GDPR art. 32: Overvaking av PII-eksponering i KI-verktoy

Bevis GDPR artikkel 32-samsvar for KI-verktoy

Oppdatert for 2026.

GDPR artikkel 32 krever "egnede tekniske og organisatoriske tiltak" for aa beskytte personopplysninger. Nar ansatte bruker eksterne KI-verktoy - ChatGPT, Claude, Gemini - er risikoen reell og maalbar. Kontrollene ma ogsaa vaere maalbare.

En policy som sier "ikke del personopplysninger med KI-verktoy" er et organisatorisk tiltak. Det er ikke et teknisk tiltak. Det er ikke nok nar en DPA-revisor sporr: "Hvordan vet dere at de ansatte etterlever?"

Hva DPA-revisorer sporr om KI-verktoy

Etter Samsung ChatGPT-bruddet i mars 2023 tok regulatorer et naermere blikk pa enterprise-KI-programmer. DPA-revisorer stiller na direkte sporsmal.

Om tekniske kontroller sporr de:

• Hva forhindrer personopplysninger fra aa na KI-systemer?
• Hvordan handhever dere maskering i sanntid?
• Hvilken dokumentasjon viser at kontrollene virker?

Om overvaking sporr de:

• Hvordan sporrer dere ansattes KI-bruk for PII-eksponering?
• Hvilke maaltall samler dere inn? Hvor ofte?
• Hvordan vet dere at kontrollene ikke omgas?

Om hendelsesoppdagelse sporr de:

• Hvordan ville dere oppdage en PII-lekkasje til et KI-verktoy?
• Hva er responsplanen deres?

Policydokumenter svarer ikke pa noen av disse sporsmaalene. De sier hva ansatte skal gjore. De viser ikke hva ansatte faktisk gjor.

Overvakingsgapet for nettleserbaserte KI-verktoy

Enterprise-IT-team star overfor et kjerneproblem: nettleserbaserte KI-verktoy er vanskelige aa overvake.

HTTPS-kryptering

ChatGPT, Claude og Gemini bruker alle HTTPS med HSTS. Nettverksinspektion kan ikke lese fororselstekst uten TLS-dekryptering.

TLS-inspeksjon

SSL-inspeksjon krever enterprise-sertifikater pa hver enhet. Det kan bryte sertifikatfesting i noen apper. Det skaper nye sikkerhetsgap. Det kan bryte KI-plattformenes bruksvilkar. Det reiser personvernsporsmal for ansatte i mange land.

Endepunkt-DLP

Endepunktagenter overvaker utklippstavle og tastaturinput. Men de har hoy falskt-positiv-rate. De kan ikke skille mellom "taste klientdata inn i en kontrakt" og "taste det inn i ChatGPT". Forsinkelse kan ga glipp av live-sendinger.

Resultatet: de fleste bedrifter som bruker KI-verktoy, har liten oversikt over hvilke data som nar disse systemene.

Et compliance-dashbord i praksis

En finansiell CISO ma vise revisorer at KI-verktoy-PII-eksponering spores og kontrolleres. Revisjonskravet: harde data pa aktiv overvaking.

Bedriften ruller ut en Chrome-utvidelse til 500 ansatte. En ukes utdata:

Merk: illustrativt scenario. Resultater varierer etter bedriftsstorrelse og KI-bruk.

Fire ting dette viser revisorer:

• Omfang av KI-verktoybruk (8 400 sesjoner per uke)
• Volum av PII i risikosonen (12 000 enheter funnet)
• Kontrollytelse (94 % maskeringsrate)
• Restrisiko (720 enheter trenger oppfolging)

Tre ting revisorer kan verifisere:

• En teknisk kontroll er aktiv (utvidelsesdistribusjonslogger)
• Overvaking er aktiv (ukentlige rapporter)
• Restrisiko haandteres (oppfolgingsopplaering for de 6 %)

Dette er gapet mellom "vi har en policy" og "her er vare malte kontrollresultater".

Gjore resultater om til forbedring

De 6 % som sendes uten maskering er ikke en fiasko. Det er en overvakingssuksess. Bedriften vet na:

1. Hvilke ansatte avviser maskeringsforesporsler eller overser dem.
2. Hvilke enhetstyper oftest sendes umaskert.
3. Hvilke team har hoyere omgaelsesrater.
4. Om raten faller etter hvert som ansatte tilpasser seg.

Dette driver malrettet handling. Ansatte med hoy omgaelsesrate far ekstra opplaering. Enhetstyper med hoy omgaelsesrate kan trenge sterkere varsler. Team med gjentatte omgaelser kan trenge en arbeidsflytendring.

Uten dette resultatet anvendes opplaering jevnt. Med det gar opplaering dit risikoen er storst.

Hva en komplett artikkel 32-pakke ser ut som

Et komplett GDPR artikkel 32-dokumentsett for et KI-verktoyprogram:

Tekniske tiltak:

1. Chrome-utvidelse pa N enheter (dokumentasjon: MDM-logger)
2. Live PII-oppdagelse i KI-verktoys inntastingsfelt
3. Maskeringsarbeidsflyt med revisjonslogg (utvidelseslogger)
4. Compliance-dashbord (oppdagelsestall)

Organisatoriske tiltak:

1. Policy for KI-verktoybruk
2. Opplaeringsregistre for ansatte
3. Hendelsesresponsplan for KI-datalekkasjer
4. Kvartalsvis gjennomgang av overvakingsresultater

Overvakingsdokumentasjon:

1. Ukentlige dashbordtall (rullende 12 maneder)
2. Trend for maskeringsrate
3. Enhetstype-fordeling
4. Oppfolgingsregistre for omgaelser

Hendelsesoppdagelse:

1. Overvakingsresultater flaggerer uvanlig atferd (plutselig ratefall, nye enhetstyper)
2. Hendelsesresponsplan testet den [dato]

Dette settet oppfyller artikkel 32. Det viser tekniske og organisatoriske tiltak med reell dokumentasjon.

Kvantifisere risikoreduksjon

For proporsjonalitetstesten ma du vise hvilken risiko kontrollen fjerner.

Uten kontrollen:

• 11 % av KI-foresporsler inneholder PII (Cyberhaven 2025)
• 8 400 ukentlige sesjoner x 11 % = 924 sesjoner med PII per uke
• Hver sesjon: en potensiell GDPR artikkel 83-eksponering hvis EU-data er involvert

Med kontrollen (94 % maskeringsrate):

• 924 sesjoner med oppdaget PII
• 94 % maskert: 869 sesjoner beskyttet
• Rest: 55 sesjoner per uke med umaskert innhold

Resultatet: 94 % reduksjon i PII-eksponering fra KI-verktoybruk.

For regulatorer som bruker proporsjonalitetstesten er en 94 % reduksjon fra en distribuert teknisk kontroll sterkt bevis. Se ogsaa sanntids-PII-forebygging for KI-verktoy og nettleser-DLP for ChatGPT, Claude og Gemini.

Konklusjon

GDPR artikkel 32-samsvar for KI-verktoy kan ikke hvile pa policy alene. Overvaking av nettleserbaserte KI-sesjoner for PII-eksponering trenger en teknisk kontroll som produserer dokumentasjon.

Live maskering med innebygd overvaking gir deg begge deler: forebygging (mindre eksponering) og dokumentasjon (malt risiko og kontrollresultater). Den kombinasjonen oppfyller artikkel 32.

For CISO-er som star overfor en DPA-revisjon: revisorer vil ha harde data. Vis oppdagelsesrater, maskeringsrater og trender for restrisiko. Policy er starten. Overvakingsresultater er beviset.

For hvordan blokkering sammenlignes med maskering som kontroll, se Nettleser-DLP: Blokkering vs. anonymisering.

Kilder

• GDPR artikkel 32 - Sikkerhet ved behandling
• Cyberhaven Enterprise AI Data Exposure Study 2025
• EDPB - Retningslinjer og anbefalinger om KI-systemer