Matematyka codziennego ujawniania danych osobowych
Badania Cyberhaven wykazały, że pracownicy korporacyjni wklejają średnio 3,8 porcji wrażliwych danych do ChatGPT dziennie na użytkownika. W przypadku 100-osobowego zespołu wsparcia oznacza to 380 przypadków trafiania danych klientów do ChatGPT każdego dnia.
Każdy z tych przypadków może stanowić naruszenie zasady minimalizacji danych RODO wynikającej z art. 5 ust. 1 lit. c. Artykuł ten wymaga, by dane osobowe były „adekwatne, stosowne oraz ograniczone do tego, co niezbędne”.
To nie są pracownicy lekceważący politykę firmy. Liczba 3,8 odzwierciedla normalną pracę. Agenci kopiują e-maile klientów, by tworzyć odpowiedzi. Wklejają tekst skarg, by uzyskiwać empatyczne sugestie. Dodają szczegóły konta, by dostawać kontekstowe odpowiedzi. Każde wklejenie jest produktywnym krokiem, który po prostu niesie ze sobą dane osobowe.
Szkolenia z zachowań tego nie naprawią
Audyt UE z 2024 roku wykazał, że 63% danych użytkowników ChatGPT zawierało dane umożliwiające identyfikację. Tylko 22% użytkowników wiedziało, że może zrezygnować z udziału w programie szkoleniowym poprzez ustawienia narzędzia. Większość treści wklejanych do asystenta AI zawiera dane osobowe. Większość użytkowników nie jest świadoma dostępnych ustawień. Efektem jest codzienne narażenie danych na skalę masową.
Szkolenia z polityki napotykają na podstawowy problem. Nawyk kopiowania i wklejania ma kilkadziesiąt lat. Użytkownicy kopiują i wklejają tekst od pierwszego dnia przy komputerze. Podłączenie chatbota AI jako nowego miejsca docelowego dodaje nowy cel, ale nie zmienia nawyku.
Polityka „nie wklejaj danych osobowych klientów do asystenta AI” wymaga od agentów wstawienia etapu klasyfikacji — „czy ten tekst zawiera dane osobowe?” — do nawyku, który nie ma naturalnej przerwy. Efekty szkoleń zanikają. Skumulowany efekt 380 codziennych decyzji wklejania to ryzyko zgodności, którego sama polityka nie zdoła opanować.
Gdzie sprawdzają się kontrole techniczne
Rozwiązanie działa na poziomie samej akcji wklejania. Rozszerzenie przeglądarki przechwytuje zawartość schowka w momencie naciśnięcia przez agenta klawisza wklejania — zanim tekst trafi do pola tekstowego. Agent widzi okno podglądu. Pokazuje, co zostało wykryte i co zostanie zanonimizowane przed wysłaniem tekstu.
To nie jest kontrola blokująca. Agenci mogą zatwierdzić, zmienić lub anulować. To krok przejrzystości. Dodaje jeden moment widoczności do działania, które w innym przypadku byłoby automatyczne.
Wyobraźmy sobie kierownika działu wsparcia klienta niemieckiej firmy e-commerce tworzącego odpowiedzi na skargi klientów. Workflow pozostaje taki sam: skopiuj skargę, wklej do ChatGPT, wygeneruj odpowiedź. Rozszerzenie dodaje dwusekundową kontrolę. Agent widzi, że wykryto imiona i nazwiska, adresy i numery zamówień. Klika „zatwierdź”. Narzędzie otrzymuje zanonimizowaną wersję. Naruszenie zgodności nie następuje.
Nasz przewodnik zgodności z RODO omawia podstawę prawną tych kontroli. Zajrzyj też do artykułu porównanie polityki AI z kontrolami technicznymi i przewodnika po DLP w przeglądarce dla ChatGPT.