feat: refine metadata catalog workflows

CONTEXT.md

@@ -244,6 +244,29 @@ incompatibile o non aggiornato produce nessuna Evidence e un avviso esplicito. I
 workflow può continuare, ma non usa mai silenziosamente contenuti di una revisione
 precedente o di un altro workspace.
 
+## Configurazione dei modelli
+
+**Workspace Descriptor** — La dichiarazione versionata dell'identità e dello scope del
+Workspace Database e delle Evidence di un workspace. Non definisce modelli, selezioni di
+modello o Database Binding specifiche di un'installazione.
+
+**Installation Model Catalog** — L'insieme dichiarativo, proprio di un'installazione, dei
+modelli disponibili, dei loro Model Usage e dei relativi default. È l'unica autorità per i
+modelli di sessione, generazione dei metadati ed embedding e non appartiene a un workspace.
+_Avoid_: Model Catalog, Metadata Generation Model Configuration
+
+**Model Usage** — Lo scopo per cui un modello dell'Installation Model Catalog può essere
+usato: `session`, `metadata_generation` oppure `embedding`. L'ammissibilità e il default
+dipendono dall'uso, non dal workspace.
+
+**Model Selection** — La scelta runtime, a livello di installazione, di un modello del
+catalogo per uno specifico Model Usage. Riferisce l'identità canonica del modello senza
+ridefinirne provider, endpoint o capacità.
+
+**Model Runtime Projection** — La rappresentazione derivata e non autoritativa
+dell'Installation Model Catalog richiesta da uno specifico runtime. Può essere rigenerata
+integralmente dalla configurazione dell'installazione.
+
 ## Catalogo dei metadati
 
 **Workspace Database** — Il database che appartiene a un solo workspace e non può essere
@@ -385,38 +408,56 @@ con la binding corrente.
 distinti dai fatti strutturali governati dalla sincronizzazione. Possono essere popolati dall'AI,
 da un'importazione o da una modifica amministrativa senza cambiare il database esterno.
 
-**Metadata Generation Model Configuration** — La configurazione a livello di setup applicativo
-che elenca i modelli selezionabili, il default e i riferimenti agli eventuali segreti per la sola
-generazione dei metadati. Un modello keyless è ammesso solo con un endpoint esplicito che non
-richiede autenticazione. Non appartiene al workspace ed è indipendente dalla configurazione Pi.
-
 **Model Completion Helper** — Il processo Python interno ed effimero che esegue una singola
 richiesta LiteLLM per conto del backend. Non è un servizio HTTP, non possiede il lifecycle della
 Description Generation Run e non è una CLI esposta agli utenti.
 
 **Catalog Sample** — Un input transitorio composto da un massimo di cinque righe e da valori di
 esempio bounded di una Catalog Table per la generazione delle descrizioni. Può contenere valori
-reali oppure sintetici in base al Sensitive Data Flag della Catalog Column; non viene persistito
-e non diventa Catalog Metadata.
+reali oppure sintetici in base alla Source Value Disclosure Decision; non viene persistito e non
+diventa Catalog Metadata.
 
-**Sensitive Data Flag** — La scelta binaria umana applicata a una Catalog Column: `true` protegge
-i valori sorgente e `false` ne consente l'invio al modello. Il valore predefinito è `false`, anche
-per le nuove colonne.
+**Sensitive Data Flag** — La classificazione binaria umana applicata a una Catalog Column. Può
+essere impostata liberamente dall'amministratore anche in contrasto con una valutazione automatica.
 
-**Sensitive Data Policy** — La regola che applica il Sensitive Data Flag ai Catalog Sample:
-valori sintetici per una colonna protetta, valori reali per una colonna non protetta. L'AI può
-suggerire il flag dai soli metadati tecnici di un database, delle tabelle o delle colonne
-esplicitamente selezionate; le richieste ampie vengono divise in batch bounded, ma soltanto
-l'utente imposta i flag dopo aver rivisto la proposta completa.
+**Local Sensitivity Assessment** — La valutazione locale, non autoritativa e priva di LLM di una
+Catalog Column, basata su metadati e contenuto sorgente, con esito `sensitive`, `non_sensitive`
+oppure `unknown`.
+_Avoid_: AI suggestion, automatic flag
+
+**Local NER Detector** — Il componente NLP opzionale e CPU-only che esamina soltanto testo ancora
+ambiguo e restituisce evidenze al Local Sensitivity Assessment. Non decide lo stato della colonna,
+non usa un LLM generativo e non persiste valori sorgente.
+_Avoid_: AI classifier, local LLM fallback
+
+**Model Data Boundary** — La qualificazione amministrativa di un modello come `internal` oppure
+`external` rispetto al confine entro cui i valori sorgente possono essere comunicati.
+_Avoid_: local model, remote model
+
+**Source Value Disclosure Decision** — L'unica decisione effettiva che stabilisce se un modello
+riceve valori sorgente reali oppure sostituti sintetici, combinando Model Data Boundary e Sensitive
+Data Flag.
+_Avoid_: sample filter, export flag
+
+**Sensitive Data Policy** — L'insieme versionato di regole locali generali e specifiche che produce
+una Local Sensitivity Assessment. Un singolo riscontro blocca l'intera colonna e qualsiasi valore
+testuale più lungo di 500 caratteri rende sensibile la colonna.
 _Avoid_: PII filter, sample filter
 
-**Sensitive Data Suggestion Run** — Il tentativo amministrativo tracciato con cui il modello
-propone Sensitive Data Flag dai soli metadati strutturali. Conserva stato e conteggi aggregati,
-ma non i suggerimenti per colonna, che restano una proposta transitoria fino al salvataggio umano.
+**Sensitivity Analysis Run** — Il tentativo amministrativo esplicito e tracciato che valuta una
+selezione di colonne mediante la Sensitive Data Policy. Conserva stato, copertura e conteggi
+aggregati, ma non valori sorgente né esiti per colonna.
+_Avoid_: Sensitive Data Suggestion Run, AI analysis
 
-**Sensitive Data Suggestion Event** — Una riga testuale ordinata e sanitizzata che registra
-l'avvio, l'esito o l'errore di una Sensitive Data Suggestion Run senza conservare prompt,
-risposte grezze del provider o proposte per colonna.
+**Sensitivity Review Draft** — La proposta transitoria che associa alle colonne selezionate una
+Local Sensitivity Assessment e le relative evidenze sanificate. Non modifica il Sensitive Data Flag
+finché l'amministratore non salva le proprie decisioni e viene scartata al reload.
+_Avoid_: automatic flag
+
+**Sensitivity Analysis Event** — Una riga testuale ordinata e sanificata che registra l'avvio,
+l'esito o l'errore di una Sensitivity Analysis Run senza conservare contenuti sorgente, output grezzi
+del detector o proposte per colonna.
+_Avoid_: Sensitive Data Suggestion Event
 
 **Introspection Capability** — Una categoria di struttura fisica che una Database Binding
 può osservare, come tabelle, colonne, relazioni, indici o enum. Una capability non disponibile