Amikor a politika valódi viselkedéssel találkozik
Egy kormányzati vállalkozóra nyomás nehezedett. Feldolgozatlan FEMA árvízsegély-kérelmek halmozódtak előtte. Neveket, címeket és egészségügyi feljegyzéseket illesztett be a ChatGPT-be, hogy gyorsabban haladjon. A saját megítélése szerint nem szegett törvényt. Csak a legjobb rendelkezésre álló eszközt használta.
Az eredmény: kormányzati vizsgálat és nyilvános közzététel.
Ez a kizárólag szabályzatra alapuló MI-irányítás alapvető kudarca. A szabályzatok megmondják az alkalmazottaknak, mit kell tenniük. Nem állítják meg a viselkedést.
A vállalati alkalmazottak 77%-a hetente legalább egyszer oszt meg érzékeny munkahelyi adatokat MI-eszközökkel — még akkor is, ha a szabályzat tiltja ezt (eSecurity Planet/Cyberhaven 2025). Ezek nem meggondolatlan munkavállalók. Időnyomás alatt lévő emberek, akik a leggyorsabb eszközt választják.
Miért omlik össze a szabályzat
A MI-használati szabályzatok az emberi megítélésre támaszkodnak a beviteli pillanatban. Ez a pillanat gyors. Lehet, hogy az alkalmazott nem emlékszik a szabályzatra. Lehet, hogy nem látja az adatot „érzékenynek”. Lehet, hogy elfogadja a kockázatot, mert az időmegtakarítás nagynak tűnik.
A Cyberhaven Q4 2025-ös elemzése megállapította, hogy a ChatGPT-bevitelek 34,8%-a bizalmas üzleti információkat tartalmaz. E felhasználók közül sokan ismerték a szabályzatot. Ennek ellenére beillesztették az adatokat.
A hozzáférési szabályzatok azért működnek, mert a rendszerek érvényesítik őket. Az e-mail-rétegen lévő DLP azért működik, mert a rendszerek alkalmazzák. A MI-használati szabályzatoknak nincs érvényesítési mechanizmusuk a beillesztési ponton. Emberi döntés tölti be ezt a rést. Nagy léptékben az emberek hibáznak.
A FEMA-vállalkozó is ilyen hibát követett el. Nem volt rossz szándékú. Az eszköz győzött, mert a szabályzat arra kérte, hogy a sebességet feláldozza a lassúság oltárán. Nyomás alatt a sebességet választotta.
A technikai ellenőrzések megállítják azt, amit a szabályzat nem tud
Az egyetlen nagy léptékben működő megoldás a technikai rétegen, nem a képzési rétegen működik.
Egy böngészőbővítmény képes elfogni a vágólapra másolt tartalmat, mielőtt az bármely webalapú MI-eszközbe kerülne. Amikor a vállalkozó a kérelmezők neveit és címeit másolja, majd beilleszti a ChatGPT-be, a bővítmény felismeri a személyes adatokat, anonimizálja azokat, és a tiszta verziót küldi tovább. Az MI a valódi értékek helyett [NÉV_1]-et és [CÍM_1]-et lát. A feladatot mégis elvégzi. A kérelmező személyes adatai soha nem jutnak el a ChatGPT szervereire.
Ez automatikus. Nem kér az emberektől semmit sem.
A Cursort vagy a GitHub Copilotot használó fejlesztők számára egy MCP-kiszolgáló biztosítja ugyanezt a réteget. Az MI-kontextusba beillesztett kód először átmegy az anonimizálási motoron. A hitelesítő adatok és a saját azonosítók tokenekké válnak. Az MI tiszta bemenetet kap, és mégis hasznos kimenetet ad.
Tekintse meg, hogyan hasonlít ez a blokkoláshoz: Blokkolás vs. anonimizálás — böngészős DLP összehasonlítva.
Mi változik technikai ellenőrzésekkel
Böngészőbővítmény bevezetése esetén a FEMA-vállalkozó forgatókönyve másképp alakul:
- A vállalkozó másolja a kérelmezői rekordokat az ügykezelő rendszerből
- A bővítmény felismeri a vágólapon lévő személyes adatokat
- Egy előnézeti modál megmutatja, mi lesz lecserélve
- Az anonimizált verzió kerül a ChatGPT-be
- A ChatGPT feldolgozza a kérést és visszaadja az eredményeket
- A vállalkozó megkapja a szükséges segítséget — vizsgálat nem indul
A szabályzatot nem kellett módosítani. Képzést nem kellett tartani. Az elfogási réteg kezelte a helyzetet.
A szabályzati képzés a kockázatot csak a margón csökkenti. A technikai ellenőrzések megszüntetik a kudarcmódot. A FEMA-incidens szabályzati kudarc volt. Nem lett volna esemény, ha egyetlen Chrome-bővítményt telepítenek arra a vállalkozói eszközre.
Lásd még:
- Vállalati MI-irányítás: Chrome-bővítmény DLP
- Böngészős DLP a ChatGPT-hez, Claude-hoz és Gemini-hez
- Chrome-bővítmény: böngészős DLP MI-eszközökhöz