VERKLARING VAN DE OPRICHTER
Waarom ik dit ecosysteem heb geïnitieerd — een professionele overtuiging na 28 jaar
Jouw gegevens. Jouw sleutels. Jouw regels.
Elk product in dit ecosysteem is gebouwd op een enkele architectonische belofte: jouw gegevens, jouw sleutels, jouw controle. Jouw wachtwoord verlaat nooit jouw apparaat. Jouw documenten worden nooit opgeslagen. Jouw encryptiesleutel is alleen van jou. Geen Amerikaanse cloudwetgeving, geen vendor dagvaarding, geen databroker — kan bereiken wat nooit gedeeld is.
Achtergrond
Al 28 jaar werk ik op het snijvlak van technologie, beveiliging en organisatorische compliance. Ik heb curta.solutions opgericht in 1998. Sindsdien heb ik gereguleerde organisaties in 26 landen gediend — in financiële diensten, gezondheidszorg, juridische zaken, overheid, productie en technologie — als hun partner in IT-architectuur, beveiliging, digitale transformatie en compliance.
Wat ik in 28 jaar heb waargenomen is geen trage evolutie. Het is een crisis in slow motion — een die een breekpunt bereikte met de komst van generatieve AI en de wereldwijde proliferatie van overlappende privacyregelgeving.
Mijn Overtuiging
Ik geloof dat elke persoon, organisatie en instelling het recht heeft om informatie selectief te delen — om alleen te onthullen aan een toezichthouder wat een toezichthouder recht heeft om te zien, om samen te werken met een partner alleen over gegevens die expliciet zijn geautoriseerd, om deel te nemen aan commercieel en publiek leven zonder op te geven wat privé moet blijven.
Ik geloof dat dit recht praktisch uitoefenbaar moet zijn voor iedereen — niet alleen voor organisaties met compliance-afdelingen en budgetten voor enterprise-software. Privacy kan geen privilege van schaal zijn.
Ik geloof dat in een wereld waar de Amerikaanse wetgeving elke gegevens kan bereiken die door elk Amerikaans bedrijf ergens ter wereld wordt vastgehouden, en waar 77% van de werknemers gevoelige gegevens in AI-tools invoeren die ze niet beheersen, de enige architectuur die een betekenisvolle privacygarantie kan bieden, er een is waarbij de gegevens nooit de controle van de gebruiker verlaten. Geen contractuele garanties. Geen privacybeleid. Technische architectuur.
Zero-knowledge authenticatie. Local-first verwerking. Omkeerbare encryptie waarbij de sleutel toebehoort aan de gebruiker. Offline-capabele werking. EU-jurisdictie, geen uitzonderingen. Dit zijn geen productkenmerken. Het zijn de minimale standaard voor elk hulpmiddel dat beweert persoonlijke gegevens te beschermen.
En ik geloof dat 28 jaar werken binnen de organisaties die de meest gevoelige informatie ter wereld verwerken — 28 jaar kijken naar de kloof tussen regulatoire intentie en technische realiteit — me zowel het begrip als de verantwoordelijkheid heeft gegeven om te initiëren wat het ecosysteem nog mist. Om de visie te definiëren, het juiste team samen te stellen en ervoor te zorgen dat het wordt gebouwd volgens de standaard die het probleem vereist.
Het recht om persoonlijke informatie te anonimiseren is geen technische functie. Het is een fundamenteel recht. En een recht dat niet praktisch kan worden uitgeoefend, is helemaal geen recht.
De Problemen die Ik Heb Geobserveerd
Regelgevende Fragmentatie: Te Veel Regels, Geen Gemeenschappelijke Taal
Een middelgrote organisatie die wereldwijd opereert, moet tegelijkertijd navigeren door 48+ nationale en regionale privacywetten — GDPR, UK GDPR, CCPA, LGPD, PDPA, PIPL, DPDPA, APPI, PIPEDA en tientallen meer. 24 nationale DPAs in de EU alleen al geven bindende richtlijnen uit die in principe consistent zijn en in de praktijk divergent. Wat de Duitse BfDI tevredenstelt, voldoet niet automatisch aan de Franse CNIL, de Ierse DPC of de Nederlandse AP. Sector-specifieke layering — HIPAA, PCI-DSS, NIS2, de AI-wet — voegt vereisten toe die zelden met elkaar zijn geharmoniseerd.
Het resultaat is geen compliance-framework. Het is een bewegend doelwit met 48 verschillende doelwitten.
Het Papiermonster: Overeenkomsten die Niemand Leest, Controles die Niemand Verifieert
Organisaties onderhouden gegevensverwerkingsovereenkomsten met honderden subprocessors, Standaard Contractuele Clausules die meer dan 30 pagina's per overdrachtsrelatie beslaan, Records of Processing Activities, DPIA's, TIA's, LIA's — elk vereist technische input die de meeste juridische teams niet onafhankelijk kunnen verifiëren. In de praktijk: organisaties ondertekenen wat ze moeten ondertekenen, dienen in wat ze moeten indienen, en hopen dat de technische realiteit overeenkomt met de contractuele beschrijving. Het papiermonster genereert de schijn van compliance. Het genereert zelden de substantie ervan.
Technische Onvoldoende: De Tools Sluiten Niet Aan bij de Verplichting
Generatieve AI-gebaseerde PII-detectie is niet-deterministisch. Hetzelfde document dat twee keer wordt verwerkt, levert verschillende resultaten op. Fundamenteel incompatibel met compliance — waar je moet aantonen, reproduceerbaar en verifieerbaar, dat specifieke gegevens correct zijn gedetecteerd en behandeld.
Microsoft Presidio, spaCy, Stanza — engineeringplatforms, geen compliance-tools. Implementatie in productie vereist het schrijven van aangepaste herkenners voor elk entiteitstype en elke taal, het bouwen van pre/post-verwerkingspipelines, integreren met documentformaten, alles onderhouden terwijl de regelgeving evolueert. Typisch 30–80 uur specialistische engineeringtijd voordat een enkel document is verwerkt. De meeste organisaties hebben die expertise niet in huis.
Een personnummer in een Zweeds arbeidscontract, een Steuer-ID in een Duits belastingformulier, een PESEL in een Pools verzekeringsdocument, een Codice Fiscale in een Italiaanse factuur — elk vereist niet alleen taalherkenning maar ook documenttype-bewuste entiteitsherkenning. Taalmodellen die voornamelijk op het Engels zijn getraind, produceren een PII-misspercentage van 69% in niet-Engelse tekst. De wet maakt geen onderscheid op basis van taal.
Microsoft Purview, AWS Macie, Google Cloud DLP — duur, vereisen cloudconnectiviteit, sluiten organisaties in. Meer kritiek: allemaal zijn ze in de VS gevestigd. De CLOUD Act van 2018 verplicht hen om gegevens overal ter wereld bekend te maken op een geldig verzoek van de Amerikaanse overheid. FISA Sectie 702 stelt in staat om inlichtingen te verzamelen zonder individuele bevelen. Schrems II heeft het EU-VS Privacy Shield om precies deze reden ongeldig verklaard. Een contract van zes cijfers per jaar met een Amerikaanse cloudprovider levert geen GDPR-conforme gegevensverwerking op.
Het Ongecontroleerde AI Probleem: De Markt Heeft Geen Antwoord
77% van de werknemers deelt gevoelige werkinformatie met AI-tools ten minste wekelijks. 34,8% van alle AI-toolinvoeren bevat informatie die onder ten minste één privacykader als gevoelig kwalificeert. Werknemers gebruiken ChatGPT, Copilot, Claude, Gemini om contracten op te stellen, notities samen te vatten, spreadsheets te analyseren — constant, automatisch, zonder zich bewust te zijn van wat ze in een prompt plakken.
Traditionele DLP-systemen kunnen de semantische inhoud van een natuurlijke-taalprompt niet begrijpen. Ze kunnen een ontwikkelaar die een AI vraagt om een codepatroon uit te leggen, niet onderscheiden van een ontwikkelaar die een productie-database van 50.000 records in hetzelfde venster plakt. De AI-modellen verwerken alles. Ze bieden geen bescherming, geen waarschuwingen, geen audittrail waarop een DPO kan vertrouwen.
Wat ontbreekt, is de technische laag die het beleid in de praktijk afdwingbaar maakt. Die laag bestaat niet op de markt tegen elke prijs die een middelgrote organisatie zich kan veroorloven, in enige vorm die werkt met de AI-tools die werknemers daadwerkelijk gebruiken. Dit is een van de hiaten die dit ecosysteem is gebouwd om te dichten.
De Toegankelijkheidskloof: Compliance als een Privilege van Schaal
Een solo-praktijk, een gemeenschaporganisatie, een kleine openbare autoriteit, een onderzoeksinstelling — elk onderworpen aan dezelfde GDPR, hetzelfde recht op wissen, dezelfde meldingsplicht bij inbreuken als een wereldbank — maar zonder het juridische team, de engineeringbronnen of het budget voor enterprise-software om ze goed te implementeren. Het compliance-ecosysteem heeft grote organisaties adequaat bediend, zij het duur. Het heeft iedereen die geen praktische middelen heeft om aan de verplichting te voldoen, bediend.
De Ecosysteemreactie — Eén Platform, Meerdere Uitdrukkingen
Het overkoepelende platform en het primaire toegangspunt. Hybride dual-layer PII-detectie (260+ entiteiten, 48 talen, 121 compliance-presets) over alle implementatiemodellen — SaaS, beheerde private cloud en zelfbeheerd. Alle afgeleide producten delen dezelfde detectiemotor en hetzelfde oprichtersprincipe: kracht in handen van de gebruiker.
Enterprise air-gapped editie. 390+ entiteiten, 317 aangepaste regex-patronen, 100% offline verwerking, beeld OCR in 37 talen. Geen cloudafhankelijkheid — de gegevens verlaten nooit het apparaat.
Cloud-eerste PII-platform met de breedste toegang. Chrome-extensie voor realtime AI-interceptie, MCP-server, Office-add-in, omkeerbare encryptie. Gratis tot €29/maand — compliance voor elk budget.
Desktop-eerste, volledig lokaal. Presidio sidecar op het apparaat, 7 documentformaten + OCR, batchverwerking, versleutelde kluis. Eenmalige eeuwigdurende licentie — geen abonnementen, geen cloud, volledig offline na activatie.
Instant openbare demo-platform. Geen account vereist — plak tekst, anonimiseer onmiddellijk, zie de motor in actie. De snelste manier om te ervaren wat het ecosysteem doet.
Overkoepelend Platform — SaaS · Beheerd Privé · Zelf-Beheerd · 3 implementatiemodellen
- //Organisaties rapporteren dat 67% van de ontwikkelaars per ongeluk geheimen in code heeft blootgesteld — deterministische regex vangt wat NLP mist en vice versa
- //Algemene AI-detectie bereikt een misspercentage van 69% in niet-Engelse tekst — dual-layer met spaCy + XLM-RoBERTa sluit de kloof over alle 48 talen
- //Inconsistente redactie tussen teams is de #1 geciteerde ICO en DPA auditbevinding — presets handhaven identiek detectiegedrag over elke gebruiker, elke sessie
- //95% van de datalekken in 2024 zijn te wijten aan menselijke fouten — gedeelde presets elimineren de per-persoon configuratiebeslissingen die variatie creëren
- //Multi-vendor PII-stacks creëren audittrail-gebreken — 60%+ van de organisaties die 3+ PII-tools gebruiken, rapporteren reconciliatiefouten tussen tools
- //Formatfragmentatie: organisaties verwerken PDF, DOCX, XLSX, CSV, JSON gelijktijdig — elk formaat vereiste voorheen een aparte aanpak, een apart hulpmiddel, een apart auditrecord
- //Enterprise PII-tools kosten $50.000–$500.000/jaar — organisaties met kostenbeperkingen hebben historisch gezien helemaal geen optie gehad
- //CLOUD Act + FISA Sectie 702 betekent dat in de VS gehoste "GDPR-conforme" verwerking een contractuele fictie is — EU-only hosting verwijdert deze blootstelling volledig
Enterprise Air-Gapped — 390+ entiteiten · 317 aangepaste regex · 100% offline · Beeld OCR
- //Sector-specifieke PII — nucleaire faciliteitscodes, militaire servicenummers, interne ID's — niet gedekt door enig commercieel hulpmiddel; aangepaste herkenners vereisen weken van specialistische engineering in rauwe Presidio
- //Onvolledigheid van dekking is het detectieplafond: geen algemeen hulpmiddel dekt alle PII-typen, alle talen, alle formaten — 317 samengestelde patronen sluiten de hiaten die out-of-the-box frameworks missen
- //De vendor-paradox: om PII te beschermen, moet je het delen met een vendor. Cloudverwerking vereist vertrouwen in de processor — een architectonische contradictie voor organisaties die de meest gevoelige gegevens verwerken
- //Air-gapped omgevingen (defensie, inlichtingen, kritieke infrastructuur, onderzoekslaboratoria) kunnen geen cloudafhankelijke tools gebruiken tegen welke prijs dan ook — offline-eerst verwijdert de architectonische barrière volledig
- //Microsoft Purview kan expliciet geen JPEG/PNG scannen — tekst PII in screenshots is volledig onzichtbaar voor de enterprise DLP-stack bij ontwerp
- //SparkCat malware (iOS/Android, Dec 2025) gebruikte OCR om crypto-wallet herstelzinnen uit screenshots te stelen — op tekst gebaseerde PII is een actief doelwit, geen theoretisch risico
- //300% toename in cloud-gebaseerde datalekken tussen 2022 en 2024 — zero-knowledge betekent dat een inbreuk op onze servers niets blootstelt, omdat er niets is opgeslagen
- //ISO 27001:2022 gecertificeerd met regelmatige full-stack pentesting — de beveiligingshouding die gereguleerde inkoop vereist is gedocumenteerd, geverifieerd en onafhankelijk geauditeerd
Cloud PII Platform — Gratis tot €29/maand · Chrome-extensie · MCP-server · Office-add-in
- //8,5% van alle LLM-prompts bevatten PII — realtime interceptie vóór indiening is de enige preventie die werkt; post-hoc detectie mist het enige venster dat ertoe doet
- //Traditionele DLP gaat af nadat de gegevens de organisatie hebben verlaten — de Chrome-extensie onderschept op het punt van invoer, voordat enig model gevoelige inhoud ontvangt of verwerkt
- //Generatieve AI-detectie is niet-deterministisch — hetzelfde document levert verschillende resultaten op bij verschillende runs; geen probabilistisch systeem kan de basis vormen voor een regulatoire verdediging
- //Presidio alleen mist contextafhankelijke entiteiten; XLM-RoBERTa alleen genereert valse positieven in formele juridische taal — een derde stance-classificatielaag elimineert de valse positieven die compliance-teams wantrouwig maken tegenover geautomatiseerde tools
- //Juridische ontdekking, toegang tot medische dossiers, regulatoire audit — geanonimiseerde gegevens moeten soms door de bevoegde partij en alleen door hen worden gede-anonimiseerd; onomkeerbare methoden maken dit onmogelijk
- //De sessiesleutel van de gebruiker verlaat nooit hun apparaat — niet onze servers, niet enige cloud, niet enige subprocessor. Het recht om te de-anonimiseren behoort tot de gebruiker, niet tot ons.
- //Een solo-praktijk staat voor dezelfde GDPR-recht op wissen verplichting als een wereldbank — maar zonder een compliance-afdeling of een budget van €500K/jaar voor enterprise-software
- //764 EU-organisaties worden gelijktijdig onderzocht op falen van het recht op wissen — niet omdat ze de bedoeling hadden te schenden; omdat de middelen om te voldoen buiten hun bereik waren geprijsd
Desktop-Eerste · 100% Lokale Verwerking · 7 Documentformaten + OCR · Eenmalige Licentie
- //300% toename in cloud-gebaseerde datalekken tussen 2022 en 2024 — gegevens die nooit de cloud ingaan, kunnen niet worden blootgesteld in een cloud-inbreuk
- //CLOUD Act + FISA maken de juridische onzekerheid van in de VS gehoste verwerking voor EU-organisaties — lokale verwerking elimineert het hele probleem van grensoverschrijdende overdracht door ervoor te zorgen dat er geen overdracht plaatsvindt
- //Formatfragmentatie dwingt organisaties om meerdere tools te onderhouden — elke tool creëert een apart detectiebeleid, een apart auditrecord, een aparte foutmodus
- //Logbestanden zijn het verwaarloosde PII-oppervlak — ontwikkelaars richten zich op databases, maar logs bevatten API-sleutels, gebruikers-ID's, IP-adressen; CSV en JSON worden naast gestructureerde documenten van nature ondersteund
- //Air-gapped productieomgevingen — productievloeren, beveiligde overheidsfaciliteiten, onderzoekslaboratoria — kunnen geen licentiecontrole tolereren die netwerktoegang vereist; eenmalige activatie en vervolgens volledig offline werking is de enige haalbare architectuur
- //Eeuwigdurende licenties zonder terugkerende SaaS-afhankelijkheid: de gebruiker bezit hun installatie; een annulering van een vendor-abonnement kan een tool op een kritiek verwerkingsmoment niet uitschakelen
- //dbt-pijplijnherbouw vernietigt maskeringsbeleid op CSV/JSON-gegevens — EDPB 2024 verduidelijkt dat dit in strijd is met GDPR Art. 5(1)(a); kluisopslag met versleutelde geschiedenis betekent dat elk verwerkt bestand een controleerbaar, herstelbaar record heeft
- //Organisaties die duizenden legacy-documenten verwerken voor GDPR-recht op wissen compliance hebben batchcapaciteit nodig — niet een limiet van 5 bestanden per dag die de taak operationeel onmogelijk maakt
De Schaal van het Probleem
Dit zijn geen uitbijters. Het zijn systemische uitkomsten van een compliance-omgeving die zijn eigen infrastructuur heeft ingehaald.