(香港文匯報 記者 唐文)人工智能(AI)在香港日漸普及,根據香港生產力促進局預測,今年全港有近半機構使用人工智能,較去年的30%機構使用大幅增加。然而AI在多項應用場景中,都存在私隱洩露風險,個人資料私隱專員公署曾發現有AI系統要求用戶進行虹膜掃描,資料庫卻無法更新或刪除有關資料,或違反私隱條例,外國亦有AI聊天機器人洩露用戶的信用卡號。為應對有關私隱挑戰,該署昨日發布《人工智能(AI):個人資料保障模範框架》,作為建議指引,協助機構在採購、實施及使用AI時遵從《私隱條例》,框架亦有助規範相關行業,促進AI在香港的健康發展。
個人資料私隱專員鍾麗玲昨日表示,AI技術近年取得突破性發展,正以超乎想像的方式改變世界,但AI是一把雙刃劍,只有在適當保障措施下,才能帶來更大益處,故該署推出《人工智能(AI):個人資料保障模範框架》,為使用AI的機構提供國際認可、切實可行的逐步式建議。該框架建議機構對所使用的AI系統進行風險評估,視乎資料保安、資料敏感程度、對個人、社會的潛在影響等因素,較高風險的AI系統需要人類介入,對系統保持控制權,以減低或防止AI出錯。
識別「甩轆」 有錯竟不能改
使用AI進行生物資料實施識別身份、求職者評估、工作表現評核、輔助醫學影像分析等均是較高風險應用情景。生物識別方面,鍾麗玲舉例指,該署一次執法行動中,發現有AI系統要求用戶進行虹膜掃描,但存儲的虹膜資料無法100%保證匹配,亦無法更新或刪除,對用戶造成安全隱患,「掃描虹膜後參加者的相關數據並非百分百找到,變相一些客戶或參加者如果想刪除自己的虹膜紀錄,或更正自己的登記紀錄,原來找不到,這便違反了私隱條例的相關規定。」
亦有面容識別系統,對有色人種識別率偏低,特別是黑人女性面容對比容易出錯,涉嫌歧視,亦屬高風險AI系統。醫學領域AI出錯亦不鮮見,鍾麗玲引述美國一宗個案,有護士懷疑AI診斷結果出錯,最後證實AI誤將血癌病人診斷為敗血病,「雖然護士成功推翻了AI的判決,但整個過程增加了病人的感染風險,醫藥費支出亦更高。」
聊天機器人或向「下一手」爆料
該框架又建議機構制定AI事故應變計劃,當AI出錯導致侵犯私隱、財產損失,或被黑客攻擊等情況時,作出及時處理。鍾麗玲提到,去年3月,有生成式AI聊天機器人發生震驚世界的資料外洩事故,部分用戶的對話標題、電郵地址、信用卡號碼等遭到洩露。「很多時候大型AI模型需要大量資料做分析,向AI提供資料時也要謹慎。例如有韓國企業的員工曾將公司機密資料、客戶資料等數據提供給聊天機器人,AI保存了這些資料,可能與下一個用戶聊天時洩露出來。」
公署制訂該框架,期望協助機構在採購、實施及使用人工智能時,遵守《私隱條例》的相關規定。鍾麗玲表示,該框架雖非強制性法律文件,但屬國際一般規則,對機構以合乎道德、負責任、保護私隱的方式使用AI。有倡導、指引作用,公署會向政府部門、醫院、學校、大型企業等主要使用者派發相關文件,亦會舉辦講座加強宣傳。至於香港目前的AI應用風險,鍾麗玲指暫未發現高危情況,公署自去年8月至今年2月審查了28間本地機構,當中10間機構會透過AI收集個人資料,均有相應保安措施,其中一間機構搜集完資料後會在大數據中刪除個人信息,署方會繼續展開下一輪審查。
四大範疇建議 持續修正防走歪
《人工智能(AI):個人資料保障模範框架》涵蓋四個範疇的建議措施,包括制定AI策略及管治架構;進行風險評估及人為監督;實行AI模型的定製與AI系統的實施及管理;及促進與持份者的溝通及交流。
對於AI管治架構,個人資料私隱專員鍾麗玲表示,建議大型企業、公營機構等成立AI管治委員會,委員會應向董事會匯報,同時應建議內部匯報機制,匯報任何系統故障或提出有關資料保障或道德問題,以便AI管治委員會作出恰當監察。若是僱員很少的中小企,則可由老闆直接負責AI管治工作。鍾麗玲續指,管理AI系統不是一勞永逸,科技環境、監管環境時常發生變化,機構需要保持對AI系統的持續監察,妥善記錄存檔,定期審核,隨着風險因素演變而檢視現有機制。機構亦應盡可能了解AI系統的能力和限制,避免過分依賴AI輸出結果,當AI輸出結果異常時,可作出標記或在適當情況下推翻結果,甚至介入及中斷AI系統運作。
私隱專員公署科技發展常務委員會委員、立法會議員黃錦輝表示,適逢國家快速發展新質生產力,開展了「人工智能+」行動,今次指引可協助企業善用AI技術,促進產業創新及升級轉型,幫助推進香港數字經濟發展、加速建設香港成為國際創科中心,積極融入國家發展大局。
黃錦輝並指,推出《人工智能(AI):個人資料保障模範框架》的意義不在於規限企業,而是為新興數碼產品制訂安全標準,「就像工程行業有不同標準,我們這次訂立AI標準框架,顧問公司、中小企都可利用,令他們在數碼時代(利用標準化)接觸更廣,多做生意。」
數百人資料Tg洩密 勿轉載免犯起底罪
個人資料私隱專員公署過去12個月,共收到1,044宗有關市民個人資料被套取作詐騙用途的查詢;單是上月就有超過130宗,較每月平均50宗大幅上升。同時,公署昨日表示高度關注一個懷疑由黑客營運的Telegram群組,該群組連日來上載多個涉及不同公司的個人資料樣本檔案,包括懷疑是客戶的姓名、身份證號碼及電話號碼等資料,公署正聯絡相關公司了解情況。公署前日亦收到其中一間公司就資料外洩事故的通報,暫時就事件收到1宗查詢,未有收到投訴。
該個懷疑由黑客營運的Telegram群組,上周三(5日)上載一個名為「香港快遞」的個人資料樣本檔案,內含299人的姓名、電話及地址,以及郵件追蹤編號等個人資料。懷疑涉及至少兩間快遞公司。
個人資料私隱專員鍾麗玲呼籲市民,如果在網上發現一些不當披露個人資料的帖文,切勿轉載,以免構成起底刑事罪行,而且有關連結多數含有手機或電腦程式病毒,隨意下載或有中毒風險。
(來源:香港文匯報A07:要聞 2024/06/12)