AZ ALAPÍTÓ NYILATKOZATA
Miért Indítottam Ezt az Ökoszisztémát — Egy Szakmai Meggyőződés 28 Év Után
Az Ön adatai. Az Ön kulcsai. Az Ön szabályai.
Minden termék ebben az ökoszisztémában egyetlen architekturális elköteleződésen alapul: az Ön adatai, az Ön kulcsai, az Ön irányítása. Az Ön jelszava soha nem hagyja el az eszközét. Az Ön dokumentumai soha nem kerülnek tárolásra. Az Ön titkosítási kulcsa kizárólag az Öné. Nincs amerikai felhőjog, nincs beszállítói idézés, nincs adatbróker — ami soha nem lett megosztva, ahhoz senki nem férhet hozzá.
Háttér
28 éve dolgozom a technológia, a biztonság és a szervezeti megfelelés metszéspontjában. 1998-ban alapítottam a curta.solutions-t. Azóta 26 országban szabályozott szervezeteket szolgáltam ki — pénzügyi szolgáltatások, egészségügy, jogi, kormányzati, gyártási és technológiai területeken — mint partner az IT architektúrában, biztonságban, digitális átalakulásban és megfelelésben.
Amit 28 év alatt megfigyeltem, az nem egy lassú evolúció. Ez egy lassú mozgású válság — amely elérte a töréspontját a generatív AI megjelenésével és a globális, átfedő adatvédelmi szabályozások elterjedésével.
Az Én Meggyőződésem
Hiszem, hogy minden embernek, szervezetnek és intézménynek joga van szelektíven megosztani az információkat — hogy csak azt hozzák nyilvánosságra a szabályozónak, amire a szabályozónak joga van, hogy egy partnerrel csak az adatokról működjenek együtt, amelyek kifejezetten engedélyezettek, hogy részt vegyenek a kereskedelmi és közéleti életben anélkül, hogy feladnák azt, ami magánéletben kell maradjon.
Hiszem, hogy ennek a jognak mindenki számára gyakorlatilag érvényesíthetőnek kell lennie — nemcsak azok számára, akiknek megfelelési osztálya és vállalati szoftver költségvetése van. A magánélet nem lehet a méret privilégiuma.
Hiszem, hogy egy olyan világban, ahol az amerikai jog bármilyen adatot elérhet, amelyet bármely amerikai cég birtokol a Föld bármely pontján, és ahol a munkavállalók 77%-a érzékeny adatokat táplál AI eszközökbe, amelyeket nem irányítanak, az egyetlen architektúra, amely érdemi adatvédelmi garanciát tud nyújtani, az, ahol az adatok soha nem hagyják el a felhasználó irányítását. Nem szerződéses garanciák. Nem adatvédelmi politikák. Technikai architektúra.
Zero-knowledge hitelesítés. Helyi első feldolgozás. Visszafordítható titkosítás, ahol a kulcs a felhasználóé. Offline-képes működés. EU joghatóság, kivételek nélkül. Ezek nem termékjellemzők. Ezek a minimum standardok bármely eszköz számára, amely azt állítja, hogy védi a személyes adatokat.
És hiszem, hogy a világ legérzékenyebb információit kezelő szervezeteknél eltöltött 28 év — 28 év, amely alatt figyeltem, ahogy a szabályozási szándék és a technikai valóság közötti rés szélesedik — megadta nekem a megértést és a felelősséget, hogy kezdeményezzem azt, amire az ökoszisztémának még szüksége van. Meghatározni a víziót, összeállítani a megfelelő csapatot, és biztosítani, hogy azt a problémának megfelelő színvonalon építsék meg.
A személyes információk anonimizálásának joga nem technikai jellemző. Ez egy alapvető jog. És egy jog, amelyet nem lehet gyakorlatilag érvényesíteni, az nem jog egyáltalán.
A Megfigyelt Problémák
Szabályozási Fragmentáció: Túl Sok Szabály, Nincs Közös Nyelv
Egy közepes méretű, globálisan működő szervezetnek egyszerre kell navigálnia 48+ nemzeti és regionális adatvédelmi törvény között — GDPR, UK GDPR, CCPA, LGPD, PDPA, PIPL, DPDPA, APPI, PIPEDA és még sok más. Az EU-ban 24 nemzeti DPA kötelező érvényű iránymutatásokat ad ki, amelyek elvben konzisztensnek, de gyakorlatban eltérőnek számítanak. Amit a német BfDI elfogad, az nem automatikusan felel meg a francia CNIL-nek, az ír DPC-nek vagy a holland AP-nek. Az ágazatspecifikus rétegezés — HIPAA, PCI-DSS, NIS2, az AI Törvény — olyan követelményeket ad hozzá, amelyek ritkán harmonizáltak egymással.
Az eredmény nem egy megfelelési keretrendszer. Ez egy mozgó célpont 48 különböző célkereszttel.
A Papír Szörny: Megállapodások, Amiket Senki Nem Olvas, Ellenőrzések, Amiket Senki Nem Igazol
A szervezetek adatfeldolgozási megállapodásokat tartanak fenn több száz alvállalkozóval, Standard Szerződéses Klauzulák, amelyek 30+ oldalt tesznek ki minden egyes átvitelhez, Feldolgozási Tevékenységek Nyilvántartása, DPIA-k, TIA-k, LIA-k — mindegyik technikai inputot igényel, amelyet a legtöbb jogi csapat nem tud függetlenül ellenőrizni. A gyakorlatban: a szervezetek aláírják, amit alá kell írniuk, benyújtják, amit be kell nyújtaniuk, és remélik, hogy a technikai valóság megfelel a szerződéses leírásnak. A papír szörny a megfelelés látszatát kelti. Ritkán generálja annak tartalmát.
Technikai Hiányosság: Az Eszközök Nem Felelnek meg a Kötelezettségnek
A generatív AI-alapú PII észlelés nem determinisztikus. Ugyanaz a dokumentum kétszeri feldolgozása eltérő eredményeket produkál. Alapvetően inkompatibilis a megfeleléssel — ahol bizonyítani kell, reprodukálhatóan és ellenőrizhetően, hogy a konkrét adatokat észlelték és helyesen kezelték.
Microsoft Presidio, spaCy, Stanza — mérnöki platformok, nem megfelelési eszközök. A termelésbe való telepítéshez egyedi felismerőket kell írni minden entitás típushoz és nyelvhez, elő- és utófeldolgozási csővezetékeket kell építeni, integrálni a dokumentumformátumokkal, mindent karbantartani, ahogy a szabályozások fejlődnek. Jellemzően 30–80 óra szakértői mérnöki idő, mielőtt egyetlen dokumentum feldolgozásra kerülne. A legtöbb szervezetnek nincs meg ez a szakértelme házon belül.
Egy személyi szám egy svéd munkaszerződésben, egy Steuer-ID egy német adóformanyomtatványban, egy PESEL egy lengyel biztosítási dokumentumban, egy Codice Fiscale egy olasz számlán — mindegyik nemcsak nyelvészlelést, hanem dokumentumtípus-érzékeny entitásfelismerést is igényel. A nyelvi modellek, amelyek túlnyomórészt angol nyelven lettek betanítva, 69%-os PII hiányzási arányt produkálnak nem angol nyelvű szövegben. A törvény nem tesz különbséget nyelv szerint.
Microsoft Purview, AWS Macie, Google Cloud DLP — drága, felhőkapcsolatot igényelnek, a szervezeteket zárolják. Ami még kritikusabb: mindegyik amerikai központú. A 2018-as CLOUD Act kötelezi őket, hogy adatokat hozzanak nyilvánosságra a világ bármely pontján érvényes amerikai kormányzati kérés alapján. A FISA 702. szakasza lehetővé teszi az intelligencia gyűjtését egyéni parancsok nélkül. A Schrems II érvénytelenítette az EU-USA Adatvédelmi Pajzsot pontosan ezért. Egy hat számjegyű éves szerződés egy amerikai felhőszolgáltatóval nem eredményez GDPR-megfelelő adatfeldolgozást.
Az Ellenőrizetlen AI Probléma: A Piacnak Nincs Válasza
A munkavállalók 77%-a legalább heti rendszerességgel oszt meg érzékeny munkainformációt AI eszközökkel. Az AI eszközök bemeneteinek 34,8%-a tartalmaz olyan információt, amely legalább egy adatvédelmi keretrendszer szerint érzékenynek minősül. A munkavállalók ChatGPT-t, Copilot-ot, Claude-ot, Gemini-t használnak szerződések megfogalmazására, jegyzetek összefoglalására, táblázatok elemzésére — folyamatosan, automatikusan, anélkül, hogy tudatában lennének annak, mit másolnak be egy promptba.
A hagyományos DLP rendszerek nem képesek megérteni a természetes nyelvű prompt szemantikai tartalmát. Nem tudják megkülönböztetni egy fejlesztőt, aki egy AI-tól kérdezi meg egy kódmintázat magyarázatát, attól, hogy egy fejlesztő egy 50,000 rekordos termelési adatbázist másol be ugyanabba az ablakba. Az AI modellek mindent feldolgoznak. Nem nyújtanak védelmet, figyelmeztetéseket, audit nyomokat, amelyekre egy DPO támaszkodhat.
Ami hiányzik, az a technikai réteg, amely lehetővé teszi a politika gyakorlati érvényesítését. Ez a réteg a piacon nem létezik olyan áron, amelyet egy közepes méretű szervezet megengedhet magának, olyan formában, amely működik az AI eszközök között, amelyeket a munkavállalók valójában használnak. Ez az egyik rés, amelyre ez az ökoszisztéma épült.
Az Elérhetőségi Rés: A Megfelelés Mint a Méret Privilegiuma
Egy szóló gyakorló, egy közösségi szervezet, egy kis közhatóság, egy kutatóintézet — mindegyik ugyanazokkal a GDPR előírásokkal, ugyanazzal a törlési joggal, ugyanazzal a megsértési értesítési kötelezettséggel rendelkezik, mint egy globális bank — de anélkül, hogy jogi csapat, mérnöki erőforrások vagy vállalati szoftver költségvetés állna rendelkezésre a megfelelő végrehajtáshoz. A megfelelési ökoszisztéma megfelelően szolgálta a nagy szervezeteket, ha drágán is. Mindenki mást egy mandátummal és a teljesítéshez szükséges gyakorlati eszközök nélkül hagyott.
Az Ökoszisztéma Válasza — Egy Platform, Több Kifejezés
Az átfogó platform és a fő hozzáférési pont. Hibrid kettős rétegű PII észlelés (260+ entitás, 48 nyelv, 121 megfelelési előbeállítás) minden telepítési modellben — SaaS, kezelt privát felhő, és önállóan kezelt. Minden származtatott termék ugyanazt az észlelési motort és ugyanazt az alapelvet osztja meg: hatalom a felhasználó kezében.
Vállalati légüres tér kiadás. 390+ entitás, 317 egyedi regex minta, 100% offline feldolgozás, képkivonat 37 nyelven. Nincs felhőfüggőség — az adatok soha nem hagyják el az eszközt.
Felhőalapú PII platform a legszélesebb hozzáféréssel. Chrome Kiterjesztés valós idejű AI elfogásra, MCP Szerver, Office Bővítmény, visszafordítható titkosítás. Ingyenes a €29/hó-ig — megfelelés minden költségvetéshez.
Asztalra optimalizált, teljesen helyi. Presidio oldalsó eszköz az eszközön, 7 dokumentumformátum + OCR, kötegelt feldolgozás, titkosított tároló. Egyszeri, örökös licenc — nincs előfizetés, nincs felhő, teljesen offline az aktiválás után.
Azonnali nyilvános bemutató platform. Nincs szükség fiókra — szöveg beillesztése, azonnali anonimizálás, a motor működésének megtekintése. A leggyorsabb módja annak, hogy megtapasztalja, mit csinál az ökoszisztéma.
Átfogó Platform — SaaS · Kezelt Privát · Önállóan Kezelt · 3 telepítési modell
- //A szervezetek jelentik, hogy a fejlesztők 67%-a véletlenül felfedte a titkokat a kódban — a determinisztikus regex észleli, amit az NLP kihagy, és fordítva
- //Általános célú AI észlelés 69%-os hiányzási arányt ér el nem angol nyelvű szövegben — a kettős réteg spaCy + XLM-RoBERTa bezárja a rést minden 48 nyelven
- //A csapatok közötti következetlen eltakarás a #1 említett ICO és DPA audit megállapítás — az előbeállítások azonos észlelési viselkedést kényszerítenek minden felhasználó, minden ülés között
- //A 2024-es adatvédelmi megsértések 95%-a emberi hibához köthető — a megosztott előbeállítások megszüntetik az egyéni konfigurációs döntéseket, amelyek eltéréseket okoznak
- //Több beszállítós PII halmazok audit nyomvonal hiányosságokat okoznak — a 60%-nál több szervezet, amely 3+ PII eszközt használ, beszámol a hibák eltéréséről az eszközök között
- //Formátum fragmentáció: a szervezetek PDF, DOCX, XLSX, CSV, JSON párhuzamos feldolgozása — minden formátum korábban külön megközelítést, külön eszközt, külön audit nyilvántartást igényelt
- //A vállalati PII eszközök költsége 50,000–500,000 USD/év — a költségkorlátozással rendelkező szervezetek történelmileg nem rendelkeztek egyáltalán lehetőséggel
- //CLOUD Act + FISA 702. szakasza azt jelenti, hogy az amerikai tárhelyű "GDPR-megfelelő" feldolgozás egy szerződéses fikció — az EU-hoz tartozó tárhely teljesen megszünteti ezt a kitettséget
Vállalati Légüres Tér — 390+ entitás · 317 egyedi regex · 100% offline · Kép OCR
- //Iparág-specifikus PII — nukleáris létesítmény kódok, katonai szolgálati számok, belső azonosítók — nem fedik le semmilyen kereskedelmi eszköz; egyedi felismerők hetekig tartó szakértői mérnöki munkát igényelnek a nyers Presidio-ban
- //A lefedettség hiányossága az észlelési plafon: egyetlen általános eszköz sem fedi le az összes PII típust, az összes nyelvet, az összes formátumot — a 317 válogatott minta bezárja a réseket, amelyeket a dobozból való keretrendszerek kihagynak
- //A beszállítói paradoxon: a PII védelme érdekében meg kell osztani azt egy beszállítóval. A felhőfeldolgozás megköveteli a feldolgozóba vetett bizalmat — architekturális ellentmondás a legérzékenyebb adatokkal foglalkozó szervezetek számára
- //A légüres térben lévő környezetek (védelem, hírszerzés, kritikus infrastruktúra, kutató laboratóriumok) nem használhatnak felhőfüggő eszközöket semmilyen áron — az offline-első megoldás teljesen megszünteti az architekturális akadályt
- //A Microsoft Purview kifejezetten nem tudja beolvasni a JPEG/PNG-t — a képernyőképekben lévő szöveges PII teljesen láthatatlan a vállalati DLP halmaz számára a tervezés szerint
- //A SparkCat rosszindulatú program (iOS/Android, 2025. dec.) OCR-t használt a kriptovaluta tárca helyreállító kifejezéseinek ellopására a képernyőképekről — a képen alapuló szöveges PII aktív támadási célpont, nem elméleti kockázat
- //300%-os növekedés a felhőalapú adatvédelmi megsértésekben 2022 és 2024 között — a zero-knowledge azt jelenti, hogy a szervereink megsértése semmit nem tár fel, mert semmi nincs tárolva
- //ISO 27001:2022 tanúsítva, rendszeres teljes körű penetrációs teszteléssel — a szabályozott beszerzés által megkövetelt biztonsági helyzet dokumentált, ellenőrzött és függetlenül auditált
Felhő PII Platform — Ingyenes → €29/hó · Chrome Kiterjesztés · MCP Szerver · Office Bővítmény
- //A LLM promptok 8,5%-a tartalmaz PII-t — a benyújtás előtti valós idejű elfogás az egyetlen megelőzés, ami működik; a poszt-hoc észlelés elmulasztja az egyetlen fontos időablakot
- //A hagyományos DLP a szervezetből való távozás után aktiválódik — a Chrome Kiterjesztés az input pontján elfog, mielőtt bármely modell érzékeny tartalmat kapna vagy feldolgozna
- //A generatív AI észlelés nem determinisztikus — ugyanaz a dokumentum különböző eredményeket produkál különböző futások során; egyetlen valószínűségi rendszer sem képezheti a megfelelési védelem alapját
- //A Presidio önállóan kihagyja a kontextusfüggő entitásokat; az XLM-RoBERTa önállóan hamis pozitívokat generál a formális jogi nyelvben — egy harmadik stance-osztályozási réteg megszünteti a hamis pozitívokat, amelyek miatt a megfelelési csapatok nem bíznak az automatizált eszközökben
- //Jogi felfedezés, orvosi nyilvántartások hozzáférési kérelmei, szabályozási audit — az anonimizált adatokat néha vissza kell anonimizálni az arra jogosult fél által, és csak ő általa; a visszafordíthatatlan módszerek ezt lehetetlenné teszik
- //A felhasználó munkamenet kulcsa soha nem hagyja el az eszközét — nem a mi szervereink, nem a felhő, nem bármely alvállalkozó. A visszafordítás joga a felhasználót illeti, nem minket.
- //Egy szóló gyakorló ugyanazokkal a GDPR törlési jogi kötelezettségekkel rendelkezik, mint egy globális bank — de jogi osztály vagy €500K/év vállalati szoftver költségvetés nélkül
- //764 EU szervezet egyidejűleg vizsgálat alatt áll a törlési jogi hiányosságok miatt — nem azért, mert szándékosan megsértették; mert a megfeleléshez szükséges eszközök ára meghaladta a lehetőségeiket
Asztalra Optimalizált · 100% Helyi Feldolgozás · 7 Dokumentumformátum + OCR · Egyszeri Licenc
- //300%-os növekedés a felhőalapú adatvédelmi megsértésekben 2022 és 2024 között — az adatok, amelyek soha nem lépnek be a felhőbe, nem lehetnek kitéve felhőbeli megsértésnek
- //A CLOUD Act + FISA jogi bizonytalanságot okoz az amerikai tárhelyű feldolgozás számára az EU szervezetek számára — a helyi feldolgozás teljesen megszünteti a határokon átnyúló átvitel problémáját azáltal, hogy biztosítja, hogy ne történjen átvitel
- //A formátum fragmentáció arra kényszeríti a szervezeteket, hogy több eszközt tartsanak fenn — minden eszköz külön észlelési politikát, külön audit nyilvántartást, külön hibamódot hoz létre
- //A naplófájlok a figyelmen kívül hagyott PII felület — a fejlesztők az adatbázisokra összpontosítanak, de a naplók API kulcsokat, felhasználói azonosítókat, IP címeket tartalmaznak; a CSV és JSON natívan támogatott a strukturált dokumentumok mellett
- //Légüres térben lévő termelési környezetek — gyártósorok, kormányzati biztonsági létesítmények, kutató laboratóriumok — nem tolerálhatják a hálózati hozzáférést igénylő licencellenőrzést; egyszeri aktiválás, majd teljes offline működés az egyetlen életképes architektúra
- //Örökös licencek, amelyek nem igényelnek ismétlődő SaaS függőséget: a felhasználó birtokolja az installációját; egy beszállító előfizetés lemondása nem tudja letiltani az eszközt egy kritikus feldolgozási pillanatban
- //A dbt pipeline újraépítései megsemmisítik a maszkolási politikákat a CSV/JSON adatokon — az EDPB 2024 tisztázza, hogy ez megsérti a GDPR 5(1)(a) cikkét; a titkosított történelemmel rendelkező tároló biztosítja, hogy minden feldolgozott fájlnak legyen auditálható, helyreállítható nyilvántartása
- //A szervezetek, amelyek ezreket dolgoznak fel a GDPR törlési jogi megfelelés érdekében, szükségük van kötegelt képességekre — nem egy 5 fájl/nap SaaS korlátozás, amely lehetetlenné teszi a feladat végrehajtását
A Probléma Mérete
Ezek nem kiugró hibák. Ezek a megfelelési környezet rendszerszintű következményei, amelyek meghaladták saját infrastruktúráját.