Werknemers die hun persoonlijke ChatGPT-account gebruiken op een werklaptop blijven een lastig signaal voor IT-afdelingen, ook als de organisatie zelf al een betaalde ChatGPT Enterprise-omgeving aanbiedt. Beveiligingstools zien dat gebruik steeds vaker, maar wat een medewerker daadwerkelijk in zo’n sessie heeft getypt, blijft zonder aanvullende controles onzichtbaar. Klantgegevens, interne accountinformatie of een gevoelig document kunnen zo buiten het zicht van de organisatie belanden.
Medewerkers wijken volgens securitybedrijf NordLayer vaak niet uit kwaadwillendheid uit naar een privéaccount, maar uit gemak: de zakelijke sessie is verlopen, tweefactorauthenticatie duurt te lang, of ze kennen het beleid over toegestane werkruimtes en databronnen niet goed. Dat een privéaccount is gebruikt, bewijst op zich niet dat gegevens in modeltraining belanden of publiek worden, maar de blootstelling van bedrijfsdata blijft een incident dat onderzoek verdient.
Voor IT-beheerders die zo’n melding krijgen, geldt in grote lijnen dit stappenplan:
- Koppel het account aan de juiste medewerker, via het werk-e-mailadres uit de MDM-tool en directory-sync.
- Stel vast wat er daadwerkelijk is ingevoerd. Vraag de medewerker het relevante gesprek te tonen, beperkt tot het tijdstip van de melding.
- Ga na waarom de zakelijke toegang niet is gebruikt, en of dit vaker voorkomt.
- Reageer naar ernst: bewaar bewijs, betrek de juiste incident- of privacy-eigenaren, roteer gelekte inloggegevens en laat bij klantgegevens een privacy-assessment uitvoeren.
- Documenteer het nauwkeurig, zonder het incident groter te maken dan het is.
- Pak daarna de oorzaak aan: zorg dat de zakelijke Enterprise-toegang soepel werkt, beperk waar mogelijk persoonlijke chatbot-instanties op beheerde apparaten, en zet bestaande DLP-regels in op promptniveau.
Voor dat laatste punt bestaan inmiddels gespecialiseerde tools. NordLayer biedt bijvoorbeeld een browserextensie die gesprekken classificeert als zakelijk of persoonlijk en per databron kiest tussen waarschuwen, gegevens maskeren of een verzending volledig blokkeren.
Dit onderwerp raakt een bredere trend die we eerder beschreven bij persoonlijke AI-agents die al ingelogd zijn op bedrijfssystemen. Waar dat stuk ging over agents met permanente koppelingen naar bedrijfssystemen, gaat het hier specifiek om wat een medewerker handmatig typt in een publiek chatvenster, vaak net zo gevoelig maar lastiger te detecteren.
Voor Nederlandse IT-afdelingen is dit vooral een aanleiding om het eigen beleid rond generatieve AI nog eens te toetsen: is de zakelijke ChatGPT- of Copilot-toegang makkelijk genoeg in gebruik, weten medewerkers welke gegevenscategorieën verboden zijn, en bestaat er al een vast stappenplan voor het moment dat een DLP-melding binnenkomt?
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Heeft uw organisatie al een stappenplan klaarliggen voor het moment dat een DLP-melding over privé-ChatGPT-gebruik binnenkomt? Leg vooraf vast wie het gesprek mag opvragen, wanneer credentials worden geroteerd en wanneer privacy officers worden ingelicht.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.