Tag: Form Security Checklist

AIフォームビルダーは、フィールド、ラベル、レイアウト、ロジックを数秒で生成できます。そのスピードがポイントです。しかし、スピードは、実際に何が構築されたかを確認する前に、名前、メール、健康情報、または支払い情報を収集するフォームを公開することを意味します。 手動のフォームビルダーには既知のセキュリティサーフェスがあります。各フィールドを自分で追加するため、何が収集されるかを知っています。AI生成のフォームは異なるリスクプロファイルを継承します: モデルがどのフィールドを含めるか、どのようにラベル付けするか、何が必要か、時には何が隠されているかを決定します。「患者受付フォーム」を説明すると、AIは生年月日、保険提供者、現在の薬、主要な苦情のフィールドを生成するかもしれません。これらはすべてHIPAAの下でPHIであり、これらのフィールドがコンプライアンス義務を伴うことを示さない場合があります。 このチェックリストは、個人または機密データを収集するAI生成のフォームを公開する前に確認すべき具体的な事項をカバーしています。 この記事は情報提供のみを目的としており、法的助言を構成するものではありません。組織に特化したガイダンスについては、資格のあるデータ保護専門家に相談してください。 このページで AIが実際に生成したものを監査する 隠しフィールドと不要なデータに注意する AIがプロンプトを処理した場所を確認する プラットフォームのデータ保護がAI機能をカバーしているか確認する 公開前に自分でフォームを記入する 公開前のチェックリスト 1. AIが実際に生成したものを監査する AIフォームジェネレーターは、大規模なフォームテンプレートのコーパスでトレーニングされています。「従業員オンボーディングフォームを作成する」とプロンプトすると、モデルは何千ものオンボーディングフォームのパターンを引き出します。これらには通常、国民ID番号、緊急連絡先、銀行口座の詳細、健康宣言のフィールドが含まれます。これらのフィールドは、要求したかどうかに関係なく、生成された出力に現れることがあります。 ビルダーでフォームを開き、ページの下部に表示されるフィールドを含むすべてのフィールドラベルを読みます。政府のID番号、財務情報、健康または医療データ、人口統計情報（人種、民族、宗教）、または生体認証データを収集するフィールドには特に注意してください。これらのカテゴリは、GDPR、HIPAA、CCPA、およびほとんどの他のプライバシーフレームワークの下で強化された保護を受けます。 要求していないフィールドや収集する合法的な理由がないフィールドは削除してください。GDPRのデータ最小化の原則（第5条第1項(c)）は明確です: 個人データは「処理される目的に関連して適切で、関連性があり、必要な範囲に限定されるべきです。」特定のデータが必要な理由を説明できない場合は、収集しないでください。

ほとんどのフォームビルダーは外見上似ています。ドラッグ＆ドロップエディター、公開ボタン、提出時のメール通知。インターフェースには、データが暗号化されているか、誰がアクセスできるか、収集後にどこに行くかは示されていません。 フォームビルダーのセキュリティの失敗は、問題になる前にはほとんど見えません。それは、違反通知、コンプライアンス監査、またはデータがどうなったかを知りたいユーザーからの要求として現れます。 しかし、警告サインは主に事前に見えます。ドキュメント、機能セット、特定の質問への回答にあります。この記事では、それらのうちの7つを取り上げます。 この記事は情報提供のみを目的としており、法的アドバイスを構成するものではありません。組織に特有の指導については、資格のあるデータ保護専門家に相談してください。 このページで データ処理契約が利用できない 第三者のスクリプトが開示なしにフォームページで実行される 暗号化の主張が曖昧または欠如している データ保持が設定可能でない 提出アクセスの監査ログがない 医療用途に利用できるBAAがない 個別の提出が要求に応じて削除できない サイン1: データ処理契約が利用できない データ処理契約（DPA）は、データを収集する組織（コントローラー）とそれを処理するプラットフォーム（プロセッサー）との間の法的拘束力のある契約です。GDPRが適用され、コントローラーが第三者プロセッサーを使用する場合、記事28はプロセッサーがコントローラーの代理で個人データを処理する前に、適切なデータ処理契約を要求します。 契約は最低限、処理の対象と期間、データの種類と関与する個人のカテゴリ、プロセッサーへのコントローラーの指示、セキュリティ義務、サブプロセッサーの開示、データ主体の権利要求の処理手順、違反通知のタイムライン、契約終了時のデータ削除または返却を定義しなければなりません。 これはチェックボックスではありません。記事28(3)はこれらの要素を明確に指定しています。プライバシーポリシーはDPAではありません。サービス利用規約もDPAではありません。DPAは、両当事者が署名する別個の二国間文書です。