گره کور داده برای هوش مصنوعی؛ به دست باز کنیم یا دندان؟

مدلی که قرار است خرابی تجهیزات یک پالایشگاه را پیش‌بینی کند، به سابقه واقعی کارکرد و تعمیرات آن نیاز دارد. سامانه‌ای که قرار است کیفیت خدمات درمانی را بهبود دهد، باید از داده‌های معتبر همان نظام درمانی استفاده کند؛ و دستیاری که برای تصمیم‌سازی مدیران ساخته می‌شود، بدون دسترسی به اطلاعات مرتبط و به‌روز، فاصله زیادی با یک ابزار قابل‌اتکا خواهد داشت. نیاز هوش مصنوعی به داده نیز با پایان آموزش تمام نمی‌شود و در ارزیابی، بهره‌برداری و اصلاح مستمر ادامه دارد. از این‌رو، دسترسی قانونی و پایدار به داده، بخشی از زیرساخت توسعه هوش مصنوعی است. این یادداشت در ادامه سلسله یادداشت‌های پنج‌گانه تنظیم‌گری داده‌ها، بر یکی از گره‌های مشخص این موضوع تمرکز دارد: «نسبت محرمانگی داده با امکان بهره‌برداری از آن.»

چند سال پیش، پس از تصویب و ابلاغ طرح مدیریت داده و اطلاعات ملی، جلسه‌ای با حضور نمایندگان تدوین‌کننده طرح در خانه اندیشه‌ورزان تشکیل شده بود. در پایان این جلسه یکی از مدیران یکی از دستگاه‌های دولتی جمله‌ای بسیار کلیدی گفت:«علی‌رغم قوّت طرح مدام من مدیر دولتی ترجیح می‌دهم که انفصال از خدمت بخورم، اما توی گونی نروم!» این تعبیر، بیش از آنکه نقدی به قانون باشد، ادراک مدیر از هزینه همکاری در حوزه محرمانگی و مخاطرات افشای اطلاعات را نشان می‌دهد. منفعت استفاده از داده ممکن است به صنعت، پژوهشگر، دستگاهی دیگر یا عموم مردم برسد، اما مدیر نگران است مسئولیت افشای احتمالی، شخصا متوجه او شود. وقتی حدود اقدام مجاز روشن نباشد، مطالبه همکاریِ بیشتر، الزاما به گردش بیشتر داده منجر نمی‌شود. برای باز کردن این گره باید معلوم شود چه چیزی واقعا نیازمند حفاظت است، چه کسی حق تشخیص و محدود کردن دسترسی را دارد و تحت چه شرایطی می‌توان از داده استفاده کرد، بدون آنکه اطلاعات در اختیار اشخاص غیرمجاز قرار گیرد.

بخش اول؛ قانونی که مصلحت دستگاه را مبنای محرمانگی قرار داده است

«قانون مجازات انتشار و افشای اسناد محرمانه و سری دولتی» مصوب ۲۹ بهمن ۱۳۵۳، یکی از پایه‌های حقوقی وضعیت موجود است. ماده یک این قانون، اسناد سری را با مصالح دولت یا مملکت و اسناد محرمانه را با «مصالح خاص اداری» سازمان مربوط پیوند می‌دهد. ماده ۲ نیز در اختیار گذاشتن اسناد یا آگاه کردن دیگران از محتوای آنها خارج از حدود وظیفه را موضوع مجازات قرار می‌دهد. تعریف اسناد در این قانون به نوشته‌های کاغذی محدود نیست و انواع اطلاعات ثبت یا ضبط‌شده را در بر می‌گیرد. بنابراین، نقد آن را نمی‌توان به قدیمی بودن ابزارهای ذکرشده در متن تقلیل داد. مسئله اصلی، معیار تشخیص محرمانگی و حدود استفاده مجاز است.

آئین‌نامه اول دی ۱۳۵۴ نیز با تعیین چهار طبقه «بکلی سری»، «سری»، «خیلی محرمانه» و «محرمانه»، اختیار اولیه طبقه‌بندی را عمدتا در دستگاه ایجادکننده مستقر کرده است. در این آئین‌نامه، تغییر طبقه و خروج از طبقه‌بندی پیش‌بینی‌ شده و ماده مربوط در سال ۱۳۸۲ نیز اصلاح شده است. از این‌رو، ادعای نبود مطلق راه خروج از محرمانگی، دقیق نیست. کاستی مهم‌تر، فقدان تضمین کافی برای بازبینی مستقل، محدود بودن دامنه محرمانگی و تعیین مدت متناسب برای استمرار آن است.

تعارض منافع از همین‌جا آغاز می‌شود. دستگاهی که داده را تولید یا نگهداری می‌کند، درباره مصلحت اداری خود نیز داوری می‌کند و در نخستین مرحله، تصمیم‌گیر دسترسی دیگران است. در چنین ساختاری، مرز میان حفاظت از منافع عمومی و حفاظت از موقعیت سازمانی ممکن است مبهم شود. اطلاعاتی که افشای آن امنیت زیرساختی حیاتی را تهدید می‌کند، با اطلاعاتی که ضعف عملکرد، هزینه نامتعارف یا تصمیم نادرست یک سازمان را آشکار می‌کند، وضعیت یکسانی ندارد. قانون باید این تفاوت را به معیاری روشن و قابل‌ رسیدگی تبدیل کند.

در عین حال، نگرانی امنیتی را هم نمی‌توان به‌طور کلی بهانه دانست. ترکیب داده‌های تولید، موقعیت تجهیزات، زمان توقف و الگوی مصرف یک تأسیسات ممکن است اطلاعاتی بسیار حساس ایجاد کند. حتی اگر هر یک از این داده‌ها به‌تنهایی عادی به نظر برسد. موضوعی که پس از دو جنگ اخیر و شرایط جاری کشور اهمیت بسیار بالاتری نیز یافته است. مسئله آن است که تشخیص خطر واقعی، با اختیار نامحدود برای جلوگیری از هر استفاده‌ای یکسان گرفته نشود. دستگاه باید بتواند از ضرورت محدودیت دفاع کند و متقاضی نیز باید امکان اعتراض مؤثر به محدودیت ناموجه را داشته باشد.

قانون سال ۱۳۵۳ نیز تنها متن مرتبط با موضوع نیست. برای نمونه، قانون جرایم رایانه‌ای درباره دسترسی غیرمجاز به داده‌های سری، در دسترس قرار دادن آنها و نقض تدابیر حفاظتی، احکام مستقلی دارد. در نتیجه، صرف اینکه یک برنامه داده را پردازش کند و انسان مستقیما آن را نبیند، به معنای قانونی بودن عملیات نیست. مجوز پردازش باید از مرجع دارای صلاحیت صادر شده و حدود آن روشن باشد.

بنابراین، مسئله با حذف یک نام از مجموعه قوانین حل نمی‌شود. نسخ قانون سال ۱۳۵۳ باید با تعیین تکلیف مقررات وابسته و هماهنگ کردن احکام مرتبط همراه باشد. در غیر این صورت، ممکن است قانون حذف شود اما ابهام و نگرانی مدیر در پوشش عناوین دیگری باقی بماند.

بخش دوم؛ قوانینی که راه را باز کردند، اما گره را نگشودند

در سال‌های اخیر، تلاش‌های مهمی برای تغییر این وضعیت صورت گرفته است. قانون انتشار و دسترسی آزاد به اطلاعات، مصوب سال ۱۳۸۷، حق دسترسی عمومی را به رسمیت شناخت و حتی مطالبه دلیل درخواست از متقاضی اطلاعات عمومی را منع کرد. ماده ۱۱ این قانون نیز تصمیمات موجد حق یا تکلیف عمومی را غیرقابل‌طبقه‌بندی دانست. بااین‌حال، ماده ۱۳ درباره اطلاعات طبقه‌بندی‌شده، دسترسی را تابع قوانین و مقررات خاص قرار داد. به این ترتیب، حق دسترسی توسعه یافت، اما بخش مهمی از تشخیص اینکه چه چیزی از این حق مستثناست، همچنان به چارچوب پیشین متصل ماند.

شیوه‌نامه تشخیص و تفکیک اسرار دولتی از اطلاعات عمومی، مصوب ۱۳۹۷ نیز برای محدود کردن برداشت‌های موسع از محرمانگی، تفکیک اطلاعات قابل‌ ارائه و جلوگیری از طبقه‌بندی برخی اطلاعات مرتبط با حقوق عمومی، سلامت و محیط‌زیست تلاش کرد. با این ‌حال، در سازوکار ماده ۱۰ آن، پس از بررسی اولیه کمیسیون درباره تغییر مبنای طبقه‌بندی، تصمیم نهایی به مؤسسه طبقه‌بندی‌کننده ارجاع می‌شود. این سازوکار امکان پیگیری ایجاد می‌کند، اما استقلال تصمیم نهایی از دستگاه ذی‌نفع را به‌طور کامل تأمین نمی‌کند.

قانون مدیریت داده‌ها و اطلاعات ملی، مصوب ۱۴۰۱، گام مهم دیگری بود. این قانون برای تولید، نگهداری، پردازش و تبادل داده تکلیف تعیین کرد، نقش کارگروه تعامل‌پذیری و مرکز ملی تبادل اطلاعات را تثبیت کرد و در ماده ۱۲، برخی محدودیت‌های قوانین مالیاتی، ثبت احوال، مبارزه با قاچاق و بازار اوراق بهادار را صریحا اصلاح کرد. ضمانت اجراهای خوبی هم در آن در نظر گرفته شده است. ماده ۹ برای متخلف، اخلال‌کننده یا مستنکف، انفصال از خدمت به مدت ۶ماه تا پنج سال یا حبس تعزیری نودویک روز تا ۶ماه مقرر کرده است. همچنین ماده ۱۱ برای اختلاف در اجرا و تفسیر فنی مصوبات، مرجع داوری تعیین می‌کند، اما تصمیم آن را برای قضات لازم‌الاتباع نمی‌داند.

حفظ اختیار قاضی طبیعی است؛ اطمینان حقوقی مدیر نیز باید از روشن بودن حکم قانون حاصل شود. مسئله این است که تکلیف به تبادل، بدون تبیین کافی نسبت آن با عناوین افشا، حدود مجوز و مسئولیت هر نقش، تمام نگرانی را برطرف نمی‌کند. مدیر باید بداند اگر داده همچنان تحت حفاظت بماند و استفاده معینی با مجوز و کنترل‌های لازم انجام شود، وضعیت حقوقی اقدام او چیست. تأیید اداری یا فنی، به‌تنهایی پاسخ همه این پرسش‌ها نیست.

برنامه هفتم پیشرفت نیز این ضرورت را جدی‌تر کرده است. ماده ۱۰۷، اتصال مراکز داده به زیرساخت یکپارچه ابری دولت هوشمند را با ترتیبات و استثناهای مقرر دنبال می‌کند و برای هوشمندسازی و ارائه بخشی از خدمات بدون دخالت عامل انسانی تکلیف می‌گذارد. اکنون قانون از دستگاه می‌خواهد فرآیند خود را هوشمند کند، اما اجرای درست این تکلیف به تعیین دقیق حقوق دسترسی و پردازش نیاز دارد. اتصال به یک زیرساخت یا خودکار شدن فرآیند، مجوز استفاده از هر داده برای هر هدف نیست.

این مسئله صرفا برداشت فعالان صنعت نیست. گزارش مرکز پژوهش‌های مجلس درباره چالش‌های تعامل‌پذیری دولت الکترونیکی، میان محرمانگی واقعی و محرمانه‌سازی برای امتناع از همکاری تفکیک می‌کند و قانون سال ۱۳۵۳ را نیازمند تدقیق و بازنگری می‌داند. همان گزارش، تعارض منافع اعضای کارگروه، ضعف کیفیت داده و محدودیت توان کارشناسی را نیز از موانع معرفی می‌کند. بنابراین، ناکامی در گشودن کامل گره را نمی‌توان فقط به ضعف فناوری یا فقط به کمبود ضمانت اجرا نسبت داد. قواعد حقوقی، انگیزه‌های سازمانی و امکانات فنی باید در کنار یکدیگر اصلاح شوند.

بخش سوم؛ از امکان اقدام امروز تا قانون مورد نیاز فردا

برای آغاز کار لازم نیست منتظر پایان فرآیند قانون‌گذاری ماند. بخشی از راه‌های برون‌رفت، همین امروز و در حدود مجوزهای قانونی موجود قابل ‌اجراست. سازمان فناوری اطلاعات ایران می‌تواند در این مسیر نقش مؤثری داشته باشد؛ زیرا اساسنامه آن در زمینه معماری، پیشنهاد ضوابط و استانداردها، مدیریت مخاطرات، زیرساخت داده و فراهم کردن ظرفیت ممیزی، اختیارات و وظایفی پیش‌بینی کرده است. این ظرفیت‌ها می‌تواند برای ایجاد الگوهای مشترک پردازش امن، قراردادهای روشن و سازوکارهای قابل‌ اتکای ارزیابی به کار گرفته شود.

آئین‌نامه اجرایی ابر دولت، مصوب آذر ۱۴۰۳ نیز زیرساخت اجرا و آموزش مدل‌های هوش مصنوعی را در تعریف خود گنجانده و برای معماری، امنیت، استقرار و حفاظت از داده، تدوین ضوابط مشترک را مقرر کرده است. بنابراین، ظرفیت حقوقی اقدام وجود دارد. سازمان فناوری اطلاعات می‌تواند در چارچوب وظایف خود و مصوبات مراجع صالح، این ظرفیت را به محیط‌هایی تبدیل کند که دستگاه‌ها و شرکت‌ها بتوانند پردازش مجاز را با خطر کمتر و شواهد روشن‌تر انجام دهند. و همانطور که بارها عنوان شده سریع ترین راه بهره‌گیری از معماری بدون اعتماد در هوش مصنوعی، ZTAI است. حق آموزش مدل، حق دریافت داده خام و حق خروج مدل، سه اختیار متفاوت‌اند.

اما برای حل پایدار مسئله، چارچوب حقوقی نیز باید تغییر کند. پیش‌نویس پیشنهادی با عنوان «قانون حفاظت از اطلاعات و بهره‌برداری امن از داده‌ها» در کمیسیون هوش مصنوعی و علم داده سازمان نظام صنفی رایانه‌ای استان تهران در حال بررسی و تدوین است تا برای بررسی و طی مراحل قانونی به دولت و مرکز پژوهش‌های مجلس ارائه شود. هدف، جایگزین کردن چارچوب قانون سال ۱۳۵۳ با قواعدی است که حفاظت، استفاده مجاز و مسئولیت را همزمان روشن کند. چند حکم محوری این چارچوب را می‌توان با صورت‌بندی تقنینی زیر بیان کرد.

۱- تعریف داده باید اطلاعات تولیدشده و استنباط‌شده را نیز پوشش دهد: اثر این حکم آن است که قانون به فهرست ابزارهای امروز وابسته نمی‌ماند. همچنین یک داده صرفا با حذف نام، تبدیل شدن به بردار یا قرار گرفتن در وزن‌های مدل، از تمام حمایت‌ها خارج نمی‌شود. در مقابل، نام فناوری یا حوزه تولید نیز به‌تنهایی مجوز محرمانه کردن آن نخواهد بود.

۲- تشخیص اولیه محرمانگی باید از داوری نهایی درباره آن تفکیک شود: این پیشنهاد، مستلزم اصلاح قانونی ساختار و اختیارات رسیدگی موجود است. دستگاه همچنان دانش تخصصی و مسئولیت تشخیص اولیه را دارد اما اعتراض متقاضی به همان تشخیص، در اختیار انحصاری دستگاه باقی نمی‌ماند. جزئیات امنیتی می‌تواند در رسیدگی محفوظ بماند؛ اصل تصمیم باید قابل‌رسیدگی باشد.

۳- محرمانه بودن باید از قابل‌پردازش بودن جدا شود: این حکم، نقطه اصلی تغییر است. دستگاه می‌تواند داده را همچنان محرمانه نگه دارد و در عین حال، یک استفاده مشخص و کنترل‌شده از آن را مجاز کند. برای این منظور باید «حق انجام محاسبه» در کنار حق مشاهده، دریافت و انتشار به رسمیت شناخته شود. مدیر نیز باید بتواند با ارائه مجوز، مشخصات محیط و سابقه اجرای کنترل‌ها، از قانونی بودن اقدام خود دفاع کند.

۴- پاسخ «محرمانه است» نباید برای رد هر درخواست کافی باشد: به این ترتیب، هم امتناع باید پاسخ‌گو شود و هم راهکار فنی نباید به مانع تازه‌ای در برابر شفافیت تبدیل شود. زیرساخت پردازش امن برای استفاده از داده حفاظت‌شده است؛ اطلاعات عمومی باید از مسیر عمومی خود در دسترس باشد.

۵- مسئولیت باید متناسب با اختیار و رفتار هر بازیگر تعیین شود: این تفکیک برای تغییر رفتار مدیران ضروری است. اگر مدیر در هر حال خود را مسئول تمام رخدادهای زنجیره بداند، حتی اجرای بهترین کنترل‌ها نیز اطمینان کافی ایجاد نمی‌کند. در سوی دیگر، پیمانکار یا بهره‌بردار نیز نباید بتواند با استناد به مجوز اولیه، از مسئولیت استفاده بعدی یا نقض کنترل‌های خود بگریزد.

این احکام باید با مهلت روشن رسیدگی، دسترسی غیرتبعیض‌آمیز، تأمین هزینه آماده‌سازی و حفاظت، حقوق اشخاص موضوع داده و ضمانت اجرای امتناع ناموجه تکمیل شود. همچنین نسخ قانون سال ۱۳۵۳ باید با آغاز اعتبار احکام جایگزین و تعیین صریح وضعیت مقررات مرتبط همراه باشد تا هم ابهام برطرف شود و هم خلاء حفاظتی به وجود نیاید.

هنوز می‌توان این گره را به دست باز کرد. بخشی از کار، استفاده درست از ظرفیت‌های قانونی و فنی امروز است و بخش دیگر، اصلاح قواعدی که هزینه اقدام مجاز را نامعلوم نگه داشته‌اند. مدیر باید بداند با رعایت چه شرایطی می‌تواند همکاری کند؛ توسعه‌دهنده باید حدود حق استفاده خود را بشناسد و شهروند باید مطمئن باشد که حفاظت فنی، جای حقوق و امکان دادخواهی او را نگرفته است. در چنین نظمی، «محرمانه است» پاسخ نهایی به هر تقاضای بهره‌برداری نبوده و آغاز تعیین حدود استفاده و مسئولیت حفاظت خواهد بود.