Az árnyék-AI cikk a stratégiát adta: mely eszközök, milyen szabály. Ez az Eszköztár DLP nélküli minimum — 50 fős cégnek, ahol nincs budget enterprise eszközre.
1. Domain-szabály — mit tilts a proxy-n
Tilts vagy korlátozz (legalább üzleti adat kategóriánál):
- fájlfeltöltés ismeretlen generatív AI domainre
- személyes
@gmail.comsync üzleti OneDrive helyett
Nem kell minden AI-t tiltani — ügyfél- és pénzügyi adat kategória szűk.
2. Napló — ki, mikor, milyen címet
Legalább 90 nap:
- DNS vagy proxy napló (ki nyitotta az AI oldalt)
- admin audit log (új app regisztráció Entra/Google-ban)
Incidensnél ez a bizonyíték — NIS2 auditon is kérhetik.
3. Egress — mi mehet ki
Egy oldalas szabály:
- Tilos: ügyféllista, szerződés, HR-bér, forráskód feltöltése nyilvános AI-ba
- Engedélyezett: anonimizált minta, marketing szöveg váz, nyilvános adat
Kapcsolódó: Apple Intelligence + OpenAI adatút.
4. Onboarding-mondat — munkaszerződésbe vagy IT policy-be
„Üzleti titok és személyes adat nem tölthető fel engedély nélküli AI-szolgáltatásba. A megsértés fegyelmi és kártérítési következménnyel jár.”
Egy mondat — de aláírt belső szabályzattal együtt.
Mit ne ígérj a partnernek
A beszállítói kérdőív 11. pontjánál ne állíts DLP-et, ha nincs — írd: „4 pontos kontroll + oktatás”.
AI-közreműködés: AI-asszisztált szöveg — emberi szerkesztés. Loop Magazin, 2026.