Szingapúr első AI-adatvédelmi incidens: 95 ezer ügyfél e-mailjét tárták fel

Az incidens április 25-én történt, amikor az AI-eszköz által generált kód a marketing e-maileket úgy küldte el, hogy az összes címzett e-mail címe látható volt a többi ügyfél számára. A probléma nem az AI-eszköz hibájából, hanem az alkalmazott által adott utasítás hiányosságából eredt: a kód nem tartalmazott utasítást arra, hogy az egyes címzetteket elrejtse egymás elől. Az e-mailek 1000 fős kötegekben kerültek kiküldésre ahelyett, hogy mindegyik ügyfél egyéni e-mailt kapott volna.

A Szingapúri Személyes Adatvédelmi Bizottság (PDPC) szerint az incidens oka az volt, hogy a Bee Cheng Hiang nem végzett kellően alapos teszteket az e-mail terjesztési kód telepítése előtt, és egyetlen alkalmazottra támaszkodott felügyeleti ellenőrzés nélkül. A cégnek nem voltak AI-eszközök felelős használatáról szóló irányelvei sem. Az alkalmazott nem vette észre a hibát, mert a tesztelést csak tevékenységnaplók ellenőrzésével végezték, nem pedig az e-mailek tényleges tartalmát vizsgálták meg.

A cég szeptember 2-én önkéntes kötelezettségvállalást fogadott el a PDPC-vel, amelynek keretében többek között független technikai felülvizsgálatot vezet be az AI által generált kódokhoz, automatizált technikai intézkedéseket valósít meg a tömeges e-mail terjesztés megakadályozására, és adatvédelmi képzéseket nyújt az alkalmazottaknak. Az incidens után a cég már kettős ellenőrzési rendszert vezetett be az összes tömeges e-mail kommunikációhoz.