VDAR 32. panta atbilstības pierādīšana AI rīkiem
Atjaunots 2026. gadam.
VDAR 32. pants prasa "atbilstošus tehniskos un organizatoriskos pasākumus" personas datu aizsardzībai. Kad darbinieki izmanto ārējos AI rīkus - ChatGPT, Claude, Gemini - risks ir reāls un izmērāms. Kontrolēm arī jābūt izmērāmām.
Politika, kas saka "nedeliet personas datus ar AI rīkiem", ir organizatorisks pasākums. Tā nav tehnisks pasākums. Tā nav pietiekama, kad DPA revidents jautā: "Kā jūs zināt, ka darbinieki to ievēro?"
Ko DPA revidenti jautā par AI rīkiem
Pēc Samsung ChatGPT pārkāpuma 2023. gada martā regulatori rūpīgi pārbaudīja uzņēmumu AI programmas. DPA revidenti tagad uzdod tiešus jautājumus.
Par tehniskajām kontrolēm viņi jautā:
- Kas neļauj personas datiem sasniegt AI sistēmas?
- Kā jūs panākat maskēšanu reāllaikā?
- Kādi pierādījumi rāda, ka kontroles darbojas?
Par uzraudzību viņi jautā:
- Kā jūs izsekojat darbinieku AI izmantošanu PII iedarbībai?
- Kādus rādītājus jūs apkopojat? Cik bieži?
- Kā jūs zināt, ka kontroles netiek apietas?
Par incidentu atklāšanu viņi jautā:
- Kā jūs pamanītu PII noplūdi AI rīkam?
- Kāds ir jūsu reaģēšanas plāns?
Politikas dokumenti neatbild ne uz vienu no šiem jautājumiem. Tie saka, ko darbiniekiem vajadzētu darīt. Tie nerāda, ko darbinieki faktiski dara.
Uzraudzības nepilnība pārlūkprogrammu AI rīkiem
Uzņēmumu IT komandas saskaras ar galveno problēmu: pārlūkprogrammas AI rīkus ir grūti uzraudzīt.
HTTPS šifrēšana
ChatGPT, Claude un Gemini izmanto HTTPS ar HSTS. Tīkla inspekcija nevar nolasīt uzvednes tekstu bez TLS atšifrēšanas.
TLS inspekcija
SSL inspekcija prasa uzņēmuma sertifikātus katrā ierīcē. Tā var pārtraukt sertifikātu piespraudšanu dažās lietotnēs. Tā rada jaunas drošības nepilnības. Tā var pārkāpt AI platformu pakalpojumu sniegšanas noteikumus. Tā rada darbinieku privātuma jautājumus daudzās valstīs.
Galapunkta DLP
Galapunkta aģenti uzrauga starpliktuves un taustiņsitienu ievadi. Taču tiem ir augsts viltus pozitīvo rādītājs. Tie nevar atšķirt "klienta datu ievadīšanu līgumā" no "to ievadīšanas ChatGPT". Aizkavēšanās var palaist garām tiešraides nosūtīšanu.
Rezultāts: lielākajai daļai uzņēmumu, kas izmanto AI rīkus, ir maz pārskatāmības par to, kādi dati sasniedz šīs sistēmas.
Atbilstības informācijas panelis praksē
Finanšu pakalpojumu CISO ir jārāda revidentiem, ka AI rīku PII iedarbība tiek izsekota un kontrolēta. Revīzijas prasība: konkrēti dati par aktīvo uzraudzību.
Uzņēmums izvietoja Chrome paplašinājumu 500 darbiniekiem. Vienas nedēļas izvade:
| Rādītājs | Nedēļas vērtība |
|---|---|
| Kopējās AI sesijas | 8 400 |
| Atklātās PII entītijas | 12 000 |
| Maskēšanas likme | 94% |
| Atrasti klientu vārdi | 4 800 |
| Atrasti konta numuri | 3 200 |
| Atrasti darījumu ID | 2 100 |
| Nemaskētas nosūtīšanas (6%) | 720 entītijas |
Piezīme: ilustratīvs scenārijs. Rezultāti atšķiras atkarībā no uzņēmuma lieluma un AI izmantošanas.
Četras lietas, ko tas rāda revidentiem:
- AI rīku izmantošanas apjoms (8 400 sesijas nedēļā)
- PII risks (atrastas 12 000 entītijas)
- Kontroles veiktspēja (94% maskēšanas likme)
- Atlikušais risks (720 entītijām nepieciešams turpmāks darbs)
Trīs lietas, ko revidenti var pārbaudīt:
- Tehniskā kontrole darbojas (paplašinājuma izvietošanas žurnāli)
- Uzraudzība ir aktīva (iknedēļas pārskati)
- Atlikušais risks tiek pārvaldīts (turpmākā apmācība 6% gadījumiem)
Tā ir atšķirība starp "mums ir politika" un "šeit ir mūsu izmērītās kontroles izvade".
Izvades pārvēršana uzlabojumos
6%, kas nosūtīti bez maskēšanas, nav neveiksme. Tā ir uzraudzības panākums. Uzņēmums tagad zina:
- Kuri darbinieki atceļ maskēšanas uzaicinājumus vai tos palaiž garām.
- Kuri entītiju tipi visbiežāk tiek nosūtīti nemaskēti.
- Kurām komandām ir augstāki apiešanas rādītāji.
- Vai rādītājs samazinās, darbinieki pielāgojoties.
Tas virza mērķtiecīgu rīcību. Darbinieki ar augstu apiešanas rādītāju saņem papildu apmācību. Entītiju tipi ar augstu apiešanas rādītāju var prasīt stiprākus uzaicinājumus. Komandas ar atkārtotām apiešanām var prasīt darbplūsmas izmaiņas.
Bez šīs izvades apmācība tiek piemērota vienmērīgi. Ar to apmācība nonāk tur, kur risks ir vislielākais.
Kā izskatās pilns 32. panta dokumentu komplekts
Pilns VDAR 32. panta dokumentu komplekts AI rīku programmai:
Tehniskie pasākumi:
- Chrome paplašinājums uz N ierīcēm (pierādījums: MDM žurnāli)
- Tiešraides PII atklāšana AI rīku ievades laukos
- Maskēšanas darbplūsma ar audita taku (paplašinājuma žurnāli)
- Atbilstības informācijas panelis (atklāšanas rādītāji)
Organizatoriskie pasākumi:
- AI rīku izmantošanas politika
- Darbinieku apmācības ieraksti
- Incidentu reaģēšanas plāns AI datu noplūdēm
- Ceturkšņa uzraudzības izvades pārskatīšana
Uzraudzības pierādījumi:
- Iknedēļas informācijas paneļa rādītāji (aplīdzamie 12 mēneši)
- Maskēšanas likmes tendence
- Entītiju tipu sadalījums
- Turpmākie ieraksti par apiešanām
Incidentu atklāšana:
- Uzraudzības izvade atzīmē neparastu uzvedību (pēkšņs likmes kritums, jauni entītiju tipi)
- Incidentu reaģēšanas plāns pārbaudīts [datumā]
Šis komplekts atbilst 32. pantam. Tas rāda tehniskos un organizatoriskos pasākumus ar reāliem pierādījumiem.
Riska samazinājuma kvantitatīvā novērtēšana
Proporcionāluma pārbaudei jums jāparāda risks, ko kontrole novērš.
Bez kontroles:
- 11% AI uzvedņu satur PII (Cyberhaven 2025)
- 8 400 nedēļas sesijas x 11% = 924 sesijas ar PII nedēļā
- Katra sesija: potenciāls VDAR 83. panta iedarbības gadījums, ja iesaistīti ES dati
Ar kontroli (94% maskēšanas likme):
- 924 sesijas ar atklātu PII
- 94% maskētas: 869 sesijas aizsargātas
- Atlikušais: 55 sesijas nedēļā ar nemaskētu saturu
Rezultāts: 94% PII iedarbības samazinājums no AI rīku izmantošanas.
Regulatoriem, kas piemēro proporcionāluma pārbaudi, 94% samazinājums no izvietotas tehniskās kontroles ir spēcīgs pierādījums. Skatiet arī reāllaika PII novēršanu AI rīkiem un pārlūkprogrammas DLP ChatGPT, Claude un Gemini.
Secinājums
VDAR 32. panta atbilstība AI rīkiem nevar balstīties tikai uz politiku. Pārlūkprogrammu AI sesiju uzraudzībai PII iedarbībai nepieciešama tehniskā kontrole, kas rada pierādījumus.
Tiešraides maskēšana ar iebūvētu uzraudzību sniedz abus: novēršanu (mazāka iedarbība) un pierādījumus (izmērīts risks un kontroles izvade). Šī kombinācija atbilst 32. pantam.
CISO, kas saskaras ar DPA revīziju: revidenti vēlas konkrētus datus. Rādiet atklāšanas likmes, maskēšanas likmes un atlikušā riska tendences. Politika ir sākums. Uzraudzības izvade ir pierādījums.
Lai uzzinātu, kā bloķēšana salīdzinās ar maskēšanu kā kontroli, skatiet Pārlūkprogrammas DLP: Bloķēšana pret anonimizāciju.