Apabila Dasar Bertemu Tingkah Laku Sebenar
Seorang kontraktor kerajaan berada di bawah tekanan. Dia mempunyai tumpukan permohonan bantuan banjir FEMA untuk diproses. Dia menampal nama, alamat, dan rekod kesihatan ke dalam ChatGPT untuk bergerak lebih pantas. Dalam mindanya, dia tidak melanggar sebarang undang-undang. Dia hanya menggunakan alat terbaik yang ada.
Hasilnya: siasatan kerajaan dan pendedahan awam.
Inilah kegagalan teras tadbir urus AI berasaskan dasar sahaja. Dasar memberitahu pekerja apa yang perlu dilakukan. Ia tidak menghentikan tingkah laku.
77% pekerja perusahaan berkongsi data kerja sensitif dengan alat AI sekurang-kurangnya setiap minggu - walaupun dasar melarangnya (eSecurity Planet/Cyberhaven 2025). Mereka bukan pekerja yang cuai. Mereka adalah orang-orang yang berada di bawah tekanan masa yang memilih alat terpantas.
Mengapa Dasar Gagal
Dasar penggunaan AI bergantung pada pertimbangan manusia pada titik input. Momen itu pantas. Pekerja mungkin tidak ingat dasar tersebut. Mereka mungkin tidak melihat kandungan sebagai "sensitif." Mereka mungkin menerima risiko kerana penjimatan masa terasa besar.
Analisis Q4 2025 Cyberhaven mendapati bahawa 34.8% daripada semua input ChatGPT mengandungi maklumat perniagaan sulit. Ramai pengguna tersebut mengetahui dasar itu. Mereka menampal juga.
Dasar akses berfungsi kerana sistem menguatkuasakannya. DLP di lapisan e-mel berfungsi kerana sistem menerapkannya. Dasar penggunaan AI tiada penguatkuasaan pada titik tampal. Keputusan manusia mengisi jurang itu. Pada skala besar, manusia membuat kesilapan.
Kontraktor FEMA membuat salah satu kesilapan tersebut. Dia bukan pelakon jahat. Alat itu menang kerana dasar memintanya memilih antara kelambatan dan kelajuan. Di bawah tekanan, dia memilih kelajuan.
Kawalan Teknikal Menghentikan Apa yang Dasar Tidak Dapat
Satu-satunya pembaikan yang berfungsi pada skala besar beroperasi pada lapisan teknikal - bukan lapisan latihan.
Ekstensi pelayar boleh memintas kandungan papan klip sebelum ia mencapai mana-mana AI berasaskan web. Apabila kontraktor menyalin nama dan alamat pemohon dan menampal ke dalam ChatGPT, ekstensi mengesan PII, menanonimasikannya, dan menghantar versi bersih. AI melihat [NAME_1] dan [ADDRESS_1] sebagai ganti nilai sebenar. Ia masih menyiapkan tugas. Butiran peribadi pemohon tidak pernah sampai ke pelayan ChatGPT.
Ini adalah automatik. Ia tidak meminta pengguna mengingat apa-apa.
Bagi pembangun yang menggunakan Cursor atau GitHub Copilot, sebuah MCP Server menyediakan lapisan yang sama. Kod yang ditampal ke dalam konteks AI melalui enjin anonimisasi dahulu. Kelayakan dan pengecam proprietari menjadi token. AI menerima input bersih dan masih memberikan output berguna.
Lihat cara ini berbanding pemblokiran: Pemblokiran vs. Anonimisasi - DLP Pelayar Dibandingkan.
Apa yang Berubah dengan Kawalan Teknikal
Dengan ekstensi pelayar dipasang, senario kontraktor FEMA berjalan secara berbeza:
- Kontraktor menyalin rekod pemohon daripada sistem kes
- Ekstensi mengesan PII dalam papan klip
- Modal pratonton menunjukkan apa yang akan digantikan
- Versi tanpa nama pergi ke ChatGPT
- ChatGPT memproses permintaan dan mengembalikan keputusan
- Kontraktor mendapat bantuan yang diperlukan - tiada siasatan dicetuskan
Dasar tidak perlu berubah. Latihan tidak perlu dijalankan. Lapisan pemintasan mengendalikannya.
Latihan dasar mengurangkan risiko pada margin. Kawalan teknikal menghapuskan mod kegagalan. Insiden FEMA adalah kegagalan dasar. Ia akan menjadi bukan kejadian dengan satu Chrome Extension yang digunakan pada peranti kontraktor tersebut.
Lihat juga:
- Tadbir Urus AI Perusahaan: DLP Ekstensi Chrome
- DLP Pelayar untuk ChatGPT, Claude, dan Gemini
- Ekstensi Chrome: DLP Pelayar untuk Alat AI