Szingapúr első AI-s adatvédelmi incidens

Az incidens április 25-én történt, amikor egy alkalmazott generatív AI-eszközt használt egy program létrehozásához a marketing e-mailek küldéséhez. Az AI-nak adott utasítások azonban nem tartalmazták azt a specifikációt, hogy a címzett e-mail-címeket el kell rejteni egymás elől. Az így létrehozott kód miatt több ügyfél e-mail-címe jelent meg ugyanabban az e-mailben. Az e-maileket körülbelül ezer ügyfélből álló kötegekben küldték ki, így a címzettek láthatták a többi személy e-mail-címét.

A Szingapúri Személyes Adatvédelmi Bizottság (PDPC) megállapította, hogy az incidens nem az AI-eszköz hibájából, hanem az e-mail-terjesztési kód fejlesztésében elkövetett emberi hibából eredt. Az alkalmazott a program bevezetése előtt tesztelésre került, azonban csak a tevékenységnaplókat ellenőrizte az aktuális tesztelési e-mail tartalmának vizsgálata helyett. A Bee Cheng Hiang az incidens felfedezése után leállította a tömeges e-mail-küldést, korrigálta a kódot és értesítette az érintett ügyfeleket.

A vállalat szeptember 2-án önkéntes kötelezettségvállalást fogadott el a PDPC-vel, amely keretében AI-felhasználási szabályzatot alakít ki, függetlenül ellenőrzi az személyes adatokat érintő AI-generált kódot, és szigorítja szoftvertesztelési eljárásait. A PDPC azt javasolta a szervezeteknek, hogy az AI-eszközök bevezetése előtt végezzenek megfelelő adatvédelmi hatásvizsgálatot, és alakítsanak ki világos irányelveket az alkalmazottak felelős AI-használatához.