Latet
In arrivo

Latet Enterprise

Latet sostituisce i segreti e i dati personali nelle richieste dei tuoi agenti AI con valori fittizi realistici, prima che escano. Con Latet Enterprise decide il tuo team di sicurezza: fissa regole che nessuno può allentare, approva o respinge ogni modifica che le indebolirebbe e riceve eventi e report per il SIEM e per gli audit. Tutto gira su un server dentro la tua rete.

Iscriviti alla lista d'attesa Scrivi a info@latet.ai

Dove gira

Latet Enterprise gira su un tuo server, dentro la tua rete. Non esiste un cloud di Latet, e il server non contatta mai Latet.

La tua rete
Computer Claude Code, Codex, OpenCode e altri agenti
CI e programmi ognuno con la sua chiave API
Server Latet maschera ogni richiesta e rimette i valori reali in ogni risposta
Provider di AI quelli che i tuoi agenti usano già
Connessione diretta: bloccata
Firewall
Con la regola del firewall attiva, solo il server Latet raggiunge i provider di AI.
  • È il server a mascherare. Computer e programmi inviano le richieste di AI al server Latet tramite HTTPS, e il server le maschera una per una. Non si affida mai a un computer per farlo.
  • Nessuna chiamata a Latet. Il server si collega ai provider di AI e ai sistemi che gli colleghi tu, come il tuo identity provider e il tuo SIEM. La licenza è un file firmato, verificato offline.
  • Il tuo punto di controllo, insieme al firewall. Il server diventa il tuo punto di controllo quando il firewall permette solo a lui di raggiungere i provider di AI; un computer che li raggiunge direttamente lo aggira. La documentazione mostra un esempio della regola. Latet non verifica che sia attiva.
Dettagli tecnici
  • Installazione. Il server gira su istanze senza stato dietro il tuo bilanciatore di carico, con PostgreSQL e Valkey, in un container o come servizio systemd o Windows.
  • Cifratura. In PostgreSQL, i valori, i testi e le immagini di ogni persona e di ogni chiave API sono sigillati con una chiave propria, e queste chiavi con una chiave principale. I nomi degli account e gli indirizzi email sono in chiaro.
  • La chiave principale. Il server la legge da un file o da una variabile d'ambiente. Tienine una copia separata dai backup del database.
  • Build. Ogni release viene creata da un workflow che aggiunge attestazioni di provenienza della build e uno SBOM CycloneDX.

Controllo

Il tuo team di sicurezza imposta le regole per tutti in un unico posto, con una soglia minima sotto cui nessuno può scendere, e decide sulle modifiche che ridurrebbero la protezione.

Regole per tutti

  • Una volta sola, per tutti. Termini, elenchi, riconoscitori, regole di campo e livelli di protezione si impostano sul server e valgono per ogni persona e ogni chiave API; poi ognuno aggiunge i propri.
  • Una soglia minima, non un tetto. Le impostazioni di ciascuno si aggiungono alle regole dell'azienda. Una modifica che scenderebbe sotto la soglia viene rifiutata, che arrivi dalla dashboard, dalla riga di comando o da un'importazione, e il rifiuto indica l'impostazione bloccata dall'azienda.
  • Visibili a tutti. Nella dashboard, ognuno vede le impostazioni bloccate segnate da un lucchetto.
  • Sul server, subito. Le regole bloccate stanno nel database del server e valgono subito per ogni persona e ogni chiave API.
Dettagli tecnici
  • Formato. Le regole bloccate usano il formato del file delle regole di Latet: puoi partire da un'esportazione delle regole che usi già.
  • Senza un server. Gli strumenti di gestione dei dispositivi installano un file di regole in una cartella in cui solo gli amministratori possono scrivere: C:\ProgramData\Latet\policy.yaml, /Library/Application Support/Latet/policy.yaml o /etc/latet/policy.yaml.
  • Il limite di un file. Chi è amministratore del proprio computer può cancellarlo. Una soglia che regga davvero va impostata sul server, insieme alla regola del firewall.

Approvazioni centralizzate

  • Decide il team di sicurezza. Se le regole bloccate lo prevedono, una modifica che ridurrebbe la protezione, come lasciar passare un valore in chiaro o disattivare una regola, va alle persone con il ruolo di sicurezza.
  • Nessun valore nella richiesta. Una richiesta di approvazione indica l'impostazione che cambierebbe, mai un valore.
  • Chiaro per chi aspetta. Chi ha fatto la richiesta vede chi deve decidere.
  • Il Revisore Live, se lo scegli. Il Revisore Live trattiene ogni nuovo testo finché qualcuno non lo approva. L'azienda può affidare l'approvazione al team di sicurezza, al posto di ciascuna persona. Le persone ne vengono informate.

Evidenze

Latet Enterprise invia eventi al tuo SIEM e produce report per i tuoi audit. Contengono conteggi e categorie, mai un valore.

Eventi per il tuo SIEM

  • Splunk. Gli eventi arrivano all'HTTP Event Collector (HEC) di Splunk.
  • Syslog. Gli eventi partono come messaggi RFC 5424 su TLS verso rsyslog, syslog-ng o un collettore davanti a Microsoft Sentinel.
  • Webhook. Ogni evento parte in JSON, via HTTPS, verso un indirizzo che scegli tu, con gli header che servono al destinatario. Funziona con Elastic, con Microsoft Sentinel tramite una Logic App, e con collettori come Vector o Fluent Bit.
  • Mai d'intralcio. L'invio di un evento non rallenta mai la richiesta di un agente. Gli eventi aspettano in coda, e Latet riprova a inviarli se il tuo SIEM non risponde.
Dettagli tecnici
  • Tipi di evento. exchange, stopped, approval, change, policy, sync, sign-in, license, e admin per il registro di amministrazione.
  • Consegna. Gli eventi arrivano almeno una volta e in ordine, in blocchi di 500 al massimo, inviati da un'istanza alla volta. Se un invio si interrompe a metà, una parte del blocco può arrivare due volte: l'id di ogni evento permette di riconoscere i doppioni.
  • Nuovi tentativi. Se il destinatario non risponde, Latet riprova dopo 5 secondi, 10 secondi, 30 secondi e un minuto, poi ogni 5 minuti. Gli eventi aspettano in ordine, anche dopo un riavvio.
  • Segreti. Token e chiavi sono sigillati nel database del server. Un webhook con un segreto viene firmato (x-latet-signature), e http:// è rifiutato, tranne verso il server stesso.
Un evento: conteggi, mai un valore
{
  "v": 1,
  "id": "3f9a0c1d2e4b4c6f8a1b2c3d4e5f6071",
  "ts": "2026-11-03T09:12:44Z",
  "type": "exchange",
  "identity": null,
  "kind": "person",
  "group": "g_payments",
  "agent": "claude-code",
  "project": "billing-api",
  "masked": {"EMAIL": 3, "IBAN": 1},
  "stopped": 0,
  "reason": null,
  "outcome": null,
  "by": null,
  "rule": null
}

In questo scambio sono stati mascherati tre indirizzi email e un IBAN. L'evento dice quanti e di che tipo, mai quali. Finché i report sono per gruppo, come da impostazione predefinita, identity resta null.

Report

  • Nella dashboard. Puoi filtrare per periodo, gruppo, progetto, agente o categoria, seguire l'andamento nel tempo ed esportare in CSV o JSON.
  • Indipendenti dalla cronologia. I report vengono da un registro di eventi tutto loro, con una sua durata di conservazione: funzionano anche con la cronologia disattivata.

Registro di amministrazione

  • Chi ha fatto cosa. Il registro annota ogni azione di amministrazione: chi, cosa, su cosa, quando e da quale indirizzo, ma mai un valore. Viene conservato per 365 giorni, se non scegli diversamente.
  • Le modifiche si vedono. Ogni voce porta l'hash della precedente. latet server log verify, un controllo ogni ora e latet server status dicono se la catena è integra.
  • Anche nel tuo SIEM. Una catena di hash rivela una modifica ma non la impedisce: chi può scrivere nel database può riscriverla tutta. Per questo il registro va anche al tuo SIEM.
  • Su ogni server. Il registro c'è su ogni server Latet, già nella Community Edition. Enterprise lo aggiunge ai report e al SIEM.

I nomi della tua azienda

Latet trova ciò che ha un formato riconoscibile: chiavi, indirizzi email, IBAN, numeri identificativi. I nomi dei tuoi clienti e i nomi in codice dei tuoi progetti non ne hanno. Latet Enterprise li prende dai tuoi sistemi e li maschera come ogni altro valore, senza che nessuno debba scriverli.

  • Da un file o da un URL. Latet legge a intervalli regolari un elenco in CSV, JSON o YAML, e qualsiasi sistema può produrne uno.
  • Da Microsoft Entra ID. Latet legge, tramite Microsoft Graph, nomi e indirizzi email delle persone e nomi dei gruppi.
  • Da LDAP e Active Directory. Latet legge i nomi direttamente dalla tua directory.
  • Da un CRM, su richiesta. HubSpot o Salesforce si aggiungono quando un'azienda li chiede.
Dettagli tecnici
  • Tipi di termine. Ogni fonte associa i suoi campi a tipi come CLIENT, PERSON e PROJECT.
  • Sigillati. I termini sincronizzati sono conservati sigillati in PostgreSQL, non in un file di impostazioni: un elenco di clienti è sensibile di per sé.
  • Rimossi alla fonte. Un termine che sparisce dalla sua fonte resta mascherato, segnato come non più presente, finché una persona con il ruolo di sicurezza non lo rimuove.

Accesso e ruoli

Le persone accedono con il tuo identity provider, che gestisce anche i loro account.

  • Single sign-on con OIDC. Funziona con Microsoft Entra ID, Google, Okta, Keycloak, Authentik, Auth0 e altri provider OIDC. SAML 2.0 è disponibile su richiesta.
  • Account tramite SCIM 2.0. È il tuo identity provider a creare e disattivare gli account. Solo chi fa parte del gruppo che scegli, per esempio latet-users, riceve un account.
  • Disattivare vuol dire chiudere tutto. Disattivare l'account di una persona chiude subito le sue sessioni e revoca i suoi token, su ogni istanza, e libera il suo posto.
  • Gruppi e ruoli. I gruppi arrivano dall'identity provider o si creano a mano. I ruoli si assegnano a persone o a gruppi.
Dettagli tecnici
  • OIDC. Latet usa il flusso authorization code con PKCE. Il client secret è sigillato con la chiave principale, e i gruppi nel token corrispondono ai gruppi di Latet.
  • SCIM. Il server espone /scim/v2/Users e /scim/v2/Groups, la parte di SCIM 2.0 che usano Entra ID e Okta.
Ruoli
Ruolo Vede Decide
Utente i propri dati e le chiavi API che controlla le proprie impostazioni, sopra la soglia minima, e quelle delle chiavi API che controlla
Responsabile di gruppo i report dei propri gruppi niente
Sicurezza tutti i report le regole bloccate, i termini, le approvazioni, il SIEM
Auditor i report, lo storico delle regole bloccate e il registro di amministrazione, in sola lettura niente
Amministratore persone, gruppi e chiavi API l'accesso, i ruoli, la licenza, le chiavi API e chi le controlla

La privacy dentro l'azienda

Latet tiene i valori delle persone lontani dai provider di AI, e anche dai tuoi amministratori.

  • I dati di ognuno sono suoi. Nessuno vede i valori o i testi di un'altra persona, amministratori compresi. Cassaforte, cronologia e approvazioni di ciascuno sono solo sue.
  • Report senza contenuti. Report ed eventi per il SIEM contengono conteggi, categorie, id delle regole, agente, progetto, gruppo ed esito, ma mai un valore, un testo o un valore fittizio.
  • Un'eccezione, scelta apertamente. Se il team di sicurezza approva i testi del Revisore Live, chi approva vede ogni testo, valori compresi. L'azienda lo sceglie e lo comunica alle persone.
  • Report per gruppo, per impostazione predefinita. I report per persona, con uno pseudonimo o con il nome, sono un'opzione che l'azienda attiva, dopo un accordo con i dipendenti dove la legge lo richiede.
Dettagli tecnici
  • Dove la legge chiede un accordo. In Italia, l'art. 4 dello Statuto dei lavoratori (L. 300/1970); in Germania, la codeterminazione del consiglio aziendale (§ 87, comma 1, n. 6 BetrVG).

Cosa ottiene un auditor

Cosa possono verificare in autonomia i tuoi auditor.

  • Un ruolo in sola lettura. Gli auditor vedono i report, lo storico delle regole bloccate e il registro di amministrazione, senza poter cambiare nulla.
  • Numeri per periodo. I report dicono quanti valori sono stati mascherati e di che tipo, quante richieste sono state fermate e quante modifiche approvate, per gruppo, progetto e agente, ma mai un valore.
  • Chi ha cambiato cosa. Lo storico delle regole bloccate, il registro di amministrazione e gli eventi di approvazione mostrano chi ha cambiato quale regola e chi l'ha approvata.
  • Un registro verificabile. La catena di hash si controlla con latet server log verify.
  • Materiale per una DPIA. La documentazione dice cosa conserva Latet, dove, cosa è sigillato e cosa è in chiaro, e per quanto tempo.
Di cosa costituisce evidenza
Riferimento Articoli e controlli
GDPR Pseudonimizzazione (art. 4, punto 5), protezione dei dati fin dalla progettazione (art. 25), sicurezza del trattamento (art. 32, par. 1, lett. a)
ISO/IEC 27001:2022, Allegato A 8.11 mascheramento dei dati, 8.12 prevenzione della fuga di dati, 8.15 logging, 8.16 attività di monitoraggio

Latet riduce l'esposizione. La conformità dipende dai tuoi controlli.

La licenza

Il server fa parte della Community Edition, gratuito per ogni azienda, e comprende il registro di amministrazione. Latet Enterprise aggiunge tutto il resto di questa pagina, comprese le regole per tutti.

A chi serve. Un'azienda che usa le funzioni Enterprise in produzione ha bisogno di una licenza Latet Enterprise. Usarle per sviluppo e test è gratuito, e la Community Edition, server compreso, resta gratuita per ogni azienda, di qualsiasi dimensione.

Verificata solo dalle funzioni Enterprise. La Community Edition non ha chiavi di licenza e non verifica nulla. Solo le funzioni Enterprise leggono il file di licenza, offline.

Il conteggio degli utenti

Come in Jira: conta ogni account attivo con accesso a Latet, che sia stato usato o no in quel mese. Una persona conta una volta sola, qualunque sia il numero dei suoi computer e dei suoi gruppi. Ogni chiave API attiva conta come un utente. Disattivare un account libera subito il suo posto.

Il file di licenza

Firmato con Ed25519 e verificato offline, senza attivazione. Riporta la tua azienda, gli utenti acquistati, le funzioni e la data di scadenza, che latet license show e latet doctor mostrano.

Il periodo di prova

Sviluppare e fare test con le funzioni Enterprise non richiede una licenza. Per provarle prima sul lavoro reale, un'azienda può chiedere un file di licenza di prova, valido 32 giorni.

Se il rinnovo arriva in ritardo

  1. 30 giorni prima della scadenza Un avviso

    Gli amministratori vedono un avviso nella dashboard e in latet doctor.

  2. Alla scadenza Per ora non cambia nulla

    Per altri 30 giorni tutto continua a funzionare come prima.

  3. 30 giorni dopo la scadenza Si ferma la produzione di dati nuovi

    Latet smette di produrre cose nuove per te: nuovi report ed esportazioni, eventi per il SIEM e sincronizzazioni dei termini. I termini già sincronizzati restano mascherati.

  • La protezione non si ferma mai. Le regole bloccate restano bloccate, le approvazioni seguono il loro percorso e tutti possono continuare ad accedere.
  • Più utenti di quelli acquistati. L'avviso arriva subito, poi valgono gli stessi 30 giorni e la stessa pausa.

Latet continua a proteggere perché nessuno resti esposto, ma la licenza resta necessaria. Un'azienda che continua a usare Latet Enterprise dopo la scadenza la rinnova, e una che ha più utenti di quelli acquistati compra quelli in più.

Le condizioni complete

Contatti

Per parlare del caso della tua azienda, scrivi a info@latet.ai. Indica quante persone userebbero Latet, quale identity provider e quale SIEM ha la tua azienda e quali agenti usa.

Fatti avvisare quando Latet Enterprise sarà disponibile

Lascia il tuo indirizzo email: riceverai un solo messaggio quando Latet Enterprise sarà disponibile, e nient'altro.

Come viene conservato l'indirizzo

Domande su Latet Enterprise?

Scrivi a questo indirizzo:

info@latet.ai

Scrivi un'email