قبل از وارد کردن اطلاعات شرکت در ابزارهای هوش مصنوعی به چه نکاتی توجه کنیم؟
یکی از جذاب‌ترین کاربردهای هوش مصنوعی این است که یک فایل را در اختیار آن قرار دهیم و درباره محتویاتش سؤال کنیم.
قرارداد را بارگذاری کنیم و خلاصه بخواهیم.
فایل مالی را بدهیم و تحلیل دریافت کنیم.
گزارش کارکنان را ارسال کنیم و از مدل بخواهیم الگوهای آن را پیدا کند.
از نظر فنی این قابلیت بسیار مفید است، اما یک سؤال باید قبل از همه این کارها مطرح شود:
این اطلاعات دقیقاً در اختیار چه کسی قرار می‌گیرد و بعد از ارسال چه اتفاقی برای آن می‌افتد؟
همه اطلاعات شرکت ارزش یکسانی ندارند
اولین قدم این است که اطلاعات را یکسان نبینیم.
یک متن عمومی منتشرشده در سایت شرکت با فایل حقوق کارکنان یک سطح محرمانگی ندارد.
نمونه اطلاعات حساس می‌تواند شامل موارد زیر باشد:
- اطلاعات هویتی کارکنان؛
- شماره حساب و اطلاعات بانکی؛
- لیست حقوق و دستمزد؛
- قراردادهای محرمانه؛
- قیمت‌گذاری و حاشیه سود؛
- فهرست مشتریان؛
- اطلاعات پزشکی کارکنان؛
- رمزهای عبور؛
- API Key و Token؛
- اطلاعات زیرساخت فنی؛
- برنامه‌های تجاری منتشرنشده.
قبل از ارسال یک فایل، باید بدانیم در کدام گروه قرار می‌گیرد.
سیاست سرویس را بخوانید
تمام ابزارهای هوش مصنوعی سیاست یکسانی درباره داده ندارند.
باید مشخص شود:
- داده چه مدت نگهداری می‌شود؟
- آیا برای آموزش مدل استفاده می‌شود؟
- آیا امکان غیرفعال کردن این استفاده وجود دارد؟
- داده در کدام کشور یا زیرساخت پردازش می‌شود؟
- چه افرادی در سازمان ارائه‌دهنده ممکن است به آن دسترسی داشته باشند؟
- آیا نسخه سازمانی سرویس شرایط متفاوتی دارد؟
این موضوع را نباید بر اساس تصور یا شهرت برند حدس زد.
سیاست رسمی همان سرویس باید بررسی شود.
حداقل داده لازم را ارسال کنید
یکی از اصول ساده امنیت اطلاعات Data Minimization است.
اگر برای پاسخ به سؤال نیازی به نام مشتری وجود ندارد، نام را حذف کنید.
اگر فقط سه بند قرارداد اهمیت دارد، الزاماً کل قرارداد را ارسال نکنید.
اگر تحلیل به شماره ملی کارکنان نیاز ندارد، آن ستون را حذف کنید.
هرچه داده کمتری منتقل شود، سطح ریسک نیز پایین‌تر می‌آید.
اطلاعات را ناشناس کنید
در بسیاری از موارد می‌توان اطلاعات را قبل از ارسال تغییر داد.
مثلاً:
> شرکت الف با آقای ب قراردادی به مبلغ X منعقد کرده است.
به‌جای نام واقعی شرکت، شخص و مبلغ دقیق.
هدف این است که مدل اطلاعات لازم برای حل مسئله را داشته باشد، بدون اینکه هویت واقعی افراد یا جزئیات غیرضروری افشا شود.
رمز و کلید دسترسی را هیچ‌وقت برای تحلیل ارسال نکنید
گاهی کاربران برای حل مشکل فنی کل فایل تنظیمات را برای هوش مصنوعی ارسال می‌کنند.
ممکن است در فایل مواردی مانند:
- رمز پایگاه داده؛
- کلید API؛
- Token؛
- Credential سرویس ابری؛
- یا Secret برنامه
وجود داشته باشد.
اگر چنین اطلاعاتی سهواً در اختیار سرویس قرار گرفت، فقط حذف پیام کافی نیست.
باید احتمال افشای آن را در نظر گرفت و در صورت لزوم Credential مربوطه را تغییر داد.
سیاست داخلی شرکت داشته باشید
با عمومی شدن ابزارهای AI، ممنوع کردن کامل استفاده از آن‌ها در بسیاری از سازمان‌ها عملی نیست.
راه بهتر این است که مشخص شود:
- چه سرویس‌هایی مجاز هستند؛
- چه اطلاعاتی قابل ارسال است؛
- چه داده‌هایی نیاز به ناشناس‌سازی دارند؛
- چه اطلاعاتی مطلقاً نباید خارج شوند؛
- چه کسی مسئول تأیید ابزار جدید است.
حتی یک دستورالعمل یک‌صفحه‌ای بهتر از نبود سیاست مشخص است.
سرویس شخصی و سازمانی را یکسان فرض نکنید
ممکن است یک شرکت برای محصول سازمانی خود امکانات امنیتی و قراردادی متفاوتی نسبت به نسخه رایگان یا شخصی ارائه دهد.
برای استفاده جدی سازمانی باید دقیقاً همان طرحی را که قرار است استفاده شود بررسی کرد.
هوش مصنوعی محلی چه مزیتی دارد؟
در برخی کاربردهای بسیار حساس می‌توان مدل را روی زیرساخت خود سازمان اجرا کرد.
در این حالت داده الزاماً برای پردازش به سرویس خارجی ارسال نمی‌شود.
این معماری می‌تواند کنترل بیشتری روی:
- محل ذخیره داده؛
- ثبت لاگ؛
- دسترسی کاربران؛
- مدت نگهداری؛
- و ارتباط شبکه
ایجاد کند.
البته Local AI نیز به معنی امنیت خودکار نیست.
زیرساخت داخلی نامناسب می‌تواند به اندازه سرویس خارجی ناامن باشد.
سؤال قبل از Upload
قبل از ارسال هر سند به یک ابزار هوش مصنوعی، سه سؤال ساده بپرسید:
آیا واقعاً لازم است این اطلاعات را ارسال کنم؟
آیا می‌توانم بخش‌های حساس را حذف یا ناشناس کنم؟
آیا می‌دانم این سرویس با داده من چه می‌کند؟
استفاده از هوش مصنوعی می‌تواند بهره‌وری را افزایش دهد؛ اما سرعت نباید جای کنترل اطلاعات را بگیرد.