Dokazivanje uskladjenosti sa GDPR clanom 32 za AI alate
Azurirano za 2026.
GDPR clan 32 zahteva "odgovarajuce tehnicke i organizacione mere" za zastitu licnih podataka. Kada zaposleni koriste spoljne AI alate - ChatGPT, Claude, Gemini - rizik je realan i merljiv. Kontrole takodje moraju biti merljive.
Politika koja kaze "ne delite licne podatke sa AI alatima" je organizaciona mera. Nije tehnicka mera. Nije dovoljno kada DPA revizor pita: "Kako znate da zaposleni postuju to?"
Sta DPA revizori pitaju o AI alatima
Nakon Samsung ChatGPT propusta u martu 2023, regulatori su ozbiljno pogledali korporativne AI programe. DPA revizori sada postavljaju direktna pitanja.
O tehnickim kontrolama pitaju:
- Sta sprecava licne podatke da stignu do AI sistema?
- Kako primenjujete maskiranje u realnom vremenu?
- Koji dokazi pokazuju da kontrole funkcionisu?
O pracenju pitaju:
- Kako pratite koriscenje AI od strane zaposlenih za izlozenost licnih podataka?
- Koje metrike prikupljate? Koliko cesto?
- Kako znate da kontrole nisu zaobidene?
O detekciji incidenata pitaju:
- Kako biste uocili propust licnih podataka ka AI alatu?
- Koji je vas plan odgovora?
Dokumenti o politici ne odgovaraju ni na jedno od ovih pitanja. Oni govore sta zaposleni treba da rade. Ne pokazuju sta zaposleni zaista rade.
Praznina u pracenju za AI alate u pregledacu
IT timovi u preduzecima se suocavaju sa osnovnim problemom: AI alati u pregledacu su tesko pratljivi.
HTTPS enkripcija
ChatGPT, Claude i Gemini koriste HTTPS sa HSTS. Mrezna inspekcija ne moze da cita tekst upita bez TLS desifrovanja.
TLS inspekcija
SSL inspekcija zahteva korporativne sertifikate na svakom uredjaju. Moze da pokvari pinovanje sertifikata u nekim aplikacijama. Stvara nove bezbednosne propuste. Moze da krsi uslove koriscenja AI platformi. Pokrace probleme privatnosti zaposlenih u mnogim zemljama.
Endpoint DLP
Endpoint agenti prate unos putem ostave i tastature. Ali imaju visoke stope laznih pozitiva. Ne mogu da razlikuju "unos podataka klijenta u ugovor" od "unosa u ChatGPT". Kasnjenje moze da propusti slanja uzivo.
Rezultat: vecina firmi koje koriste AI alate ima malo uvida u to koji podaci stizu do tih sistema.
Kontrolna tabla za uskladjenost u praksi
CISO finansijskih usluga mora da pokaze revizorima da je izlozenost licnih podataka u AI alatima pracena i kontrolisana. Zahtev revizije: konkretni podaci o aktivnom pracenju.
Firma rasporeduje Chrome Extensions za 500 zaposlenih. Izlaz jedne nedelje:
| Metrika | Nedeljjna vrednost |
|---|---|
| Ukupne AI sesije | 8.400 |
| Detektovani entiteti licnih podataka | 12.000 |
| Stopa maskiranja | 94% |
| Pronadjena imena klijenata | 4.800 |
| Pronadjeni brojevi racuna | 3.200 |
| Pronadjeni ID-ovi transakcija | 2.100 |
| Nemaskirana slanja (6%) | 720 entiteta |
Napomena: ilustrativni scenario. Rezultati se razlikuju po velicini firme i upotrebi AI-a.
Cetiri stvari koje ovo pokazuje revizorima:
- Obim koriscenja AI alata (8.400 sesija nedeljno)
- Volumen licnih podataka u riziku (12.000 detektovanih entiteta)
- Performanse kontrole (stopa maskiranja 94%)
- Preostali rizik (720 entiteta zahteva praenje)
Tri stvari koje revizori mogu da verifikuju:
- Tehnicka kontrola je aktivna (evidencije o rasmestanju extensions-a)
- Pracenje je aktivno (nedeljni izvestaji)
- Preostali rizik se upravlja (dodatna obuka za 6%)
Ovo je razlika izmedju "imamo politiku" i "evo izmerenog izlaza nase kontrole".
Pretvaranje izlaza u poboljsanje
6% poslato bez maskiranja nije neuspeh. To je uspeh pracenja. Firma sada zna:
- Koji zaposleni odbacuju upozorenja o maskiranju ili ih propustaju.
- Koji tipovi entiteta se najcese salju nemaskirani.
- Koji timovi imaju vise stope zaobilazenja.
- Da li se stopa smanjuje kako se zaposleni adaptiraju.
Ovo pokree ciljane akcije. Zaposleni sa visokim zaobilazenjem dobijaju dodatnu obuku. Tipovi entiteta sa visokim zaobilazenjem mogu zahtevati jaca upozorenja. Timovi sa ponavljanim zaobilazenjem mogu zahtevati promenu radnog toka.
Bez ovog izlaza, obuka se primenjuje ravnomerno. Sa njim, obuka ide tamo gde je rizik najveci.
Kako izgleda kompletan paket po clanu 32
Kompletan set dokumentacije po GDPR clanu 32 za AI alat program:
Tehnicke mere:
- Chrome Extension na N uredjaja (dokaz: MDM zapisi)
- Detekcija licnih podataka uzivo u poljima za unos AI alata
- Radni tok maskiranja sa revizorskim zapisom (zapisi extensions-a)
- Kontrolna tabla uskladjenosti (metrike detekcije)
Organizacione mere:
- Politika koriscenja AI alata
- Evidencija obuke zaposlenih
- Plan odgovora na incidente za AI propuste
- Kvartalni pregled izlaza pracenja
Dokazi pracenja:
- Nedeljne metrike kontrolne table (poslednjih 12 meseci)
- Trend stope maskiranja
- Raspodela tipova entiteta
- Evidencija praenja o zaobilazenjima
Detekcija incidenata:
- Izlaz pracenja oznacava neobicno ponasanje (iznenadno smanjenje stope, novi tipovi entiteta)
- Plan odgovora na incidente testiran dana [datum]
Ovaj set zadovoljava clan 32. Pokazuje tehnicke i organizacione mere sa stvarnim dokazima.
Kvantifikovanje smanjenja rizika
Za test proporcionalnosti, morate pokazati rizik koji kontrola uklanja.
Bez kontrole:
- 11% AI upita sadrzi licne podatke (Cyberhaven 2025)
- 8.400 nedeljnih sesija × 11% = 924 sesije sa licnim podacima nedeljno
- Svaka sesija: potencijalna izlozenost prema GDPR clanu 83 ako su u pitanju EU podaci
Sa kontrolom (stopa maskiranja 94%):
- 924 sesije sa detektovanim licnim podacima
- 94% maskirano: 869 sesija zasticeno
- Preostalo: 55 sesija nedeljno sa nemaskiranim sadrzajem
Rezultat: 94% smanjenje izlozenosti licnih podataka od koriscenja AI alata.
Za regulatore koji primenjuju test proporcionalnosti, smanjenje od 94% od rasporedene tehnicke kontrole je jak dokaz. Pogledajte takodje prevenciju licnih podataka u realnom vremenu za AI alate i browser DLP za ChatGPT, Claude i Gemini.
Zakljucak
Uskladjenost sa GDPR clanom 32 za AI alate ne moze da se zasniva samo na politici. Pracenje AI sesija u pregledacu za izlozenost licnih podataka zahteva tehnicku kontrolu koja proizvodi dokaze.
Maskiranje uzivo sa ugradenim praenjem daje vam oboje: prevenciju (manja izlozenost) i dokaze (izmeren rizik i izlaz kontrole). Ta kombinacija zadovoljava clan 32.
Za CISO-ove koji se suocavaju sa DPA reviziom: revizori zele konkretne podatke. Pokazite stope detekcije, stope maskiranja i trendove preostalog rizika. Politika je pocetak. Izlaz pracenja je dokaz.
Za poredjenje blokiranja i maskiranja kao kontrole, pogledajte Browser DLP: Blokiranje vs. Anonimizacija.