I dati personali italiani non lasciano mai il perimetro di trust del Cliente.
Il Claresia LLM Gateway è l'unico percorso tra qualunque funzione Claresia — Sailford, Forge, Boss, Ledger, Gatespic, Takecare, Steve, Clawshield, Zottos, ogni Cowork agent — e i provider LLM di terze parti. Allowlist di modelli per-tenant. Workspace Anthropic / OpenAI / Microsoft dedicati per tenant. Redazione bidirezionale dei dati personali italiani ed europei. Quota hard + tetto di costo in EUR. Audit log inoltrato al Suo SIEM. Modalità BYOC opzionale, con il gateway eseguito all'interno della Sua VPC.
Ogni chiamata LLM attraversa tre piani. Il gateway non vede mai i dati del Cliente senza averli prima fatti passare attraverso il redactor bidirezionale dei dati personali; ogni evento viene replicato in tempo reale verso il SIEM del Cliente.
Detector in stile Microsoft Presidio operano sia sul prompt sia sulla risposta. Le categorie di tipo BLOCK (codice fiscale, IBAN, PAN) rifiutano la chiamata prima che un solo token lasci l'infrastruttura Claresia.
La mappa di regioni per tenant impone che le chiamate ad Anthropic atterrino su eu-central-1 e Azure OpenAI su italynorth. L'egress extra-UE richiede un addendum esplicito al DPA + un toggle per tenant.
Ogni invocazione produce un governance event SHA-256. Il gateway lo inoltra ad ogni SIEM Cliente configurato e ne ancora una copia nel cc-050 Intelligence Hub a supporto della Catena di custodia (Pilastro C di SCUDO).
I default dei detector sono tarati sui carichi di lavoro enterprise italiani. Codice fiscale, IBAN, PAN sono di classe BLOCK — la chiamata viene rifiutata. Email, telefono, indirizzo, nome, IP sono di classe REDACT — la corrispondenza viene sostituita con un placeholder stabile. I tenant possono sovrascrivere la policy detector per detector dalla console di amministrazione.
| Detector | Denominazione italiana | Esempio sintetico | Algoritmo di validazione | Default | Riferimento normativo |
|---|---|---|---|---|---|
| CODICE_FISCALE | Codice fiscale italiano | RSSMRA85M01H501Q | Carattere di parità ex D.M. 13/12/1989 (mod-26) | BLOCK | D.Lgs. 196/2003 (Codice della Privacy) + Reg. (UE) 2016/679 art. 9 |
| PARTITA_IVA | Partita IVA italiana | IT12345678903 | Checksum 11 cifre tipo Luhn | REDACT | GDPR art. 4(1) — identificativo del titolare ditta individuale |
| IBAN | IBAN europeo (IT 27 caratteri) | IT60X0542811101000000123456 | ISO 13616 modulo-97 + lunghezza per Paese | BLOCK | Adiacente all'ambito PCI-DSS + tutela del trust del Cliente |
| PAN | Numero carta di pagamento | 4242 4242 4242 4242 | Checksum di Luhn, lunghezza 13–19 | BLOCK | PCI-DSS — mai verso un LLM |
| Indirizzo email | marco.mazzolin@dainese.example | RFC 5322 in forma semplificata | REDACT | GDPR art. 4(1) | |
| PHONE_IT | Numero telefonico italiano | +39 333 1234567 | Mobile IT (3xx) + fisso (0xx) + E.164 | REDACT | GDPR art. 4(1) |
| ADDRESS_IT | Indirizzo italiano | Via Roma 12, 35100 Padova | Toponimo + numero civico + CAP + Comune | REDACT | GDPR art. 4(1) |
| NAME_IT | Nome di persona italiano | Marco Mazzolin | Lista curata di nomi propri + cognome capitalizzato; in produzione spaCy it_core_news | REDACT | GDPR art. 4(1) |
| IPV4 | Indirizzo IP v4 | 10.20.30.40 | Range ottetti 0–255 | REDACT | Direttiva (UE) 2022/2555 (NIS2) — topologia interna |
Tutti gli esempi presenti in questa pagina sono SINTETICI. Il codice fiscale mostrato supera il controllo del carattere di parità del D.M. 13/12/1989 ma non corrisponde ad una persona reale registrata in Anagrafe Tributaria. Il PAN è il valore canonico di test Visa.
Di seguito: la configurazione live del tenant Dainese. Ogni funzione Claresia legge questa riga attraverso Supabase RLS legato all'organizzazione WorkOS del tenant. Lo schema risiede in migrations/001-llm-gateway.sql.
{
"tenant_id": "dainese-it",
"currency": "EUR",
"fx_rate_usd_eur": 0.92,
"provider_allowlist": ["anthropic", "azure-openai"],
"model_allowlist": [
"claude-opus-4-7",
"claude-sonnet-4-7",
"claude-haiku-4-5",
"gpt-4o-azure"
],
"model_denylist": ["gpt-5", "gemini-2.5-pro"],
"default_model": "claude-sonnet-4-7",
"region_pinning": {
"anthropic": "eu-central-1",
"azure-openai": "azure-italynorth",
"google-vertex": "europe-west8"
},
"default_block_mode": "block",
"detector_overrides": {
"CODICE_FISCALE": "block",
"IBAN": "block",
"PAN": "block",
"EMAIL": "redact"
},
"quota_daily_tokens": 50000,
"quota_daily_usd": 5.00,
"audit_destinations": [
{ "id": "hub-1", "kind": "hub", "enabled": true },
{ "id": "sentinel-italynorth-1","kind": "sentinel", "enabled": true,
"endpoint": "https://dce.italynorth.dainese.example" },
{ "id": "datadog-eu-1", "kind": "datadog", "enabled": true,
"endpoint": "https://http-intake.logs.datadoghq.eu" }
],
"default_locale": "it",
"byoc_mode": false,
"eu_only_egress": true
}Workspace per tenant via Anthropic Admin API; zero-retention applicato per default.
Deployment per tenant su endpoint regionale; workload identity Entra ID.
OpenAI diretto è disabilitato di default per i Clienti italiani (assenza di residenza regionale).
Progetto per tenant; endpoint regionale italiano.
Fan-out per tenant. I fallimenti su singole destinazioni non interrompono il batch — il Suo SOC riceve gli eventi anche se un connettore è temporaneamente fuori servizio.
https://<cliente>.splunkcloud.com/services/collector/event Token HEC dal segret store del Cliente; sourcetype=claresia:llm_gateway.
Logs Ingestion API → DCE in italynorth Workload identity Entra ID; DCR + DCE per tenant.
https://http-intake.logs.datadoghq.eu/api/v2/logs Site UE consigliato per i Clienti italiani; ddsource=claresia.llm_gateway.
POST https://<deployment>.es.<eu-region>.aws.elastic-cloud.com/_bulk API key per tenant; index template incluso nella documentazione del gateway.
In una sessione di lavoro di 45 minuti rivediamo insieme la Sua allowlist di modelli, il pinning regionale, le destinazioni SIEM e la policy PII. Conclude la sessione con un tenant.json per-tenant pronto da committare nel Suo IaC.