Podnikové compliance týmy čelí novému požadavku ze strany auditorů: prokažte, že vaši zaměstnanci neposílají PII zákazníků na platformy AI jako ChatGPT, Claude nebo Gemini. Zásada říkající „zaměstnanci by neměli sdílet PII zákazníků s AI nástroji" je nutná, ale nedostatečná pro účely auditu DPA.
Auditoři GDPR Článku 32 hodnotí technická opatření, nikoli politické dokumenty. „Máme zásadu" bez technického prosazování nebo monitorování je nedostatečné pro prokázání článku 32 souladu.
Proč síťový DLP selhává pro monitorování AI nástrojů
Tradiční řešení sítě DLP (Prevence ztráty dat) jsou navržena pro e-mailové a souborové přenosy. Interakce prohlížeče AI jsou HTTPS zašifrované od klientského prohlížeče k serveru AI — síťový DLP vidí šifrovaný provoz, nikoli obsah.
Výsledek: zaměstnanec, který vloží zákaznické CRM záznamy do okna ChatGPT, vytvoří přenos dat GDPR bez zanechání stopy v síťovém DLP protokolu.
Technický přístup: Monitorování na straně klienta
Přístupy monitorování na straně klienta jsou pro organizace, které potřebují viditelnost:
Rozšíření prohlížeče pro podnikové monitorování: Podnikové prohlížeče jako Chrome Enterprise nebo Edge Enterprise podporují spravovaná rozšíření, která mohou monitorovat odeslaný obsah na AI domény. Rozšíření může:
- Detekovat vzory PII v odeslaném obsahu (pomocí klientských knihoven detekce)
- Upozornit zaměstnance v reálném čase: „Tato zpráva se zdá obsahovat zákaznická data — zkontrolujte prosím před odesláním"
- Protokolovat PII detekční události (nikoli samotný obsah) pro audit
Endpoint DLP: Moderní endpoint DLP řešení (Microsoft Purview, Symantec DLP) podporují detekci AI přenosu dat na úrovni aplikace — detekci odeslaného obsahu do Webex, Teams nebo AI platforem.
Kvantitativní přístup k důkazům článku 32
Kvantitativní zprávy pro auditory DPA:
Zpráva PII expozice (měsíční):
- Počet zaměstnaneckých interakcí AI monitorovaných: 12 847
- Interakce obsahující PII vzory zachycené: 47
- Z toho: 38 upozorněno a upraveno zaměstnancem před odesláním; 9 blokováno zásadou
- Pokrytí monitoring: 94 % zaměstnaneckých AI interakcí prostřednictvím podnikových zařízení
Tato kvantitativní zpráva je technickým důkazem, který auditoři potřebují. Alternativa — „máme zásadu" — je procedurální důkaz, který DPA auditoři stále méně přijímají jako dostatečný pro Článek 32 soulad.
Zdroje: