私隱指引｜港私隱署新指引 9招善用AI
原文刊於信報財經新聞「CEO AI⎹ EJ Tech」
代理式人工智能（Agentic AI）的出現，對保障個人資料私隱帶來挑戰。本港私隱專員公署昨發布《代理式人工智能篇：保障個人資料私隱》指引，提供9項建議，旨在為機構提供實務建議，在善用代理式AI時獲得裨益之餘，妥善保障個人資料私隱，符合《私隱條例》相關規定。
私隱專員鍾麗玲指出，代理式AI可存取檔案、電郵、賬戶憑證及瀏覽器內儲存的內容，系統漏洞、插件（plugins）或技能（skills），均可能夾帶惡意程式碼，可導致黑客入侵導致外洩資料。她續稱，除了資料用途可能改變，使用多重代理系統，亦增加安全風險。
機構收集資料宜「最小化」
私隱專員公署助理個人資料私隱專員（法律）賴皓茵提到，《指引》提供9項建議。第一項是遵從資料最小化原則，不要隨便收集，或因「將來可能有用」而收集，尤其是敏感個人資料（例如身份證號碼、銀行賬戶號碼等）。第二項是提高透明度，機構若使用代理式AI處理個人資料，應在聲明加入相關資訊。
第三項是確保代理式AI，處理的個人資料準確，例如使用思維鏈、針對特定情景微調，以及人為審核，減低生成結果出錯或不準確個人資料的風險。第四項是訂明最長保留期限，資料在不再需要時刪除。第五項是機構應清楚介紹，代理式AI收集及處理個人資料之目的，明確訂明什麼情況下會有人為監督。
採「人在環中」策略 保控制權
第六項是維護個人資料安全，例如使用官方最新版AI軟件，審慎安裝及使用插件或技能，並審視內容是否含惡意代碼。除了給予代理式AI最少所需權限，亦採用大型語言模型的安全護欄，建立可追溯性及可審核方面，考慮為系統配備日誌記錄功能。第七項是選擇代理式AI系統時，確保查閱及改正資料的權利。
第八項是使用代理式AI前必須評估風險，在作出高風險決定，或自動批准向第三方發送個人資料時，機構應採取「人在環中」策略，保留最終控制權。最後，機構應建立有足夠資源、專業知識及決策權的內部管理架構，若考慮委託外部服務供應商，應以合約規範或其他方法，同時為所有相關人員提供足夠培訓。
支持EJ Tech
如欲投稿、報料，發布新聞稿或採訪通知，按這裏聯絡我們。
