הוכחת ציות לסעיף 32 ל-GDPR עבור כלי AI
עודכן ל-2026.
סעיף 32 ל-GDPR דורש "אמצעים טכניים וארגוניים מתאימים" להגנה על נתונים אישיים. כאשר עובדים משתמשים בכלי AI חיצוניים — ChatGPT, Claude, Gemini — הסיכון אמיתי ומדיד. הבקרות חייבות להיות גם הן מדידות.
מדיניות האומרת "אל תשתפו נתונים אישיים עם כלי AI" היא אמצעי ארגוני. היא אינה אמצעי טכני. היא אינה מספיקה כאשר מבקר DPA שואל: "כיצד אתם יודעים שהצוות מציית?"
מה מבקרי DPA שואלים על כלי AI
לאחר הפרת ChatGPT של Samsung במרץ 2023, הרגולטורים בחנו מקרוב תוכניות AI ארגוניות. מבקרי DPA שואלים כיום שאלות ישירות.
לגבי בקרות טכניות, הם שואלים:
- מה מונע מנתונים אישיים להגיע למערכות AI?
- כיצד אתם אוכפים מיסוך בזמן אמת?
- איזו ראיה מראה שהבקרות פועלות?
לגבי ניטור, הם שואלים:
- כיצד אתם עוקבים אחר שימוש הצוות ב-AI לחשיפת PII?
- אילו מדדים אתם אוספים? באיזו תדירות?
- כיצד אתם יודעים שהבקרות אינן מבוטלות?
לגבי זיהוי אירועים, הם שואלים:
- כיצד תזהו דליפת PII לכלי AI?
- מה תוכנית התגובה שלכם?
מסמכי מדיניות אינם עונים על אף אחת מהשאלות הללו. הם אומרים מה הצוות צריך לעשות. הם אינם מראים מה הצוות אכן עושה.
פער הניטור עבור כלי AI בדפדפן
צוותי IT ארגוניים עומדים בפני בעיה מרכזית: כלי AI מבוססי-דפדפן קשים לניטור.
הצפנת HTTPS
ChatGPT, Claude ו-Gemini משתמשים ב-HTTPS עם HSTS. בדיקת הרשת אינה יכולה לקרוא טקסט פנקס ללא פענוח TLS.
בדיקת TLS
בדיקת SSL דורשת תעודות ארגוניות בכל מכשיר. היא יכולה לשבור הצמדת תעודות בחלק מהאפליקציות. היא יוצרת פרצות אבטחה חדשות. ייתכן שהיא מפרה את תנאי השירות של פלטפורמות AI. היא מעלה בעיות פרטיות עבור עובדים במדינות רבות.
DLP של נקודות קצה
סוכני נקודות קצה צופים בלוח הלחיצות ובהקלדת מקשים. אך יש להם שיעורי חיובי כוזבים גבוהים. הם אינם יכולים להבחין בין "הקלדת נתוני לקוח בחוזה" לבין "הקלדתם ב-ChatGPT." השהיה עלולה להחמיץ שליחות חיות.
התוצאה: רוב החברות המשתמשות בכלי AI אינן יכולות לצפות בנתונים שמגיעים למערכות הללו.
לוח ציות בפועל
CISO בשירותים פיננסיים חייב להראות למבקרים שחשיפת PII בכלי AI מנוטרת ומבוקרת. דרישת הביקורת: נתונים קשים על ניטור פעיל.
החברה פורסת תוסף Chrome ל-500 עובדים. שבוע אחד של פלט:
| מדד | ערך שבועי |
|---|---|
| סה"כ הפעלות AI | 8,400 |
| ישויות PII שזוהו | 12,000 |
| שיעור מיסוך | 94% |
| שמות לקוחות שנמצאו | 4,800 |
| מספרי חשבון שנמצאו | 3,200 |
| מזהי עסקה שנמצאו | 2,100 |
| שליחות לא מוסוות (6%) | 720 ישויות |
הערה: תרחיש להמחשה. התוצאות משתנות לפי גודל החברה ושימוש ב-AI.
ארבעה דברים שזה מראה למבקרים:
- היקף השימוש בכלי AI (8,400 הפעלות בשבוע)
- נפח ה-PII בסיכון (12,000 ישויות שנמצאו)
- ביצועי הבקרה (שיעור מיסוך של 94%)
- סיכון שיורי (720 ישויות זקוקות למעקב)
שלושה דברים שמבקרים יכולים לאמת:
- בקרה טכנית פעילה (יומני פריסת התוסף)
- הניטור פעיל (דוחות שבועיים)
- הסיכון השיורי מנוהל (הדרכה נוספת ל-6%)
זה ההבדל בין "יש לנו מדיניות" ל"הנה פלט הבקרה המדוד שלנו."
הפיכת פלט לשיפור
6% שנשלחו ללא מיסוך אינם כישלון. הם הצלחת ניטור. החברה יודעת כעת:
- אילו עובדים מבטלים הנחיות מיסוך או מחמיצים אותן.
- אילו סוגי ישויות נשלחים לעיתים קרובות ביותר ללא מיסוך.
- אילו צוותים יש להם שיעורי עקיפה גבוהים יותר.
- האם השיעור יורד כאשר הצוות מסתגל.
זה מניע פעולה ממוקדת. עובדים עם עקיפה גבוהה מקבלים הדרכה נוספת. סוגי ישויות עם עקיפה גבוהה עשויים להזדקק להנחיות חזקות יותר. צוותים עם עקיפות חוזרות עשויים להזדקק לשינוי בתהליך העבודה.
ללא פלט זה, הדרכה מוחלת באופן שווה. עם פלט זה, הדרכה הולכת לשם שבו הסיכון הגבוה ביותר.
כיצד נראה חבילת סעיף 32 המלאה
מערך מסמכים מלא של GDPR סעיף 32 לתוכנית כלי AI:
אמצעים טכניים:
- תוסף Chrome ב-N מכשירים (ראיה: יומני MDM)
- זיהוי PII חי בשדות קלט של כלי AI
- תהליך עבודה של מיסוך עם שרשרת ביקורת (יומני תוסף)
- לוח ציות (מדדי זיהוי)
אמצעים ארגוניים:
- מדיניות שימוש בכלי AI
- רשומות הדרכת צוות
- תוכנית תגובה לאירועים לדליפות נתוני AI
- סקירה רבעונית של פלט הניטור
ראיות ניטור:
- מדדי לוח שבועיים (12 חודשים אחרונים)
- מגמת שיעור מיסוך
- פירוט סוגי ישויות
- רשומות מעקב לעקיפות
זיהוי אירועים:
- פלט ניטור מסמן התנהגות חריגה (ירידה פתאומית בשיעור, סוגי ישויות חדשים)
- תוכנית תגובה לאירועים שנבדקה בתאריך [תאריך]
מערך זה עונה על סעיף 32. הוא מראה אמצעים טכניים וארגוניים עם ראיות אמיתיות.
כימות הפחתת הסיכון
למבחן המידתיות, עליכם להראות את הסיכון שהבקרה מסירה.
ללא הבקרה:
- 11% מפנקסי AI מכילים PII (Cyberhaven 2025)
- 8,400 הפעלות שבועיות × 11% = 924 הפעלות עם PII בשבוע
- כל הפעלה: חשיפה פוטנציאלית לפי סעיף 83 ל-GDPR אם נתוני EU מעורבים
עם הבקרה (שיעור מיסוך 94%):
- 924 הפעלות עם PII שזוהה
- 94% מוסוות: 869 הפעלות מוגנות
- שיורי: 55 הפעלות בשבוע עם תוכן לא מוסווה
התוצאה: ירידה של 94% בחשיפת PII משימוש בכלי AI.
עבור רגולטורים המיישמים את מבחן המידתיות, הפחתה של 94% מבקרה טכנית שנפרסה היא ראיה חזקה. ראו גם מניעת PII בזמן אמת לכלי AI ו-DLP בדפדפן עבור ChatGPT, Claude ו-Gemini.
סיכום
ציות ל-GDPR סעיף 32 עבור כלי AI אינו יכול להתבסס על מדיניות בלבד. ניטור הפעלות AI בדפדפן לחשיפת PII דורש בקרה טכנית המייצרת ראיות.
מיסוך חי עם ניטור מובנה נותן לכם שניהם: מניעה (פחות חשיפה) וראיות (סיכון מדוד ופלט בקרה). שילוב זה עונה על סעיף 32.
עבור CISOs המתמודדים עם ביקורת DPA: מבקרים רוצים נתונים קשים. הראו שיעורי זיהוי, שיעורי מיסוך ומגמות סיכון שיורי. מדיניות היא ההתחלה. פלט ניטור הוא ההוכחה.
להשוואה בין חסימה למיסוך כבקרה, ראו DLP בדפדפן: חסימה לעומת אנונימיזציה.