Bewys van GDPR Artikel 32-nakoming vir KI-instrumente
Opgedateer vir 2026.
GDPR Artikel 32 vereis "gepaste tegniese en organisatoriese maatreels" om persoonlike data te beskerm. Wanneer personeel eksterne KI-instrumente gebruik - ChatGPT, Claude, Gemini - is die risiko reeel en meetbaar. Die kontroles moet ook meetbaar wees.
'n Beleid wat se "moenie persoonlike data met KI-instrumente deel nie" is 'n organisatoriese maatreel. Dit is nie 'n tegniese maatreel nie. Dit is nie genoeg wanneer 'n DPA-ouditeur vra: "Hoe weet jy dat personeel dit nakom?"
Wat DPA-ouditeurs oor KI-instrumente Vra
Na die Samsung ChatGPT-breuk in Maart 2023 het reguleerders 'n harde blik gewerp op korporatiewe KI-programme. DPA-ouditeurs stel nou direkte vrae.
Oor tegniese kontroles vra hulle:
- Wat keer dat persoonlike data KI-stelsels bereik?
- Hoe dwing jy maskering intydse af?
- Watter bewys wys dat kontroles werk?
Oor monitering vra hulle:
- Hoe volg jy personeel se KI-gebruik vir PII-blootstelling?
- Watter statistieke versamel jy? Hoe gereeld?
- Hoe weet jy dat kontroles nie omseil word nie?
Oor voorvalbespeuring vra hulle:
- Hoe sou jy 'n PII-lekkasie na 'n KI-instrument opmerk?
- Wat is jou reaksieplan?
Beleidsdokumente beantwoord geeen van hierdie vrae nie. Hulle se wat personeel behoort te doen. Hulle wys nie wat personeel werklik doen nie.
Die Moniteringsgaping vir Blaaier-KI-instrumente
Korporatiewe IT-spanne staan voor 'n kernprobleem: blaaier-gebaseerde KI-instrumente is moeilik om te monitor.
HTTPS-enkripsie
ChatGPT, Claude en Gemini gebruik almal HTTPS met HSTS. Netwerkinspeksie kan opdragteks nie lees sonder TLS-dekriptering nie.
TLS-inspeksie
SSL-inspeksie benodig korporatiewe sertifikate op elke toestel. Dit kan sertifikaatvasknoping in sommige programme breek. Dit skep nuwe sekuriteitsgapings. Dit kan die diensbepalings van KI-platforms oortree. Dit wek privaatheidskwessies van personeel in baie lande.
Eindpunt-DLP
Eindpuntagente dophou die knipbord en sleutelbordinvoer. Maar hulle het hoe vals-positiewe koerse. Hulle kan nie onderskei tussen "klientdata in 'n kontrak tik" en "dit in ChatGPT tik" nie. Vertraging kan regstreekse sendings misloop.
Die resultaat: die meeste firmas wat KI-instrumente gebruik, het min insig in watter data daardie stelsels bereik.
'n Nakomingsinstrumentpaneel in die Praktyk
'n Finansiele dienste CISO moet aan ouditeure wys dat KI-instrument-PII-blootstelling gevolg en beheer word. Die ouditvereiste: harde data oor aktiewe monitering.
Die firma stel 'n Chrome Extension vir 500 personeellede bekendgestel. Een week se uitset:
| Statistiek | Weeklikse waarde |
|---|---|
| Totale KI-sessies | 8 400 |
| PII-entiteite bespeur | 12 000 |
| Maskeringskoers | 94% |
| Klientname gevind | 4 800 |
| Rekeningnommers gevind | 3 200 |
| Transaksie-ID's gevind | 2 100 |
| Ongemaskerde sendings (6%) | 720 entiteite |
Let wel: illustratiewe scenario. Resultate wissel per firmagrootte en KI-gebruik.
Vier dinge wat dit aan ouditeure wys:
- Omvang van KI-instrumentgebruik (8 400 sessies per week)
- Volume PII in gevaar (12 000 entiteite gevind)
- Kontroleprestasie (94% maskeringskoers)
- Oorblywende risiko (720 entiteite benodig opvolg)
Drie dinge wat ouditeure kan verifieer:
- 'n Tegniese beheer is aktief (uitbreidingsinsetstinglogboeke)
- Monitering is aktief (weeklikse verslae)
- Oorblywende risiko word bestuur (opvolgsopleiding vir die 6%)
Dit is die gaping tussen "ons het 'n beleid" en "hier is ons gemete beheerprestasie."
Uitset in Verbetering Omskakel
Die 6% wat ongemaskerd gestuur word, is nie 'n mislukking nie. Dit is 'n moniteringsukses. Die firma weet nou:
- Watter personeel maskeringsprompts afwys of misloop.
- Watter entiteitstipes die meeste ongemaskerd gestuur word.
- Watter spanne hoer omseilingskoerse het.
- Of die koers daal namate personeel aanpas.
Dit dryf gerigte aksie. Hoe-omseiling-personeel kry ekstra opleiding. Hoe-omseiling-entiteitstipes mag sterker prompts benodig. Spanne met herhaalde omseilings mag 'n werkvloei-verandering benodig.
Sonder hierdie uitset word opleiding eweredig toegepas. Daarmee gaan opleiding waar die risiko die hoogste is.
Hoe 'n Volledige Artikel 32-pakket Lyk
'n Volledige GDPR Artikel 32-dokumentstel vir 'n KI-instrumentprogram:
Tegniese maatreels:
- Chrome Extension op N toestelle (bewys: MDM-logboeke)
- Regstreekse PII-bespeuring in KI-instrument-invoervelde
- Maskeringwerkvloei met ouditspoor (uitbreidingslogboeke)
- Nakomingsinstrumentpaneel (besperingstatistieke)
Organisatoriese maatreels:
- KI-instrument-gebruiksbeleid
- Personeelopleidingsrekords
- Voorvalsreaksieplan vir KI-datalekkasies
- Kwartaallikse hersiening van moniteringsuitset
Moniteringsbewys:
- Weeklikse instrumentpaneelstatistieke (lopende 12 maande)
- Maskeringskoers-tendens
- Entiteitstipe-uiteensetting
- Opvolgrekords vir omseilings
Voorvalbespeuring:
- Moniteringsuitset merk vreemde gedrag (skielike koersdaling, nuwe entiteitstipes)
- Voorvalsreaksieplan getoets op [datum]
Hierdie stel voldoen aan Artikel 32. Dit wys tegniese en organisatoriese maatreels met werklike bewys.
Risikovermindering Kwantifiseer
Vir die proporsionaliteitstoets moet jy wys watter risiko die beheer verwyder.
Sonder die beheer:
- 11% van KI-opdragte bevat PII (Cyberhaven 2025)
- 8 400 weeklikse sessies x 11% = 924 sessies met PII per week
- Elke sessie: 'n potensieel GDPR Artikel 83-blootstelling as EU-data betrokke is
Met die beheer (94% maskeringskoers):
- 924 sessies met bespeurde PII
- 94% gemaskerd: 869 sessies beskerm
- Oorblyfsels: 55 sessies per week met ongemaskerde inhoud
Die resultaat: 94% daling in PII-blootstelling van KI-instrumentgebruik.
Vir reguleerders wat die proporsionaliteitstoets toepas, is 'n 94%-vermindering van 'n ontplooide tegniese beheer sterk bewys. Sien ook intydse PII-voorkoming vir KI-instrumente en blaaier-DLP vir ChatGPT, Claude en Gemini.
Gevolgtrekking
GDPR Artikel 32-nakoming vir KI-instrumente kan nie op beleid alleen rus nie. Monitering van blaaier-KI-sessies vir PII-blootstelling benodig 'n tegniese beheer wat bewys lewer.
Regstreekse maskering met ingeboude monitering gee jou albei: voorkoming (minder blootstelling) en bewys (gemete risiko en beheerprestasie). Daardie kombinasie voldoen aan Artikel 32.
Vir CISO's wat voor 'n DPA-oudit staan: ouditeure wil harde data he. Wys besperingkoerse, maskeringskoerse en oorblywende risikotendensse. Beleid is die begin. Moniteringsuitset is die bewys.
Vir hoe blokkering vergelyk met maskering as 'n beheer, sien Blaaier-DLP: Blokkering vs. Anonimisering.