Demostrar el Compliment de l'Article 32 del RGPD per a Eines d'IA
Actualitzat per al 2026.
L'Article 32 del RGPD requereix "mesures tecniques i organitzatives adequades" per protegir les dades personals. Quan el personal utilitza eines d'IA externes -- ChatGPT, Claude, Gemini -- el risc es real i mesurable. Els controls tambe han de ser mesurables.
Una politica que diu "no compartiu dades personals amb eines d'IA" es una mesura organitzativa. No es una mesura tecnica. No es suficient quan un auditor de l'APD pregunta: "Com sabeu que el personal compleix?"
Que Pregunten els Auditors de l'APD sobre les Eines d'IA
Despres de la violacio de ChatGPT de Samsung el marc 2023, els reguladors van examinar detingudament els programes d'IA empresarial. Els auditors de l'APD ara fan preguntes directes.
Sobre controls tecnics, pregunten:
- Que impedeix que les dades personals arribin als sistemes d'IA?
- Com s'aplica l'emmascarament en temps real?
- Quina evidencia demostra que els controls funcionen?
Sobre supervisio, pregunten:
- Com es fa el seguiment de l'us d'IA del personal per a l'exposicio de PII?
- Quines metriques es recullen? Amb quina frequencia?
- Com se sap que els controls no es bypassen?
Sobre deteccio d'incidents, pregunten:
- Com es detectaria una filtracio de PII a una eina d'IA?
- Quin es el pla de resposta?
Els documents de politica no responen cap d'aquestes preguntes. Diuen el que el personal hauria de fer. No mostren el que el personal realment fa.
La Brecxa de Supervisio per a Eines d'IA del Navegador
Els equips de TI empresarial s'enfronten a un problema central: les eines d'IA basades en navegador son dificils de supervisar.
Xifrat HTTPS
ChatGPT, Claude i Gemini utilitzen HTTPS amb HSTS. La inspeccio de xarxa no pot llegir el text del prompt sense desxiframent TLS.
Inspeccio TLS
La inspeccio SSL necessita certificats empresarials a cada dispositiu. Pot trencar el fixament de certificats en algunes aplicacions. Crea noves bretxes de seguretat. Pot infringir les condicions de servei de les plataformes d'IA. Genera problemes de privadesa del personal en molts paisos.
DLP d'Endpoint
Els agents d'endpoint vigilen el porta-retalls i l'entrada de tecles. Pero tenen altes taxes de falsos positius. No poden distingir entre "escriure dades de clients en un contracte" i "escriure-les a ChatGPT". La latencia pot perdre enviaments en viu.
El resultat: la majoria d'empreses que utilitzen eines d'IA tenen poca visibilitat sobre quines dades arriben a aquests sistemes.
Un Quadre de Compliment en Practica
Un CISO de serveis financers ha de demostrar als auditors que l'exposicio de PII de les eines d'IA esta rastreada i controlada. El requisit d'auditoria: dades solides sobre supervisio activa.
L'empresa desplega una Extensio de Chrome a 500 empleats. Una setmana de resultats:
| Metrica | Valor setmanal |
|---|---|
| Total de sessions d'IA | 8.400 |
| Entitats PII detectades | 12.000 |
| Taxa d'emmascarament | 94% |
| Noms de clients trobats | 4.800 |
| Numeros de compte trobats | 3.200 |
| IDs de transaccio trobats | 2.100 |
| Enviaments sense emmascarat (6%) | 720 entitats |
Nota: escenari il.lustratiu. Els resultats varien segons la mida de l'empresa i l'us de l'IA.
Quatre coses que aixo mostra als auditors:
- Escala d'us de les eines d'IA (8.400 sessions per setmana)
- Volum de PII en risc (12.000 entitats trobades)
- Rendiment del control (94% de taxa d'emmascarament)
- Risc residual (720 entitats necessiten seguiment)
Tres coses que els auditors poden verificar:
- Un control tecnic esta en funcionament (registres de desplegament de l'extensio)
- La supervisio esta activa (informes setmanals)
- El risc residual esta gestionat (formacio de seguiment per al 6%)
Aixo es la diferencia entre "tenim una politica" i "aqui teniu el nostre resultat de control mesurat".
Convertir els Resultats en Millora
El 6% enviat sense emmascarament no es un fallada. Es un exit de supervisio. L'empresa ara sap:
- Quin personal descarta les avisos d'emmascarament o els passa per alt.
- Quins tipus d'entitats s'envien mes sovint sense emmascarat.
- Quins equips tenen taxes de bypass mes altes.
- Si la taxa baixa a mesura que el personal s'adapta.
Aixo impulsa accions orientades. El personal amb bypass elevat rep formacio addicional. Els tipus d'entitats amb bypass elevat poden necessitar avisos mes potents. Els equips amb bypasses repetits poden necessitar un canvi de flux de treball.
Sense aquest resultat, la formacio s'aplica uniformement. Amb ell, la formacio va on el risc es mes alt.
Com es un Paquet Complet de l'Article 32
Un conjunt complet de documents RGPD de l'Article 32 per a un programa d'eines d'IA:
Mesures tecniques:
- Extensio de Chrome a N dispositius (evidencia: registres MDM)
- Deteccio de PII en viu als camps d'entrada de les eines d'IA
- Flux de treball d'emmascarament amb rastre d'auditoria (registres de l'extensio)
- Quadre de compliment (metriques de deteccio)
Mesures organitzatives:
- Politica d'us d'eines d'IA
- Registres de formacio del personal
- Pla de resposta a incidents per a fuites de dades d'IA
- Revisio trimestral dels resultats de supervisio
Evidencia de supervisio:
- Metriques del quadre setmanals (12 mesos continuus)
- Tendencia de la taxa d'emmascarament
- Desglossament per tipus d'entitat
- Registres de seguiment per a bypasses
Deteccio d'incidents:
- Els resultats de supervisio marquen comportaments estranys (caiguda sobtada de la taxa, nous tipus d'entitats)
- Pla de resposta a incidents provat a [data]
Aquest conjunt compleix l'Article 32. Mostra mesures tecniques i organitzatives amb evidencia real.
Quantificar la Reduccio del Risc
Per a la prova de proporcionalitat, heu de mostrar el risc que elimina el control.
Sense el control:
- L'11% dels prompts d'IA contenen PII (Cyberhaven 2025)
- 8.400 sessions setmanals x 11% = 924 sessions amb PII per setmana
- Cada sessio: una possible exposicio de l'Article 83 del RGPD si s'involucren dades de la UE
Amb el control (94% de taxa d'emmascarament):
- 924 sessions amb PII detectat
- 94% emmascarat: 869 sessions protegides
- Residual: 55 sessions per setmana amb contingut sense emmascarat
El resultat: una reduccio del 94% en l'exposicio de PII per l'us d'eines d'IA.
Per als reguladors que apliquen la prova de proporcionalitat, una reduccio del 94% d'un control tecnic desplegat es una evidencia solida. Vegeu tambe prevencio de PII en temps real per a eines d'IA i DLP de navegador per a ChatGPT, Claude i Gemini.
Conclusio
El compliment de l'Article 32 del RGPD per a eines d'IA no pot descansar nomes en politiques. La supervisio de sessions d'IA del navegador per a l'exposicio de PII necessita un control tecnic que produeixi evidencia.
L'emmascarament en viu amb supervisio integrada us dona tots dos: prevencio (menys exposicio) i evidencia (risc mesurat i resultat del control). Aquesta combinacio satisfa l'Article 32.
Per als CISOs que s'enfronten a una auditoria de l'APD: els auditors volen dades solides. Mostreu taxes de deteccio, taxes d'emmascarament i tendencies de risc residual. La politica es el principi. Els resultats de supervisio son la prova.
Per a com el bloqueig es compara amb l'emmascarament com a control, vegeu DLP de Navegador: Bloqueig vs. Anonimitzacio.