الضبط الدقيق لنماذج اللغة الكبيرة على بيانات مؤسسية غير متحقق منها: خطر الامتثال الذي لا يغطيه أحد

مقدمة

أصبح الضبط الدقيق لنموذج عام الغرض على بيانات المؤسسة الداخلية مهمة هندسية روتينية، لا مشروعًا بحثيًا. تُسحب أرشيفات دعم العملاء وقاعدة المعرفة الداخلية وسجلات القرارات التاريخية، وتُشغَّل مهمة الضبط الدقيق، ويُطرح النموذج المحسَّن للاستخدام. أما ما نادرًا ما يُطرح في مسار المعالجة هذا فهو سؤال له وزن تنظيمي حقيقي: هل جرى التحقق من هذه البيانات الداخلية نفسها في أي وقت، أم أنها حظيت بالثقة لمجرد أنها بياناتنا؟

البيانات الداخلية ليست بيانات جديرة بالثقة تلقائيًا

ثمة افتراض ضمني يسري في معظم مسارات الضبط الدقيق: البيانات الخارجية تحتاج إلى تدقيق، أما الداخلية فلا، لأنها جاءت من أنظمتنا الخاصة. ويتجاهل هذا الافتراض الطريقة التي تتراكم بها البيانات الداخلية فعليًا على مدى السنوات - تصحيحات يدوية لم يُعَد التحقق من صحتها قط، وسجلات عدّلها موظفون غادروا المؤسسة وأُلغيت صلاحيات وصولهم منذ ذلك الحين، ومُدخلات تاريخية نُسخت من أنظمة أُوقف العمل بها لاحقًا أو نُقلت مع فقدان بيانات، وفي الحالة الأكثر عدائية، تعديلات يُجريها أشخاص من الداخل لم تُصمَّم أصلًا كي تُكتشف. لا يتطلب أيٌّ من أنماط الإخفاق هذه مهاجمًا خارجيًا. وقد ينتهي بها جميعًا المطاف مترسّخةً في سلوك نموذج خضع للضبط الدقيق.

لماذا يصبح هذا مشكلة امتثال، لا مشكلة هندسية فحسب

بموجب المادة 10 من قانون الذكاء الاصطناعي الأوروبي، تنطبق التزامات حوكمة البيانات على بيانات التدريب والتحقق والاختبار، بصرف النظر عمّا إذا كان مصدر هذه البيانات داخليًا أو خارجيًا - فاللائحة لا تميّز على أساس مصدر البيانات، بل على أساس طريقة استخدام النظام الناتج فقط. والنموذج الداخلي الذي خضع للضبط الدقيق ونُشر في سياق عالي المخاطر يرث معيار حوكمة البيانات نفسه الذي يخضع له نموذج دُرّب على بيانات طرف ثالث، وعبارة «لطالما وثقنا بهذه البيانات» ليست إجابة يمكن الدفاع عنها عندما يسأل المدقق كيف جرى التحقق من سلامة البيانات قبل دخولها مسار التدريب.

ما الذي يتطلبه التحقق من البيانات الداخلية فعليًا

لا يعني التحقق من البيانات الداخلية لأغراض الضبط الدقيق إعادة جمعها من الصفر. بل يعني القدرة على أن تُثبت، لمجموعة البيانات المحددة التي سُحبت لعملية ضبط دقيق بعينها، متى أُنشئ كل سجل أو عُدّل آخر مرة، وبأي عملية، وما إذا كان قد تغيّر منذ حالة معروفة السلامة. يستطيع معظم مستودعات بيانات المؤسسات الإجابة عن أجزاء من ذلك بالنسبة إلى النشاط الحديث من خلال سجلات التغييرات المعتادة، لكن قلة منها تستطيع الإجابة عنه بثقة تشفيرية تمتد عبر سنوات التاريخ المتراكم التي تغذي عادةً مجموعة بيانات الضبط الدقيق.

1. التعامل مع البيانات الداخلية المسحوبة لأغراض الضبط الدقيق بالقدر نفسه من التدقيق في المنشأ الذي تخضع له بيانات الأطراف الثالثة - فالمصدر وحده لا يمنح الجدارة بالثقة
2. إنشاء خط أساس معروف السلامة ومثبّت تشفيريًا لأي مجموعة بيانات قبل دخولها مسار الضبط الدقيق
3. توثيق من كانت لديه صلاحية الكتابة على الأنظمة المصدر والتحقق من ذلك على امتداد التاريخ الكامل الذي تغطيه مجموعة البيانات، لا النشاط الحديث فحسب
4. التعامل مع كل عملية ضبط دقيق على أنها حدث يتطلب لقطة خاصة به لمجموعة البيانات وسجل تحقق خاصًا به، لا سحبًا متكررًا من مصدر حيّ قابل للتغيير

لا يُعفي الضبط الدقيق على البيانات الداخلية المؤسسة من التزامات حوكمة البيانات - بل يجعل الفجوة أسهل في الإغفال فحسب. اطّلع على كيفية إنشاء ROOTKey لخط أساس قابل للتحقق لبيانات المؤسسة قبل دخولها مسار التدريب.