Blootstelling van gevoelige gegevens via AI

Wat is Blootstelling van gevoelige gegevens via AI?

Volgens een rapport uit 2024 van Cyberhaven plakt meer dan 10% van de bedrijfsmedewerkers vertrouwelijke gegevens in consumenten-AI-tools, waarbij gevoelige gegevens in bijna 4% van alle AI-interacties verschijnen. In deze simulatie speel je een medewerker die klantgegevens, API-sleutels en interne strategiedocumenten in een consumenten-AI-chatbot kopieert om een werktaak te versnellen. De oefening onthult precies wat er daarna gebeurt: de gegevens komen in de loggingpipeline van de AI-aanbieder, worden mogelijk onderdeel van toekomstige trainingsgegevens en verschijnen in antwoorden aan andere gebruikers die gerelateerde vragen stellen. Je ziet je geplakte API-sleutel verschijnen in de zoekresultaten van een gesimuleerde aanvaller en kijkt toe hoe een vertrouwelijke klantnaam opduikt in een ongerelateerde AI-gegenereerde samenvatting. Het scenario leidt je vervolgens door het technische pad dat je gegevens afleggen, vanaf het moment dat je op Enter drukt tot de opslag in vectordatabases, gesprekslogboeken en datasets voor modelfinetuning. Je evalueert welke gegevensclassificatieniveaus veilig zijn voor AI-verwerking, leert het verschil te herkennen tussen zakelijke AI-tools met gegevensverwerkingsovereenkomsten en consumententools met breed beleid voor trainingsgegevens, en oefent het anonimiseren van gevoelige inhoud voordat je prompts indient. Een incident bij Samsung in 2023, waarbij engineers vertrouwelijke broncode lekten via ChatGPT, resulteerde in een bedrijfsbrede ban op externe AI-tools. Deze oefening zorgt ervoor dat je begrijpt waarom de discipline rondom gegevensverwerking voor AI-tools dezelfde strengheid vereist als voor e-mail, cloudopslag en elke andere externe dienst.

Wat je leert in Blootstelling van gevoelige gegevens via AI

• Identificeer categorieen gevoelige gegevens, waaronder PII, inloggegevens, financiele gegevens en bedrijfsgeheimen, die nooit in consumenten-AI-tools mogen worden ingevoerd
• Traceer het technische pad van ingediende gegevens door AI-logging, trainingspipelines en vectoropslagsystemen
• Maak onderscheid tussen zakelijke AI-implementaties met gegevensverwerkingsovereenkomsten en consumenten-AI-tools met breed gegevensgebruiksbeleid
• Pas gegevensclassificatiekaders toe om te bepalen welke informatie veilig is voor AI-ondersteunde verwerking
• Evalueer de organisatorische gevolgen van AI-datalekken, waaronder boetes van toezichthouders, verlies van klantvertrouwen en blootstelling aan concurrentie

Blootstelling van gevoelige gegevens via AI — Trainingsstappen

1. Een drukke dag bij Meridian Analytics

   Uw team heeft toegang tot een goedgekeurde enterprise AI-tool voor intern werk, maar vandaag staat de druk hoog en staat u op het punt een gevaarlijke kortere route te nemen.

2. Een dringend verzoek van David

   Alice ontvangt een e-mail van haar manager David Chen. De bestuursvergadering is over drie uur en hij heeft onmiddellijk een gepolijste samenvatting nodig van het klantprestatierapport voor het derde kwartaal.

3. De klantgegevens openen

   David zei dat de onbewerkte gegevens zich in de gedeelde schijf bevinden. Alice opent het klantprestatierapport van het derde kwartaal om te bekijken wat ze moet samenvatten.

4. Het beoordelen van de gevoelige gegevens

   Het rapport is duidelijk gemarkeerd als vertrouwelijk. Het bevat klantnamen, omzetcijfers, persoonlijke contactgegevens, productie-API-sleutels en door NDA beschermde projecties.

5. De verleidelijke snelkoppeling

   Alice overweegt haar opties. De goedgekeurde AI-tool van het bedrijf vereist VPN-toegang en heeft een invoerlimiet van 500 woorden op de gratis laag. Ondertussen is SmartGen AI, een populaire consumentenchatbot, snel, gratis en kan hij gemakkelijk grote tekstblokken verwerken. Onder tijdsdruk besluit Alice SmartGen AI te gebruiken om de klantgegevens snel samen te vatten.

6. Gevoelige gegevens plakken

   Alice voegt het klantrapport van het derde kwartaal toe aan de SmartGen AI-chat en typt een prompt waarin om een samenvatting wordt gevraagd.

7. SmartGen AI reageert

   SmartGen AI verwerkt het verzoek en retourneert een gepolijste samenvatting. Het werkt precies zoals Alice had gehoopt: schoon, goed gestructureerd, klaar voor het boarddeck. Maar dan verschijnt er iets anders: een waarschuwingsbanner voor het bewaren van gegevens bovenaan de chat.

8. De waarschuwing voor het bewaren van gegevens

   Er is een waarschuwingsbanner bovenaan de chat verschenen. Er staat: 'Uw gesprek kan worden gebruikt om SmartGen AI te verbeteren.' Deze schijnbaar onschuldige mededeling betekent dat alles wat Alice zojuist heeft geplakt – klantnamen, omzetcijfers, persoonlijke e-mailadressen, API-sleutels, door NDA beschermde projecties – nu wordt opgeslagen in de trainingspijplijn van SmartGen AI.

9. Wat werd blootgelegd

   Laten we eens kijken wat Alice precies naar een externe dienst heeft gestuurd zonder overeenkomst inzake gegevensbescherming. Het bericht dat ze plakte bevatte meerdere categorieën gevoelige gegevens die de goedgekeurde systemen van het bedrijf nooit mochten verlaten.

10. De tijd verstrijkt

    Alice maakt de samenvatting af en stuurt deze naar David. Ze heeft een goed gevoel bij het halen van de deadline. Ondertussen heeft het Data Loss Prevention (DLP)-systeem van Meridian Analytics de uitgaande gegevensoverdracht naar chat.smartgenai.com gemarkeerd.