การปกป้องข้อมูลส่วนบุคคลกำลังเผชิญโจทย์ใหม่ เมื่อความเสี่ยงไม่ได้อยู่แค่การที่ข้อมูลดิบรั่วไหลออกจากระบบอีกต่อไป แต่เป็นสิ่งที่ AI สามารถวิเคราะห์และคาดเดาเกี่ยวกับบุคคลได้จากข้อมูลที่ดูเหมือนไม่ละเอียดอ่อน
Gartner ระบุว่า ภายในปี 2572 เหตุการณ์ละเมิดความเป็นส่วนตัวส่วนใหญ่จะไม่ได้เกิดจากการเปิดเผยข้อมูลส่วนบุคคลโดยตรง หรือ PII แต่จะมาจากข้อสรุปที่ระบบ AI สร้างขึ้นจากการคาดเดาข้อมูลของบุคคล หรือ AI-Generated Inferences
ตัวอย่างของความเสี่ยงคือ AI อาจนำข้อมูลที่ผ่านการทำให้ไม่ระบุตัวตน ข้อมูลแบบรวบรวม หรือข้อมูลพฤติกรรมที่ดูไม่สำคัญ มาวิเคราะห์จนอนุมานได้ถึงสถานะสุขภาพ พฤติกรรม หรือคุณลักษณะที่ละเอียดอ่อนของบุคคล แม้ข้อมูลต้นทางจะไม่เคยเปิดเผยข้อมูลเหล่านั้นไว้อย่างชัดเจนก็ตาม
จาก Data Exposure สู่ Insight Exposure
บาร์ต วิลเลมเซน รองประธานฝ่ายนักวิเคราะห์ของ Gartner มองว่า องค์กรกำลังเปลี่ยนจากยุคที่กังวลเรื่องการรั่วไหลของข้อมูล ไปสู่ความเสี่ยงจากการรั่วไหลของข้อมูลเชิงลึก
ที่ผ่านมา แนวทางด้าน Privacy มักเน้นการปกป้องข้อมูลส่วนบุคคลดิบ จำกัดการเข้าถึง และลดปริมาณข้อมูลที่จัดเก็บ แต่การเข้าถึง GenAI และ Machine Learning ทำให้ผู้โจมตีหรือแม้แต่ระบบภายในสามารถสกัดคุณลักษณะที่มีความละเอียดอ่อนออกมาจากชุดข้อมูลที่เดิมอาจดูปลอดภัยได้
ความยากของปัญหานี้คือการคาดเดาดังกล่าวอาจไม่ทิ้งร่องรอยแบบเดียวกับเหตุข้อมูลรั่วไหลทั่วไป ทั้งยังส่งผลต่อความถูกต้องของข้อมูล เพราะข้อสรุปจาก AI อาจคลาดเคลื่อน มีอคติ หรือถูกนำไปใช้ตัดสินใจเกี่ยวกับบุคคลโดยที่เจ้าตัวไม่เคยให้ข้อมูลนั้นไว้โดยตรง
Gartner จึงคาดว่า ภายในปี 2571 การลงทุนเพื่อปกป้องความถูกต้องแม่นยำของข้อมูล หรือ Data Integrity จะมีมูลค่าใกล้เคียงกับการลงทุนด้านการรักษาความลับของข้อมูล หรือ Data Confidentiality เนื่องจากองค์กรต้องรับมือกับความเสี่ยงของโปรไฟล์บุคคลที่ AI สร้างขึ้น
CISO ต้องกำกับสิ่งที่ AI “อนุมาน” ได้
ประเด็นสำคัญสำหรับองค์กรจึงไม่ได้อยู่เพียงการดูแลว่าข้อมูลใดถูกเก็บไว้ที่ไหน แต่ต้องขยายไปสู่การกำกับดูแลว่า AI ใช้ข้อมูลเหล่านั้นสร้างข้อสรุปอะไรได้บ้าง แนวคิดนี้ถูกเรียกว่า Inference Governance
Gartner แนะนำให้ผู้บริหารด้านความปลอดภัยและความเป็นส่วนตัวฝังหลัก Privacy-by-Design เข้าไปในขั้นตอนพัฒนาและใช้งาน AI พร้อมประเมินอัลกอริทึมอย่างสม่ำเสมอ เพื่อตรวจหาความเสี่ยงจากอคติ การโอเวอร์ฟิตติ้ง และการคาดเดาข้อมูลที่เกิดขึ้นโดยไม่ได้ตั้งใจ
อีกส่วนคือการใช้ Privacy-Enhancing Technologies หรือ PETs เช่น Differential Privacy, Synthetic Data และเทคนิค Machine Learning ที่คำนึงถึงความเป็นส่วนตัว เพื่อลดความเสี่ยงในการระบุตัวบุคคลซ้ำ ขณะเดียวกัน องค์กรควรเก็บข้อมูลเท่าที่จำเป็น ควบคุมการเข้าถึงและวงจรชีวิตข้อมูลให้ชัดเจน รวมถึงมีระบบตรวจสอบโดยมนุษย์ก่อนนำข้อสรุปที่ AI อนุมานจากข้อมูลละเอียดอ่อนไปใช้จริง
มุมที่น่าจับตาคือ การลดปริมาณข้อมูลที่องค์กรเก็บอาจไม่เพียงพอสำหรับโลกที่ AI สามารถเชื่อมโยงและตีความข้อมูลได้ลึกขึ้น ความเป็นส่วนตัวในระยะต่อไปจึงอาจวัดจากขอบเขตที่ระบบได้รับอนุญาตให้ “เข้าใจ” เกี่ยวกับบุคคล ไม่ใช่เพียงขอบเขตที่องค์กรอนุญาตให้เก็บข้อมูลเท่านั้น
ติดตามข้อมูลข่าวสารน่าสนใจได้ทาง www.zanzab.com และช่องทางโซเชียล
Facebook , YouTube , Instagram และ Tiktok
