Доказване на съответствие на член 32 от GDPR за...

Доказване на съответствие на член 32 от GDPR за инструменти за изкуствен интелект: Наблюдавайте излагането на лични данни на служителите с данни, а не с документи за политики

GDPR Член 32 изисква „подходящи технически и организационни мерки“ за гарантиране на сигурност, съответстваща на риска. Когато служителите използват външни AI инструменти (ChatGPT, Claude, Gemini), рискът е реален и измерим. Мерките за справяне с този риск също трябва да бъдат доказуеми.

Политически документ, в който се казва, че „служителите не трябва да споделят лични данни с AI инструменти“ е организационна мярка. Това не е техническа мярка. И не е достатъчно, когато одитор на DPA попита „откъде знаете, че служителите действително спазват изискванията?“

Какво търсят одиторите на DPA в съответствието на AI инструмента

След инцидента Samsung ChatGPT (март 2023 г.) и последващия регулаторен контрол на приемането на корпоративни инструменти за ИИ, одиторите на DPA разработиха конкретни въпроси относно програмите за съответствие на инструментите за ИИ:

Технически контрол: – „Какви технически мерки не позволяват личните данни да достигнат до външни AI системи?“

• „Как налагате изискванията за анонимизиране при взаимодействия с AI в реално време?“
• "Какви доказателства показват, че тези технически контроли функционират?"

Мониторинг:

• „Как наблюдавате използването на AI инструмента от служителите за излагане на лични данни?“
• "Какви показатели проследявате? С каква честота?" – „Как знаеш, че контролите ти са ефективни, а не са заобиколени?“

Откриване на инциденти: – „Как бихте установили дали личните данни са били споделени с AI инструмент?“ – „Каква е вашата процедура за реакция при инцидент при изтичане на данни от AI?“

Политическите документи отговарят на нула от тези въпроси с доказателства. Те описват какво трябва да правят служителите; те не демонстрират какво всъщност правят.

Пропускът във видимостта на мониторинга

Корпоративните ИТ екипи са изправени пред фундаментално предизвикателство за мониторинг на базирани на браузър AI инструменти:

HTTPS криптиране: Всички основни AI платформи (ChatGPT, Claude, Gemini) използват HTTPS с HSTS и фиксиране на сертификат в някои конфигурации. Проверката на пакети на ниво мрежа не може да види незабавно съдържание без TLS декриптиране.

Ограничения за TLS декриптиране: Внедряване на TLS проверка (MITM) за AI трафик:

• Изисква внедряване на корпоративни сертификати за всички крайни точки
• Прекъсва закрепването на сертификата за някои приложения
• Създава нови рискове за сигурността (дешифрираният трафик може да се проверява)
• Може да наруши условията за обслужване на AI платформи
• Създава опасения за поверителността на служителите в много юрисдикции

**Endpoint DLP ограничения: ** Endpoint DLP агентите могат да наблюдават клипборда и натисканията на клавиши, но:

• Високи нива на фалшиви положителни резултати (легитимното манипулиране на данни задейства предупреждения)
• Не може да се направи разлика между "въвеждане на чувствителни данни в Word" и "въвеждане в ChatGPT"
• Закъснението при обработката може да пропусне подаването в реално време
• Изисква достъп на ниво ядро, което създава опасения за сигурността и стабилността

Резултатът: повечето организации, внедряващи корпоративни AI инструменти, имат ограничена видимост какви данни действително достигат до тези инструменти.

Таблото за управление на съответствието на финансовите услуги

CISO на фирма за финансови услуги трябва да докаже на външни одитори, че експозицията на инструмента за изкуствен интелект се наблюдава и контролира. Изискването на одита: количествени доказателства за активно наблюдение и ефективност на контрола.

Внедряване: Разширението за Chrome, разпространено до 500 служители

Генерирани данни за наблюдение:

Какво показват тези данни на одиторите:

• Мащабът на използване на AI инструмента (8400 взаимодействия/седмица)
• Обемът на риска от експозиция на PII (открити 12 000 обекта)
• Ефективността на контрола за анонимизиране (94% степен на анонимизиране)
• Остатъчният риск (720 нередактирани обекта, изискващи последващи действия)

Какво могат да проверят одиторите:

• Техническият контрол съществува и функционира (регистрационни файлове за внедряване на разширение)
• Мониторингът е активен и генерира данни (седмични показатели)
• Остатъчният риск се определя количествено и се управлява (последващо обучение за 6% несъответствие)

Това е разликата между „ние имаме политика“ и „ето нашата измерена ефективност на контрола“.

Използване на данни от мониторинг за непрекъснато подобрение

6% от откритите лични данни, изпратени без анонимизиране, не са несъответствие – това е успех при наблюдение. Организацията вече знае:

1. 6% от служителите или отхвърлят предложението за анонимизиране, или не го виждат
2. Конкретните типове субекти, които най-често се изпращат нередактирани (имена на клиенти спрямо номера на сметки спрямо други категории)
3. Кои отдели или роли имат по-висок процент на нередактирано подаване
4. Данни за тенденциите (6% намаляват ли, тъй като служителите се адаптират към работния процес?)

Тези данни водят до целенасочена намеса:

• Служителите с висок процент на нередактирано подаване получават допълнително обучение
• Типовете обекти с високи скорости на заобикаляне може да изискват подсилени подкани на потребителския интерфейс
• Отделите със систематично несъответствие може да получат редизайн на работния процес

Без данни за мониторинг обучението и интервенцията се прилагат еднакво. С данните те се прилагат там, където рискът е най-висок.

GDPR Документация за програми с инструменти за изкуствен интелект

Пълен GDPR документационен пакет по член 32 за програма за съответствие на корпоративен AI инструмент:

Технически мерки:

1. Разширение за Chrome, внедрено на [N] служители (доказателство за внедряване: регистрационни файлове на MDM)
2. Откриване на PII в реално време за [типове обекти] в полетата за въвеждане на инструмента за изкуствен интелект
3. Работен процес за анонимизиране с одитна пътека (регистрационни файлове за разширение)
4. Табло за организационно наблюдение (обобщени показатели за откриване)

Организационни мерки:

1. Правила за използване на AI инструмент (документирано)
2. Записи за завършено обучение на служители
3. Процедура за реакция при инциденти при изтичане на данни от ИИ
4. Тримесечен преглед на съответствието на данните от мониторинга

Мониторингови доказателства:

1. Седмични показатели на таблото за управление (подвижни 12 месеца)
2. Данни за тенденциите в процента на анонимизиране
3. Разбивка по тип обект
4. Записи за последващи действия за идентифицирано несъответствие

Възможност за откриване на инциденти:

1. Данните за наблюдение позволяват идентифициране на аномално поведение (внезапен спад в процента на анонимизиране, появяване на нови типове обекти)
2. Тествана процедура за реакция при инцидент [дата]

Тази документация удовлетворява изискването на член 32 на GDPR за демонстриране на подходящи технически и организационни мерки — с доказателства, а не с изявления за политики.

Количествено определяне на намаляването на риска

За анализ на регулаторната пропорционалност, количествено определяне на намалението на риска, постигнато от техническия контрол:

Преди технически контрол:

• 11% от подканите на AI съдържат PII (Cyberhaven baseline)
• 8400 седмични взаимодействия × 11% = 924 взаимодействия с PII на седмица
• Всяко взаимодействие: потенциално нарушение на член 83 от GDPR, ако личните данни на ЕС

След технически контрол (94% степен на анонимизация):

• 924 взаимодействия с открит PII
• 94% анонимизирани: 869 взаимодействия защитени
• Остатъчно: 55 взаимодействия на седмица с нередактирана лична информация

**Намаляване на риска: ** 94% намаление на инцидентите с излагане на PII от използването на AI инструмент.

За регулаторите, прилагащи теста за пропорционалност (подходящи мерки спрямо риска), 94% намаление на риска от систематично прилаган технически контрол е силен демонстратор на подходящи технически мерки.

Заключение

GDPR Съответствието с член 32 за използване на инструмента за изкуствен интелект не е постижимо само чрез документи за политики. Техническото предизвикателство — наблюдение на базирани на браузър взаимодействия с AI за излагане на лични данни — изисква технически контрол, който генерира данни за наблюдение.

Анонимизирането на PII в реално време с интегриран мониторинг осигурява както превенция (намаляване на експозицията), така и доказателства (количествено определяне на риска и ефективността на контрола). Комбинацията отговаря на техническите изисквания и изискванията за доказуемост на член 32.

За CISO, които се подготвят за одити на DPA: въпросът „покажете ми вашия AI инструмент PII контроли“ има един убедителен отговор — количествени данни от мониторинг, показващи нива на откриване, проценти на анонимизиране и тенденции на остатъчен риск. Политическите документи са необходимата отправна точка; данните са доказателството.

Източници:

• [GDPR член 32: Сигурност на обработването — технически и организационни мерки] (https://gdpr-info.eu/art-32-gdpr/)
• [Cyberhaven: Enterprise AI Data Exposure Study 2025] (https://www.cyberhaven.com/engineering/ai-data-exposure-study-2025/)
• [EDPB: Насоки за технически мерки за AI системи] (https://edpb.europa.eu)