حریم خصوصی در هوش مصنوعی: چرا «ما چیزی برای پنهان کردن نداریم» استدلال اشتباهی است

یکی از رایج‌ترین پاسخ‌هایی که مدیران به هشدار درباره‌ی ریسک داده در ابزارهای هوش مصنوعی می‌دهند این است: «ما کار خلاف قانونی نمی‌کنیم؛ چیزی برای پنهان کردن نداریم.» این جمله از یک سوءتفاهم می‌آید. ریسک حریم خصوصی ربطی به نیت شما ندارد؛ به کنترل ربط دارد. سؤال این نیست که آیا کار اشتباهی می‌کنید؛ سؤال این است که وقتی داده از سازمان خارج شد، چه کسی، کجا، تا کی و برای چه کاری می‌تواند از آن استفاده کند و آیا شما دیگر اختیاری روی آن دارید یا نه.

حریم خصوصی در هوش مصنوعی چه معنایی دارد؟

حریم خصوصی در بافت هوش مصنوعی یعنی افراد و سازمان‌ها بتوانند درباره‌ی جمع‌آوری، استفاده، نگهداری و افشای اطلاعات مربوط به خودشان کنترل داشته باشند. چارچوب NIST AI RMF «حفظ حریم خصوصی» را یکی از هفت ویژگی هوش مصنوعی قابل‌اعتماد می‌داند و اصول OECD آن را بخشی از احترام به حقوق بشر معرفی می‌کند.

هوش مصنوعی این مفهوم را از سه جهت پیچیده‌تر می‌کند.

۱. هوش مصنوعی از داده‌ی «بی‌ضرر» اطلاعات حساس استنتاج می‌کند

شاید فکر کنید متنی که وارد می‌کنید هیچ اطلاعات شخصی ندارد. اما مدل‌های زبانی در استنتاج بسیار قوی‌اند. پژوهشگران دانشگاه ETH زوریخ در مطالعه‌ای در ۲۰۲۳ نشان دادند مدل‌های زبانی بزرگ می‌توانند فقط از روی متن‌های معمولی که افراد در اینترنت نوشته‌اند — بدون اینکه اطلاعات شخصی صریحی در آن‌ها باشد — ویژگی‌هایی مثل محل زندگی، سن، جنسیت و درآمد را با دقتی بالا حدس بزنند؛ با هزینه و سرعتی بسیار بهتر از انسان.

برای سازمان این یعنی: یک صورت‌جلسه‌ی «بی‌نام»، یک ایمیل «عمومی» یا یک گزارش «بدون اطلاعات مشتری» ممکن است به‌همراه بافتارش، اطلاعاتی را فاش کند که انتظارش را نداشتید؛ درباره‌ی مشتریان، پروژه‌ها یا خود کارکنان.

۲. داده‌ای که فکر می‌کنید پاک شده، همیشه پاک نیست

• نگهداری به حکم دادگاه: در جریان دعوای نیویورک‌تایمز علیه OpenAI، دادگاه در ۲۰۲۵ این شرکت را موقتاً ملزم کرد حتی گفت‌وگوهایی را که کاربران حذف کرده بودند نگه دارد. این دستور در اکتبر ۲۰۲۵ برای داده‌های جدید لغو شد، اما داده‌هایی که در آن دوره نگه داشته شده بودند در دسترس ماند (Engadget). شما کنترلی بر دعاوی حقوقی ارائه‌دهنده‌ی ابزار ندارید.
• بازبینی انسانی: برخی سرویس‌ها صراحتاً اعلام می‌کنند ممکن است بخشی از گفت‌وگوها توسط بازبین‌های انسانی خوانده شود؛ از جمله صفحه‌ی حریم خصوصی Gemini که به کاربران توصیه می‌کند اطلاعات محرمانه‌ای که نمی‌خواهند بازبین ببیند، وارد نکنند.

۳. اشتراک‌گذاری ناخواسته و رخنه

• در ژوئیه و اوت ۲۰۲۵ مشخص شد هزاران گفت‌وگوی ChatGPT که کاربران با گزینه‌ی «قابل کشف بودن» به اشتراک گذاشته بودند، در نتایج جست‌وجوی گوگل ظاهر می‌شوند؛ برخی شامل نام، رزومه و اطلاعات کاری و شخصی حساس. OpenAI این قابلیت را «آزمایشی کوتاه‌مدت» خواند و آن را حذف کرد (Engadget). کاربران تیک یک گزینه را زده بودند، اما پیامدش را نمی‌دانستند.
• در ژانویه ۲۰۲۵ پژوهشگران Wiz یک پایگاه داده‌ی بدون محافظت متعلق به DeepSeek پیدا کردند که تاریخچه‌ی گفت‌وگوهای کاربران و اطلاعات فنی حساس را در دسترس عموم قرار داده بود.

در هیچ‌کدام از این موارد، کاربران «چیزی برای پنهان کردن» نداشتند. فقط داده‌شان جایی رفته بود که کنترلی روی آن نداشتند.

«چیزی برای پنهان کردن نداریم» در سطح سازمان چه معنایی دارد؟

حتی اگر سازمان شما هیچ راز حساسی نداشته باشد — که تقریباً هیچ سازمانی چنین نیست — این‌ها همچنان در معرض خطرند:

• اطلاعات مشتریان: شما امانت‌دار آن‌هایید، نه مالکشان. مشتری شاید چیزی برای پنهان کردن داشته باشد.
• تعهدات قراردادی: قراردادهای محرمانگی معمولاً انتقال اطلاعات به اشخاص ثالث را منع می‌کنند؛ ارائه‌دهنده‌ی ابزار هوش مصنوعی شخص ثالث است.
• اطلاعات کارکنان: حقوق، ارزیابی عملکرد، سوابق درمانی و مسائل شخصی.
• مزیت رقابتی: قیمت‌گذاری، فهرست مشتریان، برنامه‌ی محصول؛ اطلاعاتی که غیرقانونی نیست، اما ارزش دارد.
• داده‌ی تجمیعی: هر تکه‌ی کوچک بی‌ضرر است؛ کنار هم، تصویر کاملی از سازمان می‌سازند.

چطور کنترل را حفظ کنیم؟

1. داده را کمینه کنید: فقط همان مقداری را وارد کنید که برای کار لازم است. برای خلاصه‌ی یک قرارداد، معمولاً نام طرفین و مبالغ لازم نیست.
2. ناشناس‌سازی را عادت کنید: نام‌ها، شماره‌ها و مشخصات را پیش از وارد کردن جایگزین کنید.
3. حساب سازمانی به‌جای شخصی: شرایط نگهداری و استفاده از داده در حساب‌های سازمانی معمولاً بسیار سخت‌گیرانه‌تر است.
4. تنظیمات را بشناسید: گزینه‌هایی مثل استفاده از داده برای آموزش، تاریخچه‌ی گفت‌وگو و لینک‌های اشتراکی را آگاهانه تنظیم کنید.
5. اشتراک‌گذاری را محدود کنید: در سیاست سازمان صریحاً بگویید لینک عمومی گفت‌وگوهای کاری ساخته نشود.
6. طبقه‌بندی ساده‌ی داده: عمومی، داخلی، محرمانه؛ و قاعده‌ی روشن برای هرکدام.

این قواعد را می‌توانید مستقیماً در دستورالعمل استفاده از هوش مصنوعی بگنجانید. برای دیدن مسیرهای نشت داده‌ی سازمانی، مقاله‌ی امنیت اطلاعات در چت جی پی تی را ببینید.

جمع‌بندی

«چیزی برای پنهان کردن نداریم» فرض می‌کند خطر فقط برای کسانی است که کار خلاف می‌کنند. اما حریم خصوصی درباره‌ی حق تصمیم‌گیری درباره‌ی داده است، نه پنهان‌کاری. داده‌ای که از کنترل شما خارج شد، دیگر قابل پیگیری نیست؛ هر قدر هم که امروز بی‌ضرر به نظر برسد.