Bezpieczeństwo i przepisy: co robi program i na czym to polega.

RODO · art. 4 pkt 5

„pseudonimizacja” oznacza przetworzenie danych osobowych w taki sposób, by nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji, pod warunkiem że takie dodatkowe informacje są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej;

Wtyczka: do czatu trafiają zamienniki wykrytych danych, a "dodatkowe informacje", czyli mapa zamienników, są przechowywane osobno, w programie na komputerze użytkownika, oddzielnie dla każdej karty czatu; ich kopia awaryjna jest zaszyfrowana kluczem z pęku kluczy systemu.

RODO · art. 5 ust. 1 lit. c

adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”);

Wtyczka: dostawca modelu nie potrzebuje prawdziwego PESEL-u ani nazwiska, żeby napisać pismo. Dostaje strukturę i treść, a wykryte identyfikatory zastępują zamienniki.

RODO · art. 5 ust. 1 lit. f

przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych („integralność i poufność”).

Wtyczka: maskowanie następuje przed wysłaniem, automatycznie, także w plikach, więc ogranicza skutki przypadkowego wklejenia danych klientów do czatu.

RODO · art. 25 ust. 1

Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia wynikające z przetwarzania, administrator - zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania - wdraża odpowiednie środki techniczne i organizacyjne, takie jak pseudonimizacja, zaprojektowane w celu skutecznej realizacji zasad ochrony danych, takich jak minimalizacja danych, oraz w celu nadania przetwarzaniu niezbędnych zabezpieczeń, tak by spełnić wymogi niniejszego rozporządzenia oraz chronić prawa osób, których dane dotyczą.

Wtyczka: pseudonimizacja wbudowana w sposób przetwarzania, nie w regulamin. Środek jest wdrożony raz, polityką, i działa przy każdym użyciu.

RODO · art. 32 ust. 1 lit. a

Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia, administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku, w tym między innymi w stosownym przypadku: a) pseudonimizację i szyfrowanie danych osobowych;

Wtyczka: jedno i drugie: pseudonimizacja tekstu i plików oraz szyfrowanie kopii mapy zamienników (XChaCha20-Poly1305), która znika z zamknięciem karty.

RODO · art. 44

Przekazanie danych osobowych, które są przetwarzane lub mają być przetwarzane po przekazaniu do państwa trzeciego lub organizacji międzynarodowej, następuje tylko, gdy - z zastrzeżeniem innych przepisów niniejszego rozporządzenia - administrator i podmiot przetwarzający spełnią warunki określone w niniejszym rozdziale, w tym warunki dalszego przekazania danych z państwa trzeciego lub przez organizację międzynarodową do innego państwa trzeciego lub innej organizacji międzynarodowej.

Wtyczka: wykryte dane osobowe są zastępowane zamiennikami, zanim wiadomość trafi do dostawcy modelu, co ogranicza zakres danych, których dotyczy pytanie o transfer poza EOG. Ocena, czy to wystarcza, należy do administratora danych.

NIS 2 · art. 21 ust. 1

Państwa członkowskie zapewniają, aby podmioty kluczowe i ważne wprowadzały odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne w celu zarządzania ryzykiem dla bezpieczeństwa sieci i systemów informatycznych wykorzystywanych przez te podmioty do prowadzenia działalności lub świadczenia usług oraz w celu zapobiegania wpływowi incydentów na odbiorców ich usług lub na inne usługi bądź minimalizowania takiego wpływu.

Wtyczka: proporcjonalny środek techniczny, który ogranicza ryzyko wycieku danych i sekretów przez publiczne czaty AI.

NIS 2 · art. 21 ust. 2 lit. d, g, h, i

d) bezpieczeństwo łańcucha dostaw, w tym aspekty związane z bezpieczeństwem dotyczące stosunków między każdym podmiotem a jego bezpośrednimi dostawcami lub usługodawcami; […] g) podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa; h) polityki i procedury stosowania kryptografii i, w stosownych przypadkach, szyfrowania; i) bezpieczeństwo zasobów ludzkich, politykę kontroli dostępu i zarządzanie aktywami;

Wtyczka: dostawca AI to usługodawca w łańcuchu dostaw; profil techniczny podmienia wykryte hasła, klucze i nazwy infrastruktury przed wysłaniem, a szyfrowanie mapy zamienników i brak połączeń sieciowych programu dają się wpisać wprost do polityki kryptografii i cyberhigieny.