Az agentikus AI új adatvédelmi kihívások elé állítja a szabályozókat

Közel 2000 szakember vett részt az első fesztiválon

A Future of Privacy Forum, vagyis az FPF július 20. és 24. között vett részt az első Singapore Data Festivalon. A rendezvényt Szingapúr személyesadat-védelmi bizottsága, a Personal Data Protection Commission, valamint az Infocomm Media Development Authority szervezte.

A fesztivál a PDPC korábbi éves Personal Data Protection Week rendezvényét követte, és mintegy 2000 adatvédelmi, mesterségesintelligencia- és üzleti szakembert, döntéshozót, valamint vállalati vezetőt hozott össze a világ különböző részeiről. Az FPF iparági, kormányzati, akadémiai és jogi szereplőket kapcsolt össze az ázsiai és csendes-óceáni térség fontos kérdéseiről.

A szervezet eseményein az agentikus és fizikai AI, az okos viselhető eszközök, valamint a biometrikus adatok kerültek előtérbe. Az FPF augusztus 25-én közzétett beszámolója öt, több témát összekötő irányt emelt ki. Ezek között szerepel az agentikus AI szabályozása, a változó kibertámadási és adatvédelmi incidenskörnyezet, a folyamatos adatgyűjtés, a technikai és intézményi kapacitás fontossága, valamint az országhatárokon átnyúló adatátvitel.

A hozzájárulás önmagában kevés lehet

Az FPF szerint az elmúlt években a mesterséges intelligencia irányításáról szóló vita a generatív AI mellett egyre inkább az agentikus rendszerekre irányul. Ezek több, egymáshoz kapcsolódó feladatot képesek önállóan végrehajtani, ami megterheli a legtöbb adatvédelmi rendszerben központi szerepet betöltő tájékoztatási és hozzájárulási modellt.

A Singapore Data Festivalon részt vevő szabályozók közös célként jelölték meg az átláthatóságot, az elszámoltathatóságot, a biztonságot és a bizalmat, miközben eltérő szabályozási megközelítéseket képviseltek. Az FPF és a CrowdStrike július 22-i panelbeszélgetésén a résztvevők arról is beszéltek, hogy az emberi felügyeletnek már az AI-rendszer alkalmazásáról szóló vállalati döntésnél meg kell kezdődnie.

A szingapúri PDPC július 20-án végleges útmutatót adott ki a személyes adatok generatív AI-ban történő használatáról. A dokumentum szerint a szingapúri adatvédelmi törvény nyilvánosan elérhető adatokra vonatkozó kivétele a webes adatgyűjtésre is alkalmazható. Ha egy szervezet kifejezetten AI-modellek betanításához és fejlesztéséhez kér hozzájárulást, a tájékoztatásnak AI-specifikusnak kell lennie, az általános, például új termékek fejlesztésére utaló megfogalmazás helyett.

Az emberi felelősség és a biztonság is központi kérdés

A beszámoló szerint a résztvevők egyetértettek abban, hogy az automatizálás nem hígíthatja fel a felelősséget. Az agentikus rendszerek továbbra is eszközök, az eredményekért pedig az őket használó emberek felelnek. Az emberi ellenőrzés mélységét az adott felhasználási terület és a kockázat szintje alapján kell meghatározni.

Az FPF adatvédelmi vezetőknek szervezett zártkörű ebédjén a résztvevők a láthatóságot nevezték a belső AI-irányítás egyik alapjának. A szervezeteknek tudniuk kell, hogy hol, ki és milyen célból használ mesterséges intelligenciát. A beszélgetésekben külön problémaként jelent meg a „shadow AI”, vagyis amikor a munkatársak a szervezet kifejezett jóváhagyása és felügyelete nélkül használnak AI-eszközöket.

Az FPF szerint az agentikus AI terjedése a kibertámadások és az adatvédelmi incidensek környezetét is átalakítja. Az új képességek csökkenthetik a támadások technikai és költségbeli akadályait, miközben a személyes adatok véletlen kitettségének kockázata is nőhet, ha az alkalmazottak nem ellenőrzött AI-eszközökön keresztül dolgozzák fel ezeket az adatokat.

Az IAPP Asia Forum 2026 egyik panelje az API-k szerepét vizsgálta az agentikus AI biztonságában. Az FPF beszámolója szerint az alkalmazásprogramozási felületek kitett vezérlési réteggé és kockázatos hibaponttá válhatnak, különösen a nem megfelelően kezelt, úgynevezett shadow API-k és az eltérő többfelhős ellenőrzések miatt. A szervezet szerint ezért az API-k irányítása és az AI-alapú adatfolyamok védelme a biztonsági munka fontos része lett.