DICHIARAZIONE DEL FONDATORE
Perché ho Iniziato Questo Ecosistema — Una Convinzione Professionale Dopo 28 Anni
I tuoi dati. Le tue chiavi. Le tue regole.
Ogni prodotto in questo ecosistema è costruito su un unico impegno architettonico: i tuoi dati, le tue chiavi, il tuo controllo. La tua password non lascia mai il tuo dispositivo. I tuoi documenti non vengono mai memorizzati. La tua chiave di crittografia è solo tua. Nessuna legge sul cloud statunitense, nessuna citazione del fornitore, nessun broker di dati — può raggiungere ciò che non è mai stato condiviso.
Contesto
Per 28 anni ho lavorato all'intersezione tra tecnologia, sicurezza e conformità organizzativa. Ho fondato curta.solutions nel 1998. Da allora ho servito organizzazioni regolamentate in 26 paesi — nei servizi finanziari, nella sanità, nel settore legale, nel governo, nella produzione e nella tecnologia — come loro partner nell'architettura IT, nella sicurezza, nella trasformazione digitale e nella conformità.
Ciò che ho osservato in 28 anni non è un'evoluzione lenta. È una crisi in slow motion — una che ha raggiunto un punto di rottura con l'arrivo dell'IA generativa e la proliferazione globale di regolamenti sulla privacy sovrapposti.
La Mia Convinzione
Credo che ogni persona, organizzazione e istituzione abbia il diritto di condividere informazioni in modo selettivo — di divulgare a un regolatore solo ciò che un regolatore ha diritto di vedere, di collaborare con un partner solo su dati che sono stati esplicitamente autorizzati, di partecipare alla vita commerciale e pubblica senza rinunciare a ciò che deve rimanere privato.
Credo che questo diritto debba essere esercitabile praticamente da tutti — non solo da organizzazioni con dipartimenti di conformità e budget software aziendali. La privacy non può essere un privilegio di scala.
Credo che in un mondo in cui la legge statunitense può raggiungere qualsiasi dato detenuto da qualsiasi azienda statunitense ovunque nel mondo, e in cui il 77% dei dipendenti alimenta dati sensibili in strumenti di IA che non controllano, l'unica architettura che può garantire una privacy significativa è quella in cui i dati non lasciano mai il controllo dell'utente in primo luogo. Non garanzie contrattuali. Non politiche sulla privacy. Architettura tecnica.
Autenticazione zero-knowledge. Elaborazione local-first. Crittografia reversibile dove la chiave appartiene all'utente. Funzionamento capace di operare offline. Giurisdizione UE, senza eccezioni. Queste non sono caratteristiche del prodotto. Sono lo standard minimo per qualsiasi strumento che affermi di proteggere i dati personali.
E credo che 28 anni di lavoro all'interno delle organizzazioni che gestiscono le informazioni più sensibili del mondo — 28 anni di osservazione del divario tra l'intento regolamentare e la realtà tecnica allargarsi — mi abbiano dato sia la comprensione che la responsabilità di avviare ciò che l'ecosistema ancora manca. Definire la visione, assemblare il team giusto e garantire che venga costruito secondo lo standard che il problema richiede.
Il diritto di anonimizzare le informazioni personali non è una caratteristica tecnica. È un diritto fondamentale. E un diritto che non può essere esercitato praticamente non è affatto un diritto.
I Problemi che Ho Osservato
Frammentazione Regolamentare: Troppe Regole, Nessun Linguaggio Comune
Un'organizzazione di medie dimensioni che opera a livello globale deve contemporaneamente navigare in oltre 48 leggi nazionali e regionali sulla privacy — GDPR, UK GDPR, CCPA, LGPD, PDPA, PIPL, DPDPA, APPI, PIPEDA e decine di altre. 24 autorità di protezione dei dati nazionali nell'UE emettono linee guida vincolanti che sono coerenti in principio e divergenti nella pratica. Ciò che soddisfa il BfDI tedesco non soddisfa automaticamente il CNIL francese, il DPC irlandese o l'AP olandese. La stratificazione specifica del settore — HIPAA, PCI-DSS, NIS2, la legge sull'IA — aggiunge requisiti raramente armonizzati tra loro.
Il risultato non è un quadro di conformità. È un obiettivo in movimento con 48 bersagli diversi.
Il Mostro della Carta: Accordi che Nessuno Legge, Controlli che Nessuno Verifica
Le organizzazioni mantengono accordi di trattamento dei dati con centinaia di subfornitori, Clausole Contrattuali Standard che arrivano a oltre 30 pagine per relazione di trasferimento, Registri delle Attività di Trattamento, DPIA, TIA, LIA — ciascuno richiede input tecnico che la maggior parte dei team legali non può verificare in modo indipendente. In pratica: le organizzazioni firmano ciò che devono firmare, archiviano ciò che devono archiviare e sperano che la realtà tecnica corrisponda alla descrizione contrattuale. Il mostro della carta genera l'apparenza di conformità. Raramente genera la sostanza di essa.
Inadeguatezza Tecnica: Gli Strumenti Non Corrispondono all'Obbligo
La rilevazione di PII basata su IA generativa è non deterministica. Lo stesso documento elaborato due volte produce risultati diversi. Fondamentalmente incompatibile con la conformità — dove devi dimostrare, in modo riproducibile e verificabile, che dati specifici sono stati rilevati e gestiti correttamente.
Microsoft Presidio, spaCy, Stanza — piattaforme di ingegneria, non strumenti di conformità. Implementare in produzione richiede la scrittura di riconoscitori personalizzati per ogni tipo di entità e lingua, costruire pipeline di pre/post-elaborazione, integrare con formati di documenti, mantenere tutto mentre le normative evolvono. Tipicamente 30–80 ore di tempo di ingegneria specialistica prima che un singolo documento venga elaborato. La maggior parte delle organizzazioni non ha tale expertise interna.
Un numero personale in un contratto di lavoro svedese, un Steuer-ID in un modulo fiscale tedesco, un PESEL in un documento assicurativo polacco, un Codice Fiscale in una fattura italiana — ciascuno richiede non solo il riconoscimento della lingua ma anche il riconoscimento di entità consapevole del tipo di documento. I modelli linguistici addestrati prevalentemente in inglese producono un tasso di errore del 69% per PII in testi non inglesi. La legge non fa distinzione per lingua.
Microsoft Purview, AWS Macie, Google Cloud DLP — costosi, richiedono connettività cloud, vincolano le organizzazioni. Più criticamente: tutti hanno sede negli Stati Uniti. Il CLOUD Act del 2018 li obbliga a divulgare dati ovunque nel mondo su richiesta valida del governo statunitense. La Sezione 702 del FISA consente la raccolta di informazioni senza mandati individuali. Schrems II ha invalidato il Privacy Shield UE-USA per esattamente questo motivo. Un contratto annuale a sei cifre con un fornitore di cloud statunitense non produce un trattamento dei dati conforme al GDPR.
Il Problema dell'IA Non Controllata: Il Mercato Non Ha Risposta
Il 77% dei dipendenti condivide informazioni sensibili sul lavoro con strumenti di IA almeno settimanalmente. Il 34,8% di tutti gli input degli strumenti di IA contiene informazioni che qualificano come sensibili secondo almeno un quadro di privacy. I dipendenti utilizzano ChatGPT, Copilot, Claude, Gemini per redigere contratti, riassumere note, analizzare fogli di calcolo — costantemente, automaticamente, senza consapevolezza di ciò che stanno incollando in un prompt.
I sistemi DLP tradizionali non possono comprendere il contenuto semantico di un prompt in linguaggio naturale. Non possono distinguere un sviluppatore che chiede a un'IA di spiegare un modello di codice da un sviluppatore che incolla un database di produzione di 50.000 record nella stessa finestra. I modelli di IA elaborano tutto. Non offrono protezione, avvisi, né una traccia di audit su cui un DPO possa fare affidamento.
Ciò che manca è il livello tecnico che rende la politica applicabile nella pratica. Quel livello non esiste nel mercato a nessun prezzo che un'organizzazione di medie dimensioni possa permettersi, in nessuna forma che funzioni con gli strumenti di IA che i dipendenti utilizzano effettivamente. Questo è uno dei divari che questo ecosistema è stato costruito per colmare.
Il Divario di Accessibilità: La Conformità come Privilegio di Scala
Un professionista autonomo, un'organizzazione comunitaria, una piccola autorità pubblica, un'istituzione di ricerca — ciascuno soggetto al medesimo GDPR, al medesimo diritto all'oscuramento, alla medesima obbligazione di notifica delle violazioni come una banca globale — ma senza il team legale, le risorse ingegneristiche o il budget software aziendale per implementarle correttamente. L'ecosistema di conformità ha servito le grandi organizzazioni in modo adeguato, sebbene costoso. Ha servito tutti gli altri con un mandato e nessun mezzo pratico per soddisfarlo.
La Risposta dell'Ecosistema — Una Piattaforma, Molteplici Espressioni
La piattaforma ombrello e il punto di accesso principale. Rilevazione PII ibrida a doppio strato (260+ entità, 48 lingue, 121 preset di conformità) attraverso tutti i modelli di distribuzione — SaaS, cloud privato gestito e autogestito. Tutti i prodotti derivati condividono lo stesso motore di rilevazione e lo stesso principio fondante: potere nelle mani dell'utente.
Edizione aziendale air-gapped. 390+ entità, 317 modelli regex personalizzati, elaborazione 100% offline, OCR per immagini in 37 lingue. Nessuna dipendenza dal cloud — i dati non lasciano mai il dispositivo.
Piattaforma PII cloud-first con il più ampio accesso. Estensione Chrome per intercettazione AI in tempo reale, Server MCP, Add-in Office, crittografia reversibile. Da gratuito a €29/mese — conformità per ogni budget.
Desktop-first, completamente locale. Presidio sidecar sul dispositivo, 7 formati di documento + OCR, elaborazione batch, vault crittografato. Licenza perpetua una tantum — nessun abbonamento, nessun cloud, completamente offline dopo l'attivazione.
Piattaforma di demo pubblica istantanea. Nessun account richiesto — incolla il testo, anonimizza immediatamente, vedi il motore in azione. Il modo più veloce per sperimentare ciò che fa l'ecosistema.
Piattaforma Ombrello — SaaS · Privato Gestito · Autogestito · 3 modelli di distribuzione
- //Le organizzazioni segnalano che il 67% degli sviluppatori ha accidentalmente esposto segreti nel codice — regex deterministici catturano ciò che l'NLP perde e viceversa
- //La rilevazione AI di uso generale raggiunge un tasso di errore del 69% in testi non inglesi — il doppio strato con spaCy + XLM-RoBERTa colma il divario in tutte le 48 lingue
- //La redazione incoerente tra i team è il #1 motivo citato nei riscontri di audit ICO e DPA — i preset forzano un comportamento di rilevazione identico per ogni utente, ogni sessione
- //Il 95% delle violazioni dei dati del 2024 è legato a errori umani — i preset condivisi eliminano le decisioni di configurazione per persona che creano variazioni
- //Stack PII multi-fornitore creano lacune nella traccia di audit — oltre il 60% delle organizzazioni che utilizzano 3+ strumenti PII segnalano fallimenti di riconciliazione tra strumenti
- //Frammentazione dei formati: le organizzazioni elaborano PDF, DOCX, XLSX, CSV, JSON simultaneamente — ogni formato richiedeva in precedenza un approccio separato, uno strumento separato, un record di audit separato
- //Gli strumenti PII aziendali costano $50.000–$500.000/anno — le organizzazioni con vincoli di costo storicamente non hanno avuto alcuna opzione
- //Il CLOUD Act + la Sezione 702 del FISA significano che l'elaborazione "conforme al GDPR" ospitata negli Stati Uniti è una finzione contrattuale — l'hosting solo in UE rimuove completamente questa esposizione
Aziendale Air-Gapped — 390+ entità · 317 regex personalizzati · 100% offline · OCR per Immagini
- //PII specifiche del settore — codici per impianti nucleari, numeri di servizio militare, ID interni proprietari — non coperti da alcun strumento commerciale; i riconoscitori personalizzati richiedono settimane di ingegneria specialistica in Presidio grezzo
- //L'incompletezza della copertura è il soffitto di rilevazione: nessun strumento generale copre tutti i tipi di PII, tutte le lingue, tutti i formati — 317 modelli curati colmano i divari che i framework pronti all'uso perdono
- //Il paradosso del fornitore: per proteggere la PII devi condividerla con un fornitore. L'elaborazione cloud richiede fiducia nel processore — una contraddizione architettonica per le organizzazioni che gestiscono i dati più sensibili
- //Gli ambienti air-gapped (difesa, intelligence, infrastrutture critiche, laboratori di ricerca) non possono utilizzare strumenti dipendenti dal cloud a nessun prezzo — offline-first rimuove completamente la barriera architettonica
- //Microsoft Purview non può esplicitamente scansionare JPEG/PNG — PII testuali negli screenshot sono completamente invisibili allo stack DLP aziendale per design
- //Il malware SparkCat (iOS/Android, Dic 2025) ha utilizzato OCR per rubare frasi di recupero di portafogli crypto da screenshot — PII testuali basate su immagini sono un obiettivo di attacco attivo, non un rischio teorico
- //Aumento del 300% delle violazioni dei dati basate su cloud tra il 2022 e il 2024 — zero-knowledge significa che una violazione dei nostri server non espone nulla, perché nulla è memorizzato
- //Certificato ISO 27001:2022 con regolari test di penetrazione full-stack — la postura di sicurezza richiesta dagli appalti regolamentati è documentata, verificata e auditata in modo indipendente
Piattaforma PII Cloud — Da gratuito a €29/mese · Estensione Chrome · Server MCP · Add-in Office
- //L'8,5% di tutti i prompt LLM contiene PII — l'intercettazione in tempo reale prima della sottomissione è l'unica prevenzione che funziona; la rilevazione post-hoc perde l'unica finestra che conta
- //Il DLP tradizionale scatta dopo che i dati hanno lasciato l'organizzazione — l'estensione Chrome intercetta al punto di input, prima che qualsiasi modello riceva o elabori contenuti sensibili
- //La rilevazione AI generativa è non deterministica — lo stesso documento produce risultati diversi in esecuzioni diverse; nessun sistema probabilistico può costituire la base di una difesa regolamentare
- //Il Presidio da solo perde entità dipendenti dal contesto; XLM-RoBERTa da solo genera falsi positivi nel linguaggio legale formale — uno strato di classificazione di stance di terzo elimina i falsi positivi che fanno sì che i team di conformità non si fidino degli strumenti automatizzati
- //Scoperta legale, richieste di accesso a registri medici, audit regolamentari — i dati anonimizzati devono a volte essere de-anonimizzati dalla parte autorizzata e solo da essa; i metodi irreversibili rendono questo impossibile
- //La chiave di sessione dell'utente non lascia mai il proprio dispositivo — non i nostri server, non alcun cloud, non alcun subfornitore. Il diritto di reversibilità dell'anonimizzazione appartiene all'utente, non a noi.
- //Un professionista autonomo affronta la stessa obbligazione GDPR di diritto all'oscuramento di una banca globale — ma senza un dipartimento di conformità o un budget software aziendale di €500K/anno
- //764 organizzazioni dell'UE sono contemporaneamente sotto inchiesta per fallimenti nel diritto all'oscuramento — non perché intendessero violare; perché gli strumenti per conformarsi erano prezzati oltre la loro portata
Desktop-First · Elaborazione 100% Locale · 7 Formati di Documento + OCR · Licenza Una Tantum
- //Aumento del 300% delle violazioni dei dati basate su cloud tra il 2022 e il 2024 — i dati che non entrano mai nel cloud non possono essere esposti in una violazione cloud
- //Il CLOUD Act + FISA rendono l'elaborazione ospitata negli Stati Uniti legalmente incerta per le organizzazioni dell'UE — l'elaborazione locale elimina l'intero problema del trasferimento transfrontaliero garantendo che non si verifichi alcun trasferimento
- //La frammentazione dei formati costringe le organizzazioni a mantenere più strumenti — ogni strumento crea una politica di rilevazione separata, un record di audit separato, una modalità di fallimento separata
- //I file di log sono la superficie PII trascurata — gli sviluppatori si concentrano sui database ma i log contengono chiavi API, ID utente, indirizzi IP; CSV e JSON sono supportati nativamente insieme ai documenti strutturati
- //Ambienti di produzione air-gapped — pavimenti di produzione, strutture governative sicure, laboratori di ricerca — non possono tollerare un controllo della licenza che richiede accesso alla rete; attivazione una tantum e poi funzionamento completamente offline è l'unica architettura praticabile
- //Licenze perpetue senza dipendenza SaaS ricorrente: l'utente possiede la propria installazione; una cancellazione dell'abbonamento del fornitore non può disabilitare uno strumento in un momento critico di elaborazione
- //Le ricostruzioni della pipeline dbt distruggono le politiche di mascheramento sui dati CSV/JSON — l'EDPB 2024 chiarisce che questo viola l'Art. 5(1)(a) del GDPR; lo storage nel vault con storia crittografata significa che ogni file elaborato ha un record auditabile e recuperabile
- //Le organizzazioni che elaborano migliaia di documenti legacy per la conformità al diritto all'oscuramento GDPR necessitano di capacità batch — non un limite di 5 file al giorno SaaS che rende impossibile operativamente il compito
La Scala del Problema
Questi non sono fallimenti isolati. Sono risultati sistemici di un ambiente di conformità che ha superato la propria infrastruttura.