ความสำคัญของ Inference Governance กับการรั่วไหลของข้อมูลส่วนบุคคลที่ AI มโนขึ้น

“การ์ทเนอร์คาดการณ์ อีก 3 ปี เหตุละเมิดความเป็นส่วนตัวจะเกิดจากการคาดเดาที่สรุปโดย AI ทำให้ CISO ต้องก้าวข้ามการคุ้มครองข้อมูลแบบเดิมๆ ไปสู่การกำกับดูแลการคาดเดาข้อมูล (Inference Governance)

การ์ทเนอร์ อิงก์ เผยว่า ภายในปี พ.ศ. 2572 เหตุการณ์ละเมิดความเป็นส่วนตัวส่วนใหญ่จะไม่ได้เกิดจากการรั่วไหลของข้อมูลส่วนบุคคลโดยตรง (Personally Identifiable Information หรือ PII) แต่จะเกิดจากข้อสรุปที่ AI สร้างขึ้นจากการคาดเดาข้อมูลของบุคคล

บาร์ต วิลเลมเซน รองประธานฝ่ายนักวิเคราะห์ของการ์ทเนอร์ กล่าวว่า “เรากำลังอยู่ในช่วงการเปลี่ยนแปลงครั้งสำคัญ จากการรั่วไหลของข้อมูล (Data Exposure) ไปสู่การรั่วไหลของข้อมูลเชิงลึก (Insight Exposure)” 

“ในอดีตองค์กรต่างมุ่งเน้นไปที่การคุ้มครองข้อมูลส่วนบุคคลดิบ แต่ปัจจุบัน AI สามารถสร้างข้อมูลเชิงลึกส่วนบุคคลระดับลึกขึ้นมาใหม่ได้ โดยไม่จำเป็นต้องฝ่าระบบควบคุมข้อมูลแบบเดิมเลย ความเสี่ยงด้านความเป็นส่วนตัวกำลังเกิดเพิ่มขึ้นเรื่อยๆ จากสิ่งที่อัลกอริทึม AI คาดเดา เกี่ยวกับตัวบุคคล มากกว่าข้อมูลที่รั่วไหลออกไปโดยตรง”

ขณะที่องค์กรกำลังลดปริมาณการจัดเก็บข้อมูลส่วนบุคคลลงเนื่องจากข้อบังคับทางกฎหมายและแรงกดดันด้านต้นทุน การที่ผู้โจมตีสามารถเข้าถึง AI ได้ในปัจจุบัน ทำให้สามารถโจมตีโดยใช้เทคนิคการคาดเดาข้อมูล หรือ Inference-Based Attacks ได้ 

ความก้าวหน้าของ GenAI และ Machine Learning (ML) ช่วยให้สามารถดึงคุณลักษณะที่ละเอียดอ่อน เช่น สภาวะสุขภาพ หรือรูปแบบพฤติกรรม ออกมาจากข้อมูลที่ดูเหมือนไม่มีอันตราย ข้อมูลนิรนาม หรือเป็นข้อมูลที่รวบรวมไว้ 

 ความเสี่ยงจากการคาดเดาข้อมูลกำลังเป็นตัวกำหนดกลยุทธ์ด้านความเป็นส่วนตัว

“การโจมตีด้วยการคาดเดาข้อมูลของ AI นั้นมีความอันตรายเป็นพิเศษ เพราะมักจะเล็ดลอดกลไกการตรวจจับแบบเดิมไปได้” 

“บุคคลอาจถูกเปิดเผยข้อมูลผ่านข้อสรุปที่ AI สร้างขึ้น มากกว่าบันทึกข้อมูลที่รั่วไหล ซึ่งสร้างความเสี่ยงด้านความเป็นส่วนตัวที่บ่อนทำลายความแม่นยำของข้อมูล (Data Integrity) ทั้งยังยากต่อการตรวจจับ อธิบาย และบรรเทาผลกระทบ” วิลเลมเซน กล่าว

การเปลี่ยนแปลงนี้กำลังบีบให้องค์กรต้องทบทวนกลยุทธ์ด้านความเป็นส่วนตัวใหม่ นอกเหนือจากการคุ้มครองข้อมูลส่วนบุคคลแล้ว ผู้นำด้านความปลอดภัยจะต้องกำกับดูแลวิธีที่ระบบ AI ใช้ในการสร้าง และดำเนินการกับข้อมูลเชิงลึกเกี่ยวกับตัวบุคคลด้วย

การ์ทเนอร์คาดว่า ภายในปี พ.ศ. 2571 มูลค่าการใช้จ่ายเพื่อปกป้อง ความถูกต้องแม่นยำข้อมูล หรือ Data Integrity จะพุ่งขึ้นมาเท่ากับการลงทุนด้าน การรักษาความลับของข้อมูล หรือ Data Confidentiality เนื่องจากองค์กรต้องรับมือกับความเสี่ยงจากโปรไฟล์บุคคลที่สร้างโดย AI ซึ่งไม่แม่นยำ มีอคติ หรือไม่ได้รับอนุญาต

“องค์กรที่ยังมองเรื่องความเป็นส่วนตัวเป็นเพียงเรื่องที่ท้าทายต่อการคุ้มครองข้อมูลแต่เพียงอย่างเดียว จะยิ่งสุ่มเสี่ยงต่อเหตุการณ์ละเมิดความเป็นส่วนตัวที่เกิดจากการคาดเดาของ AI มากขึ้นเรื่อยๆ โดยยุคถัดไปของความเสี่ยงด้าน Privacy อยู่ที่วิธีที่ AI ตีความข้อมูล ไม่ใช่แค่เพียงวิธีที่องค์กรจัดเก็บข้อมูลอีกต่อไป” วิลเลมเซน กล่าว

เตรียมความพร้อมโปรแกรมความเป็นส่วนตัว รับมือความเสี่ยงจากการคาดเดาข้อมูล AI

สิ่งที่เกิดขึ้น คือ ความจำเป็นของ การกำกับดูแลการคาดเดาข้อมูล (Inference Governance) ซึ่งต้องมีกรอบและแนวทางในการกำกับดูแล ข้อสรุปหรือการคาดเดาที่ระบบปัญญาประดิษฐ์สร้างขึ้น (AI-Generated Inferences) จากการนำข้อมูลดิบหลายส่วนมาเชื่อมโยงกัน ซึ่งต่างจากการคุ้มครองข้อมูลแบบเดิมที่มุ่งเน้นการป้องกันข้อมูลส่วนบุคคลรั่วไหลโดยตรง

ดังนั้น เพื่อรับมือกับความเสี่ยงด้านความเป็นส่วนตัวจากการคาดเดาข้อมูลที่กำลังเพิ่มมากขึ้น การ์ทเนอร์แนะนำให้ผู้บริหาร CISO และผู้นำด้านความเป็นส่วนตัวดำเนินการ ดังนี้ 

• ฝัง AI Governance ไว้ในโปรแกรมความเป็นส่วนตัว บูรณาการหลักการคุ้มครองความเป็นส่วนตัวตั้งแต่การออกแบบ (Privacy-by-Design) เข้าไปในกระบวนการพัฒนาและปรับใช้ AI รวมถึงประเมินอัลกอริทึมอย่างสม่ำเสมอเพื่อหาการประมวลผลที่อคติ (Bias), การโอเวอร์ฟิตติ้ง (Overfitting) เมื่ออัลกอริทึมปรับตัวให้เข้ากับข้อมูลฝึกฝนมากเกินไป และความเสี่ยงจากการคาดเดาข้อมูลโดยไม่ได้ตั้งใจ

• นำเทคโนโลยี Privacy-Enhancing Technologies – PETs มาใช้ ปรับใช้เทคโนโลยี เช่น Differential Privacy, Synthetic Data และ Machine Learning ที่คำนึงถึงความเป็นส่วนตัว สำหรับประมวลผลข้อมูลในสถานะที่ได้รับการคุ้มครอง และลดความเสี่ยงในการถูกระบุตัวตนซ้ำ (Re-identification)

• เสริมความแข็งแกร่งการเก็บข้อมูลเท่าที่จำเป็น (Data Minimization) และการควบคุมวงจรชีวิตข้อมูล จำกัดการเก็บรวบรวมข้อมูลให้เหลือเพียงสิ่งที่จำเป็นต่อธุรกิจจริงๆ เท่านั้นพร้อมควบคุมการเข้าถึงอย่างเข้มงวดและลบข้อมูลตามกำหนดเวลา เพื่อลดปริมาณข้อมูลที่อาจนำไปใช้โจมตีแบบคาดเดาได้

• ยกระดับความปลอดภัยไซเบอร์สำหรับภัยคุกคามที่ขับเคลื่อนด้วย AI ลงทุนในระบบเฝ้าระวังขั้นสูง ระบบตรวจจับสิ่งผิดปกติ และความสามารถในการวางแผนจำลองสถานการณ์ ที่ออกแบบมาเพื่อระบุรูปแบบการฉวยโอกาสทางอ้อมและภัยคุกคามจากการคาดเดาข้อมูล AI

• ส่งเสริมความโปร่งใสและการกำกับดูแลโดยมนุษย์ (Human Oversight) กำหนดขอบเขตการตีความในเอกสารให้ชัดเจนว่าระบบ AI “ควร” หรือ “ไม่ควร” คาดเดาข้อมูลในส่วนใด จัดให้มีการตรวจสอบอย่างสม่ำเสมอ และกำหนดให้มีมนุษย์คอยตรวจเช็คและอนุมัติ (Human in the loop) ในข้อสรุปจากการคาดเดาของ AI ก่อนที่จะดำเนินการใดๆ กับข้อมูลที่ละเอียดอ่อน