Тајни сакупљач података: Ко заиста стоји иза верификација LinkedIn-а, OpenAI-а и других компанија?

Цурење изворног кода открива: Шта се заиста дешава са вашим ИД подацима на Редиту, Роблоксу и Линкедину

Свако ко данас користи интернет све више мора да докаже свој идентитет. Било да је у питању жељена „квачица“ на LinkedIn-у, приступ моћним OpenAI моделима вештачке интелигенције, верификација старости на Reddit-у или ћаскање на Roblox-у – посезање за пасошем и прављење обавезног видео селфија постају нова норма. Али док корисници верују да поверавају своје осетљиве биометријске податке директно одговарајућим платформама, у позадини делује невидљива сила: амерички стартап „Persona“. Са преко 300 милиона верификованих идентитета, компанија, коју подржавају утицајни инвеститори, постала је тајна инфраструктура дигиталног живота. Али наизглед згодан систем има велику ману: цурење осетљивог изворног кода, сумњиви периоди чувања података и блиске везе са америчким властима покрећу озбиљне забринутости у вези са приватношћу података. Шта се заиста дешава са нашим лицима и идентификационим бројевима? И зашто је Discord био једина велика платформа која је искључила уређај након масовних протеста корисника? Истрага о скривеним серверским структурама једног гиганта података.

Невидљива окосница интернета: Како LinkedIn, Reddit, OpenAI, Roblox и друге платформе користе персоне - и шта то значи за ваше податке

Једна компанија, 148.000 купаца, 300 милиона записа података — и готово нико не зна за то

Када корисник LinkedIn-а верификује свој профил, верује да разговара са LinkedIn-ом. Када корисник Reddit-а потврди своје године, верује Reddit-у. Када играч Roblox-а окрене лице ка камери, то чини верујући да је Roblox особа са којом комуницира. У стварности, у свим овим случајевима је у питању иста компанија: Persona Identities, Inc., стартап са седиштем у Сан Франциску основан 2018. године, који је постао де факто инфраструктура идентитета за велике делове интернета. До 2024. године, Persona је завршила преко 300 милиона верификација идентитета, удвостручивши и своје приходе и базу купаца. Платформе које користе Persona-ине услуге делују као пресек модерног дигиталног живота - а ипак, име Persona остаје потпуно непознато већини корисника.

Ово није случајност. Персонин пословни модел намерно се ослања на невидљивост: Док платформе негују односе са корисницима и граде поверење, Персона се бави стварном верификацијом у позадини. Са вредношћу од 2 милијарде долара након рунде финансирања Серије Д у априлу 2025. и инвеститорима као што су Founders Fund, Ribbit Capital и Index Ventures, компанија је међу најзначајнијим приватним компанијама за технологију идентитета широм света. Оно што корисницима изгледа као згодан процес верификације је у стварности концентрисана инфраструктура за прикупљање података која далеко превазилази оно што би било неопходно за једноставну проверу идентитета.

У вези са овим:

• Верификација идентитета | Ваше лице и ваши подаци не припадају вама – Anthropic (Claude), LinkedIn и нова економија биометријске контроле

LinkedIn: 100 милиона верификованих профила — и шта се крије иза њих

LinkedIn је био једна од првих великих платформи која је представила Persona као партнера за верификацију. У децембру 2025. године, платформа је премашила 100 милиона верификованих профила широм света – прекретница која показује колико је Persona већ дубоко уграђена у инфраструктуру идентитета професионалног веба. LinkedIn даје јасна обећања: Верификовани чланови добијају, у просеку, 60 процената више прегледа профила и 50 процената више ангажовања. Верификоване странице компанија пријављују 10,9 пута више прегледа и 7,7 пута више пратилаца. Ово су снажни подстицаји – и они функционишу.

Сам процес верификације се одвија путем LinkedIn апликације. Од корисника се тражи да повежу свој уређај са пасошем који подржава NFC, скенирају чип, а затим направе селфи уживо. Оно што LinkedIn прима је ограничено: име како се појављује у пасошу, тип пасоша, земља издавања, хеширани идентификатор и потврда да је верификација била успешна. Међутим, оно што Persona прикупља и обрађује ван овог процеса је знатно опширније — и обрађено је само у LinkedIn-овој документацији са кратким освртом на Persona-ину политику приватности. Под-обрађивачи овлашћени за LinkedIn верификацију путем Persona укључују AWS, Confluent, DBT, Elasticsearch, Google Cloud Platform, MongoDB, Sigma Computing и Snowflake. Чување података на европским серверима уз гарантовану усклађеност са законима ЕУ није обезбеђено.

Посебно је вредно пажње питање брисања података. Персона у својој LinkedIn документацији потврђује да се подаци бришу након верификације — али не наводи конкретан временски оквир. У контексту других партнерстава, на пример са Дискордом, признат је период чувања до седам дана, што је јавно противречило изјавама платформе. А процурели изворни код владине инфраструктуре Персоне открива да се биометријске листе лица могу чувати до три године — тачније, 1.095 дана. Шта се односи на комерцијалне клијенте, а шта на владине клијенте, намерно се држи нејасним у јавним комуникацијама Персоне.

Reddit: Провера старости као улазна тачка за биометријску контролу

Редит је представио Персону као део имплементације Закона о безбедности на интернету у Великој Британији (OSA), који је налагао проверу старости за онлајн платформе. Тржиште Велике Британије послужило је као тест случај: корисници који покушавају да приступе садржају са ограничењем старости преусмерени су на Персону ради провере старости. На Редитовој посебној страници са често постављаним питањима, Персона објашњава да делује као обрађивач података према Редитовим упутствима, прикупља само датум рођења и податке о сликама и брише све остале информације у року од три дана. Ово у почетку звучи разумно.

Ситуација је заправо сложенија. Корисници Редита који су верификовали свој идентитет извештавају о процесу који иде далеко даље од једноставне процене старости: прикупљени су NFC чипови са пасоша, селфији уживо и детаљни биометријски подаци о понашању – укључујући брзину куцања, оклевање и да ли су информације копиране. Активисти за приватност открили су да је изворни код Персоне, који је идентификовала Селест, радио на владином серверу који је овластио FedRAMP и да је укључивао провере у односу на FinCEN листе праћења, листе политички експонираних лица (PEP) и листе глобалних санкција. Све ово тече паралелно са комерцијалним процесима верификације за Редит, ЛинкедИн и друге платформе – на истој основној инфраструктури. Након значајних протеста корисника у Великој Британији, Редит је привремено обуставио присилну верификацију Персоне за нове кориснике, иако су већ верификовани корисници остали у систему.

OpenAI: Најстарија и најнепрозирнија веза

Однос између OpenAI и Persona-е је посебно откривајући – и хронолошки најранији од свих главних партнерстава на платформама. Истраживачи безбедности открили су путем евиденције транспарентности сертификата да је наменски систем листе праћења под доменом openai-watchlistdb.withpersona.com био активан од новембра 2023. – око 18 месеци пре него што је OpenAI јавно објавио захтев за верификацијом идентитета за приступ GPT-5 у лето 2025. OpenAI је тихо додао реченицу својој политици приватности у новембру 2024. која се односи на верификацију идентитета и старости од стране трећих страна – без експлицитног помињања Persona-е.

У септембру 2024. године, сама Персона је објавила страницу на којој је објашњено да ОпенАИ користи Персону за верификацију милиона корисника месечно, при чему се преко 99% корисника аутоматски верификује у позадини у року од неколико секунди. То значи да нису погођени само корисници који активно пролазе кроз верификацију – провера позадине је континуирана. Да би приступили ОпенАИ АПИ-ју и моделима попут ГПТ-5, програмери морају да доставе свој идентификациони документ и направе три селфија из различитих углова – лево, десно и спреда – како би креирали тродимензионални профил лица. Форрестер Рисерч је оценио ову одлуку као одговор на регулаторни притисак, геополитичке ризике злоупотребе модела и потребу за разликовањем легитимних корпоративних клијената и актера које спонзорише држава. Последица: Свако ко жели да користи најнапредније алате вештачке интелигенције мора да повери своје лице инфраструктури за верификацију са седиштем у САД.

Роблокс: 151 милион корисника дневно — и обавезно скенирање лица

Роблокс је, ако се узме у обзир само број корисника, најзначајнији Персона клијент. У јануару 2026. године, Роблокс је увео обавезну верификацију старости за све кориснике који желе да користе функцију ћаскања на платформи. Са 151 милионом дневно активних корисника, ово представља обавезни биометријски процес у невиђеним размерама – посебно зато што значајан део корисничке базе чине деца и тинејџери. Механизам је једноставан: свако ко жели да ћаска мора или да сними видео селфи, који Персона алгоритамски анализира да би проценила њихове године, или алтернативно да достави званични лични документ.

Роблокс и Персона наглашавају да се биометријски подаци и слике бришу одмах након процене старости. Међутим, не постоје независне верификације ове тврдње. Прави проблем лежи негде другде: Персонина технологија процене старости, са техничке тачке гледишта, није верификација старости — она процењује старост на основу црта лица без верификације документом. То значи да се корисници Роблокса подвргавају биометријском скенирању које не нуди ни тачност праве провере идентитета нити безбедност верификације на основу докумената. Истовремено, биометријски подаци се преносе у инфраструктуру САД — што изазива значајне забринутости у вези са Општом уредбом о заштити података (GDPR) за кориснике из ЕУ, посебно за малолетнике. Биометријски подаци малолетника подлежу посебно строгим захтевима према члану 9 у вези са чланом 8 GDPR-а, што Роблокс није јавно демонстрирао у својој тренутној имплементацији.

Наша стручност у развоју пословања, продаји и маркетингу из ЕУ и Немачке - Слика: Xpert.Digital

Фокус индустрије: B2B, дигитализација (од AI до XR), машинство, логистика, обновљиви извори енергије и индустрија

Више информација овде:

• Експертски пословни центар

Тематски центар који нуди увиде и стручност:

• Платформа знања која покрива глобалне и регионалне економије, иновације и трендове специфичне за индустрију
• Збирка анализа, увида и основних информација из наших кључних области фокуса
• Место за стручност и информације о актуелним дешавањима у пословању и технологији
• Чвориште за компаније које траже информације о тржиштима, дигитализацији и иновацијама у индустрији

Дискорд: Најјавније повлачење и шта оно открива

Дискорд је једина велика компанија која је јавно прекинула партнерство са Персоном, пружајући експлицитно објашњење – редак тренутак транспарентности у сектору. У јануару 2026. године, Дискорд је увео Персону за потребе провере старости у Великој Британији као део неоткривеног пилот програма. Када је партнерство постало јавно, изазвало је масовну реакцију корисника. Технички директор Дискорда, Станислав Вишњевски, признао је да је компанија заказала у комуникацији. Права ескалација дошла је када су истраживачи безбедности не само открили везу са Фондом оснивача Питера Тила, већ су пронашли и архивирану страницу за подршку која је помињала да Персона чува податке седам дана – што је директно супротно претходним изјавама компаније о готово тренутном брисању.

Дискорд је потом формулисао нови, јасан скуп захтева за све будуће партнере за верификацију: Биометријски подаци морају се у потпуности обрађивати на уређају корисника и не смеју напуштати уређај. Персона експлицитно није испунила овај стандард — и стога је искључена из уговора. Овај захтев је револуционаран и са техничке и са становишта заштите података: Он дефинише обраду на уређају као минимални стандард за биометријску верификацију старости. Чињеница да ниједан од других великих Персониних клијената није јавно захтевао овај стандард показује колико је индустрија још увек далеко од ове норме. Погоршању тешкоћа допринело је то што се Дискорд суочио и са посебним кршењем безбедности података истовремено са случајем Персона: Код другог добављача услуга верификације старости, угрожени су званични идентификациони документи приближно 70.000 корисника — ситуација која је живописно илустровала структурни ризик препуштања биометријских провера трећим странама.

VRChat: Верификација идентитета у виртуелној стварности

VRChat, платформа за друштвену виртуелну стварност са посвећеном међународном базом корисника, такође је имплементирала Persona као свог партнера за верификацију старости. Због све већих регулаторних захтева за онлајн платформе — посебно у Великој Британији и ЕУ — VRChat је био приморан да имплементира систем за верификацију старости. Изабрани систем: Persona. Реакција заједнице је била жестока. Кориснички форуми су били преплављени детаљним анализама инфраструктуре Persona, референцама на везу са Тиловим фондом оснивача и колективним позивом да се поново размотри имплементација.

VRChat у својим званичним комуникацијама наглашава да не прима слике идентификационих докумената или скенирања лица – само хеш вредност која потврђује верификацију. Persona такође тврди да не прима никакве информације о идентитету корисника унутар VRChat-а. Ово је у складу са сопственом архитектуром заштите података Persona-е, али са становишта приватности података, то је само делимично решење: сама Persona поседује све сирове биометријске податке, без обзира на то шта се дели са платформом. Европски корисници VRChat заједнице с правом истичу да технологија електронске идентификације – која омогућава верификацију старости без преноса биометријских података – постоји као безбедна алтернатива, али је Persona експлицитно не подржава. Са европске перспективе заштите података, ово одбијање је тешко оправдати.

Надоградња: Када верификација идентитета постане захтев за посао

На Upwork-у, највећој светској платформи за фриленсере, верификација личности има посебно директан економски утицај. Фриленсери су дужни да верификују свој идентитет — било проактивно плаћањем 35 Connect-а (интерна валута платформе) или присилно приликом подношења захтева за кредите, послове специфичне за САД или након суспензије налога. Они који не заврше верификацију у року од седам дана ризикују суспензију налога.

Ово је изванредно у неколико аспеката. Прво, Upwork директно повезује биометријску верификацију са економским учешћем: Свако ко жели да ради и буде плаћен мора бити верификован — а то се ради преко инфраструктуре треће стране у САД. За фриленсере у ЕУ, то значи пренос њихових биометријских података у правни систем САД, за шта не постоји реална алтернатива. Друго, Upwork омогућава рутинске поновне верификације: Корисници извештавају да се од њих тражи да више пута верификују свој идентитет, чак и када нема очигледног разлога. Треће, сама комуникација Upwork-а у вези са обимом обраде података је нејасна: Платформа описује верификацију као проверу идентитета без навођења тачних токова података ка Persona-и или њених политика складиштења података.

Скривена владина инфраструктура: Шта открива цурење изворног кода

Заиста узнемирујући аспект Персонине инфраструктуре није оно што компанија јавно саопштава, већ оно што је открила случајна грешка у конфигурацији. У фебруару 2026. године, истраживачи безбедности су открили да је 53 мегабајта изворног кода са Персонине владине платформе јавно доступно без икаквог напада или неовлашћеног приступа. Систем за изградњу Vite је оставио мапе изворног кода јавно доступним – грешка у дизајну која је открила целу унутрашњу архитектуру.

Оно што су истраживачи пронашли премашило је очекивања: 2.456 изворних датотека које документују 269 различитих провера верификације. Платформа, која ради на владиној инфраструктури коју је одобрио FedRAMP под називом ONYX, садржи комплетне модуле за директно подношење извештаја о сумњивим активностима (SAR) FinCEN-у, мрежи за финансијске истраге Министарства финансија САД, и њеном канадском пандану, FINTRAC-у. Садржи биометријске базе података лица које се упоређују са листама праћења, модуле за препознавање лица PEP (политички експониране особе) и 13 различитих врста листа за праћење, укључујући лица, отиске прстију прегледача и геолокације. Код експлицитно показује да се биометријске листе лица могу чувати до 1.095 дана - то јест, три године. Истовремено, нови поддомен под називом onyx.withpersona-gov.com појављује се у евиденцији транспарентности сертификата, који је временски повезан са Fivecast ONYX алатом - алатом за надзор заснованим на вештачкој интелигенцији који је ICE наручио за 4,2 милиона долара и који генерише процене ризика друштвених медија и дарк веба. Да ли је ова подударност имена случајност или структурна веза није коначно доказано. Међутим, оно што је доказано јесте да владина инфраструктура Персоне ради на истој техничкој основи као и комерцијална инфраструктура која покреће LinkedIn, Reddit и OpenAI.

Двострука улога FedRAMP-а и Персоне

Један аспект који добија мало пажње у јавној дискусији је Персонин FedRAMP сертификат. FedRAMP — Федерални програм за управљање ризицима и овлашћењима — је амерички систем за сертификацију безбедности услуга у облаку за федералне агенције. У октобру 2025. године, Персона је добила FedRAMP сертификат за ниско утицајно овлашћење и на путу је за FedRAMP сертификат за умерено спремно стање. То значи да је Персона сада акредитовани добављач инфраструктуре за америчке федералне агенције. Комерцијална платформа која верификује кориснике LinkedIn-а и владина платформа која пружа провере идентитета федералним агенцијама су стога под истим кишобраном — технички одвојене кроз имплементације, али правно и организационо под истом корпоративном структуром.

За европске кориснике, ово је кључно јер подиже питање Закона CLOUD на нови ниво. Закон CLOUD обавезује америчке компаније да одобре приступ подацима америчким властима на захтев – без обзира на локацију сервера. Компанија која истовремено обрађује комерцијалне биометријске податке милиона корисника широм света и акредитовани је добављач инфраструктуре за америчке савезне агенције представља комбинацију где су границе између комерцијалних услуга и владине инфраструктуре структурно замагљене. Ово није сумња – то је опис пословног модела.

Шта корисници треба да знају и ураде

Разумевање персона инфраструктуре мења начин на који процењујемо наизглед једноставну одлуку: Да ли да верификујем свој LinkedIn профил? Повећање од 60 процената у прегледима профила звучи примамљиво. Али право питање је: Шта ја имам од тога? Одговор је вишеструк.

Свако ко верификује свој идентитет путем Персоне на Линкедину, Редиту, ОпенАИ-ју или Роблоксу предаје биометријске податке америчкој компанији која је сертификовани добављач владине инфраструктуре од стране FedRAMP-а, којим управља Фонд оснивача Питера Тила, који дели истог оснивача као и Палантир, и чији процурели изворни код открива инфраструктуру за надзор која иде далеко даље од једноставне верификације идентитета. Становници ЕУ имају право приступа, брисања и приговора према Општој уредби о заштити података (GDPR). Захтеви за брисање података Персони могу се поднети директно путем DSAR-а (Захтев за приступ субјекту података) — међутим, неколико корисника извештава да Персона одговара на такве захтеве аутоматизованим и нејасним одговорима.

За саме платформе, лекција лежи у Дискордовој одлуци: обрада на уређају као стандард, а не изузетак. Верификација старости не мора да значи да сирови биометријски подаци пролазе кроз америчку серверску инфраструктуру. Европски системи електронске идентификације, национални новчаници за идентификацију и децентрализоване архитектуре верификације постоје као техничке алтернативе. Чињеница да се они не користе је политичка и економска одлука, а не техничка нужност.

Структурно питање: Ко гради интернет идентитета?

Овај инвентар не даје одговоре, већ покреће питање које постаје све хитније: Ко би требало да контролише инфраструктуру идентитета на интернету? До 2026. године, де факто одговор је приватна компанија у Сан Франциску, коју финансира Питер Тил, са двоструком улогом комерцијалног KYC провајдера и акредитоване инфраструктуре владе САД. LinkedIn је верификовао 100 милиона профила у оквиру овог система. Reddit верификује старосне кохорте под британским, а ускоро и европским притиском. Roblox подвргава 151 милион дневних корисника обавезном скенирању лица. OpenAI захтева биометријску верификацију за приступ најмоћнијим моделима вештачке интелигенције на свету.

Ова концентрација није неизбежна. Она је резултат тржишних одлука донетих под слабом регулаторном контролом и уз недостатак јавне транспарентности. Закон ЕУ о вештачкој интелигенцији, Општа уредба о заштити података и Дигитални пакет ЕУ пружају правне алате за регулисање ове концентрације и промоцију европских алтернатива. Оно што недостаје је политичка воља да се оне спроведу – и јавна свест да питање ко управља њиховим јавним имиџом није технички детаљ, већ кључно питање демократског самоопредељења у дигиталном добу.