GDPR 32. Artikuluaren Betetzea AI Tresnetarako Frogatzea
2026rako eguneratua.
GDPR 32. Artikuluak "neurri tekniko eta antolakuntza egokiak" eskatzen ditu datu pertsonalak babesteko. Langileek kanpoko AI tresnak erabiltzen dituztenean - ChatGPT, Claude, Gemini - arriskua erreala eta neurgarria da. Kontrolak ere neurgarriak izan behar dira.
"Ez partekatu datu pertsonalik AI tresnekin" esaten duen politika bat antolakuntza-neurri bat da. Ez da neurri tekniko bat. Ez da nahikoa DPA ikuskaritza batek galdetzen duenean: "Nola dakizu langileek betetzen dutela?"
DPA Ikuskaritzek AI Tresnen Inguruan Galdetzen Dutena
2023ko martxoko Samsung ChatGPT urraketaren ondoren, erregulatzaileek enpresako AI programak zorrotz aztertu zituzten. DPA ikuskaritzek galdera zuzenak egiten dituzte.
Kontrol teknikoei buruz galdetzen dute:
- Zer geldiarazten du datu pertsonalek AI sistemetara iristea?
- Nola aplikatzen duzu maskaraketa denbora errealean?
- Zer frogak erakusten du kontrolek funtzionatzen dutela?
Monitorizazioari buruz galdetzen dute:
- Nola jarraitzen diozu langileek PII exposiziorako AI erabilerai?
- Zer metrika biltzen dituzu? Zenbat maiz?
- Nola dakizu kontrolak saihesten ez direla?
Gertakari detekzioari buruz galdetzen dute:
- Nola antzemango zenuke PII iheska AI tresna batera?
- Zein da zure erantzun-plana?
Politika-dokumentuek galdera horietako bat ere erantzuten ez dute. Langileek zer egin behar duten esaten dute. Ez dute erakusten langileek zer egiten duten benetan.
Nabigatzaile AI Tresnetarako Monitorizazio-hutsa
Empresako IT taldeek oinarrizko arazo bati aurre egiten diote: nabigatzaile-oinarritutako AI tresnak zaila dira monitoreatzen.
HTTPS Enkriptatua
ChatGPT, Claude eta Gemini guztiek HSTS duten HTTPS erabiltzen dute. Sareko ikuspegiak ezin du gonbida-testua irakurri TLS desenkriptatzerik gabe.
TLS Ikuspena
SSL ikuspegiak gailu guztietan enpresako ziurtagiriak behar ditu. Aplikazio batzuetan ziurtagiri-ainguraketa apurtu dezake. Segurtasun-hutsune berriak sortzen ditu. AI plataformaren zerbitzu-baldintzak hauts ditzake. Herrialde askotan langile-pribatutasun arazoak sortzen ditu.
Amaierako DLP
Amaierako agenteak arbelaren eta teklatu-sarreraren gainbegiralea dira. Baina positibo faltsu-tasa altuak dituzte. Ezin dute bereizi "bezero-datuak kontratu batean idaztea" eta "ChatGPT-n idaztea". Atzerapena bidaltzetan galdu daiteke.
Emaitza: AI tresnak erabiltzen dituzten enpresa gehienek gutxi dakite zer datu iritsi diren sistema horietara.
Betetze-arbelak Praktikan
Finantza-zerbitzu bateko CISO-ak ikuskaritzei erakutsi behar die AI tresnen PII exposizioa kontrolatzen eta jarraitua dela. Ikuskaritza-betekizuna: aktiboki monitoreatzeko datu gogorrak.
Enpresak 500 langileei Chrome Extension zabaltzen die. Astebeteko irteerak:
| Metrika | Asteko balioa |
|---|---|
| AI saio guztiak | 8.400 |
| Detektatutako PII entitateak | 12.000 |
| Maskara-tasa | %94 |
| Aurkitutako bezero-izenak | 4.800 |
| Aurkitutako kontu-zenbakiak | 3.200 |
| Aurkitutako transakzio-IDak | 2.100 |
| Maskaratu gabeko bidalketak (%6) | 720 entitate |
Oharra: adierazgarrizko eszenatokia. Emaitzak enpresa-tamainaren eta AI erabileraren arabera aldatzen dira.
Ikuskaritzei erakusten dion lau gauzek:
- AI tresnen erabileraren eskala (astean 8.400 saio)
- Arriskuan dagoen PII bolumena (12.000 entitate aurkituak)
- Kontrolaren errendimendua (%94 maskara-tasa)
- Gainerako arriskua (720 entitatek jarraipena behar dute)
Ikuskaritzek egiaztatu dezaketen hiru gauzek:
- Kontrol tekniko bat bizirik dago (extension zabaltzeko erregistroak)
- Monitorizazioa aktiboa da (asteko txostenak)
- Gainerako arriskua kudeatzen da (%6aren jarraipen-trebakuntza)
Hau da "politika bat dugu" eta "hemen dugu gure neurtu kontrolaren irteera" arteko aldea.
Irteera Hobekuntzan Bihurtzea
Maskaratu gabe bidali den %6a ez da hutsegitea. Monitorizazio-arrakasta da. Enpresak orain badaki:
- Zein langileek baztertzen edo galtzen duten maskaraketa-gonbitrak.
- Zein entitate-mota gehienetan bidaltzen diren maskaratu gabe.
- Zein taldeek saihestate-tasa handiagoak dituzten.
- Langileek egokitzen diren heinean tasa jaisten den ala ez.
Honek ekinbide zuzendua bultzatzen du. Saiheste-tasa altuko langileek trebakuntzako gehigarria jasotzen dute. Saiheste-tasa altuko entitate-motek gonbida indartsuagoak behar ditzakete. Errepikatutako saihesteak dituzten taldeek lan-fluxu aldaketa bat behar dezakete.
Irteera hori gabe, trebakuntza modu uniformean aplikatzen da. Harekin, trebakuntza arriskua handiena den lekura joaten da.
GDPR 32. Artikuluaren Pakete Osoa Zer Den
AI tresna programa baterako GDPR 32. Artikuluko dokumentu multzo osoa:
Neurri teknikoak:
- Chrome Extension N gailutan (froga: MDM erregistroak)
- Denbora errealeko PII detekzioa AI tresna sarrera-eremuetan
- Ikuskaritza-uztailekin maskaraketa lan-fluxua (extension erregistroak)
- Betetze-arbela (detekzio-metrikak)
Antolakuntza-neurriak:
- AI tresna erabilera-politika
- Langile-trebakuntza erregistroak
- AI datu-ihesen gertakari-erantzun plana
- Monitorizazio-irteeraren hiruhileko berrikuskapena
Monitorizazio-frogak:
- Asteko arbel-metrikak (iragandako 12 hilabeteak)
- Maskara-tasaren joera
- Entitate-moten banaketa
- Saihestaketa jarraipen-erregistroak
Gertakari detekzioa:
- Monitorizazio-irteerak portaera arraroa markatzen du (bat-bateko tasa-jaitsiera, entitate-mota berriak)
- Gertakari-erantzun plana [datan] probatua
Multzo honek 32. Artikulua asetzen du. Neurri tekniko eta antolakuntza-neurriak erakusten ditu froga errealarekin.
Arriskuaren Murrizpena Kuantifikatzea
Proportionaltasun probaren kasuan, kontrolak kentzen duen arriskua erakutsi behar duzu.
Kontrolik gabe:
- AI gonbida guztien %11k PII dute (Cyberhaven 2025)
- 8.400 asteko saio x %11 = asteko 924 saio PII-rekin
- Saio bakoitza: GDPR 83. Artikuluko exposizio potentzial bat UEko datuak tartean badira
Kontrolarekin (%94 maskara-tasa):
- Detektatutako PII duten 924 saio
- %94 maskaratua: 869 saio babestuta
- Gainerakoa: astean 55 saio maskara gabeko edukiarekin
Emaitza: AI tresna erabileraren PII exposizioaren %94ko murrizpena.
Proportionaltasun proba aplikatzen duten erregulatzaileentzat, kontrol tekniko zabaldutako %94ko murrizpena froga sendoa da. Ikusi ere PII prebentzioa denbora errealean AI tresnetarako eta nabigatzaile DLP ChatGPT, Claude eta Gemini-rako.
Ondorioa
GDPR 32. Artikuluaren betetzea AI tresnetarako ezin da soilik politikan oinarritu. Nabigatzaile AI saioetan PII exposiziorako monitorizazioak froga sortzen duen kontrol tekniko bat behar du.
Monitorizazio integratudun bizi-maskaratzeak biak ematen dizkizu: prebentzioa (exposizio gutxiago) eta froga (neurtu arriskua eta kontrol-irteera). Konbinazio horrek 32. Artikulua asetzen du.
DPA ikuskaritza bati aurre egiten duten CISOentzat: ikuskaritzek datu gogorrak nahi dituzte. Erakutsi detekzio-tasak, maskara-tasak eta gainerako arriskuaren joerak. Politika hasiera da. Monitorizazio-irteera froga da.
Blokeatzea maskaraketarekin kontrolatzat nola konparatzen den ikusteko, ikusi Nabigatzaile DLP: Blokeatzea vs. Anonimizazioa.