ИЗЈАВА НА ОСНОВАЧОТ
Зошто го иницирав овој екосистем — професионална убеденост по 28 години
Вашите податоци. Вашите клучеви. Вашите правила.
Секој производ во овој екосистем е изграден на единствена архитектонска обврска: вашите податоци, вашите клучеви, вашата контрола. Вашата лозинка никогаш не ја напушта вашето уред. Вашите документи никогаш не се складираат. Вашиот клуч за шифрирање е само ваш. Ниту едно американско законодавство, ниту едно повикување од добавувач, ниту еден брокер на податоци — не може да стигне до она што никогаш не е споделено.
Позадина
По 28 години работев на пресекот на технологијата, безбедноста и организациската усогласеност. Основав curta.solutions во 1998. Оттогаш служев регулирани организации во 26 земји — во финансиските услуги, здравството, правото, владата, производството и технологијата — како нивен партнер во ИТ архитектура, безбедност, дигитална трансформација и усогласеност.
Она што го набљудував во текот на 28 години не е бавна еволуција. Тоа е криза во бавен тек — една која достигна точка на кршење со доаѓањето на генеративната АИ и глобалната распространетост на преклопните регулативи за приватност.
Моето убедување
Верувам дека секоја личност, организација и институција има право да споделува информации селективно — да открие регулатору само она што регулаторот има право да види, да соработува со партнер само над податоците кои биле експлицитно овластени, да учествува во комерцијалниот и јавниот живот без да се откаже од она што мора да остане приватно.
Верувам дека ова право мора да биде практично остварливо за сите — не само за организациите со оддели за усогласеност и буџети за корпоративен софтвер. Приватноста не може да биде привилегија на размер.
Верувам дека во свет каде американското законодавство може да стигне до било кои податоци што ги држи било која американска компанија било каде на Земјата, и каде 77% од вработените внесуваат чувствителни податоци во АИ алатки кои не ги контролираат, единствената архитектура која може да понуди значајна гаранција за приватност е онаа каде податоците никогаш не ја напуштаат контролата на корисникот на прво место. Не договорни гаранции. Не политики за приватност. Техничка архитектура.
Zero-knowledge аутентикација. Локално-прво обработување. Реверзибилна шифрирање каде клучот припаѓа на корисникот. Способност за работа офлајн. ЕУ надлежност, без исклучоци. Ова не се карактеристики на производот. Тие се минимален стандард за било кој алатка која тврди дека штити лични податоци.
И верувам дека 28 години работа во организациите кои ракуваат со најчувствителните информации во светот — 28 години набљудување на празнината помеѓу регулаторната намера и техничката реалност — ми дале и разбирање и одговорност да иницирам она што екосистемот сè уште го нема. Да ја дефинирам визијата, да соберам правилниот тим и да осигурам дека ќе биде изградена до стандардот што проблемот го бара.
Правото да се анонимизираат лични информации не е техничка карактеристика. Тоа е основно право. И право кое не може да се практично оствари не е право воопшто.
Проблемите што ги набљудував
Регулаторна фрагментација: Премногу правила, без заеднички јазик
Организација средна големина која работи глобално мора истовремено да навигира низ 48+ национални и регионални закони за приватност — GDPR, UK GDPR, CCPA, LGPD, PDPA, PIPL, DPDPA, APPI, PIPEDA и десетици други. 24 национални DPAs во ЕУ сами издаваат обврзувачки упатства кои се доследни во принцип и различни во практика. Она што го задоволува германскиот BfDI не автоматски го задоволува францускиот CNIL, ирскиот DPC или холандскиот AP. Секторски специфично слоевите — HIPAA, PCI-DSS, NIS2, Законот за АИ — додаваат барања кои ретко се усогласуваат меѓу себе.
Резултатот не е рамка за усогласеност. Тоа е движења цел со 48 различни мети.
Монструмот на хартија: Договори што никој не ги чита, контроли што никој не ги проверува
Организациите одржуваат договори за обработка на податоци со стотици подизведувачи, Стандардни договорни клаузи кои се протегаат на 30+ страници по однос на трансфер, Записи за активности на обработка, DPIA, TIA, LIA — секој бара технички влез кој повеќето правни тимови не можат независно да го верификуваат. Во практика: организациите потпишуваат што мора да потпишат, архивираат што мора да архивираат и се надеваат дека техничката реалност одговара на договорниот опис. Монструмот на хартија генерира изглед на усогласеност. Ретко генерира супстанца.
Техничка недоволност: Алатките не одговараат на обврските
Генеративното АИ базирано на откривање на PII е недетерминистичко. Истиот документ обработен два пати произведува различни резултати. Основно несоодветно со усогласеноста — каде што мора да демонстрирате, повторливо и верификувано, дека специфични податоци се откриени и правилно обработени.
Microsoft Presidio, spaCy, Stanza — инженерски платформи, не алатки за усогласеност. Имплементирањето во продукција бара пишување на прилагодливи препознатели за секој тип на ентитет и јазик, градење на пред/пост-обработувачки цевководи, интегрирање со формати на документи, одржување на сè како регулативите еволуираат. Обично 30–80 часа специјализирано инженерско време пред да се обработи еден документ. Повеќето организации немаат таа експертиза во куќата.
Личен број во шведскиот работен договор, Steuer-ID во германскиот даночен формулар, PESEL во полскиот осигурителен документ, Codice Fiscale во италијанската фактура — секој бара не само откривање на јазик туку и препознавање на ентитети свесни за типот на документот. Јазичните модели обучени предимно на англиски произведуваат 69% пропуст на PII во неанглиски текст. Законот не прави разлика по јазик.
Microsoft Purview, AWS Macie, Google Cloud DLP — скапи, бараат облачна поврзаност, заклучуваат организации. Повеќе критично: сите се со седиште во САД. CLOUD Act од 2018 ги обврзува да откриваат податоци каде било во светот на валидно барање од владата на САД. FISA Секција 702 овозможува собирање на разузнавачки информации без индивидуални налози. Schrems II го поништи EU-US Privacy Shield токму поради оваа причина. Годишен договор од шест цифри со облачен добавувач од САД не произведува GDPR-усогласена обработка на податоци.
Проблемот со неконтролирана АИ: Пазарот нема одговор
77% од вработените споделуваат чувствителни работни информации со АИ алатки барем неделно. 34.8% од сите влезови во АИ алатките содржат информации кои се квалификуваат како чувствителни под најмалку еден регулативен рамка. Вработените користат ChatGPT, Copilot, Claude, Gemini за да составуваат договори, сумираат белешки, анализираат табели — постојано, автоматски, без свест за она што го ставаат во упатството.
Традиционалните DLP системи не можат да разберат семантичкиот содржински на природно-јазичен упат. Тие не можат да разликуваат помеѓу развивач кој бара од АИ да објасни образец на код и развивач кој става 50,000-записна производна база на податоци во истото прозорче. АИ моделите обработуваат сè. Тие не нудат заштита, не предупредуваат, немаат патека за ревизија на која DPO може да се потпре.
Она што недостасува е техничкиот слој кој го прави политиката применлива во практика. Тој слој не постои на пазарот на ниту една цена што организација средна големина може да си дозволи, во било која форма која функционира преку АИ алатките што вработените всушност ги користат. Ова е една од празнините што овој екосистем е изграден да затвори.
Празнината во достапност: Усогласеноста како привилегија на размер
Самостоен практичар, заедничка организација, мала јавна власт, истражувачка институција — секој подложен на истиот GDPR, правото на бришење, истата обврска за известување за повреда како глобална банка — но без правен тим, инженерски ресурси или буџет за корпоративен софтвер од 500.000 евра за правилно имплементирање. Екосистемот за усогласеност им служел на големите организации адекватно, иако скапо. Им служел на сите останати со мандат и без практични средства за задоволување на него.
Одговор на екосистемот — Една платформа, повеќе изрази
Платформата со чадор и главна точка на пристап. Хибридно двослојно откривање на PII (260+ ентитети, 48 јазици, 121 предустанови за усогласеност) преку сите модели на имплементација — SaaS, управуван приватен облак и самоуправуван. Сите производи произлегуваат од истото моторче за откривање и истото основно начело: моќ во рацете на корисникот.
Издание за корпоративна air-gapped. 390+ ентитети, 317 прилагодливи regex образци, 100% офлајн обработка, слика OCR на 37 јазици. Нема зависност од облак — податоците никогаш не ја напуштаат уредот.
Платформа за PII прва во облакот со најширок пристап. Chrome екстензија за реално време на АИ интерцепција, MCP сервер, Office Add-in, реверзибилна шифрирање. Бесплатно до 29€/месечно — усогласеност за секој буџет.
Десктоп-прво, целосно локално. Presidio sidecar на уредот, 7 формати на документи + OCR, обработка во серија, шифрирана благајна. Лиценца за еднократна употреба — без претплати, без облак, целосно офлајн по активација.
Инстантна јавна демонстрација платформа. Не е потребен акаунт — налепете текст, анонимизирајте веднаш, видете го моторот во акција. Најбрзиот начин да се доживее што прави екосистемот.
Платформа со чадор — SaaS · Управуван приватен · Самоуправуван · 3 модели на имплементација
- //Организациите известуваат дека 67% од развивачите случајно откриле тајни во кодот — детерминистички regex фаќа што NLP пропушта и обратно
- //Општо-целосно откривање на АИ постигнува 69% пропуст во неанглиски текст — двослојно со spaCy + XLM-RoBERTa ја затвора празнината во сите 48 јазици
- //Несогласеното редигирање низ тимовите е најчесто цитирана наод на ICO и DPA — предустановите наметнуваат идентично однесување на откривање низ секој корисник, секоја сесија
- //95% од 2024 повреди на податоци поврзани со човечка грешка — споделените предустанови ги елиминираат одлуките за конфигурација по лице кои создаваат варијација
- //Мулти-добавувачки PII стекови создаваат празнини во патеката за ревизија — 60%+ од организациите кои користат 3+ PII алатки известуваат за неуспеси во усогласувањето помеѓу алатките
- //Фрагментација на формати: организациите обработуваат PDF, DOCX, XLSX, CSV, JSON истовремено — секој формат претходно бараше посебен пристап, посебна алатка, посебен запис за ревизија
- //Корпоративните PII алатки чини $50,000–$500,000/годишно — организациите со ограничени трошоци историски немале опција воопшто
- //CLOUD Act + FISA Секција 702 значи дека обработката со "GDPR-усогласена" хостинг во САД е договорна фикција — хостинг само во ЕУ целосно ја отстранува оваа изложеност
Корпоративна Air-Gapped — 390+ ентитети · 317 прилагодливи regex · 100% офлајн · Слика OCR
- //Индустриски специфични PII — кодови за нуклеарни објекти, воени служби, сопствени внатрешни ИД — не се покриени од ниту една комерцијална алатка; прилагодливите препознатели бараат недели специјализирано инженерство во чист Presidio
- //Несогласеноста во покриеноста е таванот на откривање: ниту една општа алатка не покрива сите типови на PII, сите јазици, сите формати — 317 курирани образци ги затвораат празнините што рамките од кутијата пропуштаат
- //Парадокс на добавувачот: за да се заштити PII мора да се сподели со добавувач. Облачната обработка бара доверба во процесорот — архитектонска контрадикција за организациите кои ракуваат со најчувствителните податоци
- //Air-gapped средини (одбрана, разузнавање, критична инфраструктура, истражувачки лаборатории) не можат да користат алатки зависни од облак по ниту која цена — офлајн-прво целосно ја отстранува архитектонската бариера
- //Microsoft Purview експлицитно не може да скенира JPEG/PNG — текст PII во снимки на екранот е целосно невидлив за корпоративниот DLP стек по дизајн
- //SparkCat малвер (iOS/Android, декември 2025) користеше OCR за да украде фрази за опоравување на крипто паричници од снимки на екранот — текст PII базиран на слики е активна цел на напад, не теоретски ризик
- //300% зголемување на облачните повреди на податоци помеѓу 2022 и 2024 — zero-knowledge значи дека повредата на нашите сервери не открива ништо, бидејќи ништо не е складирано
- //ISO 27001:2022 сертифициран со редовно целосно тестирање на продор — безбедносната позиција која регулираната набавка ја бара е документирана, верификувана и независно ревидирана
Облачна PII платформа — Бесплатно до 29€/месечно · Chrome екстензија · MCP сервер · Office Add-in
- //8.5% од сите LLM упатства содржат PII — реално време на интерцепција пред поднесувањето е единствената превенција што функционира; пост-хок откривањето пропушта единственото време што е важно
- //Традиционалниот DLP се активира по што податоците ја напуштиле организацијата — Chrome екстензијата интерцептира на точката на внес, пред било кој модел да прими или обработи чувствителен содржински
- //Генеративното откривање на АИ е недетерминистичко — истиот документ произведува различни резултати на различни проби; ниту еден пробабилитистички систем не може да биде основа за регулаторна одбрана
- //Presidio самостојно пропушта ентитети зависни од контекст; XLM-RoBERTa самостојно генерира лажни позитиви во формален правен јазик — третиот слој за класификација на ставот ги елиминира лажните позитиви кои ги прават тимовите за усогласеност да не веруваат во автоматизирани алатки
- //Правна откривање, барања за пристап до медицински записи, регулаторна ревизија — анонимизираните податоци понекогаш мора да бидат де-анонимизирани од овластената страна и само од нив; необратни методи го прават тоа невозможно
- //Клучот на сесијата на корисникот никогаш не ја напушта нивната уред — не нашите сервери, не никаков облак, не никаков подизведувач. Правото на реверзибилна анонимизација припаѓа на корисникот, а не на нас.
- //Самостоен практичар се соочува со истата обврска за право на бришење на GDPR како глобална банка — но без оддел за усогласеност или буџет за корпоративен софтвер од 500.000 евра/годишно
- //764 ЕУ организации се истовремено под истрага за неуспеси во правото на бришење — не затоа што имале намера да прекршат; затоа што алатките за усогласеност беа ценовно недостапни
Десктоп-прво · 100% Локална обработка · 7 формати на документи + OCR · Лиценца за еднократна употреба
- //300% зголемување на облачните повреди на податоци помеѓу 2022 и 2024 — податоците кои никогаш не влегуваат во облак не можат да бидат изложени во облачна повреда
- //CLOUD Act + FISA го прават обработувањето со хостинг во САД правно несигурно за ЕУ организации — локалната обработка целосно ја елиминира целата проблематика со трансферот преку граница со осигурување дека не се случува трансфер
- //Фрагментацијата на формати ги принудува организациите да одржуваат повеќе алатки — секоја алатка создава посебна политика за откривање, посебен запис за ревизија, посебен режим на неуспех
- //Лог фајловите се занемарена површина на PII — развивачите се фокусираат на бази на податоци, но логовите содржат API клучеви, кориснички ИД, IP адреси; CSV и JSON се поддржани нативно покрај структурирани документи
- //Air-gapped производствени средини — производствени подови, безбедни објекти на владата, истражувачки лаборатории — не можат да толерираат проверка на лиценца која бара мрежна поврзаност; активација само еднаш, потоа целосно офлајн работа е единствената изводлива архитектура
- //Перпетуални лиценци без зависност од повторувачки SaaS: корисникот ја поседува својата инсталација; откажувањето на претплата на добавувачот не може да онеспособи алатка во критичен момент на обработка
- //dbt цевководите за повторно изградба ги уништуваат политиките за маскирање на CSV/JSON податоци — EDPB 2024 разјаснува дека ова го прекршува GDPR Арт. 5(1)(a); складирањето во благајна со шифрирана историја значи дека секој обработен фајл има запишан, можен за повраток запис
- //Организациите кои обработуваат илјадници наследени документи за усогласеност со правото на бришење на GDPR потребуваат способност за обработка во серија — не ограничување на 5 фајлови на ден што го прави задачата оперативно невозможно
Масштабот на проблемот
Ова не се изолирани неуспеси. Тие се системски резултати на средина за усогласеност која го надмина своето сопствено инфраструктура.