Az árnyék-AI cikk a stratégiát adta: mely eszközök, milyen szabály. Ez az Eszköztár DLP nélküli minimum — 50 fős cégnek, ahol nincs budget enterprise eszközre.

1. Domain-szabály — mit tilts a proxy-n

Tilts vagy korlátozz (legalább üzleti adat kategóriánál):

  • fájlfeltöltés ismeretlen generatív AI domainre
  • személyes @gmail.com sync üzleti OneDrive helyett

Nem kell minden AI-t tiltani — ügyfél- és pénzügyi adat kategória szűk.

2. Napló — ki, mikor, milyen címet

Legalább 90 nap:

  • DNS vagy proxy napló (ki nyitotta az AI oldalt)
  • admin audit log (új app regisztráció Entra/Google-ban)

Incidensnél ez a bizonyíték — NIS2 auditon is kérhetik.

3. Egress — mi mehet ki

Egy oldalas szabály:

  • Tilos: ügyféllista, szerződés, HR-bér, forráskód feltöltése nyilvános AI-ba
  • Engedélyezett: anonimizált minta, marketing szöveg váz, nyilvános adat

Kapcsolódó: Apple Intelligence + OpenAI adatút.

4. Onboarding-mondat — munkaszerződésbe vagy IT policy-be

„Üzleti titok és személyes adat nem tölthető fel engedély nélküli AI-szolgáltatásba. A megsértés fegyelmi és kártérítési következménnyel jár.”

Egy mondat — de aláírt belső szabályzattal együtt.

Mit ne ígérj a partnernek

A beszállítói kérdőív 11. pontjánál ne állíts DLP-et, ha nincs — írd: „4 pontos kontroll + oktatás”.

Források

AI-közreműködés: AI-asszisztált szöveg — emberi szerkesztés. Loop Magazin, 2026.