อาชญากรรมไซเบอร์ ข้อมูลรั่วไหล และความรับผิดจากปัญญาประดิษฐ์

ภาพหน้าจอที่ครอบเฉพาะข้อความมีค่าน้อยกว่าที่คนส่วนใหญ่คิด สิ่งที่ทำให้หลักฐานใช้ได้คือการบันทึกที่แสดงที่อยู่เว็บเต็ม ชื่อบัญชีผู้โพสต์ เวลาที่บันทึก และวิธีที่ได้มา ยิ่งถ้ามีการรับรองโดยบุคคลที่สามหรือบันทึกเป็นวิดีโอต่อเนื่องตั้งแต่เปิดหน้าจนถึงเนื้อหา จะโต้แย้งได้ยากขึ้นมาก

สำหรับองค์กร ไฟล์บันทึกเหตุการณ์ของระบบคือหัวใจ แต่ระบบส่วนใหญ่ตั้งค่าให้เก็บย้อนหลังจำกัด คำสั่งแรกเมื่อสงสัยว่ามีการบุกรุกจึงควรเป็นการหยุดวงจรการเขียนทับและทำสำเนาแยกไว้ ก่อนที่ทีมเทคนิคจะเริ่มแก้ไขระบบ เพราะการกู้คืนระบบมักทำลายร่องรอยที่จำเป็นต่อการพิสูจน์ตัวผู้กระทำ

เรื่องที่ควรย้ำคืออย่าลบการติดต่อกับผู้กระทำ แม้ข้อความจะน่าอาย ถูกข่มขู่ หรือมีการต่อรองที่ผู้เสียหายไม่อยากให้ใครเห็น ข้อความเหล่านั้นเป็นหลักฐานเชื่อมโยงตัวบุคคลที่ดีที่สุดที่มีอยู่ และการลบเพียงบางส่วนทำให้ชุดหลักฐานทั้งหมดถูกตั้งคำถาม

กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนดให้ผู้ควบคุมข้อมูลแจ้งเหตุการละเมิดต่อหน่วยงานกำกับโดยไม่ชักช้าภายในกรอบเวลาที่กำหนด และแจ้งเจ้าของข้อมูลเมื่อเหตุนั้นมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของเขา คำที่มักถูกอ่านข้ามคือไม่ใช่ทุกเหตุต้องแจ้ง แต่ทุกเหตุต้องประเมินและบันทึกผลการประเมินไว้ องค์กรที่ไม่แจ้งเพราะประเมินแล้วว่าความเสี่ยงต่ำ ต้องมีเอกสารรองรับการประเมินนั้น

ความเข้าใจผิดที่พบบ่อยคือเมื่อเหตุเกิดจากผู้ให้บริการภายนอกแล้วองค์กรจะพ้นความรับผิด ความจริงคือผู้ควบคุมข้อมูลยังคงรับผิดต่อเจ้าของข้อมูลโดยตรง แล้วจึงไปไล่เบี้ยกับผู้ประมวลผลตามสัญญาอีกชั้นหนึ่ง ซึ่งจะทำได้แค่ไหนขึ้นกับว่าสัญญาที่ลงนามไว้กำหนดหน้าที่ด้านความมั่นคงปลอดภัยและการชดใช้ไว้ชัดเจนเพียงใด

สิ่งที่มีผลต่อบทลงโทษมากที่สุดไม่ใช่ขนาดของเหตุ แต่คือสิ่งที่องค์กรทำหลังจากนั้น การแสดงให้เห็นว่าได้ปิดช่องโหว่ ทบทวนสิทธิเข้าถึง อบรมพนักงาน และเปลี่ยนกระบวนการที่เป็นต้นเหตุอย่างเป็นรูปธรรม มีน้ำหนักมากกว่าคำอธิบายว่าเหตุเกิดจากการโจมตีที่ซับซ้อน

คำถามที่ธุรกิจถามมากขึ้นเรื่อย ๆ คือถ้าระบบอัตโนมัติที่นำมาใช้ให้คำตอบผิดจนลูกค้าเสียหาย ใครรับผิด หลักที่ใช้ได้ในปัจจุบันคือผู้นำระบบมาใช้เป็นผู้ให้บริการต่อผู้ใช้ จึงรับผิดต่อผู้เสียหายเป็นด่านแรก เช่นเดียวกับการใช้เครื่องมือหรือลูกจ้างในการประกอบกิจการ การอ้างว่าระบบตัดสินใจเองไม่ได้ทำให้ความรับผิดหายไป

ความรับผิดของผู้พัฒนาหรือผู้ให้บริการแบบจำลองขึ้นกับสัญญาเป็นหลัก สัญญาส่วนใหญ่จำกัดความรับผิดไว้ต่ำมากและระบุว่าผลลัพธ์อาจไม่ถูกต้อง ธุรกิจที่นำระบบมาใช้ในงานที่กระทบสิทธิของคน เช่น การอนุมัติสินเชื่อ การคัดกรองผู้สมัครงาน หรือคำแนะนำที่มีผลต่อสุขภาพหรือการเงิน จึงต้องมีขั้นตอนให้มนุษย์ทบทวนก่อนมีผลจริง มิฉะนั้นความเสี่ยงจะกองอยู่ที่ตนทั้งหมด

อีกประเด็นที่กำลังกลายเป็นข้อพิพาทจริงคือการนำภาพ เสียง หรือลักษณะเฉพาะของบุคคลไปสร้างสื่อสังเคราะห์ ผู้เสียหายมีทางเดินได้หลายทางพร้อมกัน ทั้งความผิดเกี่ยวกับคอมพิวเตอร์ในการนำเข้าข้อมูลปลอม ความผิดฐานหมิ่นประมาทหากเนื้อหาทำให้เสียชื่อเสียง การละเมิดสิทธิในความเป็นส่วนตัว และการเรียกค่าเสียหายทางแพ่งพร้อมคำขอให้ระงับการเผยแพร่