פרטיות נתונים

פרטיות נתונים בהקשר AI היא השאלה מה קורה בפועל למידע שמשתמשים מזינים לכלי AI — האם הוא נשמר, האם הוא משמש לאימון מודלים עתידיים, והאם הוא עלול להיחשף לצדדים אחרים. סקר-צרכנים עולמי מצא שכ-68 אחוזים מהמשתמשים חוששים מפרטיותם המקוונת, ו-57 אחוזים מהם רואים ב-AI עצמו איום נוסף על הפרטיות — לא רק פתרון. הפרשה שהעלתה את הנושא לתודעה הציבורית הרחבה הייתה חשיפת Cambridge Analytica ב-2018: החברה אספה מידע על יותר מ-85 מיליון משתמשי פייסבוק בלי הסכמתם, וניצלה אותו למיקוד-פרסום פוליטי — פרשה שהפכה לסמל הציבורי המרכזי לצורך בהסדרת-פרטיות מחמירה, ממש בחודשים שבהם נכנסה תקנת ה-GDPR האירופית לתוקף.

שירותי AI רבים שומרים היסטוריית-שיחות כברירת-מחדל, ולעיתים משתמשים בתוכן-השיחות כדי לשפר את המודלים העתידיים שלהם — מה שאומר שמידע רגיש שהוזן בשיחה עלול, תיאורטית, להשפיע על תשובות שהמודל ייתן למשתמשים אחרים בעתיד. חלק מהשירותים מציעים אפשרות-הסתייגות (Opt-out) מפורשת משימוש שיחות לאימון, אך היא לרוב כבויה כברירת-מחדל ודורשת פעולה יזומה מהמשתמש.

שאלה נפרדת נוגעת למידע שכבר נכנס לאימון. התקפת שיוך-חברות (Membership Inference Attack) היא ניסיון לקבוע מבחוץ אם רשומה מסוימת נכללה בנתונים שמהם הופק מודל — ועצם ההשתייכות עשויה להיות רגישה בפני עצמה, למשל כשמדובר במאגר רפואי. ההגנה המובהקת ביותר מולה היא פרטיות דיפרנציאלית (Differential Privacy), מסגרת מתמטית שמזריקה רעש מכויל לפלט כך שלא ניתן ללמוד ממנו אם אדם מסוים נכלל במאגר או לא.

כלל-אצבע מומלץ: להתייחס לכל מה שמוזן לכלי AI כאילו הוא עלול להישמר ולהיות נגיש למישהו אחר — ולהימנע מהזנת פרטים מזהים רגישים (מספרי תעודת-זהות, סיסמאות, מידע רפואי מפורט) גם בשיחות שנראות פרטיות לגמרי. תקנת-הפרטיות האירופית (GDPR — General Data Protection Regulation), שנכנסה לתוקף ב-2018, הפכה לאבן-בוחן עולמית לחקיקת-פרטיות, ומדינות רבות מעצבות את החוק המקומי שלהן לפי הדגם שלה.

בישראל, חוק הגנת הפרטיות (בתוקף מאז 1981) עבר באוגוסט 2024 את התיקון המקיף ביותר מאז חקיקתו — תיקון 13 — שמקרב את הגישה הישראלית לגישה האירופית: הדגש עובר מרישום "מאגרי-מידע" סטטיים להסדרת "הליכי-עיבוד-נתונים" עצמם, בדיוק סוג-ההסדרה שרלוונטי לאופן שבו כלי-AI אוספים ומעבדים מידע באופן שוטף. התיקון גם הרחיב משמעותית את סמכויות-האכיפה של רשות-הפרטיות להטיל קנסות על הפרות אבטחת-מידע.