IZJAVA USTANOVITELJA
Zakaj sem začel ta ekosistem — profesionalno prepričanje po 28 letih
Vaši podatki. Vaši ključi. Vaša pravila.
Vsak izdelek v tem ekosistemu je zgrajen na eni sami arhitekturni zavezi: vaši podatki, vaši ključi, vaša kontrola. Vaše geslo nikoli ne zapusti vaše naprave. Vaši dokumenti nikoli niso shranjeni. Vaš šifrirni ključ je samo vaš. Nobena ameriška zakonodaja o oblaku, nobena zahteva dobavitelja, noben posrednik podatkov — ne more doseči tistega, kar nikoli ni bilo deljeno.
Ozadje
Že 28 let delam na presečišču tehnologije, varnosti in skladnosti z zakonodajo. Leta 1998 sem ustanovil curta.solutions. Od takrat sem služil reguliranim organizacijam v 26 državah — v finančnih storitvah, zdravstvu, pravu, vladi, proizvodnji in tehnologiji — kot njihov partner na področju IT arhitekture, varnosti, digitalne transformacije in skladnosti.
Kar sem opazil v 28 letih, ni počasna evolucija. To je kriza v počasnem gibanju — tista, ki je dosegla prelomno točko z prihodom generativne umetne inteligence in globalno širitev prekrivajoče se zakonodaje o zasebnosti.
Moje prepričanje
Verjamem, da ima vsaka oseba, organizacija in institucija pravico deliti informacije selektivno — razkriti regulatorju le tisto, kar ima regulator pravico videti, sodelovati s partnerjem le pri podatkih, ki so bili izrecno pooblaščeni, sodelovati v komercialnem in javnem življenju, ne da bi predali tisto, kar mora ostati zasebno.
Verjamem, da mora biti ta pravica praktično uveljavljena za vse — ne le za organizacije s departmaji za skladnost in proračuni za programsko opremo podjetja. Zasebnost ne more biti privilegij obsega.
Verjamem, da je v svetu, kjer lahko ameriška zakonodaja doseže katere koli podatke, ki jih ima katera koli ameriška podjetje kjerkoli na svetu, in kjer 77% zaposlenih vnese občutljive podatke v AI orodja, ki jih ne nadzorujejo, edina arhitektura, ki lahko zagotovi smiselno jamstvo zasebnosti, tista, kjer podatki nikoli ne zapustijo nadzora uporabnika. Ne pogodbeni garantiji. Ne politike zasebnosti. Tehnična arhitektura.
Zero-knowledge avtentikacija. Obdelava na lokalni ravni. Obrnljiva šifriranja, kjer ključ pripada uporabniku. Zmožnost delovanja brez povezave. EU pristojnost, brez izjem. To niso funkcije izdelka. To je minimalni standard za katero koli orodje, ki trdi, da ščiti osebne podatke.
In verjamem, da mi 28 let dela znotraj organizacij, ki obravnavajo najbolj občutljive informacije na svetu — 28 let opazovanja vrzeli med regulativnimi nameni in tehnično resničnostjo — daje tako razumevanje kot odgovornost, da začnem tisto, česar ekosistem še vedno nima. Opredeliti vizijo, sestaviti pravo ekipo in zagotoviti, da se zgradi po standardu, ki ga problem zahteva.
Pravica do anonymiziranja osebnih informacij ni tehnična funkcija. To je temeljna pravica. In pravica, ki je ne moremo praktično uveljaviti, ni pravica.
Težave, ki sem jih opazil
Regulativna fragmentacija: Preveč pravil, brez skupnega jezika
Srednje velika organizacija, ki deluje globalno, mora hkrati navigirati skozi 48+ nacionalnih in regionalnih zakonov o zasebnosti — GDPR, UK GDPR, CCPA, LGPD, PDPA, PIPL, DPDPA, APPI, PIPEDA in še mnoge druge. 24 nacionalnih DPA-jev v EU izdaja zavezujoče smernice, ki so načeloma dosledne, v praksi pa divergentne. Kar zadostuje nemškemu BfDI, ne zadostuje nujno francoskemu CNIL, irskemu DPC-ju ali nizozemskemu AP-ju. Specifično plastenje po sektorjih — HIPAA, PCI-DSS, NIS2, zakon o AI — dodaja zahteve, ki redko usklajujejo med seboj.
Rezultat ni okvir skladnosti. To je gibljivi cilj z 48 različnimi tarčami.
Papirnati pošast: Sporazumi, ki jih nihče ne bere, nadzor, ki ga nihče ne preverja
Organizacije vzdržujejo sporazume o obdelavi podatkov s stotinami podizvajalcev, standardne pogodbene klavzule, ki segajo do več kot 30 strani na razmerje prenosa, evidence o dejavnostih obdelave, DPIA, TIA, LIA — vsak zahteva tehnične vnose, ki jih večina pravnih ekip ne more neodvisno preveriti. V praksi: organizacije podpišejo, kar morajo podpisati, vložijo, kar morajo vložiti, in upajo, da se tehnična resničnost ujema s pogodbenim opisom. Papirnata pošast ustvarja videz skladnosti. Redko ustvarja njeno vsebino.
Tehnična neustreznost: Orodja ne ustrezajo obveznosti
Generativna AI na osnovi PII je nedoločljiva. Enak dokument, obdelan dvakrat, daje različne rezultate. Temeljno nezdružljivo s skladnostjo — kjer morate dokazati, reproducibilno in preverljivo, da so bili specifični podatki odkriti in obravnavani pravilno.
Microsoft Presidio, spaCy, Stanza — inženirske platforme, ne orodja za skladnost. Uvajanje v produkcijo zahteva pisanje prilagojenih prepoznavalnikov za vsak tip entitete in jezik, gradnjo pred/post-obdelovalnih cevi, integracijo z dokumentnimi formati, vzdrževanje vsega, ko se predpisi razvijajo. Običajno 30–80 ur specializiranega inženirskega dela, preden je obdelan en sam dokument. Večina organizacij nima te strokovnosti v hiši.
Osebna številka v švedskem delovnem pogodbi, Steuer-ID v nemškem davčnem obrazcu, PESEL v polskem zavarovalnem dokumentu, Codice Fiscale v italijanskem računu — vsak zahteva ne le prepoznavanje jezika, temveč tudi prepoznavanje entitet, ki upošteva vrsto dokumenta. Jezikovni modeli, usposobljeni predvsem v angleščini, proizvajajo 69% PII zamudno stopnjo v neangleškem besedilu. Zakon ne dela razlik po jeziku.
Microsoft Purview, AWS Macie, Google Cloud DLP — dragi, zahtevajo povezljivost v oblaku, zaklepajo organizacije. Še bolj kritično: vsi so s sedežem v ZDA. Zakon CLOUD iz leta 2018 jih zavezuje, da razkrijejo podatke kjerkoli na svetu na veljavno zahtevo ameriške vlade. FISA oddelek 702 omogoča zbiranje obveščevalnih podatkov brez posameznih nalogov. Schrems II je razveljavila EU-ZDA Shield za točno ta razlog. Letna pogodba s šestmestno številko z ameriškim ponudnikom oblaka ne proizvaja skladne obdelave podatkov GDPR.
Problem nekontrolirane AI: Trg nima odgovora
77% zaposlenih deli občutljive delovne informacije z AI orodji vsaj enkrat na teden. 34,8% vseh vhodov AI orodij vsebuje informacije, ki se kvalificirajo kot občutljive pod vsaj enim okvirom zasebnosti. Zaposleni uporabljajo ChatGPT, Copilot, Claude, Gemini za osnutke pogodb, povzetke zapisov, analizo preglednic — nenehno, samodejno, brez zavedanja, kaj prilepijo v poziv.
Tradicionalni DLP sistemi ne morejo razumeti semantične vsebine poziva v naravnem jeziku. Ne morejo razlikovati med razvijalcem, ki prosi AI, da razloži vzorec kode, in razvijalcem, ki prilepi 50.000 zapisov produkcijske baze podatkov v isto okno. AI modeli obdelujejo vse. Ne ponujajo zaščite, opozoril, nobene revizijske sledi, na katero se lahko DPO zanaša.
Kar manjka, je tehnična plast, ki omogoča, da se politika v praksi izvršuje. Ta plast v trgu ne obstaja pri nobeni ceni, ki si jo lahko privošči srednje velika organizacija, v nobeni obliki, ki deluje v vseh AI orodjih, ki jih zaposleni dejansko uporabljajo. To je ena od vrzeli, ki jo je ta ekosistem zgradil, da bi jo zapolnil.
Vrzeli v dostopnosti: Skladnost kot privilegij obsega
Samostojni izvajalec, skupnostna organizacija, majhna javna oblast, raziskovalna ustanova — vsak je podvržen istemu GDPR, istemu pravu do izbrisa, isti obveznosti obveščanja o kršitvah kot globalna banka — vendar brez pravne ekipe, inženirskih virov ali proračuna za programsko opremo podjetja, da bi jih pravilno izvajali. Ekosistem skladnosti je zadostno služil velikim organizacijam, čeprav drago. Vsem ostalim je služil z mandatom in brez praktičnih sredstev za njegovo izpolnitev.
Odgovor ekosistema — ena platforma, več izrazov
Platforma pod okriljem in glavni dostop. Hibridno dvojno plastno odkrivanje PII (260+ entitet, 48 jezikov, 121 prednastavitev skladnosti) v vseh modelih uvajanja — SaaS, upravljani zasebni oblak in samo-upravljani. Vsi izpeljani izdelki delijo isti motor za odkrivanje in isto osnovno načelo: moč v rokah uporabnika.
Podjetniška različica z zračno vrzeljo. 390+ entitet, 317 prilagojenih regex vzorcev, 100% obdelava brez povezave, OCR slik v 37 jezikih. Brez odvisnosti od oblaka — podatki nikoli ne zapustijo naprave.
Platforma PII v oblaku z najširšim dostopom. Razširitev za Chrome za takojšnje AI prestrezanje, MCP strežnik, Office dodatki, obrnljiva šifriranja. Brezplačno do €29/mesec — skladnost za vsak proračun.
Prva namizna, povsem lokalna. Presidio sidecar na napravi, 7 formatov dokumentov + OCR, obdelava serij, šifriran zaklad. Enkratna trajna licenca — brez naročnin, brez oblaka, povsem brez povezave po aktivaciji.
Takojšnja javna demo platforma. Ni potrebna registracija — prilepite besedilo, takoj anonymizirajte, vidite motor v akciji. Najhitrejši način, da doživite, kaj ekosistem počne.
Platforma pod okriljem — SaaS · Upravljani zasebni · Samo-upravljani · 3 modeli uvajanja
- //Organizacije poročajo, da je 67% razvijalcev nenamerno razkrilo skrivnosti v kodi — deterministični regex ujame tisto, kar NLP zamudi in obratno
- //Splošna AI odkrivanja doseže 69% zamudno stopnjo v neangleškem besedilu — dvojna plast s spaCy + XLM-RoBERTa zapolni vrzel v vseh 48 jezikih
- //Neenotna redakcija med ekipami je #1 navedena ugotovitev ICO in DPA — prednastavitve zagotavljajo identično vedenje odkrivanja med vsakim uporabnikom, vsako sejo
- //95% kršitev podatkov v letu 2024 je povezanih s človeškimi napakami — skupne prednastavitve odpravljajo odločitve o konfiguraciji, ki ustvarjajo varianco
- //Multi-dobaviteljski PII skladi ustvarjajo vrzeli v revizijskih sledi — 60%+ organizacij, ki uporabljajo 3+ PII orodij, poroča o neuspehih usklajevanja med orodji
- //Fragmentacija formatov: organizacije obdelujejo PDF, DOCX, XLSX, CSV, JSON hkrati — vsak format je prej zahteval ločen pristop, ločeno orodje, ločeno revizijsko evidenco
- //Orodja PII za podjetja stanejo 50.000–500.000 USD/leto — organizacije z omejitvami stroškov zgodovinsko niso imele nobene možnosti
- //CLOUD Act + FISA oddelek 702 pomenita, da je obdelava "GDPR-skladna" v ZDA pogodbeno fikcija — gostovanje samo v EU popolnoma odstrani to izpostavljenost
Podjetniška različica z zračno vrzeljo — 390+ entitet · 317 prilagojenih regex · 100% brez povezave · OCR slik
- //Industrijsko specifični PII — kode jedrskih objektov, vojaške številke, lastne notranje ID — niso pokrite z nobenim komercialnim orodjem; prilagojeni prepoznavači zahtevajo tedne specializiranega inženiringa v surovem Presidio
- //Nepopolnost pokritosti je strop odkrivanja: nobeno splošno orodje ne pokriva vseh vrst PII, vseh jezikov, vseh formatov — 317 kuriranih vzorcev zapolnjuje vrzeli, ki jih okvirji iz škatle zamudijo
- //Paradoks dobavitelja: za zaščito PII morate deliti z dobaviteljem. Obdelava v oblaku zahteva zaupanje v obdelovalca — arhitekturna protislovja za organizacije, ki obravnavajo najbolj občutljive podatke
- //Okolja z zračno vrzeljo (obramba, obveščevalne službe, kritična infrastruktura, raziskovalne laboratorije) ne morejo uporabljati orodij, odvisnih od oblaka, po nobeni ceni — brez povezave najprej popolnoma odstrani arhitekturno oviro
- //Microsoft Purview izrecno ne more skenirati JPEG/PNG — besedilo PII v posnetkih zaslona je popolnoma nevidno za podjetniški DLP sklad po zasnovi
- //Malware SparkCat (iOS/Android, december 2025) je uporabil OCR za krajo obnovitvenih fraz kripto denarnic iz posnetkov zaslona — besedilo PII, ki temelji na slikah, je aktivna tarča napada, ne teoretično tveganje
- //300% povečanje v oblakih temelječih kršitvah podatkov med 2022 in 2024 — zero-knowledge pomeni, da kršitev naših strežnikov ne razkrije ničesar, ker nič ni shranjeno
- //ISO 27001:2022 certificirano z rednim celostnim testiranjem penetracije — varnostni položaj, ki ga zahteva regulirano javno naročanje, je dokumentiran, preverjen in neodvisno revidiran
Platforma PII v oblaku — Brezplačno do €29/mesec · Razširitev za Chrome · MCP strežnik · Office dodatki
- //8,5% vseh LLM pozivov vsebuje PII — takojšnje prestrezanje pred oddajo je edina preventiva, ki deluje; post-hoc odkrivanje zamudi edini pomemben čas
- //Tradicionalni DLP deluje po tem, ko so podatki zapustili organizacijo — razširitev za Chrome prestreza ob vnosu, preden kateri koli model prejme ali obdeluje občutljive vsebine
- //Generativno AI odkrivanje je nedoločljivo — enak dokument daje različne rezultate pri različnih izvedbah; noben verjetnostni sistem ne more biti osnova za regulativno obrambo
- //Presidio samo zamudi kontekstualno odvisne entitete; XLM-RoBERTa sama generira lažne pozitivne rezultate v formalnem pravnem jeziku — tretja plast klasifikacije stanja odpravlja lažne pozitivne rezultate, ki povzročajo nezaupanje avtomatiziranim orodjem v ekipah za skladnost
- //Pravna odkritja, zahteve za dostop do medicinskih zapisov, regulativni revizijski — anonymizirani podatki morajo včasih biti de-anonymizirani s strani pooblaščene stranke in samo s strani nje; nepovratne metode to onemogočajo
- //Uporabniški ključ seje nikoli ne zapusti njihove naprave — ne naši strežniki, ne noben oblak, ne noben podizvajalec. Pravica do obrnjenega anonymiziranja pripada uporabniku, ne nam.
- //Samostojni izvajalec se sooča z isto obveznostjo pravice do izbrisa GDPR kot globalna banka — vendar brez oddelka za skladnost ali proračuna za programsko opremo podjetja v višini 500.000 EUR/leto
- //764 EU organizacij je hkrati pod preiskavo zaradi neuspehov pri pravici do izbrisa — ne zato, ker bi želeli kršiti; ker so bila orodja za skladnost cenovno nedostopna
Namizno-prva · 100% lokalna obdelava · 7 formatov dokumentov + OCR · Enkratna licenca
- //300% povečanje v oblakih temelječih kršitvah podatkov med 2022 in 2024 — podatki, ki nikoli ne vstopijo v oblak, ne morejo biti izpostavljeni v kršitvi oblaka
- //CLOUD Act + FISA naredijo obdelavo, ki je gostovana v ZDA, pravno negotovo za organizacije v EU — lokalna obdelava popolnoma odpravi celoten problem čezmejnega prenosa, saj zagotavlja, da ne pride do prenosa
- //Fragmentacija formatov prisili organizacije, da vzdržujejo več orodij — vsako orodje ustvari ločeno politiko odkrivanja, ločeno revizijsko evidenco, ločen način neuspeha
- //Dnevniške datoteke so zanemarjena površina PII — razvijalci se osredotočajo na baze podatkov, vendar dnevniki vsebujejo API ključe, uporabniške ID-je, IP naslove; CSV in JSON sta nativno podprta poleg strukturiranih dokumentov
- //Okolja z zračno vrzeljo — proizvodne površine, varne vladne ustanove, raziskovalni laboratoriji — ne morejo prenašati preverjanja licence, ki zahteva dostop do omrežja; enkratna aktivacija, nato povsem brez povezave je edina izvedljiva arhitektura
- //Trajne licence brez ponavljajoče se odvisnosti od SaaS: uporabnik ima lastništvo nad svojo namestitvijo; preklic naročnine dobavitelja ne more onemogočiti orodja v kritičnem trenutku obdelave
- //dbt cevovodi obnavljajo maskirne politike na podatkih CSV/JSON — EDPB 2024 pojasnjuje, da to krši GDPR Čl. 5(1)(a); shranjevanje v zakladu z šifrirano zgodovino pomeni, da ima vsaka obdelana datoteka revizijsko sled, ki jo je mogoče obnoviti
- //Organizacije, ki obdelujejo tisoče zapuščinskih dokumentov za skladnost z GDPR pravico do izbrisa, potrebujejo zmožnost obdelave serij — ne omejitev 5 datotek na dan, ki nalogo naredi operativno nemogočo
Obseg problema
To niso izjemne napake. To so sistemski izidi okolja skladnosti, ki je prehitelo svojo infrastrukturo.