AI সরঞ্জামের জন্য GDPR আর্টিকেল ৩২ কমপ্লায়েন্স প্রমাণ করা
২০২৬ সালের জন্য আপডেট করা হয়েছে।
GDPR আর্টিকেল ৩২ ব্যক্তিগত ডেটা সুরক্ষার জন্য "উপযুক্ত প্রযুক্তিগত এবং সাংগঠনিক পদক্ষেপ" দাবি করে। যখন কর্মীরা বাহ্যিক AI সরঞ্জাম — ChatGPT, Claude, Gemini — ব্যবহার করেন, ঝুঁকি বাস্তব এবং পরিমাপযোগ্য। নিয়ন্ত্রণও পরিমাপযোগ্য হতে হবে।
একটি নীতি যা বলে "AI সরঞ্জামের সাথে ব্যক্তিগত ডেটা শেয়ার করবেন না" একটি সাংগঠনিক পদক্ষেপ। এটি একটি প্রযুক্তিগত পদক্ষেপ নয়। যখন একজন DPA অডিটর জিজ্ঞেস করেন: "আপনি কীভাবে জানেন কর্মীরা মেনে চলে?" তখন এটি যথেষ্ট নয়।
DPA অডিটররা AI সরঞ্জাম সম্পর্কে কী জিজ্ঞেস করেন
২০২৩ সালের মার্চে Samsung ChatGPT লঙ্ঘনের পরে, নিয়ন্ত্রকরা এন্টারপ্রাইজ AI প্রোগ্রামগুলো কঠোরভাবে পরীক্ষা করেছেন। DPA অডিটররা এখন সরাসরি প্রশ্ন করেন।
প্রযুক্তিগত নিয়ন্ত্রণ সম্পর্কে, তারা জিজ্ঞেস করেন:
- ব্যক্তিগত ডেটা AI সিস্টেমে পৌঁছানো থেকে কী থামায়?
- আপনি কীভাবে রিয়েল-টাইমে মাস্কিং প্রয়োগ করেন?
- নিয়ন্ত্রণগুলো কাজ করছে তার কী প্রমাণ আছে?
পর্যবেক্ষণ সম্পর্কে, তারা জিজ্ঞেস করেন:
- PII এক্সপোজারের জন্য আপনি কর্মীদের AI ব্যবহার কীভাবে ট্র্যাক করেন?
- আপনি কী মেট্রিক্স সংগ্রহ করেন? কতবার?
- নিয়ন্ত্রণগুলো বাইপাস না হচ্ছে তা আপনি কীভাবে জানেন?
ঘটনা শনাক্তকরণ সম্পর্কে, তারা জিজ্ঞেস করেন:
- AI সরঞ্জামে PII লিক কীভাবে চিহ্নিত করবেন?
- আপনার প্রতিক্রিয়া পরিকল্পনা কী?
নীতি নথি এই প্রশ্নগুলোর কোনোটিরই উত্তর দেয় না। তারা বলে কর্মীদের কী করা উচিত। তারা দেখায় না কর্মীরা আসলে কী করে।
ব্রাউজার AI সরঞ্জামের জন্য পর্যবেক্ষণ ফাঁক
এন্টারপ্রাইজ IT দলগুলো একটি মূল সমস্যার মুখে পড়ে: ব্রাউজার-ভিত্তিক AI সরঞ্জাম পর্যবেক্ষণ করা কঠিন।
HTTPS এনক্রিপশন
ChatGPT, Claude, এবং Gemini সবই HSTS সহ HTTPS ব্যবহার করে। TLS ডিক্রিপশন ছাড়া নেটওয়ার্ক পরীক্ষা প্রম্পট টেক্সট পড়তে পারে না।
TLS পরীক্ষা
SSL পরীক্ষার প্রতিটি ডিভাইসে এন্টারপ্রাইজ সার্টিফিকেট প্রয়োজন। এটি কিছু অ্যাপে সার্ট পিনিং ভাঙতে পারে। এটি নতুন নিরাপত্তা ফাঁক তৈরি করে। এটি AI প্ল্যাটফর্ম ব্যবহারের শর্ত লঙ্ঘন করতে পারে। এটি অনেক দেশে কর্মীদের গোপনীয়তার সমস্যা তোলে।
এন্ডপয়েন্ট DLP
এন্ডপয়েন্ট এজেন্টগুলো ক্লিপবোর্ড এবং কীস্ট্রোক ইনপুট দেখে। কিন্তু তাদের উচ্চ মিথ্যা-ইতিবাচক হার আছে। তারা "চুক্তিতে ক্লায়েন্ট ডেটা টাইপ করা" এবং "ChatGPT-তে টাইপ করা" আলাদা করতে পারে না। বিলম্ব লাইভ পাঠানো মিস করতে পারে।
ফলাফল: AI সরঞ্জাম ব্যবহারকারী বেশিরভাগ প্রতিষ্ঠানের ঐ সিস্টেমগুলোতে কী ডেটা পৌঁছায় তার সামান্য দৃষ্টিভঙ্গি আছে।
ব্যবহারিকভাবে একটি কমপ্লায়েন্স ড্যাশবোর্ড
একজন আর্থিক পরিষেবা CISO-কে অডিটরদের দেখাতে হবে যে AI সরঞ্জাম PII এক্সপোজার ট্র্যাক এবং নিয়ন্ত্রণ করা হচ্ছে। অডিট প্রয়োজনীয়তা: সক্রিয় পর্যবেক্ষণের কঠোর ডেটা।
প্রতিষ্ঠানটি ৫০০ কর্মীর কাছে একটি Chrome Extension রোলআউট করে। এক সপ্তাহের আউটপুট:
| মেট্রিক | সাপ্তাহিক মান |
|---|---|
| মোট AI সেশন | ৮,৪০০ |
| PII সত্তা শনাক্ত | ১২,০০০ |
| মাস্কিং হার | ৯৪% |
| গ্রাহকের নাম পাওয়া | ৪,৮০০ |
| অ্যাকাউন্ট নম্বর পাওয়া | ৩,২০০ |
| লেনদেন ID পাওয়া | ২,১০০ |
| অমাস্কড পাঠানো (৬%) | ৭২০ সত্তা |
নোট: চিত্রমূলক পরিস্থিতি। ফলাফল প্রতিষ্ঠানের আকার এবং AI ব্যবহার অনুযায়ী পরিবর্তিত হয়।
চারটি জিনিস যা এটি অডিটরদের দেখায়:
- AI সরঞ্জাম ব্যবহারের পরিধি (প্রতি সপ্তাহে ৮,৪০০ সেশন)
- ঝুঁকিতে PII-এর পরিমাণ (১২,০০০ সত্তা পাওয়া)
- নিয়ন্ত্রণ কর্মক্ষমতা (৯৪% মাস্কিং হার)
- অবশিষ্ট ঝুঁকি (৭২০ সত্তার ফলো-আপ দরকার)
তিনটি জিনিস অডিটররা যাচাই করতে পারেন:
- একটি প্রযুক্তিগত নিয়ন্ত্রণ সক্রিয় আছে (এক্সটেনশন ডেপ্লয়মেন্ট লগ)
- পর্যবেক্ষণ সক্রিয় (সাপ্তাহিক রিপোর্ট)
- অবশিষ্ট ঝুঁকি পরিচালিত (৬%-এর জন্য ফলো-আপ প্রশিক্ষণ)
এটি "আমাদের একটি নীতি আছে" এবং "এখানে আমাদের পরিমাপকৃত নিয়ন্ত্রণ আউটপুট" এর মধ্যে ফাঁক।
আউটপুটকে উন্নতিতে পরিণত করা
মাস্কিং ছাড়া পাঠানো ৬% ব্যর্থতা নয়। এটি একটি পর্যবেক্ষণ সাফল্য। প্রতিষ্ঠানটি এখন জানে:
- কোন কর্মীরা মাস্কিং প্রম্পট উপেক্ষা করেন বা মিস করেন।
- কোন ধরনের সত্তা প্রায়ই অমাস্কড পাঠানো হয়।
- কোন দলের বাইপাস হার বেশি।
- কর্মীরা মানিয়ে নেওয়ার সাথে সাথে হার কমে কিনা।
এটি লক্ষ্যভিত্তিক পদক্ষেপ চালায়। উচ্চ-বাইপাস কর্মীরা অতিরিক্ত প্রশিক্ষণ পান। উচ্চ-বাইপাস সত্তার ধরনগুলোতে শক্তিশালী প্রম্পটের প্রয়োজন হতে পারে। বারবার বাইপাস সহ দলগুলোর ওয়ার্কফ্লো পরিবর্তন প্রয়োজন হতে পারে।