Daglig PII-eksponeringsmatematikk
Cyberhavens forskning fant at bedriftsansatte i gjennomsnitt limer inn 3,8 sensitive dataelementer i ChatGPT per bruker per dag. For et supportteam på 100 personer er det 380 tilfeller av kundejournaler som går inn i ChatGPT hver eneste dag.
Hvert tilfelle kan være et GDPR-brudd på dataminimäringsprinsippet under artikkel 5(1)(c). Den artikkelen krever at personopplysninger skal være «hensiktsmæssige, relevante og begrenset til det som er nødvendig.»
Dette er ikke ansatte som ignorerer retningslinjer. De 3,8 tilfellene gjenspeiler normalt arbeid. Medarbeidere kopierer kunde-e-poster for å utarbeide svar. De limer inn klager for å få empatiske forslag. De inkluderer kontodetaljer for å få kontekstbevisste svar. Hvert lim-inn er et gyldig produktivitetssteg som tilfeldigvis bringer personopplysninger med seg.
Atferdstrening løser ikke dette
En EU-revisjon fra 2024 fant at 63 % av ChatGPTs brukerdata inneholdt personidentifiserbar informasjon. Bare 22 % av brukerne visste at de kunne reservere seg via verkøyets innstillinger. Det meste av innhold som limes inn i en AI-assistent inneholder personopplysninger. De fleste brukere er uvitende om kontrollene. Resultatet er daglig eksponering i stor skala.
Retningslinjer og opplæring støter på et grunnleggende problem. Kopier-og-lim-vanen er tivis gammel. Brukere har kopiert og limt inn tekst siden den første dagen på jobb. Å koble inn et AI-chatverktøy som et lim-inn-mål legger til et nytt destinasjonssted. Det endrer ikke vanen.
En policy om «å ikke lime inn kunde-PII i AI-assistenten» ber medarbeidere om å sette inn et klassifiseringstrinn — «inneholder denne teksten PII?» — i en vanehandling som ikke har noen naturlig pause. Effekten av opplæring avtar over tid. Det kumulative resultatet av 380 daglige lim-inn-avgjørelser er en samsvarsrisiko som retningslinjer alene ikke kan holde tilbake.
Der tekniske kontroller virker
Løsningen opererer ved selve lim-inn-handlingen. En nettleserutvidelse fanger opp utklippstavleinnhold i det øyeblikket medarbeideren trykker lim inn, før teksten når inndatafeltet. Medarbeideren ser en forhåndsvisningsmodal. Den viser hva som ble oppdaget og hva som vil bli anonymisert før teksten sendes.
Dette er ikke en blokkerende kontroll. Medarbeidere kan fortsette, overstyre eller stoppe. Det er et transparenssteg. Det legger til ett øyeblikk av synlighet i en ellers automatisk handling.
Tenk på en tysk e-handelssupport-teamleder som utarbeider svar på kundeklager. Arbeidsflyten forblir den samme: kopier klagen, lim inn i ChatGPT, generer et svar. Utvidelsen legger til en to-sekunders sjekk. Medarbeideren ser at navn, adresser og ordrenumre ble oppdaget. Medarbeideren klikker fortsett. Verkøyet mottar den anonymiserte versjonen. Samsvarsbrudet oppstår ikke.
Vår GDPR-samsvarsguide dekker det rettslige grunnlaget for disse kontrollene. Se også vår sammenligning av AI-retningslinjer vs. tekniske kontroller og nettleser-DLP-guide for ChatGPT for implementeringsdetaljer.