Prevencija curenja podataka u realnom vremenu za AI alate

Prevencija curenja licnih podataka u realnom vremenu: Zaustavljanje AI propusta pre nego sto se dogode.

Azurirano za 2026.

U martu 2023, inzenjer kompanije Samsung nalepeo je izvorni kod u ChatGPT. Kod je odmah napustio kontrolu Samsunga. Nijedan alat ga nije uhvatio na vreme. Naknadne bezbednosne kontrole ne mogu da zaustave curenje podataka kroz AI alate. Ovaj dogadjaj to je dokazao.

Alati za detekciju vam govore sta se desilo nakon cinjenice. Provera logova, endpoint DLP i revizorski zapisi funkcionisu na ovaj nacin. Za AI propuste, nakon cinjenice je prekasno. Podaci su vec stigli do AI modela.

Razmere problema

Studija kompanije Cyberhaven iz 2025. proucavala je kako firme koriste AI. Nalazi su bili zapanjujuci.

• 11% svih ChatGPT upita sadrzi privatne ili osetljive podatke.
• Prosecni radnik koristi AI alate 14 puta dnevno.
• Zaposleni koji ih koriste intenzivno interaguju 30 do 50 puta dnevno.
• Pri 11%, to znaci 3 do 5 osetljivih slanja po radniku dnevno.

U firmi sa 500 zaposlenih koji intenzivno koriste AI, ovo se sabira na vise od 2.000 osetljivih slanja dnevno. Svako moze biti prekrsaj prema GDPR clanu 83. Rizik nije samo pravni. Poverenje i reputacija su takodje u pitanju.

Uobicajeni tipovi osetljivog sadrzaja u AI upitima ukljucuju sledece.

• Imena klijenata i kontakt detalji.
• Brojevi racuna i evidencije placanja.
• Medicinske beleski zdravstvenih radnika.
• Detalji predmeta od advokata.
• Beleski o proceni zaposlenih od HR timova.
• Interne projekcije prihoda ili prodaje.

Studija ne razlikuje namerno od slucajnog deljenja. Oba stvaraju isti pravni rizik. Radnik koji zaboravi da ukloni ime klijenta uzrokuje isti prekrsaj kao onaj koji ignorise pravilo. Namera ne menja ishod.

Zasto detekcija nije dovoljna

Mrezne provere ne mogu da citaju HTTPS saobracaj bez TLS blokiranja. TLS blokiranje dodaje opterecenost i pokrace probleme privatnosti. Moderni pregledaci ga cesto odbijaju.

Endpoint DLP agenti prate unos putem ostave i tastature. Ali imaju kasnjenje. Do trenutka kada agent oznaci uzorak, upit je mozda vec poslan.

Revizorski zapisi dobavljaca beleze sta je podeljeno nakon sto je podeljeno. Pomazu u odgovoru. Ne zaustavljaju curenja.

Obuka zaposlenih je politika, ne kontrola. Studija Cyberhaven pokazuje da 11% upita i dalje sadrzi osetljiv sadrzaj u firmama sa jasnim pravilima. Obuka ne sprecava slucajno deljenje ili propuste tokom rada.

Blokiranje AI alata uklanja dobitke produktivnosti. Zaposleni tada koriste licne uredjaje ili naloge. To stavlja rad van bilo kakvog nadzora.

Nijedna od ovih metoda ne sprecava osetljivi sadrzaj da u realnom vremenu stigne do AI sistema.

Prevencija na tacki unosa

Jedina sigurna odbrana je maskiranje pre nego sto se upit posalje. Ime klijenta zamenjeno sa [PERSON_1] pre nego sto napusti pregledac nikada ne vidi AI model.

Evo kako funkcionise inline maskiranje.

1. Radnik ukuca email klijenta u Claude ili ChatGPT.
2. Dodatak za pregledac detektuje licne podatke u realnom vremenu.
3. Entiteti su oznaceni etiketama tipa: OSOBA, EMAIL_ADRESA, BROJ_RACUNA.
4. Radnik pregleda oznacene stavke.
5. Jedan klik zamenjuje sve entitete tokenima.
6. Maskirani upit se salje.

AI dobija upit ovako: "Klijent [PERSON_1] na [EMAIL_1] ima racun [ACCOUNT_1]."

AI obradjuje zahtev. Nikad ne vidi prava imena ili brojeve. Radnik zna koji je pravi klijent iz konteksta.

Ovaj pristup ima jasne prednosti.

• Licni podaci ne odlaze u spoljne AI sisteme.
• Detalji klijenata se ne dodaju u setove za obuku AI-a.
• Zaposleni zadrzavaju pristup AI alatima. Produktivnost ostaje visoka.

Ovo ne sprecava namerno deljenje ako radnik zaobilazi alat. Otpremanje fajlova zahteva poseban radni tok. Nijedna kontrola nije savsena. Ali inline maskiranje uklanja slucajnu grupu. Ta grupa cini vecinu incidenata. Rezultat je znacajno smanjenje rizika bez promene svakodnevnog radnog toka.

Studija slucaja: Advokatska kancelarija

Zaposleni u advokatskoj kancelariji koristili su Claude za izradu napomena o ugovorima. Njihova metoda: kopiranje delova ugovora, lepljenje u Claude, zahtev za sazetak.

Pre koriscenja Chrome Extensions - prvih 6 meseci:

• 3 incidenta sa podacima klijenta pronadjena tokom pregleda.
• Svaki incident: ime klijenta plus referentni broj predmeta pojavio se u upitu.
• Sva 3 su bila slucajna.

Nakon koriscenja Chrome Extensions - sledecih 6 meseci:

• Nula incidenata sa podacima klijenta.
• Zaposleni su dobijali upozorenja u realnom vremenu pri lepljenju delova sa imenima klijenata.
• Jedan klik je zamenio "Johnson Controls Predmet 2024-0347" sa "[PERSON_1] Predmet [REFERENCE_1]."
• Metoda je ostala ista.

Upravni partner je rekao: "Nasi zaposleni su znali politiku pre dodatka. Dodatak je uskladjenost ucinio najlaksim putem."

Pogledajte kako su druge firme resile ovo u nasim studijama slucajeva. Pregledajte kontrole u pregledu bezbednosti.

GDPR zapisi za timove za uskladjenost

Firme koje koriste maskiranje AI u pregledacu moraju ga dokumentovati kao tehnicku kontrolu.

Evidencija obrade (ROPA): Navedite da AI upiti prolaze kroz maskiranje na strani klijenta pre dostizanja dobavljaca. Navedite tipove entiteta, verziju engine-a i evidencije o razmestanju kao dokaz.

Sporazumi sa procesorima podataka: Kada do AI dobavljaca ne stignu licni podaci, obaveze prema DPA su jednostavne. Licni podaci koje cuvate nikad ne napustaju vas sistem.

Revizorski zapisi: Zapisi dodatka beleye broj entiteta po sesiji, stopu maskiranja i tipove entiteta po obimu. Ove metrike se koriste u izvestajima o uskladjenosti.

Pregledajte GDPR pravila za AI alate u nasem vodichu za pravnu uskladjenost i recniku. Uobicajena pitanja su u nasim FAQ.

Zakljucak

Samsung incident je pokazao da AI propusti se desavaju brze nego sto bilo koja naknadna kontrola moze da reaguje. Cyberhaven studija je stavila broj na to: 11% upita, mnogo puta po radniku, svaki dan.

Maskiranje u realnom vremenu pre slanja resava korenski uzrok. Kada licni podaci nikad ne stignu do AI-a, nema sta da se detektuje, belezi ili cisti. Zaposleni zadrzavaju AI alate. Firme zadrzavaju status uskladjenosti.

Detekcija vam govori kada je prevencija zakazala. Za AI propuste, cena neuspeha - kazne, steta po reputaciju, gubitak poverenja - opravdava prevenciju pre svega.

Istrazite cene za vasu firmu. Procitajte nasu izjavu osnivaca o tome zasto je prevencija-prvo nas osnovni princip dizajna.

Izvori

• Cyberhaven: AI Data Exposure Study 2025 - cyberhaven.com.
• Samsung ChatGPT Data Breach, mart 2023. - Bloomberg.
• GDPR clanovi 4 i 32: Licni podaci i tehnicke mere - gdpr-info.eu.