Il varco fra l’istituto e chi riceve
Il documento passa.
L’identità resta.
Ogni documento passa da Valico e arriva a chi deve usarlo — un perito, un consulente, uno studio legale, un sistema interno — con i soli dati che servono.
- Solo ciò che serve. Nomi e codici sostituiti, date e importi meno precisi: quanto, dipende da chi riceve.
- Tutto dentro l'istituto. Modelli di IA aperti sulle macchine dell'istituto: nessun documento va a un servizio esterno.
- Ogni consegna per iscritto. Un dossier registra che cosa è stato fatto, perché, e quale rischio resta.
Un contratto di credito attraversa il varco. Sopra la soglia porta nome, codice fiscale e coordinate bancarie in chiaro; sotto, gli stessi campi sono sostituiti da valori verosimili e diversi, mentre l’importo finanziato resta identico. La tabella per risalire alle persone — la chiave — non attraversa: resta nell’istituto.
- Intestatario: Sostituito con un nome verosimile, sempre lo stesso in tutto il documento.
- Codice fiscale: Il calcolo di controllo torna, e il mese di nascita è lo stesso: un codice credibile, di nessuno.
- Coordinate bancarie: Sostituite con coordinate verosimili: chi le controlla le trova corrette, chi le cerca non trova nessuno.
- Data di nascita: Il giorno esatto isola una persona; il mese basta a chi deve valutare la pratica.
- Filiale: Da sola non dice chi è nessuno. Insieme alla data e all'importo, sì.
- Importo finanziato: A fasce: basta a valutare la pratica, e l'importo esatto non isola più nessuno.
- Tabella per risalire alle persone: È la chiave: collega ogni valore sostituito a quello vero. Non attraversa: resta nell'istituto, e nessuno fuori la vede.
Togliere nome, codice fiscale e coordinate bancarie non basta.
- Nome e cognomerimosso
- Codice fiscalerimosso
- Coordinate bancarierimosso
- Recapitirimosso
- Settore di attivitàcostruzione di edifici residenziali
- Forma giuridicaimpresa individuale
- Procedura esecutivaavviata il 14 marzo 2025
- Filiale di riferimentoTreviglio — cod. 03118
- Immobile a garanziafoglio 12 particella 447 sub 3
Nessuna riga dice chi è. Messe insieme lo dicono, e le fonti per incrociarle sono pubbliche.
Imprese del comparto in provincia
Da 1.842 a 1, in 4 passaggi: imprese del comparto in provincia; sole imprese individuali; con esecuzione avviata nel primo trimestre 2025; riconducibili alla filiale di Treviglio; con corrispondenza catastale.
Un’estrazione dal gestionale dei clienti — il CRM — può essere consegnata a un consulente con le sole colonne che gli servono, e con il conteggio che dimostra che nessuna riga, da sola, isola una persona.
In una tabella ogni riga è una persona. Prima di consegnarla, Valico rende meno precise le colonne che servono all'analisi, e poi conta, per ogni riga, quante righe — lei compresa — sono diventate identiche fra loro. Se sono meno di 3, quella riga resterebbe sola e chi la riceve la isolerebbe senza bisogno di un nome: non viene consegnata, e il dossier ne dà il conteggio e il motivo.
Professione alla categoriaCAP alla provinciaNascita al decennioSaldo a fasce
Si può consegnare, e si può dimostrare come: il file esportato porta la propria impronta, e il dossier elenca colonna per colonna che cosa è stato consegnato e perché.
Cinque passi, tutti dentro l’istituto.
- 01
Legge tutto il file, non solo la pagina: certificati di firma, metadati, versioni precedenti salvate nel file.
- 02
Trova codici e coordinate con un calcolo, nomi e indirizzi con modelli di intelligenza artificiale, e un secondo gruppo ricontrolla.
- 03
Per ogni dato trovato decide se consegnarlo, sostituirlo, renderlo meno preciso o toglierlo, secondo chi riceve. La regola è scritta.
- 04rischio residuo dichiarato
Conta quante persone il documento consegnato può ancora indicare, e confronta il numero con la soglia accettata dall'istituto.
- 05
Scrive il dossier: che cosa è stato fatto, perché, quale rischio resta, e le impronte dei file per ricontrollare.
il documento con il suo dossier
I modelli che leggono i documenti hanno i parametri pubblicati con una licenza che permette di scaricarli e farli girare su una macchina propria: si chiamano modelli a pesi aperti, o open weight. Li sceglie e li configura Valico; li ospita l’istituto, su una macchina dedicata che Valico fornisce già configurata oppure nel cloud dell’istituto, e nessun documento viene mandato a un servizio esterno per essere letto. La taglia del modello segue la macchina: un modello da 27 miliardi di parametri su una macchina dedicata, modelli più grandi nel cloud dell’istituto. Il software è lo stesso nei due casi: nessuna chiamata verso l’esterno, nessun dato d’uso verso di noi, e la chiave resta nell’istituto. La chiave è la tabella che collega ogni valore sostituito a quello vero: chi non l’ha non torna alle persone.
Quanto viene trasformato dipende da chi riceve. In ogni caso il documento viene consegnato.
Sei situazioni, dentro e fuori l'istituto. Cambiando situazione cambia l'esito, e a deciderlo è la stessa regola che gira nella dimostrazione.
L'istituto consegna a un terzo: chi prepara la consegna carica il documento, indica chi lo riceve e per quale incarico, e ottiene la copia trasformata con il dossier.
Un sistema dell'istituto lavora sui documenti: passano da Valico prima di arrivargli, e riceve solo la copia trasformata. Nessun dato lascia l'istituto.
- IntestatarioGiovanni Ferrarisurrogato
- Codice fiscaleFRRGNN85R22Z999Ksurrogato
- Coordinate bancarieIT26 U999 9999 9990 0000 0455 190surrogato
- Data di nascitaottobre 1985al mese
- Filialeprovincia di Bergamoalla provincia
- Importo finanziato€ 10.000–20.000a fasce
Un advisor incaricato di valutare un portafoglio. Sceglie da sé metodo e perimetro dell'analisi: non lavora su istruzione dell'istituto.
Rilascio regolato per destinatario
Trasformazione calibrata sul singolo destinatario, con filigrana, ambito delimitato e registro degli accessi.
L'advisor riceve un documento da cui non ha alcun modo di risalire alle persone. È la situazione su cui si è pronunciata la Corte di giustizia dell'Unione europea nel settembre 2025: per chi non può risalire, quel documento può non essere un dato personale; per l'istituto, che custodisce la chiave, lo resta.
Il destinatario determina proprie finalità e mezzi, non dispone della chiave né di mezzi ragionevoli di re-identificazione. Ricorre la situazione del §77 della sentenza: dalla sua prospettiva i documenti trasformati possono non costituire dati personali.
CGUE · C-413/23 P, EDPS contro SRB, 4 settembre 2025 · §77, §86
Quando la scelta non è della macchina
Le decisioni che dipendono da che cosa il destinatario deve farne arrivano a una persona, con il motivo scritto accanto, e finiscono nel dossier con il suo nome. Tutto il resto lo chiude una regola. È quanto la legge europea sull’intelligenza artificiale impone ai sistemi ad alto rischio; Valico non lo è, e la adotta lo stesso.
art. 14 · Regolamento (UE) 2024/1689 — adottato per scelta
Ogni consegna produce un dossier: lo firma chi risponde del processo per l’istituto, con il parere scritto di chi vigila sui dati.
Il dossier dice che cosa è stato fatto, perché, con quale margine di errore e quale rischio resta. È ciò che le linee guida europee chiedono di documentare e conservare, ed è ciò che serve quando qualcuno chiede conto.
EDPB · Guidelines 02/2026 sull'anonimizzazione · §41
- 1Che documento, che cosa gli è stato fatto, quando, per chi, chi firma.Copertina
- 2Ogni passaggio in ordine; cambiarne uno spezza tutti i seguenti.Catena di custodia
- 3Ogni modifica con il suo motivo.Registro delle decisioni
- 4Quante persone il documento può ancora designare, e la soglia che l'istituto ha accettato.Rischio di re-identificazione
- 5La parte fattuale della valutazione d'impatto, già compilata.Sezioni DPIA precompilate
- 6Quanto ha fatto la macchina, quanto le persone, quante volte una persona l'ha ribaltata.Metriche e tasso di sovrascrittura del revisore
- 7Ogni requisito con la sua fonte e il punto del dossier che lo prova; lo stato è una parola, non un colore.Quadro di conformità
- 8Per quanto si conserva, dove le persone esercitano i loro diritti, che cosa dichiara il fornitore.Conservazione, diritti e fornitore
- 9I file con la loro impronta, da ricontrollare senza il nostro software.Manifest con impronte
Ogni file porta la propria impronta. Si ricalcola dal proprio computer e si confronta con il dossier.
shasum -a 256 documento-rilasciato.pdfInformativa, nomina di chi lavora su mandato, valutazione d’impatto e diritti delle persone restano atti dell’istituto: il dossier registra chi ha ricevuto che cosa, elenca che cosa è stato consegnato e compila la parte fattuale della valutazione.
CGUE · C-413/23 P, EDPS contro SRB, 4 settembre 2025 · §102-103, §108-111 · Regolamento (UE) 2016/679 · art. 28 · Regolamento (UE) 2016/679 · art. 35 · provv. Garante n. 467 dell'11 ottobre 2018 · Regolamento (UE) 2016/679 · artt. 15-17
L’informativa può indicare i destinatari per categoria, come la legge consente: chi riceverà fra qualche anno non si deve conoscere oggi. Chi chiede l’accesso ha però diritto di sapere chi ha ricevuto davvero i suoi dati, e la risposta sta nel dossier: chi, in quale veste, con quale fondamento.
Regolamento (UE) 2016/679 · art. 13(1)(e) · art. 14(1)(e) · WP260 rev.01, Linee guida sulla trasparenza · Regolamento (UE) 2016/679 · art. 15(1)(c) · art. 19 · CGUE C-154/21, Österreichische Post, 12 gennaio 2023
Una frase che un ufficio legale può controfirmare.
Non diremo mai che un documento è diventato anonimo: non sarebbe vero, e lo si è appena visto. Diciamo una cosa più stretta e più utile — chi riceve non ha la per risalire; l’istituto la tiene, e non la trasmette mai.
La Corte di giustizia europea, nel settembre 2025, ha riconosciuto che lo stesso documento può essere un dato personale per chi lo manda e non esserlo per chi lo riceve. La Corte ha fissato il principio; il rinvio al Tribunale si è chiuso senza una pronuncia sul caso concreto, per rinuncia delle parti.
CGUE C-413/23 P, EDPS contro SRB, 4 settembre 2025 — §77 e §86
Il dossier riporta ogni fonte con il suo stato alla data del rilascio: le linee guida europee sull’anonimizzazione sono in consultazione pubblica fino al 30 ottobre 2026. È la prima riga che un legale controlla, e la trova già scritta.
Per il Garante, le statistiche che l'INPS riteneva anonime non lo erano: la pseudonimizzazione non è anonimizzazione, e i controlli vanno fatti su ogni pubblicazione, in automatico, non a campione.
Garante per la protezione dei dati personali · provv. 13 novembre 2024, doc. web 10090499 · 40.000 €
Per la CNIL, dati sanitari trasmessi ai clienti come anonimi non lo erano: un identificativo unico per persona bastava a ricostruire i percorsi di cura con un foglio di calcolo. La sanzione ha retto fino all'ultimo grado.
CNIL · autorità francese per la protezione dei dati · 5 settembre 2024 · Conseil d'État, 13 febbraio 2026, n. 498628 · 800.000 €
Settori diversi da quello finanziario, stesso meccanismo mancante: una verifica, fatta prima e documentata, di quante persone il dato rilasciato può ancora designare. Valico la fa a ogni rilascio e la scrive nel dossier, con la soglia che l’istituto ha accettato.
Quali processi dell’istituto vedono oggi dati identificativi che non servono? Si parte da lì.
Scriveteci che cosa dovete consegnare, e a chi. Vi rispondiamo entro due giorni lavorativi, e la prima cosa che vi diciamo è se il caso rientra fra quelli in cui questa costruzione regge: non è sempre così, e saperlo prima vale più di una dimostrazione.
- Si parte da un lotto di documenti dell'istituto, su una macchina dedicata fornita da Valico oppure nel cloud dell'istituto, con i modelli scelti e configurati da noi: il dossier del pilota ha la stessa struttura di quello della dimostrazione.
- Nella dimostrazione si può trascinare un PDF qualsiasi: impronta, cifre di controllo, coordinate spezzate e certificati di firma si leggono lì, sulla macchina di chi lo carica.
- Si carica un file e si ottiene il file trasformato con il suo dossier: per cominciare non c'è nessun sistema dell'istituto da modificare.
- Valico è di Kakashi Venture Accelerator, Gruppo Excellence, ed è costruito per banche e assicurazioni.