ความเสี่ยงด้านความเป็นส่วนตัวจาก AI บีบให้ผู้บริหาร CISO ต้องก้าวข้ามการคุ้มครองข้อมูลแบบเดิม ๆ ไปสู่การกำกับดูแลการคาดเดาข้อมูล (Inference Governance)
การ์ทเนอร์ อิงก์ บริษัทให้คำปรึกษาและวิจัยข้อมูลเชิงลึกด้านธุรกิจและเทคโนโลยี เผยว่า ภายในปี พ.ศ. 2572 เหตุการณ์ละเมิดความเป็นส่วนตัวส่วนใหญ่จะไม่ได้เกิดจากการรั่วไหลของข้อมูลส่วนบุคคลโดยตรง (Personally Identifiable Information หรือ PII) แต่จะเกิดจากข้อสรุปที่ AI สร้างขึ้นจากการคาดเดาข้อมูลของบุคคล
บาร์ต วิลเลมเซน (Bart Willemsen) รองประธานฝ่ายนักวิเคราะห์ของการ์ทเนอร์ กล่าวว่า “เรากำลังอยู่ในช่วงการเปลี่ยนแปลงครั้งสำคัญ จากการรั่วไหลของข้อมูล (Data Exposure) ไปสู่การรั่วไหลของข้อมูลเชิงลึก (Insight Exposure) ในอดีตองค์กรต่างมุ่งเน้นไปที่การคุ้มครองข้อมูลส่วนบุคคลดิบ แต่ปัจจุบัน AI สามารถสร้างข้อมูลเชิงลึกส่วนบุคคลระดับลึกขึ้นมาใหม่ได้ โดยไม่จำเป็นต้องฝ่าระบบควบคุมข้อมูลแบบเดิมเลย ความเสี่ยงด้านความเป็นส่วนตัวกำลังเกิดเพิ่มขึ้นเรื่อย ๆ จากสิ่งที่อัลกอริทึม AI ‘คาดเดา’ เกี่ยวกับตัวบุคคล มากกว่าข้อมูลที่รั่วไหลออกไปโดยตรง”
ขณะที่องค์กรกำลังลดปริมาณการจัดเก็บข้อมูลส่วนบุคคลลงเนื่องจากข้อบังคับทางกฎหมายและแรงกดดันด้านต้นทุน การที่ผู้โจมตีสามารถเข้าถึง AI ได้ในปัจจุบัน ทำให้สามารถโจมตีโดยใช้เทคนิคการคาดเดาข้อมูล หรือ Inference-Based Attacks ได้ ความก้าวหน้าของ GenAI และ Machine Learning (ML) ช่วยให้สามารถดึงคุณลักษณะที่ละเอียดอ่อน เช่น สภาวะสุขภาพ หรือรูปแบบพฤติกรรม ออกมาจากข้อมูลที่ดูเหมือนไม่มีอันตราย ข้อมูลนิรนาม หรือเป็นข้อมูลที่รวบรวมไว้
ความเสี่ยงจากการคาดเดาข้อมูลกำลังเป็นตัวกำหนดกลยุทธ์ด้านความเป็นส่วนตัว
“การโจมตีด้วยการคาดเดาข้อมูลของ AI นั้นมีความอันตรายเป็นพิเศษ เพราะมักจะเล็ดลอดกลไกการตรวจจับแบบเดิมไปได้ บุคคลอาจถูกเปิดเผยข้อมูลผ่านข้อสรุปที่ AI สร้างขึ้น มากกว่าบันทึกข้อมูลที่รั่วไหล ซึ่งสร้างความเสี่ยงด้านความเป็นส่วนตัวที่บ่อนทำลายความแม่นยำของข้อมูล (Data Integrity) ทั้งยังยากต่อการตรวจจับ อธิบาย และบรรเทาผลกระทบ” วิลเลมเซน กล่าวการเปลี่ยนแปลงนี้กำลังบีบให้องค์กรต้องทบทวนกลยุทธ์ด้านความเป็นส่วนตัวใหม่ นอกเหนือจากการคุ้มครองข้อมูลส่วนบุคคลแล้ว ผู้นำด้านความปลอดภัยจะต้องกำกับดูแลวิธีที่ระบบ AI ใช้ในการสร้าง และดำเนินการกับข้อมูลเชิงลึกเกี่ยวกับตัวบุคคลด้วย
การ์ทเนอร์คาดว่า ภายในปี พ.ศ. 2571 มูลค่าการใช้จ่ายเพื่อปกป้องความถูกต้องแม่นยำข้อมูล หรือ Data Integrity จะพุ่งขึ้นมาเท่ากับการลงทุนด้านการรักษาความลับของข้อมูล หรือ Data Confidentiality เนื่องจากองค์กรต้องรับมือกับความเสี่ยงจากโปรไฟล์บุคคลที่สร้างโดย AI ซึ่งไม่แม่นยำ มีอคติ หรือไม่ได้รับอนุญาต
“องค์กรที่ยังมองเรื่องความเป็นส่วนตัวเป็นเพียงเรื่องที่ท้าทายต่อการคุ้มครองข้อมูลแต่เพียงอย่างเดียว จะยิ่งสุ่มเสี่ยงต่อเหตุการณ์ละเมิดความเป็นส่วนตัวที่เกิดจากการคาดเดาของ AI มากขึ้นเรื่อย ๆ โดยยุคถัดไปของความเสี่ยงด้าน Privacy อยู่ที่วิธีที่ AI ตีความข้อมูล ไม่ใช่แค่เพียงวิธีที่องค์กรจัดเก็บข้อมูลอีกต่อไป” วิลเลมเซน กล่าว
เตรียมความพร้อมโปรแกรมความเป็นส่วนตัว รับมือความเสี่ยงจากการคาดเดาข้อมูล AI
เพื่อรับมือกับความเสี่ยงด้านความเป็นส่วนตัวจากการคาดเดาข้อมูลที่กำลังเพิ่มมากขึ้น การ์ทเนอร์แนะนำให้ผู้บริหาร CISO และผู้นำด้านความเป็นส่วนตัวดำเนินการ ดังนี้:- ฝัง AI Governance ไว้ในโปรแกรมความเป็นส่วนตัว: บูรณาการหลักการคุ้มครองความเป็นส่วนตัวตั้งแต่การออกแบบ (Privacy-by-Design) เข้าไปในกระบวนการพัฒนาและปรับใช้ AI รวมถึงประเมินอัลกอริทึมอย่างสม่ำเสมอเพื่อหาการประมวลผลที่อคติ (Bias), การโอเวอร์ฟิตติ้ง (Overfitting) เมื่ออัลกอริทึมปรับตัวให้เข้ากับข้อมูลฝึกฝนมากเกินไป และความเสี่ยงจากการคาดเดาข้อมูลโดยไม่ได้ตั้งใจ
- นำเทคโนโลยี Privacy-Enhancing Technologies - PETs มาใช้: ปรับใช้เทคโนโลยี เช่น Differential Privacy, Synthetic Data และ Machine Learning ที่คำนึงถึงความเป็นส่วนตัว สำหรับประมวลผลข้อมูลในสถานะที่ได้รับการคุ้มครอง และลดความเสี่ยงในการถูกระบุตัวตนซ้ำ (Re-identification)
- เสริมความแข็งแกร่งการเก็บข้อมูลเท่าที่จำเป็น (Data Minimization) และการควบคุมวงจรชีวิตข้อมูล: จำกัดการเก็บรวบรวมข้อมูลให้เหลือเพียงสิ่งที่จำเป็นต่อธุรกิจจริง ๆ เท่านั้นพร้อมควบคุมการเข้าถึงอย่างเข้มงวดและลบข้อมูลตามกำหนดเวลา เพื่อลดปริมาณข้อมูลที่อาจนำไปใช้โจมตีแบบคาดเดาได้
- ยกระดับความปลอดภัยไซเบอร์สำหรับภัยคุกคามที่ขับเคลื่อนด้วย AI: ลงทุนในระบบเฝ้าระวังขั้นสูง ระบบตรวจจับสิ่งผิดปกติ และความสามารถในการวางแผนจำลองสถานการณ์ ที่ออกแบบมาเพื่อระบุรูปแบบการฉวยโอกาสทางอ้อมและภัยคุกคามจากการคาดเดาข้อมูล AI
- ส่งเสริมความโปร่งใสและการกำกับดูแลโดยมนุษย์ (Human Oversight): กำหนดขอบเขตการตีความในเอกสารให้ชัดเจนว่าระบบ AI “ควร” หรือ “ไม่ควร” คาดเดาข้อมูลในส่วนใด จัดให้มีการตรวจสอบอย่างสม่ำเสมอ และกำหนดให้มีมนุษย์คอยตรวจเช็คและอนุมัติ (Human in the loop) ในข้อสรุปจากการคาดเดาของ AI ก่อนที่จะดำเนินการใด ๆ กับข้อมูลที่ละเอียดอ่อน
COMMENTS