01
Destinatario previsto
Ha i documenti e nient'altro. Restringe dentro l'insieme rilasciato, confrontando una posizione con le altre ricevute: non gli serve nessun registro esterno.
Technology / Privacy Gateway
Il varco fra i documenti regolamentati e il tuo stack AI.
Il documento passa. L'identità resta. Valico trasforma documenti ed estrazioni tabellari perché possano arrivare a un destinatario esterno, a un assistente interno o a un ambiente di collaudo — e scrive la perizia che ne documenta la difendibilità.
Ogni progetto AI dentro una banca o un'assicurazione sbatte contro lo stesso muro: i documenti che portano il valore portano anche dati personali. Valico è il varco che sta in mezzo — una venture KVA, costruita per il settore finanziario italiano, che lascia uscire il documento dal perimetro con i soli dati che servono a chi lo riceve.
Oggi Valico gira come dimostratore su documenti bancari reali, con il passaggio in produzione mappato porta per porta. Il motore, il modello di policy e la perizia sono il prodotto; ciò che cambia in produzione sono i rilevatori che ci stanno dietro.
LA TESI, DETTA CON PRECISIONE
Pseudonimizzazione robusta con de-scoping del destinatario ex CGUE C-413/23 P. Mai “anonimizzazione”: che un documento rilasciato resti dato personale dipende da chi lo riceve e da quali mezzi ha, non da quanto sia stata aggressiva la trasformazione. Chi promette l'anonimato sta vendendo un rischio che il titolare dovrà firmare.
Pipeline
Nove stadi. L'ordine è il contratto.
La verifica viene dopo la trasformazione, non al posto suo: ciò che la seconda lettura trova viene trattato prima della consegna, non solo segnalato. La perizia si sigilla per ultima, dopo la revisione umana e dopo che una persona con nome e cognome ha accettato la soglia.
S1
Ingestione e quarantena
Tipo reale del file, contenuto attivo, impronta dell'originale, catena di custodia aperta.
S2
Nativo digitale o scansionato
Instrada ogni pagina: lo strato di testo nativo su CPU, al modello visivo solo il rasterizzato. Sposta il tempo totale di un ordine di grandezza.
S3
Estrazione nativa prima dell'OCR
Strato di testo, XML, parti MIME, note, revisioni, allegati incorporati — poi l'OCR su ciò che resta.
S4
Rappresentazione canonica
Documento, pagina, blocco, span, ciascuno con coordinate e provenienza. Gli offset sono verificati in fase di build: uno span che scivola di due caratteri è un oscuramento nel posto sbagliato.
S5
Rilevamento in unione
Ogni rilevatore legge il testo per conto proprio; le rilevazioni si fondono in span risolti e i conflitti si chiudono per checksum, concordanza o priorità. Il recall si somma sull'unione, la precisione si recupera a valle.
S6
Motore delle regole
Trasformazione differenziata per finalità dichiarata e per qualificazione giuridica del destinatario. Per ogni decisione resta scritta la regola che l'ha prodotta.
S7
Trasformazione e fedeltà del file
Oscuramento, surrogati realistici e neutralizzazione di tutto ciò che non si vede sulla pagina — metadati, generazioni sovrapposte, oggetti incorporati.
S8
Seconda lettura indipendente
Un secondo insieme di rilevatori, costruito con tecnologie diverse dal primo, rilegge il documento trasformato. Ciò che trova viene trattato prima del rilascio: una verifica che si limita a segnalare è un rapporto, non un controllo.
S9
Perizia di de-scoping
Impronte di originale, trasformato e perizia; catena di custodia, registro delle decisioni, metriche di verifica e soglia accettata. Si sigilla dopo la revisione umana.
Deterministico dove decide una regola. Un modello solo dove serve capire una lingua.
Codici fiscali, partite IVA, IBAN e numeri di carta si decidono con un calcolo di controllo — DM 23/12/1976 con omocodia, DPR 633/1972, ISO 13616 con il CIN nazionale, Luhn. Un validatore conferma o non conferma: non c'è una soglia di confidenza da tarare, e una partita IVA valida che appartiene a una società viene riconosciuta come non-dato-personale invece di essere annerita.
Nomi, indirizzi, comuni e testo libero passano da modelli open weight, il cui esito attraversa gli stessi validatori. Il riconoscimento della forma giuridica risponde con un elenco chiuso alla domanda su cui un riconoscitore generico di entità oscilla — questa denominazione è una persona o una società? — senza disturbare un revisore.
Gli strati nascosti sono il punto in cui quasi tutti i prodotti falliscono. Un certificato di firma porta il codice fiscale del firmatario in un campo che nessuna estrazione di testo legge; i pacchetti XMP e le generazioni sovrapposte conservano ciò che la pagina non mostra più; un IBAN spezzato nelle caselle di un modulo è invisibile a qualunque ricerca di ventisette caratteri consecutivi, e qui viene ricomposto per regola e confermato dal MOD-97.
Motore delle regole
È chi riceve a decidere che cosa esce.
La qualificazione giuridica del destinatario è un vincolo di architettura, non una clausola contrattuale. È modellata nei tipi, così il software non può promettere ciò che il diritto non consente.
Qualificazione del destinatario
Unità interna
Il dato resta al titolare. Il de-scoping non è pertinente; la minimizzazione alla finalità sì.
Responsabile — art. 28 GDPR
Tratta per conto del titolare. Il de-scoping non si applica mai, e nessuna trasformazione lo sposta: rendere il documento più irrecuperabile non compra tutela, compra un documento che il destinatario non può usare.
Titolare autonomo
Determina proprie finalità e propri mezzi. È qui che il de-scoping si decide — C-413/23 P §77 — sui mezzi di re-identificazione ragionevolmente disponibili a quel destinatario.
Diffusione pubblica
Nessun destinatario delimitato su cui fare la valutazione: il regime più stretto dei quattro.
Modalità di uscita
Redazione irreversibile
Identificatori rimossi senza chiave e senza tabella di corrispondenza. Per condivisione ampia, analisi aggregate e modelli esterni.
Pseudonimizzazione coerente
Surrogati realistici e stabili; la tabella di corrispondenza resta all'istituto in un dominio separato. Il documento resta leggibile e collegabile fra fascicoli — e resta dato personale.
Rilascio regolato per destinatario
Trasformazione calibrata su un singolo destinatario, con filigrana, ambito delimitato e registro degli accessi. È la modalità che regge il de-scoping quando il destinatario è titolare autonomo e privo di chiave.
Minimizzazione alla finalità
Escono le sole categorie senza cui l'incarico dichiarato non si può eseguire. Qui la leva non è quanto il dato sia irrecuperabile: è quanto poco ne esce.
Quando il de-scoping non si applica, la perizia lo dice e dice perché — responsabile ex art. 28, mezzi di re-identificazione, custodia della chiave, prosecuzione verso terzi. Accanto resta scritto il valore residuo: non è mai «niente».
Due code di revisione, non una.
01
Ciò che il motore non ha saputo riconoscere è un limite: si misura e si accorcia migliorando il motore. Su un modulo strutturato e nativo digitale tende a zero.
02
Ciò che il motore ha riconosciuto perfettamente, ma la cui sorte dipende da qualcosa che nel documento non c'è, non è un difetto. Quella coda non si accorcia — ed è esattamente per questo che regge l'art. 14 dell'AI Act: una sorveglianza umana che esiste solo dove il modello sbaglia sparisce il giorno in cui il modello smette di sbagliare, e con lei sparisce la difendibilità.
La perizia stampa quanti casi sono stati presentati, la quota di sovrascritture, il tempo mediano per caso e i revisori. È la prova numerica che la sorveglianza c'è stata, invece che qualcuno abbia premuto «accetta tutto».
Sotto la coda, il quadro del documento raggruppa ogni elemento per come è stata presa la decisione: confermato dal calcolo, riconosciuto dalla forma, riconosciuto dal contenuto, riconosciuto e lasciato dov'era, deciso da una persona. Gli ultimi due sono la parte che nessun concorrente mostra.
Rischio residuo
Quante persone può ancora indicare il documento consegnato?
Non un F1 aggregato. Tre modelli di attaccante costruiti su capacità e mezzi ragionevolmente disponibili — mai sulla motivazione, che le linee guida EDPB non adottano — e per ciascuno il numero di persone che il documento può ancora isolare, con la catena di passaggi che ce le ha portate. Il risultato è una banda fra un'ipotesi bassa e una alta su parametri dichiarati, ed è etichettata come tale invece di essere spacciata per un intervallo di confidenza.
02
OSINT
Incrocia fonti pubbliche: registro imprese, albo pretorio, catasto, stampa locale, statistiche demografiche.
03
Agentico
Incrocia le stesse fonti da solo e in pochi minuti. Un caso peggiore costruito sulle capacità, non sull'intenzione.
Chi accetta la soglia
L'appetito di rischio si esprime per modello di attaccante come numero minimo di persone che il documento deve poter ancora designare, e lo accetta chi risponde del processo per conto del titolare. Il DPO dà un parere; la decisione non è sua. Una soglia accettata su parametri diversi non è la stessa decisione: la perizia registra la versione dei parametri accanto al nome e all'ora.
Tabelle: stessa disciplina, decisa da un conteggio.
In una tabella ogni riga è una persona. Le colonne vengono classificate — per checksum dove le celle sono codici fiscali o IBAN, con un dizionario dichiarato altrove, stampato nella perizia con la sua provenienza — e ogni colonna riceve una regola al grano che la finalità dichiarata richiede: professione alla categoria, CAP alla provincia, nascita al decennio, saldo a fasce.
Poi il conteggio. Per ogni riga, quante righe condividono la sua combinazione di quasi-identificatori al grano d'uscita. Sotto la soglia scritta in policy la riga non esce, e la perizia ne dà conteggio e motivo. Il CSV esportato è deterministico: il conteggio si rifà dal file con un foglio di calcolo.
k copre l'isolamento del record dentro l'insieme rilasciato — il primo dei tre criteri EDPB. Collegabilità con altre estrazioni e inferenza sugli attributi si valutano a parte. Dirlo è la differenza fra una misura e un'affermazione.
Le colonne di testo libero — le note del gestore — sono l'unico punto in cui una tabella richiede di capire una lingua. Passano dal motore documentale cella per cella, con le stesse regole e la stessa coda di revisione, oppure non escono.
Perizia
Che cosa contiene la perizia di de-scoping.
Un documento per ogni rilascio, pronto per la stampa, con la propria impronta. È l'artefatto che leggono la compliance, un revisore o un'autorità — ed è la ragione per cui tutta la pipeline è deterministica dove può esserlo.
01
SHA-256 dell'originale, del trasformato e della perizia stessa, ricalcolabili con qualunque strumento standard
02
Scheda del destinatario: ruolo, finalità, giurisdizione, custodia della chiave, prosecuzione verso terzi, presidi contrattuali e se sono monitorati
03
Valutazione di de-scoping con la base giuridica e le citazioni — anche nel caso in cui non si applichi
04
Policy vigente, versionata, e la regola che si è applicata a ogni singola decisione
05
Schede dei rilevatori: motore, versione, architettura, copertura dichiarata e provenienza di ogni parametro
06
Inventario delle entità per tipo e livello: trovate, validate, trasformate
07
Revisione umana: casi presentati, quota di sovrascritture, tempo mediano per caso, revisori
08
Verifica indipendente: insiemi di rilevatori disgiunti, divergenze trovate, recall per categoria con campione e intervallo, quota di documenti puliti al primo passaggio
09
Misura del rischio residuo per modello di attaccante, con la soglia, chi l'ha accettata, quando e su quale versione dei parametri
10
Catena di custodia: eventi con impronte concatenate, attore e azione per ciascuno
Niente esce dall'istituto.
Modelli open weight — scelti e configurati da Valico, ospitati dall'istituto: su una macchina dedicata consegnata già configurata, oppure nel cloud dell'istituto. La taglia del modello segue la macchina; il software è identico nei due casi.
Zero chiamate verso l'esterno a runtime, telemetria spenta, nessun dato d'uso verso di noi. La tabella di corrispondenza fra surrogato e valore reale non entra mai nel pacchetto della perizia e non lascia mai l'istituto: chi non l'ha non torna alle persone. Il modello estrae intervalli con uscita strutturata vincolata: non riscrive mai il documento.
Invarianti di deployment
on-premisemacchina dedicata o cloud dell'istitutomodelli open weight (Apache-2.0 / MIT)0 richieste verso l'esternotelemetria spentacustodia esclusiva della chiave
Formati — PDF (nativo e scansionato), Word, Excel, CSV, estrazioni SQL
Delivery
Come un istituto arriva al primo rilascio.
Quattro fasi. Ognuna finisce con qualcosa che resta all'istituto, e nessuna chiede di credere sulla parola a quella precedente. Le durate sono indicative: il passo lo detta il perimetro, non la tecnologia.
01
Perimetro e policy
2–3 settimane
Destinatari, finalità e modalità di uscita messi per iscritto; il catalogo dati qualificato colonna per colonna e firmato da chi possiede il dato; l'appetito di rischio fissato per modello di attaccante. L'esito è una policy versionata, non una presentazione — ed è dell'istituto, non nostra.
02
Banco di prova sui vostri documenti
2–4 settimane
Il banco di re-identificazione gira dentro il perimetro su documenti reali dell'istituto: che cosa la copia consegnata può ancora indicare, passaggio per passaggio, contro le fonti che un attaccante avrebbe davvero. Dove il motore non sa decidere, lo dichiara invece di fingere.
03
Pilota
6–10 settimane
Un flusso di rilascio completo dentro il perimetro: modelli locali sulla macchina dell'istituto, entrambe le code di revisione presidiate, il parere del DPO, la soglia accettata da chi risponde del processo, le prime perizie emesse e lette dalla compliance.
04
Produzione
continuativo
Regole di policy firmate e versionate; chiavi dei surrogati in KMS/HSM con rotazione dichiarata; marca temporale RFC 3161 e archiviazione WORM della perizia; distinta dei materiali software, gestione delle CVE, aggiornamenti firmati e periodo di supporto dichiarato per il Cyber Resilience Act.
Il ciclo di vita del rilascio
A regime, ogni fascicolo in uscita sta in esattamente uno di questi stati. La perizia si sigilla solo all'ultimo.
- Da preparare
- In revisione
- Verifica indipendente
- Parere del DPO
- Rilasciato
I documenti sono l'asset. Le identità sono il rischio.
Se c'è un flusso documentale che non riuscite ad aprire all'AI — o a un destinatario fuori dal perimetro — è quella la conversazione. Si parte da un flusso reale, un destinatario e una finalità.