Shadow AI a cégnél: honnan tudja, milyen adat kerül a ChatGPT-be és más AI-eszközökbe?
A „shadow AI” ugyanaz, mint korábban a shadow IT: a munkatársak a hivatalos eszközök mellett saját döntésük alapján használnak AI-szolgáltatásokat – ingyenes chatbotokat, böngészőbővítményeket, fordítókat. Ritkán rossz szándékból: egyszerűen gyorsabban akarnak dolgozni. A kockázat az, hogy szerződések, ügyféladatok, árajánlatok vagy forráskód kerülhet olyan szolgáltatásba, amely felett a cégnek nincs kontrollja.
Vezetői összefoglaló
- A tiltás önmagában ritkán működik – a láthatóság és a szabályozott alternatíva igen.
- A Microsoft Purview DSPM for AI központi helyen mutatja meg a Copilot, az ágensek és a harmadik féltől származó AI-alkalmazások használatát.
- Előre konfigurált, egy kattintással aktiválható szabályzatokkal észlelhető és blokkolható az érzékeny adatok AI-eszközökbe másolása.
- Az alapértelmezett adatkockázati felmérés hetente lefut a 100 leggyakrabban használt SharePoint-oldalra.
Mit lát a DSPM for AI?
A Microsoft Learn leírása szerint a Purview adatbiztonsági állapotkezelés AI-hoz (DSPM for AI) központi felületet ad az AI-alkalmazások adatainak védelméhez és az AI-használat proaktív figyeléséhez. Ide tartoznak a Copilotok, az ágensek és a harmadik féltől származó nyelvi modelleket használó alkalmazások – a támogatott oldalak listáján például a Gemini és a ChatGPT is szerepel. A fő képességek:
- Elemzések az AI-tevékenységről a szervezetben;
- használatra kész szabályzatok az adatvesztés megelőzésére az AI-promptokban;
- adatkockázati felmérések a lehetséges oversharing azonosítására és javítására;
- megfelelési kontrollok az adatkezelési és -tárolási szabályokhoz.
Fontos: a Microsoft a „klasszikus” DSPM for AI-t egy új, kibővített Data Security Posture Management élményre cseréli, amely már az AI-alkalmazásokat és ágenseket is egységesen kezeli.
Mire van szükség a harmadik féltől származó AI-oldalak figyeléséhez?
A Copilot-interakciók a Purview naplózásán keresztül látszanak (az audit új bérlőknél alapértelmezetten be van kapcsolva). A külső AI-oldalak figyeléséhez viszont a Learn szerint további előfeltételek kellenek: a Microsoft Purview böngészőbővítmény telepítése és az eszközök Purview-ba léptetése. Ezután az előre konfigurált szabályzatok jelezhetik, ha valaki érzékeny információt próbál beilleszteni egy generatív AI-oldalba.
Vezetői döntések a shadow AI kezeléséhez
- Hivatalos alternatíva: biztosítson céges, adatvédelmi szempontból kontrollált AI-eszközt (például Microsoft 365 Copilot Chat), hogy a munkatársaknak ne kelljen kerülőutat keresniük.
- Láthatóság: először mérjen – a DSPM for AI jelentései megmutatják, mely AI-oldalakat és milyen adatokkal használják.
- Szabályozás: érzékenységi címkékkel és DLP-szabályokkal határozza meg, mi nem kerülhet AI-eszközbe.
- Kommunikáció: egy rövid, érthető AI-használati szabályzat többet ér egy hosszú tiltólistánál.
Gyakori kérdések
Lehet egyszerűen blokkolni a ChatGPT-t?
Technikailag igen, de a tapasztalat szerint a munkatársak ilyenkor saját eszközt vagy mobilt használnak. Hatékonyabb a hivatalos alternatíva és az érzékeny adatokra szabott DLP.
Mennyi idő után látszanak az első eredmények?
A Learn szerint az egy kattintással létrehozott szabályzatoknak legalább 24 óra kell az adatgyűjtéshez, az alapértelmezett adatkockázati felmérés első eredményei pedig 4 nap múlva jelennek meg.
Milyen jogosultság kell a beállításhoz?
Megfelelési adminisztrátori jogosultság, például a Microsoft Entra Compliance Administrator szerepkör.
Az AI-t nem lehet „kitiltani” a cégből – de láthatóvá és biztonságossá lehet tenni. Egy rövid felmérés megmutatja, hol tart most a szervezete, és melyik kontrollal érdemes kezdeni.
Kapcsolódó cikkek
Biztonságos AI a szervezetében
AI-szabályzat, érzékenységi címkék, DLP és láthatóság a Copilot és a külső AI-eszközök használatára – egy csapattól.
