الذكاء الاصطناعي يختبر حدود اللائحة العامة لحماية البيانات
عندما دخلت اللائحة العامة لحماية البيانات (GDPR) حيز التنفيذ في المملكة المتحدة والاتحاد الأوروبي، صُممت لتمنح الناس السيطرة على كيفية جمع بياناتهم الشخصية ومعالجتها وتخزينها. وبعد ما يقرب من عقد من الزمن، يضع الذكاء الاصطناعي هذا الإطار تحت ضغط حقيقي. مقال حديث ضمن سلسلة Security Think Tank نشرته Computer Weekly يرى أن الذكاء الاصطناعي لم يكسر اللائحة العامة لحماية البيانات بقدر ما كشف عن نقاط ضعف كان المنظمون والمؤسسات يعانون منها بالفعل قبل أن يصبح الذكاء الاصطناعي التوليدي سائدًا.
القضية الأساسية هي أن اللائحة العامة لحماية البيانات كُتبت حول نموذج لمعالجة البيانات يفترض أغراضًا واضحة ومحددة. كان من المتوقع أن تعرف المؤسسات البيانات التي تجمعها، ولماذا تحتاج إليها، ومدة الاحتفاظ بها. أما أنظمة الذكاء الاصطناعي، وخاصة نماذج التعلم الآلي واسعة النطاق، فغالبًا ما تعمل بطرق تعقّد كلًا من هذه الافتراضات. يتم سحب بيانات التدريب من مصادر ضخمة وغامضة أحيانًا. ويمكن أن تكشف المخرجات عن معلومات لم تتم الموافقة عليها صراحةً أبدًا. كما أن الحجم الهائل للمعالجة الآلية يجعل من الصعب على الأفراد فهم كيفية استخدام معلوماتهم، ناهيك عن الطعن فيها.
حيث تظهر الشقوق
وفقًا لتحليل Security Think Tank، فإن التوتر بين الذكاء الاصطناعي واللائحة العامة لحماية البيانات ليس جديدًا تمامًا. لطالما عانى متخصصو حماية البيانات من قضايا مثل تقليل البيانات، وتحديد الغرض، والموافقة الهادفة، حتى قبل دخول الذكاء الاصطناعي إلى الصورة. ما فعله الذكاء الاصطناعي هو تسريع وتضخيم تلك الفجوات القائمة، مما أجبر المؤسسات والمنظمين في المملكة المتحدة وأوروبا على مواجهتها بشكل أكثر إلحاحًا.
تأمل مبدأ تحديد الغرض، أي فكرة أن البيانات الشخصية يجب استخدامها فقط للسبب المحدد الذي جُمعت من أجله. غالبًا ما تعيد نماذج الذكاء الاصطناعي المدربة على مجموعات بيانات ضخمة استخدام المعلومات بطرق يصعب ربطها بغرض ضيق أصلي. تواجه متطلبات الشفافية ضغطًا مشابهًا: تتوقع اللائحة العامة لحماية البيانات من المؤسسات شرح كيفية معالجة البيانات الشخصية، لكن العديد من أنظمة الذكاء الاصطناعي تعمل كنماذج معقدة متعددة الطبقات قد يجد حتى مطوروها صعوبة في شرحها بالكامل لمنظم أو مستخدم فردي.
هذه ليست مجرد مشكلة نظرية. تُظهر المخاطر الأمنية المرتبطة ببنية الذكاء الاصطناعي السرعة التي يمكن أن تتحول بها هذه الفجوات إلى حوادث حقيقية. حملات الفدية التي تستغل ثغرات في منصات تنسيق الذكاء الاصطناعي، كما شوهد في هجمات فدية Encforge على خوادم الذكاء الاصطناعي القائمة على Langflow، تُظهر أن البنية التحتية التي تدعم أدوات الذكاء الاصطناعي يمكن أن تصبح بحد ذاتها نقطة فشل لحماية البيانات، وليس فقط الخوارزميات التي تعمل فوقها. عندما يخترق المهاجمون الأنظمة التي تعالج البيانات الشخصية لتطبيقات الذكاء الاصطناعي، تدخل التزامات الأمان الخاصة باللائحة العامة لحماية البيانات بموجب المادة 32 في تعارض مباشر مع الحقائق التشغيلية للنشر السريع للذكاء الاصطناعي.
تضيف خروقات البيانات التي تشمل الخدمات المرتبطة بالذكاء الاصطناعي طبقة أخرى إلى هذه الصورة. إضافة أكثر من 55 مليون حساب مرتبط بتسريب بيانات Suno إلى قاعدة بيانات Have I Been Pwned هو تذكير بأن منصات الذكاء الاصطناعي التي تتعامل مع بيانات المستخدمين تواجه نفس مخاطر الاختراق التي تواجهها أي خدمة عبر الإنترنت، ولكن مع تعقيد إضافي حول البيانات التي استُخدمت للتدريب مقابل إدارة الحسابات. وفي الوقت نفسه، تُظهر موجة الهجمات الموصوفة في تغطية اختراق Instagram وSpotify وخزائن كلمات المرور أنه حتى المنصات الراسخة التي لا تحتوي على مكونات ذكاء اصطناعي ثقيلة تكافح للحفاظ على أمان البيانات الشخصية، مما يؤكد أن تحديات اللائحة العامة لحماية البيانات ليست فريدة للذكاء الاصطناعي، بل هي ببساطة مضخّمة بسببه.
ماذا يعني هذا بالنسبة لك
بالنسبة للمستخدمين اليوميين في المملكة المتحدة والاتحاد الأوروبي، هذه التوترات التنظيمية ليست مجرد نقاشات سياساتية مجردة. إنها تؤثر على مدى الرؤية الفعلية التي لديك حول أين تذهب بياناتك بمجرد إدخالها في نظام ذكاء اصطناعي، سواء كان روبوت محادثة أو محرك توصيات أو تطبيقًا مدعومًا بالذكاء الاصطناعي تستخدمه يوميًا.
إذا لم تستطع شركة أن تشرح بوضوح البيانات التي يستخدمها نموذج الذكاء الاصطناعي أو سبب استخدامها، فهذه إشارة تستحق الانتباه. لا تزال اللائحة العامة لحماية البيانات تتطلب هذا الشرح تقنيًا، حتى لو لم يواكب التنفيذ بالكامل طريقة عمل أنظمة الذكاء الاصطناعي في الممارسة العملية. قراءة سياسات الخصوصية قبل اعتماد أدوات الذكاء الاصطناعي الجديدة، وفهم البيانات التي يجمعها التطبيق لأغراض التدريب، والحذر بشأن إدخال معلومات شخصية حساسة في روبوتات المحادثة المدعومة بالذكاء الاصطناعي، كلها خطوات عملية تقلل من تعرضك بينما يعمل المنظمون على هذه الأسئلة الهيكلية الأصعب.
المضي قدمًا تحت الضغط
لم يكن من المفترض أبدًا أن تكون اللائحة العامة لحماية البيانات ملاءمة مثالية لكل تقنية مستقبلية، والذكاء الاصطناعي يكشف بالضبط أماكن وجود تلك الفجوات. تأطير Security Think Tank مفيد هنا: هذه ليست قصة عن كسر الذكاء الاصطناعي لقانون حماية البيانات، بل هي قصة عن كشف الذكاء الاصطناعي لمشاكل كان متخصصو حماية البيانات يعرفون بالفعل أنها موجودة. كانت قيود تحديد الغرض والشفافية والموافقة الهادفة غير كاملة قبل وصول نماذج اللغة الكبيرة، والذكاء الاصطناعي جعل ببساطة أوجه القصور هذه أصعب في تجاهلها.
في الوقت الحالي، الرسالة العملية للأفراد هي البقاء منخرطين في كيفية استخدام بياناتك، وطرح الأسئلة عندما تبدو أدوات الذكاء الاصطناعي غامضة بشأن ممارساتها المتعلقة بالبيانات، ومعاملة أي خدمة تتعامل مع معلوماتك الشخصية، سواء كانت مدعومة بالذكاء الاصطناعي أم لا، بنفس المستوى من التدقيق. يعمل المنظمون في المملكة المتحدة والاتحاد الأوروبي بنشاط على تحديد كيفية تطبيق اللائحة العامة لحماية البيانات على الذكاء الاصطناعي، لكن حتى تظهر قواعد أوضح، يبقى الحذر المستنير أفضل حماية لك.
