Показаны сообщения с ярлыком FTC. Показать все сообщения
Показаны сообщения с ярлыком FTC. Показать все сообщения

пятница, 5 мая 2023 г.

Чат-боты, высокотехнологические фальшивки и голосовые клоны: Платные услуги по обману с использованием искусственного интеллекта

Данная заметка юриста из отдела рекламной практики американской Федеральной комиссии по торговле (Federal Trade Commission, FTC) Майкла Атлесона (Michael Atleson – на фото) была опубликована 20 марта 2023 года в «Деловом блоге FTC» (FTC Business Blog).

Возможно, Вы слышали о теории (или гипотезе) симуляции (simulation theory- см., например, https://ru.wikipedia.org/wiki/Гипотеза_симуляции - Н.Х.), согласно которой нет ничего реального и что все мы являемся частью гигантской компьютерной программы. Давайте предположим, - по крайней мере, в рамках этого поста в блоге - что такое представление является неверным. Тем не менее, мы, возможно, движемся к будущему, в котором значительная часть того, что мы видим, слышим и читаем, представляет собой компьютерную симуляцию. Мы в Федеральной комиссии по торговле всегда придерживаемся реальности, но что произойдёт, когда никто из нас не сможет отличить подлинное от подделки?

В одном из недавних постов на этом блоге (см. https://www.ftc.gov/business-guidance/blog/2023/02/keep-your-ai-claims-check ) мы обсуждали, как термин «ИИ» может использоваться в качестве вводящего в заблуждение аргумента в пользу приобретения новых продуктов и услуг. Назовем это «проблемой фальшивого ИИ» (fake AI problem). Сегодняшняя наша тема - использование искусственного интеллекта «за кулисами» для создания или распространения вводящей в заблуждение информации. Назовем это проблемой создания подделок с помощью ИИ (AI fake problem), которая представляет собой более глубокую нарождающуюся угрозу, с которой необходимо бороться компаниям в цифровой экосистеме. И это нужно делать сейчас.

Мой комментарий:
Надпись на рисунке гласит: «Проблема ИИ-подделок: что нужно знать коммерческим организациям».


Большинство из нас проводит массу времени, глядя на экран какого-либо устройства. Благодаря инструментам искусственного интеллекта, которые создают «синтетические медийные материалы» (synthetic media - музыкальные, звуковые, видео, текстовые и иные материалы, создаваемые искусственным интеллектом – Н.Х.) или иным образом порождают контент, растущий процент того, на что мы смотрим, не является аутентичными материалами, и заметить разницу становится всё труднее. И по мере того, как эти ИИ-инструменты становятся всё более совершенными, получать к ним доступ и использовать их становится всё проще. Некоторые из этих инструментов могут иметь полезное применение, однако мошенники также могут использовать их для причинения широкомасштабного вреда.

Порождающий ИИ (generative AI) и синтетические медийные материалы (synthetic media) - это разговорные термины, используемые для обозначения чат-ботов, разработанных на основе больших языковых моделей, а также имитирующих человеческую деятельность технологий, таких как программное обеспечение, создающее синтетические видео и голосовые клоны. Уже существуют доказательства того, что мошенники могут использовать эти инструменты для быстрого и дешёвого создания реалистично, выглядящего поддельного контента, который они затем распространяют среди широких групп или же целевым образом ориентируясь на определенные сообщества или конкретных лиц. Мошенники могут использовать чат-боты для создания адресных фишинговых электронных писем, поддельных веб-сайтов, постов и сообщений, поддельных профилей и фальсифицированных отзывов потребителей, - или для помощи в создании вредоносных программ, программ-вымогателей и для поддержки инъекционных атак (injection attacks). Они могут высокотехнологические фальшивки (deepfakes) и голосовые клоны для способствования мошенничеству с использованием самозванцев, для вымогательства и финансового мошенничества. И это далеко не полный список.

Содержащийся в законе США о Федеральной комиссии по торговле (Federal Trade Commission Act of 1914) запрет на вводящее в заблуждение или несправедливое поведение может быть применим, если Вы производите, продаете или используете инструмент, который фактически предназначен для обмана - даже если это не является его предполагаемой и/или единственной целью. Итак, подумайте о следующем:

Стоит ли Вам вообще производить или продавать этот инструмент? Если Вы разрабатываете или предлагаете синтезированные медийные материалы или продукты порождающего ИИ, рассмотрите как на этапе проектирования, так и на последующих этапах разумно предсказуемые - и часто очевидные - способы его неправомерного использования для совершения мошенничества или причинения иного вреда. Затем спросите себя, достаточно ли велики такие риски, чтобы вообще отказаться от продвижения данного продукта. Пусть это уже стало мемом, но мы здесь перефразируем доктора Яна Малкольма (Dr. Ian Malcolm), персонажа Джеффа Голдблюма (Jeff Goldblum) из «Парка юрского периода», который упрекал руководителей за то, что те были настолько озабочены тем, смогут ли они построить нечто, что даже не остановились на секунду, чтобы подумать, а стоит ли им это вообще делать.

Обеспечиваете ли Вы эффективное смягчение рисков? Если Вы решили производить или предлагать подобный продукт, примите все разумные меры предосторожности до того, как он появится на рынке. Федеральная комиссия по торговле уже подавала в суд иски против компаний, которые распространяли потенциально вредные технологии, не принимая при этом разумных мер для предотвращения причинения ущерба потребителям. Просто предупреждать Ваших клиентов о недопустимости неправомерного использования или предлагать им раскрывать информацию об использовании вряд ли будет достаточно, чтобы отпугнуть злоумышленников. Ваши меры отпугивания и сдерживания должны быть надежными, встроенными функциями, а не исправлением ошибок или же дополнительными функциями, которые третьи стороны могут обойти посредством модификации или удаления. Если Ваш инструмент предназначен для помощи людям, также спросите себя, действительно ли ему нужно должен подражать людям и может ли он быть столь же эффективным, если будет выглядеть, говорить или вести себя как робот.

Не слишком ли Вы полагаетесь на выявление проблем после выпуска продукта? Исследователи продолжают совершенствовать методы распознавания аудиовидеоматериалов и изображений, созданных искусственным интеллектом. Распознать созданный ИИ текст уже сложнее. Но эти исследователи принимают участие в «гонке вооружений» с компаниями, разрабатывающими инструменты порождающего ИИ; и использующие эти инструменты мошенники часто успевают перейти на инструменты нового поколения к тому времени, когда кто-нибудь обнаружит их поддельный контент. В любом случае бремя выяснения того, используется ли инструмент порождающего ИИ для мошенничества против них, не должно лежать на потребителях.

Не вводите ли Вы людей в заблуждение относительно того, что они видят, слышат или читают? Если вы рекламодатель, у вас может возникнуть соблазн использовать некоторые из этих инструментов для продажи – практически чего угодно. Например, высокотехнологические фальшивки с участием знаменитостей уже распространены и время от времени появляются в рекламе. Мы ранее предупреждали компании, что введение потребителей в заблуждение с помощью двойников-доппельгангеров, таких как поддельные профили на сайтах знакомств, сведения о фальшивых подписчиках, дипфейки или чат-боты, может привести - и фактически уже приводило - к принятию FTC мер административного воздействия.

Хотя основное внимание в этом посте уделяется мошенничеству и обману, эти новые ИИ-инструменты приносят с собой множество других серьёзных проблем, таких как потенциальный вред детям, подросткам и другим группам населения повышенного риска при взаимодействии с этими инструментами или при их использовании. Сотрудники комиссии FTC внимательно следят за этими рисками, поскольку компании продолжают спешно выводить подобные продукты на рынок, в то время, как взаимодействие человека и компьютера продолжает принимать новые и, возможно, опасные обороты.

Майкл Атлесон (Michael Atleson)

Источник: блог FTC Business Blog
https://www.ftc.gov/business-guidance/blog/2023/03/chatbots-deepfakes-voice-clones-ai-deception-sale

среда, 28 апреля 2021 г.

В США, наконец, появился федеральный законопроект по защите персональных данных, часть 2

(Окончание, начало см. http://rusrim.blogspot.com/2021/04/1_0104328716.html )

Получение явного согласия (opt-in consent) и политика защиты неприкосновенности частной жизни

Законопроект основан на концепции несомненного, явного и добровольного согласия, исходя из того, что организации, которые собирают, передают, хранят, обрабатывают, продают или делятся чувствительными персональными данными, должны информировать потребителей о своих действиях посредством политики обеспечения защиты и использования персональных данных. После уведомления, субъект должен дать недвусмысленное согласие на сбор данных.

В дополнение к вышеупомянутому требованию об использовании «простого и понятного английского языка», соответствующие политики должны ясно и чётко соответствовать руководствам Федеральной комиссии по торговле (FTC) и, где это уместно, должна использовать визуализацию для облегчения их понимания пользователем. Организации не вправе взимать с пользователей плату за доступ к таким политикам.

Политика обязана включать:

  • Контактную информацию организации, собирающей и обрабатывающей данные;

  • Цель обработки данных;

  • Категории собираемых данных;

  • Категории третьих лиц, которым будут передаваться данные;

  • Каким образом субъекты могут отозвать согласие или просмотреть и получить собранные у них данные;

  • Могут ли субъекты экспортировать свои данные на другие веб-платформы после доступа к ним;

  • Меры, предпринятые для защиты данных от несанкционированного доступа или получения.

Здесь есть оговорка: если потребитель соглашается на продажу или раскрытие своих данных третьей стороне, то организация не несёт ответственности за несоблюдение этой третьей стороной установленных в согласии ограничений.

Мой комментарий: Это, как говорится, даже не «дыра в заборе», а полное отсутствие забора.

Согласие по умолчания с правом отзыва (opt-out consent)

В то время, как потребители должны дать явное согласие (opt-in) на любые действия, связанные с чувствительными персональными данными (которые примерно соответствуют нашей категории специальных персональных данных – Н.Х.), такого рода требования не применяются в отношении «нечувствительных» (non-sensitive) персональных данных. Тем не менее, потребители могут запретить обработку таких данных. Операторы и обработчики должны уважать запросы на запрет обработки/отзыв согласия на обработку, и передавать такие запросы всем третьим сторонам, которым они раскрыли данные. Если третья сторона не соблюдает требования, оператор не несет за это ответственности.

Взаимоотношения оператора и обработчика

Для того, чтобы можно было проводить обработку данных, между обработчиком и оператором должен быть заключен обязывающий договор, подробно регламентирующий, каким образом обработчик может обрабатывать данные.

Обработчики вправе передавать чувствительную персональную информацию субподрядчикам только в целях предоставления последними услуг. При таких обстоятельствах они вправе сделать это только после предоставления оператору возможности возразить против этого.

Аудит

Законопроект требует, чтобы все использующие чувствительные персональные данные операторы, обработчики и третьи стороны, проводили аудит с привлечением объективной, независимой и квалифицированной третьей стороны не реже одного раза в два года. Такой аудит должен показать, была ли организация признана соответствующей требованиям, - и это решение должно быть обнародовано. Аудиты обязаны охватывать / включать:

  • Меры и средства контроля и обеспечения защиты персональных данных, безопасности и использования данных, внедренные и поддерживаемые организацией;

  • В какой мере эти меры и средства контроля и управления соответствуют размеру и сложности операций с данными и характеру данных;

  • Подтверждение того, что эти меры и средства контроля и управления эффективно защищают безопасность и конфиденциальность данных.

Аудит должен учитывать все существенные изменения в политике организации обеспечения неприкосновенности частной жизни и использования данных. Материалы аудита должен быть предоставлен в FTC немедленно, и Генеральному прокурору штата - в течение десяти дней с момента запроса.

Организации, которые используют чувствительную персональную информацию, относящуюся к 250 тысячам или менее лицам в год, освобождаются от требований аудита. Кроме того, требование об аудите не применяется в случае обработки данных, разрешенной Законом о справедливой кредитной отчетности (Fair Credit Reporting Act), или же в целях:

  • Предупреждения или выявления преступной деятельности;

  • Совершенствования способности оператора оказывать услуги, или для выявления ошибок в них;

  • Защита интересов человека;

  • Исполнения требований законодательства;

  • Мониторинга или обеспечение соблюдения соглашений между операторами, обработчиками и третьими сторонами;

  • Защиты собственности, услуг или информационных систем от несанкционированного доступа;

  • Ввиду «существенного общественного интереса», такого, как научные, исторические исследования или исследования в сфере общественного здравоохранения;

  • Для завершения запрошенной потребителем транзакции, для выполнения которой была собрана персональная информация;

  • Проведения отзыва продукции или гарантийного обслуживания.

Мой комментарий: Иными словами, если обработка данных проводится в благородных целях, то проверять соблюдение элементарных мер безопасности и конфиденциальности уже не надо!

Правоприменение

Исполнение данного закона будет обеспечивать Федеральной комиссия США по торговле (FTC). В случае непреднамеренного нарушения FTC уведомит нарушителя и даст ему 30 дней на устранение нарушения.

Если FTC не предпринимает никаких мер, то генеральный прокурор штата вправе подать иск в том случае, если предполагается, что нарушение закона нанесло ущерб штату или его жителям, - направив письменное уведомление о таких действиях в FTC.

Мой комментарий: Далеко не всё в европейском законодательстве о защите персональных данных (и в скопированном с него российском законодательстве) вызывает у меня восторг, но по сравнению с американским законопроектом им можно считать шедеврами юридической мысли. Возникает и вопрос о том, зачем американцы вносят законопроект, который явно противоречит европейскому законодательству и лишь обострит противостояние Евросоюза и США в вопросах защиты персональных данных, их трансграничного хранения и обработки.

Источник: сайт ассоциации ADCG
https://adcg.org/at-last-us-proposes-federal-data-privacy-law/ 

вторник, 27 апреля 2021 г.

В США, наконец, появился федеральный законопроект по защите персональных данных, часть 1

Данная заметка Тима Крино (Tim Crino – на фото) была опубликована 24 марта 2021 года на сайте американской Ассоциации по стратегическому управлению данными, защитой персональных данных и кибербезопасностью» (Association for Data and Cyber Governance, ADCG).

Наконец-то, в законодательный орган США внесён всесторонний федеральный законопроект о защите персональных данных, инициатором которого стала член Палаты представителей от Демократической партии и штата Вашингтон Сьюзан ДельБене (Suzan DelBene). Законопроект, известный под названием «Закон о прозрачности информации и контроле над персональными данными» (Information Transparency and Personal Data Control Act, ITPDCA, см.  https://delbene.house.gov/uploadedfiles/delbene_privacy_bill_final.pdf ), обеспечивает защиту «нашей наиболее чувствительной персональной информации, включая финансовую, медицинскую, генетическую, биометрическую, геолокационную информацию, сведения о сексуальной ориентации, о гражданстве и иммиграционном статусе, номера социального страхования, сведения о религиозных убеждениях и информацию, относящимся к детям в возрасте до 13 лет».

Законопроект ITPDCA стремится создать сбалансированную, «высокой пробы» концепцию защиты неприкосновенности частной жизни, которая «дополняла бы мировые стандарты». Закон направлен на установление прав потребителей в общенациональном масштабе, и на предоставление федеральным властям ресурсов, необходимых тем для защиты потребителей от мошенничества с использованием данных. Ниже приведена информация, которую Вам нужно знать об этом законопроекте.

Мой комментарий: Законопроект зарегистрирован под номером H.R.1816 и с названием «Потребовать от Федеральной комиссии по торговле (Federal Trade Commission) принять нормативные акты, относящиеся к чувствительной персональной информации, и для иных целей» (To require the Federal Trade Commission to promulgate regulations related to sensitive personal information, and for other purposes), см. https://www.congress.gov/bill/117th-congress/house-bill/1816?s=1&r=1


Ключевые элементы

Согласно опубликованному пресс-релизу (см. https://delbene.house.gov/uploadedfiles/delbene_consumer_data_privacy_bill_fact_sheet.pdf , 18 стр., для доступа может потребоваться анонимайзер – Н.Х.), законопроект включает шесть ключевых элементов:

  • Политики обеспечения неприкосновенности частной жизни должны быть написаны и предоставлены на простом и понятном английском языке;

  • У пользователей должна иметься возможность дать явное согласие (opt-in) до того, как компании начнут использовать их чувствительную личную информацию неожиданным образом;

  • Организации обязаны раскрывать сведения о всех третьих сторонах, которым была предоставлена информация, включая причины предоставления им информации;

  • Законопроект пытается предотвратить появление противоречащих друг другу законов штатов посредством создания целостного национального стандарта защиты персональных данных;

  • Если Федеральная комиссия по торговле (FTC) предпочтёт не применять правила в отношении нарушения, совершённого впервые, то прокурорам штата должно быть дано право наказывать за нарушения;

  • Каждые два года организации должны предоставлять результаты аудита по вопросам защиты неприкосновенности частной жизни, проводимого нейтральной третьей стороной.

Мой комментарий: У нас бы в отношении последнего пункта сразу бы стали кричать (вполне обоснованно!) об обезумевшей бюрократии и распиле :) Правда, показушная жестокость этого требования затем сводится на ноль целым «букетом» исключений.

Права потребителей

Говоря коротко, законопроект направлен на то, чтобы предоставить потребителям возможность контроля над своими данными. У потребителей будет право на получение ясной и доступной информации о практике обеспечения безопасности и неприкосновенности частной жизни. У них будет право ожидать от организаций безопасного и ответственного обращения с их данными; использования их способами, которые «согласуются с контекстом, в котором потребители предоставляют данные»; и уважения «разумных ограничений» на то, какие данные организации могут собирать и хранить.

Как и в других известных законах о защите неприкосновенности частной жизни, в законопроекте содержится положение о том, что потребители должны иметь возможность доступа и исправления персональных данных, в удобных для использования форматах.

(Окончание следует, см. http://rusrim.blogspot.com/2021/04/2_0175967660.html )

Источник: сайт ассоциации ADCG
https://adcg.org/at-last-us-proposes-federal-data-privacy-law/