Математика щоденного витоку PII
Дослідження Cyberhaven виявило, що корпоративні співробітники в середньому вставляють чутливі дані 3,8 рази до ChatGPT на одного користувача на день. Для команди підтримки зі 100 осіб — це 380 випадків потрапляння записів клієнтів до ChatGPT щодня.
Кожен такий випадок може бути порушенням принципу мінімізації даних GDPR за статтею 5(1)(c). Ця стаття вимагає, щоб персональні дані були «адекватними, доречними і обмеженими тим, що необхідно».
Це не порушники, що ігнорують політику. Показник 3,8 відображає звичайну роботу. Оператори копіюють листи клієнтів для складання відповідей. Вони вставляють текст скарги, щоб отримати емпатійні пропозиції. Вони включають деталі акаунту для контекстно-залежних відповідей. Кожна вставка — це обґрунтований крок підвищення продуктивності, який випадково тягне за собою PII.
Навчання поведінці не вирішує проблему
Аудит ЄС 2024 року виявив, що 63% даних користувачів ChatGPT містять персональну ідентифікаційну інформацію. Лише 22% користувачів знали, що можуть відмовитись через налаштування інструменту. Більшість вмісту, вставленого в AI-помічник, містить PII. Більшість користувачів не обізнані про засоби контролю. Результат — щоденний витік у масштабі.
Навчання у сфері політики стикається з базовою проблемою. Звичка копіювати-вставляти існує десятиліттями. Користувачі копіювали й вставляли текст від першого дня за комп'ютером. Додавання AI-чату як нової цілі для вставки змінює лише призначення, але не звичку.
Політика «не вставляти PII клієнтів в AI-помічник» вимагає від операторів виконувати крок класифікації — «чи містить цей текст PII?» — у межах звичної дії, яка не передбачає природної паузи. Ефект від навчання зникає. Сукупний результат 380 щоденних рішень щодо вставки — це ризик відповідності, який одна лише політика не може стримати.
Де технічний контроль працює
Вирішення діє в момент самої вставки. Розширення браузера перехоплює вміст буфера обміну в момент, коли оператор натискає «вставити», ще до того, як текст потрапляє до поля введення. Оператор бачить модальне вікно попереднього перегляду. Воно показує, що було виявлено і що буде анонімізовано перед відправкою тексту.
Це не блокуючий контроль. Оператори можуть продовжити, змінити або зупинитись. Це крок прозорості. Він додає один момент видимості до інакше автоматичної дії.
Розглянемо керівника групи підтримки в німецькій компанії електронної комерції, що складає відповіді на скарги клієнтів. Робочий процес залишається незмінним: скопіювати скаргу, вставити в ChatGPT, отримати відповідь. Розширення додає двосекундну перевірку. Оператор бачить, що були виявлені імена, адреси й номери замовлень. Оператор натискає «Продовжити». Інструмент отримує анонімізовану версію. Порушення відповідності не відбувається.
Наш посібник з відповідності GDPR охоплює правову підставу для таких засобів контролю. Дивіться також наше порівняння AI-політики та технічних засобів контролю та посібник з browser DLP для ChatGPT для деталей реалізації.