OŚWIADCZENIE ZAŁOŻYCIELA
Dlaczego Zainicjowałem Ten Ekosystem — Profesjonalne Przekonanie Po 28 Latach
Twoje dane. Twoje klucze. Twoje zasady.
Każdy produkt w tym ekosystemie oparty jest na jednym zobowiązaniu architektonicznym: twoje dane, twoje klucze, twoja kontrola. Twoje hasło nigdy nie opuszcza twojego urządzenia. Twoje dokumenty nigdy nie są przechowywane. Twój klucz szyfrowania należy tylko do ciebie. Żadne amerykańskie prawo chmurowe, żaden wezwanie dostawcy, żaden broker danych — nie może dotrzeć do tego, co nigdy nie zostało udostępnione.
Tło
Przez 28 lat pracowałem na styku technologii, bezpieczeństwa i zgodności organizacyjnej. Założyłem curta.solutions w 1998 roku. Od tego czasu współpracowałem z regulowanymi organizacjami w 26 krajach — w sektorze usług finansowych, ochrony zdrowia, prawa, administracji publicznej, produkcji i technologii — jako ich partner w architekturze IT, bezpieczeństwie, transformacji cyfrowej i zgodności.
To, co zaobserwowałem przez 28 lat, nie jest powolną ewolucją. To kryzys w zwolnionym tempie — kryzys, który osiągnął punkt krytyczny wraz z pojawieniem się generatywnej AI i globalnym rozprzestrzenieniem się nakładających się regulacji dotyczących prywatności.
Moje przekonanie
Wierzę, że każda osoba, organizacja i instytucja ma prawo do selektywnego dzielenia się informacjami — ujawniać regulatorowi tylko to, co regulator ma prawo zobaczyć, współpracować z partnerem tylko w zakresie danych, które zostały wyraźnie autoryzowane, uczestniczyć w życiu komercyjnym i publicznym bez rezygnacji z tego, co musi pozostać prywatne.
Wierzę, że to prawo musi być praktycznie wykonalne dla każdego — nie tylko dla organizacji z działami zgodności i budżetami na oprogramowanie dla przedsiębiorstw. Prywatność nie może być przywilejem skali.
Wierzę, że w świecie, w którym prawo amerykańskie może sięgnąć jakichkolwiek danych przechowywanych przez jakąkolwiek amerykańską firmę gdziekolwiek na ziemi, a 77% pracowników wprowadza wrażliwe dane do narzędzi AI, którymi nie kontrolują, jedyną architekturą, która może zapewnić znaczącą gwarancję prywatności, jest taka, w której dane nigdy nie opuszczają kontroli użytkownika w pierwszej kolejności. Nie gwarancje umowne. Nie polityki prywatności. Architektura techniczna.
Zero-knowledge authentication. Przetwarzanie lokalne. Szyfrowanie odwracalne, gdzie klucz należy do użytkownika. Możliwość pracy offline. Jurysdykcja UE, bez wyjątków. To nie są cechy produktu. To minimalny standard dla każdego narzędzia, które twierdzi, że chroni dane osobowe.
I wierzę, że 28 lat pracy wewnątrz organizacji, które zajmują się najbardziej wrażliwymi informacjami na świecie — 28 lat obserwowania, jak luka między intencją regulacyjną a rzeczywistością techniczną się powiększa — dało mi zarówno zrozumienie, jak i odpowiedzialność, aby zainicjować to, czego ekosystem wciąż brakuje. Zdefiniować wizję, zebrać odpowiedni zespół i zapewnić, że zostanie zbudowane zgodnie z standardem, którego wymaga problem.
Prawo do anonimizacji informacji osobowych nie jest cechą techniczną. To fundamentalne prawo. A prawo, które nie może być praktycznie wykonywane, nie jest prawem wcale.
Problemy, które zaobserwowałem
Fragmentacja regulacyjna: Zbyt wiele zasad, brak wspólnego języka
Średniej wielkości organizacja działająca globalnie musi jednocześnie poruszać się w 48+ krajowych i regionalnych przepisach dotyczących prywatności — GDPR, UK GDPR, CCPA, LGPD, PDPA, PIPL, DPDPA, APPI, PIPEDA i dziesiątki innych. 24 krajowe organy ochrony danych w samej UE wydają wiążące wskazówki, które są spójne w zasadzie i różne w praktyce. To, co zadowala niemiecki BfDI, nie automatycznie zadowala francuską CNIL, irlandzki DPC czy holenderski AP. Warstwowe regulacje sektorowe — HIPAA, PCI-DSS, NIS2, Ustawa o AI — dodają wymagania rzadko harmonizowane ze sobą.
Wynik nie jest ramą zgodności. To ruchomy cel z 48 różnymi tarczami.
Potwór papierowy: Umowy, których nikt nie czyta, kontrole, których nikt nie weryfikuje
Organizacje utrzymują umowy o przetwarzaniu danych z setkami podwykonawców, standardowe klauzule umowne liczące ponad 30 stron na relację transferową, rejestry czynności przetwarzania, DPIA, TIA, LIA — każda z nich wymaga technicznego wkładu, którego większość zespołów prawnych nie może samodzielnie zweryfikować. W praktyce: organizacje podpisują to, co muszą podpisać, składają to, co muszą złożyć, i mają nadzieję, że rzeczywistość techniczna odpowiada opisowi umownemu. Potwór papierowy generuje pozory zgodności. Rzadko generuje jej substancję.
Niedostateczność techniczna: Narzędzia nie odpowiadają obowiązkowi
Wykrywanie PII oparte na generatywnej AI jest niedeterministyczne. Ten sam dokument przetworzony dwukrotnie daje różne wyniki. Fundamentally incompatible with compliance — where you must demonstrate, reproducibly and verifiably, that specific data was detected and handled correctly.
Microsoft Presidio, spaCy, Stanza — platformy inżynieryjne, a nie narzędzia zgodności. Wdrożenie do produkcji wymaga pisania niestandardowych rozpoznawaczy dla każdego typu encji i języka, budowania pipeline'ów przetwarzania wstępnego/potem, integracji z formatami dokumentów, utrzymania wszystkiego w miarę ewolucji regulacji. Zazwyczaj 30–80 godzin czasu specjalistycznego inżyniera przed przetworzeniem pojedynczego dokumentu. Większość organizacji nie ma takiej wiedzy wewnętrznie.
Numer osobisty w szwedzkiej umowie o pracę, Steuer-ID w niemieckim formularzu podatkowym, PESEL w polskim dokumencie ubezpieczeniowym, Codice Fiscale w włoskiej fakturze — każdy wymaga nie tylko wykrywania języka, ale także rozpoznawania encji świadomego typu dokumentu. Modele językowe trenowane głównie na angielskim generują 69% wskaźnika pominięcia PII w tekstach nieanglojęzycznych. Prawo nie rozróżnia języków.
Microsoft Purview, AWS Macie, Google Cloud DLP — drogie, wymagają łączności z chmurą, uzależniają organizacje. Co ważniejsze: wszystkie mają siedzibę w USA. Ustawa CLOUD z 2018 roku zobowiązuje je do ujawnienia danych wszędzie na świecie na podstawie ważnego żądania rządu USA. Sekcja 702 FISA umożliwia zbieranie informacji wywiadowczych bez indywidualnych nakazów. Wyrok Schrems II unieważnił tarczę prywatności UE-USA z dokładnie tego powodu. Umowa roczna na sześciocyfrową kwotę z amerykańskim dostawcą chmurowym nie zapewnia przetwarzania danych zgodnego z GDPR.
Problem niekontrolowanej AI: Rynek nie ma odpowiedzi
77% pracowników dzieli się wrażliwymi informacjami roboczymi z narzędziami AI przynajmniej raz w tygodniu. 34,8% wszystkich danych wejściowych narzędzi AI zawiera informacje kwalifikujące się jako wrażliwe w ramach przynajmniej jednego systemu ochrony prywatności. Pracownicy używają ChatGPT, Copilot, Claude, Gemini do sporządzania umów, podsumowywania notatek, analizy arkuszy kalkulacyjnych — stale, automatycznie, bez świadomości, co wklejają do polecenia.
Tradycyjne systemy DLP nie mogą zrozumieć semantycznej treści polecenia w naturalnym języku. Nie mogą odróżnić programisty proszącego AI o wyjaśnienie wzoru kodu od programisty wklejającego bazę danych produkcyjnych z 50 000 rekordów do tego samego okna. Modele AI przetwarzają wszystko. Nie oferują żadnej ochrony, żadnych ostrzeżeń, żadnego śladu audytowego, na którym DPO może polegać.
Brakuje warstwy technicznej, która sprawia, że polityka jest egzekwowalna w praktyce. Ta warstwa nie istnieje na rynku w żadnym punkcie cenowym, na który może sobie pozwolić średniej wielkości organizacja, w żadnej formie, która działa w narzędziach AI, z których pracownicy faktycznie korzystają. To jedna z luk, które ten ekosystem został stworzony, aby wypełnić.
Luka w dostępności: Zgodność jako przywilej skali
Samodzielny praktyk, organizacja społeczna, mały organ publiczny, instytucja badawcza — każdy podlega tym samym przepisom GDPR, temu samemu prawu do usunięcia, temu samemu obowiązkowi powiadamiania o naruszeniu jak globalny bank — ale bez zespołu prawnego, zasobów inżynieryjnych czy budżetu na oprogramowanie dla przedsiębiorstw, aby wdrożyć je prawidłowo. Ekosystem zgodności zaspokoił potrzeby dużych organizacji w sposób adekwatny, choć kosztowny. Zaspokoił potrzeby wszystkich innych z mandatem i brakiem praktycznych środków na jego spełnienie.
Odpowiedź ekosystemu — jedna platforma, wiele wyrażeń
Platforma nadrzędna i główny punkt dostępu. Hybrydowe, podwójne wykrywanie PII (260+ encji, 48 języków, 121 presetów zgodności) we wszystkich modelach wdrożeniowych — SaaS, zarządzana chmura prywatna i samodzielne zarządzanie. Wszystkie produkty pochodne dzielą ten sam silnik wykrywania i tę samą zasadę założycielską: siła w rękach użytkownika.
Edycja dla przedsiębiorstw z air-gap. 390+ encji, 317 niestandardowych wzorców regex, 100% przetwarzania offline, OCR obrazów w 37 językach. Brak zależności od chmury — dane nigdy nie opuszczają urządzenia.
Platforma PII w chmurze z najszerszym dostępem. Rozszerzenie Chrome do przechwytywania AI w czasie rzeczywistym, serwer MCP, dodatek do Office, szyfrowanie odwracalne. Darmowe do 29 €/miesiąc — zgodność dla każdego budżetu.
Pierwszeństwo dla komputerów stacjonarnych, w pełni lokalne. Presidio sidecar na urządzeniu, 7 formatów dokumentów + OCR, przetwarzanie wsadowe, zaszyfrowany skarbiec. Licencja wieczysta — bez subskrypcji, bez chmury, w pełni offline po aktywacji.
Natychmiastowa platforma demonstracyjna. Nie jest wymagane konto — wklej tekst, natychmiast zanonimizuj, zobacz silnik w akcji. Najszybszy sposób, aby doświadczyć, co robi ekosystem.
Platforma nadrzędna — SaaS · Zarządzana prywatna · Samodzielnie zarządzana · 3 modele wdrożeniowe
- //Organizacje zgłaszają, że 67% programistów przypadkowo ujawnia sekrety w kodzie — deterministyczny regex łapie to, co pomija NLP i odwrotnie
- //Wykrywanie AI ogólnego przeznaczenia osiąga 69% wskaźnika pominięcia w tekstach nieanglojęzycznych — podwójna warstwa z spaCy + XLM-RoBERTa zamyka lukę we wszystkich 48 językach
- //Niespójna redakcja w zespołach jest najczęściej cytowanym stwierdzeniem ICO i DPA — presety wymuszają identyczne zachowanie wykrywania w każdym użytkowniku, każdej sesji
- //95% naruszeń danych w 2024 roku związanych z błędami ludzkimi — wspólne presety eliminują decyzje konfiguracyjne dla każdej osoby, które tworzą zmienność
- //Wielu dostawców PII tworzy luki w audytach — 60%+ organizacji korzystających z 3+ narzędzi PII zgłasza problemy z uzgadnianiem między narzędziami
- //Fragmentacja formatów: organizacje przetwarzają PDF, DOCX, XLSX, CSV, JSON jednocześnie — każdy format wcześniej wymagał oddzielnego podejścia, oddzielnego narzędzia, oddzielnego rejestru audytu
- //Narzędzia PII dla przedsiębiorstw kosztują 50 000–500 000 USD rocznie — organizacje z ograniczeniami kosztowymi historycznie nie miały żadnej opcji
- //Ustawa CLOUD + sekcja 702 FISA oznaczają, że przetwarzanie "zgodne z GDPR" w USA jest fikcją umowną — hosting tylko w UE całkowicie eliminuje to narażenie
Edycja dla przedsiębiorstw z air-gap — 390+ encji · 317 niestandardowych regex · 100% offline · OCR obrazów
- //Specyficzne dla branży PII — kody obiektów nuklearnych, numery służby wojskowej, wewnętrzne identyfikatory — nieobjęte żadnym komercyjnym narzędziem; niestandardowe rozpoznawacze wymagają tygodni specjalistycznej inżynierii w surowym Presidio
- //Niedostateczność pokrycia to sufit wykrywania: żadne ogólne narzędzie nie obejmuje wszystkich typów PII, wszystkich języków, wszystkich formatów — 317 starannie dobranych wzorców zamyka luki, które umowy gotowe do użycia pomijają
- //Paradoks dostawcy: aby chronić PII, musisz podzielić się nimi z dostawcą. Przetwarzanie w chmurze wymaga zaufania do przetwarzającego — sprzeczność architektoniczna dla organizacji zajmujących się najbardziej wrażliwymi danymi
- //Środowiska z air-gap (obrona, wywiad, infrastruktura krytyczna, laboratoria badawcze) nie mogą korzystać z narzędzi zależnych od chmury w żadnej cenie — podejście offline-first całkowicie usuwa barierę architektoniczną
- //Microsoft Purview wyraźnie nie może skanować JPEG/PNG — tekst PII w zrzutach ekranu jest całkowicie niewidoczny dla stosu DLP przedsiębiorstwa z założenia
- //Złośliwe oprogramowanie SparkCat (iOS/Android, grudzień 2025) używało OCR do kradzieży fraz odzyskiwania portfela kryptowalut z zrzutów ekranu — tekst PII oparty na obrazach jest aktywnym celem ataku, a nie teoretycznym ryzykiem
- //300% wzrost naruszeń danych w chmurze między 2022 a 2024 rokiem — zero-knowledge oznacza, że naruszenie naszych serwerów nie ujawnia niczego, ponieważ nic nie jest przechowywane
- //Certyfikowane ISO 27001:2022 z regularnym pełnym testowaniem penetracyjnym — postawa bezpieczeństwa, której wymaga regulowane zamówienie, jest udokumentowana, zweryfikowana i niezależnie audytowana
Platforma PII w chmurze — Darmowe do 29 €/miesiąc · Rozszerzenie Chrome · Serwer MCP · Dodatek do Office
- //8,5% wszystkich poleceń LLM zawiera PII — przechwytywanie w czasie rzeczywistym przed przesłaniem to jedyna skuteczna metoda zapobiegania; wykrywanie po fakcie pomija jedyną istotną chwilę
- //Tradycyjne DLP działają po tym, jak dane opuściły organizację — Rozszerzenie Chrome przechwytuje w momencie wprowadzania, zanim jakikolwiek model otrzyma lub przetworzy wrażliwą treść
- //Wykrywanie generatywnej AI jest niedeterministyczne — ten sam dokument daje różne wyniki w różnych uruchomieniach; żaden system probabilistyczny nie może stanowić podstawy obrony regulacyjnej
- //Presidio samo w sobie pomija encje zależne od kontekstu; XLM-RoBERTa samo generuje fałszywe pozytywy w formalnym języku prawnym — trzecia warstwa klasyfikacji stanowisk eliminuje fałszywe pozytywy, które sprawiają, że zespoły zgodności nie ufają automatycznym narzędziom
- //Odkrywanie prawne, wnioski o dostęp do akt medycznych, audyt regulacyjny — zanonimizowane dane muszą czasami być deanonimizowane przez upoważnioną stronę i tylko przez nią; metody nieodwracalne uniemożliwiają to
- //Klucz sesji użytkownika nigdy nie opuszcza jego urządzenia — ani nasze serwery, ani żadna chmura, ani żaden podwykonawca. Prawo do odwrócenia anonimizacji należy do użytkownika, a nie do nas.
- //Samodzielny praktyk ma ten sam obowiązek prawa do usunięcia GDPR, co globalny bank — ale bez działu zgodności czy budżetu na oprogramowanie dla przedsiębiorstw w wysokości 500 000 € rocznie
- //764 organizacji w UE jest jednocześnie przedmiotem dochodzenia w sprawie naruszeń prawa do usunięcia — nie dlatego, że miały zamiar naruszyć; ponieważ narzędzia do zgodności były wycenione poza ich zasięgiem
Pierwszeństwo dla komputerów stacjonarnych · 100% lokalne przetwarzanie · 7 formatów dokumentów + OCR · Licencja jednorazowa
- //300% wzrost naruszeń danych w chmurze między 2022 a 2024 rokiem — dane, które nigdy nie wchodzą do chmury, nie mogą być narażone na naruszenie w chmurze
- //Ustawa CLOUD + FISA sprawiają, że przetwarzanie w USA jest prawnie niepewne dla organizacji z UE — lokalne przetwarzanie całkowicie eliminuje problem transferu transgranicznego, zapewniając, że żaden transfer nie zachodzi
- //Fragmentacja formatów zmusza organizacje do utrzymywania wielu narzędzi — każde narzędzie tworzy osobną politykę wykrywania, osobisty rejestr audytu, osobny tryb awarii
- //Pliki dziennika to zaniedbywana powierzchnia PII — programiści koncentrują się na bazach danych, ale logi zawierają klucze API, identyfikatory użytkowników, adresy IP; CSV i JSON są natywnie obsługiwane obok dokumentów strukturalnych
- //Środowiska produkcyjne z air-gap — linie produkcyjne, zabezpieczone obiekty rządowe, laboratoria badawcze — nie mogą tolerować sprawdzania licencji, które wymaga dostępu do sieci; jednorazowa aktywacja, a następnie pełna operacja offline to jedyna wykonalna architektura
- //Licencje wieczyste bez zależności od SaaS: użytkownik posiada swoją instalację; anulowanie subskrypcji dostawcy nie może wyłączyć narzędzia w krytycznym momencie przetwarzania
- //Rebuildy pipeline dbt niszczą polityki maskowania na danych CSV/JSON — EDPB 2024 wyjaśnia, że narusza to art. 5(1)(a) GDPR; przechowywanie w skarbcu z zaszyfrowaną historią oznacza, że każdy przetworzony plik ma audytowalny, możliwy do odzyskania zapis
- //Organizacje przetwarzające tysiące starych dokumentów w celu zgodności z prawem do usunięcia GDPR potrzebują możliwości przetwarzania wsadowego — a nie limitu 5 plików dziennie, który czyni zadanie operacyjnie niemożliwym
Skala problemu
To nie są wyjątkowe niepowodzenia. To systemowe wyniki środowiska zgodności, które wyprzedziło swoją własną infrastrukturę.