Vad är dataläckage?
Dataläckage är när information lämnar organisationen eller når personer som inte borde ha den, av misstag eller genom en avsiktlig handling.
Läckaget kan ske genom ett felskickat mejl, en fil som delas med fel länk eller ett system som visar för mycket. När någon medvetet för ut information kallas det ofta exfiltrering.
AI ger nya vägar. Text som klistras in i en publik AI-tjänst lämnar organisationen, och en AI-agent som luras genom promptinjektion kan föra uppgifter vidare till en extern mottagare.
Omfattar läckaget personuppgifter är det en personuppgiftsincident enligt GDPR. Den ska som utgångspunkt anmälas till IMY inom 72 timmar från att den blev känd, om det inte är osannolikt att den medför en risk för de registrerade.
Så fungerar det
Ett läckage genom AI behöver inte märkas. En medarbetare som klistrar in ett avtal i en publik tjänst får ett bra svar och går vidare. En agent som har lurats kan föra ut uppgifter i en länk eller en bild som hämtas från en extern server, utan att användaren ser något.
Läckaget kan också ske inom organisationen. En AI-assistent som inte följer behörigheterna kan återge uppgifter för medarbetare som saknar rätt att se dem.
Därför spelar det roll
Det som har läckt går sällan att få tillbaka. Följderna kan bli förlorade affärer, skadat förtroende och ansvar enligt dataskyddsreglerna. Därför ligger tyngden på att förebygga, med tydliga regler, godkända verktyg och tekniska gränser.
Att tänka på
Börja med skugg-AI. Fråga vilka tjänster som används och ge medarbetarna ett godkänt alternativ som är lika enkelt.
För AI-agenter är kombinationen det riskabla, med åtkomst till känsliga uppgifter, innehåll från okända källor och möjlighet att skicka något utanför organisationen. Bryt den kedjan, och läs mer om promptinjektion.
Vad det betyder för er
Ta reda på var era uppgifter kan lämna organisationen genom AI, i de verktyg ni har godkänt och i dem som används ändå.
Vanliga frågor
Är det ett dataläckage att klistra in uppgifter i en publik AI-tjänst?
Det kan vara det. Uppgifterna hamnar hos en leverantör som organisationen kanske saknar avtal med, och rör det personuppgifter kan det vara en personuppgiftsincident.
Vad gör vi om något har läckt?
Följ er rutin för incidenter. Rör det personuppgifter ska det som utgångspunkt anmälas till IMY inom 72 timmar. Läs mer om GDPR och AI.
Källor: Personuppgiftsincidenter hos IMYFörordning (EU) 2016/679 på EUR-Lex
Relaterade begrepp
Läs mer
Alla begrepp Uppdaterad