مقررات و حریم خصوصی در هوش مصنوعی

هزینهٔ بی‌توجهی به قواعد داده معمولاً در روز نخست پرداخت نمی‌شود. سامانه بالا می‌آید، کار می‌کند و ماه‌ها بی‌حادثه می‌گذرد؛ صورت‌حساب دیرتر می‌رسد، آن هم در قالبی که در بودجه پیش‌بینی نشده است: یک نشت داده، شکایت مشتری، یا الزامی تازه که بازسازی کل جریان داده را ضروری می‌کند.

نکتهٔ مهم این است که رعایت این قواعد در پایان پروژه افزودنی نیست. اگر سامانه از ابتدا هر داده‌ای را که می‌بیند ذخیره کند و هیچ نشانی از مسیر تصمیم خود نگه ندارد، افزودن حریم خصوصی به آن یعنی بازنویسی، نه اصلاح. تفاوت میان پرسیدن این پرسش‌ها در هفتهٔ اول و در سال دوم، تفاوت چند جلسه با چند ماه کار است.

چهار پرسشی که باید پیش از نوشتن کد پاسخ داشته باشند

• چه داده‌ای و برای چه هدفی؟ هر میدان دادهٔ شخصی باید به کاربردی مشخص گره خورده باشد، نه به این احتمال که روزی به کار آید.
• مبنای گردآوری چیست؟ رضایت کاربر، الزام قانونی یا اجرای قرارداد؛ هر سه ممکن است، اما باید یکی انتخاب و مستند شود.
• چه مدت نگه‌داری می‌شود؟ دادهٔ بدون زمان انقضا، بدهی انبارشده است.
• چه کسی دسترسی دارد؟ نه فهرست نقش‌ها روی کاغذ، که آنچه در عمل در سامانه اعمال شده است.

کمینه‌سازی داده، ارزان‌ترین اقدام حفاظتی

هر داده‌ای که گردآوری نکنید، داده‌ای است که نمی‌تواند فاش شود. این جمله ساده به‌نظر می‌رسد اما خلاف عادت رایج مهندسی است، که بر ذخیرهٔ همه‌چیز و کشف کاربردش در آینده بنا شده. در بیشتر پروژه‌ها بخش عمدهٔ کارکرد با دادهٔ بی‌نام یا تجمیع‌شده به‌دست می‌آید؛ شمارهٔ ملی و شمارهٔ تماس معمولاً برای پیش‌بینی رفتار لازم نیست، برای شناسایی فرد لازم است. تفکیک این دو نیاز، حجم دادهٔ حساس را به‌شدت کم می‌کند.

توضیح‌پذیری، آنجا که تصمیم بر کسی اثر می‌گذارد

وقتی سامانه‌ای دربارهٔ انسان تصمیم می‌گیرد — رد یک درخواست تسهیلات، اولویت‌بندی متقاضیان استخدام یا تعیین سطح خدمت — باید بتوانید بگویید چرا. این نه فقط الزامی مقرراتی، که ابزار مدیریت ریسک خودتان هم هست: مدلی که سازوکارش را نمی‌فهمید ممکن است سوگیری موجود در دادهٔ گذشته را در مقیاس تکرار کند. حداقل قابل قبول این است که برای هر تصمیم اثرگذار ثبت شود چه ورودی‌هایی دیده شده و کدام انسان مسئول بازبینی بوده است.

چارچوبی که کسب‌وکار ایرانی با آن روبه‌روست

در ایران قانون حمایت از دادهٔ شخصی به شکل یکپارچهٔ اتحادیهٔ اروپا وجود ندارد، اما این به معنای نبود الزام نیست: مقررات بخشی در حوزهٔ بانکی، بیمه و سلامت محدودیت‌های صریحی برای انتقال و نگه‌داری داده تعیین می‌کنند و روند عمومی به سمت سخت‌گیری بیشتر است. برای شرکتی که مشتری خارجی دارد یا داده را روی سرویس بیرونی پردازش می‌کند، قواعد آن سوی مرز هم اعمال می‌شود. عمل عاقلانه، طراحی بر مبنای سخت‌گیرانه‌ترین الزام قابل پیش‌بینی است، چون هم‌راستا کردن بعدی گران‌تر از رعایت اولیه است.

یک نمونهٔ عملی

شرکتی را در نظر بگیرید که برای تحلیل رفتار خرید، پروندهٔ کامل مشتریان را در محیط تحلیلی خود کپی می‌کرد. یک بازبینی نشان داد مدل به نام، شمارهٔ تماس و نشانی نیازی ندارد؛ با جایگزینی این میدان‌ها با شناسهٔ بی‌نام، دقت پیش‌بینی دست‌نخورده ماند و دامنهٔ دادهٔ حساس در دسترس تیم تحلیل به کسری از قبل رسید. سود جانبی این بود که پروژه از فهرست دغدغه‌های تیم حقوقی بیرون آمد و سرعت گرفت.

مسیر ۹۰ روزهٔ شروع

• ماه نخست: فهرست کنید چه دادهٔ شخصی‌ای در کجا نگه داشته می‌شود و چه کسی به آن دسترسی دارد؛ بیشتر سازمان‌ها از پاسخ این پرسش شگفت‌زده می‌شوند.
• ماه دوم: میدان‌های بی‌استفاده را حذف کنید، برای بقیه زمان نگه‌داری تعیین کنید و در یک فرآیند، دادهٔ حساس را با شناسهٔ بی‌نام جایگزین کنید.
• ماه سوم: برای تصمیم‌های اثرگذار ثبت رویداد و مسیر بازبینی انسانی بگذارید و رویهٔ پاسخ به درخواست کاربر برای حذف داده را بنویسید.

خطاهای رایج

• سپردن موضوع به تیم حقوقی در پایان پروژه، وقتی تغییر معماری دیگر گران است.
• گرفتن رضایت با متنی که هیچ کاربری نمی‌خواند و هیچ انتخابی به او نمی‌دهد.
• فرستادن دادهٔ واقعی مشتری به سرویس بیرونی برای یک آزمایش سریع.
• یکسان گرفتن محیط تحلیل با محیط عملیاتی؛ دادهٔ حساس بیشتر از راه کپی‌های فراموش‌شده فاش می‌شود تا از راه نفوذ.

پرسش‌های پرتکرار

• آیا این کار پروژه را کند نمی‌کند؟
  در آغاز چند جلسه وقت می‌گیرد و در ادامه سرعت می‌دهد، چون پروژه در مرحلهٔ تأیید متوقف نمی‌شود.
• برای شرکت کوچک هم لازم است؟
  اندازهٔ سازمان تعهد را کم نمی‌کند و یک حادثهٔ داده برای برند کوچک سنگین‌تر تمام می‌شود.
• استفاده از سرویس ابری بیرونی مجاز است؟
  بسته به نوع داده و صنعت؛ پیش از انتقال تعیین کنید چه داده‌ای اجازهٔ خروج دارد و چه داده‌ای باید بی‌نام شود.

جمع‌بندی

حریم خصوصی محدودیتی بر نوآوری نیست؛ چارچوبی است که پروژه را در برابر ریسک‌های خودش بیمه می‌کند. سازمانی که از ابتدا کم‌ترین دادهٔ لازم را می‌گیرد و مسیر تصمیم خود را ثبت می‌کند، هم دیرتر گرفتار می‌شود و هم سریع‌تر پیش می‌رود.

واژه‌نامه

• کمینه‌سازی داده: گردآوری فقط داده‌ای که برای هدفی مشخص لازم است.
• بی‌نام‌سازی: حذف یا جایگزینی نشانه‌های هویتی، به‌گونه‌ای که بازگشت به فرد ممکن نباشد.
• حکمرانی داده: مجموعهٔ قواعد و مسئولیت‌ها دربارهٔ اینکه چه داده‌ای چگونه گردآوری، نگه‌داری و استفاده شود.
• توضیح‌پذیری: توان بیان اینکه یک سامانه بر چه مبنایی به تصمیم خود رسیده است.
• ثبت رویداد: نگه‌داشتن سابقهٔ ورودی‌ها و تصمیم‌ها برای بازبینی و پاسخ‌گویی بعدی.