PERNYATAAN PENGASAS
Mengapa Saya Memulakan Ekosistem Ini — Satu Keyakinan Profesional Selepas 28 Tahun
Data anda. Kunci anda. Peraturan anda.
Setiap produk dalam ekosistem ini dibina berdasarkan satu komitmen seni bina: data anda, kunci anda, kawalan anda. Kata laluan anda tidak pernah meninggalkan peranti anda. Dokumen anda tidak pernah disimpan. Kunci penyulitan anda adalah milik anda sahaja. Tiada undang-undang awan AS, tiada subpoena vendor, tiada broker data — boleh mencapai apa yang tidak pernah dikongsi.
Latar Belakang
Selama 28 tahun saya telah bekerja di persimpangan teknologi, keselamatan, dan pematuhan organisasi. Saya mengasaskan curta.solutions pada tahun 1998. Sejak itu saya telah berkhidmat kepada organisasi yang diatur di 26 negara — dalam perkhidmatan kewangan, penjagaan kesihatan, undang-undang, kerajaan, pembuatan, dan teknologi — sebagai rakan mereka dalam seni bina IT, keselamatan, transformasi digital, dan pematuhan.
Apa yang saya perhatikan selama 28 tahun bukanlah evolusi yang perlahan. Ia adalah krisis dalam gerakan perlahan — satu yang mencapai titik pecah dengan kedatangan AI generatif dan penyebaran global peraturan privasi yang bertindih.
Keyakinan Saya
Saya percaya bahawa setiap individu, organisasi, dan institusi mempunyai hak untuk berkongsi maklumat secara selektif — untuk mendedahkan kepada pengawal selia hanya apa yang berhak dilihat oleh pengawal selia, untuk berkolaborasi dengan rakan hanya mengenai data yang telah secara jelas diberi kuasa, untuk mengambil bahagian dalam kehidupan komersial dan awam tanpa menyerahkan apa yang mesti tetap peribadi.
Saya percaya hak ini mesti dapat dilaksanakan secara praktikal oleh semua orang — bukan hanya oleh organisasi dengan jabatan pematuhan dan bajet perisian perusahaan. Privasi tidak boleh menjadi hak istimewa skala.
Saya percaya bahawa dalam dunia di mana undang-undang AS boleh mencapai sebarang data yang dipegang oleh mana-mana syarikat AS di mana sahaja di bumi, dan di mana 77% pekerja memberi data sensitif kepada alat AI yang mereka tidak kawal, satu-satunya seni bina yang dapat memberikan jaminan privasi yang bermakna adalah di mana data tidak pernah meninggalkan kawalan pengguna pada awalnya. Bukan jaminan kontrak. Bukan polisi privasi. Seni bina teknikal.
Pengesahan zero-knowledge. Pemprosesan utama tempatan. Penyulitan boleh dipulihkan di mana kunci adalah milik pengguna. Operasi mampu offline. Bidang kuasa EU, tanpa pengecualian. Ini bukan ciri produk. Mereka adalah standard minimum untuk sebarang alat yang mendakwa melindungi data peribadi.
Dan saya percaya bahawa 28 tahun bekerja di dalam organisasi yang mengendalikan maklumat paling sensitif di dunia — 28 tahun menyaksikan jurang antara niat peraturan dan realiti teknikal semakin melebar — telah memberikan saya pemahaman dan tanggungjawab untuk memulakan apa yang masih kurang dalam ekosistem. Untuk mendefinisikan visi, mengumpulkan pasukan yang tepat, dan memastikan ia dibina mengikut standard yang diperlukan oleh masalah ini.
Hak untuk menganonimkan maklumat peribadi bukanlah ciri teknikal. Ia adalah hak asas. Dan hak yang tidak dapat dilaksanakan secara praktikal bukanlah hak sama sekali.
Masalah yang Saya Perhatikan
Pecahan Peraturan: Terlalu Banyak Peraturan, Tiada Bahasa Umum
Sebuah organisasi bersaiz sederhana yang beroperasi secara global mesti secara serentak menavigasi lebih daripada 48 undang-undang privasi nasional dan serantau — GDPR, UK GDPR, CCPA, LGPD, PDPA, PIPL, DPDPA, APPI, PIPEDA dan puluhan lagi. 24 DPA nasional di EU sahaja mengeluarkan panduan mengikat yang konsisten dalam prinsip dan berbeza dalam praktik. Apa yang memuaskan BfDI Jerman tidak secara automatik memuaskan CNIL Perancis, DPC Ireland, atau AP Belanda. Penambahan lapisan khusus sektor — HIPAA, PCI-DSS, NIS2, Akta AI — menambah keperluan yang jarang diselaraskan antara satu sama lain.
Hasilnya bukanlah rangka kerja pematuhan. Ia adalah sasaran bergerak dengan 48 sasaran yang berbeza.
Raksasa Kertas: Perjanjian yang Tiada Siapa Membaca, Kawalan yang Tiada Siapa Mengesahkan
Organisasi mengekalkan perjanjian pemprosesan data dengan ratusan subprosesor, Klausa Kontrak Standard yang memanjang hingga 30+ halaman bagi setiap hubungan pemindahan, Rekod Aktiviti Pemprosesan, DPIA, TIA, LIA — setiap satu memerlukan input teknikal yang kebanyakan pasukan undang-undang tidak dapat mengesahkan secara bebas. Dalam praktiknya: organisasi menandatangani apa yang mereka mesti tandatangani, memfailkan apa yang mereka mesti failkan, dan berharap realiti teknikal sepadan dengan penerangan kontrak. Raksasa kertas menghasilkan penampilan pematuhan. Ia jarang menghasilkan substansi pematuhan.
Ketidakcukupan Teknikal: Alat Tidak Sesuai dengan Kewajipan
Pengesanan PII berasaskan AI generatif adalah tidak deterministik. Dokumen yang sama diproses dua kali menghasilkan hasil yang berbeza. Secara asasnya tidak serasi dengan pematuhan — di mana anda mesti menunjukkan, secara reproduktif dan boleh disahkan, bahawa data tertentu telah dikesan dan ditangani dengan betul.
Microsoft Presidio, spaCy, Stanza — platform kejuruteraan, bukan alat pematuhan. Melaksanakan ke dalam pengeluaran memerlukan penulisan pengiktiraf khusus untuk setiap jenis entiti dan bahasa, membina saluran pemprosesan pra/pasca, mengintegrasikan dengan format dokumen, mengekalkan semuanya semasa peraturan berkembang. Biasanya 30–80 jam masa kejuruteraan pakar sebelum satu dokumen diproses. Kebanyakan organisasi tidak mempunyai kepakaran itu di dalam rumah.
Nombor peribadi dalam kontrak pekerjaan Sweden, Steuer-ID dalam borang cukai Jerman, PESEL dalam dokumen insurans Poland, Codice Fiscale dalam invois Itali — setiap satu memerlukan bukan sahaja pengesanan bahasa tetapi pengiktirafan entiti yang sedar jenis dokumen. Model bahasa yang dilatih terutamanya dalam bahasa Inggeris menghasilkan kadar kehilangan PII 69% dalam teks bukan Inggeris. Undang-undang tidak membuat sebarang perbezaan berdasarkan bahasa.
Microsoft Purview, AWS Macie, Google Cloud DLP — mahal, memerlukan sambungan awan, mengunci organisasi. Lebih kritikal: semuanya beribu pejabat di AS. Akta CLOUD 2018 mewajibkan mereka untuk mendedahkan data di mana sahaja di dunia atas permintaan kerajaan AS yang sah. Seksyen 702 FISA membolehkan pengumpulan maklumat tanpa waran individu. Schrems II membatalkan Perisai Privasi EU-AS atas sebab ini. Kontrak tahunan enam angka dengan penyedia awan AS tidak menghasilkan pemprosesan data yang mematuhi GDPR.
Masalah AI Tidak Terkawal: Pasaran Tiada Jawapan
77% pekerja berkongsi maklumat kerja sensitif dengan alat AI sekurang-kurangnya setiap minggu. 34.8% daripada semua input alat AI mengandungi maklumat yang layak sebagai sensitif di bawah sekurang-kurangnya satu rangka kerja privasi. Pekerja menggunakan ChatGPT, Copilot, Claude, Gemini untuk merangka kontrak, meringkaskan nota, menganalisis hamparan — secara berterusan, secara automatik, tanpa menyedari apa yang mereka tampal ke dalam arahan.
Sistem DLP tradisional tidak dapat memahami kandungan semantik arahan bahasa semula jadi. Mereka tidak dapat membezakan seorang pembangun yang meminta AI untuk menerangkan corak kod daripada seorang pembangun yang menampal pangkalan data pengeluaran 50,000 rekod ke dalam tetingkap yang sama. Model AI memproses segala-galanya. Mereka tidak menawarkan perlindungan, tiada amaran, tiada jejak audit yang boleh dipercayai oleh DPO.
Apa yang hilang adalah lapisan teknikal yang menjadikan polisi boleh dikuatkuasakan dalam praktik. Lapisan itu tidak wujud di pasaran pada sebarang titik harga yang mampu dibeli oleh organisasi bersaiz sederhana, dalam sebarang bentuk yang berfungsi merentasi alat AI yang sebenarnya digunakan oleh pekerja. Ini adalah salah satu jurang yang dibina untuk ditutup oleh ekosistem ini.
Jurang Aksesibiliti: Pematuhan sebagai Hak Istimewa Skala
Seorang pengamal solo, organisasi komuniti, pihak berkuasa awam kecil, institusi penyelidikan — masing-masing tertakluk kepada GDPR yang sama, hak untuk pemadaman yang sama, kewajipan pemberitahuan pelanggaran yang sama seperti sebuah bank global — tetapi tanpa pasukan undang-undang, sumber kejuruteraan, atau bajet perisian perusahaan untuk melaksanakannya dengan betul. Ekosistem pematuhan telah berkhidmat kepada organisasi besar dengan secukupnya, walaupun dengan kos yang tinggi. Ia telah melayani semua orang yang lain dengan mandat dan tiada cara praktikal untuk mematuhinya.
Respons Ekosistem — Satu Platform, Pelbagai Ekspresi
Platform payung dan titik akses utama. Pengenalan PII lapisan dua hibrid (260+ entiti, 48 bahasa, 121 preset pematuhan) merentasi semua model pengedaran — SaaS, awan persendirian yang diurus, dan kendiri. Semua produk yang diturunkan berkongsi enjin pengesanan yang sama dan prinsip asas yang sama: kuasa di tangan pengguna.
Edisi perniagaan yang terputus dari awan. 390+ entiti, 317 corak regex khusus, pemprosesan 100% offline, OCR imej dalam 37 bahasa. Tiada kebergantungan awan — data tidak pernah meninggalkan peranti.
Platform PII berasaskan awan dengan akses terluas. Tambahan Chrome untuk pemintasan AI masa nyata, Pelayan MCP, Tambahan Office, penyulitan boleh dipulihkan. Percuma hingga €29/bulan — pematuhan untuk setiap bajet.
Utama desktop, sepenuhnya tempatan. Pembantu Presidio di peranti, 7 format dokumen + OCR, pemprosesan kelompok, peti simpanan terenkripsi. Lesen kekal sekali bayar — tiada langganan, tiada awan, sepenuhnya offline selepas pengaktifan.
Platform demo awam segera. Tiada akaun diperlukan — tampal teks, anonimisasi segera, lihat enjin berfungsi. Cara terpantas untuk mengalami apa yang dilakukan oleh ekosistem.
Platform Payung — SaaS · Awan Persendirian yang Diurus · Kendiri · 3 model pengedaran
- //Organisasi melaporkan 67% pembangun telah secara tidak sengaja mendedahkan rahsia dalam kod — regex deterministik menangkap apa yang NLP terlepas dan sebaliknya
- //Pengesanan AI umum mencapai kadar kehilangan 69% dalam teks bukan Inggeris — lapisan dua dengan spaCy + XLM-RoBERTa menutup jurang merentasi semua 48 bahasa
- //Penghapusan yang tidak konsisten merentasi pasukan adalah penemuan audit ICO dan DPA yang paling banyak disebut — preset menguatkuasakan tingkah laku pengesanan yang serupa merentasi setiap pengguna, setiap sesi
- //95% daripada pelanggaran data 2024 dikaitkan dengan kesilapan manusia — preset yang dikongsi menghapuskan keputusan konfigurasi per orang yang mencipta variasi
- //Tumpukan PII pelbagai vendor mencipta jurang jejak audit — 60%+ organisasi yang menggunakan 3+ alat PII melaporkan kegagalan rekonsiliasi antara alat
- //Pecahan format: organisasi memproses PDF, DOCX, XLSX, CSV, JSON secara serentak — setiap format sebelum ini memerlukan pendekatan yang berasingan, alat yang berasingan, rekod audit yang berasingan
- //Alat PII perusahaan berharga $50,000–$500,000/tahun — organisasi dengan kekangan kos secara sejarah tidak mempunyai pilihan sama sekali
- //Akta CLOUD + Seksyen 702 FISA bermakna pemprosesan "mematuhi GDPR" yang dihoskan di AS adalah fiksyen kontrak — hosting hanya di EU menghapuskan pendedahan ini sepenuhnya
Perusahaan Air-Gapped — 390+ entiti · 317 regex khusus · 100% offline · OCR Imej
- //PII khusus industri — kod kemudahan nuklear, nombor perkhidmatan tentera, ID dalaman proprietari — tidak dilindungi oleh sebarang alat komersial; pengiktiraf khusus memerlukan minggu kejuruteraan pakar dalam Presidio mentah
- //Ketidaklengkapan liputan adalah siling pengesanan: tiada alat umum yang meliputi semua jenis PII, semua bahasa, semua format — 317 corak terkurasi menutup jurang yang terlepas oleh rangka kerja siap pakai
- //Paradoks vendor: untuk melindungi PII anda mesti berkongsi dengan vendor. Pemprosesan awan memerlukan kepercayaan kepada pemproses — satu percanggahan seni bina untuk organisasi yang mengendalikan data yang paling sensitif
- //Persekitaran terputus dari awan (pertahanan, perisikan, infrastruktur kritikal, makmal penyelidikan) tidak boleh menggunakan alat yang bergantung kepada awan pada sebarang harga — offline-pertama menghapuskan halangan seni bina sepenuhnya
- //Microsoft Purview secara eksplisit tidak dapat mengimbas JPEG/PNG — PII teks dalam tangkapan skrin adalah sepenuhnya tidak kelihatan kepada tumpukan DLP perusahaan secara reka bentuk
- //Perisian hasad SparkCat (iOS/Android, Dis 2025) menggunakan OCR untuk mencuri frasa pemulihan dompet kripto dari tangkapan skrin — PII teks berasaskan imej adalah sasaran serangan aktif, bukan risiko teoritis
- //Peningkatan 300% dalam pelanggaran data berasaskan awan antara 2022 dan 2024 — zero-knowledge bermakna pelanggaran pelayan kami tidak mendedahkan apa-apa, kerana tiada apa yang disimpan
- //Disahkan ISO 27001:2022 dengan ujian penembusan penuh yang biasa — kedudukan keselamatan yang diperlukan oleh pengadaan yang diatur didokumenkan, disahkan, dan diaudit secara bebas
Platform PII Berasaskan Awan — Percuma hingga €29/bulan · Tambahan Chrome · Pelayan MCP · Tambahan Office
- //8.5% daripada semua arahan LLM mengandungi PII — pemintasan masa nyata sebelum penghantaran adalah satu-satunya pencegahan yang berkesan; pengesanan pasca-hoc terlepas satu-satunya tingkap yang penting
- //DLP tradisional berfungsi selepas data meninggalkan organisasi — Tambahan Chrome memintas pada titik input, sebelum mana-mana model menerima atau memproses kandungan sensitif
- //Pengesanan AI generatif adalah tidak deterministik — dokumen yang sama menghasilkan hasil yang berbeza pada larian yang berbeza; tiada sistem probabilistik boleh menjadi asas bagi pembelaan peraturan
- //Presidio sahaja terlepas entiti bergantung kepada konteks; XLM-RoBERTa sahaja menghasilkan positif palsu dalam bahasa undang-undang formal — lapisan klasifikasi stance ketiga menghapuskan positif palsu yang membuat pasukan pematuhan tidak mempercayai alat automatik
- //Penemuan undang-undang, permintaan akses rekod perubatan, audit peraturan — data yang dianonimkan kadangkala mesti di-de-anonimkan oleh pihak yang diberi kuasa dan hanya oleh mereka; kaedah tidak boleh dipulihkan menjadikannya mustahil
- //Kunci sesi pengguna tidak pernah meninggalkan peranti mereka — bukan pelayan kami, bukan mana-mana awan, bukan mana-mana subprosesor. Hak untuk membalikkan anonimisasi adalah milik pengguna, bukan kami.
- //Seorang pengamal solo menghadapi kewajipan hak untuk pemadaman GDPR yang sama seperti sebuah bank global — tetapi tanpa jabatan pematuhan atau bajet perisian perusahaan €500K/tahun
- //764 organisasi EU sedang disiasat secara serentak kerana kegagalan hak untuk pemadaman — bukan kerana mereka berniat untuk melanggar; kerana alat untuk mematuhi harganya melebihi kemampuan mereka
Utama Desktop · Pemprosesan 100% Tempatan · 7 Format Dokumen + OCR · Lesen Sekali Bayar
- //Peningkatan 300% dalam pelanggaran data berasaskan awan antara 2022 dan 2024 — data yang tidak pernah memasuki awan tidak boleh terdedah dalam pelanggaran awan
- //Akta CLOUD + FISA menjadikan pemprosesan yang dihoskan di AS tidak pasti secara undang-undang untuk organisasi EU — pemprosesan tempatan menghapuskan keseluruhan masalah pemindahan rentas sempadan dengan memastikan tiada pemindahan berlaku
- //Pecahan format memaksa organisasi untuk mengekalkan pelbagai alat — setiap alat mencipta polisi pengesanan yang berasingan, rekod audit yang berasingan, mod kegagalan yang berasingan
- //Fail log adalah permukaan PII yang diabaikan — pembangun memberi tumpuan kepada pangkalan data tetapi log mengandungi kunci API, ID pengguna, alamat IP; CSV dan JSON disokong secara asli bersama dokumen berstruktur
- //Persekitaran pengeluaran terputus dari awan — lantai pembuatan, kemudahan selamat kerajaan, makmal penyelidikan — tidak boleh bertolak ansur dengan pemeriksaan lesen yang memerlukan akses rangkaian; pengaktifan sekali sahaja kemudian operasi sepenuhnya offline adalah seni bina yang boleh dilaksanakan
- //Lesen kekal tanpa kebergantungan SaaS berulang: pengguna memiliki pemasangan mereka; pembatalan langganan vendor tidak boleh melumpuhkan alat pada saat pemprosesan yang kritikal
- //Pipa dbt yang dibina semula memusnahkan polisi penyamaran pada data CSV/JSON — EDPB 2024 menjelaskan ini melanggar GDPR Art. 5(1)(a); penyimpanan peti selamat dengan sejarah terenkripsi bermakna setiap fail yang diproses mempunyai rekod yang boleh diaudit dan dipulihkan
- //Organisasi yang memproses ribuan dokumen warisan untuk pematuhan hak untuk pemadaman GDPR memerlukan keupayaan kelompok — bukan had 5 fail sehari SaaS yang menjadikan tugas itu mustahil secara operasional
Skala Masalah
Ini bukan kegagalan luar biasa. Mereka adalah hasil sistemik dari persekitaran pematuhan yang telah melebihi infrastruktur itu sendiri.