gestionale, servire una query a un database: sono operazioni per cui un processore classico è lo strumento giusto, e resterà tale. Non c'è nessuna versione futura del computer quantistico che aprirà Word più in fretta. Se un giorno queste macchine entreranno nella vita quotidiana, sarà come acceleratori specializzati collegati a computer normali — un po' come oggi le schede grafiche fanno una cosa sola molto bene, mentre il resto lo fa la CPU.

Detto questo, la famiglia di problemi in cui possono essere migliori è interessante abbastanza da giustificare decine di miliardi di investimenti. Per capire quali e perché, serve capire come funzionano.

Bit e qubit

Un computer classico lavora con bit: ogni bit vale 0 oppure 1, e in ogni istante ha un valore definito. Otto bit rappresentano un numero fra 0 e 255, uno alla volta.

Un computer quantistico lavora con qubit. Un qubit ha due stati di riferimento, che chiamiamo anch'essi 0 e 1, ma il suo stato generale è una combinazione dei due, descritta da due numeri chiamati ampiezze: una associata a 0, una associata a 1. Le ampiezze non sono probabilità: la probabilità di leggere 0 o 1 si ottiene elevando al quadrato il loro valore assoluto.

Se ti capita di vedere la notazione α|0⟩ + β|1⟩, ora sai leggerla: α e β sono le due ampiezze, e le probabilità di ottenere 0 o 1 misurando quel qubit sono |α|² e |β|². Non serve altro per il resto dell'articolo.

La differenza che conta non è cosmetica. Le ampiezze possono essere negative — più precisamente, sono numeri complessi, che portano anche un'informazione di «fase». È questo dettaglio, apparentemente tecnico, che rende possibile il vantaggio quantistico: due contributi con segno opposto possono cancellarsi. Le probabilità classiche non lo fanno mai: si sommano e basta.

Sovrapposizione: cosa dice e cosa non dice

Uno qubit in sovrapposizione ha ampiezze diverse da zero sia su 0 sia su 1. Due qubit hanno quattro combinazioni possibili (00, 01, 10, 11) e quindi quattro ampiezze. Tre qubit, otto. Con n qubit, lo stato è descritto da 2ⁿ ampiezze: con 300 qubit, più ampiezze di quanti atomi si stimino nell'universo osservabile.

È il numero che genera i titoli entusiasti, e va maneggiato con precisione. Quelle 2ⁿ ampiezze non sono 2ⁿ bit di memoria che puoi leggere. Se misuri i tuoi n qubit, ottieni una singola stringa di n bit — una delle 2ⁿ possibili, scelta con probabilità pari al quadrato della sua ampiezza. Tutto il resto svanisce: dopo la misura lo stato non è più in sovrapposizione.

Quindi: la sovrapposizione dà accesso a uno spazio enorme durante il calcolo, ma il canale d'uscita resta stretto. Un computer quantistico che si limitasse a mettere i qubit in sovrapposizione e poi a misurarli produrrebbe numeri casuali, niente di più.

Entanglement: correlazioni che non si spezzano in parti

Quando due o più qubit sono entangled, lo stato del sistema non può essere scritto come «questo qubit fa così e quest'altro fa così». Le proprietà esistono solo per l'insieme: misurando un qubit ottieni informazione su cosa darà la misura dell'altro, anche se sono fisicamente distanti.

Su questo punto la divulgazione ha accumulato più danni che altrove, quindi conviene essere chiari su cosa l'entanglement non è. Non è un canale di comunicazione: chi misura il primo qubit ottiene un risultato che, da solo, sembra casuale, e non può usarlo per trasmettere un messaggio all'altro. Le correlazioni si vedono soltanto confrontando i risultati delle due misure — e per confrontarli serve un canale ordinario, alla velocità della luce o meno. Nessuna informazione viaggia più veloce della luce, e nessun esperimento sull'entanglement lo permette.

Per il calcolo, l'utilità dell'entanglement è più prosaica: permette a un'operazione su un qubit di avere effetto sullo stato complessivo, ed è il meccanismo con cui gli algoritmi costruiscono le correlazioni che poi l'interferenza sfrutta.

Interferenza: qui nasce il vantaggio

Questo è il concetto che quasi nessuna divulgazione italiana spiega, ed è quello che rende il resto comprensibile.

Un algoritmo quantistico è una sequenza di operazioni che trasformano le ampiezze. L'obiettivo non è «esplorare tutte le possibilità»: è redistribuire le ampiezze perché, al momento della misura, quelle delle risposte utili siano grandi e quelle delle risposte inutili siano piccole o nulle. Poiché le ampiezze hanno una fase e possono avere segni opposti, contributi diversi che portano allo stesso risultato possono rafforzarsi (interferenza costruttiva) o annullarsi (interferenza distruttiva).

È esattamente ciò che si vede in fisica quando due onde si sommano: creste che si allineano fanno un'onda più alta, una cresta e una valle si cancellano.

La conseguenza è quella che dà il titolo a questa sezione: la sovrapposizione da sola non dà nessun vantaggio computazionale. Serve un algoritmo che sappia usare l'interferenza per il problema specifico. Ed è anche il motivo per cui gli algoritmi quantistici veramente utili si contano: progettarli è difficile, e per moltissimi problemi nessuno sa come fare — non perché non ci si sia provato.

Porte e circuiti: come si programma

In pratica, un algoritmo quantistico si scrive come un circuito: una sequenza di porte quantistiche (quantum gates) applicate ai qubit, seguita da una misura.

Le porte sono operazioni reversibili che ruotano lo stato: alcune agiscono su un qubit alla volta (una porta molto usata mette un qubit in sovrapposizione bilanciata), altre su due qubit e servono a creare entanglement. Il circuito porta lo stato iniziale — di solito tutti i qubit a 0 — attraverso una trasformazione progettata perché, alla fine, l'interferenza abbia concentrato l'ampiezza dove serve. Poi si misura, si ottiene una stringa di bit, e in genere si ripete l'intero circuito molte volte per raccogliere statistica.

Questo «ripetere molte volte» non è un dettaglio implementativo: è parte del modello di calcolo. Un algoritmo quantistico è utile quando la risposta corretta esce con probabilità alta abbastanza da riconoscerla in poche ripetizioni.

Perché non è «infinitamente più veloce»

Riassumendo quanto visto: perché un computer quantistico batta un computer classico servono tre cose insieme — un problema con la struttura giusta, un algoritmo che sappia sfruttarla, e un hardware in grado di eseguirlo.

Quando anche una sola manca, il computer classico vince, e spesso di molto. Vale la pena dire concretamente cosa non accelera:

• tutto ciò che è già veloce in modo lineare — leggere un file, sommare una colonna, servire una pagina;
• le operazioni dominate dallo spostamento di dati, che è un problema di ingegneria classica;
• la maggior parte dei calcoli su dati numerici massivi, dove le GPU sono estremamente efficienti;
• qualunque cosa richieda di leggere un input enorme, perché caricare grandi quantità di dati classici in uno stato quantistico è a sua volta costoso e spesso annulla il vantaggio teorico.

L'ultimo punto è meno noto e piuttosto importante: molti «algoritmi quantistici veloci» presentati sulla carta assumono di avere l'input già disponibile in una forma quantistica particolare, e nessuno sa come produrla in modo economico. È una delle ragioni per cui il passaggio dalla teoria all'applicazione è più lento di quanto i comunicati facciano pensare.

Shor: il problema della fattorizzazione

L'algoritmo di Shor, del 1994, è la ragione per cui i governi hanno cominciato a interessarsi seriamente a questa tecnologia.

Il problema che risolve è la fattorizzazione: dato un numero molto grande, trovare i due numeri primi che moltiplicati lo producono. Sui computer classici non si conosce nessun metodo efficiente, e su questa difficoltà si basa RSA, uno degli schemi crittografici più usati. Shor mostra che un computer quantistico abbastanza grande e affidabile risolverebbe il problema in tempi ragionevoli — un guadagno esponenziale rispetto ai migliori metodi classici conosciuti. Una variante dello stesso approccio risolve anche il problema su cui si basa la crittografia a curve ellittiche (ECC) e lo scambio di chiavi Diffie-Hellman.

Attenzione a come si legge questa frase. Shor è un risultato teorico dimostrato, non una capacità esistente. Nessun computer quantistico oggi si avvicina a fattorizzare una chiave RSA reale: le dimostrazioni fatte finora hanno riguardato numeri piccolissimi, spesso con scorciatoie che non si estendono al caso generale.

Quanto servirebbe? Le stime esistono, cambiano nel tempo e vanno lette per quello che sono. La più citata è di un ricercatore di Google Quantum AI: nel 2019, con un collega, aveva stimato circa 20 milioni di qubit fisici e otto ore di calcolo per RSA-2048; in un lavoro del 2025 ha rivisto la stima sotto il milione di qubit fisici, con un tempo di esecuzione di meno di una settimana. La riduzione non viene da hardware migliore: viene da algoritmi e codici di correzione più efficienti, a parità di ipotesi sull'hardware. Sono preprint, non risultati sperimentali, e cambieranno di nuovo: dipendono dall'architettura, dal tasso di errore assunto, dal codice di correzione usato e dall'algoritmo. Vanno prese come ordini di grandezza — «milioni, non migliaia» — non come numeri di riferimento.

Il divario con l'hardware esistente non si misura contando i qubit. Esistono già piattaforme — in particolare ad atomi neutri — con migliaia di qubit fisici, e array sperimentali che ne hanno mostrati diverse migliaia: numeri che, messi accanto a «meno di un milione», sembrerebbero vicini. Non lo sono, perché la stima non chiede semplicemente un milione di qubit: chiede un milione di qubit con quelle caratteristiche — un tasso di errore per operazione entro lo 0,1%, una connettività adeguata al codice di correzione, la capacità di eseguire cicli di correzione a ritmo costante e di sostenere un circuito fault-tolerant per giorni senza interruzioni. I sistemi che si avvicinano a quel profilo di qualità, architettura e correzione degli errori restano lontani di ordini di grandezza dalla macchina richiesta, e il numero di qubit è la meno significativa delle distanze.

Grover: un guadagno più modesto, ma su tutto

L'algoritmo di Grover affronta un problema molto più generico: cercare un elemento in un insieme non ordinato, senza nessuna struttura da sfruttare. Un computer classico, nel caso peggiore, deve provare tutte le N possibilità. Grover ci arriva in un numero di passi proporzionale alla radice quadrata di N.

È un guadagno quadratico, non esponenziale, e la differenza è enorme. Su un problema che classicamente richiede 2¹²⁸ tentativi, Grover ne richiede circa 2⁶⁴: un'accelerazione impressionante sulla carta, ma 2⁶⁴ operazioni quantistiche in sequenza — ciascuna delle quali va eseguita senza errori — sono ancora ben oltre qualunque orizzonte immaginabile. Ed è per questo che, applicato alla crittografia simmetrica, Grover non si traduce in «AES è rotto».

La formulazione corretta è più noiosa e più utile. Grover riduce in teoria il costo di una ricerca esaustiva, ma non «rompe» AES: il guadagno quadratico pieno richiede una computazione lunghissima e sostanzialmente seriale — difficile da parallelizzare, a differenza di un attacco classico a forza bruta — e nella pratica il vantaggio effettivo può essere molto inferiore a quello teorico. Chiavi più lunghe aumentano il margine di sicurezza, ma non esiste una regola universale del tipo «raddoppia la chiave»: le raccomandazioni concrete arrivano dagli standard, e oggi NIST non chiede di abbandonare AES-128, AES-192 o AES-256 per le applicazioni correnti.

Il problema vero: errori, rumore, decoerenza

Se il quadro teorico è chiaro da trent'anni, la difficoltà è tutta ingegneristica, ed è più grossa di quanto i comunicati suggeriscano.

Un qubit è un sistema fisico microscopico — un circuito superconduttore raffreddato a frazioni di grado sopra lo zero assoluto, uno ione intrappolato da campi elettrici, un atomo tenuto fermo da laser. Per funzionare deve essere abbastanza isolato dall'ambiente da conservare le sue ampiezze e le loro fasi, e abbastanza accessibile da poter essere manipolato e letto. Le due esigenze sono in conflitto.

Il risultato è la decoerenza: l'interazione con l'ambiente — vibrazioni, campi elettromagnetici, radiazione, imperfezioni del materiale — degrada progressivamente l'informazione quantistica, e in particolare le relazioni di fase da cui dipende l'interferenza. Non c'è nessun osservatore consapevole coinvolto: «misura» in questo contesto significa qualunque interazione fisica che porti informazione fuori dal sistema. È un processo fisico, non un fatto psicologico.

A questo si aggiungono gli errori delle operazioni: ogni porta ha una probabilità di sbagliare, e anche la lettura finale può dare il valore errato. Su circuiti lunghi questi errori si accumulano, e a un certo punto il risultato è indistinguibile dal rumore.

Da qui una conseguenza che aiuta a leggere le notizie: aumentare il numero di qubit senza migliorarne la qualità non serve. Un processore con molti qubit rumorosi può eseguire circuiti più corti di uno con meno qubit ma più precisi. È il motivo per cui i «record di qubit» presi da soli non dicono quasi nulla.

Qubit fisici e qubit logici

È la distinzione che permette di capire perché due annunci non sono confrontabili.

Un qubit fisico è l'oggetto hardware reale: rumoroso, con un tempo di vita limitato e una certa probabilità di errore per operazione.

Un qubit logico è un'unità di informazione quantistica codificata su molti qubit fisici, in modo che gli errori dei singoli possano essere rilevati e corretti senza distruggere l'informazione. È il qubit che un algoritmo utile userebbe.

Quanti fisici per uno logico? Non esiste un rapporto fisso, e i numeri che circolano vanno letti nel loro contesto: dipende dal tasso di errore dell'hardware, dal codice di correzione scelto, dalla connettività dell'architettura e dal livello di affidabilità che si vuole ottenere. Con hardware appena sotto la soglia di funzionamento servono molti fisici per uno logico; con hardware migliore o codici più efficienti, molti meno. Nel 2026 si va da dimostrazioni con rapporti molto bassi su alcune architetture a stime di centinaia o migliaia di qubit fisici per qubit logico di alta affidabilità nei progetti a lungo termine.

Ecco perché un titolo tipo «azienda X annuncia un computer da 10.000 qubit» e uno tipo «azienda Y dimostra 50 qubit logici» non si possono mettere in fila: parlano di cose diverse. E per la stessa ragione, nelle stime su RSA, «migliaia di qubit logici» e «centinaia di migliaia o milioni di qubit fisici» descrivono due livelli diversi dello stesso problema, non due quantità convertibili con un rapporto fisso: il primo numero dice quanta risorsa quantistica codificata chiede l'algoritmo, il secondo quanto hardware serve per costruirla — e quel secondo numero dipende dal codice, dai suoi parametri, dal tasso di errore, dall'architettura e da tutto ciò che la correzione degli errori porta con sé, comprese le risorse dedicate a produrre gli stati speciali necessari a certe operazioni logiche e al collegamento fra le parti del sistema.

Correggere gli errori senza poter copiare

Su un computer classico, il modo più semplice di proteggere un bit è duplicarlo: scrivo tre copie, e se una si corrompe le altre due vincono ai voti.

Con i qubit non funziona, per una ragione di principio: non si può fare una copia fedele di uno stato quantistico sconosciuto. È un teorema, non una limitazione tecnologica, e ha un corollario pratico: non si può nemmeno «guardare» un qubit per vedere se ha sbagliato, perché guardarlo ne distrugge la sovrapposizione.

La correzione quantistica degli errori aggira entrambi gli ostacoli in modo elegante. L'informazione di un qubit logico viene distribuita su molti qubit fisici secondo un codice, e alcuni qubit ausiliari vengono misurati in modo da rivelare la presenza e il tipo di errore senza rivelare nulla sull'informazione codificata. Da queste misure si deduce quale correzione applicare. Il codice più studiato — e quello su cui si basano le dimostrazioni più solide — organizza i qubit su una griglia bidimensionale; altri approcci, che promettono meno qubit fisici a parità di affidabilità, sono oggetto di ricerca attiva.

Il concetto chiave si chiama soglia. Se il tasso di errore dei componenti fisici scende sotto un certo valore critico, allora ingrandire il codice riduce l'errore del qubit logico, e lo riduce rapidamente. Se invece l'hardware sta sopra la soglia, ingrandire il codice peggiora le cose: si aggiungono più fonti di errore di quante se ne correggano. Non è vero, quindi, che «basta aggiungere qubit»: bisogna prima essere sotto la soglia.

Ed è precisamente questo il senso del risultato che Google ha pubblicato su Nature: su un processore superconduttore a 105 qubit, passando da un codice più piccolo a uno più grande (fino a 101 qubit fisici per un solo qubit logico) l'errore logico è sceso, di un fattore di circa 2 per ogni incremento di distanza del codice, e la memoria logica ha conservato l'informazione più a lungo del miglior singolo qubit del chip. È la dimostrazione sperimentale che il regime sotto soglia è raggiungibile.

Va detto anche cosa quel risultato non è: una memoria quantistica corretta, non un computer che esegue algoritmi utili. Correggere gli errori non significa azzerarli — significa tenerli abbastanza bassi da poter eseguire un circuito lungo prima che si accumulino.

Fault tolerance: cosa vuol dire «funziona davvero»

Fault tolerance è la proprietà per cui gli errori che avvengono durante il calcolo vengono contenuti e corretti man mano, invece di accumularsi fino a rendere il risultato inutilizzabile. Non è definita da una scala: un piccolo circuito eseguito con protezione dagli errori è già fault-tolerant. Ciò che serve per applicazioni grandi come Shor su una chiave reale è un'altra cosa — molti qubit logici e circuiti da milioni o miliardi di operazioni — e quella è una questione di scala, non di principio.

La distinzione conta, perché è il punto in cui le notizie vengono lette male. Le tappe sono queste:

Le prime quattro righe sono fatti sperimentali: nel 2026 esistono dimostrazioni pubblicate di insiemi universali di porte logiche fault-tolerant e di piccoli algoritmi eseguiti in questo modo — fra cui una versione di Grover su tre qubit logici. Sono esperimenti su pochi qubit logici e circuiti brevi, ed è precisamente questo che li rende significativi: mostrano che il meccanismo funziona end-to-end, non solo in memoria.

Le ultime due sono un'altra questione. «Abbiamo eseguito un algoritmo su qubit logici» non significa «abbiamo un computer quantistico fault-tolerant su larga scala»: fra le due c'è il salto di scala — da tre qubit logici a centinaia o migliaia, da circuiti brevi a miliardi di operazioni — che è dove si trova la maggior parte del lavoro ancora da fare.

A che punto siamo nel 2026

Il quadro è più interessante — e più incerto — di come lo raccontano sia gli entusiasti sia gli scettici. Nessuna architettura ha vinto: superconduttori, ioni intrappolati, atomi neutri, fotoni e qubit di spin nel silicio hanno ciascuno vantaggi e limiti diversi, e i confronti vanno letti come compromessi, non come classifiche. Gli ioni intrappolati offrono le fidelity più alte e una connettività completa fra qubit, ma operazioni più lente; i superconduttori sono rapidi e si fabbricano con tecniche vicine a quelle dei chip, ma hanno tempi di coerenza brevi e connettività locale; gli atomi neutri promettono numeri elevati con architetture riconfigurabili. Nel 2026 anche Google, storicamente concentrata sui superconduttori, ha aggiunto una linea di ricerca sugli atomi neutri: un segnale di quanto la questione sia aperta.

Sui risultati concreti, tre esempi documentati vale la pena tenere a mente.

Correzione degli errori sotto soglia. È il risultato Google su Nature già descritto: la dimostrazione che il meccanismo su cui si basa tutta la strategia funziona nella pratica.

Vantaggio quantistico verificabile. Nell'ottobre 2025 Google ha pubblicato su Nature un esperimento (chiamato Quantum Echoes) in cui il processore calcola una particolare grandezza fisica circa 13.000 volte più rapidamente del miglior algoritmo classico su un supercomputer, con un risultato ripetibile e controllabile — a differenza dell'esperimento del 2019, il cui output era una distribuzione casuale difficile da verificare. È un progresso reale sul piano metodologico, e allo stesso tempo un compito scelto perché è difficile per i computer classici: non è un problema commerciale, e non dimostra che i supercomputer siano stati superati in generale.

Qubit logici in numero. Un sistema a ioni intrappolati presentato a fine 2025, con 98 qubit fisici e connettività completa fra qubit, ha dimostrato diverse decine di qubit logici — e qui il numero preciso dipende da cosa si sta misurando: la stessa macchina viene descritta con 48 qubit logici pienamente corretti in una configurazione e con 50 qubit logici in una modalità che rileva gli errori senza correggerli tutti, e con codici diversi si ottengono numeri diversi ancora. Non sono metriche interscambiabili, ed è un buon esempio di perché «quanti qubit logici?» sia una domanda a cui non si può rispondere con un solo numero. L'architettura è descritta in un articolo su Nature.

Accanto a questi ci sono le roadmap, che sono cosa diversa. IBM, per esempio, ha pubblicato un piano dettagliato che prevede un sistema con 200 qubit logici e cento milioni di operazioni per il 2029, con tappe intermedie annuali; e dichiara di aspettarsi un primo vantaggio quantistico verificato entro la fine del 2026. Altri operatori hanno piani analoghi con numeri e date proprie. Sono obiettivi industriali dichiarati, utili per capire dove il settore punta — non previsioni, e non risultati.

C'è infine un capitolo che merita prudenza: le architetture basate su qubit topologici, presentate da alcuni come una scorciatoia verso qubit intrinsecamente più stabili. Gli annunci in questo campo fra 2025 e 2026 hanno generato discussioni scientifiche non ancora concluse sull'interpretazione dei dati sperimentali. Il modo corretto di registrarlo è: è una linea di ricerca legittima con una promessa teorica forte, e non una tecnologia dimostrata alla pari delle altre.

Cosa cambia per la crittografia

Qui il discorso diventa concreto, perché è l'unico ambito in cui il computer quantistico sta già cambiando decisioni operative — pur non esistendo ancora nella forma che conta.

La crittografia a chiave pubblica che protegge oggi la navigazione web, la posta, gli aggiornamenti software e le transazioni bancarie si basa su pochi problemi matematici ritenuti difficili: la fattorizzazione di grandi numeri (RSA) e alcune varianti del logaritmo discreto (Diffie-Hellman, curve ellittiche). L'algoritmo di Shor li risolve tutti. Non «li indebolisce»: li risolve.

Le funzioni crittografiche simmetriche — quelle che cifrano il contenuto vero e proprio, come AES — e le funzioni hash sono in una posizione diversa: subiscono effetti dagli attacchi quantistici generici, di natura differente a seconda della proprietà considerata, ma non vengono rese inutilizzabili come RSA ed ECC. Restano gli strumenti su cui si costruisce, con parametri da valutare invece che con algoritmi da sostituire.

Quindi: non è «la fine della crittografia», ma è la fine di quella famiglia di algoritmi a chiave pubblica, quando e se esisteranno macchine adeguate. E la sostituzione non richiede tecnologia quantistica: richiede algoritmi classici basati su problemi matematici che nemmeno un computer quantistico sappia risolvere.

Crittografia post-quantistica: cos'è già pronto

Ed è esattamente ciò che è stato fatto, con anni di anticipo. La crittografia post-quantistica è un insieme di algoritmi classici — girano sui computer di oggi, senza nessun hardware speciale — progettati per resistere anche a un attaccante dotato di computer quantistico. Da non confondere con la crittografia quantistica, che è una cosa diversa: usa proprietà fisiche per distribuire chiavi, richiede hardware dedicato e non è ciò verso cui il mondo sta migrando.

Dopo una selezione pubblica di otto anni, nell'agosto 2024 il NIST statunitense ha pubblicato i primi tre standard: ML-KEM (FIPS 203) per lo scambio di chiavi, derivato dall'algoritmo noto in fase di gara come CRYSTALS-Kyber; ML-DSA (FIPS 204) per le firme digitali, derivato da CRYSTALS-Dilithium; e SLH-DSA (FIPS 205), firme basate su funzioni hash, derivato da SPHINCS+, tenuto come alternativa con ipotesi di sicurezza diverse. I nomi da gara (Kyber, Dilithium, SPHINCS+) si incontrano ancora spesso, ma i nomi normativi sono i primi. Nel marzo 2025 il NIST ha selezionato un ulteriore algoritmo di scambio chiavi di riserva, basato su una matematica differente, e un altro standard di firma è in lavorazione: l'obiettivo dichiarato è non dipendere da un'unica famiglia matematica.

Il motivo per cui la migrazione è già cominciata, e non aspetta il primo computer quantistico capace, ha un nome: harvest now, decrypt later. Un attaccante può registrare oggi traffico cifrato che non sa leggere, conservarlo e decifrarlo in futuro se e quando avrà lo strumento. Per dati che devono restare riservati dieci o vent'anni — cartelle sanitarie, segreti industriali, comunicazioni di Stato — il rischio è attuale anche se la macchina non esiste. È il ragionamento dietro le scadenze di migrazione fissate da vari governi, che collocano l'abbandono degli algoritmi vulnerabili intorno al 2030-2035.

Per un'azienda normale questo non significa implementare algoritmi post-quantistici da sola, né sostituire l'infrastruttura in fretta. Molti aggiornamenti arriveranno effettivamente per conto proprio, attraverso browser, sistemi operativi, librerie crittografiche, servizi cloud e fornitori. Ma «non serve panico» non vuol dire «non serve fare niente adesso»: le indicazioni delle autorità che si occupano di standard vanno nella direzione di prepararsi già ora, e per un'organizzazione questo significa poche cose concrete — capire dove si usano oggi RSA, ECC e Diffie-Hellman (spesso in punti insospettati: VPN, firme di documenti, aggiornamenti firmware, integrazioni con fornitori); chiedere ai propri fornitori tecnologici quali sono le loro roadmap e le loro compatibilità; preferire soluzioni che permettano di cambiare algoritmo senza riscrivere il sistema — è quella che viene chiamata crypto-agility; e dare priorità ai dati che devono restare riservati a lungo. La domanda utile da cui partire è proprio quest'ultima: quali dei miei dati devono restare riservati per più di dieci anni?

Quantum computing e intelligenza artificiale non sono la stessa cosa

Vengono nominati insieme perché sono le due tecnologie di cui si parla, e la sovrapposizione finisce lì.

I modelli di intelligenza artificiale odierni girano su GPU, e i loro collo di bottiglia sono la quantità di dati, la memoria e l'energia. Un computer quantistico non li risolve: caricare grandi quantità di dati classici in uno stato quantistico è a sua volta costoso, e nessuno ha mostrato un modo per farlo che conservi il vantaggio teorico. Non esiste, nel 2026, nessuna dimostrazione che un computer quantistico possa addestrare o eseguire un modello linguistico meglio dell'hardware classico.

Il quantum machine learning esiste come campo di ricerca serio, con risultati teorici interessanti su problemi specifici — spesso su dati che sono essi stessi di natura quantistica. È ricerca, non prodotto. Le frasi da diffidare sono quelle del tipo «il quantum renderà l'AI infinitamente più potente» o «sostituirà le GPU»: la prima è priva di contenuto, la seconda è tecnicamente sbagliata.

Cosa potrebbe cambiare davvero

Vale la pena separare tre livelli, perché è la distinzione che quasi tutti gli articoli su questo tema saltano.

Potenziale forte, con basi scientifiche solide

Simulare sistemi quantistici. È l'applicazione naturale, e la ragione originaria per cui l'idea è nata: usare un sistema quantistico per studiarne un altro. Serve a capire come si comportano molecole e materiali, dove i metodi classici sono costretti ad approssimare. Le ricadute plausibili sono nella chimica computazionale, nella progettazione di catalizzatori, di materiali per batterie, di superconduttori. Non è marketing: è il caso in cui il vantaggio teorico è meglio compreso.

Crittografia e sicurezza. Non come applicazione desiderabile, ma come effetto già in corso: la migrazione post-quantistica sta avvenendo adesso, ed è la conseguenza pratica più tangibile di questa tecnologia.

Potenziale plausibile ma ancora incerto

Ottimizzazione, finanza, logistica. Sono le aree con più annunci e meno risultati verificati. Esistono algoritmi candidati e molte collaborazioni fra aziende e fornitori di hardware, ma il vantaggio dimostrato su problemi reali, con confronti equi contro i migliori metodi classici, è ancora da mostrare. Va aggiunto un dettaglio che raffredda molte aspettative: nel confronto con il quantum, gli algoritmi classici migliorano. È già capitato più volte che un vantaggio annunciato si riducesse perché qualcuno trovava un metodo classico migliore.

Machine learning quantistico. Come sopra: ricerca promettente, nessun vantaggio pratico dimostrato.

Frasi da non credere

• «Risolverà qualunque problema.»
• «Sarà miliardi di volte più veloce in tutto.»
• «Prova tutte le risposte contemporaneamente e sceglie quella giusta.»
• «Renderà obsolete tutte le password domani.»
• «Sostituirà Internet» / «sostituirà i computer».

Nessuna di queste descrive qualcosa che il modello di calcolo quantistico faccia.

Sulle tempistiche

La domanda «quando arriveranno?» non ha una risposta affidabile, e conviene sapere perché.

Le roadmap aziendali sono dichiarazioni di intenti con date. Sono utili: dicono a cosa un'organizzazione sta lavorando e con quali priorità, e chi le pubblica ha interesse a rispettarle. Non sono previsioni: dipendono da problemi ingegneristici aperti — scalare la correzione degli errori, collegare più moduli mantenendo l'entanglement, controllare migliaia di qubit senza che l'elettronica diventi ingestibile — che potrebbero risolversi prima o molto dopo del previsto.

Le stime degli esperti su quando esisterà una macchina capace di rompere RSA sono opinioni informate, non risultati, e sono distribuite su un intervallo ampio: gli anni Trenta di questo secolo sono il periodo su cui converge la maggior parte delle valutazioni usate per pianificare le migrazioni crittografiche, con un'incertezza di anni in entrambe le direzioni e una minoranza di esperti che considera possibile che non arrivi mai nella forma prevista.

Il modo più onesto di rispondere è per condizioni invece che per date: computer quantistici utili su problemi reali arriveranno quando la correzione degli errori funzionerà su scala abbastanza grande da eseguire circuiti lunghi su molti qubit logici. Il primo passo di quel percorso è stato dimostrato; quanti anni servano per gli altri, nessuno lo sa.

Cosa un computer quantistico non farà

Un elenco utile da tenere presente quando si legge un titolo:

• Non renderà più veloci i programmi normali. Nessun vantaggio su navigazione, videoscrittura, videogiochi, database, rendering.
• Non sostituirà il tuo telefono o il tuo PC. Nella migliore delle ipotesi sarà un acceleratore remoto per compiti specifici.
• Non permette di comunicare più veloce della luce. L'entanglement non trasmette informazione.
• Non permette di leggere tutta la sovrapposizione. Una misura, un risultato.
• Non rompe ogni forma di crittografia. Colpisce una famiglia specifica di algoritmi a chiave pubblica, per la quale esistono già sostituti.
• Non è un'intelligenza artificiale e non «pensa».
• Non prevede il futuro, non simula universi paralleli, non fa nulla di quello che il vocabolario della fantascienza suggerisce.
• Non rende automaticamente facili i problemi più difficili. Esiste una vasta classe di problemi — quelli in cui verificare una soluzione è facile ma trovarla è difficilissimo, come molti problemi di pianificazione e di ottimizzazione combinatoria — per cui non si conosce nessun algoritmo quantistico che li risolva in modo efficiente, e non si ritiene che esista. Il meglio disponibile in generale è il guadagno quadratico di Grover: utile, ma non sufficiente a rendere trattabile un problema che classicamente richiede tempi esponenziali.

In conclusione

Il computer quantistico è una delle poche tecnologie in cui la teoria è più avanti dell'ingegneria da decenni: sappiamo cosa potrebbe fare molto prima di saperlo costruire. È una posizione scomoda, perché lascia molto spazio a chi vuole raccontare il futuro senza dover mostrare un presente.

Il modo più solido di seguirla, quindi, non è contare i qubit. È chiedersi tre cose davanti a ogni annuncio: quanti qubit logici, non fisici; quale problema è stato risolto e se qualcuno lo aveva chiesto; chi lo dice — un articolo su rivista peer-reviewed, un preprint non ancora revisionato o un comunicato aziendale. Con queste tre domande la maggior parte del rumore si dissolve, e ciò che resta è un progresso reale, lento e affascinante nel senso proprio del termine: non ancora una rivoluzione, ma non più solo una promessa.

Continua la lettura

Mondo AI

I migliori strumenti di intelligenza artificiale per aziende e professionisti nel 2026

Mondo AI

Come l'intelligenza artificiale sta cambiando il mondo del lavoro

Tecnologia

Cloud o hard disk esterno: qual è la scelta migliore per un'azienda?