Відповідність статті 32 GDPR для інструментів ШІ: моніторинг ПДн

Доведення відповідності статті 32 GDPR для інструментів ШІ: моніторинг ризиків ПДн через дані, а не через документи про політику

Стаття 32 GDPR вимагає «відповідних технічних та організаційних заходів» для забезпечення безпеки, пропорційної ризику. Коли співробітники використовують зовнішні інструменти ШІ (ChatGPT, Claude, Gemini), ризик є реальним і вимірюваним. Заходи з усунення цього ризику також мають бути доказовими.

Документ про політику, що стверджує «співробітники не повинні ділитися персональними даними з інструментами ШІ» — це організаційний захід. Це не технічний захід. І цього недостатньо, коли аудитор DPA запитує: «Звідки ви знаєте, що співробітники дійсно це дотримуються?»

На що звертають увагу аудитори DPA при перевірці інструментів ШІ

Піcля інциденту Samsung з ChatGPT (березень 2023 року) та подальшої регуляторної уваги до корпоративного впровадження ШІ, аудитори DPA розробили конкретні запитання щодо програм відповідності для інструментів ШІ:

Технічні засоби контролю:

• «Які технічні заходи запобігають потраплянню персональних даних до зовнішніх систем ШІ?»
• «Як ви забезпечуєте вимоги анонімізації у взаємодіях з ШІ в реальному часі?»
• «Які докази підтверджують, що ці технічні засоби контролю функціонують?»

Моніторинг:

• «Як ви відстежуєте використання інструментів ШІ співробітниками для виявлення ризиків ПДн?»
• «Які метрики ви відстежуєте? З якою частотою?»
• «Звідки ви знаєте, що ваші засоби контролю ефективні, а не обходяться?»

Виявлення інцидентів:

• «Як ви б виявили, що персональні дані були передані інструменту ШІ?»
• «Яка ваша процедура реагування на витік даних через ШІ?»

Документи про політику не відповідають жодному з цих запитань доказово. Вони описують, що повинні робити співробітники; вони не демонструють, що вони роблять насправді.

Прогалина у видимості моніторингу

Корпоративні IT-команди стикаються з фундаментальною проблемою моніторингу браузерних інструментів ШІ:

HTTPS-шифрування: Усі основні платформи ШІ (ChatGPT, Claude, Gemini) використовують HTTPS з HSTS і в деяких конфігураціях — закріпленням сертифікатів. Перевірка пакетів на мережевому рівні не може бачити вміст запитів без дешифрування TLS.

Обмеження дешифрування TLS: Впровадження TLS-інспекції (MITM) для трафіку ШІ:

• Вимагає розгортання корпоративного сертифіката на всіх кінцевих пристроях
• Порушує закріплення сертифікатів у деяких додатках
• Створює нові ризики безпеки (дешифрований трафік доступний для перевірки)
• Може порушувати умови використання платформ ШІ
• Викликає занепокоєння щодо конфіденційності співробітників у багатьох юрисдикціях

Обмеження кінцевого DLP: Агенти кінцевого DLP можуть відстежувати буфер обміну та натискання клавіш, але:

• Висока частота хибних спрацювань (легітимні операції з даними ініціюють оповіщення)
• Не можуть відрізнити «введення конфіденційних даних у Word» від «введення їх у ChatGPT»
• Затримка обробки може пропустити відправлення в реальному часі
• Вимагає доступу на рівні ядра, що створює проблеми безпеки та стабільності

В результаті: більшість організацій, що впроваджують корпоративні інструменти ШІ, мають обмежену видимість щодо того, які дані фактично потрапляють до цих інструментів.

Панель моніторингу відповідності у фінансових послугах

Директору з інформаційної безпеки компанії фінансових послуг необхідно продемонструвати зовнішнім аудиторам, що ризик ПДн в інструментах ШІ відстежується і контролюється. Вимога аудиту: кількісні докази активного моніторингу та ефективності контролю.

Розгортання: Chrome Extension розповсюджено серед 500 співробітників

Дані моніторингу:

Що ці дані показують аудиторам:

• Масштаб використання інструментів ШІ (8 400 взаємодій/тиждень)
• Обсяг ризику розкриття ПДн (12 000 виявлених сутностей)
• Ефективність засобу контролю анонімізації (94% частка анонімізації)
• Залишковий ризик (720 сутностей без анонімізації, що потребують подальших дій)

Що аудитори можуть перевірити:

• Технічний засіб контролю існує і функціонує (журнали розгортання розширення)
• Моніторинг активний і генерує дані (щотижневі метрики)
• Залишковий ризик кількісно визначений і управляється (подальше навчання для 6% невідповідності)

Це різниця між «у нас є політика» і «ось наша виміряна ефективність контролю».

Використання даних моніторингу для постійного вдосконалення

6% виявлених ПДн, відправлених без анонімізації, — це не невдача відповідності, а успіх моніторингу. Організація тепер знає:

1. 6% співробітників або відхиляють пропозицію анонімізації, або не бачать її
2. Конкретні типи сутностей, що найчастіше відправляються без анонімізації (імена клієнтів порівняно з номерами рахунків)
3. Які відділи або ролі мають вищу частку відправлень без анонімізації
4. Трендові дані (чи зменшується 6% з адаптацією співробітників до робочого процесу?)

Ці дані стимулюють цілеспрямоване втручання:

• Співробітники з високою часткою відправлень без анонімізації отримують додаткове навчання
• Типи сутностей з високою частотою обходу можуть потребувати посилених підказок у інтерфейсі
• Відділи з системною невідповідністю можуть отримати перепроектування робочого процесу

Без даних моніторингу навчання та втручання застосовуються рівномірно. З даними — там, де ризик найвищий.

Документація GDPR для програм інструментів ШІ

Повний пакет документації щодо відповідності статті 32 GDPR для корпоративної програми відповідності інструментів ШІ:

Технічні заходи:

1. Chrome Extension розгорнуто для [N] співробітників (докази розгортання: журнали MDM)
2. Виявлення ПДн в реальному часі для [типи сутностей] у полях введення інструментів ШІ
3. Робочий процес анонімізації з аудиторським слідом (журнали розширення)
4. Організаційна панель моніторингу (агреговані метрики виявлення)

Організаційні заходи:

1. Політика використання інструментів ШІ (задокументована)
2. Записи про завершення навчання співробітників
3. Процедура реагування на інциденти витоку даних через ШІ
4. Щоквартальний огляд відповідності на основі даних моніторингу

Докази моніторингу:

1. Щотижневі метрики панелі (12-місячний ковзний період)
2. Трендові дані частки анонімізації
3. Розбивка по типах сутностей
4. Записи про подальші дії за виявленою невідповідністю

Можливість виявлення інцидентів:

1. Дані моніторингу дозволяють виявляти аномальну поведінку (раптове падіння частки анонімізації, нові типи сутностей)
2. Процедура реагування на інциденти перевірена [дата]

Ця документація задовольняє вимогу статті 32 GDPR продемонструвати відповідні технічні та організаційні заходи — з доказами, а не заявами про політику.

Кількісне визначення зниження ризику

Для регуляторного аналізу пропорційності — кількісне визначення зниження ризику, досягнутого технічним засобом контролю:

До технічного засобу контролю:

• 11% запитів до ШІ містять ПДн (базовий рівень Cyberhaven)
• 8 400 тижневих взаємодій × 11% = 924 взаємодії з ПДн на тиждень
• Кожна взаємодія: потенційне порушення статті 83 GDPR при наявності персональних даних ЄС

Після технічного засобу контролю (94% частка анонімізації):

• 924 взаємодії з виявленими ПДн
• 94% анонімізовано: 869 взаємодій захищено
• Залишок: 55 взаємодій на тиждень з неанонімізованими ПДн

Зниження ризику: Зниження на 94% інцидентів розкриття ПДн від використання інструментів ШІ.

Для регуляторів, що застосовують тест пропорційності (відповідні заходи порівняно з ризиком), зниження ризику на 94% від систематично розгорнутого технічного засобу контролю є переконливим доказом відповідних технічних заходів.

Висновок

Відповідність статті 32 GDPR для використання інструментів ШІ не може бути досягнута лише через документи про політику. Технічне завдання — моніторинг браузерних взаємодій з ШІ для виявлення ризиків ПДн — вимагає технічних засобів контролю, що генерують дані моніторингу.

Анонімізація ПДн в реальному часі з інтегрованим моніторингом забезпечує як запобігання (зниження ризику розкриття), так і докази (кількісне визначення ризику та ефективності контролю). Ця комбінація задовольняє технічні вимоги та вимоги доказовості статті 32.

Для директорів з інформаційної безпеки, що готуються до аудитів DPA: на запитання «покажіть мені засоби контролю ПДн для інструментів ШІ» є одна переконлива відповідь — кількісні дані моніторингу, що показують частоту виявлення, частку анонімізації та тренди залишкового ризику. Документи про політику є необхідним відправним пунктом; дані — це докази.

Джерела:

• GDPR Article 32: Security of Processing — Technical and Organisational Measures
• Cyberhaven: Enterprise AI Data Exposure Study 2025
• EDPB: Guidelines on Technical Measures for AI Systems