DECLARACIÓ DEL FUNDADOR
Per què vaig iniciar aquest ecosistema — una convicció professional després de 28 anys
Les teves dades. Les teves claus. Les teves regles.
Cada producte d'aquest ecosistema es basa en un únic compromís arquitectònic: les teves dades, les teves claus, el teu control. La teva contrasenya mai no deixa el teu dispositiu. Els teus documents mai no s'emmagatzemen. La teva clau de xifrat és només teva. Cap llei de núvol dels EUA, cap citació de venedor, cap corredor de dades — pot accedir a allò que mai no s'ha compartit.
Fons
Durant 28 anys he treballat a la intersecció de la tecnologia, la seguretat i el compliment organitzatiu. Vaig fundar curta.solutions el 1998. Des de llavors he servit organitzacions regulades a 26 països — en serveis financers, salut, legal, govern, fabricació i tecnologia — com el seu soci en arquitectura IT, seguretat, transformació digital i compliment.
El que he observat durant 28 anys no és una lenta evolució. És una crisi en lentitud — una que va arribar a un punt de ruptura amb l'arribada de la IA generativa i la proliferació global de regulacions de privadesa superposades.
La Meva Convicció
Crec que cada persona, organització i institució té el dret a compartir informació de manera selectiva — a divulgar a un regulador només el que un regulador té dret a veure, a col·laborar amb un soci només sobre dades que han estat explícitament autoritzades, a participar en la vida comercial i pública sense renunciar al que ha de romandre privat.
Crec que aquest dret ha de ser pràcticament exercit per tothom — no només per organitzacions amb departaments de compliment i pressupostos de programari empresarial. La privadesa no pot ser un privilegi d'escala.
Crec que en un món on la llei dels EUA pot arribar a qualsevol dada que tingui qualsevol empresa dels EUA en qualsevol lloc de la terra, i on el 77% dels empleats alimenten dades sensibles en eines d'IA que no controlen, l'única arquitectura que pot oferir una garantia de privadesa significativa és aquella on les dades mai no deixen el control de l'usuari en primer lloc. No garanties contractuals. No polítiques de privadesa. Arquitectura tècnica.
Autenticació zero-knowledge. Processament local-primera. Xifrat reversible on la clau pertany a l'usuari. Operació capaç d'estar offline. Jurisdicció de la UE, sense excepcions. Aquestes no són característiques del producte. Són l'estàndard mínim per a qualsevol eina que afirmi protegir dades personals.
I crec que 28 anys treballant dins de les organitzacions que gestionen la informació més sensible del món — 28 anys observant com la bretxa entre la intenció reguladora i la realitat tècnica s'amplia — m'han donat tant la comprensió com la responsabilitat d'iniciar el que encara falta a l'ecosistema. Definir la visió, reunir l'equip adequat i assegurar-me que es construeixi segons l'estàndard que exigeix el problema.
El dret a anonimitzar informació personal no és una característica tècnica. És un dret fonamental. I un dret que no es pot exercir pràcticament no és cap dret.
Els Problemes que He Observat
Fragmentació Regulatòria: Massa Regles, Sense Llenguatge Comú
Una organització mitjana que opera a nivell global ha de navegar simultàniament per 48+ lleis nacionals i regionals de privadesa — GDPR, UK GDPR, CCPA, LGPD, PDPA, PIPL, DPDPA, APPI, PIPEDA i desenes més. 24 DPAs nacionals només a la UE emeten orientacions vinculants que són consistents en principi i divergents en la pràctica. El que satisfà el BfDI alemany no satisfà automàticament el CNIL francès, el DPC irlandès o l'AP neerlandès. La superposició específica del sector — HIPAA, PCI-DSS, NIS2, la Llei de IA — afegeix requisits que rarament s'harmonitzen entre si.
El resultat no és un marc de compliment. És un objectiu mòbil amb 48 diana diferents.
El Monstre del Paper: Acords que Ningu Llegeix, Controls que Ningu Verifica
Les organitzacions mantenen acords de processament de dades amb centenars de subprocés, Clàusules Contractuals Estàndard que arriben a més de 30 pàgines per relació de transferència, Registres d'Activitats de Processament, DPIAs, TIAs, LIAs — cadascun requerint una entrada tècnica que la majoria dels equips legals no poden verificar de manera independent. En la pràctica: les organitzacions signen el que han de signar, arxiven el que han de presentar, i esperen que la realitat tècnica coincideixi amb la descripció contractual. El monstre del paper genera l'aparença de compliment. Rarament genera la substància d'aquest.
Inadequació Tècnica: Les Eines No Coincideixen amb l'Obligació
La detecció de PII basada en IA generativa no és determinista. El mateix document processat dues vegades produeix resultats diferents. Fonamentalment incompatible amb el compliment — on has de demostrar, de manera reproduïble i verificable, que dades específiques han estat detectades i gestionades correctament.
Microsoft Presidio, spaCy, Stanza — plataformes d'enginyeria, no eines de compliment. Desplegar a producció requereix escriure reconeixedors personalitzats per a cada tipus d'entitat i llengua, construir canals de pre/post-processament, integrar-se amb formats de documents, mantenir-ho tot a mesura que les regulacions evolucionen. Normalment 30–80 hores de temps d'enginyeria especialitzada abans que un sol document sigui processat. La majoria de les organitzacions no tenen aquesta experiència interna.
Un personnummer en un contracte laboral suec, un Steuer-ID en un formulari fiscal alemany, un PESEL en un document d'assegurança polonès, un Codice Fiscale en una factura italiana — cadascun requereix no només detecció de llengua sinó reconeixement d'entitat conscient del tipus de document. Els models de llenguatge entrenats predominantment en anglès produeixen una taxa de fallada de PII del 69% en text no anglès. La llei no fa distinció per llengua.
Microsoft Purview, AWS Macie, Google Cloud DLP — cars, requereixen connectivitat al núvol, bloquegen les organitzacions. Més críticament: tots tenen seu als EUA. La Llei CLOUD de 2018 els obliga a divulgar dades a qualsevol lloc del món en una sol·licitud vàlida del govern dels EUA. La Secció 702 de la FISA permet la recopilació d'intel·ligència sense ordres individuals. Schrems II va invalidar el Privacy Shield UE-EUA precisament per aquest motiu. Un contracte anual de sis xifres amb un proveïdor de núvol dels EUA no produeix un processament de dades conforme al GDPR.
El Problema de la IA No Controlada: El Mercat No Té Resposta
El 77% dels empleats comparteixen informació laboral sensible amb eines d'IA almenys setmanalment. El 34,8% de totes les entrades d'eines d'IA contenen informació que qualifica com a sensible sota almenys un marc de privadesa. Els empleats utilitzen ChatGPT, Copilot, Claude, Gemini per redactar contractes, resumir notes, analitzar fulls de càlcul — constantment, automàticament, sense ser conscients del que estan enganxant en un prompt.
Els sistemes DLP tradicionals no poden entendre el contingut semàntic d'un prompt en llenguatge natural. No poden distingir un desenvolupador que demana a una IA que expliqui un patró de codi d'un desenvolupador que enganxa una base de dades de producció de 50,000 registres a la mateixa finestra. Els models d'IA processen tot. No ofereixen protecció, ni advertències, ni rastreig d'auditoria en què un DPO pugui confiar.
El que falta és la capa tècnica que fa que la política sigui aplicable en la pràctica. Aquesta capa no existeix al mercat a cap preu que una organització mitjana pugui permetre's, en cap forma que funcioni amb les eines d'IA que els empleats utilitzen realment. Aquesta és una de les bretxes que aquest ecosistema va ser construït per tancar.
La Bretxa d'Accessibilitat: Compliment com a Privilegi d'Escala
Un professional autònom, una organització comunitària, una petita autoritat pública, una institució de recerca — cadascun subjecte al mateix GDPR, el mateix dret a l'esborrament, la mateixa obligació de notificació de violacions que un banc global — però sense l'equip legal, els recursos d'enginyeria, o el pressupost de programari empresarial per implementar-los correctament. L'ecosistema de compliment ha servit grans organitzacions adequadament, si bé car. Ha servit a tothom amb un mandat i sense mitjans pràctics per satisfer-lo.
La Resposta de l'Ecosistema — Una Plataforma, Múltiples Expressions
La plataforma paraigua i el punt d'accés principal. Detecció de PII híbrida de doble capa (260+ entitats, 48 llengües, 121 presets de compliment) a través de tots els models de desplegament — SaaS, núvol privat gestionat i autogestionat. Tots els productes derivats comparteixen el mateix motor de detecció i el mateix principi fonamental: poder a les mans de l'usuari.
Edat empresarial amb air-gap. 390+ entitats, 317 patrons regex personalitzats, processament 100% offline, OCR d'imatge en 37 llengües. Zero dependència del núvol — les dades mai no deixen el dispositiu.
Plataforma PII primer al núvol amb l'accés més ampli. Extensió de Chrome per a la interceptació d'IA en temps real, servidor MCP, complement d'Office, xifrat reversible. Gratuït fins a €29/mes — compliment per a cada pressupost.
Primer per a escriptori, totalment local. Presidio sidecar al dispositiu, 7 formats de document + OCR, processament en lots, cofre xifrat. Llicència perpetua d'un sol pagament — sense subscripcions, sense núvol, totalment offline després de l'activació.
Plataforma de demostració pública instantània. No es requereix compte — enganxa text, anonimitza immediatament, veu el motor en acció. La manera més ràpida d'experimentar el que fa l'ecosistema.
Plataforma Paraigua — SaaS · Núvol Privat Gestionat · Autogestionat · 3 models de desplegament
- //Les organitzacions informen que el 67% dels desenvolupadors han exposat accidentalment secrets en el codi — regex determinista captura el que NLP perd i viceversa
- //La detecció d'IA d'ús general aconsegueix una taxa de fallada del 69% en text no anglès — la doble capa amb spaCy + XLM-RoBERTa tanca la bretxa a través de totes les 48 llengües
- //L'edició inconsistente a través dels equips és el #1 resultat citat en auditories ICO i DPA — els presets imposen un comportament de detecció idèntic a cada usuari, cada sessió
- //El 95% de les violacions de dades de 2024 estan relacionades amb errors humans — els presets compartits eliminen les decisions de configuració per persona que creen variància
- //Els apilaments PII de múltiples venedors creen buits en el rastreig d'auditoria — més del 60% de les organitzacions que utilitzen 3+ eines PII informen fallades de reconciliació entre eines
- //Fragmentació de formats: les organitzacions processen PDF, DOCX, XLSX, CSV, JSON simultàniament — cada format anteriorment requería un enfocament separat, una eina separada, un registre d'auditoria separat
- //Les eines PII empresarials costen entre $50,000 i $500,000/any — les organitzacions amb restriccions de cost històricament no han tingut cap opció
- //La Llei CLOUD + la Secció 702 de la FISA signifiquen que el processament "conforme al GDPR" allotjat als EUA és una ficció contractual — l'allotjament només a la UE elimina completament aquesta exposició
Edat Empresarial amb Air-Gap — 390+ entitats · 317 regex personalitzats · 100% offline · OCR d'Imatge
- //PII específica de la indústria — codis d'instal·lacions nuclears, números de servei militar, ID internes propietàries — no cobertes per cap eina comercial; els reconeixedors personalitzats requereixen setmanes d'enginyeria especialitzada en Presidio brut
- //La incompletesa de la cobertura és el sostre de detecció: cap eina general cobreix tots els tipus de PII, totes les llengües, tots els formats — 317 patrons curats tanquen les bretxes que els marcs fora de la caixa perden
- //La paradoxa del venedor: per protegir la PII has de compartir-la amb un venedor. El processament al núvol requereix confiar en el processador — una contradicció arquitectònica per a organitzacions que gestionen les dades més sensibles
- //Els entorns amb air-gap (defensa, intel·ligència, infraestructura crítica, laboratoris de recerca) no poden utilitzar eines que depenen del núvol a cap preu — el primer offline elimina completament la barrera arquitectònica
- //Microsoft Purview explícitament no pot escanejar JPEG/PNG — la PII de text en captures de pantalla és completament invisible per a l'apilament DLP empresarial per disseny
- //El malware SparkCat (iOS/Android, des. 2025) va utilitzar OCR per robar frases de recuperació de carteres de criptomonedes de captures de pantalla — la PII de text basada en imatges és un objectiu d'atac actiu, no un risc teòric
- //Increment del 300% en les violacions de dades basades en el núvol entre 2022 i 2024 — zero-knowledge significa que una violació dels nostres servidors no exposa res, perquè no s'emmagatzema res
- //Certificat ISO 27001:2022 amb proves de penetració de pila completa regulars — la postura de seguretat que requereix la contractació regulada està documentada, verificada i auditada de manera independent
Plataforma PII al Núvol — Gratuït fins a €29/mes · Extensió de Chrome · Servidor MCP · Complement d'Office
- //El 8.5% de tots els prompts de LLM contenen PII — la intercepció en temps real abans de la presentació és la única prevenció que funciona; la detecció post-hoc perd la única finestra que importa
- //El DLP tradicional s'activa després que les dades han deixat l'organització — l'extensió de Chrome intercepta al punt d'entrada, abans que qualsevol model rebi o processi contingut sensible
- //La detecció d'IA generativa no és determinista — el mateix document produeix resultats diferents en diferents execucions; cap sistema probabilístic pot formar la base d'una defensa regulatòria
- //Presidio sol no detecta entitats dependents del context; XLM-RoBERTa sol genera falsos positius en llenguatge legal formal — una tercera capa de classificació de postura elimina els falsos positius que fan que els equips de compliment desconfien d'eines automatitzades
- //Descobriment legal, sol·licituds d'accés a registres mèdics, auditoria reguladora — les dades anonimitzades han de ser de vegades desanonimitzades per la part autoritzada i només per ella; els mètodes irreversibles fan que això sigui impossible
- //La clau de sessió de l'usuari mai no deixa el seu dispositiu — no els nostres servidors, no cap núvol, no cap subprocés. El dret a desfer l'anonimització pertany a l'usuari, no a nosaltres.
- //Un professional autònom afronta la mateixa obligació de dret a l'esborrament del GDPR que un banc global — però sense un departament de compliment o un pressupost de programari empresarial de €500K/any
- //764 organitzacions de la UE estan simultàniament sota investigació per fallades en el dret a l'esborrament — no perquè tinguessin la intenció de violar; perquè les eines per complir estaven preuades més enllà del seu abast
Primer per a Escriptori · Processament 100% Local · 7 Formats de Document + OCR · Llicència d'Única Vegada
- //Increment del 300% en les violacions de dades basades en el núvol entre 2022 i 2024 — les dades que mai entren al núvol no poden ser exposades en una violació al núvol
- //La Llei CLOUD + FISA fan que el processament allotjat als EUA sigui legalment incert per a les organitzacions de la UE — el processament local elimina tot el problema de transferència transfronterera assegurant que no es produeixi cap transferència
- //La fragmentació de formats obliga les organitzacions a mantenir múltiples eines — cada eina crea una política de detecció separada, un registre d'auditoria separat, un mode de fallada separat
- //Els fitxers de registre són la superfície de PII descuidada — els desenvolupadors es concentren en bases de dades però els registres contenen claus API, ID d'usuari, adreces IP; CSV i JSON són suportats nativament juntament amb documents estructurats
- //Entorns de producció amb air-gap — plantes de fabricació, instal·lacions governamentals segures, laboratoris de recerca — no poden tolerar una verificació de llicència que requereixi accés a la xarxa; l'activació única i després l'operació totalment offline és l'única arquitectura viable
- //Llicències perpetues sense dependència recurrent de SaaS: l'usuari posseeix la seva instal·lació; una cancel·lació de subscripció del venedor no pot desactivar una eina en un moment crític de processament
- //Les reconstruccions de tubs dbt destrossen les polítiques de masking sobre dades CSV/JSON — l'EDPB 2024 aclara que això viola l'Art. 5(1)(a) del GDPR; l'emmagatzematge en cofre amb historial xifrat significa que cada fitxer processat té un registre auditable i recuperable
- //Les organitzacions que processen milers de documents llegats per al compliment del dret a l'esborrament del GDPR necessiten capacitat en lots — no un límit de 5 fitxers per dia de SaaS que fa que la tasca sigui operativament impossible
L'Escala del Problema
Aquests no són fracassos aïllats. Són resultats sistèmics d'un entorn de compliment que ha superat la seva pròpia infraestructura.