3 ปีข้างหน้าละเมิดข้อมูลส่วนตัวพุ่ง หลัง AI ฉลาดขึ้น คาดเดาแม่นยำกว่าเดิม
การ์ทเนอร์ (Gartner)
บริษัทวิจัยและให้คำปรึกษาด้านธุรกิจและเทคโนโลยี เปิดเผยว่า
ภายในปี 2572
เหตุการณ์ละเมิดความเป็นส่วนตัวส่วนใหญ่จะไม่ได้เกิดจากการรั่วไหลของข้อมูลส่วนบุคคลโดยตรง
หรือ Personally Identifiable Information (PII) แต่จะเกิดจากข้อสรุปที่ปัญญาประดิษฐ์
(AI) สร้างขึ้นจากการคาดเดาข้อมูลของบุคคล หรือ AI-Generated
Inferences
แนวโน้มดังกล่าวสะท้อนการเปลี่ยนแปลงของความเสี่ยงด้าน
Privacy
จากเดิมที่องค์กรให้ความสำคัญกับการป้องกัน “ข้อมูลดิบ”
ไม่ให้รั่วไหล ไปสู่การควบคุม “ข้อมูลเชิงลึก” ที่ AI สามารถสร้างขึ้นจากข้อมูลหลายแหล่ง
แม้ข้อมูลต้นทางจะไม่ได้มีข้อมูลส่วนบุคคลที่ละเอียดอ่อนปรากฏอยู่โดยตรงก็ตาม
จาก Data Exposure สู่ Insight Exposure
บาร์ต วิลเลมเซน (Bart
Willemsen) รองประธานฝ่ายนักวิเคราะห์ของ Gartner กล่าวว่า โลกกำลังเปลี่ยนจากการรั่วไหลของข้อมูล (Data Exposure) ไปสู่การรั่วไหลของข้อมูลเชิงลึก (Insight Exposure) เนื่องจาก AI สามารถสร้างข้อมูลเชิงลึกเกี่ยวกับบุคคลขึ้นมาใหม่
โดยไม่จำเป็นต้องเจาะระบบเพื่อขโมยข้อมูลส่วนบุคคลโดยตรง
ความก้าวหน้าของ Generative
AI (Gen AI) และ Machine Learning (ML) ทำให้ระบบสามารถวิเคราะห์ข้อมูลที่ดูเหมือนไม่มีความละเอียดอ่อน
ข้อมูลนิรนาม หรือข้อมูลที่ผ่านการรวบรวมมาแล้ว เพื่อนำไปคาดเดาคุณลักษณะของบุคคล
เช่น สภาวะสุขภาพ รูปแบบพฤติกรรม หรือข้อมูลส่วนบุคคลอื่น ๆ
ขณะเดียวกัน
การที่องค์กรพยายามลดการจัดเก็บข้อมูลส่วนบุคคลตามข้อกำหนดด้านกฎหมายและเพื่อลดต้นทุน
ไม่ได้หมายความว่าความเสี่ยงจะลดลง เพราะผู้โจมตีสามารถใช้ AI
วิเคราะห์ข้อมูลที่มีอยู่
เพื่ออนุมานข้อมูลใหม่เกี่ยวกับเป้าหมายได้
วิลเลมเซนระบุว่า
การโจมตีด้วยการคาดเดาข้อมูล หรือ Inference-Based
Attacks มีความอันตราย เนื่องจากสามารถหลบเลี่ยงกลไกตรวจจับแบบเดิมได้
โดยบุคคลอาจถูกเปิดเผยผ่าน “ข้อสรุปที่ AI สร้างขึ้น”
มากกว่าข้อมูลที่ถูกขโมยโดยตรง และความเสี่ยงดังกล่าวยังตรวจจับ อธิบาย
และบรรเทาผลกระทบได้ยาก
Data
Integrity กลายเป็นโจทย์ใหม่ด้าน Privacy
การเปลี่ยนแปลงดังกล่าวกำลังทำให้องค์กรต้องทบทวนกลยุทธ์ด้านความเป็นส่วนตัว
จากเดิมที่เน้นการรักษาความลับและป้องกันข้อมูลรั่วไหล
ไปสู่การกำกับดูแลวิธีที่ระบบ AI นำข้อมูลไปวิเคราะห์
ตีความ และสร้างข้อสรุปเกี่ยวกับบุคคล
การ์ทเนอร์ คาดว่า ภายในปี 2571
มูลค่าการใช้จ่ายเพื่อปกป้องความถูกต้องแม่นยำของข้อมูล หรือ Data
Integrity จะเพิ่มขึ้นจนอยู่ในระดับใกล้เคียงกับการลงทุนด้านการรักษาความลับของข้อมูล
หรือ Data Confidentiality
สาเหตุสำคัญมาจากความเสี่ยงของโปรไฟล์บุคคลที่
AI
สร้างขึ้น ซึ่งอาจมีความคลาดเคลื่อน มีอคติ
หรือเกิดขึ้นโดยไม่ได้รับอนุญาต และหากองค์กรนำข้อสรุปดังกล่าวไปใช้ในการตัดสินใจ
อาจสร้างผลกระทบต่อบุคคลและองค์กรในวงกว้าง
ดังนั้น ประเด็น Privacy
ในยุค AI จึงไม่ได้อยู่เพียงที่ว่า
“องค์กรเก็บข้อมูลอะไรไว้บ้าง” แต่กำลังขยับไปสู่คำถามว่า “AI สามารถอนุมานอะไรจากข้อมูลที่องค์กรมีอยู่ได้บ้าง”
CISO
ต้องยกระดับสู่ Inference Governance
การ์ทเนอร์ ระบุว่า
แนวโน้มดังกล่าวกำลังผลักดันให้ผู้บริหารด้านความปลอดภัยสารสนเทศ (CISO)
และผู้นำด้าน Privacy ต้องขยายขอบเขตการกำกับดูแลจากการคุ้มครองข้อมูลแบบเดิม
ไปสู่การกำกับดูแลการคาดเดาข้อมูล หรือ Inference Governance
องค์กรควรเริ่มจากการบูรณาการ AI
Governance เข้ากับโปรแกรมด้าน Privacy โดยนำแนวคิด
Privacy-by-Design มาใช้ตั้งแต่ขั้นตอนการพัฒนาและนำ AI
ไปใช้งาน พร้อมประเมินอัลกอริทึมอย่างสม่ำเสมอ เพื่อค้นหาความเสี่ยงจาก
Bias, Overfitting และการคาดเดาข้อมูลโดยไม่ได้ตั้งใจ
นอกจากนี้ ควรนำเทคโนโลยี Privacy-Enhancing
Technologies (PETs) เช่น Differential Privacy, Synthetic
Data และเทคนิค Machine Learning ที่คำนึงถึงความเป็นส่วนตัวมาใช้
เพื่อลดความเสี่ยงในการระบุตัวบุคคลซ้ำ
และจำกัดการเข้าถึงข้อมูลที่มีความละเอียดอ่อน
ลดข้อมูลตั้งต้น คุมวงจรชีวิต
ปิดช่องโจมตี AI
อีกแนวทางสำคัญคือการยกระดับ Data
Minimization โดยเก็บรวบรวมข้อมูลเฉพาะเท่าที่จำเป็นต่อการดำเนินธุรกิจ
พร้อมกำหนดสิทธิ์การเข้าถึงและระยะเวลาการเก็บรักษาอย่างชัดเจน
รวมถึงลบข้อมูลเมื่อพ้นระยะเวลาที่กำหนด
เพื่อลดปริมาณข้อมูลที่อาจถูกนำไปใช้สร้างข้อสรุปโดย AI
ด้านความมั่นคงปลอดภัยไซเบอร์
องค์กรจำเป็นต้องลงทุนในระบบเฝ้าระวังขั้นสูง การตรวจจับพฤติกรรมผิดปกติ
และการจำลองสถานการณ์ เพื่อรับมือภัยคุกคามที่ใช้ AI วิเคราะห์ข้อมูลและค้นหาความเชื่อมโยงทางอ้อม
ขณะเดียวกัน ต้องเพิ่มความโปร่งใสและ Human
Oversight ด้วยการกำหนดให้ชัดเจนว่าระบบ AI สามารถหรือไม่สามารถคาดเดาข้อมูลประเภทใดได้บ้าง
พร้อมมีมนุษย์ตรวจสอบและอนุมัติข้อสรุปที่ AI สร้างขึ้นก่อนนำไปใช้กับข้อมูลหรือการตัดสินใจที่มีความละเอียดอ่อน
การ์ทเนอร์ มองว่า องค์กรที่ยังมอง Privacy
เป็นเพียงเรื่องของการป้องกันข้อมูลรั่วไหล
จะเผชิญความเสี่ยงเพิ่มขึ้น
เพราะภัยคุกคามรูปแบบใหม่ไม่ได้จำเป็นต้องขโมยข้อมูลส่วนบุคคลโดยตรง แต่สามารถใช้ AI
“อนุมาน” สิ่งที่องค์กรหรือเจ้าของข้อมูลไม่เคยเปิดเผยไว้ได้
ทิศทางดังกล่าวทำให้ Privacy
ในยุค AI กำลังเปลี่ยนจากการควบคุม
“ข้อมูลที่มีอยู่” ไปสู่การควบคุม “สิ่งที่ AI สามารถสรุปได้จากข้อมูล”
ซึ่งจะกลายเป็นโจทย์สำคัญของ CISO และผู้บริหารองค์กรในช่วง
3 ปีข้างหน้า
ที่มา : ฐานเศรษฐกิจ
วันที่ 7 สิงหาคม 2569
