VYHLÁSENIE ZAKLADATEĽA
Prečo som inicioval tento ekosystém — profesionálne presvedčenie po 28 rokoch
Vaše dáta. Vaše kľúče. Vaše pravidlá.
Každý produkt v tomto ekosystéme je postavený na jednom architektonickom záväzku: vaše dáta, vaše kľúče, vaša kontrola. Vaše heslo nikdy neopustí vaše zariadenie. Vaše dokumenty sa nikdy neukladajú. Váš šifrovací kľúč patrí len vám. Žiadny americký zákon o cloude, žiadne predvolanie dodávateľa, žiadny zprostredkovateľ údajov — nemôže dosiahnuť to, čo nikdy nebolo zdieľané.
Pozadie
Po 28 rokov som pracoval na rozhraní technológie, bezpečnosti a organizačnej zhody. V roku 1998 som založil curta.solutions. Odvtedy som slúžil regulovaným organizáciám v 26 krajinách — v oblasti finančných služieb, zdravotnej starostlivosti, práva, vlády, výroby a technológie — ako ich partner v oblasti IT architektúry, bezpečnosti, digitálnej transformácie a zhody.
Čo som pozoroval za 28 rokov, nie je pomalá evolúcia. Je to kríza v spomalení — jedna, ktorá dosiahla kritický bod príchodom generatívnej AI a globálnym šírením prekrývajúcich sa predpisov o ochrane súkromia.
Moje presvedčenie
Verím, že každý človek, organizácia a inštitúcia má právo zdieľať informácie selektívne — zverejniť regulátorovi iba to, na čo má regulátor právo vidieť, spolupracovať s partnerom iba nad údajmi, ktoré boli výslovne autorizované, zúčastniť sa komerčného a verejného života bez toho, aby sa vzdal toho, čo musí zostať súkromné.
Verím, že toto právo musí byť prakticky vykonateľné pre každého — nie len pre organizácie s oddeleniami zhody a rozpočtami na podnikový softvér. Ochrana súkromia nemôže byť privilégium rozsahu.
Verím, že vo svete, kde môže americký zákon dosiahnuť akékoľvek údaje, ktoré drží akákoľvek americká spoločnosť kdekoľvek na svete, a kde 77% zamestnancov vkladá citlivé údaje do AI nástrojov, ktoré nekontrolujú, jediná architektúra, ktorá môže poskytnúť významnú záruku ochrany súkromia, je tá, kde údaje nikdy neopustia kontrolu používateľa. Nie zmluvné záruky. Nie politiky ochrany súkromia. Technická architektúra.
Zero-knowledge autentifikácia. Spracovanie na lokálnej úrovni. Reverzibilná šifrovanie, kde kľúč patrí používateľovi. Prevádzka schopná offline. Jurisdikcia EÚ, žiadne výnimky. Toto nie sú funkcie produktu. Sú to minimálne štandardy pre akýkoľvek nástroj, ktorý tvrdí, že chráni osobné údaje.
A verím, že 28 rokov práce vo vnútri organizácií, ktoré spravujú najcitlivejšie informácie na svete — 28 rokov sledovania medzery medzi regulačným úmyslom a technickou realitou — mi dalo pochopenie a zodpovednosť iniciovať to, čo ekosystému stále chýba. Definovať víziu, zostaviť správny tím a zabezpečiť, aby to bolo postavené na štandard, ktorý problém vyžaduje.
Právo anonymizovať osobné údaje nie je technická funkcia. Je to základné právo. A právo, ktoré nemôže byť prakticky vykonané, nie je vôbec právo.
Problémy, ktoré som pozoroval
Regulačná fragmentácia: Príliš veľa pravidiel, žiadny spoločný jazyk
Stredne veľká organizácia pôsobiaca globálne musí súčasne navigovať 48+ národnými a regionálnymi zákonmi o ochrane súkromia — GDPR, UK GDPR, CCPA, LGPD, PDPA, PIPL, DPDPA, APPI, PIPEDA a desiatky ďalších. 24 národných DPAs v EÚ samo vydáva záväzné pokyny, ktoré sú v princípe konzistentné a v praxi rozdelené. To, čo vyhovuje nemeckému BfDI, automaticky nevyhovuje francúzskemu CNIL, írskemu DPC alebo holandskému AP. Sektorové vrstvenie — HIPAA, PCI-DSS, NIS2, zákon o AI — pridáva požiadavky, ktoré sú zriedka harmonizované navzájom.
Výsledkom nie je rámec zhody. Je to pohyblivý cieľ s 48 rôznymi terčmi.
Papierový monštrum: Dohody, ktoré nikto nečíta, kontroly, ktoré nikto neoveruje
Organizácie udržiavajú dohody o spracovaní údajov s stovkami subdodávateľov, štandardné zmluvné doložky s viac ako 30 stranami na každé vzťahovanie, záznamy o aktivitách spracovania, DPIA, TIA, LIA — každá vyžaduje technický vstup, ktorý väčšina právnych tímov nemôže nezávisle overiť. V praxi: organizácie podpisujú to, čo musia podpísať, podávajú to, čo musia podať, a dúfajú, že technická realita zodpovedá zmluvnému popisu. Papierový monštrum vytvára dojem zhody. Zriedka vytvára jej podstatu.
Technická nedostatočnosť: Nástroje nezodpovedajú povinnosti
Generatívne AI založené na detekcii PII je nedeterministické. Ten istý dokument spracovaný dvakrát produkuje rôzne výsledky. Fundamentálne nekompatibilné s zhody — kde musíte preukázať, reprodukovateľne a overiteľne, že konkrétne údaje boli detekované a spracované správne.
Microsoft Presidio, spaCy, Stanza — inžinierske platformy, nie nástroje zhody. Nasadenie do produkcie si vyžaduje písanie vlastných rozpoznávačov pre každý typ entity a jazyk, budovanie pred/post-spracovateľských potrubí, integráciu s formátmi dokumentov, udržiavanie všetkého, ako sa regulácie vyvíjajú. Typicky 30–80 hodín špecializovanej inžinierskej práce pred spracovaním jediného dokumentu. Väčšina organizácií nemá túto odbornosť interne.
Osobné číslo v švédskom pracovnom zmluve, Steuer-ID v nemeckom daňovom formulári, PESEL v poľskej poistnej zmluve, Codice Fiscale v talianskom faktúre — každý vyžaduje nielen detekciu jazyka, ale aj rozpoznávanie entít vedomé typu dokumentu. Jazykové modely trénované prevažne na angličtine produkujú 69% chybovosť PII v neanglických textoch. Zákon nerobí rozdiely podľa jazyka.
Microsoft Purview, AWS Macie, Google Cloud DLP — drahé, vyžadujú cloudové pripojenie, zamykajú organizácie. Kritickejšie: všetky sú so sídlom v USA. Zákon CLOUD z roku 2018 ich zaväzuje zverejniť údaje kdekoľvek na svete na platnú žiadosť americkej vlády. FISA sekcia 702 umožňuje zbieranie spravodajských údajov bez individuálnych záruk. Schrems II zrušil EU-US Privacy Shield presne z tohto dôvodu. Zmluva s ročným nákladom v šesťciferných číslach s americkým cloudovým poskytovateľom nevytvára spracovanie údajov v súlade s GDPR.
Problém nekontrolovanej AI: Trh nemá odpoveď
77% zamestnancov zdieľa citlivé pracovné informácie s AI nástrojmi aspoň raz týždenne. 34,8% všetkých vstupov do AI nástrojov obsahuje informácie, ktoré kvalifikujú ako citlivé podľa aspoň jedného rámca ochrany súkromia. Zamestnanci používajú ChatGPT, Copilot, Claude, Gemini na písanie zmlúv, zhrnutie poznámok, analýzu tabuliek — neustále, automaticky, bez vedomia toho, čo vkladajú do výzvy.
Tradičné DLP systémy nemôžu pochopiť sémantický obsah prirodzeného jazykového podnetu. Nemôžu rozlíšiť vývojára, ktorý žiada AI, aby vysvetlil vzor kódu, od vývojára, ktorý vkladá databázu s 50 000 záznamami do rovnakého okna. AI modely spracovávajú všetko. Neponúkajú žiadnu ochranu, žiadne varovania, žiadnu auditnú stopu, na ktorú sa DPO môže spoľahnúť.
Čo chýba, je technická vrstva, ktorá robí politiku v praxi vynútiteľnou. Táto vrstva na trhu neexistuje za žiadnu cenovú hladinu, ktorú si stredne veľká organizácia môže dovoliť, v akomkoľvek formáte, ktorý funguje naprieč AI nástrojmi, ktoré zamestnanci skutočne používajú. Toto je jedna z medzier, ktoré bol tento ekosystém postavený na uzavretie.
Medzera v prístupnosti: Zhoda ako privilégium rozsahu
Sólový praktikant, komunitná organizácia, malá verejná autorita, výskumná inštitúcia — každá podlieha rovnakému GDPR, rovnakému právu na vymazanie, rovnakej povinnosti oznámiť porušenie ako globálna banka — ale bez právneho tímu, inžinierskych zdrojov alebo rozpočtu na podnikový softvér na ich správne implementovanie. Ekosystém zhody slúžil veľkým organizáciám adekvátne, ak draho. Slúžil všetkým ostatným s mandátom a bez praktických prostriedkov na jeho splnenie.
Odpoveď ekosystému — Jedna platforma, viacero vyjadrení
Dohodová platforma a primárny prístupový bod. Hybridná dvojvrstvová detekcia PII (260+ entít, 48 jazykov, 121 prednastavení zhody) naprieč všetkými modelmi nasadenia — SaaS, spravovaný súkromný cloud a samoobslužný. Všetky odvodené produkty zdieľajú rovnaký detekčný engine a rovnaký zakladajúci princíp: moc v rukách používateľa.
Podniková verzia s air-gap. 390+ entít, 317 vlastných regex vzorov, 100% offline spracovanie, OCR obrázkov v 37 jazykoch. Žiadna závislosť na cloude — dáta nikdy neopustia zariadenie.
Cloud-first PII platforma s najširším prístupom. Chrome rozšírenie pre real-time AI intercept, MCP server, Office Add-in, reverzibilná šifrovanie. Zadarmo do €29/měsíc — zhoda pre každý rozpočet.
Desktop-first, plne lokálne. Presidio sidecar na zariadení, 7 formátov dokumentov + OCR, dávkové spracovanie, šifrovaná schránka. Jednorazová perpetuálna licencia — žiadne predplatné, žiadny cloud, plne offline po aktivácii.
Okamžitá verejná demo platforma. Nie je potrebný účet — vložte text, anonymizujte okamžite, sledujte engine v akcii. Najrýchlejší spôsob, ako zažiť, čo ekosystém robí.
Dohodová platforma — SaaS · Spravovaný súkromný · Samoobslužný · 3 modely nasadenia
- //Organizácie hlásia, že 67% vývojárov náhodne odhalilo tajomstvá v kóde — deterministický regex zachytáva to, čo NLP prehliada a naopak
- //AI detekcia dosahuje 69% chybovosť v neanglických textoch — dvojvrstva so spaCy + XLM-RoBERTa uzatvára medzeru vo všetkých 48 jazykoch
- //Nekonzistentné redakcie naprieč tímami sú najčastejšie citovaným zistením ICO a DPA auditu — prednastavenia vynucujú identické detekčné správanie naprieč každým používateľom, každou reláciou
- //95% z 2024 porušení údajov súvisí s ľudskou chybou — zdieľané prednastavenia eliminujú rozhodnutia o konfigurácii na osobu, ktoré vytvárajú variabilitu
- //Multi-dodávateľské PII stohy vytvárajú medzery v auditnej stope — 60%+ organizácií používajúcich 3+ PII nástroje hlásia zlyhania v zosúladeniu medzi nástrojmi
- //Fragmentácia formátov: organizácie spracovávajú PDF, DOCX, XLSX, CSV, JSON súčasne — každý formát predtým vyžadoval samostatný prístup, samostatný nástroj, samostatný záznam auditu
- //Podnikové PII nástroje stoja $50,000–$500,000/rok — organizácie s obmedzenými nákladmi historicky nemali žiadnu možnosť
- //Zákon CLOUD + FISA sekcia 702 znamenajú, že spracovanie "GDPR-kompatibilné" hostené v USA je zmluvná fikcia — hosting iba v EÚ úplne odstraňuje túto expozíciu
Podnikový air-gapped — 390+ entít · 317 vlastných regex · 100% offline · OCR obrázkov
- //Odvetvovo špecifické PII — kódy jadrových zariadení, vojenské čísla služieb, proprietárne interné ID — nie sú pokryté žiadnym komerčným nástrojom; vlastné rozpoznávače vyžadujú týždne špecializovanej inžinierskej práce v surovom Presidio
- //Neúplnosť pokrytia je strop detekcie: žiadny všeobecný nástroj nepokryje všetky typy PII, všetky jazyky, všetky formáty — 317 kurátorovaných vzorov uzatvára medzery, ktoré rámce mimo krabice prehliadajú
- //Paradox dodávateľa: na ochranu PII musíte zdieľať s dodávateľom. Cloudové spracovanie vyžaduje dôveru v spracovateľa — architektonická protirečenie pre organizácie, ktoré spracovávajú najcitlivejšie údaje
- //Air-gapped prostredia (obrana, spravodajstvo, kritická infraštruktúra, výskumné laboratóriá) nemôžu používať nástroje závislé na cloude za žiadnu cenu — offline-prvý odstraňuje architektonickú prekážku úplne
- //Microsoft Purview výslovne nemôže skenovať JPEG/PNG — text PII v snímkach obrazovky je úplne neviditeľný pre podnikový DLP stack podľa návrhu
- //Malvér SparkCat (iOS/Android, december 2025) použil OCR na krádež obnovovacích fráz kryptopeňaženiek zo snímok obrazovky — text PII založený na obrázkoch je aktívny cieľ útoku, nie teoretické riziko
- //300% nárast v cloudových porušeniach údajov medzi 2022 a 2024 — zero-knowledge znamená, že porušenie našich serverov neodhalí nič, pretože nič nie je uložené
- //ISO 27001:2022 certifikované s pravidelným full-stack pentestingom — bezpečnostný postoj, ktorý regulované obstarávanie vyžaduje, je zdokumentovaný, overený a nezávisle auditovaný
Cloud PII platforma — Zadarmo do €29/měsíc · Chrome rozšírenie · MCP server · Office Add-in
- //8,5% všetkých LLM podnetov obsahuje PII — real-time intercept pred odoslaním je jediná prevencia, ktorá funguje; post-hoc detekcia prehliada jediný okno, ktoré záleží
- //Tradičné DLP sa aktivujú po tom, čo údaje opustili organizáciu — Chrome rozšírenie interceptuje v bode vstupu, predtým ako akýkoľvek model prijme alebo spracuje citlivý obsah
- //Generatívna AI detekcia je nedeterministická — ten istý dokument produkuje rôzne výsledky pri rôznych behov; žiadny pravdepodobnostný systém nemôže tvoriť základ regulačnej obrany
- //Presidio samo o sebe prehliada kontextovo závislé entity; XLM-RoBERTa samo generuje falošné pozitíva v formálnom právnom jazyku — tretia vrstva klasifikácie stance eliminuje falošné pozitíva, ktoré spôsobujú, že tímy zhody nedôverujú automatizovaným nástrojom
- //Právne objasnenie, požiadavky na prístup k lekárskym záznamom, regulačný audit — anonymizované údaje musia niekedy de-anonymizovať oprávnená strana a iba ona; nezvratné metódy to robia nemožné
- //Kľúč relácie používateľa nikdy neopustí jeho zariadenie — nie naše servery, nie žiadny cloud, nie žiadny subdodávateľ. Právo na reverzibilnú anonymizáciu patrí používateľovi, nie nám.
- //Sólový praktikant čelí rovnakému právu na vymazanie GDPR ako globálna banka — ale bez oddelenia zhody alebo rozpočtu na podnikový softvér vo výške €500K/rok
- //764 organizácií EÚ je súčasne pod vyšetrovaním za porušenia práva na vymazanie — nie preto, že by mali v úmysle porušiť; pretože nástroje na splnenie boli cenovo nedostupné
Desktop-First · 100% Lokálne spracovanie · 7 formátov dokumentov + OCR · Jednorazová licencia
- //300% nárast v cloudových porušeniach údajov medzi 2022 a 2024 — dáta, ktoré nikdy nevstúpia do cloudu, nemôžu byť vystavené v porušení cloudu
- //Zákon CLOUD + FISA robia spracovanie hostené v USA právne neisté pre organizácie EÚ — lokálne spracovanie úplne odstraňuje problém cezhraničného prenosu tým, že zabezpečuje, že k žiadnemu prenosu nedochádza
- //Fragmentácia formátov núti organizácie udržiavať viacero nástrojov — každý nástroj vytvára samostatnú politiku detekcie, samostatný záznam auditu, samostatný režim zlyhania
- //Záznamové súbory sú zanedbávaným povrchom PII — vývojári sa zameriavajú na databázy, ale záznamy obsahujú API kľúče, ID používateľov, IP adresy; CSV a JSON sú nativne podporované spolu so štruktúrovanými dokumentmi
- //Air-gapped produkčné prostredia — výrobné podlahy, vládne zabezpečené zariadenia, výskumné laboratóriá — nemôžu tolerovať kontrolu licencie, ktorá vyžaduje prístup k sieti; jednorazová aktivácia, potom plne offline prevádzka je jediná životaschopná architektúra
- //Perpetuálne licencie bez opakujúcej sa závislosti na SaaS: používateľ vlastní svoju inštaláciu; zrušenie predplatného dodávateľa nemôže deaktivovať nástroj v kritickom momente spracovania
- //Rebuildy dbt pipeline ničí maskovacie politiky na CSV/JSON údajoch — EDPB 2024 objasňuje, že to porušuje GDPR Art. 5(1)(a); úložisko v trezore so šifrovanou históriou znamená, že každý spracovaný súbor má auditovateľný, obnoviteľný záznam
- //Organizácie spracovávajúce tisíce historických dokumentov na splnenie práva na vymazanie GDPR potrebujú dávkovú kapacitu — nie limit 5 súborov denne, ktorý robí úlohu operačne nemožnou
Rozsah problému
Toto nie sú zlyhania výnimočné. Sú to systémové výsledky prostredia zhody, ktoré predbehlo svoju vlastnú infraštruktúru.