اللائحة العامة لحماية البيانات والذكاء الاصطناعي: لائحة صُممت لعصر مختلف

عندما أصبحت اللائحة العامة لحماية البيانات (GDPR) قابلة للتنفيذ عبر المملكة المتحدة والاتحاد الأوروبي، لم يكن الذكاء الاصطناعي كما نعرفه اليوم موجودًا تقريبًا في أدوات الأعمال السائدة. وقد كُتبت اللائحة لتنظيم كيفية جمع المنظمات للبيانات الشخصية ومعالجتها وتخزينها، بمبادئ أساسية مثل تحديد الغرض وتقليل البيانات والحق في المحو. كانت تلك المبادئ منطقية في عالم من قواعد البيانات وتدفقات البيانات المحددة.

أما الذكاء الاصطناعي، وخاصة الأنظمة التوليدية وأنظمة التعلم الآلي، فلا يعمل بهذه الطريقة. إذ يتم تدريب النماذج على مجموعات ضخمة من البيانات قد تتضمن معلومات شخصية جُمعت عن طريق الكشط أو الترخيص أو من مصادر لا حصر لها. وبمجرد دمج تلك البيانات في أوزان النموذج، يصبح عزل معلومات شخص واحد أو تصحيحها أو حذفها أمرًا بالغ الصعوبة، وهو ما يفترض الحق في المحو في اللائحة العامة لحماية البيانات أنه ممكن. هذا التناقض بين كيفية تصميم القانون وكيفية عمل أنظمة الذكاء الاصطناعي فعليًا هو محور التحليل المستمر من مركز التفكير الأمني في Computer Weekly، الذي يدرس كيف تكافح معايير حماية البيانات في المملكة المتحدة وأوروبا لمواكبة النموذج الجديد الذي أدخله الذكاء الاصطناعي.

أين تظهر الشقوق

التوتر ليس نظريًا فحسب. بل يظهر بطرق عملية ويومية للمنظمات التي تحاول نشر الذكاء الاصطناعي بمسؤولية مع البقاء ممتثلة. فمبدأ تحديد الغرض، أي فكرة أن البيانات المجمعة لسبب واحد لا ينبغي إعادة استخدامها دون موافقة، يصبح غامضًا عندما يعيد موردو الذكاء الاصطناعي استخدام بيانات التدريب عبر منتجات متعددة أو يضبطون النماذج بدقة على بيانات جُمعت أصلًا لشيء مختلف تمامًا.

كما تتوتر متطلبات الشفافية تحت وطأة تعقيد الذكاء الاصطناعي. تتوقع اللائحة العامة لحماية البيانات أن تشرح المنظمات كيفية معالجة البيانات الشخصية وأن تقدم للأفراد معلومات ذات معنى حول اتخاذ القرارات الآلية التي تؤثر عليهم. لكن العديد من أنظمة الذكاء الاصطناعي، وخاصة النماذج اللغوية الكبيرة، تعمل كصناديق سوداء حتى لمطوريها. وغالبًا ما لا يكون شرح السبب الدقيق وراء إنتاج النموذج لمخرج معين، أو نقاط البيانات المحددة التي أثرت فيه، أمرًا يستطيع حتى المورد الإجابة عليه بالكامل. وكما ورد في مقالة ذات صلة من مركز التفكير في Computer Weekly حول كيف يضغط الذكاء الاصطناعي على القواعد الأساسية للائحة العامة لحماية البيانات، فإن هذه ليست حاشية تقنية ثانوية. بل تمس صميم ما صُممت اللائحة العامة لحماية البيانات لضمانه: أن يكون للأشخاص رؤية حقيقية وتحكم فعلي في بياناتهم الخاصة.

هذه الفجوات مهمة من منظور أمني بقدر ما هي مهمة من منظور الامتثال. فحماية البيانات والأمن السيبراني كانا دائمًا متشابكين، وعندما لا ينطبق الإطار القانوني المخصص لفرض النظافة الجيدة للبيانات بشكل واضح على كيفية تعامل أنظمة الذكاء الاصطناعي فعليًا مع المعلومات، قد تنتهي المنظمات بنقاط عمياء. فقد تُدمج بيانات حساسة في أدوات الذكاء الاصطناعي دون جرد واضح لمكان ذهابها أو من يمكنه الوصول إليها أو مدة بقائها، مما يخلق بالضبط نوع انتشار البيانات غير المُدار الذي تقضي فرق الأمن سنوات في محاولة القضاء عليه.

إعادة التفكير في الامتثال في عصر الذكاء الاصطناعي

يشير تحليل مركز التفكير الأمني إلى أن ترقيع اللائحة العامة لحماية البيانات بشكل مجزأ قد لا يكون كافيًا. وبدلًا من ذلك، تحتاج المنظمات والجهات التنظيمية على حد سواء إلى إعادة التفكير في شكل الامتثال عندما لا تكون البيانات جالسة في قاعدة بيانات ثابتة بل تتدفق عبر خطوط أنابيب التدريب وتحديثات النماذج ومنصات الذكاء الاصطناعي التابعة لجهات خارجية. وهذا يعني حوكمة بيانات أقوى قبل أن تصل المعلومات أصلًا إلى نظام ذكاء اصطناعي: معرفة البيانات الشخصية الموجودة، وتصنيف حساسيتها، وتحديد ما يتم إدخاله في أدوات الذكاء الاصطناعي في المقام الأول.

بالنسبة للجهات التنظيمية في المملكة المتحدة وأوروبا، يثير هذا أيضًا أسئلة حول الإنفاذ. تبقى مبادئ اللائحة العامة لحماية البيانات سليمة في جوهرها، لكن تطبيقها على الذكاء الاصطناعي يتطلب إرشادات تفسيرية جديدة، وربما قواعد جديدة، لمعالجة قضايا مثل مصدر بيانات التدريب، وإعادة تدريب النماذج بعد طلبات المحو، والمساءلة عندما يتقاسم موردو الذكاء الاصطناعي وعملاؤهم مسؤولية الامتثال.

ماذا يعني هذا لك

إذا كانت مؤسستك تستخدم أدوات ذكاء اصطناعي، سواء كان ذلك روبوت محادثة أو منصة تحليلات داخلية أو خدمة تابعة لجهة خارجية مبنية على نماذج لغوية كبيرة، فإن الامتثال للائحة العامة لحماية البيانات والذكاء الاصطناعي ليس شيئًا يمكنك افتراض أنه مُعالج تلقائيًا. حتى الشركات الأصغر التي تستخدم منتجات ذكاء اصطناعي جاهزة يمكن أن تتعرض للخطر إذا انتهت البيانات الشخصية إلى المعالجة بطرق لا تشرحها سياسة الخصوصية للمورد بوضوح.

أما بالنسبة للأفراد، فالخلاصة هي تذكير بأن البيانات المشاركة مع الخدمات المدعومة بالذكاء الاصطناعي قد لا تكون بنفس سهولة استرجاعها أو حذفها مثل البيانات المخزنة في حساب تقليدي. وبمجرد استخدام المعلومات لتدريب نموذج أو ضبطه بدقة، يصبح ممارسة حقوق مثل المحو أكثر تعقيدًا في الواقع مما يفترضه القانون.

خطوات عملية

قبل اعتماد أو الاستمرار في استخدام أدوات ذكاء اصطناعي تتعامل مع بيانات شخصية، فكر في هذه الخطوات:

  • اسأل الموردين مباشرة عما إذا كانت بياناتك تُستخدم لتدريب النماذج وما إذا كان يمكن إزالتها بالكامل لاحقًا.
  • ارسم خريطة لما تدفقه من بيانات شخصية إلى أي نظام ذكاء اصطناعي تستخدمه مؤسستك، بما في ذلك الأدوات التابعة لجهات خارجية.
  • راجع سياسات الخصوصية لمنتجات الذكاء الاصطناعي بنفس التدقيق الذي تطبقه على أي معالج بيانات آخر.
  • ابقَ على اطلاع بالإرشادات المتطورة، لأن قواعد الامتثال للائحة العامة لحماية البيانات والذكاء الاصطناعي من المرجح أن تظل متغيرة بينما تلحق الجهات التنظيمية بالركب.

الفجوة بين اللائحة العامة لحماية البيانات والذكاء الاصطناعي لن تختفي من تلقاء نفسها. وإلى أن يلحق التنظيم بالركب، فإن البقاء حذرًا ومطلعًا هو أفضل حماية متاحة للأفراد والمنظمات.