تصور کنید یک سازمان مالی بزرگ در آمریکا، در هر ثانیه ۶۰۰۰ درخواست دسترسی به داده را پردازش میکند، بدون اینکه حتی یک نفر برای تأیید هر مورد، دکمهای را فشار دهد. این حجم از عملیات اکنون با Astralis (آسترالیس) ممکن شده است؛ لایهای برای حاکمیت داده از شرکت Ethyca که نظارت بر اطلاعات را از یک چکلیست دستی به یک جزء زیرساختی و لحظهای تبدیل میکند. با این رویکرد، سازمانها از ایجاد گلوگاههای رگولاتوری که میتوانست استقرار هوش مصنوعی را متوقف کند، جلوگیری میکنند.
سالهاست که شرکتها با حریم خصوصی دادهها مانند یک مانع اداری برخورد کردهاند؛ یعنی مجموعهای از فرمهایی که پس از آنکه فناوری پیشتر مستقر شده است، پر میشوند. این الگو در دوران طلایی تبلیغات دیجیتال و شبکههای اجتماعی شکل گرفت، جایی که رگولاتورها تنها زمانی وارد عمل شدند که جمعآوری داده به ستون فقرات مدلهای کسبوکار تبدیل شده بود. قانون General Data Protection Regulation (GDPR) نخستین ضربه جدی به نحوه استفاده شرکتها از دادههای شخصی بود، اما این قانون زمانی رسید که ابزارهای بازاریابی دیجیتال (Martech) پیشتر این رویهها را در ساختار خود نهادینه کرده بودند. امروز همین چرخه در مورد عاملهای هوش مصنوعی (AI Agents) — مانند دستیارهای هوشمندی که قادر به تصمیمگیری و اقدام هستند — تکرار میشود، اما مقیاس جریان دادهها چنان زیاد است که نظارت دستی عملاً غیرممکن است. این چالش در مدیریت عاملها، نیاز به استانداردهای جدیدی برای شناسایی و پاسخگویی را ایجاد کرده است، مشابه آنچه در راهکار DNSid برای پاسخگو کردن عاملهای هوش مصنوعی در وب آزاد بررسی شده است.
کیلیان کیران (Cillian Kieran)، بنیانگذار و مدیرعامل Ethyca، معتقد است گلوگاه واقعی برای هوش مصنوعی سازمانی، خودِ مدلها نیستند، بلکه نبود لایهای از حاکمیت است که دیکته کند چه دادهای برای چه کاربردهای خاصی مجاز است. کیران، یک کارآفرین سریالی و مهندس حریم خصوصی با بیش از دو دهه تجربه است. او پیش از این به مدت ده سال آژانسی به نام CKSK را مدیریت میکرد و شرکت BrandCommerce را بنیان نهاد. در دوران حضورش در CKSK، او با سازمانهای بزرگی مانند هاینکن (Heineken)، سونی (Sony) و پپسی (Pepsi) همکاری داشت و در آنجا شاهد الگوی تکرار شوندهای بود: پذیرش فناوری همیشه سریعتر از ایجاد نردههای قانونی پیش میرود. او برای ساخت این کسبوکارها از پیشینه خود در مهندسی نرمافزار، تجربه کاربری (UX) و برنامههای دادهای در مقیاس سازمانی استفاده کرد.
کیران در سال ۲۰۱۹ شرکت Ethyca را تأسیس کرد تا حاکمیت داده و حریم خصوصی را از یک تابع تطبیقی عمدتاً دستی به زیرساختی تبدیل کند که مستقیماً در نحوه ساخت و بهرهبرداری سازمانها از فناوری جاسازی شود. او متوجه شد میتوان لایهای دور دادههای شرکت قرار داد تا هر درخواست را بر اساس سه معیار مشخص بسنجد: داده چیست، کاربر اجازه چه کاری را با آن دارد و اگر این کار را انجام دهد، ریسک آن چیست.
با گذار شرکتها از چتباتهای ساده به سمت عاملهای خودمختار که قادر به اتخاذ تصمیم و اجرای عملیات هستند، ریسک قرار گرفتن دادهها در مکانهای اشتباه بهصورت نمایی افزایش مییابد. ارزش این عاملها در اتصال به طیف گستردهای از سیستمها برای ترکیب دادهها و تولید خروجیهایی است که هیچ انسانی نمیتواند در همان بازه زمانی جمعآوری کند. با این حال، هر یک از این جریانهای داده، فرصتی برای رخنه یا نقض سیاستهای امنیتی است. وقتی یک عامل هوش مصنوعی هزاران درخواست در ثانیه میفرستد، مدلهای تطبیق سنتی — که در آن یک انسان باید بهصورت دستی تصمیم بگیرد آیا استفاده از داده برای یک هدف خاص مجاز است یا خیر — بهطور کامل فرو میپاشند.
سازوکار Astralis
Astralis برای حل این مشکل، دو فناوری کلیدی را ترکیب میکند تا «چرا» و «چگونه» دسترسی به داده را خودکار کند. این سیستم بر پایه Fides (فایدس) بنا شده است؛ یک زبان حاکمیتی متنباز که چارچوبی یکپارچه برای تعریف، حسابرسی و اجرای کاربردهای مجاز داده در سیستمها، APIها و خطلولههای هوش مصنوعی ایجاد میکند. Ethyca این زیرساخت دادههای مورد اعتماد را توسعه میدهد تا به سازمانها کمک کند اطلاعات حساس را کشف کنند، رضایت کاربران (Consent) را مدیریت نمایند، درخواستهای حریم خصوصی را اجرا کنند و قوانین حاکم بر استفاده از دادهها را در هر دو محیط برنامههای سنتی و سیستمهای هوش مصنوعی اعمال کنند.
- مدل زبانی رگولاتوری بزرگ (LLRM): این مدل عملیات خاص یک کسبوکار را میآموزد و مقررات مربوطه را تحلیل میکند. LLRM از طریق چشمانداز قانونی استدلال میکند تا تعیین کند هر نوع داده چه کاربردهایی دارد و چه کاربردهایی برای آن ممنوع است. از آنجا که «هدف استفاده» یک حقیقت فنی که در پایگاهداده یافت شود نیست، بلکه به وعدههای تجاری و قوانین بستگی دارد، LLRM لایه استدلالی لازم را فراهم میکند. این مدل مقررات مربوط به آن کسبوکار خاص را بررسی میکند تا تصمیمی روشن درباره کاربردهای مجاز صادر کند. این رویکرد در تحلیل متون قانونی، یادآور تجربه ایالت نیویورک در تسریع فرآیند اصلاح قوانین است که در آن هوش مصنوعی زمان بررسیهای قانونی را بهشدت کاهش داد.
- کنترل دسترسی مبتنی بر هدف (PBAC): در حالی که کنترلهای دسترسی سنتی فقط بررسی میکنند «چه کسی» (هویت) به داده دسترسی دارد، PBAC بررسی میکند «چرا» آنها به داده دسترسی میخواهند. این سیستم بر اساس تصمیمات اتخاذ شده توسط LLRM، درخواستها را در لحظه مسدود یا تأیید میکند. در این معماری، LLRM استدلال میکند و PBAC اجرا میکند.
حذف گلوگاه «جمعآوری اطلاعات»
به نقل از Ethyca، ارزیابیهای معمول هوش مصنوعی که پیشتر بهطور سنتی نیازمند ۴۰ تا ۶۰ ساعت کار دستی بودند، اکنون میتوانند به ۲۰ تا ۴۰ دقیقه کاهش یابند. کیران اشاره میکند که بخش بزرگی از آن ۶۰ ساعت صرف قضاوت انسانی نمیشد، بلکه صرف «جمعآوری» (Assembly) میشد.
ناکارآمدیهای دستی شامل موارد زیر است:
- نقشهبرداری دادهها: متخصصان ساعتها وقت صرف ثبت دستی مسیر دادهها و نگهداری آنها در فایلهای اکسل میکنند.
- تعقیب بستر (Context): تیمها زمان زیادی را صرف پرسوجو از دپارتمانهای مختلف میکنند تا بفهمند دادهها چگونه استفاده میشوند؛ آنها عملاً تبدیل به «مأموران جمعآوری اطلاعات» برای دادههایی میشوند که کسبوکار پیشتر در اختیار دارد اما در تیمهای مختلف پراکنده شده است.
- تصاویر ایستا: ارزیابیهای دستی تنها عکسهای لحظهای هستند که با ظهور هر مورد استفاده جدید از هوش مصنوعی، منسوخ میشوند. این بدان معناست که فرآیند دستی نه تنها یک بار کند است، بلکه همیشه از سرعت پیشروی کسبوکار عقب میماند.
Astralis با استخراج مستقیم متادیتا (Metadata)، تنها تصمیمات واقعی و قضاوتهای اصیل را برای بازبینهای انسانی باقی میگذارد. در این روش، ردپای حسابرسی (Audit Trail) بهجای اینکه بعداً از روی حافظه نوشته شود، در حین ارزیابی بهطور خودکار ساخته میشود. این تغییر، افسر تطبیق را از یک «جمعآور اطلاعات» به یک «تصمیمگیرنده» تبدیل میکند و تضمین میکند که حاکمیت داده تبدیل به گلوگاهی برای تیمهایی نشود که دستور دارند هوش مصنوعی را سریع و ایمن عرضه کنند.
مقیاسپذیری برای آینده عاملمحور
طبق پیشبینی گارتنر (Gartner)، هر شرکت عضو Fortune 500 میتواند تا سال ۲۰۲۸ بهطور متوسط ۱۵۰,۰۰۰ عامل هوش مصنوعی داشته باشد؛ جهشی عظیم نسبت به تنها ۱۵ عامل در سال ۲۰۲۵. در محیطی که تعداد ماشینها از کارکنان انسانی که با دادهها تعامل دارند بیشتر میشود، مسئولیتپذیری باید از «تأیید انسانی» به «اجرای سیستمی» منتقل شود.
کیران این وضعیت را با صنعت بانکداری مقایسه میکند. اعتماد به یک بانک از این نیست که یک کارمند اسکناسها را دستی میشمارد، بلکه به دلیل کنترلهای داخلی استوار و افرادی است که مسئولیت حفظ این کنترلها را بر عهده دارند. به همین ترتیب، حاکمیت هوش مصنوعی باید «همیشه روشن» و در مسیر داده جاسازی شود تا توسعهدهندگان برای رسیدن به ضربالاجلها، آن را به عنوان مرحلهای که میتوان از آن عبور کرد، نادیده نگیرند. برای اینکه ارزشهای بالای شرکتهای هوش مصنوعی محقق شود، حاکمیت باید دقیقاً در لحظه دسترسی به داده، با سرعت ماشین عمل کند.
اجتناب از «تله فروشنده»
برای مدیریت قوانین بهسرعت در حال تغییر در آمریکا و اروپا، Astralis قوانین را از محصول جدا کرده است. بسیاری از ابزارهای تطبیق، قوانین را در کد نرمافزار میبافند و کاربر را مجبور میکنند در صورت تغییر قوانین، منتظر بازطراحی مهندسی توسط فروشنده بماند. اما Astralis از یک زبان مشترک برای توصیف داده استفاده میکند، در حالی که قوانین واقعی در یک لایه سیاستگذاری مجزا قرار دارند.
وقتی قانون جدیدی تصویب میشود، LLRM آن قانون را میخواند، تعیین میکند که این قانون برای آن کسبوکار خاص چه معنایی دارد و سیاست (Policy) مربوطه را مینویسد. سپس PBAC بدون نیاز به هرگونه تغییر در مکانیسم اجرای زیربنایی، آن سیاست را اجرا میکند. این معماری تضمین میکند که تلاش شرکت صرف درک قانون شود، نه بازطراحی سیستمهای حریم خصوصی. این ساختار مانع از نیاز به بهروزرسانیهای دستی و مداوم سیاستها در کل پشته فنی میشود.
ریسکهای واقعی و حفاظها
نگرانیها درباره دسترسی غیرمجاز عاملهای هوش مصنوعی به اطلاعات حساس، واقعبینانه است. کیران به جریمه ۲.۷۵ میلیون دلاری دیزنی توسط کالیفرنیا اشاره میکند؛ زیرا سیستمهای این شرکت نمیتوانستند درخواستهای «عدم استفاده از داده» (Opt-out) مشتریان را بهطور قابلاعتماد اجرا کنند. در آن مورد، مشتری در یک دستگاه درخواست عدم استفاده داده بود، اما در دستگاههای دیگر همچنان فعال بود و دستورات سطح مرورگر نادیده گرفته میشد. این شکست به دلیل رفتار پیشبینیناپذیر یک عامل نبود، بلکه به دلیل شکاف میان «وعدههای شرکتی» و «اجرای فنی» رخ داد.
برای جلوگیری از چنین شکستهایی، سازمانها باید حفاظهای زیر را پیاده کنند:
- دانش متمرکز داده: داشتن یک منبع واحد از حقیقت (Single Source of Truth) برای اینکه چه دادهای در اختیار است و شرکت در قبال آن داده چه تعهدی داده است.
- تعهدات یکپارچه: اطمینان از اینکه وعدههای داده شده به مشتریان در یک مکان مستند شدهاند تا شکافی ایجاد نشود که در آن وعده یک تیم هرگز به پایگاهداده تیم دیگر نرسد.
- اجرای خودکار: گذار از سیاستهایی که فقط روی کاغذ هستند به سمت سیستمهایی که این سیاستها را در هر بار استفاده بهطور خودکار اجرا میکنند.
این تغییر نشان میدهد برندگان دهه آینده، سازمانهایی خواهند بود که یک سیستم یکپارچه برای حاکمیت داده در تمام دپارتمانها دارند، نه کسانی که حاکمیت را تکهتکه به پایگاههای داده و تیمهای مجزا میچسبانند. از آنجا که هوش مصنوعی ذاتاً برای دسترسی بیندپارتمانی طراحی شده است، کسانی که سرعت و ایمنی را همزمان حل کنند، برتری رقابتی قابلتوجهی نسبت به کسانی خواهند داشت که ابتکارات هوش مصنوعیشان در پروژههای آزمایشی (Pilot) گیر کرده است.
برای اینکه متوجه شوید آیا پشته هوش مصنوعی فعلی شما در برابر این شکافهای حاکمیتی آسیبپذیر است، باید نقشههای جریان داده خود را با سیاستهای حریم خصوصی فعلی تطبیق دهید یا زبان حاکمیتی متنباز Fides را بررسی کنید. برای اطلاعات بیشتر، خوانندگان میتوانند به وبسایت Ethyca یا Astralis مراجعه کنند.
گام بعدی شما
- نقشههای جریان داده (Data Flow Maps) خود را با سیاستهای حریم خصوصی فعلی تطبیق دهید تا شکافهای احتمالی را بیابید.
- زبان حاکمیتی متنباز Fides را برای تعریف استانداردهای دسترسی در سازمان خود بررسی کنید.
- مدلهای دسترسی خود را از «هویتمحور» (چه کسی؟) به «هدفمحور» (چرا؟) تغییر دهید.
اما داستان سختافزاری این تحول حتی شگفتانگیزتر است — به تحلیل ما دربارهی تراشههای Blackwell مراجعه کنید.
گفتگو