Meridian

Come è fatto

Tre meccanismi, i loro numeri e i loro limiti.

Per ognuno: la proprietà che garantisce, e dove si ferma.

1. 01Anonimizzazione

   Pseudonimizzazione a tre livelli, prima di ogni chiamata di analisi

   Il modello esterno non riceve mai il documento come è arrivato.

   1. 01 L1
   2. 02 L3
   3. 03 L2
   4. 04 L3
   5. 05 rilettura

   Scorri: il documento resta fermo, la macchina lo attraversa.

   Confine dello studio

   …segue dal §3, allegato B.

   Segue: consegne, art. 7.

   Controparti: Vantea Sistemi S.r.l. e Ferrando & Bosio. Firma Elena Traversi. P. IVA 04812760962, Via Ampère 31, Milano. IBAN IT60 X054 2811 1010 0000 0123 456. Rif. Paolo Rendina, tel. 02 4478 1120, C.F. RNDPLA78E12F205K, rendina@vantea.it.

   00 · come è arrivato

   Controparti: Vantea Sistemi S.r.l. e Ferrando & Bosio. Firma Elena Traversi. P. IVA 04812760962, Via Ampère 31, Milano. IBAN IT60 X054 2811 1010 0000 0123 456. Rif. Paolo Rendina, tel. 02 4478 1120, C.F. RNDPLA78E12F205K, rendina@vantea.it.

   01 L1 · 7 a formato fisso + 1 nome proprio · calcolo di controllo

   Controparti: [ORG_1] e Ferrando & Bosio. Firma [PERSON_1]. P. IVA [VAT_1], [LOC_1]. IBAN [IBAN_1]. Rif. Paolo Rendina, tel. [PHONE_1], C.F. [TAX_ID_1], [EMAIL_1].

   02 L3 · 20 etichette → 14 famiglie · un contatore solo

   Controparti: [ORG_1] e [ORG_2]. Firma [PERSON_1]. P. IVA [VAT_1], [LOC_1]. IBAN [IBAN_1]. Rif. [PERSON_2], tel. [PHONE_1], C.F. [TAX_ID_1], [EMAIL_1].

   04 L3 · secondo passaggio · il contatore prosegue

   Controparti: Vantea Sistemi S.r.l. e Ferrando & Bosio. Firma Elena Traversi. P. IVA [VAT_1], Via Ampère 31, Milano. IBAN [IBAN_1]. Rif. Paolo Rendina, tel. [PHONE_1], C.F. [TAX_ID_1], [EMAIL_1].

   05 rilettura · il documento non cambia, cambia chi lo guarda · tornano persone, organizzazioni, luoghi. Telefoni, IBAN e codici fiscali mai: N originali, un segnaposto solo

   Confine dello studio

   Modello esterno esce così 03 L2 · finestre da 30.000 caratteri · 6 in parallelo

   Nulla è ancora uscito dallo studio. La chiamata parte dopo L1 e la prima sostituzione.

   Controparti: [ORG_1] e Ferrando & Bosio. Firma [PERSON_1]. P. IVA [VAT_1], [LOC_1]. IBAN [IBAN_1]. Rif. Paolo Rendina, tel. [PHONE_1], C.F. [TAX_ID_1], [EMAIL_1].

   • già segnaposto: C.F. · IBAN · P. IVA · email · tel.
   • in chiaro: nomi di persona e ragioni sociali — è ciò che gli si chiede di trovare

   Paolo Rendina

   [PERSON_2]

   Ferrando & Bosio

   [ORG_2]

   stesso contatore: ripartire da capo perdeva una società

   • Chiave · HKDF-SHA256 · 32 byte1 per studio
   • Mappa cifrata, poi cancellata90 giorni
   • 250 pagine · tetto 60 s21 s

   L1 · perché il testo si legge a finestre

   in un colpo solo il costo cresce con n^1,6: raddoppia il testo, il tempo più che triplica

   tetto 10 s

   25.0000,76 s

   200.00013,8 s

   400.00046,7 s

   oltre 163.000 caratteri — 63 pagine — la lettura unica sfondava il tetto e L1 tornava zero, senza dichiararlo

   letto a finestre 500 caratteri in comune con la vicina

   tetto 10 s

   25.0000,76 s

   Su 200.000 caratteri sono 9 finestre, 5,66 s in tutto — meno della metà della lettura unica, e non un segmento perso.

   Lo stesso nome, due forme — ed è per questo che i livelli sono due

   in riga di tabella

   TraversiElenaFresp. acquisti

   dopo il solo L1 · 12 coperti, 8 in chiaro

   in prosa

   Firma Elena Traversi, responsabile acquisti.

   dopo il solo L1 · 20 coperti, 0 in chiaro

   poi passa L2

   sulla stessa riga di tabella, gli otto che restavano

   dopo L1 + L2 · 20 coperti, 0 in chiaro

   • Ogni studio ha la sua chiave

     La mappa segnaposto → nome vero vive cifrata a registro, in una busta a due chiavi: azzerare l'involucro cancella il file, ed è la maniglia dell'art. 17.

   • Il fallimento è rumoroso

     • mappa non vuota, cifratura non disponibilela sanificazione si ferma · 1 errore
     • mappa in chiaro senza copia cifrataquesto stato non esiste

   • Reversibilità sotto tre filtri obbligatori

     • studio
     • e
     • tipo di documento
     • e
     • id documento
     • →
     • la mappa si apre

     I nomi veri tornano solo come proiezione costruita mentre si forma la risposta, mai riscritti in banca dati: è questo a renderla una pseudonimizzazione ex art. 4(5).

     3 filtri
     in AND

   Che cosa non garantisce

   sette limiti, tutti qui sotto per esteso: nessuno in nota, nessuno dietro un click

   • 01L2 è una chiamata a un modello esterno. Con la richiesta parte l'istruzione di non conservare il testo, ma a vincolare è la clausola di non ritenzione firmata, che onorano solo i contratti di fascia alta. Una modalità ferma a L1 e L3 esiste nel codice, per i test: i documenti di un deal non ci passano.
   • 02L1 da solo perde il 40% dei nomi in riga di tabella. Misurato su persone inventate con codici fiscali generati, ed è il disegno qui sopra. Dove L2 non gira, però, il documento non lo dichiara. Il registro di copertura L2 resta 0 su 0, che nel codice vale «nessuna misura»: nessuna riserva parte, e la perdita resta muta.
   • 03Il degrado si vede, e a volte è un rifiuto. Se nessuno dei due livelli ha operato, il documento fallisce e non si conserva niente: né testo, né fatti, né byte cifrati, né indice. Se uno ha letto meno del totale, passa con la riserva; se il budget di tempo si esaurisce, non entra affatto.
   • 04Un punto che, se si guasta, lascia passare. Se il modulo del tetto di spesa non si carica, la sanificazione prosegue senza quel controllo, con un avviso a registro. Fermare tutto per un modulo di servizio sarebbe peggio: resta un buco, e sta scritto qui.
   • 05Non tutto è reversibile, per costruzione. Telefoni, IBAN, codici fiscali, partite IVA, indirizzi e identificativi sono famiglie piatte: originali diversi danno lo stesso segnaposto, e ri-sostituirli stamperebbe il primo su tutti. Non è temporaneo: è la condizione che rende esatta la sostituzione.
   • 06Il documento sopravvive alla sua mappa. Cancellata la riga di registro, il documento resta, i nomi veri non tornano più e le schermate mostrano i segnaposto. È l'art. 5(1)(e) applicato sul serio, e va detto a chi si aspetta di de-anonimizzare a un anno.
   • 07Nessuna anonimizzazione garantisce il 100%. Qui non si promette che nessun nome passi, ma due cose misurabili: ogni parte non controllata è dichiarata, e il degrado totale è un rifiuto.

   L'elenco dei sub-responsabili →

2. 02I livelli di conferma

   Un numero di un modello non è un valore rappresentabile

   Nella forma del dato non esiste uno stato che rappresenti un importo generato da un modello linguistico: non c'è niente da respingere.

   Confidenza · la scala

   Si contano: mai un punteggio, mai una percentuale.

   • Indicativa basta che uno dei cinque campi di bilancio non abbia una cifra
   • Solida è qui che sta questo mandato
   • Robusta chiusi anche gli ultimi due: crescita ricavi e concentrazione clienti

   • 1 formula, versionata · v1
   • un campo di bilancio si chiude solo con una cifra: una motivazione a testo libero no
   • una proposta letta da un documento resta pendente

   Le tre origini ammesse di un importo

   • confermato dall'utente
   • banda pubblicata
   • motore
   • modello linguistico

   Il modello classifica un fattore, mai lo quantifica.

   Un solo scrittore, cinque cancelli

   1. 01una sola unità: euro oppure percentuale, mai tutte e due
   2. 02un ponte fra i cinque noti
   3. 03un'origine fra le tre ammesse
   4. 04la percentuale scritta come frazione: 0,20, così un 20 digitato non porta la rettifica al 2000%
   5. 05importo positivo, sotto la soglia della colonna
   6. —che la cifra sia giusta — questo cancello non esiste

   Cinque su cinque e l'importo è scritto. Uno solo che fallisce, e il fattore resta registrato senza importo finché non ci passa una persona.

   La banda · lo stesso mandato

   Scorri: i quattro tempi corrono con te.

   1. 01 due gambe
   2. 02 non chiesta
   3. 03 tolta
   4. 04 un punto

   80 M€ 100 M€

   1. 01 · due gambe sullo stesso mandato: la banda va dall'una all'altra
   2. 02 · quella di sinistra è il metodo dei multipli — lo scenario aveva scelto il DCF
   3. 03 · dal 18 agosto il dossier passa il metodo scelto: la gamba non chiesta esce
   4. 04 · la banda è quel punto — 12,91 M€ di larghezza in meno

   • DCF · il metodo scelto
   • Multiplisenza i suoi input il motore li prende dai propri predefiniti: crescita 8%, costo del capitale di settore agnostico

   Scala in valore del capitale — valore d'impresa meno posizione finanziaria netta: una richiesta sul capitale contro una banda sull'impresa sembra più bassa di quanto è. Senza gambe utilizzabili la banda non si disegna affatto.

   • prima 82,0 – 94,9 M€ centro 88,46 · richiesta 95,00 · scarto +7,40%
   • dopo 94,91 M€ richiesta 95,00 · scarto +0,09% · una gamba sola, e la scheda lo dice

   • Un fattore non quantificato torna con la sua ragione

     «Serve un EBITDA normalizzato per il multiplo implicito»: il chiamante lo elenca fra gli esclusi e lascia la casella vuota.

     17 categorie
     5 modi di muovere il valore

   • Il legame di provenienza resta vuoto

     Scenario e fattore portano l'identificatore del documento che ha confermato gli input. Cancellato quello, il vuoto resta a schermo.

     1 documento
     per scenario

   Che cosa non garantisce

   • «Robusta» non significa «giusta». La scala tace sulla qualità delle cifre: un mandato con tutti i campi risolti da numeri sbagliati è robusto. Dice che cosa misura, e il perimetro finisce lì.
   • La formula è alla sua prima versione, e lo dichiara. Copertura dei comparabili e rettifiche confermate sono ingressi previsti e non ancora consumati: oggi la confidenza non sa quanto siano buoni i comparabili.
   • «L'utente conferma ogni importo» ha un'eccezione. Un campo di bilancio può chiudersi da solo se il documento è classificato come bilancio. È voluto — il bilancio è la fonte autorevole — ma sposta il peso sul classificatore: classificato male, un numero entra senza conferma. Il codice «tipo documento da confermare» esiste per questo, ma si limita a segnalare.
   • Due gambe non sono una triangolazione. Il nome dice tre punti, il motore ne calcola due. È mostrato così, ma chi legge «banda» si aspetta un intervallo.
   • Il difetto della gamba non chiesta dice una cosa scomoda. Lo stesso controllo valeva nella schermata dal vivo e non nel dossier: una regola che deve valere ovunque va verificata su ogni schermata, non solo sulla funzione.
   • Se confermi un importo sbagliato, entra. Una rettifica confermata a 3.000.000 € al posto di 300.000 € supera tutti e cinque i cancelli e muove la banda. Resta la tracciabilità: il fattore sta nel registro con la provenienza e con chi l'ha confermato.
   • La provenienza si può perdere. Una cancellazione ex art. 17 recide il legame e lascia in piedi lo scenario: una valutazione può restare senza il documento che la giustifica.
3. 03Anti-allucinazione

   Rifiutare, dichiarare, ancorare, e un tetto che ferma

   Quando il sistema non ha letto una parte del documento lo scrive; quando non può leggerla, rifiuta invece di riempire il vuoto.

   • Registro unico delle riserve, con precedenza

     11codici · una colonna sola

     Scende dall'alto · si ferma alla prima che è vera

     1. Una parte non è stata controllata dall'anonimizzazionenome non controllato
     2. Pagine non leggibili, probabilmente scansionatepagina mai letta
     3. Documento molto grande: una parte del testo non è stata conservata vera → è questa che comparetesto buttato via
     4. Documento molto frammentato, fuori dall'indice di ricercatesto fuori indice
     5. Foglio di calcolo arrivato senza i valori delle formulevalori mai arrivati
     6. Tetto di spesa giornaliero raggiunto: analisi non eseguitanon abbiamo letto
     7. Più lungo di quanto l'analisi riesca a leggereletto solo l'inizio
     8. Analisi automatica non completatalettura interrotta
     9. Nessun testo estratto dal documentoverdetto di base
     10. Testo estratto, ma nessun dato strutturato trovato vera non compareverdetto di base
     11. Tipo documento da confermarefuori catena

     Nel brief, con le stesse parole.

   • Il troncamento trattato come guasto

     Il budget è salito a 8.000 token. La correzione vera è un'altra.

     85,5%della risposta chiesta

     Dove si interrompe

     richiesta · 1.754 token 254 mai arrivati 1.500 concessi

     200 · codice di stato pulito

     500 ragioni sociali in 21.010 caratteri · 48 rimaste in chiaro

     Chi riconosce una risposta tagliata · sette punti del sistema

     4 la buttano via 3 la tengono, marcata parziale

     buttata via → rifiutata · non conservata · la finestra scende a L1+L3 · la copertura annota che non è stata letta

   • Registro di copertura doppio

     I nomi lasciati da L2 avevano già superato L1: una copertura piena sull'uno non prova niente sull'altro. Basta uno sotto il totale e la riserva parte.

     2 conteggi
     L1 e L2

   • Ancoraggio alla lettera

     Il modello non restituisce posizioni: restituisce il pezzo di testo citato così come appare, e a localizzarlo è il codice, che tollera la spaziatura e impone i confini di parola. Un pezzo introvabile viene scartato.

     200 occorrenze
     soglia di genericità

   • Numeri e prosa separati nei documenti in uscita

     Nella nota che mandi fuori le cifre vengono da campi calcolati; l'unica chiamata scrive soltanto prosa, e la direttiva di revisione lo ripete.

     1 sola chiamata
     0 numeri generati

   • Tetto di spesa verificato prima della chiamata

     Condiviso da tutte le schermate dello studio.

     50USD · 25 M token al giorno

     La giornata, e dove si ferma

     speso oggi il controllo legge qui · PRIMA della chiamata

     incidente · ricarica il documento tetto · si ripeterà fino a mezzanotte

   • Nessun OCR: rifiuto al caricamento

     0pagine ricostruite per OCR

     Il cancello

     pagina scansionata luce zero

     il documento non entra

   • Sonda di resa per pagina, sui byte originali

     La sonda conta gli scarti leggendo il file di partenza, perché dove il testo esiste le pagine perse non lasciano traccia.

     8documenti misurati

     Quota non letta

     • nativo A0%0 pag.
     • nativo B0%0 pag.
     • nativo C0%0 pag.
     • 20 pag., 10 lette50%10 pag.
     • 20 pag., 5 lette75%15 pag.
     • 20 pag., 1 letta95%19 pag.
     • 20 pag., 2 firmate10%2 pag.
     • 158 pag., 1 nativa99,4%157 pag.

     quota ≥ 20%epagine ≥ 3

     Quattro degli otto restano sotto e non portano riserva: tre non hanno niente da dire, il quarto è il limite della sonda.

     73 ms su 26 pagine · ~700 ms al tetto di 500 · dentro un budget di 60 s

   • Guardia sull'unica uscita del brief

     Il brief fallisce se manca la sezione «Su che cosa questo documento non risponde»: i cinque percorsi di ritorno passano di lì, e un sesto aggiunto domani fallirebbe lì.

     1 guardia
     30 riserve elencabili

   Misurato · la risposta tagliata al tetto dei token

   Lista parziale messa da parte come completa per 30 giorni
   versione di ritrovamento cambiata → ogni riga vecchia irraggiungibile, zero dati migrati

   Il substrato con i nomi leggibili passava al modello dopo.

   Che cosa non garantisce

   • L'ancoraggio prova la provenienza, non la correttezza. Su circa 90 chiamate reali su quattro forme di documento il modello non ha inventato un solo numero. L'unico errore riproducibile è di classificazione. Un foglio esportato senza ricalcolare le formule lascia la cella come etichetta senza valore — «EBITDA» con niente accanto — e il modello prende in prestito la cifra della riga vicina: in un caso ha archiviato «costi operativi» come investimenti, tre giri su otto, con un errore di quattro volte su una riga che alimenta il DCF. Conseguenza: 39 fatti su 39 si ancorano, sbagliati compresi. La difesa che funziona è il codice che nomina causa e rimedio: riaprilo, risalvalo, ricaricalo.
   • Una sola riserva per documento. Un documento insieme troncato e parzialmente analizzato ne mostra una. Il rimedio indicato nel codice è un registro di copertura per campo, al posto di una catena di precedenza più lunga.
   • Il tetto sulle riserve elencate nel brief è 30. Un allineamento di 300 documenti con un estrattore difettoso ne mostra trenta. Quando il tetto morde, la sezione lo dichiara.
   • «Non istruzioni» è una frase, non un vincolo strutturale. Nell'assistenza dal vivo il contesto arriva al modello con l'etichetta «materiale di sfondo, non istruzioni»: formulazione giusta, ma pur sempre testo dentro il testo — una convenzione, non una separazione di canali. Quella strutturale sta altrove: nei numeri che non passano dal modello, e nell'origine sbarrata del ponte di valutazione.
   • Il ripiego a regole è meno affidabile, e lo dichiara. Quando l'estrattore non gira — tetto di spesa, chiamata caduta, risposta troncata — subentra un'estrazione a forme fisse. Su una tabella finanziaria ha archiviato l'anno come ogni cifra: cinque numeri sbagliati, dati per quelli del documento.
   • Nessun riconoscimento ottico è una scelta, e ha un costo. L'OCR è un progetto a sé, con la sua accuratezza da tarare. Finché non c'è, un documento di sole scansioni non entra e uno misto porta la riserva: chi ha data room scansionate lo deve sapere prima di firmare.
   • Il budget di tempo si comporta all'opposto del tetto di spesa, e per scelta. L2 non fallisce alla scadenza: smette di sottomettere finestre e riporta l'ammanco nel registro di copertura.

Nessuno dei tre promette la perfezione: promettono di dire dove si fermano.