داده‌هایی که هرگز نباید وارد ابزارهای عمومی هوش مصنوعی مانند ChatGPT شوند شامل اطلاعات هویتی و مالی مشتریان، کد منبع اختصاصی، اسناد استراتژیک شرکت، سوابق سلامت، رمزهای عبور و قراردادهای محرمانه است. این داده‌ها می‌توانند در فرآیند آموزش مدل باقی بمانند یا در پاسخ به کاربران دیگر بازتاب یابند، و مدیریت مسئولانه‌ی هوش مصنوعی ایجاب می‌کند پیش از استفاده از این ابزارها، مرز میان داده‌ی قابل‌اشتراک و داده‌ی ممنوعه دقیقاً مشخص شود.
یک مدیر فروش، برای خلاصه‌سازی سریع، بخشی از سند استراتژی سالانه‌ی شرکت را در نسخه‌ی رایگان ChatGPT پیست می‌کند، بدون آنکه بداند این متن ممکن است در تنظیمات پیش‌فرض برای بهبود مدل استفاده شود. این سناریو هر روز در کسب‌وکارهای کوچک و متوسط تکرار می‌شود.
چرا داده‌ی وارد‌شده به ابزار عمومی هوش مصنوعی خطرناک است
نسخه‌های رایگان و عمومی ابزارهای هوش مصنوعی معمولاً با نسخه‌های Enterprise در نحوه‌ی نگهداری و استفاده از داده تفاوت اساسی دارند؛ در نسخه‌های عمومی، محتوای ورودی می‌تواند برای آموزش مدل یا بهبود سرویس نگهداری شود، در حالی که نسخه‌های سازمانی معمولاً این قابلیت را غیرفعال می‌کنند. طبق جدیدترین گزارش Cyberhaven از تحلیل داده‌ی میلیون‌ها کارمند، ۳۴.۸ درصد از داده‌های ارسالی کارمندان به ابزارهای هوش مصنوعی حساس تشخیص داده شده و ۷۱.۷ درصد از ابزارهای هوش مصنوعی مورد استفاده در سازمان‌ها ریسک بالا یا بحرانی برای امنیت داده دارند.
تفاوت «حذف پس از درخواست» و «عدم استفاده در آموزش از ابتدا»
درخواست حذف یک گفتگو از تاریخچه‌ی کاربر با تنظیم غیرفعال‌سازی آموزش مدل روی داده‌ی ورودی یکسان نیست؛ در بسیاری از ابزارهای عمومی، داده تا پیش از حذف دستی یا پایان دوره‌ی نگهداری، در دسترس سیستم باقی می‌ماند.isaca
هشت دسته داده‌ای که هرگز نباید وارد شوند
اطلاعات هویتی و شخصی مشتریان (نام کامل، کد ملی، شماره تماس همراه با سایر مشخصات شناسایی‌کننده)
اطلاعات مالی و بانکی (شماره کارت، حساب، تراکنش‌های محرمانه)
کد منبع و مالکیت فکری اختصاصی شرکت
اسناد استراتژیک، برنامه‌های تجاری، و تحلیل‌های رقابتی محرمانه
سوابق سلامت و پرونده‌های پزشکی کارمندان یا مشتریان
رمزهای عبور، کلیدهای API، و اعتبارنامه‌های دسترسی به سیستم‌ها
قراردادها و اسناد حقوقی حاوی تعهدات طرف‌های ثالث
داده‌های حساس کارمندان (حقوق، ارزیابی عملکرد، شکایات داخلی)
طبق تحلیل داده‌ی Cyberhaven از حجم بالای کارمندان، رایج‌ترین دسته‌های داده‌ی حساس ارسالی به ابزارهای عمومی به‌ترتیب شامل کد منبع، اطلاعات مشتری، و برنامه‌های پروژه‌ی شرکتی است.
چارچوب گام‌به‌گام برای مدیریت داده در مدل های هوش مصنوعی
این چارچوب، ستون فقرات عملی این مقاله است و مستقیماً از مدل مرحله‌ای شخصی من برای حاکمیت داده گرفته شده:
شناسایی داده حساس
فهرست‌برداری از انواع داده‌ای که در فرآیندهای روزمره‌ی تیم جابه‌جا می‌شود و برچسب‌گذاری آن‌ها بر اساس سطح حساسیت.
ارزیابی ریسک
برای هر دسته داده، این سؤال پرسیده می‌شود: اگر این داده در دسترس یک کاربر ناشناس دیگر قرار بگیرد، چه آسیبی به کسب‌وکار یا مشتری وارد می‌شود؟
تدوین قانون داخلی استفاده از AI
تعیین صریح اینکه کدام ابزار، با کدام نسخه (رایگان یا سازمانی)، برای کدام نوع کار مجاز است؛ بدون این سیاست، تصمیم عملاً به‌صورت فردی و ناهماهنگ توسط هر کارمند گرفته می‌شود.cybertect
بازبینی انسانی پیش از هر ارسال
حتی با وجود سیاست مشخص، وجود یک لحظه‌ی مکث و بازبینی انسانی پیش از پیست کردن هر بلوک بزرگ متن، مؤثرترین لایه‌ی دفاعی باقی می‌ماند.
وضعیت قانونی در ایران و جهان
در حقوق ایران، قانون جرایم رایانه‌ای رویکردی کیفری و واکنشی دارد و فاقد مفاهیم حمایتی پیشگیرانه‌ی متناسب با چالش‌های هوش مصنوعی است؛ پژوهش‌های حقوقی اخیر بر ضرورت بازتعریف مفاهیمی مانند «حق فراموش شدن» و ایجاد نهاد تنظیم‌گر مستقل تأکید دارند. همزمان، مسئله‌ی «جعبه سیاه» و تعارض میان اصل حداقل‌سازی داده با نیاز مدل‌های هوش مصنوعی به داده‌ی انبوه، از چالش‌های اصلی حقوقی این حوزه در ایران است. طرح حمایت از داده‌های شخصی همچنان در مراحل بررسی مجلس قرار دارد و تا تصویب نهایی، مدیران باید بر سیاست‌های داخلی خودشان تکیه کنند، نه صرفاً بر قانون.
چگونه پروژه‌های هوش مصنوعی را اولویت‌بندی کنیم؟ چارچوب انتخاب اولین پروژه AI برای مدیران
اشتباهات رایج مدیران
این بخش دقیقاً در چارچوب مرزهای برند بهنیک باقی می‌ماند؛ هدف ترساندن مدیران از هوش مصنوعی نیست، بلکه کمک به تصمیم‌گیری آگاهانه است.
تصور اینکه «نسخه‌ی رایگان و پولی فرقی ندارند» ؛ در حالی که تفاوت اصلی دقیقاً در تنظیمات نگهداری و آموزش داده است.
واگذاری تصمیم درباره‌ی نوع داده‌ی قابل‌اشتراک به قضاوت فردی هر کارمند، بدون سیاست مکتوب
اعتماد کامل به خروجی هوش مصنوعی بدون بازبینی انسانی، به‌ویژه در تصمیم‌های حساس به داده مشتری
مهم است تأکید شود که این راهنما جایگزین مشاوره‌ی حقوقی یا تیم فنی امنیت اطلاعات نیست؛ برای سازمان‌هایی با داده‌ی بسیار حساس (مثل داده‌ی سلامت یا مالی در مقیاس بزرگ)، مشاوره‌ی تخصصی حقوقی/امنیتی ضروری است.
پرسش‌های پرتکرار
آیا نسخه‌ی پولی ChatGPT هم داده را ذخیره می‌کند؟
نسخه‌های سازمانی معمولاً گزینه‌ی غیرفعال‌سازی استفاده از داده برای آموزش مدل را ارائه می‌دهند، اما سیاست نگهداری داده همچنان باید در قرارداد سرویس بررسی شود.
آیا می‌توان داده‌ی مشتری را با حذف نام وارد کرد؟
حذف نام به‌تنهایی کافی نیست؛ اگر ترکیب سایر جزئیات (مثل شماره سفارش، تاریخ، مبلغ) بتواند فرد را شناسایی‌پذیر کند، همچنان داده حساس محسوب می‌شود.
اگر تیم کوچک باشیم و بخش IT نداشته باشیم، چطور سیاست تعیین کنیم؟
یک سند یک‌صفحه‌ای کافی است که فهرست دسته‌های داده‌ی ممنوعه و ابزارهای مجاز را مشخص کند؛ نیازی به پیچیدگی سازمانی نیست.
آیا ابزارهای هوش مصنوعی ایرانی هم همین ریسک را دارند؟
هر ابزاری که داده را در سرورهای خارج از کنترل مستقیم شرکت پردازش کند، باید با همین معیارها ارزیابی شود، صرف‌نظر از خاستگاه جغرافیایی.
آیا قانونی در ایران مدیران را ملزم به رعایت این موارد می‌کند؟
در حال حاضر چارچوب قانونی مشخصی برای این حوزه در ایران وجود ندارد و طرح حمایت از داده‌های شخصی هنوز در حال بررسی است؛ این خلأ به معنای بی‌خطر بودن نیست، بلکه مسئولیت را عملاً به سیاست داخلی سازمان منتقل می‌کند.
اولین قدم عملی برای شروع در این هفته چیست؟
شناسایی سه دسته‌ی پراستفاده‌ترین داده‌ای که تیم شما این هفته احتمالاً وارد یک ابزار AI کرده و ارزیابی ریسک همان سه دسته، پیش از هر اقدام گسترده‌تر.
سخن آخر
تفاوت نسخه‌ی رایگان و سازمانی ابزارهای AI را پیش از هر استفاده‌ی کاری بررسی کنید
هشت دسته داده معرفی‌شده را به‌عنوان خط قرمز ثابت تیم خود در نظر بگیرید
چارچوب چهارمرحله‌ای شناسایی، ارزیابی، قانون داخلی، و بازبینی انسانی را اجرا کنید
در نبود قانون شفاف در ایران، سیاست داخلی شما تنها خط دفاعی واقعی است
برای طراحی این سیاست متناسب با فرآیندهای واقعی کسب‌وکار خود، با ما در ارتباط باشید.