IZJAVA OSNIVAČA
Zašto sam pokrenuo ovaj ekosustav — profesionalno uvjerenje nakon 28 godina
Vaši podaci. Vaši ključevi. Vaša pravila.
Svaki proizvod u ovom ekosustavu temelji se na jednom arhitektonskom opredjeljenju: vaši podaci, vaši ključevi, vaša kontrola. Vaša lozinka nikada ne napušta vaš uređaj. Vaši dokumenti nikada nisu pohranjeni. Vaš ključ za enkripciju pripada samo vama. Ni jedan zakon o oblaku u SAD-u, ni poziv dobavljača, ni posrednik za podatke — ne mogu doći do onoga što nikada nije podijeljeno.
Pozadina
Već 28 godina radim na sjecištu tehnologije, sigurnosti i organizacijske usklađenosti. Osnovao sam curta.solutions 1998. Od tada sam služio reguliranim organizacijama u 26 zemalja — u financijskim uslugama, zdravstvu, pravu, vladi, proizvodnji i tehnologiji — kao njihov partner u IT arhitekturi, sigurnosti, digitalnoj transformaciji i usklađenosti.
Ono što sam primijetio tijekom 28 godina nije spora evolucija. To je kriza u sporom pokretu — koja je dosegla kritičnu točku dolaskom generativne AI i globalnom proliferacijom preklapajućih propisa o privatnosti.
Moje uvjerenje
Vjerujem da svaka osoba, organizacija i institucija ima pravo dijeliti informacije selektivno — otkriti regulatoru samo ono što regulator ima pravo vidjeti, surađivati s partnerom samo oko podataka koji su izričito odobreni, sudjelovati u komercijalnom i javnom životu bez predaje onoga što mora ostati privatno.
Vjerujem da ovo pravo mora biti praktično ostvarivo za svakoga — ne samo za organizacije s odjelima za usklađenost i proračunima za softver poduzeća. Privatnost ne može biti privilegija razmjera.
Vjerujem da u svijetu gdje američki zakon može doseći bilo koje podatke koje drži bilo koja američka tvrtka bilo gdje na zemlji, i gdje 77% zaposlenika unosi osjetljive podatke u AI alate koje ne kontroliraju, jedina arhitektura koja može pružiti značajno jamstvo privatnosti je ona gdje podaci nikada ne napuštaju kontrolu korisnika. Ne ugovorna jamstva. Ne politike privatnosti. Tehnička arhitektura.
Zero-knowledge autentifikacija. Obrada na lokalnoj razini. Obrnuta enkripcija gdje ključ pripada korisniku. Mogućnost rada izvan mreže. EU jurisdikcija, bez iznimaka. Ovo nisu značajke proizvoda. To su minimalni standard za bilo koji alat koji tvrdi da štiti osobne podatke.
I vjerujem da mi 28 godina rada unutar organizacija koje se bave najosjetljivijim informacijama na svijetu — 28 godina gledanja kako se praznina između regulatorne namjere i tehničke stvarnosti širi — daje i razumijevanje i odgovornost da pokrenem ono što ekosustav još uvijek nedostaje. Definirati viziju, okupiti pravi tim i osigurati da se izgradi prema standardu koji problem zahtijeva.
Pravo na anonimizaciju osobnih informacija nije tehnička značajka. To je temeljno pravo. A pravo koje se ne može praktično ostvariti nije pravo uopće.
Problemi koje sam primijetio
Regulatorna fragmentacija: Previše pravila, nijedan zajednički jezik
Srednje velika organizacija koja djeluje globalno mora istovremeno navigirati kroz 48+ nacionalnih i regionalnih zakona o privatnosti — GDPR, UK GDPR, CCPA, LGPD, PDPA, PIPL, DPDPA, APPI, PIPEDA i još mnogo toga. 24 nacionalna DPA u EU izdaju obvezujuće smjernice koje su u načelu dosljedne, a u praksi divergentne. Ono što zadovoljava njemački BfDI ne zadovoljava automatski francuski CNIL, irski DPC ili nizozemski AP. Slojevi specifični za sektor — HIPAA, PCI-DSS, NIS2, Zakon o AI — dodaju zahtjeve koji rijetko budu usklađeni jedni s drugima.
Rezultat nije okvir usklađenosti. To je pomični cilj s 48 različitih mete.
Papirnasti čudovište: Ugovori koje nitko ne čita, kontrole koje nitko ne provjerava
Organizacije održavaju ugovore o obradi podataka s stotinama podizvođača, Standardne ugovorne klauzule koje se protežu na više od 30 stranica po odnosu prijenosa, Evidencije aktivnosti obrade, DPIA, TIA, LIA — svaki zahtijeva tehnički doprinos koji većina pravnih timova ne može neovisno provjeriti. U praksi: organizacije potpisuju ono što moraju potpisati, podnose ono što moraju podnijeti i nadaju se da tehnička stvarnost odgovara ugovornom opisu. Papirnasto čudovište stvara privid usklađenosti. Rijetko stvara suštinu iste.
Tehnička neadekvatnost: Alati ne odgovaraju obvezi
Generativno AI temeljen na PII detekciji nije determinističan. Isti dokument obrađen dvaput daje različite rezultate. Temeljno nespojivo s usklađenošću — gdje morate demonstrirati, reproducibilno i provjerljivo, da su specifični podaci otkriveni i pravilno obrađeni.
Microsoft Presidio, spaCy, Stanza — inženjerske platforme, ne alati za usklađenost. Implementacija u produkciju zahtijeva pisanje prilagođenih prepoznavača za svaku vrstu entiteta i jezik, izgradnju pre/post-obradnih cjevovoda, integraciju s formatima dokumenata, održavanje svega dok se regulative razvijaju. Obično 30–80 sati specijaliziranog inženjerskog vremena prije nego što se obradi jedan dokument. Većina organizacija nema tu stručnost unutar kuće.
Osobni broj u švedskom ugovoru o radu, Steuer-ID u njemačkom poreznom obrascu, PESEL u poljskom osiguranju, Codice Fiscale u talijanskoj fakturi — svaki zahtijeva ne samo prepoznavanje jezika već i prepoznavanje entiteta svjesnog vrste dokumenta. Jezični modeli obučeni pretežno na engleskom proizvode 69% propuštenih PII u ne-engleskom tekstu. Zakon ne pravi razliku po jeziku.
Microsoft Purview, AWS Macie, Google Cloud DLP — skupi, zahtijevaju povezanost s oblakom, zaključavaju organizacije. Što je još kritičnije: svi su sa sjedištem u SAD-u. CLOUD Act iz 2018. obvezuje ih da otkriju podatke bilo gdje u svijetu na valjani zahtjev američke vlade. FISA odjeljak 702 omogućuje prikupljanje obavještajnih podataka bez pojedinačnih naloga. Schrems II je poništio EU-US Privacy Shield upravo iz ovog razloga. Godišnji ugovor od šest znamenki s američkim pružateljem oblaka ne proizvodi GDPR-usklađenu obradu podataka.
Problem nekontrolirane AI: Tržište nema odgovor
77% zaposlenika dijeli osjetljive radne informacije s AI alatima barem jednom tjedno. 34,8% svih unosa AI alata sadrži informacije koje se kvalificiraju kao osjetljive prema barem jednom okviru privatnosti. Zaposlenici koriste ChatGPT, Copilot, Claude, Gemini za izradu ugovora, sažimanje bilješki, analizu proračunskih tablica — neprekidno, automatski, bez svijesti o tome što lijepe u poziv.
Tradicionalni DLP sustavi ne mogu razumjeti semantički sadržaj prirodnog jezika. Ne mogu razlikovati programera koji traži od AI da objasni obrazac koda od programera koji lijepe proizvodnu bazu podataka od 50.000 zapisa u istom prozoru. AI modeli obrađuju sve. Ne nude zaštitu, upozorenja, niti revizijski trag na koji se DPO može osloniti.
Ono što nedostaje je tehnička razina koja čini politiku provedivom u praksi. Ta razina ne postoji na tržištu po bilo kojoj cijeni koju srednje velika organizacija može priuštiti, u bilo kojem obliku koji funkcionira preko AI alata koje zaposlenici zapravo koriste. Ovo je jedna od praznina koju je ovaj ekosustav izgrađen da zatvori.
Praznina u pristupačnosti: Usklađenost kao privilegija razmjera
Samostalni praktičar, organizacija zajednice, mala javna vlast, istraživačka institucija — svi podložni istom GDPR-u, istom pravu na brisanje, istoj obvezi obavještavanja o kršenju kao globalna banka — ali bez pravnog tima, inženjerskih resursa ili proračuna za softver poduzeća za pravilnu implementaciju. Ekosustav usklađenosti je adekvatno služio velikim organizacijama, iako skupo. Služio je svima ostalima s mandatom i bez praktičnih sredstava za njegovo zadovoljenje.
Odgovor ekosustava — Jedna platforma, više izraza
Platforma krov i primarna pristupna točka. Hibridna dvostruka razina PII detekcije (260+ entiteta, 48 jezika, 121 postavki usklađenosti) kroz sve modele implementacije — SaaS, upravljani privatni oblak i samostalno upravljanje. Svi derivatni proizvodi dijele istu detekcijsku jedinicu i isto temeljno načelo: moć u rukama korisnika.
Poduzeće s zračnim razdvajanjem. 390+ entiteta, 317 prilagođenih regex obrazaca, 100% obrada izvan mreže, OCR slika na 37 jezika. Nema ovisnosti o oblaku — podaci nikada ne napuštaju uređaj.
Platforma PII s prioritetom na oblaku s najširim pristupom. Chrome ekstenzija za real-time AI presretanje, MCP server, Office dodatak, obrnuta enkripcija. Besplatno do €29/mjesečno — usklađenost za svaki proračun.
Desktop-prvo, potpuno lokalno. Presidio sidecar na uređaju, 7 formata dokumenata + OCR, obrada u serijama, šifrirana riznica. Jednokratna trajna licenca — bez pretplata, bez oblaka, potpuno izvan mreže nakon aktivacije.
Instantna javna demo platforma. Nema potrebe za računom — zalijepite tekst, odmah anonimizirajte, vidite motor u akciji. Najbrži način da doživite što ekosustav radi.
Platforma krov — SaaS · Upravljani privatni · Samostalno upravljanje · 3 modela implementacije
- //Organizacije izvještavaju da 67% programera slučajno otkriva tajne u kodu — deterministički regex hvata ono što NLP propušta i obrnuto
- //AI detekcija opće namjene postiže 69% stopu propuštanja u ne-engleskom tekstu — dvostruka razina s spaCy + XLM-RoBERTa zatvara prazninu u svim 48 jezicima
- //Nepodudarnost redakcije među timovima je #1 citirani nalaz ICO i DPA revizije — postavke osiguravaju identično ponašanje detekcije među svim korisnicima, svakoj sesiji
- //95% od 2024. povreda podataka vezano je uz ljudsku pogrešku — zajedničke postavke eliminiraju odluke o konfiguraciji po osobi koje stvaraju varijacije
- //Multi-dobavljački PII alati stvaraju praznine u revizijskom tragu — 60%+ organizacija koje koriste 3+ PII alata izvještava o neusklađenosti između alata
- //Fragmentacija formata: organizacije obrađuju PDF, DOCX, XLSX, CSV, JSON istovremeno — svaki format prethodno je zahtijevao poseban pristup, poseban alat, poseban revizijski zapis
- //Alati za PII poduzeća koštaju $50,000–$500,000/godišnje — organizacije s ograničenjima troškova povijesno nisu imale nikakvu opciju
- //CLOUD Act + FISA odjeljak 702 znače da je obrada "GDPR-usklađena" koja se hostira u SAD-u ugovorna fikcija — hosting samo u EU potpuno uklanja ovu izloženost
Poduzeće s zračnim razdvajanjem — 390+ entiteta · 317 prilagođenih regex · 100% izvan mreže · OCR slika
- //Industrijski specifični PII — kodovi nuklearnih postrojenja, vojne službene brojeve, vlasničke interne ID-e — nisu pokriveni nijednim komercijalnim alatom; prilagođeni prepoznavači zahtijevaju tjedne specijaliziranog inženjeringa u sirovom Presidiju
- //Nepotpuna pokrivenost je strop detekcije: nijedan opći alat ne pokriva sve vrste PII, sve jezike, sve formate — 317 kuriranih obrazaca zatvara praznine koje okviri iz kutije propuštaju
- //Paradoks dobavljača: da biste zaštitili PII, morate ga podijeliti s dobavljačem. Obrada u oblaku zahtijeva povjerenje u procesor — arhitektonska proturječnost za organizacije koje obrađuju najosjetljivije podatke
- //Okruženja s zračnim razdvajanjem (obrana, obavještajna služba, kritična infrastruktura, istraživačke laboratorije) ne mogu koristiti alate ovisne o oblaku ni po kojoj cijeni — obrada izvan mreže potpuno uklanja arhitektonsku prepreku
- //Microsoft Purview izričito ne može skenirati JPEG/PNG — tekst PII u snimkama zaslona potpuno je nevidljiv za DLP stog poduzeća prema dizajnu
- //SparkCat malware (iOS/Android, prosinac 2025) koristio je OCR za krađu fraza za oporavak kripto novčanika iz snimaka zaslona — tekst PII temeljen na slikama aktivni je cilj napada, a ne teoretski rizik
- //300% porast u povredama podataka temeljenim na oblaku između 2022. i 2024. — zero-knowledge znači da povreda naših poslužitelja ne otkriva ništa, jer ništa nije pohranjeno
- //ISO 27001:2022 certificiran s redovitim punim testiranjem penetracije — sigurnosna pozicija koju regulirani nabavak zahtijeva je dokumentirana, verificirana i neovisno revidirana
Cloud PII Platforma — Besplatno do €29/mjesečno · Chrome ekstenzija · MCP server · Office dodatak
- //8.5% svih LLM poziva sadrži PII — real-time presretanje prije slanja je jedina prevencija koja djeluje; post-hoc detekcija propušta jedinu prozoru koja je važna
- //Tradicionalni DLP se aktivira nakon što su podaci napustili organizaciju — Chrome ekstenzija presreće u trenutku unosa, prije nego što bilo koji model primi ili obradi osjetljiv sadržaj
- //Generativna AI detekcija nije deterministična — isti dokument daje različite rezultate na različitim izvođenjima; nijedan probabilistički sustav ne može biti osnova za regulatornu obranu
- //Presidio samo propušta kontekstualno ovisne entitete; XLM-RoBERTa sama generira lažne pozitivne rezultate u formalnom pravnom jeziku — treći sloj klasifikacije stava eliminira lažne pozitivne rezultate koji čine timove za usklađenost nepovjerljivima prema automatiziranim alatima
- //Pravna otkrića, zahtjevi za pristup medicinskim evidencijama, regulatorne revizije — anonimni podaci ponekad moraju biti de-anonimizirani od strane ovlaštene strane i samo od njih; neobrnute metode to čine nemogućim
- //Korisnički sesijski ključ nikada ne napušta njihov uređaj — ne naši poslužitelji, ne bilo koji oblak, ne bilo koji podizvođač. Pravo na obrnuto anonimiziranje pripada korisniku, a ne nama.
- //Samostalni praktičar suočava se s istom GDPR obvezom prava na brisanje kao globalna banka — ali bez odjela za usklađenost ili proračuna za softver poduzeća od €500K/godišnje
- //764 EU organizacija istovremeno je pod istragom zbog neuspjeha u pravu na brisanje — ne zato što su namjeravali prekršiti; nego zato što su alati za usklađenost bili cijenjeni izvan njihovog dosega
Desktop-prvo · 100% lokalna obrada · 7 formata dokumenata + OCR · Jednokratna licenca
- //300% porast u povredama podataka temeljenim na oblaku između 2022. i 2024. — podaci koji nikada ne uđu u oblak ne mogu biti izloženi u povredi oblaka
- //CLOUD Act + FISA čine pravno neizvjesnom obradu koja se hostira u SAD-u za EU organizacije — lokalna obrada potpuno uklanja cijeli problem prijenosa podataka osiguravajući da ne dođe do prijenosa
- //Fragmentacija formata prisiljava organizacije da održavaju više alata — svaki alat stvara zasebnu politiku detekcije, zaseban revizijski zapis, zaseban način neuspjeha
- //Log datoteke su zanemarena površina PII — programeri se fokusiraju na baze podataka, ali logovi sadrže API ključeve, korisničke ID-e, IP adrese; CSV i JSON su izvorno podržani uz strukturirane dokumente
- //Okruženja s zračnim razdvajanjem — proizvodni podovi, vladine sigurne ustanove, istraživački laboratoriji — ne mogu tolerirati provjeru licence koja zahtijeva pristup mreži; jednokratna aktivacija zatim potpuno izvan mrežne operacije je jedina održiva arhitektura
- //Trajna licenca bez ponavljajuće ovisnosti o SaaS: korisnik posjeduje svoju instalaciju; otkazivanje pretplate dobavljača ne može onemogućiti alat u kritičnom trenutku obrade
- //dbt pipeline rekonstrukcije uništavaju politike maskiranja na CSV/JSON podacima — EDPB 2024 pojašnjava da to krši GDPR Čl. 5(1)(a); pohrana u riznici s šifriranom poviješću znači da svaka obrađena datoteka ima revizijski trag koji se može provjeriti i povratiti
- //Organizacije koje obrađuju tisuće naslijeđenih dokumenata za usklađenost s pravom na brisanje GDPR-a trebaju mogućnost obrade u serijama — ne ograničenje na 5 datoteka dnevno koje čini zadatak operativno nemogućim
Razmjer problema
Ovo nisu izvanredne neuspjehe. To su sistemski ishodi okruženja usklađenosti koje je nadmašilo vlastitu infrastrukturu.