چگونه از ابزارهای هوش مصنوعی به صورت ایمن استفاده کنیم: راهنمای عملی حفاظت از داده‌ها

ابزارهای هوش مصنوعی مانند ChatGPT، Claude و GitHub Copilot برای بهره‌وری ضروری شده‌اند. اما هر بار که با این ابزارها تعامل می‌کنید، احتمالاً داده‌هایی را با سرورهای آن‌ها به اشتراک می‌گذارید — داده‌هایی که می‌توانند ذخیره شوند، برای آموزش استفاده شوند یا حتی در نقض امنیتی افشا شوند.

این راهنما گام‌های عملی و قابل اجرا برای استفاده از ابزارهای هوش مصنوعی در عین حفاظت از اطلاعات حساس شما ارائه می‌دهد.

قانون طلایی: فرض کنید همه چیز عمومی است

قبل از ورود به تنظیمات و ابزارهای خاص، این اصل را درونی کنید:

هر پرامپتی که به یک ابزار هوش مصنوعی ارسال می‌کنید طوری فرض کنید که می‌تواند عمومی شود.

این به معنای:

• کارمندان شرکت هوش مصنوعی می‌توانند آن را بخوانند
• می‌تواند در نقض داده ظاهر شود
• می‌تواند بر پاسخ‌ها به کاربران دیگر تأثیر بگذارد
• می‌تواند در دادرسی‌های قانونی احضار شود

اگر آن را به صورت عمومی منتشر نمی‌کنید، در چت‌بات پیست نکنید.

گام ۱: تنظیمات حریم خصوصی را پیکربندی کنید

ChatGPT (OpenAI)

غیرفعال کردن آموزش بر روی داده‌های شما:

1. به Settings → Data Controls بروید
2. "Improve the model for everyone" را خاموش کنید
3. مکالمات شما دیگر برای آموزش مدل‌های آینده استفاده نخواهند شد

استفاده از چت موقت:

• قبل از مکالمات حساس، دکمه "Temporary Chat" را فعال کنید
• این چت‌ها در تاریخچه شما ذخیره نمی‌شوند و برای آموزش استفاده نمی‌شوند

API در مقابل Consumer:

• OpenAI به طور پیش‌فرض بر روی استفاده API آموزش نمی‌دهد
• برای برنامه‌های حساس استفاده مستقیم از API را در نظر بگیرید

Claude (Anthropic)

پلن‌های پولی:

• مکالمات Claude Pro/Team/Enterprise به طور پیش‌فرض برای آموزش استفاده نمی‌شوند
• سیاست استفاده از داده Anthropic را برای پلن خاص خود بررسی کنید

Free tier:

• مکالمات ممکن است برای آموزش استفاده شوند
• در صورت وجود، از ویژگی‌های موقت Claude استفاده کنید

Google Gemini

خاموش کردن ذخیره فعالیت:

1. به Gemini Apps Activity بروید
2. ذخیره فعالیت را خاموش کنید
3. حذف خودکار را به کوتاه‌ترین دوره تنظیم کنید

Microsoft Copilot

برای کاربران سازمانی:

• Copilot for Microsoft 365 حفاظت داده قوی‌تری دارد
• Consumer Copilot سیاست‌های داده مجازتری دارد
• از نسخه سازمانی Copilot برای داده‌های کاری استفاده کنید

گام ۲: بفهمید چه چیزی را نباید به اشتراک بگذارید

هرگز در چت‌بات‌های هوش مصنوعی پیست نکنید:

دسته	نمونه‌ها	خطر
اعتبارنامه‌ها	رمز عبور، کلید API، توکن	سرقت مستقیم حساب
اطلاعات شخصی	کد ملی، کارت اعتباری، پرونده پزشکی	سرقت هویت، نقض قوانین
اسرار شرکت	کد منبع، داده مشتری، مالی	از دست دادن راز تجاری، نقض انطباق
ارتباطات خصوصی	ایمیل‌ها، پیام‌های تلگرام	نقض حریم خصوصی

پرچم‌های قرمز در پرامپت‌های شما:

• هر رشته‌ای که با sk-، AKIA، ghp_ و غیره شروع می‌شود (احتمالاً کلید API)
• هر چیزی با دامنه‌های ایمیل @company.com
• رشته‌های اتصال پایگاه داده
• نام‌های واقعی با جزئیات شخصی
• اسکرین‌شات‌های حذف نشده

گام ۳: قبل از اشتراک‌گذاری حذف کنید

وقتی به کمک هوش مصنوعی برای کد یا اسنادی که حاوی اطلاعات حساس هستند نیاز دارید:

مقادیر واقعی را با جایگزین‌ها عوض کنید:

# به جای:
api_key = "sk-proj-abc123xyz789"
db_password = "MyR3alP@ssword!"

# استفاده کنید:
api_key = "YOUR_OPENAI_API_KEY"
db_password = "YOUR_DATABASE_PASSWORD"

اطلاعات شخصی را ناشناس کنید:

# به جای:
"علی احمدی از شرکت اَکمی ([email protected]) درخواست کرد..."

# استفاده کنید:
"کاربر A از شرکت X ([email protected]) درخواست کرد..."

قبل از پرسیدن کلی‌سازی کنید:

به جای: "چرا کلید AWS من AKIAIOSFODNN7EXAMPLE کار نمی‌کند؟"

بپرسید: "دلایل رایج برای متوقف شدن کلید دسترسی AWS چیست؟"

گام ۴: ابزار مناسب را برای سطح حساسیت انتخاب کنید

حساسیت پایین (اطلاعات عمومی، سؤالات عمومی):

• ابزارهای هوش مصنوعی مصرف‌کننده مشکلی ندارند
• ChatGPT، Claude، Gemini tier رایگان
• نیازی به احتیاط خاصی نیست

حساسیت متوسط (فرآیندهای داخلی، کد غیرمحرمانه):

• تنظیمات حریم خصوصی را فعال کنید
• از حالت‌های موقت/ناشناس استفاده کنید
• جزئیات خاص را حذف کنید

حساسیت بالا (اعتبارنامه‌ها، PII، اسرار تجاری):

• از tier سازمانی با DPA استفاده کنید
• مدل‌های محلی/خود-میزبانی را در نظر بگیرید
• یا اصلاً از هوش مصنوعی برای این داده استفاده نکنید

گزینه‌های AI سازمانی:

سرویس	حفاظت کلیدی	انطباق
ChatGPT Enterprise	بدون آموزش بر روی داده، SOC 2	GDPR، آماده HIPAA
Claude Enterprise	DPA موجود، بدون آموزش	SOC 2، GDPR
Azure OpenAI	داده در Azure شما باقی می‌ماند	انطباق کامل سازمانی
AWS Bedrock	VPC شما، داده شما	انطباق کامل سازمانی

گام ۵: اعتبارنامه‌ها را به درستی مدیریت کنید

هرگز اعتبارنامه‌ها را از طریق ابزارهای هوش مصنوعی یا پیام‌رسانی معمولی به اشتراک نگذارید

وقتی نیاز دارید اعتبارنامه‌های حساس را با همکاران به اشتراک بگذارید:

شیوه‌های بد:

• پیست کردن در تلگرام/واتساپ (پیام‌ها ذخیره می‌شوند)
• قرار دادن در اسناد مشترک (دسترسی دائمی)
• ایمیل کردن (اغلب رمزگذاری نشده، قابل جستجو)
• پیست کردن در چت‌بات‌های هوش مصنوعی (احتمالاً برای آموزش استفاده می‌شود)

شیوه‌های بهتر:

• از ویژگی اشتراک‌گذاری مدیر رمز عبور استفاده کنید
• از ابزار مدیریت راز سازمان خود استفاده کنید
• از طریق کانال‌های رمزگذاری شده، خود-تخریب استفاده کنید

استفاده از لینک‌های امن و منقضی‌شدنی

سرویس‌هایی مانند LOCK.PUB به شما اجازه می‌دهند:

1. یک یادداشت محافظت شده با رمز عبور ایجاد کنید
2. زمان انقضا تنظیم کنید (۱ ساعت، ۲۴ ساعت و غیره)
3. پس از یک بار مشاهده خود-تخریب شود
4. لینک را از یک کانال و رمز عبور را از کانال دیگر به اشتراک بگذارید

نمونه گردش کار:

• باید رمز عبور پایگاه داده را با عضو جدید تیم به اشتراک بگذارید
• یک یادداشت امن با رمز عبور ایجاد کنید
• تنظیم کنید که در ۱ ساعت منقضی شود و پس از مشاهده حذف شود
• لینک را از طریق ایمیل، رمز عبور را از طریق کانال دیگر ارسال کنید
• پس از مشاهده، اعتبارنامه دیگر قابل بازیابی نیست

این بی‌نهایت امن‌تر از قرار دادن اعتبارنامه در ایمیل، پیام چت یا پرامپت هوش مصنوعی است.

گام ۶: مدل‌های محلی هوش مصنوعی را در نظر بگیرید

برای کار واقعاً حساس، اجرای مدل‌های هوش مصنوعی به صورت محلی را در نظر بگیرید:

گزینه‌ها برای هوش مصنوعی محلی:

Ollama + مدل‌های منبع باز:

• Llama، Mistral یا مدل‌های دیگر را به صورت محلی اجرا کنید
• صفر داده از دستگاه شما خارج می‌شود
• برای بررسی کد، کمک نوشتن خوب است

GPT4All:

• برنامه دسکتاپ برای اجرای مدل‌های محلی
• نیازی به اینترنت نیست
• مناسب برای محیط‌های آفلاین

LocalAI:

• سرور محلی سازگار با OpenAI API
• می‌تواند در گردش‌های کاری موجود قرار گیرد

معاوضه‌های مدل‌های محلی:

• کمتر قابل از GPT-4 یا Claude
• نیاز به سخت‌افزار خوب (GPU توصیه می‌شود)
• بدون دسترسی اینترنت = بدون دانش خارجی
• اما: حریم خصوصی کامل

گام ۷: سیاست‌های تیمی را اجرا کنید

اگر یک تیم را مدیریت می‌کنید، دستورالعمل‌های واضح ایجاد کنید:

ابزارها و tier‌های تأیید شده:

• کدام سرویس‌های هوش مصنوعی می‌توانند استفاده شوند
• کدام tier (رایگان در مقابل سازمانی) برای کدام داده
• چگونه استثناها تأیید می‌شوند

طبقه‌بندی داده:

• چه انواع داده‌هایی می‌توانند با هوش مصنوعی بحث شوند
• چه چیزی نیاز به حذف دارد
• چه چیزی کاملاً ممنوع است

الزامات آموزشی:

• آموزش سالانه آگاهی امنیتی هوش مصنوعی
• به‌روزرسانی زمانی که خطرات جدید ظاهر می‌شوند
• رویه‌های پاسخ به حادثه

حسابرسی و نظارت:

• در صورت امکان استفاده از ابزار هوش مصنوعی را ثبت کنید
• بررسی انطباق سیاست
• از حوادث یاد بگیرید

مرجع سریع: چک‌لیست ایمنی هوش مصنوعی

قبل از ارسال هر پرامپتی به یک ابزار هوش مصنوعی، از خود بپرسید:

• آیا راحت هستم که این پرامپت عمومی شود؟
• آیا تمام رمزهای عبور، کلیدهای API و توکن‌ها را حذف کردم؟
• آیا اطلاعات شخصی (نام‌ها، ایمیل‌ها، شناسه‌ها) را ناشناس کردم؟
• آیا جزئیات خاص شرکت که ضروری نیستند را حذف کردم؟
• آیا از tier مناسب برای حساسیت این داده استفاده می‌کنم؟
• آیا تنظیمات حریم خصوصی (انصراف از آموزش، چت موقت) را فعال کردم؟

اگر نمی‌توانید همه جعبه‌ها را علامت بزنید، متوقف شوید و قبل از ادامه حذف کنید.

درباره خطرات خاص بیشتر بدانید

این راهنما بهترین شیوه‌های عمومی را پوشش داد. برای غواصی عمیق‌تر در تهدیدهای خاص، پست‌های مرتبط ما را ببینید:

• نشت داده چت‌بات هوش مصنوعی: چه اتفاقی می‌افتد وقتی اطلاعات حساس را پیست می‌کنید
• خطرات امنیتی عامل هوش مصنوعی: چرا دادن مجوزهای زیاد به هوش مصنوعی خطرناک است
• دستیارهای کدنویسی هوش مصنوعی کد ناامن می‌نویسند

نتیجه‌گیری

ابزارهای هوش مصنوعی بسیار قدرتمند هستند، اما نیاز به استفاده متفکرانه دارند. راحتی دریافت فوری کمک از ChatGPT ارزش نقض داده، نقض انطباق یا افشای اعتبارنامه‌ها را ندارد.

موارد اقدام شما:

1. امروز تنظیمات حریم خصوصی را در تمام ابزارهای هوش مصنوعی که استفاده می‌کنید پیکربندی کنید
2. یک قانون شخصی ایجاد کنید: بدون اعتبارنامه، بدون PII، بدون راز در پرامپت‌های هوش مصنوعی
3. از کانال‌های منقضی‌شدنی، رمزگذاری شده برای اشتراک‌گذاری داده‌های حساس استفاده کنید
4. تیم خود را در بهترین شیوه‌های ایمنی هوش مصنوعی آموزش دهید
5. برای حساس‌ترین کار مدل‌های محلی را در نظر بگیرید

۳۰ ثانیه اضافی حذف می‌تواند شما را از ماه‌ها پاسخ به حادثه نجات دهد.

ایجاد یادداشت امن و منقضی‌شدنی →