دليل ممارسة أمن بيانات تطبيقات الذكاء الاصطناعي والامتثال لها

تحديات الأمان والامتثال التي تواجهها تطبيقات الذكاء الاصطناعي

بينما تتمتع تطبيقات الذكاء الاصطناعي للمؤسسات بفوائد الذكاء، فإنها تواجه أيضًا ضغوطًا غير مسبوقة فيما يتعلق بأمن البيانات والامتثال. إذا تم استخدام بيانات خصوصية العميل للتدريب النموذجي، فقد ينتهك ذلك الخط الأحمر لقانون حماية المعلومات الشخصية؛ قد يؤدي قيام الموظفين بلصق أسرار العمل في أدوات الذكاء الاصطناعي العامة إلى حدوث تسريبات؛ إذا كان المحتوى الذي تم إنشاؤه يحتوي على معلومات غير قانونية، فيجب أن تتحمل الشركة المسؤولية الرئيسية. وتطرح “الإجراءات المؤقتة لإدارة خدمات الذكاء الاصطناعي التوليدي” التي سيتم تنفيذها في أغسطس 2023 متطلبات واضحة لتقييم الأمن وشرعية مصادر البيانات وتحديد محتوى خدمات الذكاء الاصطناعي.

بالنسبة لأصحاب الأعمال، لا يعد الامتثال للأمان أمرًا اختياريًا، ولكنه شريان حياة لتشغيل تطبيقات الذكاء الاصطناعي على المدى الطويل. بمجرد حدوث تسرب أو انتهاك للبيانات، لن تواجه غرامات فحسب، بل ستواجه أيضًا انهيار ثقة العلامة التجارية.

نظرة عامة سريعة على المتطلبات التنظيمية: نقاط الامتثال التي يجب على الشركات معرفتها

اللوائح/المعايير المتطلبات الأساسية التأثير على الذكاء الاصطناعي للمؤسسات التدابير المؤقتة لإدارة خدمات الذكاء الاصطناعي التوليدية مصادر البيانات القانونية وأمن المحتوى والتزامات التصنيف يلزم إجراء تقييم أمني لتوفير خدمات الذكاء الاصطناعي التوليدية من الخارج قانون حماية المعلومات الشخصية (PIPL) الحد الأدنى من الضرورة، والموافقة المستنيرة، وقيود الخروج تتطلب بيانات التدريب التي تحتوي على معلومات شخصية تصريح إزالة التحسس قانون أمن البيانات تصنيف البيانات وحماية البيانات المهمة يجب تقييم التدريب الأساسي على تخزين بيانات الأعمال حماية مستوى أمان الشبكة تسجيل تصنيف النظام والحماية الفنية يجب تضمين منصة الذكاء الاصطناعي في نطاق مستوى الحماية

يمكن العثور على النص الأصلي للوائح على الموقع الرسمي لإدارة الفضاء الإلكتروني في الصين.

نظام حماية تكنولوجيا أمن بيانات المؤسسات بالذكاء الاصطناعي

1. تصنيف البيانات

تقسيم البيانات إلى أربعة مستويات: عامة، وداخلية، وحساسة، وجوهرية، وتوضيح البيانات التي يمكن استخدامها للتدريب النموذجي والبيانات المحظورة تمامًا من الدخول إلى نظام الذكاء الاصطناعي. يُحظر تخزين البيانات الحساسة مثل أرقام هوية العميل وأرقام البطاقات المصرفية والسجلات الطبية في قاعدة البيانات بشكل افتراضي.

2. إزالة حساسية البيانات وتشفيرها

قبل التدريب، يتم إزالة الحساسية من المعلومات الشخصية (استبدال الاسم، وإخفاء الأرقام)؛ يتم تشفير النقل والتخزين بالكامل؛ يتم تمكين مصادقة الوصول في قاعدة بيانات المتجهات لمنع سحب قاعدة المعرفة من قاعدة البيانات بأكملها.

3. التحكم في الوصول والتدقيق

يرتبط نظام الذكاء الاصطناعي بمصادقة الهوية الموحدة (SSO) للمؤسسة للتحكم في الوظائف وأذونات البيانات حسب الدور؛ جميع الأسئلة والأجوبة والعمليات تترك آثارًا، مما يدعم تدقيق الامتثال وتتبع الأحداث.

4. تصفية أمان المحتوى

قم بإجراء تصفية مزدوجة الطبقة على مدخلات ومخرجات النموذج: يعترض جانب الإدخال الحقن الفوري الضار (الحقن الفوري)، ويقوم جانب الإخراج بتصفية المحتوى المتعلق بالسياسة، والمواد الإباحية، والعنف، ويدخل إلى واجهات برمجة تطبيقات أمان محتوى الطرف الثالث عند الضرورة.

النشر الخاص: القضاء على مخاطر التسرب من المستوى المعماري

بالنسبة للمؤسسات التي تتمتع بحساسية عالية للبيانات، فإن نشر النماذج الكبيرة هو الحل الأمني الأكثر شمولاً – فالبيانات لا تترك الشبكة الداخلية أثناء العملية بأكملها، ويمكن التحكم في أوزان النماذج بشكل مستقل. يمكنك الرجوع إلى الدليل العملي لنشر نماذج الخصخصة المحلية الكبيرة للتعرف على خطط التنفيذ المحددة. يمكن أن تؤدي الخصخصة جنبًا إلى جنب مع عزل الإنترانت وتدقيق مضيف الحصن إلى تلبية متطلبات الأمان المالية والحكومية.

طريقة من خمس خطوات لتنفيذ الامتثال للذكاء الاصطناعي

الخطوة الأولى: جرد أصول البيانات

قم بفرز جميع مصادر البيانات المشاركة في نظام الذكاء الاصطناعي، وحدد مستويات الحساسية ومتطلبات الامتثال، وقم بتكوين قائمة أصول البيانات.

الخطوة 2: تحليل فجوة الامتثال

تحقق من الحالة واحدة تلو الأخرى وفقًا للوائح المعمول بها، وحدد الثغرات (مثل عدم وجود ترخيص المستخدم، وعدم وجود آلية لتصفية المحتوى)، وقم بإخراج قائمة تصحيح.

الخطوة الثالثة: بناء الحماية الفنية

تنفيذ التدابير الفنية مثل إزالة التحسس، والتشفير، والتحكم في الوصول، وتصفية المحتوى، وخصخصة نشر تبديل المشهد الحساس.

الخطوة 4: دعم الأنظمة والعمليات

تطوير مواصفات استخدام الذكاء الاصطناعي (يُمنع الموظفون من لصق البيانات السرية على الذكاء الاصطناعي العام)، وإجراءات ترخيص البيانات، وخطط الاستجابة للطوارئ، والتدريب الكامل لجميع الموظفين.

الخطوة 5: تقديم التقييم والإشراف المستمر

بالنسبة للخدمات الخارجية، فإننا نكمل تقييمات الأمان وملفات الخوارزمية كما هو مطلوب، وننشئ آلية تدقيق ربع سنوية للامتثال، ونتتبع التعديلات الديناميكية على التحديثات التنظيمية.

حالات حقيقية

الحالة 1: نظام المساعدة في الاستشارات الطبية باستخدام الذكاء الاصطناعي

أكمل نظام استشارات الذكاء الاصطناعي التابع لمؤسسة طبية معينة تسجيل الفئة الثالثة في المراحل الأولى من البناء. تمت إزالة حساسية بيانات المريض قبل إدخال النموذج، وتم تسجيل الأسئلة والأجوبة طوال العملية. ولم تقع أي حوادث تتعلق بالسلامة خلال العامين الماضيين منذ ظهوره على الإنترنت، وقد نجح في اجتياز جولات متعددة من عمليات التفتيش التنظيمية.

الحالة 2: الذكاء الاصطناعي لمراجعة عقود شركة المحاماة

تتبنى شركة محاماة خطة نشر مخصخصة. تتم معالجة بيانات عقد العميل محليًا طوال العملية بأكملها. يحتوي النظام على تحكم مدمج في الوصول إلى معلومات الممارسة، الأمر الذي لا يحسن كفاءة المراجعة فحسب، بل يحافظ أيضًا على الحد الأدنى من التزامات السرية.

الأسئلة الشائعة

هل من غير القانوني للموظفين استخدام ChatGPT للتعامل مع العمل؟

إذا كان المحتوى الذي تم لصقه يحتوي على معلومات شخصية للعميل أو أسرار تجارية، فقد ينتهك PIPL واتفاقيات السرية. من المستحسن أن تقوم المؤسسات بنشر أدوات الذكاء الاصطناعي الداخلية ونشر مواصفات الاستخدام لإزالة العوائق.

هل يتطلب استخدام الذكاء الاصطناعي داخل المؤسسة التسجيل أيضًا؟

تقيد “التدابير المؤقتة للذكاء الاصطناعي التوليدي” بشكل أساسي “تقديم الخدمات للجمهور”. من حيث المبدأ، تسجيل الخوارزمية غير مطلوب للاستخدام الداخلي البحت، ولكن لا تزال لوائح أمن البيانات وحماية المعلومات الشخصية مطلوبة.

كيف يمكن إثبات أن مصدر بيانات تدريب الذكاء الاصطناعي شرعي؟

الاحتفاظ بسجلات ترخيص جمع البيانات، وعقود الشراء، واتفاقيات المصادر المفتوحة وغيرها من المستندات؛ عند استخدام مجموعات البيانات مفتوحة المصدر، يتعين عليك التحقق مما إذا كانت شروط الترخيص تسمح بالاستخدام التجاري.

من يملك حقوق الطبع والنشر للمحتوى الذي تم إنشاؤه؟

تميل الممارسات القضائية المحلية الحالية إلى ما يلي: يمكن حماية المحتوى الذي ينشئه الذكاء الاصطناعي والذي يشتمل على مدخلات فكرية بشرية كبيرة بموجب حقوق الطبع والنشر، وتعود الملكية إلى المستخدم أو الطرف المتفق عليه. يوصى باستشارة المستشار القانوني قبل الاستخدام التجاري.

ما الذي يجب على الشركات الصغيرة فعله إذا لم يكن لديها فريق امتثال مخصص؟

يمكنك اختيار مزود خدمة الذكاء الاصطناعي الذي يتمتع بمؤهلات الامتثال، والذي سيوفر حلاً شاملاً يلبي متطلبات حماية التصنيف وأمن البيانات. تحتاج المؤسسة فقط إلى دعم نظام الإدارة الأساسي.

{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[
{“@type”:”Question”,”name”:”员工用ChatGPT处理工作算违规吗？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”若粘贴的内容含عميل个人信息或商业机密，可قدرة违反PIPL和保密协议。建议مَشرُوعنشر内部AI工具并发布使用规范，疏堵结合。”}},
{“@type”:”Question”,”name”:”مَشرُوع内部使用AI也需要备案吗？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”生成式AI暂نعم办法主要约束向公众يرفع供يخدم。纯内部使用原则上无需算法备案，但仍需遵守数据安全与个人信息保护法规。”}},
{“@type”:”Question”,”name”:”AIيدرب数据如何证明来源合法？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”保留数据采集授权记录、采购合同、开源协议等凭证；使用开源数据集需核查其许可条款是否允许商用。”}},
{“@type”:”Question”,”name”:”生成内容版权归属谁？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”目前国内司法يمارس倾向于：有实质性人类智力投入的AI生成内容可受著作权保护，权属归使用者或约定方。建议商用前咨询法务。”}},
{“@type”:”Question”,”name”:”小مَشرُوع没有المتخصصة职合规فريق怎么办？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”可选择具备合规资质的AIيخدم商，由其يرفع供符合等保与数据安全要求的整体يخطط，مَشرُوع侧只需配套基础管理制度。”}}
]}

{“@context”:”https://schema.org”,”@type”:”HowTo”,”name”:”مَشرُوعAI合规落地五步法”,”description”:”从数据盘点到持续监督的مَشرُوعAI合规实施عملية。”,”totalTime”:”P60D”,”step”:[
{“@type”:”HowToStep”,”name”:”数据资产盘点”,”text”:”梳理AI系统所有数据源，标注敏感级别与合规要求。”},
{“@type”:”HowToStep”,”name”:”合规差距تحليل”,”text”:”对照法规逐条检查现状，识别差距项并输出整改清单。”},
{“@type”:”HowToStep”,”name”:”تكنولوجيا防护建设”,”text”:”落地脱敏、加密、访问控制、内容过滤，敏感مشهدالنشر الخاص。”},
{“@type”:”HowToStep”,”name”:”制度与عملية配套”,”text”:”制定AI使用规范、数据授权عملية、应急预案并ينهي培训。”},
{“@type”:”HowToStep”,”name”:”评估备案与持续监督”,”text”:”ينهي安全评估与算法备案，建立季度合规审计机制。”}
]}