WhatsApp скрытно запретила своему ИИ-боту советовать пользователям обращаться к регуляторам по защите данных

В справочных страницах WhatsApp обнаружены скрытые инструкции, адресованные чат-боту поддержки. Они запрещали боту рекомендовать пользователям, которые больше не могут удалить свой аккаунт, обращаться в орган по защите данных или к регулятору — несмотря на то, что политика конфиденциальности WhatsApp для Европы прямо сообщает пользователям о праве подать жалобу в такой орган. Об этом сообщает The Hacker News. Инцидент важен прежде всего потому, что затрагивает механизм реализации прав субъектов данных. Если пользователь лишён возможности удалить аккаунт, обращение к регулятору остаётся для него одним из основных способов защитить свои права. Скрытая инструкция фактически перенаправляла такие запросы в обход этого канала.

Подробности

Спорный текст размещался непосредственно в коде справочных страниц и никогда не отображался на экране. То есть обычный пользователь, читающий страницу поддержки, не мог увидеть, какие указания получает чат-бот. Инструкции были удалены только 18 октября. Публично не раскрывается, кто именно обнаружил скрытый текст, как долго он присутствовал в коде и кто в компании инициировал его удаление. Не указаны также конкретные версии продуктов WhatsApp или регионы, в которых применялись данные инструкции, — за исключением отсылки к европейской политике конфиденциальности. CVE по инциденту не присвоен: речь идёт не об уязвимости в коде, а о содержимом справочных страниц и поведении чат-бота поддержки. Ключевое противоречие состоит в расхождении между двумя каналами коммуникации с пользователем. Политика конфиденциальности для Европы информирует о возможности пожаловаться в регулятор, а скрытая инструкция предписывала боту не предлагать пользователю этот вариант. Подобная практика создаёт риск претензий со стороны надзорных органов: скрытые указания для автоматизированной системы поддержки, влияющие на реализацию прав субъектов данных, сложно обосновать с точки зрения прозрачности обработки.

Что делать

Пользователям, которые не могут удалить аккаунт WhatsApp, не следует полагаться исключительно на ответы чат-бота поддержки. Право на обращение в орган по защите данных закреплено в политике конфиденциальности для Европы, и его можно реализовать напрямую, независимо от рекомендаций бота. Полезно сохранять скриншоты переписки с поддержкой и копии страниц справки — это пригодится при подготовке жалобы. Организациям, которые используют автоматизированные чат-боты для взаимодействия с пользователями, стоит проверить содержимое справочных страниц и скрытых элементов их кода на предмет инструкций, ограничивающих информирование о правах субъектов данных. Такие указания должны проходить ту же процедуру согласования, что и публичные тексты политик, а их наличие — регулярно контролироваться. Кроме того, имеет смысл убедиться, что ответы бота не противоречат официальным документам компании о приватности. Инцидент показывает, что скрытые инструкции в коде страниц — это такой же канал коммуникации с пользователем, как и видимый текст, а значит, он требует прозрачности и контроля. Расхождение между политикой конфиденциальности и поведением поддержки создаёт репутационные и регуляторные риски независимо от того, была ли инструкция ошибкой или осознанным решением.

Источник: The Hacker News