3 ปีข้างหน้าละเมิดข้อมูลส่วนตัวพุ่ง หลัง AI ฉลาดขึ้น คาดเดาแม่นยำกว่าเดิม

การ์ทเนอร์ (Gartner) บริษัทวิจัยและให้คำปรึกษาด้านธุรกิจและเทคโนโลยี เปิดเผยว่า ภายในปี 2572 เหตุการณ์ละเมิดความเป็นส่วนตัวส่วนใหญ่จะไม่ได้เกิดจากการรั่วไหลของข้อมูลส่วนบุคคลโดยตรง หรือ Personally Identifiable Information (PII) แต่จะเกิดจากข้อสรุปที่ปัญญาประดิษฐ์ (AI) สร้างขึ้นจากการคาดเดาข้อมูลของบุคคล หรือ AI-Generated Inferences

แนวโน้มดังกล่าวสะท้อนการเปลี่ยนแปลงของความเสี่ยงด้าน Privacy จากเดิมที่องค์กรให้ความสำคัญกับการป้องกัน “ข้อมูลดิบ” ไม่ให้รั่วไหล ไปสู่การควบคุม “ข้อมูลเชิงลึก” ที่ AI สามารถสร้างขึ้นจากข้อมูลหลายแหล่ง แม้ข้อมูลต้นทางจะไม่ได้มีข้อมูลส่วนบุคคลที่ละเอียดอ่อนปรากฏอยู่โดยตรงก็ตาม

จาก Data Exposure สู่ Insight Exposure

บาร์ต วิลเลมเซน (Bart Willemsen) รองประธานฝ่ายนักวิเคราะห์ของ Gartner กล่าวว่า โลกกำลังเปลี่ยนจากการรั่วไหลของข้อมูล (Data Exposure) ไปสู่การรั่วไหลของข้อมูลเชิงลึก (Insight Exposure) เนื่องจาก AI สามารถสร้างข้อมูลเชิงลึกเกี่ยวกับบุคคลขึ้นมาใหม่ โดยไม่จำเป็นต้องเจาะระบบเพื่อขโมยข้อมูลส่วนบุคคลโดยตรง

ความก้าวหน้าของ Generative AI (Gen AI) และ Machine Learning (ML) ทำให้ระบบสามารถวิเคราะห์ข้อมูลที่ดูเหมือนไม่มีความละเอียดอ่อน ข้อมูลนิรนาม หรือข้อมูลที่ผ่านการรวบรวมมาแล้ว เพื่อนำไปคาดเดาคุณลักษณะของบุคคล เช่น สภาวะสุขภาพ รูปแบบพฤติกรรม หรือข้อมูลส่วนบุคคลอื่น ๆ

ขณะเดียวกัน การที่องค์กรพยายามลดการจัดเก็บข้อมูลส่วนบุคคลตามข้อกำหนดด้านกฎหมายและเพื่อลดต้นทุน ไม่ได้หมายความว่าความเสี่ยงจะลดลง เพราะผู้โจมตีสามารถใช้ AI วิเคราะห์ข้อมูลที่มีอยู่ เพื่ออนุมานข้อมูลใหม่เกี่ยวกับเป้าหมายได้

วิลเลมเซนระบุว่า การโจมตีด้วยการคาดเดาข้อมูล หรือ Inference-Based Attacks มีความอันตราย เนื่องจากสามารถหลบเลี่ยงกลไกตรวจจับแบบเดิมได้ โดยบุคคลอาจถูกเปิดเผยผ่าน “ข้อสรุปที่ AI สร้างขึ้น” มากกว่าข้อมูลที่ถูกขโมยโดยตรง และความเสี่ยงดังกล่าวยังตรวจจับ อธิบาย และบรรเทาผลกระทบได้ยาก

Data Integrity กลายเป็นโจทย์ใหม่ด้าน Privacy

การเปลี่ยนแปลงดังกล่าวกำลังทำให้องค์กรต้องทบทวนกลยุทธ์ด้านความเป็นส่วนตัว จากเดิมที่เน้นการรักษาความลับและป้องกันข้อมูลรั่วไหล ไปสู่การกำกับดูแลวิธีที่ระบบ AI นำข้อมูลไปวิเคราะห์ ตีความ และสร้างข้อสรุปเกี่ยวกับบุคคล

การ์ทเนอร์ คาดว่า ภายในปี 2571 มูลค่าการใช้จ่ายเพื่อปกป้องความถูกต้องแม่นยำของข้อมูล หรือ Data Integrity จะเพิ่มขึ้นจนอยู่ในระดับใกล้เคียงกับการลงทุนด้านการรักษาความลับของข้อมูล หรือ Data Confidentiality

สาเหตุสำคัญมาจากความเสี่ยงของโปรไฟล์บุคคลที่ AI สร้างขึ้น ซึ่งอาจมีความคลาดเคลื่อน มีอคติ หรือเกิดขึ้นโดยไม่ได้รับอนุญาต และหากองค์กรนำข้อสรุปดังกล่าวไปใช้ในการตัดสินใจ อาจสร้างผลกระทบต่อบุคคลและองค์กรในวงกว้าง

ดังนั้น ประเด็น Privacy ในยุค AI จึงไม่ได้อยู่เพียงที่ว่า “องค์กรเก็บข้อมูลอะไรไว้บ้าง” แต่กำลังขยับไปสู่คำถามว่า “AI สามารถอนุมานอะไรจากข้อมูลที่องค์กรมีอยู่ได้บ้าง”

CISO ต้องยกระดับสู่ Inference Governance

การ์ทเนอร์ ระบุว่า แนวโน้มดังกล่าวกำลังผลักดันให้ผู้บริหารด้านความปลอดภัยสารสนเทศ (CISO) และผู้นำด้าน Privacy ต้องขยายขอบเขตการกำกับดูแลจากการคุ้มครองข้อมูลแบบเดิม ไปสู่การกำกับดูแลการคาดเดาข้อมูล หรือ Inference Governance

องค์กรควรเริ่มจากการบูรณาการ AI Governance เข้ากับโปรแกรมด้าน Privacy โดยนำแนวคิด Privacy-by-Design มาใช้ตั้งแต่ขั้นตอนการพัฒนาและนำ AI ไปใช้งาน พร้อมประเมินอัลกอริทึมอย่างสม่ำเสมอ เพื่อค้นหาความเสี่ยงจาก Bias, Overfitting และการคาดเดาข้อมูลโดยไม่ได้ตั้งใจ

นอกจากนี้ ควรนำเทคโนโลยี Privacy-Enhancing Technologies (PETs) เช่น Differential Privacy, Synthetic Data และเทคนิค Machine Learning ที่คำนึงถึงความเป็นส่วนตัวมาใช้ เพื่อลดความเสี่ยงในการระบุตัวบุคคลซ้ำ และจำกัดการเข้าถึงข้อมูลที่มีความละเอียดอ่อน

ลดข้อมูลตั้งต้น คุมวงจรชีวิต ปิดช่องโจมตี AI

อีกแนวทางสำคัญคือการยกระดับ Data Minimization โดยเก็บรวบรวมข้อมูลเฉพาะเท่าที่จำเป็นต่อการดำเนินธุรกิจ พร้อมกำหนดสิทธิ์การเข้าถึงและระยะเวลาการเก็บรักษาอย่างชัดเจน รวมถึงลบข้อมูลเมื่อพ้นระยะเวลาที่กำหนด เพื่อลดปริมาณข้อมูลที่อาจถูกนำไปใช้สร้างข้อสรุปโดย AI

ด้านความมั่นคงปลอดภัยไซเบอร์ องค์กรจำเป็นต้องลงทุนในระบบเฝ้าระวังขั้นสูง การตรวจจับพฤติกรรมผิดปกติ และการจำลองสถานการณ์ เพื่อรับมือภัยคุกคามที่ใช้ AI วิเคราะห์ข้อมูลและค้นหาความเชื่อมโยงทางอ้อม

ขณะเดียวกัน ต้องเพิ่มความโปร่งใสและ Human Oversight ด้วยการกำหนดให้ชัดเจนว่าระบบ AI สามารถหรือไม่สามารถคาดเดาข้อมูลประเภทใดได้บ้าง พร้อมมีมนุษย์ตรวจสอบและอนุมัติข้อสรุปที่ AI สร้างขึ้นก่อนนำไปใช้กับข้อมูลหรือการตัดสินใจที่มีความละเอียดอ่อน

การ์ทเนอร์ มองว่า องค์กรที่ยังมอง Privacy เป็นเพียงเรื่องของการป้องกันข้อมูลรั่วไหล จะเผชิญความเสี่ยงเพิ่มขึ้น เพราะภัยคุกคามรูปแบบใหม่ไม่ได้จำเป็นต้องขโมยข้อมูลส่วนบุคคลโดยตรง แต่สามารถใช้ AI “อนุมาน” สิ่งที่องค์กรหรือเจ้าของข้อมูลไม่เคยเปิดเผยไว้ได้

ทิศทางดังกล่าวทำให้ Privacy ในยุค AI กำลังเปลี่ยนจากการควบคุม “ข้อมูลที่มีอยู่” ไปสู่การควบคุม “สิ่งที่ AI สามารถสรุปได้จากข้อมูล” ซึ่งจะกลายเป็นโจทย์สำคัญของ CISO และผู้บริหารองค์กรในช่วง 3 ปีข้างหน้า