GRUNDARENS UTTALANDE
Varför jag initierade detta ekosystem — en professionell övertygelse efter 28 år
Dina data. Dina nycklar. Dina regler.
Varje produkt i detta ekosystem är byggd på ett enda arkitektoniskt åtagande: dina data, dina nycklar, din kontroll. Ditt lösenord lämnar aldrig din enhet. Dina dokument lagras aldrig. Din krypteringsnyckel tillhör dig ensam. Ingen amerikansk molnlagslag, ingen leverantörssubpoena, ingen datamäklare — kan nå det som aldrig delades.
Bakgrund
I 28 år har jag arbetat i skärningspunkten mellan teknik, säkerhet och organisatorisk efterlevnad. Jag grundade curta.solutions 1998. Sedan dess har jag tjänat reglerade organisationer i 26 länder — inom finans, sjukvård, juridik, regering, tillverkning och teknik — som deras partner inom IT-arkitektur, säkerhet, digital transformation och efterlevnad.
Vad jag har observerat under 28 år är inte en långsam evolution. Det är en kris i slow motion — en som nådde en brytpunkt med ankomsten av generativ AI och den globala spridningen av överlappande integritetsregler.
Min Övertygelse
Jag tror att varje person, organisation och institution har rätt att dela information selektivt — att avslöja för en regulator endast vad en regulator har rätt att se, att samarbeta med en partner endast över data som har godkänts uttryckligen, att delta i kommersiellt och offentligt liv utan att ge upp det som måste förbli privat.
Jag tror att denna rätt måste vara praktiskt utövbar av alla — inte bara av organisationer med efterlevnadsavdelningar och budgetar för företagsprogramvara. Integritet kan inte vara ett privilegium av skala.
Jag tror att i en värld där amerikansk lag kan nå alla data som hålls av något amerikanskt företag var som helst på jorden, och där 77% av anställda matar in känsliga data i AI-verktyg de inte kontrollerar, är den enda arkitekturen som kan leverera en meningsfull integritetsgaranti en där data aldrig lämnar användarens kontroll från början. Inte avtalsgarantier. Inte integritetspolicyer. Teknisk arkitektur.
Zero-knowledge autentisering. Lokalt först bearbetning. Reversibel kryptering där nyckeln tillhör användaren. Offline-kapabel drift. EU-jurisdiktion, inga undantag. Dessa är inte produktfunktioner. De är minimistandard för något verktyg som påstår sig skydda personuppgifter.
Och jag tror att 28 års arbete inom de organisationer som hanterar världens mest känsliga information — 28 års observation av gapet mellan regulatorisk avsikt och teknisk verklighet — har gett mig både förståelse och ansvar att initiera det som ekosystemet fortfarande saknar. Att definiera visionen, samla rätt team och säkerställa att det byggs till den standard som problemet kräver.
Rätten att anonymisera personuppgifter är inte en teknisk funktion. Det är en grundläggande rättighet. Och en rättighet som inte kan utövas praktiskt är ingen rättighet alls.
De Problem Jag Har Observerat
Regulatorisk Fragmentering: För Många Regler, Ingen Gemensam Språk
En medelstor organisation som verkar globalt måste samtidigt navigera 48+ nationella och regionala integritetslagar — GDPR, UK GDPR, CCPA, LGPD, PDPA, PIPL, DPDPA, APPI, PIPEDA och dussintals fler. 24 nationella DPAs i EU ens utfärdar bindande vägledning som är konsekvent i princip och divergent i praktiken. Vad som tillfredsställer den tyska BfDI gör inte automatiskt det för den franska CNIL, den irländska DPC eller den nederländska AP. Sektor-specifik lager — HIPAA, PCI-DSS, NIS2, AI-lagen — lägger till krav som sällan harmoniseras med varandra.
Resultatet är inte en efterlevnadsram. Det är ett rörligt mål med 48 olika måltavlor.
Pappersmonstret: Avtal Ingen Läser, Kontroller Ingen Verifierar
Organisationer upprätthåller databehandlingsavtal med hundratals underleverantörer, Standardavtalsklausuler som sträcker sig över 30+ sidor per överföringsrelation, Register över Behandlingsaktiviteter, DPIA, TIA, LIA — var och en kräver teknisk input som de flesta juridiska team inte kan verifiera oberoende. I praktiken: organisationer skriver under vad de måste skriva under, arkiverar vad de måste arkivera, och hoppas att den tekniska verkligheten matchar den avtalsenliga beskrivningen. Pappersmonstret skapar intrycket av efterlevnad. Det genererar sällan substansen av den.
Teknisk Otillräcklighet: Verktygen Matchar Inte Skyldigheten
Generativ AI-baserad PII-detektering är icke-deterministisk. Samma dokument bearbetat två gånger ger olika resultat. Fundamentalt oförenligt med efterlevnad — där du måste visa, reproducerbart och verifierbart, att specifika data har detekterats och hanterats korrekt.
Microsoft Presidio, spaCy, Stanza — ingenjörsplattformar, inte efterlevnadsverktyg. Att implementera i produktion kräver att skriva anpassade igenkännare för varje entitetstyp och språk, bygga pre/post-bearbetningspipelines, integrera med dokumentformat, underhålla allt i takt med att reglerna utvecklas. Vanligtvis 30–80 timmar av specialistingenjörstid innan ett enda dokument bearbetas. De flesta organisationer har inte den expertisen internt.
Ett personnummer i ett svenskt anställningsavtal, en Steuer-ID i ett tyskt skatteformulär, en PESEL i ett polskt försäkringsdokument, en Codice Fiscale i en italiensk faktura — var och en kräver inte bara språkdetektering utan dokumenttyp-medveten entitetsigenkänning. Språkmodeller som främst tränats på engelska ger en 69% PII-missfrekvens i icke-engelska texter. Lagen gör ingen åtskillnad efter språk.
Microsoft Purview, AWS Macie, Google Cloud DLP — dyra, kräver molnanslutning, låser in organisationer. Mer kritiskt: alla har huvudkontor i USA. CLOUD Act från 2018 ålägger dem att avslöja data var som helst i världen på en giltig amerikansk regeringsbegäran. FISA Sektion 702 möjliggör insamling av underrättelser utan individuella tillstånd. Schrems II ogiltigförklarade EU-US Privacy Shield av exakt denna anledning. Ett sexsiffrigt årligt kontrakt med en amerikansk molnleverantör ger ingen GDPR-kompatibel databehandling.
Det Okontrollerade AI-Problemet: Marknaden Har Inget Svar
77% av anställda delar känslig arbetsinformation med AI-verktyg minst en gång i veckan. 34,8% av alla AI-verktygsinmatningar innehåller information som kvalificerar som känslig enligt minst en integritetsram. Anställda använder ChatGPT, Copilot, Claude, Gemini för att utarbeta kontrakt, sammanfatta anteckningar, analysera kalkylblad — ständigt, automatiskt, utan medvetenhet om vad de klistrar in i en prompt.
Traditionella DLP-system kan inte förstå det semantiska innehållet i en naturlig språkprompt. De kan inte särskilja en utvecklare som ber en AI att förklara ett kodmönster från en utvecklare som klistrar in en produktionsdatabas med 50 000 poster i samma fönster. AI-modellerna bearbetar allt. De erbjuder inget skydd, inga varningar, ingen revisionsspår som en DPO kan lita på.
Vad som saknas är det tekniska lagret som gör policy genomförbar i praktiken. Det lagret finns inte på marknaden till något pris som en medelstor organisation har råd med, i någon form som fungerar över de AI-verktyg som anställda faktiskt använder. Detta är ett av de gap som detta ekosystem byggdes för att stänga.
Tillgänglighetsgapet: Efterlevnad som en Privilegium av Skala
En ensampraktiker, en samhällsorganisation, en liten offentlig myndighet, en forskningsinstitution — var och en är föremål för samma GDPR, samma rätt till radering, samma skyldighet att anmäla överträdelser som en global bank — men utan juridiskt team, ingen ingenjörsresurs, eller budget för företagsprogramvara för att implementera dem korrekt. Efterlevnadsekosystemet har tjänat stora organisationer tillräckligt, om än dyrt. Det har tjänat alla andra med ett mandat och inga praktiska medel för att tillfredsställa det.
Ekosystemets Svar — En Plattform, Flera Uttryck
Den övergripande plattformen och primära åtkomstpunkten. Hybrid dual-lager PII-detektering (260+ entiteter, 48 språk, 121 efterlevnadspresets) över alla distributionsmodeller — SaaS, hanterad privat moln och självhanterad. Alla härledda produkter delar samma detekteringsmotor och samma grundprincip: makt i användarens händer.
Företagsversion med air-gap. 390+ entiteter, 317 anpassade regex-mönster, 100% offline-bearbetning, bild-OCR på 37 språk. Ingen molnberoende — datan lämnar aldrig enheten.
Moln-först PII-plattform med det bredaste tillgången. Chrome-tillägg för realtids AI-avlyssning, MCP-server, Office-tillägg, reversibel kryptering. Gratis till €29/månad — efterlevnad för varje budget.
Desktop-först, helt lokalt. Presidio sidokärna på enheten, 7 dokumentformat + OCR, batchbearbetning, krypterad valv. Engångsperpetuell licens — inga prenumerationer, inget moln, helt offline efter aktivering.
Omedelbar offentlig demoplattform. Ingen konto krävs — klistra in text, anonymisera omedelbart, se motorn i aktion. Det snabbaste sättet att uppleva vad ekosystemet gör.
Övergripande Plattform — SaaS · Hanterad Privat · Självhanterad · 3 distributionsmodeller
- //Organisationer rapporterar att 67% av utvecklarna av misstag har exponerat hemligheter i koden — deterministisk regex fångar vad NLP missar och vice versa
- //Allmän AI-detektering uppnår 69% missfrekvens i icke-engelska texter — dual-lager med spaCy + XLM-RoBERTa stänger gapet över alla 48 språk
- //Inkonsekvent redigering över team är den #1 citerade ICO och DPA revisionsfynd — presets genomför identiskt detekteringsbeteende över varje användare, varje session
- //95% av dataintrång 2024 kopplade till mänskliga fel — delade presets eliminerar de per-person konfigurationsbesluten som skapar variation
- //Multi-leverantör PII-stacks skapar revisionsspårsgap — 60%+ av organisationer som använder 3+ PII-verktyg rapporterar avstämningsfel mellan verktyg
- //Formatfragmentering: organisationer bearbetar PDF, DOCX, XLSX, CSV, JSON samtidigt — varje format krävde tidigare en separat metod, ett separat verktyg, en separat revisionspost
- //Företags PII-verktyg kostar $50,000–$500,000/år — organisationer med kostnadsbegränsningar har historiskt sett inte haft något alternativ alls
- //CLOUD Act + FISA Sektion 702 innebär att amerikanskt värd "GDPR-kompatibel" bearbetning är en avtalsmässig fiktion — EU-endast hosting tar bort denna exponering helt
Företags Air-Gapped — 390+ entiteter · 317 anpassade regex · 100% offline · Bild OCR
- //Branschspecifik PII — kärnkraftverk koder, militärtjänstnummer, proprietära interna ID — täcks inte av något kommersiellt verktyg; anpassade igenkännare kräver veckor av specialistingenjör i rå Presidio
- //Täckningsbrister är detekteringstaket: inget allmänt verktyg täcker alla PII-typer, alla språk, alla format — 317 kuraterade mönster stänger de luckor som färdiga ramverk missar
- //Leverantörsparadoxen: för att skydda PII måste du dela det med en leverantör. Molnbearbetning kräver att man litar på processorn — en arkitektonisk motsägelse för organisationer som hanterar de mest känsliga uppgifterna
- //Air-gapped miljöer (försvar, underrättelse, kritisk infrastruktur, forskningslaboratorier) kan inte använda molnberoende verktyg till något pris — offline-först tar bort den arkitektoniska barriären helt
- //Microsoft Purview kan uttryckligen inte skanna JPEG/PNG — text PII i skärmdumpar är helt osynlig för företags DLP-stacken av design
- //SparkCat malware (iOS/Android, Dec 2025) använde OCR för att stjäla kryptovaluta plånbok återställningsfraser från skärmdumpar — bildbaserad text PII är ett aktivt attackmål, inte en teoretisk risk
- //300% ökning av molnbaserade dataintrång mellan 2022 och 2024 — zero-knowledge innebär att ett intrång på våra servrar exponerar ingenting, eftersom inget lagras
- //ISO 27001:2022 certifierad med regelbundna fullstack pentesting — den säkerhetsställning som reglerad upphandling kräver är dokumenterad, verifierad och oberoende granskad
Moln PII Plattform — Gratis till €29/mån · Chrome Tillägg · MCP Server · Office Tillägg
- //8.5% av alla LLM-promptar innehåller PII — realtidsavlyssning före inlämning är den enda förebyggande åtgärden som fungerar; efterhandsdetektion missar det enda fönster som betyder något
- //Traditionell DLP avfyrar efter att datan har lämnat organisationen — Chrome-tillägget avlyssnar vid inmatningspunkten, innan någon modell tar emot eller bearbetar känsligt innehåll
- //Generativ AI-detektering är icke-deterministisk — samma dokument ger olika resultat vid olika körningar; inget probabilistiskt system kan utgöra grunden för ett regulatoriskt försvar
- //Presidio ensam missar kontextberoende entiteter; XLM-RoBERTa ensam genererar falska positiva i formell juridisk språk — ett tredje klassificeringslager eliminerar de falska positiva som gör att efterlevnadsteam misstror automatiserade verktyg
- //Juridisk upptäckts, begärningar om tillgång till medicinska journaler, regulatorisk revision — anonymiserade data måste ibland de-anonymiseras av den auktoriserade parten och endast av dem; irreversibla metoder gör detta omöjligt
- //Användarens sessionsnyckel lämnar aldrig deras enhet — inte våra servrar, inte något moln, inte någon underleverantör. Rätten att återföra anonymisering tillhör användaren, inte oss.
- //En ensampraktiker står inför samma GDPR-rätt till radering som en global bank — men utan ett efterlevnadsteam eller en €500K/år företagsprogramvarubudget
- //764 EU-organisationer är samtidigt under utredning för raderingsmisslyckanden — inte för att de avsåg att bryta mot; för att verktygen för att efterleva var prissatta bortom deras räckvidd
Desktop-Först · 100% Lokal Bearbetning · 7 Dokumentformat + OCR · Engångslicens
- //300% ökning av molnbaserade dataintrång mellan 2022 och 2024 — data som aldrig går in i molnet kan inte exponeras i ett molnintrång
- //CLOUD Act + FISA gör amerikanskt värd bearbetning juridiskt osäker för EU-organisationer — lokal bearbetning eliminerar hela gränsöverskridande överföringsproblemet genom att säkerställa att ingen överföring sker
- //Formatfragmentering tvingar organisationer att upprätthålla flera verktyg — varje verktyg skapar en separat detekteringspolicy, en separat revisionspost, en separat feltyp
- //Loggfiler är den försummade PII-yta — utvecklare fokuserar på databaser men loggar innehåller API-nycklar, användar-ID, IP-adresser; CSV och JSON stöds nativt tillsammans med strukturerade dokument
- //Air-gapped produktionsmiljöer — tillverkningsgolv, statliga säkra anläggningar, forskningslaboratorier — kan inte tolerera en licenskontroll som kräver nätverksåtkomst; engångsaktivering och sedan helt offline drift är den enda genomförbara arkitekturen
- //Perpetuella licenser utan återkommande SaaS-beroende: användaren äger sin installation; en leverantörs abonnemangsavbokning kan inte inaktivera ett verktyg vid en kritisk bearbetningspunkt
- //dbt-pipelineåteruppbyggnader förstör maskeringspolicyer på CSV/JSON-data — EDPB 2024 klargör att detta bryter mot GDPR Art. 5(1)(a); valvlagring med krypterad historia innebär att varje bearbetad fil har en reviderbar, återvinningsbar post
- //Organisationer som bearbetar tusentals äldre dokument för GDPR-rätt till radering behöver batchkapacitet — inte en 5-fil-per-dag SaaS-gräns som gör uppgiften operativt omöjlig
Problemet i Skala
Dessa är inte avvikande misslyckanden. De är systemiska resultat av en efterlevnadsmiljö som har överträffat sin egen infrastruktur.