Adatvédelem & AI technológia Szószedet

Az Anthropic nyílt protokollja, amely lehetővé teszi az AI modellek számára, hogy szabványos módon interakcióba lépjenek külső eszközökkel és adatforrásokkal. Az anonym.legal implementál egy MCP Server-t, hogy az AI kódolási eszközök anonimizálást indíthatnak a munkafolyamatuk elhagyása nélkül.

Az anonym.legal MCP Server integrációja lehetővé teszi az AI kódolási asszisztenseknek (Claude Desktop, Cursor, VS Code Copilot), hogy közvetlenül hívják az anonimizálási API-t eszközként. A PII eltávolításra kerül kódból, promptokból és kontextusból, mielőtt az AI modellhez küldésre kerülne. Csatlakozzon HTTP-n keresztül: https://anonym.legal/mcp egy Authorization: Bearer fejléccel — nincs szükség telepítésre.

Egy speciális DLP kategória, amely a PII és bizalmas adatok generatív AI modelleknek (ChatGPT, Claude, Gemini) küldött promptokba való beillesztésének megelőzésére összpontosít. Az anonym.legal Chrome bővítménye és MCP Server-e ezt a kockázatot a bemenet pontjában kezeli.

Egy biztonsági fegyelem és szoftvereszközök kategóriája, amely felismeri és megakadályozza a bizalmas adatok jogosulatlan továbbítását a szervezeten kívülre. Az anonym.legal böngésző-réteg és AI-réteg DLP megoldásként működik a PII-hez.

Az észlelt PII-re alkalmazott helyettesítési stratégia. Az anonym.legal támogatja: REPLACE (helyőrző szöveg), REDACT (üres karakterlánc), MASK (csillagok), HASH (SHA-256 kivonat), ENCRYPT (visszafordítható AES-256-GCM), és KEEP (pass-through, hasznos teszteléshez).

Az anonym.legal beépített 267+ entitástípusára hozzáadott felhasználó által meghatározott PII minták. Támogatja a regex mintákat, szólistákat és tiltó listákat. Hasznos szervezet-specifikus azonosítóhoz, mint az alkalmazotti azonosítók, belső projektkódok vagy saját termék nevek.

Felhasználás-alapú számlázás, ahol az API hívások tokeneket fogyasztanak a szöveg hosszából, entitás számlálásból és feldolgozás módjából (elemzés vs. anonimizálás) számítva. analyze_text: 2–10+ token, anonymize_text: 3–20+ token, detokenize_text: 1–5+ token. A felügyelet műveletek ingyenesek.

Bármilyen adat, amely közvetlenül vagy más adatokkal kombinálva azonosíthat egy adott személyt. Példák: nevek, e-mail címek, társadalombiztosítási számok, IP-címek, biometrikus adatok.

Az azonosító információk eltávolításának vagy átalakításának visszavonhatatlan folyamata, hogy az egyéneket nem lehet azonosítani, közvetlenül vagy közvetetten. A GDPR alatt az igaz anonimizált adatok a szabályozás hatálya kívülre esnek.

Közvetlen azonosítók helyettesítése mesterséges értékekkel (szeudonimel) az egyének külön kulcs segítségével való újraidentifikálási képességének megtartásával. A GDPR 4. cikk (5) bekezdése az adatvédelem-javító technikaként ismeri el, de nem menti fel a szeudoanonimizált adatokat a szabályozás alól.

Az érzékeny adatok állandó eltávolítása vagy elrejtése dokumentumokból, helyettesítésével egy vizuális jelzővel, például [REDACTED] vagy fekete sávval. Az encryption-tal ellentétben a szerkesztés egyirányú, és az eredeti adatok nem helyreállíthatók.

Az érzékeny adatok helyettesítése egy nem érzékeny helyőrzővel (tokennel), amely egy biztonságos tárolóban vissza van leképezve az eredeti értékre. Az encryption-tal ellentétben a token magának nincs matematikai kapcsolata az eredeti adatokkal. Az MCP Server-ben használják az AI válasz deanonimizálás engedélyezéséhez.

Az adatok egyirányú átalakítása rögzített hosszúságú kivonatba az SHA-256 algoritmusok felhasználásával. Konzisztens szeudoanonimizáláshoz, deduplikáláshoz és integritás ellenőrzéshez használják. A kivonat értékek nem fordíthatók vissza, de szivárvány táblázat támadásokra lehetnek sérülékenyek, ha nem sózottak.

Bármilyen egészségügyi információ azonosítható személyhez kapcsolva, amelyet a HIPAA szabályoz az USA-ban. Tartalmazza a diagnosztikákat, kezelési rekordokat, biztosítási adatokat és az 18 HIPAA Safe Harbor azonosítók bármelyikét.

Az EU 2016/679 rendelet, az Európai Unió elsődleges adatvédelmi keretrendszere. Az EU lakosainak személyes adatait feldolgozó bármely szervezetre vonatkozik. Bírságok akár 20 millió eurót vagy a globális éves bevétel 4%-át. Fő jogok: hozzáférés, törlés, hordozhatóság, korlátozás, kifogásozás.

Az USA szövetségi törvénye az érzékeny beteg egészségügyi adatok védelméhez szükséges szabványokat állít fel. Az adatvédelmi szabály szabályozza a PHI felhasználást; a biztonsági szabály igényli az adminisztratív, fizikai és technikai biztosítékokat az elektronikus PHI-hez (ePHI). A jogsértések akár 1,9 millió dolláros bírságot hozhatnak évente kategóriánként.

Nemzetközi szabvány az információbiztonság felügyelet rendszerekhez (ISMS). A tanúsítás dokumentált politikákat, kockázat értékeléseket és kontrollokat igényel. Az anonym.legal EU kiszolgálói ISO 27001-tanúsítottak, biztosítva a strukturált biztonsági irányítást.

Biztonsági szabvány a fizetési kártya adatokat kezelő szervezeteknek, amelyet a PCI biztonsági szabványok tanácsa tart fenn. Titkosítást, hozzáférési kontrollokat, naplózást és rendszeres tesztelést igényel. A nem megfelelésből bírságok és a kártya feldolgozási jogok elvesztése eredményezhet.

A kaliforniai adatvédelmi törvény, amely a lakosoknak jogot ad tudni, törölni és kimaradni személyes adatainak eladásából. Az árbevétel, adatmennyiség vagy adatértékesítési küszöbértékeket teljesítő vállalkozásokra vonatkozik.

Az EU 2024/1689 rendelet, a világ első átfogó AI törvénye. Az AI rendszereket kockázat szint szerint osztályozza. A magas kockázatú rendszer követelményei — a foglalkoztatás, hitel, egészségügy és kritikus infrastruktúrában használt AI-t fedezve — 2026. augusztus 2-án kötelezővé válnak. A 10. cikk adatok irányítást és adatok minimalizálást igényel a képzési adatokhoz; a 13. cikk átláthatóságot igényel. Az EU-ban működő AI fejlesztőkre, üzemeltetőkre és importőrökre vonatkozik.

GDPR 5. cikk (1) bekezdés (c) megköveteli, hogy a személyes adatok "megfelelő, releváns és szükségesre korlátozottak" legyenek feldolgozás céljára. Az AI munkafolyamatokban ez azt jelenti, hogy eltávolítják a PII-t a promptokból, mielőtt az AI modellhez küldessék — a modell csak azt kapja meg, ami szigorúan szükséges a feladathoz. Az anonymize.dev automatizálja ezt az elvet az MCP protokoll rétegében, helyettesítve a PII-t tokenekkel, mielőtt az AI modell feldolgozza a kérést.

Egy fejlesztési gyakorlat, ahol a fejlesztők leírják a célt természetes nyelven és AI kódolási ügynökökre (Cursor, Windsurf, Claude, GitHub Copilot) támaszkodnak a megvalósítás generálásához. A biztonsági kockázat: a fejlesztők rutinszerűen valós ügyfél rekordokat, adatbázis kapcsolati karakterláncokat, API kulcsokat és naplófájlokat beillesztenek az AI promptokba kontextusként. A fejlesztők 77%-a küldött vállalati adatokat AI eszközökre (adatok védelmi hét 2026). A PII feltörés nélkül ez a GDPR 5. cikk megsértésnek és lehetséges adatsértésnek minősül.

Nem jóváhagyott AI eszközök — gyakran személyes fiókokon keresztül — az IT láthatóság és kontroll nélkül történő használata. A szervezetek 88%-a legalább egy üzleti funkciót használ az AI-ban; ezekből majdnem fele a generatív AI felhasználók az irányítási keretrendszereken kívül működő személyes AI alkalmazásokra támaszkodnak. A Shadow AI átlagosan 670 000 eurót adott a sértés költségeihez, és a szervezetek 20%-a közvetlenül shadow AI által okozott sértéseket tapasztalt (Kiteworks 2026). A jóváhagyott, adatvédelem-biztonságos AI eszközök biztosítása 89%-kal csökkenti a jogosulatlan használatot.

Az AI rendszerek autonóm módon megtervezik és több lépéses feladatokat hajtanak végre — böngészik a webet, hívják az API-t, kódot írnak és futtatnak, fájlokhoz hozzáférnek — gyakran minimális humán felügyelettel. Az Egyesült Királyság Információbiztonság Biztosa Iroda (ICO) 2026 januárjában útmutatást tett közzé, kiemelve, hogy az agentic AI súlyosbítja az adatok védelmi kockázatokat, mert az emberi felügyelet nehézzé válik, amikor ügynökök autonóm módon működnek nagy mennyiségű személyes adatokkal. Az MCP-alapú PII feltörés (anonymize.dev) a protokoll rétegben alkalmazható, védelemmel az adatoknak az ügynök autonómia szintjétől függetlenül.

Az MCP-en engedélyezett AI ügynökökben kritikus sebezhetőség osztály, ahol rosszindulatú tartalom külső forrásokból (GitHub kérdések, weboldalak, dokumentumok) eltérítheti az ügynököt és felszívóztathatja az adatokat a kapcsolódó eszközökből. Dokumentált példa: támadók rosszindulatú tartalmat telepítetek a GitHub kérdésekbe, amely azt okozta, hogy a GitHub MCP szerver privát adattár adatokat szivárogtat. A PII feltörés az ügynök kontextus összegyüjtése előtt enyhíti ezt a támadás osztályt azzal biztosítva, hogy a valós személyes adatok soha nem jelen az ügynök munka kontextusában.

Eszközök és technikák kategóriája, amely lehetővé teszi az adatok elemzést és AI munkafolyamatokat az egyéni adatvédelem megőrzése mellett. Magában foglalja: tokenizálás (anonymize.dev), differenciális adatvédelem (zajt ad a statisztikai kimenethez), k-anonimitás (biztosítja, hogy mindegyik rekord megkülönböztethetetlen a k-1 másiktól), szintetikus adatok generálása, szövetséges tanulás és biztonságos többpárti számítás. Az EU 2026-os adatok védelmi tájképe növekvő mértékben megköveteli a szervezetektől a PETs kihelyezését a Privacy-by-Design (GDPR 25. cikk) megvalósítási stratégia részeként.

Az AES-256 (256 bites kulcs) és a Galois/Counter mód kombinálásából álló hitelesített titkosítás algoritmus mind bizalmassághoz és integritáshoz. Az anonym.legal fordítható anonimizálásában használják a helyettesített entitások titkosítására. Biztosítja mind a titkosságot és a manipuláció felderítést.

256 bites kivonatot előállító kriptográfiai kivonat függvény. Az anonym.legal-ben az API kérések HMAC hitelesítéséhez, ZK hitelesítés bizonyítékokhoz és konzisztens entitás szeudoanonimizálásához (sózott kivonatkezelés ugyanazt a helyettesítést állítja elő ugyanarra az eredeti értékre).

Az adatok szállítás közben biztosító kriptográfiai protokoll. Az anonym.legal TLS 1.2 minimumot érvényesít TLS 1.3 előnyben részesítettől, HSTS egy éves max-age-vel és HTTP/2-vel. Az összes forgalom az ügyfelek és a szerver között titkosított szállításban van.

Titkosítás, amelyben csak a kommunikáló felek tudják olvasni az üzeneteket; a szolgáltató semmilyen hozzáférését nincs az egyszerű szöveghez. Az anonym.legal ZK Auth módjában a titkosítás kulcsai soha nem hagyják el az ügyfél eszközt, megvalósítva az E2EE-t az anonimizált kimenet tárolásához.

Az olyan személyes adatok kategóriája, amelyet a felderítés motor felismer és tud anonimizálni. Példák: PERSON, EMAIL_ADDRESS, PHONE_NUMBER, CREDIT_CARD, IBAN_CODE, US_SSN, IP_ADDRESS. Az anonym.legal támogatja 267+ entitástípus 48 nyelvben.

Entitás típusok felismerve a szöveg nyelvtől függetlenül, jellemzően formátum alapú regex-szel és ellenőrzőösszeg ellenőrzéssel. Példák: CREDIT_CARD, IBAN_CODE, EMAIL_ADDRESS, PHONE_NUMBER, IP_ADDRESS, URL, CRYPTO cím.

Entitás típusok a nemzeti és kormány által kiadott azonosítókhoz: US_SSN, US_PASSPORT, UK_NHS, ES_NIF, DE_PERSONALAUSWEIS, FR_INSEE, IT_FISCAL_CODE és 50+ egyéb ország-specifikus azonosítási formátum. Felismerve az ország-specifikus regex + ellenőrzőösszeg minták felhasználásával.

Entitás típusok a pénzügyi azonosítókat lefedve: CREDIT_CARD (Luhn ellenőrzőösszeg), IBAN_CODE (ISO 13616 ellenőrzőösszeg), SWIFT_CODE (BIC formátum), US_BANK_NUMBER, NRP (spanyol adó azonosítás). Felismerve ellenőrzőösszeg ellenőrzéssel a hamis pozitívok minimalizálásához.

Entitás típusok a 18 HIPAA Safe Harbor azonosítókhoz és további egészségügyi PII-hez: US_MRN (orvosi rekord számok), MEDICAL_LICENSE, HEALTHCARE_PLAN_BENEFICIARY és diagnosztika/kezelés kontextus entitások.