GDPR Art. 32: Pagmamasid sa PII ng AI Tool

Patunayan ang GDPR Article 32 Compliance para sa mga AI Tool

Ina-update para sa 2026.

Hinihingi ng GDPR Article 32 ang "angkop na teknikal at organisasyonal na mga hakbain" para protektahan ang personal na datos. Kapag gumagamit ang mga kawani ng mga panlabas na AI tool - ChatGPT, Claude, Gemini - ang panganib ay totoo at masusukat. Ang mga kontrol ay dapat na masusukat din.

Ang isang patakaran na nagsasabing "huwag ibahagi ang personal na datos sa mga AI tool" ay isang organisasyonal na hakbain. Hindi ito isang teknikal na hakbain. Hindi ito sapat kapag nagtatanong ang isang DPA auditor: "Paano mo malalaman na sumusunod ang mga kawani?"

Ano ang Tinatanong ng Mga DPA Auditor Tungkol sa AI Tool

Pagkatapos ng Samsung ChatGPT breach noong Marso 2023, masusing sinuri ng mga regulator ang mga enterprise AI program. Ngayon ay nagtatanong ang mga DPA auditor ng mga direktang tanong.

Sa mga teknikal na kontrol, nagtatanong sila ng:

• Ano ang pumipigil sa personal na datos na makarating sa mga AI system?
• Paano mo i-enforce ang masking sa real time?
• Anong katibayan ang nagpapakita na gumagana ang mga kontrol?

Sa pagmamasid, nagtatanong sila ng:

• Paano mo sinusubaybayan ang paggamit ng AI ng kawani para sa PII exposure?
• Anong mga sukatan ang kinokolekta mo? Gaano kadalas?
• Paano mo malalaman na hindi nilalaktawan ang mga kontrol?

Sa pagtuklas ng insidente, nagtatanong sila ng:

• Paano mo mamamalasin ang isang PII leak sa isang AI tool?
• Ano ang iyong plano sa pagtugon?

Wala sa mga sagot na ito ang nasasagot ng mga dokumento ng patakaran. Sinasabi ng mga ito kung ano ang dapat gawin ng mga kawani. Hindi nito ipinapakita kung ano ang talagang ginagawa ng mga kawani.

Ang Agwat sa Pagmamasid para sa Mga Browser AI Tool

Nakaharap ang mga enterprise IT team sa pangunahing problema: mahirap bantayan ang mga browser-based na AI tool.

HTTPS Encryption

Lahat ng ChatGPT, Claude, at Gemini ay gumagamit ng HTTPS na may HSTS. Hindi mababasa ng network inspection ang teksto ng prompt nang walang TLS decryption.

TLS Inspection

Kailangan ng SSL inspection ng enterprise cert sa bawat device. Maaari itong masira ang cert pinning sa ilang app. Lumilikha ito ng mga bagong security gap. Maaaring lumabag ito sa mga tuntunin ng serbisyo ng AI platform. Nagdudulot ito ng mga isyu sa privacy ng kawani sa maraming bansa.

Endpoint DLP

Nagmamasid ang mga Endpoint agent sa clipboard at keystroke input. Ngunit mayroon silang mataas na rate ng false-positive. Hindi nila mababago ang pagkakaiba sa pagitan ng "pag-type ng datos ng kliyente sa kontrata" at "pag-type nito sa ChatGPT." Ang pagkaantala ay maaaring makaligtaan ang mga live na pagpapadala.

Ang resulta: ang karamihan sa mga kumpanyang gumagamit ng AI tool ay may maliit na insight sa kung anong datos ang nakakarating sa mga sistemang iyon.

Isang Compliance Dashboard sa Praktis

Ang isang CISO ng financial services ay dapat magpakita sa mga auditor na sinusubaybayan at kinokontrol ang PII exposure ng AI tool. Ang kinakailangan ng audit: matitigas na datos sa aktibong pagmamasid.

Naglalabas ang kumpanya ng Chrome Extension sa 500 kawani. Isang linggo ng output:

Paalala: halimbawa ng sitwasyon. Nag-iiba ang mga resulta ayon sa laki ng kumpanya at paggamit ng AI.

Aapat na bagay ang ipinapakita nito sa mga auditor:

• Sukat ng paggamit ng AI tool (8,400 session bawat linggo)
• Dami ng PII na nasa panganib (12,000 entity na natagpuan)
• Pagganap ng kontrol (94% rate ng masking)
• Natitirang panganib (720 entity ang nangangailangan ng follow-up)

Tatlong bagay na maaaring i-verify ng mga auditor:

• Aktibo ang isang teknikal na kontrol (mga log ng pag-deploy ng extension)
• Aktibo ang pagmamasid (lingguhang ulat)
• Pinamamahalaan ang natitirang panganib (karagdagang pagsasanay para sa 6%)

Ito ang agwat sa pagitan ng "mayroon kaming patakaran" at "narito ang aming nasukat na output ng kontrol."

Ginagawang Pagpapabuti ang Output

Ang 6% na napadala nang walang masking ay hindi isang kabiguan. Ito ay isang tagumpay sa pagmamasid. Alam na ngayon ng kumpanya:

1. Aling mga kawani ang nagtatanggal ng mga prompt sa masking o nakakaligtaan ang mga ito.
2. Aling mga uri ng entity ang madalas na napadala nang hindi na-mask.
3. Aling mga team ang may mas mataas na rate ng pag-bypass.
4. Kung bumababa ba ang rate habang umaangkop ang mga kawani.

Ito ay nagdudulot ng naka-target na aksyon. Ang mga kawani na may mataas na bypass ay nakakakuha ng karagdagang pagsasanay. Ang mga uri ng entity na may mataas na bypass ay maaaring mangailangan ng mas malakas na mga prompt. Ang mga team na may paulit-ulit na bypass ay maaaring mangailangan ng pagbabago sa daloy ng trabaho.

Nang walang output na ito, ang pagsasanay ay nalalapat nang pantay. Sa pamamagitan nito, pumupunta ang pagsasanay kung saan pinakamataas ang panganib.

Ano ang Hitsura ng Kumpletong Article 32 Package

Isang kumpletong set ng dokumento ng GDPR Article 32 para sa isang programa ng AI tool:

Mga teknikal na hakbain:

1. Chrome Extension sa N device (katibayan: mga MDM log)
2. Live na PII detection sa mga input field ng AI tool
3. Masking workflow na may audit trail (mga log ng extension)
4. Compliance dashboard (mga sukatan ng pagtuklas)

Mga organisasyonal na hakbain:

1. Patakaran sa paggamit ng AI tool
2. Mga talaan ng pagsasanay ng kawani
3. Plano sa pagtugon sa insidente para sa mga AI data leak
4. Quarterly na pagsusuri ng output ng pagmamasid

Katibayan ng pagmamasid:

1. Lingguhang sukatan ng dashboard (rolling na 12 buwan)
2. Trend ng rate ng masking
3. Paghahati ng uri ng entity
4. Mga talaan ng follow-up para sa mga bypass

Pagtuklas ng insidente:

1. Ang output ng pagmamasid ay nagba-flag ng kakaibang gawi (biglaang pagbaba ng rate, mga bagong uri ng entity)
2. Plano sa pagtugon sa insidente na nasubukan noong [petsa]

Ang set na ito ay nakakatugon sa Article 32. Ipinapakita nito ang mga teknikal at organisasyonal na hakbain na may tunay na katibayan.

Pag-quantify ng Pagbabawas ng Panganib

Para sa proportionality test, dapat mong ipakita ang panganib na inaaalis ng kontrol.

Nang walang kontrol:

• 11% ng mga AI prompt ay naglalaman ng PII (Cyberhaven 2025)
• 8,400 lingguhang session x 11% = 924 session na may PII bawat linggo
• Bawat session: isang potensyal na GDPR Article 83 exposure kung kasangkot ang datos ng EU

Na may kontrol (94% na rate ng masking):

• 924 session na may natukoy na PII
• 94% na na-mask: 869 session na protektado
• Natitirang: 55 session bawat linggo na may hindi na-mask na nilalaman

Ang resulta: 94% na pagbaba ng PII exposure mula sa paggamit ng AI tool.

Para sa mga regulator na naglalapat ng proportionality test, ang isang 94% na pagbabawas mula sa isang naka-deploy na teknikal na kontrol ay isang matibay na katibayan. Tingnan din ang real-time PII prevention para sa mga AI tool at browser DLP para sa ChatGPT, Claude, at Gemini.

Konklusyon

Ang GDPR Article 32 compliance para sa mga AI tool ay hindi maaaring umasa sa patakaran lamang. Ang pagmamasid sa mga browser AI session para sa PII exposure ay nangangailangan ng isang teknikal na kontrol na gumagawa ng katibayan.

Ang live masking na may built-in na pagmamasid ay nagbibigay sa iyo ng parehong: prevention (mas kaunting exposure) at katibayan (nasukat na panganib at output ng kontrol). Ang kombinasyong iyon ay nakakatugon sa Article 32.

Para sa mga CISO na nakaharap sa DPA audit: gusto ng mga auditor ng matitigas na datos. Ipakita ang mga rate ng pagtuklas, rate ng masking, at mga trend ng natitirang panganib. Ang patakaran ay simula. Ang output ng pagmamasid ay patunay.

Para sa kung paano naghahambing ang pag-block at masking bilang isang kontrol, tingnan ang Browser DLP: Blocking vs. Anonymization.

Mga Pinagkukunan

• GDPR Article 32 - Security of Processing
• Cyberhaven Enterprise AI Data Exposure Study 2025
• EDPB - Guidelines and Recommendations on AI Systems