Membuktikan Pematuhan Artikel 32 GDPR untuk Alat AI
Dikemas kini untuk 2026.
Artikel 32 GDPR memerlukan "langkah teknikal dan organisasi yang sesuai" untuk melindungi data peribadi. Apabila kakitangan menggunakan alat AI luaran - ChatGPT, Claude, Gemini - risikonya adalah nyata dan boleh diukur. Kawalan juga mesti boleh diukur.
Dasar yang menyatakan "jangan kongsi data peribadi dengan alat AI" adalah langkah organisasi. Ia bukan langkah teknikal. Ia tidak mencukupi apabila auditor DPA bertanya: "Bagaimana anda tahu kakitangan mematuhi?"
Apa Yang Ditanya Auditor DPA Tentang Alat AI
Selepas pelanggaran ChatGPT Samsung pada Mac 2023, pengawal selia melihat dengan teliti program AI perusahaan. Auditor DPA kini mengemukakan soalan langsung.
Mengenai kawalan teknikal, mereka bertanya:
- Apa yang menghalang data peribadi daripada mencapai sistem AI?
- Bagaimana anda menguatkuasakan penyamaran dalam masa nyata?
- Bukti apa yang menunjukkan kawalan berfungsi?
Mengenai pemantauan, mereka bertanya:
- Bagaimana anda menjejaki penggunaan AI kakitangan untuk pendedahan PII?
- Metrik apa yang anda kumpulkan? Seberapa kerap?
- Bagaimana anda tahu kawalan tidak dipintas?
Mengenai pengesanan insiden, mereka bertanya:
- Bagaimana anda mengesan kebocoran PII ke alat AI?
- Apakah rancangan tindak balas anda?
Dokumen dasar tidak menjawab soalan-soalan ini. Ia memberitahu apa yang harus dilakukan kakitangan. Ia tidak menunjukkan apa yang kakitangan sebenarnya lakukan.
Jurang Pemantauan untuk Alat AI Pelayar
Pasukan IT perusahaan menghadapi masalah teras: alat AI berasaskan pelayar sukar dipantau.
Penyulitan HTTPS
ChatGPT, Claude, dan Gemini semuanya menggunakan HTTPS dengan HSTS. Pemeriksaan rangkaian tidak dapat membaca teks gesaan tanpa nyahsulit TLS.
Pemeriksaan TLS
Pemeriksaan SSL memerlukan sijil perusahaan pada setiap peranti. Ia boleh memecahkan pengikat sijil dalam beberapa aplikasi. Ia mewujudkan jurang keselamatan baru. Ia mungkin melanggar syarat perkhidmatan platform AI. Ia menimbulkan isu privasi kakitangan di banyak negara.
DLP Titik Akhir
Ejen titik akhir memantau input papan klip dan ketukan kekunci. Tetapi mereka mempunyai kadar positif palsu yang tinggi. Mereka tidak dapat membezakan "menaip data pelanggan ke dalam kontrak" daripada "menaipnya ke dalam ChatGPT." Kelambatan boleh terlepas hantar langsung.
Hasilnya: kebanyakan firma yang menggunakan alat AI mempunyai sedikit pandangan tentang data apa yang mencapai sistem tersebut.
Papan Pemuka Pematuhan dalam Amalan
CISO perkhidmatan kewangan mesti menunjukkan kepada auditor bahawa pendedahan PII alat AI dijejaki dan dikawal. Keperluan audit: data keras tentang pemantauan aktif.
Firma melancarkan Sambungan Chrome kepada 500 kakitangan. Output satu minggu:
| Metrik | Nilai mingguan |
|---|---|
| Jumlah sesi AI | 8,400 |
| Entiti PII dikesan | 12,000 |
| Kadar penyamaran | 94% |
| Nama pelanggan ditemui | 4,800 |
| Nombor akaun ditemui | 3,200 |
| ID transaksi ditemui | 2,100 |
| Hantar tanpa topeng (6%) | 720 entiti |
Nota: senario ilustratif. Hasil berbeza mengikut saiz firma dan penggunaan AI.
Empat perkara yang ini tunjukkan kepada auditor:
- Skala penggunaan alat AI (8,400 sesi seminggu)
- Volum PII berisiko (12,000 entiti ditemui)
- Prestasi kawalan (kadar penyamaran 94%)
- Risiko sisa (720 entiti perlu tindak lanjut)
Tiga perkara yang auditor boleh sahkan:
- Kawalan teknikal aktif (log deployment sambungan)
- Pemantauan aktif (laporan mingguan)
- Risiko sisa diurus (latihan susulan untuk 6%)
Inilah jurang antara "kami mempunyai dasar" dan "ini adalah output kawalan terukur kami."
Menukar Output kepada Penambahbaikan
6% yang dihantar tanpa penyamaran bukan kegagalan. Ia adalah kejayaan pemantauan. Firma kini mengetahui:
- Kakitangan mana yang menolak atau terlepas gesaan penyamaran.
- Jenis entiti mana yang paling kerap dihantar tanpa topeng.
- Pasukan mana yang mempunyai kadar pintas lebih tinggi.
- Sama ada kadar turun apabila kakitangan menyesuaikan diri.
Ini mendorong tindakan bertumpuan. Kakitangan pintas tinggi mendapat latihan tambahan. Jenis entiti pintas tinggi mungkin memerlukan gesaan yang lebih kukuh. Pasukan dengan pintas berulang mungkin memerlukan perubahan aliran kerja.
Tanpa output ini, latihan diterapkan secara serata. Dengannya, latihan pergi ke tempat risiko tertinggi.
Rupa Pakej Penuh Artikel 32
Set dokumen GDPR Artikel 32 yang lengkap untuk program alat AI:
Langkah teknikal:
- Sambungan Chrome pada N peranti (bukti: log MDM)
- Pengesanan PII langsung dalam medan input alat AI
- Aliran kerja penyamaran dengan jejak audit (log sambungan)
- Papan pemuka pematuhan (metrik pengesanan)
Langkah organisasi:
- Dasar penggunaan alat AI
- Rekod latihan kakitangan
- Rancangan tindak balas insiden untuk kebocoran data AI
- Semakan suku tahunan output pemantauan
Bukti pemantauan:
- Metrik papan pemuka mingguan (bergolek 12 bulan)
- Trend kadar penyamaran
- Pecahan jenis entiti
- Rekod tindak lanjut untuk pintas
Pengesanan insiden:
- Output pemantauan menanda tingkah laku pelik (penurunan kadar tiba-tiba, jenis entiti baharu)
- Rancangan tindak balas insiden diuji pada [tarikh]
Set ini memenuhi Artikel 32. Ia menunjukkan langkah teknikal dan organisasi dengan bukti nyata.
Mengukur Pengurangan Risiko
Untuk ujian keberkadaraan, anda mesti menunjukkan risiko yang kawalan buang.
Tanpa kawalan:
- 11% gesaan AI mengandungi PII (Cyberhaven 2025)
- 8,400 sesi mingguan x 11% = 924 sesi dengan PII seminggu
- Setiap sesi: pendedahan Artikel 83 GDPR yang berpotensi jika data EU terlibat
Dengan kawalan (kadar penyamaran 94%):
- 924 sesi dengan PII dikesan
- 94% disembunyikan: 869 sesi dilindungi
- Sisa: 55 sesi seminggu dengan kandungan tanpa topeng
Hasilnya: penurunan 94% dalam pendedahan PII daripada penggunaan alat AI.
Bagi pengawal selia yang menggunakan ujian keberkadaraan, pengurangan 94% daripada kawalan teknikal yang digunakan adalah bukti kukuh. Lihat juga pencegahan PII masa nyata untuk alat AI dan DLP pelayar untuk ChatGPT, Claude, dan Gemini.
Kesimpulan
Pematuhan Artikel 32 GDPR untuk alat AI tidak boleh bergantung pada dasar sahaja. Pemantauan sesi AI pelayar untuk pendedahan PII memerlukan kawalan teknikal yang menghasilkan bukti.
Penyamaran langsung dengan pemantauan terbina memberi anda kedua-duanya: pencegahan (kurang pendedahan) dan bukti (risiko terukur dan output kawalan). Gabungan tersebut memenuhi Artikel 32.
Bagi CISO yang menghadapi audit DPA: auditor mahukan data keras. Tunjukkan kadar pengesanan, kadar penyamaran, dan trend risiko sisa. Dasar adalah permulaan. Output pemantauan adalah bukti.
Untuk cara penyekatan berbanding penyamaran sebagai kawalan, lihat DLP Pelayar: Penyekatan vs. Penganoniman.