Dokazivanje uskladjenosti s GDPR clankom 32 za AI alate
Azurirano za 2026.
GDPR clanak 32 zahtijeva "primjerene tehnicke i organizacijske mjere" za zastitu osobnih podataka. Kada zaposlenici koriste vanjske AI alate - ChatGPT, Claude, Gemini - rizik je stvaran i mjerljiv. Kontrole takodjer moraju biti mjerljive.
Politika koja kaze "ne dijelite osobne podatke s AI alatima" je organizacijska mjera. Nije tehnicka mjera. Nije dovoljna kada revizor DPA-a pita: "Kako znate da se zaposlenici pridrzavaju?"
Sto revizori DPA-a pitaju o AI alatima
Nakon Samsungovog prekrsaja s ChatGPT-om u ozujku 2023., regulatori su pozorno pregledali korporativne AI programe. Revizori DPA-a sada postavljaju izravna pitanja.
O tehnickim kontrolama pitaju:
- Sto sprecava osobne podatke da dostignu AI sustave?
- Kako provodite maskiranje u stvarnom vremenu?
- Koji dokazi pokazuju da kontrole funkcioniraju?
O pracenju pitaju:
- Kako pratite koristenje AI-ja zaposlenika za izlozenost osobnih podataka?
- Koje metrike prikupljate? Koliko cesto?
- Kako znate da kontrole nisu zaobidjene?
O detekciji incidenata pitaju:
- Kako biste otkrili curenje osobnih podataka u AI alat?
- Koji je vas plan odgovora?
Politicki dokumenti ne odgovaraju ni na jedno od ovih pitanja. Govore sto bi zaposlenici trebali raditi. Ne pokazuju sto zaposlenici stvarno rade.
Jaz u pracenju AI alata u preglednicima
IT timovi u poduzecima suocavaju se s temeljnim problemom: AI alate temeljene na preglednicima je tesko pratiti.
HTTPS enkripcija
ChatGPT, Claude i Gemini svi koriste HTTPS s HSTS-om. Mrezna inspekcija ne moze citati tekst upita bez TLS dekriptiranja.
TLS inspekcija
SSL inspekcija zahtijeva korporativne certifikate na svakom uredaju. Moze slomiti vezivanje certifikata u nekim aplikacijama. Stvara nove sigurnosne praznine. Moze krsiti uvjete koristenja AI platforme. Pokrenuje pitanja privatnosti zaposlenika u mnogim zemljama.
Endpoint DLP
Endpoint agenti prate meduspremnik i unos tipkovnicom. Ali imaju visoke stope laznih pozitiva. Ne mogu razlikovati "upisivanje podataka klijenta u ugovor" od "upisivanja u ChatGPT". Kasnjenje moze propustiti uzivo slanje.
Rezultat: vecina tvrtki koje koriste AI alate ima malo uvida u to koji podaci dostignu te sustave.
Kontrolna ploca za uskladjenost u praksi
Glavni sluzbenik za informacijsku sigurnost u financijskim uslugama mora pokazati revizorima da je izlozenost osobnih podataka u AI alatima pracena i kontrolirana. Zahtjev revizije: stvarni podaci o aktivnom pracenju.
Tvrtka uvodi Chrome prosirenje za 500 zaposlenika. Tjedan dana rezultata:
| Metrika | Tjedna vrijednost |
|---|---|
| Ukupno AI sesija | 8.400 |
| Otkriveni entiteti osobnih podataka | 12.000 |
| Stopa maskiranja | 94% |
| Pronadjena imena kupaca | 4.800 |
| Pronadjeni brojevi racuna | 3.200 |
| Pronadjeni ID-ovi transakcija | 2.100 |
| Nesmaskirano slanje (6%) | 720 entiteta |
Napomena: ilustrativni scenarij. Rezultati variraju prema velicini tvrtke i koristenju AI-ja.
Cetiri stvari koje ovo pokazuje revizorima:
- Razmjer koristenja AI alata (8.400 sesija tjedno)
- Volumen osobnih podataka u riziku (12.000 pronadjenih entiteta)
- Performanse kontrole (94% stopa maskiranja)
- Preostali rizik (720 entiteta treba pracenje)
Tri stvari koje revizori mogu verificirati:
- Tehnicka kontrola je aktivna (evidencija implementacije prosirenja)
- Pracenje je aktivno (tjedna izvjesca)
- Preostali rizik je upravljan (praceca obuka za 6%)
Ovo je razlika izmedju "imamo politiku" i "evo izmjerenog rezultata nase kontrole".
Pretvaranje rezultata u poboljsanje
6% poslano bez maskiranja nije propust. To je uspjeh pracenja. Tvrtka sada zna:
- Koji zaposlenici odbijaju zahtjeve za maskiranje ili ih propustaju.
- Koje vrste entiteta se najcesce salju nesmaskirano.
- Koji timovi imaju vise stope zaobilazenja.
- Pada li stopa dok se zaposlenici prilagojavaju.
Ovo pokrece ciljane akcije. Zaposlenici s visokim zaobilazenjem dobivaju dodatnu obuku. Vrste entiteta s visokim zaobilazenjem mozda trebaju snaznije upozorenja. Timovi s ponavljajucim zaobilazenjem mozda trebaju promjenu tijeka rada.
Bez ovog rezultata, obuka se primjenjuje ravnomjerno. S njim, obuka ide tamo gdje je rizik najveci.
Kako izgleda potpuni paket za clanak 32
Kompletan skup dokumenata GDPR clanka 32 za program AI alata:
Tehnicke mjere:
- Chrome prosirenje na N uredaja (dokaz: MDM zapisnici)
- Detekcija osobnih podataka uzivo u poljima za unos AI alata
- Tijek rada maskiranja s revizijskim tragom (zapisnici prosirenja)
- Kontrolna ploca za uskladjenost (metrike detekcije)
Organizacijske mjere:
- Politika koristenja AI alata
- Evidencija obuke zaposlenika
- Plan odgovora na incidente za curenja podataka u AI-ju
- Tromjesecni pregled rezultata pracenja
Dokazi o pracenju:
- Tjedne metrike kontrolne ploce (kolicni 12 mjeseci)
- Trend stope maskiranja
- Raslamba vrste entiteta
- Evidencija pracenja zaobilazenja
Detekcija incidenata:
- Rezultati pracenja oznacavaju neobicno ponasanje (iznenadni pad stope, nove vrste entiteta)
- Plan odgovora na incidente testiran na [datum]
Ovaj skup zadovoljava clanak 32. Pokazuje tehnicke i organizacijske mjere s pravim dokazima.
Kvantificiranje smanjenja rizika
Za test proporcionalnosti, morate pokazati rizik koji kontrola uklanja.
Bez kontrole:
- 11% AI upita sadrzi osobne podatke (Cyberhaven 2025)
- 8.400 tjednih sesija x 11% = 924 sesije s osobnim podacima tjedno
- Svaka sesija: potencijalna izlozenost GDPR clanka 83 ako su ukljuceni EU podaci
S kontrolom (94% stopa maskiranja):
- 924 sesije s detektiranim osobnim podacima
- 94% maskirano: 869 sesija zasticeno
- Preostalo: 55 sesija tjedno s nesmaskiranih sadrzajem
Rezultat: 94% smanjenje izlozenosti osobnih podataka iz koristenja AI alata.
Za regulatore koji primjenjuju test proporcionalnosti, smanjenje od 94% iz implementirane tehnicke kontrole je snazna evidencija. Pogledajte takodjer sprecavanje curenja osobnih podataka u AI alatima u stvarnom vremenu i preglednikDLP za ChatGPT, Claude i Gemini.
Zakljucak
Uskladjenost s GDPR clankom 32 za AI alate ne moze se osloniti samo na politiku. Pracenje AI sesija preglednika za izlozenost osobnih podataka zahtijeva tehnicku kontrolu koja proizvodi dokaze.
Uzivo maskiranje s ugradenim pracentem daje vam oboje: sprecavanje (manja izlozenost) i dokaze (izmjereni rizik i rezultat kontrole). Ta kombinacija zadovoljava clanak 32.
Za CISO-e koji se suocavaju s revizijom DPA-a: revizori zele stvarne podatke. Pokazite stope detekcije, stope maskiranja i trendove preostalog rizika. Politika je pocetakPracenje rezultata je dokaz.
Za usporedbu blokiranja i maskiranja kao kontrole, pogledajte Browser DLP: Blokiranje nasuprot anonimizacije.