Gartner คาดภายในปี 2572 เหตุละเมิด Privacy ส่วนใหญ่จะเกิดจาก AI-Generated Inferences พร้อมแนะ CISO เพิ่ม Inference Governance และ AI Governance
การ์ทเนอร์ อิงก์ บริษัทให้คำปรึกษาและวิจัยข้อมูลเชิงลึกด้านธุรกิจและเทคโนโลยี เผยว่า ภายในปี พ.ศ. 2572 เหตุการณ์ละเมิดความเป็นส่วนตัวส่วนใหญ่จะไม่ได้เกิดจากการรั่วไหลของข้อมูลส่วนบุคคลโดยตรง (Personally Identifiable Information หรือ PII) แต่จะเกิดจากข้อสรุปที่ AI สร้างขึ้นจากการคาดเดาข้อมูลของบุคคล
บาร์ต วิลเลมเซน (Bart Willemsen) รองประธานฝ่ายนักวิเคราะห์ของการ์ทเนอร์ กล่าวว่า “เรากำลังอยู่ในช่วงการเปลี่ยนแปลงครั้งสำคัญ จากการรั่วไหลของข้อมูล (Data Exposure) ไปสู่การรั่วไหลของข้อมูลเชิงลึก (Insight Exposure) ในอดีตองค์กรต่างมุ่งเน้นไปที่การคุ้มครองข้อมูลส่วนบุคคลดิบ แต่ปัจจุบัน AI สามารถสร้างข้อมูลเชิงลึกส่วนบุคคลระดับลึกขึ้นมาใหม่ได้ โดยไม่จำเป็นต้องฝ่าระบบควบคุมข้อมูลแบบเดิมเลย ความเสี่ยงด้านความเป็นส่วนตัวกำลังเกิดเพิ่มขึ้นเรื่อย ๆ จากสิ่งที่อัลกอริทึม AI ‘คาดเดา’ เกี่ยวกับตัวบุคคล มากกว่าข้อมูลที่รั่วไหลออกไปโดยตรง”
ขณะที่องค์กรกำลังลดปริมาณการจัดเก็บข้อมูลส่วนบุคคลลงเนื่องจากข้อบังคับทางกฎหมายและแรงกดดันด้านต้นทุน การที่ผู้โจมตีสามารถเข้าถึง AI ได้ในปัจจุบัน ทำให้สามารถโจมตีโดยใช้เทคนิคการคาดเดาข้อมูล หรือ Inference-Based Attacks ได้ ความก้าวหน้าของ GenAI และ Machine Learning (ML) ช่วยให้สามารถดึงคุณลักษณะที่ละเอียดอ่อน เช่น สภาวะสุขภาพ หรือรูปแบบพฤติกรรม ออกมาจากข้อมูลที่ดูเหมือนไม่มีอันตราย ข้อมูลนิรนาม หรือเป็นข้อมูลที่รวบรวมไว้
ความเสี่ยงจากการคาดเดาข้อมูลกำลังเป็นตัวกำหนดกลยุทธ์ด้านความเป็นส่วนตัว
“การโจมตีด้วยการคาดเดาข้อมูลของ AI นั้นมีความอันตรายเป็นพิเศษ เพราะมักจะเล็ดลอดกลไกการตรวจจับแบบเดิมไปได้ บุคคลอาจถูกเปิดเผยข้อมูลผ่านข้อสรุปที่ AI สร้างขึ้น มากกว่าบันทึกข้อมูลที่รั่วไหล ซึ่งสร้างความเสี่ยงด้านความเป็นส่วนตัวที่บ่อนทำลายความแม่นยำของข้อมูล (Data Integrity) ทั้งยังยากต่อการตรวจจับ อธิบาย และบรรเทาผลกระทบ” วิลเลมเซน กล่าว
การเปลี่ยนแปลงนี้กำลังบีบให้องค์กรต้องทบทวนกลยุทธ์ด้านความเป็นส่วนตัวใหม่ นอกเหนือจากการคุ้มครองข้อมูลส่วนบุคคลแล้ว ผู้นำด้านความปลอดภัยจะต้องกำกับดูแลวิธีที่ระบบ AI ใช้ในการสร้าง และดำเนินการกับข้อมูลเชิงลึกเกี่ยวกับตัวบุคคลด้วย
การ์ทเนอร์คาดว่า ภายในปี พ.ศ. 2571 มูลค่าการใช้จ่ายเพื่อปกป้องความถูกต้องแม่นยำข้อมูล หรือ Data Integrity จะพุ่งขึ้นมาเท่ากับการลงทุนด้านการรักษาความลับของข้อมูล หรือ Data Confidentiality เนื่องจากองค์กรต้องรับมือกับความเสี่ยงจากโปรไฟล์บุคคลที่สร้างโดย AI ซึ่งไม่แม่นยำ มีอคติ หรือไม่ได้รับอนุญาต
“องค์กรที่ยังมองเรื่องความเป็นส่วนตัวเป็นเพียงเรื่องที่ท้าทายต่อการคุ้มครองข้อมูลแต่เพียงอย่างเดียว จะยิ่งสุ่มเสี่ยงต่อเหตุการณ์ละเมิดความเป็นส่วนตัวที่เกิดจากการคาดเดาของ AI มากขึ้นเรื่อย ๆ โดยยุคถัดไปของความเสี่ยงด้าน Privacy อยู่ที่วิธีที่ AI ตีความข้อมูล ไม่ใช่แค่เพียงวิธีที่องค์กรจัดเก็บข้อมูลอีกต่อไป” วิลเลมเซน กล่าว
เตรียมความพร้อมโปรแกรมความเป็นส่วนตัว รับมือความเสี่ยงจากการคาดเดาข้อมูล AI
เพื่อรับมือกับความเสี่ยงด้านความเป็นส่วนตัวจากการคาดเดาข้อมูลที่กำลังเพิ่มมากขึ้น การ์ทเนอร์แนะนำให้ผู้บริหาร CISO และผู้นำด้านความเป็นส่วนตัวดำเนินการ ดังนี้:
- ฝัง AI Governance ไว้ในโปรแกรมความเป็นส่วนตัว: บูรณาการหลักการคุ้มครองความเป็นส่วนตัวตั้งแต่การออกแบบ (Privacy-by-Design) เข้าไปในกระบวนการพัฒนาและปรับใช้ AI รวมถึงประเมินอัลกอริทึมอย่างสม่ำเสมอเพื่อหาการประมวลผลที่อคติ (Bias), การโอเวอร์ฟิตติ้ง (Overfitting) เมื่ออัลกอริทึมปรับตัวให้เข้ากับข้อมูลฝึกฝนมากเกินไป และความเสี่ยงจากการคาดเดาข้อมูลโดยไม่ได้ตั้งใจ
- นำเทคโนโลยี Privacy-Enhancing Technologies – PETs มาใช้: ปรับใช้เทคโนโลยี เช่น Differential Privacy, Synthetic Data และ Machine Learning ที่คำนึงถึงความเป็นส่วนตัว สำหรับประมวลผลข้อมูลในสถานะที่ได้รับการคุ้มครอง และลดความเสี่ยงในการถูกระบุตัวตนซ้ำ (Re-identification)
- เสริมความแข็งแกร่งการเก็บข้อมูลเท่าที่จำเป็น (Data Minimization) และการควบคุมวงจรชีวิตข้อมูล: จำกัดการเก็บรวบรวมข้อมูลให้เหลือเพียงสิ่งที่จำเป็นต่อธุรกิจจริง ๆ เท่านั้นพร้อมควบคุมการเข้าถึงอย่างเข้มงวดและลบข้อมูลตามกำหนดเวลา เพื่อลดปริมาณข้อมูลที่อาจนำไปใช้โจมตีแบบคาดเดาได้
- ยกระดับความปลอดภัยไซเบอร์สำหรับภัยคุกคามที่ขับเคลื่อนด้วย AI: ลงทุนในระบบเฝ้าระวังขั้นสูง ระบบตรวจจับสิ่งผิดปกติ และความสามารถในการวางแผนจำลองสถานการณ์ ที่ออกแบบมาเพื่อระบุรูปแบบการฉวยโอกาสทางอ้อมและภัยคุกคามจากการคาดเดาข้อมูล AI
- ส่งเสริมความโปร่งใสและการกำกับดูแลโดยมนุษย์ (Human Oversight): กำหนดขอบเขตการตีความในเอกสารให้ชัดเจนว่าระบบ AI “ควร” หรือ “ไม่ควร” คาดเดาข้อมูลในส่วนใด จัดให้มีการตรวจสอบอย่างสม่ำเสมอ และกำหนดให้มีมนุษย์คอยตรวจเช็คและอนุมัติ (Human in the loop) ในข้อสรุปจากการคาดเดาของ AI ก่อนที่จะดำเนินการใด ๆ กับข้อมูลที่ละเอียดอ่อน
Gartner Predicts Most Privacy Breaches by 2029 Will Stem from AI-Generated Inferences
Gartner predicts that by 2029, most privacy breaches will arise from conclusions and insights generated by AI about individuals, rather than from the direct exposure of personally identifiable information, or PII.
The trend marks a shift in privacy risk from “Data Exposure” towards “Insight Exposure,” as AI systems become increasingly capable of reconstructing personal insights even when the underlying data appears harmless, has been anonymised or is aggregated within larger datasets.
“We are undergoing a significant shift from Data Exposure to Insight Exposure,” said Bart Willemsen, Vice President Analyst at Gartner. He noted that privacy risks are increasingly being driven by what AI algorithms infer about individuals, rather than by what information is directly leaked.
Advances in Generative AI and Machine Learning can enable sensitive attributes, including health conditions or behavioural patterns, to be derived from seemingly non-sensitive datasets. This makes inference-based attacks particularly difficult to detect, explain and mitigate using traditional privacy controls.
Gartner is also watching the growing importance of data accuracy and integrity. By 2028, the firm expects spending on Data Integrity protection to reach the same level as investment in Data Confidentiality as organisations respond to AI-generated personal profiles that may be inaccurate, biased or created without authorisation.
For CISOs and privacy leaders, the challenge is therefore expanding beyond controlling what information an organisation stores to governing what AI systems are allowed to infer from that information.
Gartner recommends embedding AI Governance directly into privacy programmes, including Privacy-by-Design principles throughout AI development and deployment. Organisations should regularly assess models for bias, overfitting and unintended inference risks.
Privacy-Enhancing Technologies such as Differential Privacy, Synthetic Data and privacy-preserving Machine Learning can also help reduce re-identification risks, alongside stronger Data Minimisation practices, access controls and defined data lifecycle policies.
Human oversight remains another critical safeguard. Gartner recommends clearly documenting which types of information AI systems should and should not infer, with Human in the Loop review for conclusions involving sensitive information before any action is taken.
The broader shift suggests that privacy in the AI era will increasingly depend on controlling the new insights generated from data, making Inference Governance a growing component of both cybersecurity and privacy strategies.
