Scala
Il problema
Un documento aziendale non è mai solo un documento.
Contratti, fatture, perizie e corrispondenza contengono persone. Nel momento in cui quel materiale viene mandato a un'analisi esterna, le persone ci vanno insieme al testo.
-
Irreversibile
Un dato personale consegnato a un servizio di terzi non si richiama indietro. La cancellazione a valle è una clausola contrattuale, non un fatto tecnico.
-
Non scala
Oscurare a mano regge su dieci pagine e cede su mille. La revisione umana è l'anello che si rompe per primo, e si rompe in silenzio.
-
Rettangoli finti
Un rettangolo nero disegnato sopra il testo lascia il testo sotto: basta selezionarlo per rileggerlo. Il file va ricostruito, non coperto.
-
Scansioni
Una parte dell'archivio non è testo, è immagine. Uno strumento che legge solo il testo nativo lascia passare quelle pagine intatte, senza segnalare nulla.
Arbitrato
Come funziona
Tre passaggi, nessuna scorciatoia.
Il documento entra come PDF ed esce come PDF. In mezzo non c'è un solo rilevatore che decide da solo.
-
Lettura
Ogni pagina viene classificata: testo nativo, misto, scansione, pagina vuota. Dove il testo non esiste viene ricostruito con riconoscimento ottico, prima di qualunque analisi. Una pagina che non si riesce a leggere non viene data per pulita: la lavorazione si ferma.
-
Rilevamento
Più rilevatori indipendenti — espressioni deterministiche, modelli linguistici, dizionari aziendali — propongono ciascuno ciò che vede. Le proposte vengono confrontate: quelle verificabili con un calcolo, come IBAN, carte, codice fiscale e partita IVA, devono superare il controllo formale; quelle su cui più rilevatori concordano pesano di più di quelle isolate.
-
Ricostruzione
Il PDF viene riscritto con i segnaposto al posto dei valori. Sulle pagine derivate da scansione la redazione è applicata sulle coordinate del testo riconosciuto, perché lì non c'è un testo da sostituire ma un'immagine da coprire davvero.
Misura
Casi d'uso
Dove il confine serve davvero
-
Analisi fuori casa
Mandare un fascicolo a un modello o a un servizio di analisi esterno senza mandarci anche le persone che vi compaiono. È il caso che ha fatto nascere lo strumento.
Uso principale -
Condivisione con terzi
Consulenti, controparti, periti. Il documento resta leggibile e coerente: i segnaposto sono stabili, quindi la stessa persona resta la stessa persona in tutto il testo.
Scambio -
Prove e formazione
Popolare ambienti di test, demo e materiale di addestramento con documenti veri nella forma e innocui nel contenuto, senza costruire finti fascicoli a mano.
Ambienti non di produzione
Rilascio 0.14.0
Corpus versionato
Sul corpus di valutazione pubblicato insieme al codice, in configurazione italiana con la politica di precisione attiva, il richiamo misurato è 0,96 e la precisione 0,97, con nessun riscontro sui casi negativi di controllo.
È una misura riproducibile su un corpus versionato, non una stima commerciale: dipende dal corpus, viene rifatta a ogni modifica dei rilevatori e va rimisurata sui documenti reali di ogni installazione.
Ritorno
Reversibilità
L'anonimizzazione non è una porta a senso unico.
Se l'analisi esterna restituisce un risultato che parla di
[PERSON_1], quel risultato serve a poco finché non si sa chi è.
Per questo la mappa fra valore e segnaposto può essere conservata insieme alla
richiesta.
- documento
- rilevamento
- segnaposto
- analisi esterna
- mappa
- documento ricomposto
La conservazione della mappa è una scelta per singola richiesta, non un'impostazione globale: chi non ne ha bisogno non la produce. Quando c'è, il servizio ricostruisce il documento reinserendo i valori originali al posto dei segnaposto.
Sulle pagine derivate da scansione la ricomposizione è visivamente approssimata — il testo viene sovrapposto, non ristabilito nella forma originale — e il servizio lo dichiara nella risposta invece di lasciarlo scoprire.
Traccia
Una base condivisa per l'AI
L'analisi esterna diventa praticabile quando il confine è netto.
La domanda «possiamo mandare questi documenti a un servizio di analisi?» non si risolve con una policy scritta: si risolve spostando il punto in cui i dati personali smettono di esserci.
-
Il confine è il file
Non una regola di comportamento, ma una trasformazione applicata al documento prima che parta. Ciò che non è nel file non può essere trattato da chi lo riceve.
-
Sovra-redigere costa meno
Un dato mancato esce e non rientra; un dato oscurato di troppo si recupera dalla mappa. Le due direzioni non sono simmetriche, e il motore è tarato di conseguenza.
-
Ogni decisione è tracciata
Per ogni elemento accettato o scartato resta registrato quali rilevatori lo avevano proposto e per quale motivo ha vinto o perso. Non è una scatola nera da accettare sulla parola.
Dominio
Adattabilità
Lo stesso motore, tarato sul vostro archivio.
Un fascicolo giudiziario, una fattura e una cartella clinica non hanno gli stessi dati sensibili. Il perimetro di ciò che va tolto si dichiara, non si subisce.
- Lingue Italiano, inglese, francese e spagnolo, dichiarati per singola richiesta. Le regole specifiche del dominio amministrativo italiano restano tali e non vengono applicate a sproposito alle altre lingue.
- Profili Sei profili pronti — generico, fattura, contratto, documento d'identità, bancario, sanitario — oppure il riconoscimento automatico del tipo di documento, che ricade sul profilo generico quando non è abbastanza sicuro e lo dichiara.
- Categorie Ventidue categorie di dato, dalle anagrafiche a IBAN, carte, codice fiscale e partita IVA, fino a targhe, dati catastali e identificativi di documento. Si possono selezionare una per una.
- Dizionari Elenchi propri per cliente: ragioni sociali, sedi, nomi ricorrenti che un modello generico non riconosce come sensibili nel vostro contesto.
- Liste manuali Termini da togliere sempre e termini da non toccare mai, validi per la singola richiesta. La lista di redazione manuale prevale su qualunque valutazione automatica.
- Politica Due politiche di rilevamento: una conservativa, che conserva il comportamento storico, e una di precisione, con controlli formali e valutazione dell'evidenza. Si sceglie in fase di installazione e si torna indietro senza toccare i client.
Coordinate
Documenti scansionati
Anche quello che non è testo
Gli archivi reali sono misti: PDF nati digitali accanto a fascicoli passati dallo scanner. Il secondo gruppo è quello dove uno strumento di anonimizzazione fallisce senza accorgersene.
-
Riconoscimento ottico integrato
Le pagine senza testo vengono rasterizzate e lette, con le coordinate di ogni parola. Su quelle coordinate viene applicata la redazione visiva.
Disponibile -
Ricaduta automatica
Se il motore scelto esaurisce memoria su una pagina, la pagina viene ripresa dal motore successivo disponibile e la richiesta lo segnala. Una pagina non resta indietro in silenzio.
Disponibile -
Tolleranza agli errori di lettura
I termini da togliere indicati a mano vengono cercati anche quando la lettura ottica li ha spezzati, spaziati o alterato i separatori: un nome resta riconoscibile anche se arriva sillabato.
Disponibile -
Altri motori di lettura
Il contratto pubblico prevede ulteriori motori, che possono essere aggiunti quando un'installazione lo richiede. Finché non sono implementati il servizio li dichiara non disponibili invece di accettarli e ignorarli.
Da implementare
Silenzi
Garanzie operative
Quello che il servizio non fa
In uno strumento di questo tipo le garanzie negative contano quanto le funzioni. Sono vincoli di progetto, verificabili nel codice.
- Non scarica modelli durante il funzionamento: ciò che serve viene messo sul server prima, con un comando dedicato, e se manca il servizio lo dichiara invece di procurarselo da solo.
- Non scrive il testo del documento nei log né nei messaggi restituiti al client: le segnalazioni contengono conteggi e codici di motivo, mai frammenti del contenuto.
- Non accetta un identificativo di cliente in ingresso: il cliente è determinato dal token, e i documenti di un cliente non sono raggiungibili da un altro.
- Non conserva oltre la scadenza configurata: righe e file delle richieste scadute vengono rimossi da una procedura di pulizia esplicita.
- Non ha bisogno di uscire dalla rete: il modello linguistico può essere locale, e se non è raggiungibile la lavorazione continua con i rilevatori deterministici, segnalandolo.
- Non spaccia per completata una lavorazione che non ha potuto fare: quando si chiede esplicitamente una modalità non disponibile, la richiesta viene rifiutata subito.
Contratto
Integrazione
Un servizio, non un'applicazione da usare a mano.
Anonymizer sta dietro ai processi che avete già: un gestore documentale, un ERP, uno script di preparazione dati. Chi invia il documento non deve sapere come funziona il rilevamento.
- Interfaccia
- API HTTP · invio asincrono, stato interrogabile, download del risultato
- Autenticazione
- token per cliente · isolamento dei dati per token
- Formato
- PDF in ingresso · PDF anonimizzato in uscita
- Capacità
- interrogabili a runtime · l'interfaccia mostra solo ciò che il server ha davvero
- Installazione
- server proprio · nessun servizio gestito da terzi
- Documentazione
- guida operatore, riferimento tecnico e contratto API nel repository
Aspettative
Prospettive d'uso
Che cosa cambia, a seconda di chi guarda
Prospettive d'uso, non testimonianze: finché non ci sono riferimenti attribuibili e autorizzati alla pubblicazione, qui non compaiono nomi.