Anonimizza un testo (e ripristina i dati)

A che serve, e che cosa non fa

Il regolamento aziendale dice di non incollare i dati dei clienti in una chat, ma la lettera va scritta lo stesso. Oggi si cancella a mano prima e si riscrive a mano dopo, dimenticandone sempre uno. Qui il testo passa da un filtro che sostituisce i dati con segnaposto numerati e stabili: lo stesso IBAN riceve sempre [IBAN_1], in tutto il testo, così chi legge capisce che si parla sempre dello stesso conto. Poi si incolla la risposta nella seconda casella e i segnaposto ridiventano i valori veri.

Quello che questo tool non fa è indovinare i nomi propri. Riconoscere «Rossi» come cognome e non come colore è la parte che funziona male anche negli strumenti costosi, e sbagliarla in silenzio farebbe perdere fiducia in tutto il resto. I nomi si mascherano selezionandoli col mouse e premendo «Maschera la selezione», oppure incollandoli nell'elenco delle parole tue: sono due secondi e non c'è niente da indovinare.

Riconosce solo ciò che torna

Ogni tipo di dato ha una verifica vera, la stessa che usano le pagine del sito che fanno solo quel controllo: mod-97 per l'IBAN (con la lunghezza giusta del Paese), il carattere di controllo per il codice fiscale e per la partita IVA, Luhn per le carte, la lettera di controllo per DNI e NIE spagnoli. Se il conto non torna, il dato non viene toccato.

È una scelta precisa: preferiamo lasciare intatto un numero di fattura di undici cifre piuttosto che riempire il testo di segnaposto a caso. Il rovescio della medaglia è che un IBAN battuto male non viene mascherato, e quindi resta in chiaro: se ti aspettavi di trovarlo nell'elenco e non c'è, controlla una cifra.

Email, indirizzi web, targhe e telefoni non hanno una cifra di controllo, quindi lì si guarda la forma. Le targhe seguono le lettere ammesse in Italia (niente I, O, Q, U) e in Spagna (solo consonanti). Per i telefoni valgono regole prudenti: da 8 a 15 cifre, gruppi di almeno due cifre, mai una data, mai un numero con i separatori delle migliaia.

Il giro completo, in tre gesti

1. Incolli il testo e premi «Trova i dati». Nell'elenco di revisione vedi che cosa è stato trovato, quante volte compare e con quale segnaposto: puoi togliere la spunta a un dato che vuoi lasciare in chiaro e puoi rinominare un segnaposto (per esempio CLIENTE_A invece di NOME_1) se ti aiuta a rileggere la risposta.

2. Copi il testo mascherato e lo usi dove ti serve. Nessuno ti chiede di caricare niente da nessuna parte: la sostituzione avviene qui dentro.

3. Incolli la risposta nel secondo riquadro e premi «Rimetti i dati veri». Il testo torna completo, con gli IBAN e le email al loro posto.

Quando l'AI riscrive il segnaposto

È il punto in cui questi strumenti si rompono, quindi qui è curato in modo ossessivo. Un modello che riscrive il testo può trasformare [EMAIL_1] in [EMAIL 1], in [email_1], in (EMAIL_1), in **[EMAIL_1]** o addirittura tradurlo in [CORREO_1]. Il ripristino tollera tutto questo: ignora maiuscole, spazi, accenti e punteggiatura intorno all'etichetta, e conosce i nomi dei segnaposto nelle tre lingue del sito, quindi ricade sul tipo più il numero.

Quando invece un segnaposto sparisce del tutto, o ne compare uno che non corrisponde a niente, non ti restituiamo un testo mezzo ripristinato facendo finta di niente: compare un riquadro rosso con l'elenco dei problemi e la riga esatta, quella della risposta per i segnaposto sconosciuti e quella del testo mascherato per quelli spariti. Il testo ripristinato lo trovi lo stesso, ma sai dove metterci le mani.

Che cosa parte spento su questa pagina, e perché

All'apertura della pagina italiana partono spente le caselle DNI o NIE, Data e CAP, e le trovi tutte nel riquadro «Che cosa cercare»: basta un clic per accenderle, il controllo che fanno è lo stesso di sempre. Se si maschera ogni data, il testo diventa inutile per chi lo deve leggere: «paga entro [DATA_1]» non permette di calcolare niente, e le scadenze sono spesso il motivo per cui la lettera si scrive. Il CAP, dal canto suo, è un numero di cinque cifre come tanti altri, e da solo non identifica nessuno. Il DNI è il documento spagnolo, che in un testo italiano capita di rado: acceso a sproposito prenderebbe numeri di otto cifre seguiti da una lettera. Sono scelte, non dimenticanze: quando il messaggio dice che non ha trovato niente, ricorda anche quali caselle erano spente.

La mappa vive solo in questa pagina

La corrispondenza fra segnaposto e valori veri resta in memoria dentro la scheda del browser: non viene salvata sul dispositivo, non viene mandata a nessun server e non sopravvive a una ricarica della pagina. È il motivo per cui il ripristino va fatto nella stessa scheda in cui hai mascherato: se chiudi tutto, i segnaposto restano lettere morte, che è esattamente quello che vuoi se il computer è condiviso.

L'esportazione della mappa in JSON esiste, ma sta dietro due clic e un avviso rosso: quel file contiene tutti i tuoi dati in chiaro accanto ai segnaposto, quindi vale quanto i dati stessi. Il pulsante «Cancella tutto» toglie mappa, testi e segnaposto dalla pagina in un colpo solo.

I limiti, detti prima

Questa è pseudonimizzazione, non anonimizzazione: con la mappa in mano il testo torna identico all'originale, ed è proprio ciò che serve, ma vuol dire che il testo mascherato resta un dato personale finché la mappa esiste. Anche senza mappa, un testo può restare riconoscibile dal contesto (una sola persona in azienda ha quel ruolo in quella città).

Sui telefoni e sulle parole tue possono capitare falsi positivi e falsi negativi: rileggi sempre l'elenco di revisione prima di copiare, è lì per questo. Un numero di undici cifre che per caso supera il controllo della partita IVA viene mascherato come tale, e un telefono scritto tutto attaccato senza prefisso può passare inosservato.

Il tool non tocca allegati, immagini o PDF: lavora sul testo che incolli. Per annerire un PDF c'è una pagina apposta, e per togliere i dati nascosti da una foto ce n'è un'altra.