כיצד AI שובר את האנונימיזציה ומה המשמעות המשפטית לחברות
שנים שחברות השתמשו באנונימיזציה כהגנה משפטית בטוחה על נתוני משתמשים. כעת, יכולות ה-AI לשחזור זהות משנות את המשוואה - ורגולטורים מתחילים לעדכן את עמדתם בהתאם. מנהלים בכירים צריכים להבין שהשאלה כבר אינה 'האם הסרנו מזהים?' אלא 'האם ניתן לשחזר את הזהות עם הכלים הקיימים היום?'
כשהאנונימי הופך לזיהוי
עשרות שנים פעלו חברות תוך הנחה שמחיקת שם, כתובת מייל ומספר טלפון ממאגר נתונים מספיקה כדי להפוך אותו ל"בטוח" לשיתוף, ניתוח ומינוף מסחרי. הנחה זו, שהייתה נוחה גם מבחינה עסקית וגם מבחינה משפטית, נשחקת בקצב מהיר.
רוצה להישאר מעודכן ב-AI?
הירשם לדיוור השבועי שלנו וקבל עדכונים, המלצות על כלים, חדשות ודוחות מיוחדים
הסיבה: מודלים מתקדמים של AI מסוגלים כיום לחבר בין מקורות מידע שלכאורה אינם קשורים זה לזה ולשחזר זהות אישית מתוך שברי מידע שהיו נחשבים עד לא מזמן לחסרי ערך. נתיבי מיקום, היסטוריית רכישות, ביומטריקת קול, מאפייני כתיבה, אותות ממכשירים ועוד - כל אחד מאלה לבדו אינו מזהה. ביחד, בידי מערכת AI מתאימה, הם עשויים להצביע על אדם ספציפי ברמת ודאות גבוהה.
כך עולה מניתוח שפרסמה קת'רין רטיגן מ-Robinson & Cole LLP ב-National Law Review, שבחן את ההשלכות המשפטיות של שינוי זה.
השינוי הרגולטורי
רגולטורים בעולם מתחילים לעדכן את עמדתם. הגישה הישנה - שנתונים מזוהים וניתן לחלקם לשתי קטגוריות ברורות: אישיים ואנונימיים - מוחלפת בהדרגה בגישה המבוססת על ניתוח סיכון רציף. הכיוון הוא: האם גורם בעל יכולות סבירות יכול לשחזר את הזהות על בסיס הנתונים הקיימים ומקורות חיצוניים נגישים?
שאלה זו מחדדת את האחריות המשפטית של ארגונים לאורך מספר ממדים - הסכמת משתמשים, חובות גילוי, זכויות לאימון מודלי AI, חוזי ספקים, הוראות ביקורת, ועיצוב מנגנוני הגנה.
באירופה, ה-GDPR כבר מחייב ניתוח סיכון re-identification כחלק מהערכת הגנת מידע. בארצות הברית, מדינות כמו קליפורניה ואחרות החלו לאמץ גישות דומות תחת חקיקת פרטיות מדינתית מתפתחת. בישראל, רשות הגנת הפרטיות עדיין פועלת תחת חוק הגנת הפרטיות משנת 1981 ותקנותיו, אך הצפי לרפורמת חוק הגנת הפרטיות הממשמשת ובאה צפוי להביא גם כאן לעדכון המסגרת - כולל בנוגע לאנונימיזציה ו-pseudonymization.
ממה צריכים לדאוג מנהלים בכירים
את הסיכון לא ניתן לבטל, אך ניתן לנהל. מספר צעדים שכדאי לאמץ:
ראשית, הערכת סיכון מחדש על בסיס תקופתי - לא רק ביצירת מאגר הנתונים אלא גם בהמשך, בהתחשב בשינויים בסביבת המידע החיצונית.
שנית, הגבלת שימוש downstream: חוזים עם ספקים וצדדים שלישיים חייבים לכלול איסור מפורש על ניסיונות re-identification ועל שילוב הנתונים עם מקורות אחרים.
שלישית, אימוץ טכניקות הגנה מודרניות כגון differential privacy, נתונים סינתטיים, אגרגציה וסף ערכים מינימלי לפני שיתוף נתונים.
רביעית, ייעוד אחריות ממוסדת: בדומה לניהול סיכוני סייבר, יש למנות גורם אחראי לניהול שאלת ה-identifiability ולתעד את ההחלטות.
המשמעות לחברות ישראליות - ובמיוחד לאלה שפועלות גם בשוק האירופי או האמריקאי - היא ברורה: אנונימיזציה כבשלב אחד ויחיד כבר אינה מספיקה. מי שיאמץ מודל ניהול סיכון מבוסס ספקטרום, ולא תפיסה בינארית של 'אנונימי' מול 'זיהוי', יהיה מוכן טוב יותר הן לדרישות הרגולציה הצפויות והן לביקורת משפטית בעתיד.
כפי שעולה מניתוח שפורסם ב-National Law Review על ידי קת'רין רטיגן: הזיהוי אינו סוף ניתוח הפרטיות - הוא תחילתה של מחויבות לניהול סיכון מתמשך.