PROHLÁŠENÍ ZAKLADATELE
Proč jsem inicioval tento ekosystém — profesionální přesvědčení po 28 letech
Vaše data. Vaše klíče. Vaše pravidla.
Každý produkt v tomto ekosystému je postaven na jednom architektonickém závazku: vaše data, vaše klíče, vaše kontrola. Vaše heslo nikdy neopustí vaše zařízení. Vaše dokumenty nejsou nikdy ukládány. Váš šifrovací klíč patří pouze vám. Žádný americký zákon o cloudu, žádné předvolání dodavatele, žádný zprostředkovatel dat — nemůže dosáhnout toho, co nikdy nebylo sdíleno.
Pozadí
Po 28 letech jsem pracoval na pomezí technologie, bezpečnosti a organizační shody. V roce 1998 jsem založil curta.solutions. Od té doby jsem sloužil regulovaným organizacím ve 26 zemích — v oblasti finančních služeb, zdravotnictví, práva, vlády, výroby a technologií — jako jejich partner v IT architektuře, bezpečnosti, digitální transformaci a shodě.
Co jsem během 28 let pozoroval, není pomalá evoluce. Je to krize v pomalém pohybu — ta, která dosáhla bodu zlomu s příchodem generativní AI a globální proliferací překrývajících se předpisů o ochraně soukromí.
Moje přesvědčení
Věřím, že každý člověk, organizace a instituce má právo sdílet informace selektivně — zveřejnit regulátorovi pouze to, co má regulátor právo vidět, spolupracovat s partnerem pouze nad daty, která byla výslovně autorizována, účastnit se obchodního a veřejného života, aniž by se vzdali toho, co musí zůstat soukromé.
Věřím, že toto právo musí být prakticky vykonatelné pro každého — nejen pro organizace s odděleními shody a rozpočty na podnikový software. Ochrana soukromí nemůže být privilegium měřítka.
Věřím, že ve světě, kde může americký zákon dosáhnout jakýchkoli dat držených jakoukoli americkou společností kdekoli na světě, a kde 77% zaměstnanců vkládá citlivá data do AI nástrojů, které nekontrolují, je jediná architektura, která může poskytnout smysluplnou záruku soukromí, ta, kde data nikdy neopustí kontrolu uživatele. Ne smluvní záruky. Ne politiky o ochraně soukromí. Technická architektura.
Zero-knowledge autentizace. Zpracování na místě. Reverzibilní šifrování, kde klíč patří uživateli. Schopnost offline. Jurisdikce EU, žádné výjimky. To nejsou funkce produktu. To jsou minimální standardy pro jakýkoli nástroj, který tvrdí, že chrání osobní údaje.
A věřím, že 28 let práce uvnitř organizací, které se zabývají nejcitlivějšími informacemi na světě — 28 let sledování mezery mezi regulačním záměrem a technickou realitou se rozšiřuje — mi dalo jak porozumění, tak odpovědnost iniciovat to, co ekosystému stále chybí. Definovat vizi, sestavit správný tým a zajistit, aby to bylo vybudováno na standardu, který problém vyžaduje.
Právo anonymizovat osobní údaje není technická funkce. Je to základní právo. A právo, které nelze prakticky vykonat, není žádným právem.
Problémy, které jsem pozoroval
Regulační fragmentace: Příliš mnoho pravidel, žádný společný jazyk
Středně velká organizace působící globálně musí současně navigovat 48+ národními a regionálními zákony o ochraně soukromí — GDPR, UK GDPR, CCPA, LGPD, PDPA, PIPL, DPDPA, APPI, PIPEDA a desítkami dalších. 24 národních DPA v EU vydává závazné pokyny, které jsou v zásadě konzistentní a v praxi divergentní. Co uspokojí německý BfDI, automaticky neuspokojí francouzský CNIL, irský DPC nebo nizozemský AP. Specifické vrstvení podle sektorů — HIPAA, PCI-DSS, NIS2, zákon o AI — přidává požadavky, které jsou zřídka harmonizovány navzájem.
Výsledkem není rámec shody. Je to pohyblivý cíl s 48 různými terči.
Papírový monstrum: Dohody, které nikdo nečte, kontroly, které nikdo neověřuje
Organizace udržují dohody o zpracování dat se stovkami subdodavatelů, standardní smluvní klauzule běžící na více než 30 stránkách na každé vztah, záznamy o aktivitách zpracování, DPIA, TIA, LIA — každá vyžaduje technický vstup, který většina právních týmů nemůže nezávisle ověřit. V praxi: organizace podepisují, co musí podepsat, podávají, co musí podat, a doufají, že technická realita odpovídá smluvnímu popisu. Papírové monstrum vytváří dojem shody. Zřídka vytváří její podstatu.
Technická nedostatečnost: Nástroje neodpovídají povinnostem
Generativní AI založené na detekci PII je nedeterministické. Ten samý dokument zpracovaný dvakrát produkuje různé výsledky. Základně neslučitelné se shodou — kde musíte prokázat, reprodukovatelně a ověřitelně, že konkrétní data byla detekována a správně zpracována.
Microsoft Presidio, spaCy, Stanza — inženýrské platformy, nikoli nástroje pro shodu. Nasazení do produkce vyžaduje psaní vlastních rozpoznávačů pro každý typ entity a jazyk, budování před/poté zpracovatelských pipeline, integraci s formáty dokumentů, udržování všeho, jak se předpisy vyvíjejí. Typicky 30–80 hodin specializovaného inženýrského času před zpracováním jediného dokumentu. Většina organizací tuto odbornost nemá interně.
Osobní číslo ve švédské pracovní smlouvě, Steuer-ID v německém daňovém formuláři, PESEL v polském pojišťovacím dokumentu, Codice Fiscale v italské faktuře — každý vyžaduje nejen detekci jazyka, ale i rozpoznávání entity vědomé typu dokumentu. Jazykové modely trénované převážně na angličtině produkují 69% míru chybějící PII v neanglickém textu. Zákon nedělá žádné rozdíly podle jazyka.
Microsoft Purview, AWS Macie, Google Cloud DLP — drahé, vyžadují cloudovou konektivitu, uzamykají organizace. Kritičtější: všechny mají sídlo v USA. Zákon CLOUD z roku 2018 je zavazuje k odhalení dat kdekoli na světě na platnou žádost americké vlády. FISA oddíl 702 umožňuje sběr zpravodajských informací bez individuálních příkazů. Schrems II zneplatnil EU-US Privacy Shield právě z tohoto důvodu. Smlouva v hodnotě šesti číslic s americkým poskytovatelem cloudu nevytváří zpracování dat v souladu s GDPR.
Problém nekontrolované AI: Trh nemá odpověď
77% zaměstnanců sdílí citlivé pracovní informace s AI nástroji alespoň jednou týdně. 34,8% všech vstupů do AI nástrojů obsahuje informace kvalifikované jako citlivé podle alespoň jednoho rámce ochrany soukromí. Zaměstnanci používají ChatGPT, Copilot, Claude, Gemini k návrhu smluv, shrnutí poznámek, analýzu tabulek — neustále, automaticky, bez povědomí o tom, co vkládají do výzvy.
Tradiční systémy DLP nemohou rozumět sémantickému obsahu výzvy v přirozeném jazyce. Nemohou rozlišit vývojáře, který žádá AI, aby vysvětlila vzor kódu, od vývojáře, který vkládá databázi s 50 000 záznamy do stejného okna. AI modely zpracovávají vše. Nenabízejí žádnou ochranu, žádná varování, žádnou auditní stopu, na kterou se DPO může spolehnout.
Co chybí, je technická vrstva, která činí politiku v praxi vymahatelnou. Tato vrstva na trhu neexistuje za žádnou cenovou hladinu, kterou si středně velká organizace může dovolit, v jakékoli formě, která funguje napříč AI nástroji, které zaměstnanci skutečně používají. To je jedna z mezer, které byl tento ekosystém vytvořen k uzavření.
Mezera v dostupnosti: Shoda jako privilegium měřítka
Sólo praktikant, komunitní organizace, malá veřejná autorita, výzkumná instituce — každý podléhá stejnému GDPR, stejnému právu na vymazání, stejné povinnosti ohlášení porušení jako globální banka — ale bez právního týmu, inženýrských zdrojů nebo rozpočtu na podnikový software, aby je správně implementovali. Ekosystém shody sloužil velkým organizacím adekvátně, pokud draze. Sloužil všem ostatním s mandátem a žádnými praktickými prostředky k jeho splnění.
Odpověď ekosystému — jedna platforma, více projevů
Hlavní platforma a primární přístupový bod. Hybridní dvouvrstvá detekce PII (260+ entit, 48 jazyků, 121 předvoleb shody) napříč všemi modely nasazení — SaaS, spravovaný privátní cloud a samořízený. Všechny odvozené produkty sdílejí stejný detekční engine a stejný zakládající princip: síla v rukou uživatele.
Podniková edice s air-gap. 390+ entit, 317 vlastních regex vzorů, 100% zpracování offline, OCR obrázků ve 37 jazycích. Žádná závislost na cloudu — data nikdy neopustí zařízení.
Cloud-first PII platforma s nejširším přístupem. Chrome Extension pro real-time AI interceptaci, MCP Server, Office Add-in, reverzibilní šifrování. Zdarma do €29/měsíc — shoda pro každý rozpočet.
Desktop-first, plně lokální. Presidio sidecar na zařízení, 7 formátů dokumentů + OCR, hromadné zpracování, šifrovaná schránka. Jednorázová perpetual licence — žádné předplatné, žádný cloud, plně offline po aktivaci.
Okamžitá veřejná demo platforma. Není vyžadován účet — vložte text, anonymizujte okamžitě, sledujte engine v akci. Nejrychlejší způsob, jak zažít, co ekosystém dělá.
Hlavní platforma — SaaS · Spravovaný privátní · Samořízený · 3 modely nasazení
- //Organizace hlásí, že 67% vývojářů omylem odhalilo tajemství v kódu — deterministický regex zachytí to, co NLP minulo a naopak
- //Obecná detekce AI dosahuje 69% míry chybějící v neanglickém textu — dvouvrstva se spaCy + XLM-RoBERTa uzavírá mezeru napříč všemi 48 jazyky
- //Nekonzistentní redakce napříč týmy je nejčastěji citovaným zjištěním ICO a DPA auditu — předvolby vynucují identické chování detekce napříč každým uživatelem, každou relací
- //95% porušení dat v roce 2024 souvisí s lidskou chybou — sdílené předvolby eliminují rozhodnutí o konfiguraci na osobu, která vytváří variabilitu
- //Multi-dodavatelské PII stacky vytvářejí mezery v auditní stopě — 60%+ organizací používajících 3+ PII nástroje hlásí selhání smíření mezi nástroji
- //Fragmentace formátů: organizace zpracovávají PDF, DOCX, XLSX, CSV, JSON současně — každý formát dříve vyžadoval samostatný přístup, samostatný nástroj, samostatný auditní záznam
- //Podnikové PII nástroje stojí 50 000–500 000 USD/rok — organizace s nákladovými omezeními historicky neměly žádnou možnost
- //Zákon CLOUD + FISA oddíl 702 znamenají, že zpracování "GDPR-compliant" hostované v USA je smluvní fikcí — hosting pouze v EU zcela odstraňuje tuto expozici
Podnikový air-gapped — 390+ entit · 317 vlastních regex · 100% offline · OCR obrázků
- //Specifické PII pro průmysl — kódy jaderných zařízení, vojenská čísla služeb, proprietární interní ID — nejsou pokryty žádným komerčním nástrojem; vlastní rozpoznávače vyžadují týdny specializovaného inženýrství v surovém Presidio
- //Nedostatečnost pokrytí je strop detekce: žádný obecný nástroj nepokrývá všechny typy PII, všechny jazyky, všechny formáty — 317 kurátorovaných vzorů uzavírá mezery, které rámce mimo krabici minou
- //Paradox dodavatele: abyste chránili PII, musíte ji sdílet s dodavatelem. Cloudové zpracování vyžaduje důvěru v zpracovatele — architektonická protikladnost pro organizace, které se zabývají nejcitlivějšími daty
- //Prostředí s air-gap (obrana, zpravodajství, kritická infrastruktura, výzkumné laboratoře) nemohou používat nástroje závislé na cloudu za žádnou cenu — offline-first zcela odstraňuje architektonickou bariéru
- //Microsoft Purview explicitně nemůže skenovat JPEG/PNG — text PII ve snímcích obrazovky je zcela neviditelný pro podnikový DLP stack záměrně
- //Malware SparkCat (iOS/Android, prosinec 2025) použil OCR k odcizení obnovovacích frází kryptoměnové peněženky ze snímků obrazovky — text PII založený na obrázcích je aktivním cílem útoku, nikoli teoretickým rizikem
- //300% nárůst cloudových porušení dat mezi lety 2022 a 2024 — zero-knowledge znamená, že porušení našich serverů neodhalí nic, protože nic není uloženo
- //Certifikováno podle ISO 27001:2022 s pravidelným full-stack penetračním testováním — bezpečnostní postoj, který regulované zadávání zakázek vyžaduje, je zdokumentován, ověřen a nezávisle auditován
Cloud PII platforma — Zdarma → €29/měsíc · Chrome Extension · MCP Server · Office Add-in
- //8,5% všech LLM výzev obsahuje PII — real-time interceptace před odesláním je jediná prevence, která funguje; post-hoc detekce minuje jediný okno, které má význam
- //Tradiční DLP se spouští poté, co data opustila organizaci — Chrome Extension interceptuje v bodě vstupu, předtím, než jakýkoli model obdrží nebo zpracovává citlivý obsah
- //Generativní AI detekce je nedeterministická — ten samý dokument produkuje různé výsledky při různých bězích; žádný pravděpodobnostní systém nemůže tvořit základ regulační obrany
- //Presidio samo o sobě minuje kontextově závislé entity; XLM-RoBERTa samo generuje falešné pozitivy ve formálním právním jazyce — třetí vrstva klasifikace postoje eliminuje falešné pozitivy, které činí týmy shody nedůvěřivými k automatizovaným nástrojům
- //Právní objev, žádosti o přístup k lékařským záznamům, regulační audit — anonymizovaná data musí být někdy de-anonymizována autorizovanou stranou a pouze jimi; nevratné metody to činí nemožným
- //Klíč relace uživatele nikdy neopustí jejich zařízení — ne naše servery, ne žádný cloud, ne žádný subdodavatel. Právo na reverzní anonymizaci patří uživateli, ne nám.
- //Sólo praktikant čelí stejné povinnosti GDPR práva na vymazání jako globální banka — ale bez oddělení shody nebo rozpočtu na podnikový software ve výši 500 000 EUR/rok
- //764 organizací v EU je současně vyšetřováno pro selhání práva na vymazání — ne proto, že by měly v úmyslu porušit; protože nástroje pro shodu byly cenově mimo jejich dosah
Desktop-First · 100% Lokální zpracování · 7 formátů dokumentů + OCR · Jednorázová licence
- //300% nárůst cloudových porušení dat mezi lety 2022 a 2024 — data, která nikdy nevstoupí do cloudu, nemohou být odhalena v porušení cloudu
- //Zákon CLOUD + FISA činí zpracování hostované v USA právně nejisté pro organizace v EU — místní zpracování zcela eliminuje problém přeshraničního převodu tím, že zajišťuje, že k žádnému převodu nedochází
- //Fragmentace formátů nutí organizace udržovat více nástrojů — každý nástroj vytváří samostatnou politiku detekce, samostatný auditní záznam, samostatný režim selhání
- //Logy jsou opomíjeným povrchem PII — vývojáři se zaměřují na databáze, ale logy obsahují API klíče, uživatelská ID, IP adresy; CSV a JSON jsou nativně podporovány vedle strukturovaných dokumentů
- //Prostředí s air-gap v produkci — výrobní linky, vládní zabezpečené zařízení, výzkumné laboratoře — nemohou tolerovat kontrolu licence, která vyžaduje přístup k síti; jednorázová aktivace, poté plně offline provoz je jediná životaschopná architektura
- //Perpetuální licence bez opakované závislosti na SaaS: uživatel vlastní svou instalaci; zrušení předplatného dodavatele nemůže deaktivovat nástroj v kritickém okamžiku zpracování
- //Rebuildy pipeline dbt ničí maskovací politiky na datech CSV/JSON — EDPB 2024 objasňuje, že to porušuje GDPR článek 5(1)(a); úložiště s šifrovanou historií znamená, že každý zpracovaný soubor má auditovatelný, obnovitelný záznam
- //Organizace zpracovávající tisíce starých dokumentů pro shodu s právem na vymazání GDPR potřebují hromadnou schopnost — nikoli limit 5 souborů za den, který činí úkol provozně nemožným
Míra problému
To nejsou ojedinělé selhání. Jsou to systémové výsledky shody, které předběhly svou vlastní infrastrukturu.