Докажување на усогласеност со GDPR Член 32 за ВИ алатки
Ажурирано за 2026 година.
GDPR Член 32 бара "соодветни технички и организациони мерки" за заштита на личните податоци. Кога персоналот ги користи надворешните ВИ алатки - ChatGPT, Claude, Gemini - ризикот е реален и мерлив. Контролите мора да бидат мерливи исто така.
Политика која вели "не споделувајте лични податоци со ВИ алатки" е организациона мерка. Тоа не е техничка мерка. Не е доволно кога ревизор на DPA прашува: "Како знаете дека персоналот се придржува?"
Прашањата на ревизорите на DPA за ВИ алатките
По прекршувањето на Samsung ChatGPT во март 2023 година, регулаторите внимателно ги испитаа програмите за ВИ во претпријатија. Ревизорите на DPA сега поставуваат директни прашања.
За техничките контроли тие прашуваат:
- Што спречува личните податоци да стигнат до ВИ системите?
- Како го наметнувате маскирањето во реално време?
- Кои докази покажуваат дека контролите функционираат?
За следењето тие прашуваат:
- Kako го следите користењето на ВИ од страна на персоналот заради изложеност на лични податоци?
- Кои метрики ги собирате? Колку често?
- Kako знаете дека контролите не се заобиколуваат?
За откривање инциденти тие прашуваат:
- Kako би забележале протекување на лични податоци до ВИ алатка?
- Каков е вашиот план за реагирање?
Документите за политики не одговараат на ниту едно од овие прашања. Тие кажуваат што треба да прави персоналот. Не покажуваат што персоналот всушност прави.
Мониторинг-јазот за ВИ алатки преку прелистувачот
ИТ тимовите во претпријатија се соочуваат со основен проблем: ВИ алатките преку прелистувачот се тешки за следење.
HTTPS-шифрирање
ChatGPT, Claude и Gemini сите користат HTTPS со HSTS. Мрежната инспекција не може да го чита текстот на промптот без TLS-дешифрирање.
TLS-инспекција
SSL-инспекцијата бара претпријатиски сертификати на секој уред. Може да го прекине фиксирањето на сертификати во некои апликации. Создава нови безбедносни јазови. Може да ги прекрши условите за услуга на платформите на ВИ. Покренува прашања за приватноста на персоналот во многу земји.
Endpoint DLP
Агентите на крајни точки ги следат клипборд-внесувањата и тастатурните притисоци. Но имаат висока стапка на лажни позитиви. Не можат да разликуваат "внесување на клиентски податоци во договор" од "внесување во ChatGPT". Задоцнувањето може да пропушти испраќања во живо.
Резултатот: повеќето фирми кои ги користат ВИ алатките имаат малку увид во тоа кои податоци стигнуваат до тие системи.
Контролна табла за усогласеност во пракса
Главниот информатички безбедносен директор (CISO) на финансиска услужна фирма мора да им покаже на ревизорите дека изложеноста на лични податоци преку ВИ алатки е следена и контролирана. Барањето за ревизија: цврсти податоци за активен мониторинг.
Фирмата имплементира Chrome Extension кај 500 вработени. Резултат за еден тедн:
| Метрика | Неделна вредност |
|---|---|
| Вкупно ВИ-сесии | 8.400 |
| Откривени ентитети на лични податоци | 12.000 |
| Стапка на маскирање | 94% |
| Пронајдени имиња на клиенти | 4.800 |
| Пронајдени броеви на сметки | 3.200 |
| Пронајдени идентификатори на трансакции | 2.100 |
| Немаскирани испраќања (6%) | 720 ентитети |
Забелешка: илустративен сценарио. Резултатите варираат во зависност од големината на фирмата и употребата на ВИ.
Четири нешта кои ова им покажува на ревизорите:
- Обем на употреба на ВИ алатки (8.400 сесии неделно)
- Волумен на загрозени лични податоци (12.000 пронајдени ентитети)
- Перформанси на контролата (94% стапка на маскирање)
- Остаточен ризик (720 ентитети бараат следење)
Три нешта кои ревизорите можат да ги потврдат:
- Техничка контрола е активна (дневници за имплементација на додатокот)
- Мониторингот е активен (неделни извештаи)
- Остаточниот ризик е управуван (следствена обука за 6%)
Тоа е разликата меѓу "имаме политика" и "еве го нашиот измерен резултат на контролата".
Претворање на резултатот во подобрување
6% испратено без маскирање не е неуспех. Тоа е успех на мониторингот. Фирмата сега знае:
- Кои вработени ги отфрлаат или пропуштаат промптите за маскирање.
- Кои типови на ентитети најчесто се испраќаат немаскирани.
- Кои тимови имаат повисоки стапки на заобиколување.
- Дали стапката опаѓа кога персоналот се адаптира.
Ова поттикнува насочено дејство. Персоналот со висока стапка на заобиколување добива дополнителна обука. Типови на ентитети со висока стапка на заобиколување можеби бараат посилни промпти. Тимовите со повторливи заобиколувања можеби бараат промена во работниот тек.
Без овој резултат, обуката се применува рамномерно. Со него, обуката оди таму каде ризикот е највисок.
Како изгледа целосниот пакет за Член 32
Комплетен сет на документи за GDPR Член 32 за програма со ВИ алатки:
Технички мерки:
- Chrome Extension на N уреди (доказ: MDM-дневници)
- Живо откривање на лични податоци во полиња за внос на ВИ алатки
- Работен тек на маскирање со ревизорска трага (дневници на додатокот)
- Контролна табла за усогласеност (метрики за откривање)
Организациони мерки:
- Политика за употреба на ВИ алатки
- Записи за обука на персоналот
- План за реагирање на инциденти за протекување на ВИ-податоци
- Квартален преглед на резултатот од мониторингот
Докази за мониторинг:
- Неделни метрики на контролната табла (тековни 12 месеци)
- Тренд на стапката на маскирање
- Распределба по тип на ентитет
- Записи за следење на заобиколувањата
Откривање инциденти:
- Резултатот од мониторингот ги означува необичните однесувања (ненадеен пад на стапката, нови типови ентитети)
- Планот за реагирање на инциденти тестиран на [датум]
Овој сет го задоволува Член 32. Покажува технички и организациони мерки со вистински докази.
Квантифицирање на намалувањето на ризикот
За тестот на пропорционалност, мора да покажете кој ризик го отстранува контролата.
Без контролата:
- 11% од ВИ-промптите содржат лични податоци (Cyberhaven 2025)
- 8.400 неделни сесии × 11% = 924 сесии со лични податоци неделно
- Секоја сесија: потенцијална изложеност според GDPR Член 83 ако се вклучени ЕУ-податоци
Со контролата (94% стапка на маскирање):
- 924 сесии со откривени лични податоци
- 94% маскирани: 869 заштитени сесии
- Остаток: 55 сесии неделно со немаскирана содржина
Резултатот: 94% намалување на изложеноста на лични податоци при употреба на ВИ алатки.
За регулаторите кои го применуваат тестот на пропорционалност, намалување од 94% од имплементирана техничка контрола е силен доказ. Погледнете исто така превенција на лични податоци во реално време за ВИ алатки и DLP преку прелистувач за ChatGPT, Claude и Gemini.
Заклучок
Усогласеноста со GDPR Член 32 за ВИ алатки не може да се потпира само на политика. Следењето на ВИ-сесиите преку прелистувачот за изложеност на лични податоци бара техничка контрола која произведува докази.
Живото маскирање со вграден мониторинг ви дава и двете: превенција (помала изложеност) и докази (измерен ризик и резултат на контролата). Таа комбинација го задоволува Член 32.
За CISOs кои се соочуваат со ревизија на DPA: ревизорите сакаат цврсти податоци. Покажете стапки на откривање, стапки на маскирање и трендови на остаточен ризик. Политиката е почеток. Резултатот од мониторингот е доказот.
За тоа како блокирањето се споредува со маскирањето како контрола, погледнете DLP преку прелистувач: Блокирање наспроти Анонимизација.