Stripe compra il router AI: dove finiscono i tuoi prompt

Il 19 agosto Stripe ha confermato l'acquisto di OpenRouter. La cifra riportata dal New York Times è di 7,5 miliardi di dollari — 1,5 ai fondatori, 6 agli investitori — e la chiusura è attesa nel giro di poche settimane. Tre mesi prima, a maggio 2026, un round da 113 milioni valutava la stessa società 1,3 miliardi: un moltiplicatore di 5,4 in dodici settimane, con Databricks in gara fino all'ultimo.

Detta così è una notizia da pagina finanziaria. Diventa una notizia per una PMI italiana quando ci si ricorda che cosa fa OpenRouter: sta in mezzo. Fra il chatbot che avete sul sito e il modello che scrive davvero le risposte, molto spesso, c'è un router. E il router ha appena cambiato proprietario.

Che cosa ha comprato davvero Stripe?

Non un modello: uno smistatore. OpenRouter espone oltre 400 modelli dietro un'unica interfaccia e decide a quale inviare ogni singola richiesta in base a costo, velocità e capacità. Serve otto milioni di utenti. Stripe non ha comprato l'intelligenza artificiale: ha comprato il punto da cui passano il traffico e il conto.

È una scelta di posizionamento esplicita. Nella lettera agli investitori i fondatori di Stripe hanno scherzato sulla «singolarità», ma le ragioni dichiarate sono prosaiche: clientela sovrapposta, visibilità su come gli sviluppatori usano l'AI, leva negoziale verso i laboratori e gli hyperscaler, e la volontà di stare «in mezzo ai flussi di capitale nell'era dell'AI». L'88% delle aziende della Forbes AI 50 usa già prodotti Stripe.

Tradotto: il valore si sta spostando da chi costruisce i modelli a chi decide quale modello risponde. Ed è esattamente lo strato che una PMI italiana adotta senza accorgersene, perché è quello che le fa risparmiare.

Perché un router entra nel registro dei fornitori

Se il vostro assistente sul sito, il vostro classificatore di email o il vostro flusso su n8n o Make usa una chiave OpenRouter, allora ogni prompt scritto da un vostro cliente — nome, numero d'ordine, descrizione del guasto, a volte molto di più — passa da una società statunitense prima di arrivare al modello.

Nel linguaggio del GDPR quella società è un sub-responsabile del trattamento. L'articolo 28 non lascia margini interpretativi su questo punto: il responsabile non può ricorrere a un altro responsabile senza autorizzazione scritta del titolare, e quando l'autorizzazione è generale deve informarlo di ogni modifica nella catena del trattamento che preveda l'aggiunta o la sostituzione di altri responsabili, lasciandogli la possibilità di opporsi.

Un cambio di controllo societario non è di per sé un nuovo sub-responsabile. Ma è il momento in cui la catena si allunga: cambiano il gruppo di appartenenza, la politica di gruppo sui dati, l'elenco dei fornitori a valle. La domanda pratica è una sola, e va posta adesso, non fra sei mesi: nel vostro registro degli strumenti AI il router compare come voce autonoma, o è nascosto dentro la riga «chatbot»?

Dove finisce il prompt quando il router sceglie da solo?

Dove costa meno. E secondo un'indagine CNBC di luglio 2026, a metà anno il 46,4% dei token instradati su OpenRouter andava a modelli di origine cinese, contro il 35,7% dei modelli statunitensi. DeepSeek da solo vale il 17,6%, Qwen di Alibaba il 13,9%. Dodici mesi prima la quota cinese era all'11%.

La ragione è il prezzo: i modelli aperti cinesi costano fra il 60 e il 90% meno delle offerte di punta americane. La stessa indagine porta un esempio secco: 0,14 dollari per milione di token in ingresso contro 5 dollari. Chi sceglie il routing automatico per risparmiare, in media, sta scegliendo questo.

Non è un giudizio sulla qualità dei modelli: DeepSeek fa cose ottime e ha una scheda in directory come gli altri. È un problema di consapevolezza. Se avete dichiarato ai vostri clienti che i dati restano in Europa, e il router li manda dove costa meno, la dichiarazione è falsa — e non ve ne siete accorti perché il routing automatico è il comportamento predefinito, non un'opzione che qualcuno ha attivato.

C'è poi un interruttore che quasi nessuno guarda. Nelle impostazioni dell'account OpenRouter si stabilisce se consentire l'instradamento verso fornitori che possono addestrare sui vostri dati «secondo le proprie politiche». La documentazione spiega che cosa succede se disattivate l'opzione; non dichiara quale sia il valore iniziale. Vale la pena aprirla e guardare, oggi.

Chi risponde davanti al cliente e al Garante?

Voi. Il titolare del trattamento è l'azienda che raccoglie il dato, non il fornitore che lo instrada. Lo stesso vale sul fronte AI Act: dal 2 agosto 2026 l'articolo 50 impone che chi interagisce con un chatbot capisca di parlare con una macchina, con sanzioni fino a 15 milioni di euro o il 3% del fatturato mondiale annuo.

L'obbligo di trasparenza segue chi mette il chatbot davanti al pubblico, non chi fornisce l'infrastruttura sotto. Nessun contratto con un router vi solleva da quella riga, così come nessun contratto con un router firma per voi la valutazione delle clausole con i fornitori.

C'è infine la questione economica, che è la stessa vista sui listini nelle ultime settimane: DeepSeek ha alzato i prezzi API fino a undici volte senza preavviso utile. Lo strato di orchestrazione nasce come strumento di risparmio e di indipendenza dal fornitore. Quando quello strato viene comprato da chi gestisce anche i vostri incassi, la leva sul prezzo cambia semplicemente di mano.

Quattro cose da fare lunedì mattina

Cercate la chiave. Aprite i vostri flussi di automazione e verificate se una chiave OpenRouter, o di un altro gateway, sta lavorando in produzione. È una ricerca di dieci minuti fra workflow e variabili d'ambiente, e nella maggior parte dei casi la risposta sorprende chi l'ha configurata.

Fissate il fornitore. Se il caso d'uso tratta dati personali, smettete di usare il routing automatico: indicate il modello e il fornitore per nome. Si perde qualche punto percentuale di risparmio e si guadagna una frase difendibile davanti a un cliente che chiede dove finiscono i suoi dati.

Aprite le impostazioni sull'addestramento. Verificate se l'account consente l'instradamento verso fornitori che possono addestrare sui vostri prompt. Fatelo prima che l'operazione si chiuda, così avete una fotografia dello stato precedente.

Mettete il router in elenco. Nel registro dei fornitori AI deve comparire come voce a sé, con la sua nomina a responsabile, la data dell'ultima verifica e il nome della persona che ha guardato. Un fornitore che non è in elenco è un fornitore che nessuno ricontrolla quando cambia proprietario.

Il punto non è che Stripe sia un cattivo acquirente: è un'infrastruttura seria, probabilmente più solida della startup che ha comprato. Il punto è che una PMI ha scoperto di avere un fornitore critico leggendo una notizia di finanza. E questo è un problema di censimento, non di mercato.