BDAR 32 straipsnio atitikties itrodymas AI irankiams
Atnaujinta 2026 m.
BDAR 32 straipsnis reikalauja "tinkamu techninio ir organizacinio pobūdzio priemoniu" asmens duomenims apsaugoti. Kai darbuotojai naudoja isorines AI sistemas - ChatGPT, Claude, Gemini - rizika yra reali ir iSmatuojama. Valdikliai taip pat privalo buti iSmatuojami.
Politika, skelbianti "nesidalykite asmens duomenimis su AI irankiais", yra organizacine priemoné. Ji nèra technine priemoné. Ji nepakankama, kai DPA auditorius klausia: "Kaip zinote, kad darbuotojai laikosi?"
Ka DPA auditoriai klausia apie AI irankius
Po Samsung ChatGPT pazeidimo 2023 m. kovа reguliuotojai atidnai pazyvelge i imoniniu AI programas. DPA auditoriai dabar klausia tiesiogiai.
Apie technines priemones jie klausia:
- Kas neleidzia asmens duomenims pasiekti AI sistemose?
- Kaip uztikriname tikralaiki maskavima?
- Kokie irodymai rodo, kad valdikliai veikia?
Apie stebejima jie klausia:
- Kaip sekate darbuotoju AI naudojima del AV atskleidimo?
- Kokias metrikus renkate? Kaip daznai?
- Kaip zinote, kad valdikliai neapeiti?
Apie incidentu aptikima jie klausia:
- Kaip pastebetumete AV nutekejima i AI irankus?
- Koks jusu reagavimo planas?
Politikos dokumentai neatsako nei vieno is siu klausimu. Jie nurodo, ka darbuotojai turetu daryti. Jie nerodo, ka darbuotojai is tikruju daro.
Stebejimo spraga narsykleje veikiantiems AI irankiams
Imoniu IT komandos susiduria su pagrindine problema: narsykléje veikiantys AI irankiai sunkiai stebimi.
HTTPS sifravimas
ChatGPT, Claude ir Gemini naudoja HTTPS su HSTS. Tinklo patikrinimas negali perskaityti uzklausa teksto be TLS isskifravimo.
TLS tikrinimas
SSL tikrinimui reikia imoniniu sertifikatu kiekviename irenginyje. Tai gali suardyti kai kuriu programu sertifikatu prisegima. Tai sukuria naujus saugos tarpus. Tai gali pazeysti AI platformu aptarnavimo salygos. Tai kelia darbuotoju privatumo klausimus daugelyje saliu.
Galinio tasko DLP
Galinio tasko agentai stebi ikopijavimo ir klaviatūros iveda. Taciau jie turi didelì klaidingo suveikimo lygi. Jie negali atskirti "klientu duomenu ivedimo i sutarti" nuo "ju ivedimo i ChatGPT". Uzlaikymas gali praleisti gyvybinius siuntimus.
Rezultatas: dauguma imoniu, naudojanciu AI irankius, turi maza matymuma i tai, kokie duomenys pasiekia sias sistemas.
Atitikties prietaisų lenta praktikoje
Finansiniu paslaugu CISO privalo parodyti auditoriams, kad AI irankiu AV atskleidimas yra sekamas ir kontroliuojamas. Audito reikalavimas: tikri duomenys apie aktyvu stebejima.
Imone isplecia Chrome papildini 500 darbuotojams. Viena savaite iSsiuntiamu duomenu:
| Metrika | Savaitines vertes |
|---|---|
| Viso AI sesijų | 8 400 |
| Aptikta AV objektu | 12 000 |
| Maskavimo lygis | 94% |
| Rasti klientu vardai | 4 800 |
| Rasti saskaitu numeriai | 3 200 |
| Rasti operacijų ID | 2 100 |
| Neuzmaskavimai (6%) | 720 objektu |
Pastaba: iliustracinis scenarijus. Rezultatai priklauso nuo imones dydzio ir AI naudojimo.
Keturi dalykai, kuriuos tai rodo auditoriams:
- AI irankiu naudojimo mastas (8 400 sesijų per savaite)
- Rizikuojamu AV kiekis (rasta 12 000 objektu)
- Valdiklio veikimas (94% maskavimo lygis)
- Likutinè rizika (720 objektu reikia tolesnio nagrinejimo)
Trisdaug dalykų, kuriuos auditoriai gali patikrinti:
- Technine kontrole veikia (papildinio diegimo zurnalai)
- Stebejimas aktyvus (savaitines ataskaitos)
- Likutine rizika valdoma (papildomu mokymai 6% darbuotoju)
Stai skirtumas tarp "turime politika" ir "cia musu iSmavuotas valdiklio iSstudijavimu".
Rezultatu pavertimas gerinimu
6%, issiunciu be maskavimo, nera nesekme. Tai stebejimo sekme. Imone dabar zino:
- Kurie darbuotojai atmeta maskavimo raginimus ar ju nepristato.
- Kuriu tipu objektai dazniausiai issiuntiami be maskavimo.
- Kurios komandos turi didesni apejimo lygi.
- Ar lygis kris, kai darbuotojai adaptuosis.
Tai skatina tikslingus veiksmus. Didelio apejimo darbuotojai gauna papildomu mokymus. Didelio apejimo objektu tipai gali reikalauti stipresniu raginimų. Komandos su pakartotiniais apejimais gali prireikti darbo eigos pakeitimo.
Be sio iSvesties mokymai taikomi vienodai. Su juo mokymai eina ten, kur rizika yra auksciausia.
Kaip atrodo viso BDAR 32 straipsnio paketas
Ispildytas BDAR 32 straipsnio dokumentu rinkinys AI irankiu programai:
Technines priemonés:
- Chrome papildinys N irenginiuose (irodimas: MDM zurnalai)
- Tiesioginė AV aptikimas AI irankiu iveda laukuose
- Maskavimo eiga su audito pésaku (papildinio zurnalai)
- Atitikties prietaisų lenta (aptikimo metrikos)
Organizacines priemonés:
- AI irankiu naudojimo politika
- Darbuotoju mokymu irasai
- Reagavimo i incidentus planas del AI duomenu nutekejimo
- Ketvirtinis stebejimo iSvesties perziura
Stebejimo irodimai:
- Savaitines prietaisų lentos metrikos (nuolat 12 menesiu)
- Maskavimo lygio tendencija
- Objektu tipu paskirstymas
- Tolesnio nagrinëjimo irasai del apejimo
Incidentų aptikimas:
- Stebejimo iSvestis signalizuoja keista elgesi (staigus lygio kritimas, nauji objektu tipai)
- Reagavimo i incidentus planas isbankytas [data]
Sis rinkinys tenkina 32 straipsni. Jis rodo technines ir organizacines priemones su tikrais irodymais.
Rizikos mazinimo kiekybinimas
Proporcinumo testui privalote parodyti rizika, kuria valdiklis pasalina.
Be valdiklio:
- 11% AI uzklaususu yra AV (Cyberhaven 2025)
- 8 400 savaitines sesijų x 11% = 924 sesijos su AV per savaite
- Kiekviena sesija: galimas BDAR 83 straipsnio atskleidimas, jei dalyvauja ES duomenys
Su valdikliu (94% maskavimo lygis):
- 924 sesijos su aptiktu AV
- 94% uzmaskavimu: 869 sesijos apsaugotos
- Likutis: 55 sesijos per savaite su neuzmaskavimu turinio
Rezultatas: 94% AV atskleidimo is AI irankiu naudojimo mazejimas.
Reguliatoriams, taikiantiems proporcinumo testa, 94% mazejimas is isplesto techninio valdiklio yra stiprus irodimas. Taip pat zr. tikralaiki AV prevencija AI irankiams ir narsykléje pagristas DLP ChatGPT, Claude ir Gemini.
ISvada
BDAR 32 straipsnio atitiktis AI irankiams negali remtis vien politika. AI sesijų AV atskleidimo stebejimas narsykleje reikalauja techninio valdiklio, kuris gamina irodymous.
Tiesioginė maskavimas su integruotu stebejimu suteikia abu dalykus: prevencija (mazesnis atskleidimas) ir irodimai (iSmavuota rizika ir valdiklio iSvestis). Sio derigas tenkina 32 straipsni.
CISO, susiduriantiems su DPA auditu: auditoriai nori tikru duomenu. Parodykite aptikimo lygius, maskavimo lygius ir likutines rizikos tendencijas. Politika yra pradzia. Stebejimo iSvestis yra irodymas.
Kaip blokavimas palyginti su maskavimo kaip valdiklio, zr. Narsykléje pagristas DLP: Blokavimas vs. Anoniminimas.