DÉCLARATION DU FONDATEUR
Pourquoi j'ai initié cet écosystème — une conviction professionnelle après 28 ans
Vos données. Vos clés. Vos règles.
Chaque produit de cet écosystème est construit sur un engagement architectural unique : vos données, vos clés, votre contrôle. Votre mot de passe ne quitte jamais votre appareil. Vos documents ne sont jamais stockés. Votre clé de chiffrement vous appartient. Aucune loi sur le cloud américain, aucune assignation de fournisseur, aucun courtier de données — ne peut atteindre ce qui n'a jamais été partagé.
Contexte
Depuis 28 ans, je travaille à l'intersection de la technologie, de la sécurité et de la conformité organisationnelle. J'ai fondé curta.solutions en 1998. Depuis lors, j'ai servi des organisations réglementées dans 26 pays — dans les services financiers, la santé, le droit, le gouvernement, la fabrication et la technologie — en tant que partenaire dans l'architecture informatique, la sécurité, la transformation numérique et la conformité.
Ce que j'ai observé au cours de ces 28 années n'est pas une lente évolution. C'est une crise au ralenti — une crise qui a atteint un point de rupture avec l'arrivée de l'IA générative et la prolifération mondiale de réglementations sur la vie privée qui se chevauchent.
Ma Conviction
Je crois que chaque personne, organisation et institution a le droit de partager des informations de manière sélective — de divulguer à un régulateur uniquement ce qu'un régulateur a le droit de voir, de collaborer avec un partenaire uniquement sur des données qui ont été explicitement autorisées, de participer à la vie commerciale et publique sans renoncer à ce qui doit rester privé.
Je crois que ce droit doit être pratiquement exercé par tout le monde — pas seulement par des organisations disposant de départements de conformité et de budgets logiciels d'entreprise. La vie privée ne peut pas être un privilège de grande échelle.
Je crois que dans un monde où la loi américaine peut atteindre n'importe quelles données détenues par n'importe quelle entreprise américaine n'importe où sur terre, et où 77 % des employés alimentent des données sensibles dans des outils d'IA qu'ils ne contrôlent pas, la seule architecture qui peut offrir une garantie de confidentialité significative est celle où les données ne quittent jamais le contrôle de l'utilisateur en premier lieu. Pas de garanties contractuelles. Pas de politiques de confidentialité. Architecture technique.
Authentification zero-knowledge. Traitement local-first. Chiffrement réversible où la clé appartient à l'utilisateur. Fonctionnement capable hors ligne. Juridiction de l'UE, sans exceptions. Ce ne sont pas des fonctionnalités de produit. Ce sont le standard minimum pour tout outil qui prétend protéger les données personnelles.
Et je crois que 28 ans de travail au sein des organisations qui traitent les informations les plus sensibles au monde — 28 ans à observer l'écart entre l'intention réglementaire et la réalité technique se creuser — m'ont donné à la fois la compréhension et la responsabilité d'initier ce qui manque encore à l'écosystème. Définir la vision, rassembler la bonne équipe et s'assurer qu'elle soit construite selon le standard que le problème exige.
Le droit d'anonymiser les informations personnelles n'est pas une fonctionnalité technique. C'est un droit fondamental. Et un droit qui ne peut pas être exercé pratiquement n'est pas un droit du tout.
Les Problèmes que J'ai Observés
Fragmentation Réglementaire : Trop de Règles, Pas de Langage Commun
Une organisation de taille moyenne opérant à l'échelle mondiale doit simultanément naviguer à travers plus de 48 lois nationales et régionales sur la vie privée — GDPR, UK GDPR, CCPA, LGPD, PDPA, PIPL, DPDPA, APPI, PIPEDA et des dizaines d'autres. 24 DPAs nationaux dans l'UE émettent des directives contraignantes qui sont cohérentes en principe et divergentes dans la pratique. Ce qui satisfait le BfDI allemand ne satisfait pas automatiquement la CNIL française, le DPC irlandais ou l'AP néerlandais. La superposition sectorielle — HIPAA, PCI-DSS, NIS2, la loi sur l'IA — ajoute des exigences rarement harmonisées entre elles.
Le résultat n'est pas un cadre de conformité. C'est une cible mouvante avec 48 bullseyes différents.
Le Monstre du Papier : Accords Que Personne ne Lit, Contrôles Que Personne ne Vérifie
Les organisations maintiennent des accords de traitement des données avec des centaines de sous-traitants, des Clauses Contractuelles Standards s'étendant sur plus de 30 pages par relation de transfert, des Registres des Activités de Traitement, des DPIAs, des TIAs, des LIAs — chacun nécessitant une contribution technique que la plupart des équipes juridiques ne peuvent pas vérifier de manière indépendante. En pratique : les organisations signent ce qu'elles doivent signer, déposent ce qu'elles doivent déposer, et espèrent que la réalité technique corresponde à la description contractuelle. Le monstre du papier génère l'apparence de conformité. Il génère rarement la substance de celle-ci.
Inadéquation Technique : Les Outils Ne Correspondent Pas à l'Obligation
La détection de PII basée sur l'IA générative est non déterministe. Le même document traité deux fois produit des résultats différents. Fondamentalement incompatible avec la conformité — où vous devez démontrer, de manière reproductible et vérifiable, que des données spécifiques ont été détectées et traitées correctement.
Microsoft Presidio, spaCy, Stanza — plateformes d'ingénierie, pas d'outils de conformité. Le déploiement en production nécessite d'écrire des reconnaisseurs personnalisés pour chaque type d'entité et langue, de construire des pipelines de pré/post-traitement, d'intégrer avec des formats de documents, de maintenir tout cela à mesure que les réglementations évoluent. Typiquement 30 à 80 heures de temps d'ingénierie spécialisé avant qu'un seul document ne soit traité. La plupart des organisations n'ont pas cette expertise en interne.
Un numéro personnel dans un contrat de travail suédois, un Steuer-ID dans un formulaire fiscal allemand, un PESEL dans un document d'assurance polonais, un Codice Fiscale dans une facture italienne — chacun nécessite non seulement une détection de langue mais une reconnaissance d'entité consciente du type de document. Les modèles linguistiques formés principalement sur l'anglais produisent un taux de non-détection de PII de 69 % dans des textes non anglais. La loi ne fait aucune distinction par langue.
Microsoft Purview, AWS Macie, Google Cloud DLP — coûteux, nécessitent une connectivité cloud, enferment les organisations. Plus critique : tous sont basés aux États-Unis. La CLOUD Act de 2018 les oblige à divulguer des données n'importe où dans le monde sur demande valide d'un gouvernement américain. La section 702 de la FISA permet la collecte de renseignements sans mandats individuels. Schrems II a invalidé le Privacy Shield UE-États-Unis pour cette raison précise. Un contrat annuel à six chiffres avec un fournisseur de cloud américain ne produit pas un traitement de données conforme au GDPR.
Le Problème de l'IA Non Contrôlée : Le Marché N'a Pas de Réponse
77 % des employés partagent des informations sensibles liées au travail avec des outils d'IA au moins une fois par semaine. 34,8 % de toutes les entrées d'outils d'IA contiennent des informations qualifiées comme sensibles selon au moins un cadre de confidentialité. Les employés utilisent ChatGPT, Copilot, Claude, Gemini pour rédiger des contrats, résumer des notes, analyser des feuilles de calcul — constamment, automatiquement, sans être conscients de ce qu'ils collent dans une invite.
Les systèmes DLP traditionnels ne peuvent pas comprendre le contenu sémantique d'une invite en langage naturel. Ils ne peuvent pas distinguer un développeur demandant à une IA d'expliquer un modèle de code d'un développeur collant une base de données de production de 50 000 enregistrements dans la même fenêtre. Les modèles d'IA traitent tout. Ils n'offrent aucune protection, aucun avertissement, aucune trace d'audit sur laquelle un DPO peut compter.
Ce qui manque, c'est la couche technique qui rend la politique exécutable dans la pratique. Cette couche n'existe pas sur le marché à un prix que peut se permettre une organisation de taille moyenne, sous aucune forme qui fonctionne avec les outils d'IA que les employés utilisent réellement. C'est l'un des écarts que cet écosystème a été construit pour combler.
L'Écart d'Accessibilité : La Conformité Comme Privilège de Grande Échelle
Un praticien solo, une organisation communautaire, une petite autorité publique, une institution de recherche — chacun soumis au même GDPR, au même droit à l'effacement, à la même obligation de notification de violation qu'une banque mondiale — mais sans l'équipe juridique, les ressources d'ingénierie, ou le budget logiciel d'entreprise pour les mettre en œuvre correctement. L'écosystème de conformité a servi les grandes organisations de manière adéquate, mais coûteuse. Il a servi tout le monde avec un mandat et aucun moyen pratique de le satisfaire.
La Réponse de l'Écosystème — Une Plateforme, Plusieurs Expressions
La plateforme ombrelle et point d'accès principal. Détection PII hybride à double couche (260+ entités, 48 langues, 121 préréglages de conformité) à travers tous les modèles de déploiement — SaaS, cloud privé géré et auto-géré. Tous les produits dérivés partagent le même moteur de détection et le même principe fondateur : le pouvoir entre les mains de l'utilisateur.
Édition entreprise à air-gap. 390+ entités, 317 modèles regex personnalisés, traitement 100 % hors ligne, OCR d'image en 37 langues. Aucune dépendance au cloud — les données ne quittent jamais l'appareil.
Plateforme PII cloud-first avec le plus large accès. Extension Chrome pour interception IA en temps réel, serveur MCP, complément Office, chiffrement réversible. Gratuit jusqu'à 29 €/mois — conformité pour tous les budgets.
Priorité au bureau, entièrement local. Sidecar Presidio sur appareil, 7 formats de documents + OCR, traitement par lots, coffre-fort chiffré. Licence perpétuelle unique — pas d'abonnements, pas de cloud, totalement hors ligne après activation.
Plateforme de démonstration publique instantanée. Aucun compte requis — collez du texte, anonymisez immédiatement, voyez le moteur en action. Le moyen le plus rapide de découvrir ce que fait l'écosystème.
Plateforme Ombrelle — SaaS · Privé Géré · Auto-Géré · 3 modèles de déploiement
- //Les organisations rapportent que 67 % des développeurs ont accidentellement exposé des secrets dans le code — regex déterministe attrape ce que le NLP manque et vice versa
- //La détection IA à usage général atteint un taux de non-détection de 69 % dans des textes non anglais — la double couche avec spaCy + XLM-RoBERTa comble l'écart dans les 48 langues
- //Une rédaction incohérente entre les équipes est le constat numéro un cité dans les audits ICO et DPA — les préréglages imposent un comportement de détection identique à chaque utilisateur, chaque session
- //95 % des violations de données en 2024 sont liées à une erreur humaine — les préréglages partagés éliminent les décisions de configuration par personne qui créent de la variance
- //Les piles PII multi-fournisseurs créent des lacunes dans la traçabilité — plus de 60 % des organisations utilisant 3+ outils PII signalent des échecs de réconciliation entre les outils
- //Fragmentation des formats : les organisations traitent simultanément PDF, DOCX, XLSX, CSV, JSON — chaque format nécessitait auparavant une approche distincte, un outil distinct, un enregistrement d'audit distinct
- //Les outils PII d'entreprise coûtent entre 50 000 et 500 000 $/an — les organisations avec des contraintes de coûts n'ont historiquement eu aucune option
- //La CLOUD Act + la section 702 de la FISA signifient que le traitement "conforme au GDPR" hébergé aux États-Unis est une fiction contractuelle — l'hébergement uniquement en UE élimine entièrement cette exposition
Entreprise à Air-Gap — 390+ entités · 317 regex personnalisés · 100 % hors ligne · OCR d'image
- //PII spécifique à l'industrie — codes de installations nucléaires, numéros de service militaire, ID internes propriétaires — non couverts par aucun outil commercial ; les reconnaisseurs personnalisés nécessitent des semaines d'ingénierie spécialisée dans le Presidio brut
- //L'incomplétude de la couverture est le plafond de détection : aucun outil général ne couvre tous les types de PII, toutes les langues, tous les formats — 317 modèles soigneusement sélectionnés comblent les lacunes que les cadres prêts à l'emploi manquent
- //Le paradoxe du fournisseur : pour protéger la PII, vous devez la partager avec un fournisseur. Le traitement dans le cloud nécessite de faire confiance au processeur — une contradiction architecturale pour les organisations traitant les données les plus sensibles
- //Les environnements à air-gap (défense, renseignement, infrastructures critiques, laboratoires de recherche) ne peuvent pas utiliser d'outils dépendants du cloud à aucun prix — hors ligne d'abord élimine complètement la barrière architecturale
- //Microsoft Purview ne peut explicitement pas scanner JPEG/PNG — la PII texte dans les captures d'écran est complètement invisible pour la pile DLP d'entreprise par conception
- //Le malware SparkCat (iOS/Android, Déc 2025) a utilisé l'OCR pour voler des phrases de récupération de portefeuille crypto à partir de captures d'écran — la PII texte basée sur l'image est une cible d'attaque active, pas un risque théorique
- //Augmentation de 300 % des violations de données basées sur le cloud entre 2022 et 2024 — le zero-knowledge signifie qu'une violation de nos serveurs n'expose rien, car rien n'est stocké
- //Certifié ISO 27001:2022 avec des tests de pénétration complets réguliers — la posture de sécurité requise par les achats réglementés est documentée, vérifiée et auditée de manière indépendante
Plateforme PII Cloud — Gratuit à 29 €/mois · Extension Chrome · Serveur MCP · Complément Office
- //8,5 % de toutes les invites LLM contiennent de la PII — l'interception en temps réel avant soumission est la seule prévention qui fonctionne ; la détection post-hoc manque la seule fenêtre qui compte
- //Le DLP traditionnel se déclenche après que les données ont quitté l'organisation — l'extension Chrome intercepte au point d'entrée, avant qu'un modèle ne reçoive ou ne traite un contenu sensible
- //La détection IA générative est non déterministe — le même document produit des résultats différents lors de différentes exécutions ; aucun système probabiliste ne peut servir de base à une défense réglementaire
- //Presidio seul manque d'entités dépendantes du contexte ; XLM-RoBERTa seul génère des faux positifs dans un langage juridique formel — une troisième couche de classification de stance élimine les faux positifs qui amènent les équipes de conformité à se méfier des outils automatisés
- //Découverte légale, demandes d'accès aux dossiers médicaux, audit réglementaire — les données anonymisées doivent parfois être désanonymisées par la partie autorisée et uniquement par elle ; les méthodes irréversibles rendent cela impossible
- //La clé de session de l'utilisateur ne quitte jamais son appareil — ni nos serveurs, ni aucun cloud, ni aucun sous-traitant. Le droit de désanonymiser appartient à l'utilisateur, pas à nous.
- //Un praticien solo fait face à la même obligation de droit à l'effacement GDPR qu'une banque mondiale — mais sans département de conformité ou budget logiciel d'entreprise de 500 000 €/an
- //764 organisations de l'UE sont simultanément sous enquête pour des échecs de droit à l'effacement — non pas parce qu'elles avaient l'intention de violer ; parce que les outils pour se conformer étaient hors de leur portée
Priorité Bureau · Traitement 100 % Local · 7 Formats de Documents + OCR · Licence Unique
- //Augmentation de 300 % des violations de données basées sur le cloud entre 2022 et 2024 — les données qui n'entrent jamais dans le cloud ne peuvent pas être exposées lors d'une violation de cloud
- //CLOUD Act + FISA rendent le traitement hébergé aux États-Unis légalement incertain pour les organisations de l'UE — le traitement local élimine entièrement le problème de transfert transfrontalier en garantissant qu'aucun transfert n'a lieu
- //La fragmentation des formats oblige les organisations à maintenir plusieurs outils — chaque outil crée une politique de détection distincte, un enregistrement d'audit distinct, un mode d'échec distinct
- //Les fichiers journaux sont la surface PII négligée — les développeurs se concentrent sur les bases de données mais les journaux contiennent des clés API, des identifiants d'utilisateur, des adresses IP ; CSV et JSON sont pris en charge nativement aux côtés des documents structurés
- //Les environnements de production à air-gap — usines de fabrication, installations gouvernementales sécurisées, laboratoires de recherche — ne peuvent pas tolérer un contrôle de licence nécessitant un accès réseau ; une activation unique puis un fonctionnement entièrement hors ligne est la seule architecture viable
- //Licences perpétuelles sans dépendance SaaS récurrente : l'utilisateur possède son installation ; une annulation d'abonnement fournisseur ne peut pas désactiver un outil à un moment critique de traitement
- //Les pipelines dbt détruisent les politiques de masquage sur les données CSV/JSON — l'EDPB 2024 précise que cela viole l'Art. 5(1)(a) du GDPR ; le stockage dans un coffre avec un historique chiffré signifie que chaque fichier traité a un enregistrement auditable et récupérable
- //Les organisations traitant des milliers de documents anciens pour se conformer au droit à l'effacement GDPR ont besoin d'une capacité de traitement par lots — pas d'une limite de 5 fichiers par jour SaaS qui rend la tâche opérationnellement impossible
L'Échelle du Problème
Ce ne sont pas des échecs isolés. Ce sont des résultats systémiques d'un environnement de conformité qui a dépassé sa propre infrastructure.