Inżynier wkleja do czatu AI fragment pliku konfiguracyjnego, żeby znaleźć błąd — razem z kluczem dostępu do produkcyjnej bazy. Prawniczka wgrywa umowę z klientem, bo potrzebuje porównania z wzorcem. Handlowiec prosi asystenta o uporządkowanie eksportu z CRM z nazwiskami i telefonami. To scenariusze przykładowe, ale typowe. Żadne z tych zdarzeń nie jest atakiem i żadne nie uruchomi alarmu w systemie, który pilnuje poczty i nośników USB.
Wyciek danych do ChatGPT i innych asystentów AI to przede wszystkim problem kontroli danych i kont, a nie samego narzędzia. Pokazujemy, którędy dane trafiają do usług AI, w którym miejscu kończą się możliwości klasycznego DLP i jak połączyć cztery warstwy kontroli — konta firmowe, kontrole w przeglądarce i na punktach końcowych, CASB i klasyfikację danych — tak, żeby nie wypchnąć pracowników do narzędzi, których firma w ogóle nie widzi.
Jak dochodzi do wycieku danych do ChatGPT i innych asystentów AI?
Do wycieku danych do ChatGPT i innych asystentów AI dochodzi zwykle bez ataku: pracownik sam przekazuje informacje usłudze, która nie podlega kontroli firmy. Kanałów jest więcej niż pole czatu.
Najczęstszy kanał to prompt, czyli wklejony tekst: fragment dokumentu, korespondencji, kodu albo tabeli. Drugi to wgrywany plik — umowa, prezentacja, arkusz. Trzeci to konektory i integracje, którym pracownik nadał dostęp do dysku, poczty albo kalendarza. Czwarty to rozszerzenia przeglądarki z funkcjami AI, które czytają treść otwartych stron. Piąty to API: klucze założone na prywatnych kontach i używane w skryptach, które wysyłają dane do modelu z pominięciem przeglądarki.
OWASP GenAI Security Project opisuje to ryzyko jako LLM02:2025 Sensitive Information Disclosure w OWASP Top 10 for LLM Applications 2025. Lista obejmuje dane osobowe, dane finansowe i medyczne, poufne dane biznesowe, poświadczenia i dokumenty prawne, a dokument ostrzega, że wrażliwe dane podane nieumyślnie mogą później pojawić się w odpowiedzi modelu.
Decydujące jest jedno pytanie: czy dane trafiły do narzędzia, z którym firma ma umowę i nad którym ma kontrolę administracyjną. Jeżeli nie, firma nie wie, jak długo dane są przechowywane i kto ma do nich dostęp.
Czym DLP dla AI różni się od klasycznego DLP?
DLP dla AI to te same zasady ochrony przed wyciekiem danych, przeniesione na kanał, którym klasyczne DLP zwykle się nie zajmowało: tekst wklejany w przeglądarce do usług AI. Definicję samego systemu znajdziesz w haśle DLP, a ogólną strategię — klasyfikację, kanały, podejścia i plan wdrożenia — w artykule o ochronie przed wyciekiem danych i strategii DLP.
Klasyczne polityki pilnują poczty, nośników wymiennych, drukowania i przesyłania plików. Do narzędzi AI dane trafiają przede wszystkim jako fragmenty tekstu, a nie całe pliki, przez szyfrowane połączenia do wielu różnych domen. Dochodzi problem, którego nie rozwiąże żadna konfiguracja: pracownik może streścić poufny dokument własnymi słowami, a reguła oparta na wzorcach nie rozpozna parafrazy.
Ograniczenia widać nawet w dokumentacji producentów. Microsoft opisuje w konfiguracji ustawień Endpoint DLP (strona z czerwca 2026 r.), że lista domen usług (Service domains) dotyczy tylko przesyłania plików do witryn, a wklejanie do przeglądarki tej listy nie respektuje. Ta sama strona podaje, że działanie wklejania do przeglądarki nie obsługuje zaawansowanej klasyfikacji, takiej jak dokładne dopasowanie danych czy klasyfikatory trenowalne. W praktyce wklejanie chronią więc prostsze typy informacji wrażliwych, na przykład numery dokumentów i kart, a nie rozpoznanie „to jest nasza oferta przetargowa”.
Najważniejsze:
- Dane trafiają do AI głównie jako wklejony tekst, a nie pliki — kanał, który klasyczne polityki DLP często pomijają.
- Parafrazy poufnego dokumentu nie rozpozna żadna reguła wzorców.
- Kontrole wklejania i przesyłania plików mają różne ograniczenia — sprawdź je przed projektowaniem polityki.
Jakie dane najczęściej trafiają do narzędzi AI?
Do narzędzi AI najczęściej trafiają dane, z którymi pracownik akurat ma problem do rozwiązania: kod, dokumenty, korespondencja i eksporty z systemów.
W zespołach technicznych to kod źródłowy, logi i pliki konfiguracyjne, a razem z nimi sekrety: klucze API, hasła i ciągi połączeń. W sprzedaży i obsłudze klienta — eksporty z CRM, korespondencja i oferty. W działach prawnych i zakupów — umowy, warunki handlowe i dokumentacja przetargowa. W HR — dane kandydatów i pracowników, oceny i korespondencja kadrowa. W finansach — wyniki przed publikacją, budżety i analizy.
Każda z tych grup niesie inne konsekwencje. Sekrety otwierają drogę do systemów, dane osobowe uruchamiają obowiązki z RODO, a umowy i oferty mogą naruszać klauzule poufności i tajemnicę przedsiębiorstwa. Dlatego kontrole projektuje się według klas danych, a nie według narzędzi — narzędzia się zmieniają, klasy danych zostają.
Czym różnią się konta prywatne od planów firmowych narzędzi AI?
Konto prywatne to umowa między pracownikiem a dostawcą, plan firmowy — umowa między firmą a dostawcą; od tego zależy, kto decyduje o danych. Na koncie prywatnym firma nie ustawia retencji, nie widzi logów i nie może odebrać dostępu po odejściu pracownika.
Plany firmowe zwykle dodają administrację kont, logowanie jednokrotne, umowę o przetwarzaniu danych i ustawienia dotyczące historii, retencji i wykorzystania danych do trenowania. Szczegóły różnią się jednak między dostawcami i zmieniają się w czasie, dlatego nie zakładaj ich z nazwy planu. Przed decyzją sprawdź w aktualnej dokumentacji i w umowie: czy dane z promptów i plików służą do trenowania modeli, jak długo są przechowywane, gdzie są przetwarzane, którzy podwykonawcy mają do nich dostęp, czy administrator ma logi i eksport oraz czy da się wyłączyć konektory i udostępnianie rozmów. Zapisz datę sprawdzenia — to Twój dowód należytej staranności.
OWASP w opisie LLM02:2025 zaleca, by właściciele aplikacji LLM jasno opisywali w warunkach korzystania możliwość wyłączenia danych użytkownika z trenowania modelu. Jeżeli dostawca nie odpowiada jasno na te pytania, to też jest informacja.
Plan firmowy porządkuje też stronę prawną: art. 28 ust. 1 RODO wymaga, by administrator korzystał wyłącznie z podmiotów przetwarzających, które zapewniają wystarczające gwarancje, a tego nie da się wykazać dla prywatnego konta pracownika. Plan firmowy nie zatrzyma jednak nikogo, kto wklei te same dane do innej usługi — dlatego potrzebne są kolejne warstwy.
Jak kontrolować przesyłanie danych do AI w przeglądarce i na punktach końcowych?
Najbliżej użytkownika działają kontrole w przeglądarce i na punkcie końcowym: ostrzegają albo blokują, gdy rozpoznane dane wrażliwe są wklejane lub przesyłane do usługi AI.
Przykładem jest Microsoft Purview. Według dokumentacji Purview dla aplikacji AI (strona z maja 2026 r.) komputery z Windows objęte Purview mogą mieć polityki Endpoint DLP, które ostrzegają albo blokują udostępnianie informacji wrażliwych zewnętrznym witrynom generatywnej AI w przeglądarce — na przykład wklejenie numerów kart płatniczych do ChatGPT. Endpoint DLP ma osobne działania dla wklejania do przeglądarki, oceniające wklejaną treść niezależnie od klasyfikacji pliku źródłowego, i dla przesyłania plików do zastrzeżonych domen (Microsoft Learn, sierpień 2026 r.). Domyślne polityki DSPM for AI korzystają z grupy „Generative AI Websites”, której nie można edytować ani usunąć. Microsoft Edge for Business egzekwuje polityki Purview DLP bezpośrednio w przeglądarce, w tym blokadę udostępniania informacji wrażliwych niezarządzanym aplikacjom generatywnej AI (Microsoft Learn).
Inne platformy mają podobne mechanizmy pod własnymi nazwami, ale każda kontrola ma granicę, którą warto znać, zanim obieca się zarządowi „zatrzymanie wycieków”:
| Kanał wycieku | Kontrola | Ograniczenie kontroli | Kto odpowiada |
|---|---|---|---|
| Wklejony tekst | DLP w przeglądarce lub na punkcie końcowym dla domen usług AI | Rozpoznaje tylko typy danych opisane w polityce; parafrazy nie wykryje | Bezpieczeństwo i właściciel danych |
| Wgrywany plik | Blokada przesyłania do domen spoza listy, reguły oparte na etykietach | Działa w przeglądarkach i na urządzeniach objętych polityką | Bezpieczeństwo i IT |
| Konektory i integracje | Ograniczenie zgód OAuth i przegląd nadanych uprawnień | Nie widzi, co dostawca robi z danymi po swojej stronie | Zespół tożsamości |
| Rozszerzenia przeglądarki | Lista dozwolonych rozszerzeń w zarządzanej przeglądarce | Rozszerzenia zainstalowane wcześniej trzeba usunąć osobno | IT punktów końcowych |
| API i skrypty | Klucze API wydawane centralnie, sekrety poza kodem, skanowanie repozytoriów | Klucze na prywatnych kontach pozostają poza kontrolą | Zespoły deweloperskie i bezpieczeństwo |
| Urządzenia prywatne | Dostęp do danych firmy tylko przez zarządzaną przeglądarkę lub kontrolowaną sesję | Nie zatrzyma ręcznego przepisania danych | IT i bezpieczeństwo |
Jak CASB i SSE pomagają kontrolować aplikacje AI?
CASB i platformy SSE kontrolują aplikacje AI na poziomie usługi: pokazują, z których korzysta firma, pozwalają je zatwierdzać albo blokować i kontrolować działania w trakcie sesji. Uzupełniają DLP na punktach końcowych o widok całej organizacji.
Pierwsza funkcja to widoczność i decyzja: które usługi AI są w użyciu i które z nich firma dopuszcza. Szczegółowy proces — logi DNS i proxy, kategorie aplikacji, rozszerzenia i zgody OAuth — opisuje artykuł jak wykryć i ograniczyć shadow AI. Druga funkcja to kontrola sesji. W Microsoft Defender for Cloud Apps polityki sesji pozwalają dopuścić dostęp do aplikacji przy jednoczesnym monitorowaniu sesji i blokować wybrane działania, na przykład kopiowanie do schowka (Microsoft Learn, czerwiec 2026 r.). To przydatne zwłaszcza przy dostępie z urządzeń niezarządzanych.
Platformy SSE innych producentów oferują podobne kontrole inline, ale nazwy funkcji i zakres obsługiwanych aplikacji AI różnią się — sprawdź je w dokumentacji swojej platformy, a nie w materiałach marketingowych.
Jak klasyfikacja i etykiety danych wspierają kontrole AI?
Bez klasyfikacji danych kontrole DLP nie mają czego egzekwować: reguła musi wiedzieć, co jest poufne, żeby ostrzec albo zablokować. Klasy danych powinny wynikać z zasad, które firma już przyjęła — polityka korzystania z AI mówi, które klasy wolno wprowadzać do których narzędzi.
Etykiety poufności nadane dokumentom dają precyzyjniejsze reguły niż wzorce treści, bo opisują znaczenie dokumentu, a nie tylko jego wygląd. Najlepiej działają przy plikach: regułę przesyłania do usługi AI można oprzeć na etykiecie dokumentu, a nie na wzorcach w jego treści. Przy wklejaniu fragmentu tekstu etykieta pliku źródłowego nie zawsze idzie za treścią, dlatego ta warstwa uzupełnia DLP oparte na rozpoznawaniu treści, a nie je zastępuje. Ogólne zasady budowy schematu klasyfikacji opisuje artykuł o klasyfikacji danych w organizacji.
Etykiety działają też wewnątrz pakietów biurowych z wbudowanym asystentem AI. Microsoft Purview DLP pozwala na przykład ograniczyć Microsoft 365 Copilot i Copilot Chat w przetwarzaniu plików i wiadomości z etykietami poufności (Microsoft Learn, listopad 2026 r.). Szczegóły uprawnień i etykiet w tym środowisku opisuje tekst o bezpieczeństwie Microsoft 365 Copilot.
Ostatnią techniką jest maskowanie danych przed modelem. OWASP w LLM02:2025 wymienia tokenizację i redakcję, czyli wykrywanie i usuwanie poufnej treści przed przetworzeniem, a art. 32 ust. 1 RODO wśród środków bezpieczeństwa odpowiednich do ryzyka wymienia pseudonimizację. W firmowych aplikacjach korzystających z modeli przez API maskowanie bywa prostsze do wdrożenia niż jakakolwiek kontrola w przeglądarce.
Jak dobrać kontrole DLP dla AI do poziomu ryzyka?
Kontrole dobiera się do klasy danych: im wyższa klasa, tym mniej narzędzi dopuszczonych i tym twardsza reakcja na próbę przekazania danych. Tabela pokazuje przykładowe przypisanie — klasy i narzędzia zastąp własnymi.
| Klasa danych | Ryzyko przy narzędziach AI | Kontrola | Przykładowe narzędzie | Dowód działania |
|---|---|---|---|---|
| Publiczne | Niskie | Brak ograniczeń, zalecane konto firmowe | Zatwierdzone narzędzie AI | Zasady korzystania z AI |
| Wewnętrzne | Ujawnienie podmiotowi trzeciemu | Tylko zatwierdzone narzędzia na kontach firmowych | CASB, logowanie jednokrotne | Raport udziału kont firmowych |
| Poufne: umowy, oferty, finanse | Naruszenie klauzul poufności i tajemnicy przedsiębiorstwa | Ostrzeżenie z uzasadnieniem przy wklejaniu i przesyłaniu; tylko narzędzia z umową | DLP w przeglądarce lub na punkcie końcowym | Rejestr ostrzeżeń i uzasadnień |
| Dane osobowe | Naruszenie RODO i obowiązek zgłoszenia | Blokada w narzędziach bez umowy powierzenia; pseudonimizacja przed modelem | DLP z typami informacji wrażliwych | Rejestr zdarzeń DLP, umowy powierzenia |
| Sekrety i kod | Przejęcie systemów | Blokada; skanowanie sekretów; klucze API wydawane centralnie | DLP, skaner sekretów w repozytoriach | Wyniki skanów, rotacja kluczy |
| Dane szczególnie chronione | Sankcje regulacyjne i utrata zaufania klientów | Zakaz poza narzędziami zatwierdzonymi dla tej klasy | DLP i etykiety poufności | Przegląd kwartalny wyjątków |
Tabela ma też wymiar prawny. Jeżeli dane osobowe trafiły do narzędzia bez umowy powierzenia, administrator musi ocenić, czy doszło do naruszenia ochrony danych — art. 33 ust. 1 RODO wymaga wtedy zgłoszenia organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia, chyba że ryzyko dla osób jest mało prawdopodobne. Podmioty objęte dyrektywą NIS2 powinny pamiętać, że art. 21 ust. 2 lit. d) wśród środków zarządzania ryzykiem wymienia bezpieczeństwo łańcucha dostaw, w tym relacje z bezpośrednimi usługodawcami — a dostawca narzędzia AI jest takim usługodawcą.
Najważniejsze:
- Kontrole projektuj według klas danych, nie według nazw narzędzi.
- Tryb ostrzegania z uzasadnieniem pokazuje skalę problemu, zanim włączysz blokady.
- Dane osobowe w narzędziu bez umowy powierzenia to sygnał do oceny naruszenia z art. 33 RODO.
Jak nFlo może pomóc ocenić kontrole wycieku danych do AI?
Przegląd kontroli wycieku danych do narzędzi AI jest częścią usługi ocena shadow AI i polityka korzystania z AI. nFlo ustala, z jakich narzędzi AI korzystają zespoły i jakie dane do nich trafiają, a następnie sprawdza, które z istniejących reguł, ustawień CASB i ustawień tożsamości rzeczywiście zatrzymują te przepływy. Wynikiem jest lista luk w kontrolach i zasady korzystania z AI, a nie kolejne narzędzie do kupienia.
Ocena należy do obszaru bezpieczeństwa AI, w którym cyberbezpieczeństwo łączy się z ładem, ryzykiem i zgodnością. Więcej tekstów znajdziesz w bazie wiedzy o bezpieczeństwie AI, a ocenę samego narzędzia z perspektywy użytkownika — w artykule czy ChatGPT jest bezpieczny. Tło zjawiska opisuje też hasło shadow AI. Chcesz sprawdzić, co dziś zatrzymują Twoje kontrole? Skontaktuj się z nami.
Co jeszcze warto wiedzieć o DLP dla AI?
Czy plan firmowy ChatGPT rozwiązuje problem wycieku danych?
Tylko częściowo. Plan firmowy daje zwykle administrację kont, logowanie jednokrotne i umowę z dostawcą, ale nie zatrzyma pracownika, który wklei te same dane do innego narzędzia albo na prywatne konto. Warunki trenowania i retencji trzeba sprawdzić w aktualnej dokumentacji dostawcy i w umowie, a kontrole danych utrzymać niezależnie od planu.
Czy klasyczny system DLP wystarczy do ochrony danych przed AI?
Zwykle nie w obecnej konfiguracji. Klasyczne reguły pilnują poczty, nośników i przesyłania plików, a do narzędzi AI dane trafiają głównie przez wklejanie tekstu w przeglądarce. Trzeba objąć polityką domeny usług AI, działanie wklejania, rozszerzenia przeglądarki i integracje.
Czy wyciek danych osobowych do ChatGPT trzeba zgłosić organowi nadzorczemu?
Jeżeli zdarzenie jest naruszeniem ochrony danych osobowych, art. 33 RODO wymaga zgłoszenia organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że naruszenie prawdopodobnie nie powoduje ryzyka dla osób, których dane dotyczą. Ocenę przeprowadza administrator z inspektorem ochrony danych.
Czy można całkowicie zablokować wklejanie danych do narzędzi AI?
Na zarządzanych urządzeniach i w przeglądarkach objętych polityką da się blokować wklejanie i przesyłanie rozpoznanych danych wrażliwych do domen usług AI. Pełnej blokady nie da się jednak zapewnić: urządzenia prywatne są poza zasięgiem polityk, a przepisanego ręcznie lub streszczonego tekstu nie rozpozna żadna reguła.
Od czego zacząć ochronę danych przed wyciekiem do AI?
Od ustalenia, z jakich narzędzi AI korzystają pracownicy i jakie dane do nich trafiają, potem od klasyfikacji danych i zatwierdzonego narzędzia na kontach firmowych. Kontrole DLP najlepiej uruchamiać najpierw w trybie ostrzegania, a blokady włączać dla danych najwyższych klas.
