ИЗЯВЛЕНИЕ НА ОСНОВАТЕЛЯ
Защо инициирах тази екосистема — професионална убеденост след 28 години
Вашите данни. Вашите ключове. Вашите правила.
Всеки продукт в тази екосистема е изградена на единствено архитектурно задължение: вашите данни, вашите ключове, вашият контрол. Вашата парола никога не напуска вашето устройство. Вашите документи никога не се съхраняват. Вашият ключ за криптиране е само ваш. Никакъв закон на облака в САЩ, никаква призовка от доставчик, никакъв брокер на данни — не може да достигне до това, което никога не е било споделено.
Фон
В продължение на 28 години работя на пресечната точка на технологията, сигурността и организационната съвместимост. Основах curta.solutions през 1998 г. Оттогава съм обслужвал регулирани организации в 26 държави — в финансови услуги, здравеопазване, право, правителство, производство и технологии — като техен партньор в ИТ архитектура, сигурност, цифрова трансформация и съвместимост.
Това, което наблюдавах през 28 години, не е бавна еволюция. Това е криза в бавен ход — такава, която достигна точка на пречупване с появата на генеративен ИИ и глобалната разпространение на припокриващи се регулации за поверителност.
Моята убеденост
Вярвам, че всеки човек, организация и институция има правото да споделя информация селективно — да разкрива на регулатор само това, на което регулаторът има право да вижда, да сътрудничи с партньор само по данни, които са били изрично упълномощени, да участва в търговския и публичния живот, без да предава това, което трябва да остане частно.
Вярвам, че това право трябва да бъде практически упражнявано от всички — не само от организации с отдели за съвместимост и бюджети за корпоративен софтуер. Поверителността не може да бъде привилегия на мащаба.
Вярвам, че в свят, в който законът на САЩ може да достигне до всякакви данни, държани от всяка американска компания навсякъде по света, и където 77% от служителите подават чувствителни данни в инструменти за ИИ, които не контролират, единствената архитектура, която може да предостави значима гаранция за поверителност, е такава, при която данните никога не напускат контрола на потребителя. Не договорни гаранции. Не политики за поверителност. Техническа архитектура.
Zero-knowledge удостоверяване. Обработка на локално ниво. Обратимо криптиране, при което ключът принадлежи на потребителя. Операция с възможност за работа офлайн. Юрисдикция на ЕС, без изключения. Това не са функции на продукта. Те са минималният стандарт за всеки инструмент, който твърди, че защитава лични данни.
И вярвам, че 28 години работа в организациите, които обработват най-чувствителната информация в света — 28 години наблюдение на пропуска между регулаторните намерения и техническата реалност — ми е дало както разбирането, така и отговорността да инициирам това, което екосистемата все още не предлага. Да дефинирам визията, да събера правилния екип и да се уверя, че то се изгражда по стандарта, който проблемът изисква.
Правото да анонимизирате лична информация не е техническа функция. То е основно право. И право, което не може да бъде практически упражнено, не е право изобщо.
Проблемите, които наблюдавах
Регулаторна фрагментация: Твърде много правила, никакъв общ език
Средна организация, оперираща глобално, трябва едновременно да навигира в 48+ национални и регионални закони за поверителност — GDPR, UK GDPR, CCPA, LGPD, PDPA, PIPL, DPDPA, APPI, PIPEDA и десетки други. 24 национални DPA в ЕС сами издават задължителни указания, които са последователни по принцип и различни в практиката. Това, което удовлетворява германския BfDI, не удовлетворява автоматично френския CNIL, ирландския DPC или холандския AP. Секторно специфичното наслояване — HIPAA, PCI-DSS, NIS2, Закона за ИИ — добавя изисквания, които рядко са хармонизирани помежду си.
Резултатът не е рамка за съвместимост. Това е движеща се цел с 48 различни мишени.
Хартиеният монстър: Споразумения, които никой не чете, контрол, който никой не проверява
Организациите поддържат споразумения за обработка на данни с стотици подизпълнители, Стандартни договорни клаузи, които достигат до 30+ страници на всяко трансферно отношение, Записи на дейности по обработка, DPIA, TIA, LIA — всяко изисква технически вход, който повечето правни екипи не могат да проверят независимо. На практика: организациите подписват това, което трябва да подпишат, подават това, което трябва да подадат, и се надяват техническата реалност да съвпада с договорното описание. Хартиеният монстър генерира видимост на съвместимост. Рядко генерира същността на нея.
Техническа недостатъчност: Инструментите не отговарят на задължението
Генеративното разпознаване на PII на базата на ИИ е недетерминирано. Един и същ документ, обработен два пъти, произвежда различни резултати. Фундаментално несъвместимо с съвместимост — където трябва да демонстрирате, възпроизводимо и проверимо, че конкретни данни са били открити и обработени правилно.
Microsoft Presidio, spaCy, Stanza — инженерни платформи, а не инструменти за съвместимост. Внедряването в продукция изисква писане на персонализирани разпознаватели за всеки тип единица и език, изграждане на предварителни/пост-обработващи потоци, интегриране с формати на документи, поддържане на всичко, докато регулациите се развиват. Обикновено 30–80 часа специализирано инженерно време преди да бъде обработен един единствен документ. Повечето организации нямат такова експертно познание в къщи.
Личен номер в шведски трудов договор, Steuer-ID в немска данъчна форма, PESEL в полски застрахователен документ, Codice Fiscale в италианска фактура — всеки изисква не само разпознаване на езика, но и разпознаване на единици, осведомени за типа документ. Езиковите модели, обучени предимно на английски, произвеждат 69% пропуски на PII в неанглийски текст. Законът не прави разлика по език.
Microsoft Purview, AWS Macie, Google Cloud DLP — скъпи, изискват свързаност с облака, заключват организациите. По-критично: всички са с централа в САЩ. CLOUD Act от 2018 г. задължава тях да разкриват данни навсякъде по света при валидно искане от правителството на САЩ. Раздел 702 на FISA позволява събиране на разузнавателна информация без индивидуални заповеди. Schrems II обяви за невалиден EU-US Privacy Shield точно по тази причина. Годишен договор на стойност шест цифри с доставчик на облака в САЩ не произвежда обработка на данни, съвместима с GDPR.
Проблемът с неконтролируемия ИИ: Пазарът няма отговор
77% от служителите споделят чувствителна работна информация с инструменти за ИИ поне веднъж седмично. 34.8% от всички входове на инструменти за ИИ съдържат информация, квалифицираща се като чувствителна под поне една рамка за поверителност. Служителите използват ChatGPT, Copilot, Claude, Gemini, за да изготвят договори, обобщават бележки, анализират електронни таблици — постоянно, автоматично, без да осъзнават какво поставят в подканата.
Традиционните системи за DLP не могат да разберат семантичното съдържание на подканата на естествен език. Те не могат да различат разработчик, който моли ИИ да обясни шаблон на код, от разработчик, който поставя база данни с 50,000 записа в същия прозорец. ИИ моделите обработват всичко. Те не предлагат защита, не дават предупреждения, не осигуряват следа от одит, на която DPO може да разчита.
Липсва техническият слой, който прави политиката приложима на практика. Този слой не съществува на пазара на цена, която средна организация може да си позволи, в каквато и да е форма, която работи с инструментите за ИИ, които служителите наистина използват. Това е една от пропуските, които тази екосистема беше изградена да запълни.
Пропускът в достъпността: Съвместимостта като привилегия на мащаба
Самостоятелен практикуващ, общностна организация, малка публична власт, изследователска институция — всеки подлежи на същия GDPR, същото право на изтриване, същото задължение за уведомление за нарушение като глобална банка — но без правен екип, инженерни ресурси или бюджет за софтуер на корпоративно ниво, за да ги реализират правилно. Екосистемата за съвместимост е обслужвала големи организации адекватно, макар и скъпо. Тя е обслужвала всички останали с мандат и без практически средства за задоволяване на него.
Отговорът на екосистемата — една платформа, множество изрази
Платформата-майка и основната точка за достъп. Хибридно двуслойно разпознаване на PII (260+ единици, 48 езика, 121 предварително зададени съвместимости) във всички модели на внедряване — SaaS, управляван частен облак и самоуправляващ се. Всички производни продукти споделят същия двигател за разпознаване и същия основополагающ принцип: сила в ръцете на потребителя.
Издание за предприятия с въздушна пропаст. 390+ единици, 317 персонализирани regex шаблона, 100% офлайн обработка, OCR на изображения на 37 езика. Няма зависимост от облака — данните никога не напускат устройството.
Платформа за PII с облачна първостепенност с най-широк достъп. Разширение за Chrome за реално време на ИИ, MCP сървър, добавка за Office, обратимо криптиране. Безплатно до €29/месец — съвместимост за всеки бюджет.
Първо за настолни компютри, напълно локално. Presidio sidecar на устройството, 7 формата на документи + OCR, партидна обработка, криптиран хранилище. Лиценз за еднократна покупка — без абонаменти, без облак, напълно офлайн след активиране.
Моментна публична демонстрационна платформа. Не е необходима регистрация — поставете текст, анонимизирайте незабавно, вижте двигателя в действие. Най-бързият начин да изпитате какво прави екосистемата.
Платформа-майка — SaaS · Управляван частен · Самоуправляващ се · 3 модела на внедряване
- //Организациите съобщават, че 67% от разработчиците случайно са разкрили тайни в кода — детерминистичният regex улавя това, което NLP пропуска и обратно
- //Общото разпознаване на ИИ постига 69% пропуски в неанглийски текст — двуслойният подход с spaCy + XLM-RoBERTa запълва пропуска в 48-те езика
- //Непоследователното чертане между екипите е най-цитираната находка при одит от ICO и DPA — предварително зададените настройки налагат идентично поведение на разпознаване на всеки потребител, всяка сесия
- //95% от нарушенията на данни през 2024 г. са свързани с човешка грешка — споделените предварително зададени настройки премахват решенията за конфигурация на човек, които създават вариации
- //Многостранните PII стекове създават пропуски в следите от одит — 60%+ от организациите, използващи 3+ инструмента за PII, съобщават за провали в съгласуването между инструментите
- //Фрагментация на формата: организациите обработват PDF, DOCX, XLSX, CSV, JSON едновременно — всеки формат преди това изискваше отделен подход, отделен инструмент, отделен запис за одит
- //Инструментите за PII за предприятия струват $50,000–$500,000/година — организациите с ограничения в разходите исторически нямат никаква опция
- //CLOUD Act + Раздел 702 на FISA означава, че обработката, "съвместима с GDPR" в САЩ, е договорна фикция — хостинг само в ЕС напълно премахва тази експозиция
Предприятие с въздушна пропаст — 390+ единици · 317 персонализирани regex · 100% офлайн · OCR на изображения
- //Специфични за индустрията PII — кодове на ядрени съоръжения, военни номера за служба, собствени вътрешни ID — не са покрити от никакъв търговски инструмент; персонализираните разпознаватели изискват седмици специализирано инженерство в суров Presidio
- //Непълнотата на покритие е таванът на разпознаването: нито един общ инструмент не покрива всички типове PII, всички езици, всички формати — 317 подбрани шаблона запълват пропуските, които стандартните рамки пропускат
- //Парадокс на доставчика: за да защитите PII, трябва да я споделите с доставчик. Облачната обработка изисква доверие в обработващия — архитектурна противоречие за организациите, които обработват най-чувствителните данни
- //Околия с въздушна пропаст (отбрана, разузнаване, критична инфраструктура, изследователски лаборатории) не могат да използват инструменти, зависими от облака на каквато и да е цена — офлайн-първо премахва архитектурната бариера напълно
- //Microsoft Purview изрично не може да сканира JPEG/PNG — текст PII в екранни снимки е напълно невидим за стека за DLP на предприятието по замисъл
- //Malware SparkCat (iOS/Android, декември 2025) използва OCR, за да открадне фрази за възстановяване на крипто портфейли от екранни снимки — текст PII на базата на изображения е активна цел на атака, а не теоретичен риск
- //300% увеличение на облачните нарушения на данни между 2022 и 2024 — zero-knowledge означава, че нарушение на нашите сървъри не разкрива нищо, защото нищо не се съхранява
- //Сертифициран по ISO 27001:2022 с редовно пълно тестване на проникване — позицията по сигурността, която регулираните поръчки изискват, е документирана, проверена и независимо одитирана
Облачна платформа за PII — Безплатно до €29/месец · Разширение за Chrome · MCP сървър · Добавка за Office
- //8.5% от всички подканвания на LLM съдържат PII — реално време на прихващане преди подаване е единствената превенция, която работи; постфактумното разпознаване пропуска единственото прозорче, което има значение
- //Традиционният DLP сработва след като данните са напуснали организацията — разширението за Chrome прихваща в точката на вход, преди какъвто и да е модел да получи или обработи чувствително съдържание
- //Генеративното разпознаване на ИИ е недетерминирано — един и същ документ произвежда различни резултати при различни изпълнения; нито една вероятностна система не може да бъде основа за регулаторна защита
- //Presidio сам пропуска зависими от контекста единици; XLM-RoBERTa сам генерира фалшиви положителни в официален правен език — трети слой за класификация на stance премахва фалшивите положителни, които карат екипите за съвместимост да не се доверяват на автоматизирани инструменти
- //Правна откритост, искания за достъп до медицински записи, регулаторен одит — анонимизираните данни понякога трябва да бъдат деанонимизирани от упълномощената страна и само от нея; необратимите методи правят това невъзможно
- //Ключът на сесията на потребителя никога не напуска устройството им — не нашите сървъри, не облака, не никакъв подизпълнител. Правото на обратна анонимизация принадлежи на потребителя, а не на нас.
- //Самостоятелният практикуващ е изправен пред същото задължение за правото на изтриване по GDPR като глобална банка — но без отдел за съвместимост или бюджет за софтуер на корпоративно ниво от €500K/година
- //764 организации в ЕС са едновременно под разследване за провали в правото на изтриване — не защото са имали намерение да нарушат; защото инструментите за съвместимост бяха ценово извън техния обхват
Първо за настолни компютри · 100% локална обработка · 7 формата на документи + OCR · Лиценз за еднократна покупка
- //300% увеличение на облачните нарушения на данни между 2022 и 2024 — данните, които никога не влизат в облака, не могат да бъдат изложени на облачно нарушение
- //CLOUD Act + FISA правят обработката, хоствана в САЩ, правно несигурна за организации в ЕС — локалната обработка премахва целия проблем с трансфера на граница, като осигурява, че не се извършва трансфер
- //Фрагментацията на формата принуждава организациите да поддържат множество инструменти — всеки инструмент създава отделна политика за разпознаване, отделен запис за одит, отделен режим на провал
- //Лог файловете са пренебрегваната повърхност на PII — разработчиците се фокусират върху бази данни, но логовете съдържат API ключове, идентификатори на потребители, IP адреси; CSV и JSON се поддържат нативно заедно с структурираните документи
- //Околия с въздушна пропаст в производствени среди — производствени етажи, правителствени сигурни съоръжения, изследователски лаборатории — не могат да понасят проверка на лиценз, която изисква достъп до мрежата; еднократна активация, след което напълно офлайн работа е единствената жизнеспособна архитектура
- //Вечни лицензи без зависимост от повтарящи се SaaS: потребителят притежава инсталацията си; анулирането на абонамента на доставчика не може да деактивира инструмент в критичен момент на обработка
- //dbt pipeline rebuilds унищожават маскиращите политики на данни в CSV/JSON — EDPB 2024 уточнява, че това нарушава GDPR чл. 5(1)(а); хранилището с криптирана история означава, че всеки обработен файл има одитируем, възстановим запис
- //Организациите, обработващи хиляди наследствени документи за съвместимост с правото на изтриване по GDPR, се нуждаят от партидна способност — не ограничение от 5 файла на ден, което прави задачата оперативно невъзможна
Мащабът на проблема
Това не са изолирани провали. Те са системни резултати от среда за съвместимост, която е изпреварила собствената си инфраструктура.