PII Guard IT

Il problema: incollare testo in un LLM espone dati senza volerlo

Chi usa ChatGPT, Claude o Gemini per lavoro finisce spesso per incollare messaggi, contratti o moduli che contengono dati personali: un Codice Fiscale, un IBAN, un numero di telefono. I tool di rilevamento generalisti cercano pattern che assomigliano a un dato, producendo falsi positivi e falsi negativi, e nessuno è pensato sui formati italiani.

• Copia-incolla frequente di testo con dati personali verso servizi esterni
• I tool generalisti non validano i dati italiani, solo pattern approssimativi
• Un Codice Fiscale o una P.IVA inventati vengono segnalati come se fossero veri
• Nessun modo rapido per offuscare un dato senza riscrivere il testo a mano
• Serve un rilevamento affidabile che non richieda invio dei dati a un server

La soluzione: rilevamento validato e offuscamento reversibile, tutto in locale

PII Guard IT intercetta la digitazione e l'incolla su qualsiasi campo di testo, esegue il rilevamento con regex e validatori reali, e mostra un pannello non invasivo in Shadow DOM con i dati trovati. Un click sostituisce ogni valore con un placeholder tokenizzato; un secondo click ripristina gli originali. Nessuna chiamata di rete parte mai dall'estensione.

• Validazione reale: Codice Fiscale (check character), Partita IVA (check digit), IBAN (mod-97), carta di credito (Luhn)
• Rilevamento anche di email, PEC e telefono italiano, fisso e mobile
• Intercettazione dell'evento paste: il testo viene analizzato prima di entrare nel campo
• Offuscamento reversibile con placeholder tokenizzati e mappa salvata solo in locale, per scheda
• Pannello in Shadow DOM: isolato dagli stili della pagina host, non ruba il focus al campo
• Degrado elegante su editor ostili (es. ChatGPT): se la scrittura fallisce, offre di copiare il testo offuscato invece di rompere la pagina
• Zero dipendenze di rete a runtime, verificabile da DevTools → Network
• 36 test automatici (node:test), inclusi test di integrazione che riproducono lo scope globale condiviso dell'estensione

Competenze dimostrate

• Progettazione di un'estensione Chrome Manifest V3 da zero, senza framework
• Implementazione di algoritmi di validazione reali (check digit, mod-97, Luhn), non solo regex
• Uso di Shadow DOM per isolare una UI iniettata da qualsiasi stile della pagina host
• Gestione dello stato tra content script, service worker e popup con storage per-tab
• Attenzione a privacy e sicurezza come vincolo di prodotto, non solo come feature
• Workflow con piano di implementazione, review sistematiche e test di integrazione mirati a bug di caricamento reali

Come questo approccio può aiutare un team

Lo stesso schema: rilevamento locale validato, offuscamento reversibile, zero rete; si adatta a qualsiasi contesto in cui dati sensibili rischiano di finire in un servizio esterno: non solo LLM, ma anche form di supporto, tool di terze parti o strumenti interni aziendali.

• Estensioni analoghe per altri paesi con formati di documenti diversi (VAT europeo, SSN USA, NIF spagnolo)
• Redazione automatica di dati sensibili prima di allegare log o testo a un ticket di supporto
• Controllo privacy lato client per form pubblici che raccolgono dati personali
• Strumento interno aziendale per verificare cosa viene incollato in strumenti AI di terze parti