A napi személyes adat expozíció matematikája
A Cyberhaven kutatása megállapította, hogy a vállalati alkalmazottak átlagosan napi 3,8 érzékeny adatot illesztenek be a ChatGPT-be felhasználónként. Egy 100 fős ügyfélszolgálati csapatnál ez napi 380 olyan eset, amikor az ügyféladatok bejutnak a ChatGPT-be.
Minden egyes eset GDPR-szabvány-adatminimalizálási sérelemnek számíthat az 5. cikk (1) bekezdésének c) pontja alapján. Ez a cikk megköveteli, hogy a személyes adatok „megfelelőek, relevánsak és az adatkezelés szempontjából szükségesre korlátozottak” legyenek.
Ezek nem szabályokat figyelmen kívül hagyó, ámokfutó alkalmazottak. A 3,8-as szám a normális munkát tükrözi. Az ügynökök kimásolják az ügyfél e-mailjeit, hogy válaszokat fogalmazzanak meg. Beillesztik a panasz szövegét, hogy empatikus javaslatokat kapjanak. Belefoglalják a fiókreszleteket, hogy kontextusra épülő válaszokat kapjanak. Minden egyes beillesztés érvényes termelékenységi lépés, amely véletlenül személyes adatokat is visz magával.
A viselkedési képzés nem oldja meg a problémát
Egy 2024-es EU-s audit megállapította, hogy a ChatGPT-felhasználói adatok 63%-a személyazonosításra alkalmas információt tartalmazott. Csak a felhasználók 22%-a tudta, hogy lemondhat erről az eszköz beállításain keresztül. A MI-asszisztensbe beillesztett tartalom többsége személyes adatokat tartalmaz. A legtöbb felhasználó nincs tisztában a kontrollokkal. Az eredmény nagyarányú napi expozíció.
A szabályzati képzés alapvető problémába ütközik. A másolás-beillesztés szokása évtizedekre nyúlik vissza. A felhasználók a számítógépük első napja óta másolnak és illesztenek be szöveget. Ha egy MI-csevegőeszközt beillesztési célpontként kapcsolunk be, az új célállomást ad. Nem változtatja meg a szokást.
Egy „ne illessen be ügyféladatokat a MI-asszisztensbe” szabályzat arra kéri az ügynököket, hogy illesszenek be egy osztályozási lépést – „tartalmaz-e ez a szöveg személyes adatokat?” – egy olyan szokásos műveletbe, amelynek nincs természetes szünete. A képzési hatások elhalványulnak. A napi 380 beillesztési döntés kumulatív eredménye olyan megfelelőségi kockázat, amelyet a szabályzat önmagában nem tud kezelni.
Ahol a technikai kontrollok működnek
A javítás magánál a beillesztési műveletnél lép életbe. Egy böngészőbővítmény elfogja a vágólapra másolt tartalmat abban a pillanatban, amikor az ügynök megnyomja a beillesztés gombot, mielőtt a szöveg elérné a beviteli mezőt. Az ügynök egy előnézeti modális ablakot lát. Ez megmutatja, mit észleltek, és mit fognak anonymizálni, mielőtt a szöveg elküldésre kerül.
Ez nem blokkoló kontroll. Az ügynökök folytathatják, felülbírálhatják, vagy leállíthatják. Ez egy átláthatósági lépés. Egy rövid láthatósági pillanatot ad egy egyébként automatikus művelethez.
Képzeljük el egy német e-kereskedelmi ügyfélszolgálati csoportvezetőt, aki ügyféli panaszokra fogalmaz meg válaszokat. A munkafolyamat ugyanaz marad: másolja a panaszt, illessze be a ChatGPT-be, generáljon választ. A bővítmény egy kétmásodperces ellenőrzést ad hozzá. Az ügynök látja, hogy neveket, címeket és rendelési számokat észleltek. Az ügynök megnyomja a folytatás gombot. Az eszköz az anonymizált verziót kapja. A megfelelőségi sérelem nem következik be.
A GDPR-megfelelőségi útmutatónk ismerteti ezeknek a kontrolloknak a jogi alapját. Lásd még: MI-szabályzat vs. technikai kontrollok összehasonlítása és a böngészőalapú DLP ChatGPT-hez útmutató az implementáció részleteiért.