الدرس 4 — الخصوصية
تعلّم الآلة يحتاج بيانات، وأكثر البيانات قيمةً هي بيانات عن أشخاص. وهذا التوتّر لا يُلغى، ويُدار.
المبدأ الأول: تقليل البيانات
القاعدة الأبسط والأقوى: اجمع أقلّ ما يلزم فعلاً.
وهذا ليس مجرّد التزام قانوني بل ممارسة هندسية سليمة، لأنّ ما لا تجمعه لا يمكن أن يتسرّب ولا أن يُسرَق ولا أن يُساء استخدامه ولا أن يُطلَب منك في تحقيق.
الأسئلة العملية قبل كلّ حقل بيانات:
- هل هذا الحقل يحسّن أداء النموذج فعلياً؟ اختبر ذلك بالقياس بدل الافتراض.
- هل تكفي صيغة أقلّ دقّةً؟ الفئة العمرية بدل تاريخ الميلاد، والمدينة بدل العنوان الكامل.
- هل يمكن حذفه بعد التدريب؟
- ما مدّة الاحتفاظ اللازمة فعلاً؟
وكثير من الفرق تُفاجأ عند القياس: حقول كانت تُجمَع سنوات لا تحسّن النموذج شيئاً.
حدود إخفاء الهُويّة
نقطة تقنية أساسية، وسوء فهمها سبب حوادث حقيقية.
حذف الاسم لا يجعل البيانات مجهولة.
النتيجة الكلاسيكية: مزيج من الرمز البريدي وتاريخ الميلاد والجنس يكفي لتحديد الغالبية العظ مى من الأفراد في مجموعة سكّانية. وهذه ليست حالة نظرية: أُعيد تحديد أشخاص فعلياً في مجموعات بيانات نُشِرت بوصفها مجهولة الهُويّة، ومنها بيانات طبّية وبيانات تنقّل.
والتمييز الذي يجب معرفته:
- استعارة معرّف بديل: استبدال المعرّف برمز. عكسها ممكن بالمفتاح، فالبيانات ما زالت شخصية قانونياً.
- إخفاء الهُويّة الحقيقي: لا يمكن العودة إلى الشخص بأيّ وسيلة معقولة. أصعب بكثير ممّا يُظنّ، ويقتضي عادةً تجميعاً أو تشويشاً مقصوداً.
وأكثر ما يوصف بأنّه «بيانات مجهولة» هو في الواقع بيانات باستعارة معرّف، وهذا فارق يحدّد الالتزامات القانونية كاملةً.
تقنيات الحماية
التجميع. لا تعرض إلّا مجاميع بحدّ أدنى للعدد. المجموعات الصغيرة جدّاً تكشف أفراداً.
الخصوصية التفاضلية. إضافة تشويش رياضي مضبوط يضمن أنّ وجود شخص أو غيابه من البيانات لا يمكن استنتاجه من النتائج. ضمان رياضي حقيقي لا مجرّد إجراء، ويكلّف دقّةً، ويُستخدَم في إحصاءات رسمية وفي منتجات كبيرة.
التعلّم الم وزَّع. النموذج يُدرَّب على الأجهزة، ولا ترسل الأجهزة بياناتها بل تحديثات النموذج فقط. البيانات لا تغادر الجهاز أبداً. مستخدَم فعلاً في لوحات المفاتيح الذكية والتطبيقات الصحّية. ولا يكفي وحده: التحديثات نفسها يمكن أن تكشف معلومات، فيُدمَج عادةً مع الخصوصية التفاضلية.
البيانات الاصطناعية. توليد بيانات تحمل الخصائص الإحصائية بلا أشخاص حقيقيين. مفيدة للتطوير والاختبار، وتحمل مخاطرة تسرّب إذا حفظ المولّد أمثلةً حقيقية.
البيانات المحلّية. أبسط حماية: لا ترسل شيئاً. نموذج يعمل داخل بنيتك يزيل معظم المسائل، وقد تناوله درس الاعتماد.
مخاطر خاصّة بالنماذج
النموذج نفسه قد يكشف بياناته، وهذا ليس نظرياً:
- الحفظ: نماذج توليدية أعادت إنتاج مقاطع نصّية وصور من بيانات تدريبها حرفياً.
- استنتاج العضوية: تحديد إن كان سجلّ شخص ضمن بيانات التدريب. وهذا وحده كشف خصوصية: معرفة أنّ شخصاً كان في مجموعة بيانات مرضى مرض معيّن معلومة حس ّاسة بذاتها، حتى بلا تفاصيل.
- قلب النموذج: إعادة بناء خصائص بيانات التدريب من مخرجات النموذج.
والوقاية: عدم التدريب على معطيات شخصية بلا داعٍ، والخصوصية التفاضلية، وتقييد عدد الاستعلامات على النموذج، واختبار الحفظ صراحةً قبل النشر.
الموافقة
سؤال يستحقّ الصراحة: هل الموافقة على استخدام البيانات معتبرة فعلاً؟
المشاكل المعروفة:
- شروط لا تُقرَأ. الموافقة على نصّ طويل غير مفهوم ليست موافقة مستنيرة بأيّ معنى حقيقي.
- موافقة على ماذا؟ بيانات جُمِعت لغرض ثمّ استُخدِمت في تدريب نموذج لغرض آخر لم يكن معلوماً وقت الجمع.
- عدم توازن القوى. «وافق أو لا تستخدم الخدمة» ليس خياراً حرّاً إذا كانت الخدمة ضرورية.
- بيانات الآخرين. صورة تنشرها تحتوي وجوه أشخاص لم يوافقوا. ورسائلك تتضمّن كلام محادثيك.
والاتّجاه التشريعي يشدّد على غرض محدَّد ومعلوم مسبقاً، وهذا يعني عملياً أنّ إعادة استخدام بيانات قديمة في مشروع ذكاء اصطناعي جديد مسألة تحتاج مراجعة قانونية، لا افتراض مشروعية.
المراقبة
الاستخدام الأشدّ حساسيةً، ويستحقّ فقرة مستقلّة.
التعرّف على الوجوه في الأماكن العامّة، وتحليل المشاعر في مقابلات العمل، ومراقبة أداء الموظّفين بالكاميرات، وتتبّع التنقّل — كلّها تقنياً ممكنة، وأثرها الاجتماعي يفوق أيّ حساب دقّة.
الأثر الموثَّق: التأثير الرادع. الناس يغيّرون سلوكهم عندما يعلمون أنّهم مراقَبون، بما يمسّ حرّيات أساسية كالتجمّع والتعبير، ولو لم يُتَّخذ أيّ قرار ضدّ أحد.
ولهذا قيّدت تشريعات عديدة هذه الاستخدامات أو حظرتها في سياقات محدّدة. والسؤال المطروح ليس «هل نستطيع؟» بل «هل ينبغي؟»، وهذا سؤال لا يجيبه مهندس بمفرده.
في ثلاث جمل
المبدأ الأقوى هو تقليل البيانات، لأنّ ما لا تجمعه لا يمكن أن يتسرّب، وكثير من الحقول التي تُجمَع سنوات لا تحسّن النموذج شيئاً عند القياس. وحذف الاسم لا يجعل البيانات مجهولة: الرمز البريدي وتاريخ الميلاد والجنس يكفون لتحديد الغالبية، وأكثر ما يوصف بالمجهول هو بيانات باستعارة معرّف تبقى شخصية قانونياً. والنموذج نفسه قد يكشف بياناته بالحفظ وباستنتاج العضوية، والموافقة على شروط لا تُقرَأ ليست موافقة مستنيرة، وأشدّ الاستخدامات حساسيةً هي المراقبة التي أثرها الرادع يمسّ حرّيات أساسية بلا حاجة إلى أيّ قرار ضدّ أحد.
التالي — الدرس 5: المسؤولية ←