การ์ทเนอร์คาด ภายในปี 2572 เหตุละเมิดความเป็นส่วนตัวส่วนใหญ่จะมาจากข้อสรุปที่ AI คาดเดาเกี่ยวกับบุคคล บีบ CISO ยกระดับจาก Data Protection สู่ ‘Inference Governance’
KEY POINTS
- การ์ทเนอร์เตือนว่าความเสี่ยงด้านความเป็นส่วนตัวกำลังเปลี่ยนจากการรั่วไหลของข้อมูลโดยตรง ไปสู่การที่ AI สามารถวิเคราะห์และคาดเดาข้อมูลส่วนบุคคลที่ละเอียดอ่อนจากข้อมูลทั่วไปได้
- เทคโนโลยี AI และ Machine Learning สามารถดึงข้อมูลที่ละเอียดอ่อน เช่น สภาวะสุขภาพหรือพฤติกรรม ออกจากข้อมูลที่ดูเหมือนไม่มีอันตรายหรือข้อมูลนิรนาม
- การโจมตีรูปแบบใหม่สามารถหลบเลี่ยงกลไกการตรวจจับแบบเดิมได้ ทำให้องค์กรต้องทบทวนกลยุทธ์ด้านความเป็นส่วนตัว
- แนวทางรับมือความเสี่ยงคือการบูรณาการ AI Governance, ใช้เทคโนโลยีเสริมความเป็นส่วนตัว, จำกัดการเก็บข้อมูลที่ไม่จำเป็น, เสริมความปลอดภัยไซเบอร์ และเพิ่มความโปร่งใสโดยมีมนุษย์กำกับดูแลการคาดเดาของ AI
ความเสี่ยงด้านความเป็นส่วนตัวกำลังเปลี่ยนรูปแบบ เมื่อข้อมูลส่วนบุคคลไม่จำเป็นต้องรั่วไหลโดยตรง แต่ AI สามารถนำข้อมูลทั่วไปมาวิเคราะห์และคาดเดาเรื่องละเอียดอ่อนของบุคคลได้
การ์ทเนอร์ เผยว่า ภายในปี 2572 เหตุการณ์ละเมิดความเป็นส่วนตัวส่วนใหญ่จะไม่ได้เกิดจากการรั่วไหลของข้อมูลส่วนบุคคลโดยตรง (Personally Identifiable Information หรือ PII) แต่จะเกิดจากข้อสรุปที่ AI สร้างขึ้นจากการคาดเดาข้อมูลของบุคคล
บาร์ต วิลเลมเซน รองประธานฝ่ายนักวิเคราะห์ของการ์ทเนอร์ กล่าวว่า ขณะนี้องค์กรกำลังอยู่ในช่วงการเปลี่ยนแปลงจากการรั่วไหลของข้อมูล (Data Exposure) ไปสู่การรั่วไหลของข้อมูลเชิงลึก (Insight Exposure)
ในอดีตองค์กรให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคลดิบ แต่ปัจจุบัน AI สามารถสร้างข้อมูลเชิงลึกส่วนบุคคลในระดับที่ละเอียดขึ้นมาใหม่ได้ โดยไม่จำเป็นต้องฝ่าระบบควบคุมข้อมูลแบบเดิม
ความเสี่ยงด้านความเป็นส่วนตัวกำลังเกิดเพิ่มขึ้นเรื่อย ๆ จากสิ่งที่อัลกอริทึม AI คาดเดาเกี่ยวกับตัวบุคคล มากกว่าข้อมูลที่รั่วไหลออกไปโดยตรง
ขณะเดียวกัน องค์กรกำลังลดปริมาณการจัดเก็บข้อมูลส่วนบุคคลจากข้อบังคับทางกฎหมายและแรงกดดันด้านต้นทุน แต่การที่ผู้โจมตีสามารถเข้าถึง AI ได้ ทำให้เกิดการโจมตีโดยใช้เทคนิคการคาดเดาข้อมูล หรือ Inference-Based Attacks
ความก้าวหน้าของ GenAI และ Machine Learning (ML) ยังทำให้สามารถดึงคุณลักษณะที่ละเอียดอ่อน เช่น สภาวะสุขภาพหรือรูปแบบพฤติกรรม ออกจากข้อมูลที่ดูเหมือนไม่มีอันตราย ข้อมูลนิรนาม หรือข้อมูลที่ถูกรวบรวมไว้ได้
กับดักใหม่จาก AI Inference
การ์ทเนอร์ระบุว่า การโจมตีด้วยการคาดเดาข้อมูลของ AI มีความเสี่ยงเป็นพิเศษ เนื่องจากสามารถเล็ดลอดกลไกการตรวจจับแบบเดิมได้ บุคคลอาจถูกเปิดเผยข้อมูลผ่านข้อสรุปที่ AI สร้างขึ้น มากกว่าผ่านบันทึกข้อมูลที่รั่วไหลโดยตรง
ความเสี่ยงดังกล่าวยังส่งผลต่อความถูกต้องของข้อมูล (Data Integrity) และทำให้การตรวจจับ อธิบาย รวมถึงการบรรเทาผลกระทบทำได้ยากขึ้น
การเปลี่ยนแปลงนี้ทำให้องค์กรต้องทบทวนกลยุทธ์ด้านความเป็นส่วนตัว โดยนอกเหนือจากการคุ้มครองข้อมูลส่วนบุคคลแล้ว ผู้นำด้านความปลอดภัยยังต้องกำกับดูแลวิธีที่ระบบ AI ใช้สร้างและประมวลผลข้อมูลเชิงลึกเกี่ยวกับบุคคล
การ์ทเนอร์คาดว่า ภายในปี 2571 มูลค่าการใช้จ่ายเพื่อปกป้องความถูกต้องแม่นยำของข้อมูล หรือ Data Integrity จะเพิ่มขึ้นจนอยู่ในระดับเทียบเท่ากับการลงทุนด้านการรักษาความลับของข้อมูล หรือ Data Confidentiality เนื่องจากองค์กรต้องรับมือกับความเสี่ยงจากโปรไฟล์บุคคลที่สร้างโดย AI ซึ่งอาจไม่แม่นยำ มีอคติ หรือไม่ได้รับอนุญาต
องค์กรที่ยังมองเรื่องความเป็นส่วนตัวเป็นเพียงเรื่องที่ท้าทายต่อการคุ้มครองข้อมูลแต่เพียงอย่างเดียว จะยิ่งสุ่มเสี่ยงต่อเหตุการณ์ละเมิดความเป็นส่วนตัวที่เกิดจากการคาดเดาของ AI มากขึ้นเรื่อย ๆ โดยยุคถัดไปของความเสี่ยงด้าน Privacy อยู่ที่วิธีที่ AI ตีความข้อมูล ไม่ใช่แค่เพียงวิธีที่องค์กรจัดเก็บข้อมูลอีกต่อไป
5 แนวทางรับมือความเสี่ยง
เพื่อรับมือกับความเสี่ยงด้านความเป็นส่วนตัวจากการคาดเดาข้อมูลที่เพิ่มขึ้น การ์ทเนอร์แนะนำให้ผู้บริหาร CISO และผู้นำด้านความเป็นส่วนตัวดำเนินการใน 5 ด้าน
- ฝัง AI Governance ในโปรแกรมความเป็นส่วนตัว บูรณาการหลักการคุ้มครองความเป็นส่วนตัวตั้งแต่การออกแบบ (Privacy-by-Design) เข้ากับกระบวนการพัฒนาและปรับใช้ AI รวมถึงประเมินอัลกอริทึมอย่างสม่ำเสมอ เพื่อค้นหาการประมวลผลที่มีอคติ (Bias) การโอเวอร์ฟิตติ้ง (Overfitting) ซึ่งเกิดเมื่ออัลกอริทึมปรับตัวเข้ากับข้อมูลฝึกฝนมากเกินไป รวมถึงความเสี่ยงจากการคาดเดาข้อมูลโดยไม่ได้ตั้งใจ
- ใช้เทคโนโลยี Privacy-Enhancing Technologies หรือ PETs ปรับใช้เทคโนโลยี เช่น Differential Privacy, Synthetic Data และ Machine Learning ที่คำนึงถึงความเป็นส่วนตัว เพื่อประมวลผลข้อมูลในสถานะที่ได้รับการปกป้อง และลดความเสี่ยงจากการถูกระบุตัวตนซ้ำ (Re-identification)
- ยกระดับ Data Minimization และการควบคุมวงจรชีวิตข้อมูล จำกัดการเก็บรวบรวมข้อมูลให้เหลือเฉพาะข้อมูลที่จำเป็นต่อธุรกิจ พร้อมควบคุมการเข้าถึงอย่างเข้มงวดและลบข้อมูลตามกำหนดเวลา เพื่อลดปริมาณข้อมูลที่อาจถูกนำไปใช้ในการโจมตีแบบคาดเดา
- เสริมความปลอดภัยไซเบอร์รับภัยคุกคามที่ขับเคลื่อนด้วย AI ลงทุนในระบบเฝ้าระวังขั้นสูง ระบบตรวจจับสิ่งผิดปกติ และความสามารถในการจำลองสถานการณ์ เพื่อระบุรูปแบบการฉวยโอกาสทางอ้อมและภัยคุกคามที่เกิดจากการคาดเดาข้อมูลของ AI
- เพิ่มความโปร่งใสและ Human Oversight กำหนดขอบเขตอย่างชัดเจนว่า ระบบ AI “ควร” หรือ “ไม่ควร” คาดเดาข้อมูลในส่วนใด พร้อมตรวจสอบอย่างสม่ำเสมอ และกำหนดให้มีมนุษย์ตรวจสอบและอนุมัติ (Human in the loop) ข้อสรุปที่เกิดจากการคาดเดาของ AI ก่อนนำไปดำเนินการกับข้อมูลที่มีความละเอียดอ่อน
