Toevallige PII in ChatGPT: Hoe Kunsteun-agente...

Die ChatGPT-kunsteun-werkloop

Kunsteun-agente het daagliks werk-werk-werkstroom:

1. Klant konneksie en sê: "My rekening is soort, help my alsjeblieft"
2. Kunsteun-agent kopieëer en deelbaarlike van die klant-rekord in ChatGPT
3. ChatGPT lewer uit 'n antwoord
4. Kunsteun-agent stuur die antwoord terug na die klant

Hieraglyk, gaan die klant-rekord (wat PII bevat — name, e-pos, rekening-ID's, ensovoorts) direk na OpenAI se sisteme, omdat ChatGPT 'n derde-party-wolk-toepassinge is.

Waarom dit GDPR-risiko is

GDPR Artikel 5(1)(a) en (f) vereis dat:

1. Die organisasie moet weet waar die data gaan: As kunsteun-agente data in ChatGPT sit, gaan dit na OpenAI's servere. OpenAI se "Business" teeken het wat verbetering sake (bv. persoonlike gegewens in OpenAI se versleuteling), maar nie almal organisasies het dié teeken nie.
2. Versoenbare tussennome moet wees: Elke derde-party-toepassinge wat persoonlike data verwerk, moet 'n "Data Processing Agreement" (DPA) of "sub-processor agreement" hê. Baie organisasies het dié nie.
3. Klante moet weet: GDPR Artikel 13-14 vereis dat organisasies klante vertel as hul data aan derde-paartye gaan. "Ons stuur jou rekenaar-info na ChatGPT vir ons agente-hulp" is baie organisasies nie transparant oor nie.

Werklike Sêne

Hier is drie werklike gevalle wat organisasies in 2024 het gehad:

1. Bankingsentrum: 'n Kunsteun-agentype het klant-bankrekenning-nommers en PIN-partshels in ChatGPT gesit as deel van die probleem-diagnosis. OpenAI het dit op sy teken geanaliseer. Die organisasie het nou 'n GDPR-breuk-sak gehad.
2. E-handelsentrum: Kunsteun het klant-bestellinge met versendings-adressa en telefoonnommers in ChatGPT gekleineer. Dit het 'n breukrisiko gemaak as OpenAI se sisteme skaatsie.
3. Gesondheidssentrum: 'n Kunsteun-agentype het pasiëntnieke en skeemtaliefdiginge in ChatGPT gesit om HIPAA-versoenbar-antwoorde te kry. Dit was 'n HIPAA-skennis agteruit.

Hoe om dit te voorkom

Organisasies moet:

1. Beleid skep: Verbie kunsteun-agente om PII in ChatGPT in te sit
2. Gereechapie voorsien: Gebruik 'n interne gereechap (of geslote-bron ChatGPT) wat privaat is
3. Agente-trai: Agente weet hoe om klant-inligting te lees sonder PII aan derde-paartye te stuur
4. Customers-vertel: Vertel klante dat hulle data na derde-paartye mag gaan (of "mag nie" gaan)