Kifungu 32 cha GDPR: Ufuatiliaji wa PII wa Zana za AI

Kuthibitisha Uzingatifu wa Kifungu 32 cha GDPR kwa Zana za AI

Imesasishwa kwa 2026.

Kifungu 32 cha GDPR kinahitaji "hatua zinazofaa za kiufundi na za kiuandani" kulinda data ya kibinafsi. Wafanyakazi wanapotumia zana za AI za nje - ChatGPT, Claude, Gemini - hatari ni ya kweli na inaweza kupimika. Udhibiti lazima upimike pia.

Sera inayosema "usiishirikishe data ya kibinafsi na zana za AI" ni hatua ya kiuandani. Si hatua ya kiufundi. Haitoshi wakati mkaguzi wa DPA anauliza: "Unajuaje wafanyakazi wanazingatia?"

Mkaguzi wa DPA Anauliza Nini Kuhusu Zana za AI

Baada ya uvunjaji wa ChatGPT wa Samsung mnamo Machi 2023, wadhibiti walichunguza kwa makini programu za AI za biashara. Wakaguzi wa DPA sasa wanauliza maswali ya moja kwa moja.

Kuhusu udhibiti wa kiufundi, wanauliza:

• Nini kinazuia data ya kibinafsi kufikia mifumo ya AI?
• Unatekelezaje uficho kwa wakati halisi?
• Ni ushahidi gani unaoonyesha udhibiti unafanya kazi?

Kuhusu ufuatiliaji, wanauliza:

• Unafuatiliaje matumizi ya AI ya wafanyakazi kwa ufichuzi wa PII?
• Ni vipimo gani unavyokusanya? Mara ngapi?
• Unajuaje udhibiti haupitwi?

Kuhusu ugunduzi wa matukio, wanauliza:

• Ungegundua vipi uvujaji wa PII kwenye zana ya AI?
• Mpango wako wa kujibu ni nini?

Nyaraka za sera hazijibu swali lolote kati ya hizi. Zinasema wafanyakazi wanapaswa kufanya nini. Hazionyeshi wafanyakazi wanafanya nini kwa kweli.

Pengo la Ufuatiliaji kwa Zana za AI za Kivinjari

Timu za IT za biashara zinakabiliwa na tatizo la msingi: zana za AI za kivinjari ni ngumu kufuatilia.

Usimbuaji wa HTTPS

ChatGPT, Claude, na Gemini zote zinatumia HTTPS na HSTS. Ukaguzi wa mtandao hauwezi kusoma maandishi ya ombi bila kufungua usimbuaji wa TLS.

Ukaguzi wa TLS

Ukaguzi wa SSL unahitaji vyeti vya biashara kwenye kila kifaa. Inaweza kuvunja kushikamana kwa vyeti katika baadhi ya programu. Inaunda pengo jipya la usalama. Inaweza kukiuka masharti ya huduma ya jukwaa la AI. Inazua masuala ya faragha ya wafanyakazi katika nchi nyingi.

DLP ya Kituo

Mawakala wa kituo husimamia ubao wa kunakili na uingizaji wa kibodi. Lakini wana viwango vya juu vya chanya-bandia. Hawawezi kutofautisha "kuandika data ya mteja kwenye mkataba" na "kuiandika kwenye ChatGPT." Ucheleweshaji unaweza kukosa matumizi ya moja kwa moja.

Matokeo: makampuni mengi yanayotumia zana za AI yana mwonekano mdogo wa data inayofikia mifumo hiyo.

Dashibodi ya Uzingatifu Katika Mazoezi

Mkurugenzi Mkuu wa Usalama wa Habari wa huduma za fedha lazima aonyeshe wakaguzi kwamba ufichuzi wa PII wa zana za AI unafuatiliwa na kudhibitiwa. Mahitaji ya ukaguzi: data halisi ya ufuatiliaji hai.

Kampuni inasambaza Nyongeza ya Chrome kwa wafanyakazi 500. Matokeo ya wiki moja:

Kumbuka: hali ya mfano wa maelezo. Matokeo hutofautiana kulingana na ukubwa wa kampuni na matumizi ya AI.

Mambo manne haya yanaonyesha wakaguzi:

• Ukubwa wa matumizi ya zana za AI (vikao 8,400 kwa wiki)
• Kiasi cha PII hatarini (viumbe 12,000 vilivyopatikana)
• Utendaji wa udhibiti (kiwango cha uficho 94%)
• Hatari iliyobaki (viumbe 720 vinahitaji ufuatiliaji)

Mambo matatu wakaguzi wanaweza kuthibitisha:

• Udhibiti wa kiufundi uko hai (kumbukumbu za usambazaji wa nyongeza)
• Ufuatiliaji uko hai (ripoti za kila wiki)
• Hatari iliyobaki inadhibitiwa (mafunzo ya ufuatiliaji kwa 6%)

Hii ndiyo pengo kati ya "tuna sera" na "hapa kuna matokeo ya udhibiti wetu uliupimika."

Kubadilisha Matokeo kuwa Uboreshaji

6% iliyotumwa bila uficho si kushindwa. Ni mafanikio ya ufuatiliaji. Kampuni sasa inajua:

1. Wafanyakazi gani wanakataa maombi ya uficho au wanayakosa.
2. Ni aina zipi za viumbe zinazotumwa bila uficho mara nyingi zaidi.
3. Timu zipi zina viwango vya juu vya kupita.
4. Kama kiwango kinashuka wafanyakazi wanapozoea.

Hii husababisha hatua zinazolengwa. Wafanyakazi wenye kupita sana wanapata mafunzo ya ziada. Aina za viumbe zenye kupita sana zinaweza kuhitaji maombi thabiti zaidi. Timu zenye kupita mara kwa mara zinaweza kuhitaji mabadiliko ya mtiririko wa kazi.

Bila matokeo haya, mafunzo yanatolewa kwa usawa. Nayo, mafunzo yanakwenda mahali ambapo hatari ni kubwa zaidi.

Mfuko Kamili wa Kifungu 32 Unaonekana Vipi

Seti kamili ya hati ya GDPR Kifungu 32 kwa programu ya zana za AI:

Hatua za kiufundi:

1. Nyongeza ya Chrome kwenye vifaa N (ushahidi: kumbukumbu za MDM)
2. Ugunduzi wa PII moja kwa moja kwenye sehemu za uingizaji wa zana za AI
3. Mtiririko wa kazi wa uficho na njia ya ukaguzi (kumbukumbu za nyongeza)
4. Dashibodi ya uzingatifu (vipimo vya ugunduzi)

Hatua za kiuandani:

1. Sera ya matumizi ya zana za AI
2. Rekodi za mafunzo ya wafanyakazi
3. Mpango wa kujibu matukio kwa uvujaji wa data ya AI
4. Ukaguzi wa kila robo mwaka wa matokeo ya ufuatiliaji

Ushahidi wa ufuatiliaji:

1. Vipimo vya dashibodi vya kila wiki (miezi 12 inayozunguka)
2. Mwelekeo wa kiwango cha uficho
3. Mgawanyo wa aina za viumbe
4. Rekodi za ufuatiliaji kwa kupita

Ugunduzi wa matukio:

1. Matokeo ya ufuatiliaji yanaashiria tabia isiyo ya kawaida (kupungua ghafla kwa kiwango, aina mpya za viumbe)
2. Mpango wa kujibu matukio uliojaribiwa tarehe [tarehe]

Seti hii inakidhi Kifungu 32. Inaonyesha hatua za kiufundi na kiuandani na ushahidi wa kweli.

Kupima Kupungua kwa Hatari

Kwa mtihani wa uwiano, lazima uonyeshe hatari ambayo udhibiti unaondoa.

Bila udhibiti:

• 11% ya maombi ya AI yana PII (Cyberhaven 2025)
• Vikao 8,400 vya kila wiki x 11% = vikao 924 vyenye PII kwa wiki
• Kila kikao: ufichuzi unaowezekana wa GDPR Kifungu 83 ikiwa data ya EU inahusika

Na udhibiti (kiwango cha uficho 94%):

• Vikao 924 vyenye PII iliyogunduliwa
• 94% vilifichwa: vikao 869 vilindwa
• Kilichobaki: vikao 55 kwa wiki vyenye maudhui yasiyofichwa

Matokeo: kupungua kwa 94% kwa ufichuzi wa PII kutoka kwa matumizi ya zana za AI.

Kwa wadhibiti wanaotumia mtihani wa uwiano, kupungua kwa 94% kutoka kwa udhibiti wa kiufundi uliosambaziwa ni ushahidi thabiti. Angalia pia kuzuia PII kwa wakati halisi kwa zana za AI na DLP ya kivinjari kwa ChatGPT, Claude, na Gemini.

Hitimisho

Uzingatifu wa Kifungu 32 cha GDPR kwa zana za AI hauwezi kutegemea sera peke yake. Kufuatilia vikao vya AI vya kivinjari kwa ufichuzi wa PII kunahitaji udhibiti wa kiufundi unaozalisha ushahidi.

Uficho wa moja kwa moja na ufuatiliaji uliojengwa ndani hukupa vyote viwili: kuzuia (ufichuzi mdogo) na ushahidi (hatari iliyopimika na matokeo ya udhibiti). Mchanganyiko huo unakidhi Kifungu 32.

Kwa Wakurugenzi Wakuu wa Usalama wa Habari wanaokabiliwa na ukaguzi wa DPA: wakaguzi wanataka data halisi. Onyesha viwango vya ugunduzi, viwango vya uficho, na mwelekeo wa hatari iliyobaki. Sera ni mwanzo. Matokeo ya ufuatiliaji ni uthibitisho.

Kwa jinsi kuzuia kunavyolinganishwa na uficho kama udhibiti, angalia DLP ya Kivinjari: Kuzuia dhidi ya Kutokujulisha.

Vyanzo

• Kifungu 32 cha GDPR - Usalama wa Usindikaji
• Utafiti wa Ufichuzi wa Data ya AI wa Biashara wa Cyberhaven 2025
• EDPB - Miongozo na Mapendekezo kuhusu Mifumo ya AI