Angajați care folosesc ChatGPT personal la birou: ce trebuie să facă administratorii IT

Cine este realmente în spatele contului de ChatGPT?

Începe cu bazele. Folosind controalele existente, deschide evenimentul care a semnalat utilizarea personală a ChatGPT și verifică cine este cine.

Utilizatorul autentificat în uneltele de securitate poate avea o adresă de e-mail corporativ. Dar contul ChatGPT din spatele evenimentului ar putea fi un Gmail personal. Astfel, ai o persoană cu două identități distincte — și aici începe o discuție delicată.

Cu NordLayer AI Scout, contul autentificat de ChatGPT apare lângă conversație, iar instrumentul clasifică noile conversații ca „Personale” sau „Corporate”. Activitatea este legată de persoană prin e-mailul de serviciu pus de MDM. Sincronizarea cu directorul utilizatorilor prin Entra ID, Okta sau HiBob adaugă informații despre departament, echipă și rol.

În primul caz, evenimentul înregistrat indică că angajatul a folosit un cont personal. Nu conține textul promptului sau concluzii despre date senzitive, deci nu poți reconstrui transmisia doar din el.

În timpul analizării incidentului, cere angajatului să-ți arate conversația.

Ce date au fost trimise efectiv către ChatGPT?

Ține cererea strânsă și limitează-o la mesajele din jur de acel timestamp — nu vrei să mergi prin planurile de masă sau întrebări medicale ale colegului tău.

Presupune că biletul clientului este în prompt, iar Acum ai dovada că informațiile clientului au ajuns la serviciul de AI. Cu NordLayer AI Scout, deschide descoperirea blocată. Extensia de browser verifică promptul pe dispozitiv, înainte să părăsească mașina.

Un detector configurat a identificat datele clientului și acțiunea „Blochează” a oprit transmisia. Angajatul a vazut apoi un mesaj pe pagină care indica că promptul a fost blocat. Pentru asta nu a fost nevoie ca un membru al echipei de securitate să citească promptul.

În 99% din cazuri, explicația e banala: sesiunea corporativă a expirat, autentificarea în doi pași a durat prea mult, clientul era nervos și tabul personal de ChatGPT era deja deschis și autentificat. Angajatul a spus că, deci, a rămas la chat-ul de suport client, a tastat Scrie un Fără o regulă de blocare a promptului care să se potrivească, mesajul a ajuns la ChatGPT.

Apoi, verifică dacă a fost prima oară. Fără NordLayer AI Scout, trebuie să te bazezi pe memorie.

De ce nu a fost folosit accesul corporativ?

Întreabă dacă a mai lipit întregi bilete în trecut, a încărcat atașamente sau a creat linkuri spre conversații partajate, și în general dacă ChatGPT personal a devenit Plan B de fiecare dată când sesiunea corporativă a expirat.

E bine de asemenea să verifici ce a înțeles despre politici de utilizare. Uneori oamenii amintesc că ChatGPT este aprobat, dar uită la ce spațiu și ce date se aplică.

Fără controale dedicate la nivel de prompt, datele clientului au ajuns într-o conversație finalizată într-un cont personal de ChatGPT.

Trebuie să păstrezi dovezile necesare și să implici responsabilul pentru incident, confidențialitate sau protecția datelor. Apoi evaluează cât e gravă situația în funcție de ce a fost partajat. Dacă au fost expuse credențialele, acestea necesită revocare sau rotație.

Cum reagăm la rezultatul confirmat?

Dacă implică înregistrări ale clientului, poate fi necesară o evaluare de confidențialitate.

Dacă a fost lipit doar text public, nu există incident de date, dar e de rost să vorbești cu angajatul despre avantajele sediei Enterprise, pentru care se plătește.

În orice caz, păstrează un înregistrare exactă — folosirea unui cont personal nu dovadă că promptul a intrat în antrenarea modelului, a devenit public sau a ajuns la alt utilizator.

Ai confirmat că datele companiei au intrat într-un serviciu printr-un cont în afărâj de aranjamentul aprobat — e suficient de grav, fără exagerare.

Folosind NordLayer AI Scout, poți preveni astfel de evenimente.