Un patró crític en els buits de seguretat de les empreses modernes és el flux de PII no supervisat entre aplicacions:
- Un treballador obre un document de Word amb números de nòmina
- Copia el número de client + pregunta al ChatGPT
- El xat es guarda als servidors d'OpenAI per a millora de models
- 6 mesos després, la companyia descobreix que dades sensibles han estat processades per una IA de tercers sense GDPR DPA
Patrons Comuns de Fugida
Copiar-enganxar de Word → Email:
- 47% dels treballadors copien dades de documentació a missatges de correu institucional
- Els controls DLP de correus electronic només detecten adreces IP o números de compte
- Els números de nòmina (ex: 45123-DK per a una nòmina danesa) passen pel·la
Copiar-enganxar de Excel → Slack:
- Els treballadors comparteixen fragments de fulls de sou en canals de Slack privats
- Slack no detecta números de seguretat social txecs (rodné číslo) o húngars (TAJ-szám)
- El reglament de Slack automàticament cerca els missatges per a millora de la cerca
Copiar-enganxar de Base de Dades → ChatGPT/Claude:
- Un enginyer consulta ChatGPT amb SQL que conté números de DNI espanyols
- OpenAI registra l'entrada per a millora de models
- Claude (Anthropic) registra l'entrada per a millora de models
- Cap dels dos té GDPR DPA que especifici ús de dades per a millora de models (retencio indefinida)
Controls DLP Necessaris
Control 1: Detectar PII dins de plafó d'aplicació
- Detectar números de nòmina danesos (NNNNN-ABC format) a Word
- Detectar números DNI espanyols (NNNNNNNN-L format) a Gmail
- Detectar números de seguretat social canadencs (NNN-NN-NNNNN format) a Slack
Control 2: Detectar PII al copiar-enganxar
- Interceptar clic de "copia" si el text conté PII no xifrat
- Monitoritzar accés a ChatGPT/Claude i avisar si s'han enganxat dades de la companyia
Control 3: Monitoritzar AI API calls
- Detectar quan les dades van a través de portes d'API d'IA (OpenAI, Google, Anthropic)
- Verificar que les companyies de IA han signat un GDPR DPA que prohibeix ús de dades per a millora de models
Actualment, 89% de les empreses europees no han implementat cap control cross-app de PII.