Shadow AI คืออะไร เมื่อพนักงานใช้แชตบอต AI เองโดยไม่บอก เสี่ยงอะไร และจัดการอย่างไร What Is Shadow AI? Risks of Employees Using AI Chatbots Unannounced, and How to Manage Them

Shadow AI คือการที่พนักงานใช้เครื่องมือ AI ที่องค์กรไม่ได้อนุมัติหรือไม่รู้ว่ามีการใช้ เช่น เปิดแชตบอต AI ด้วยบัญชีส่วนตัวแล้ววางข้อมูลงานลงไป ความเสี่ยงหลักคือข้อมูลออกนอกองค์กรโดยไม่มีใครรู้ วิธีจัดการที่ได้ผลคือสำรวจว่าใครใช้อะไรอยู่ กำหนดว่าข้อมูลแบบไหนห้ามใส่ และจัดเครื่องมือที่อนุญาตไว้ให้ใช้ แทนการสั่งห้ามอย่างเดียว

Shadow AI เกิดขึ้นได้อย่างไร

เรื่องนี้ส่วนใหญ่ไม่ได้เริ่มจากเจตนาไม่ดี ฝ่ายขายอยากให้ช่วยเกลาอีเมลถึงลูกค้า ฝ่ายบัญชีอยากสรุปรายงานยาว ๆ ให้เหลือหนึ่งหน้า ฝ่ายบุคคลอยากร่างประกาศ ทุกคนเปิดแชตบอต AI ที่ใช้ที่บ้านอยู่แล้ว วางข้อความลงไป และได้คำตอบกลับมาในไม่กี่วินาที เรื่องนี้เกิดก่อนที่องค์กรจะมีนโยบายหรือเครื่องมือกลางให้ใช้

ตัวเลขที่พอเห็นภาพมาจากงานสำรวจของ Microsoft ที่เก็บข้อมูลจากพนักงานออฟฟิศ 31,000 คนใน 31 ตลาดเมื่อปี 2024 ผลระบุว่าผู้ใช้ AI ที่ตอบแบบสอบถามร้อยละ 78 นำเครื่องมือ AI ของตัวเองมาใช้ที่ทำงาน เป็นผลสำรวจระดับโลกและไม่ได้เจาะจงประเทศไทย แต่ก็พอบอกได้ว่าการใช้เครื่องมือส่วนตัวกับงานไม่ใช่เรื่องแปลก องค์กรไทยจึงไม่ควรคิดว่าตัวเองจะเป็นข้อยกเว้น

ความเสี่ยงที่ควรรู้

ข้อมูลรั่วไหลโดยไม่มีใครเห็น

เมื่อพนักงานวางข้อมูลลงในเครื่องมือภายนอก ข้อมูลนั้นถูกส่งไปยังผู้ให้บริการแล้ว องค์กรไม่ได้ตั้งค่าอะไรไว้ ไม่มีบันทึกที่ฝ่ายไอทีเรียกดูได้ และไม่รู้ว่าผู้ให้บริการเก็บข้อมูลไว้นานเท่าไรหรือนำไปใช้ทำอะไร เอกสารของ NIST ว่าด้วยความเสี่ยงของ AI เชิงสร้างสรรค์ (NIST AI 600-1) จัดความเป็นส่วนตัวของข้อมูลเป็นหนึ่งในความเสี่ยงหลัก โดยหมายถึงการรั่วไหลหรือการนำข้อมูลส่วนบุคคลและข้อมูลอ่อนไหวไปใช้หรือเปิดเผยโดยไม่ได้รับอนุญาต

ข้อมูลส่วนบุคคลและ PDPA

ถ้าข้อความที่วางมีชื่อ เบอร์โทร ประวัติสุขภาพ หรือข้อมูลลูกค้า องค์กรอาจมีหน้าที่ตาม PDPA ที่ต้องพิจารณา เช่น วัตถุประสงค์ที่แจ้งเจ้าของข้อมูลไว้ และการส่งข้อมูลให้บุคคลที่สาม เรื่องนี้ต้องให้ผู้ดูแล PDPA หรือที่ปรึกษากฎหมายตัดสินเป็นรายกรณี

ผลลัพธ์ผิดแต่ถูกนำไปใช้ต่อ

แชตบอต AI ตอบได้อย่างมั่นใจแม้ข้อมูลจะผิด NIST เรียกอาการนี้ว่า confabulation คือการสร้างเนื้อหาที่ฟังดูแน่ใจแต่ไม่จริง ถ้าไม่มีกฎให้ตรวจก่อนส่งออกไปข้างนอก คำตอบผิดอาจไปอยู่ในใบเสนอราคา สัญญา หรือรายงานถึงลูกค้า

องค์กรไม่รู้ว่าต้องควบคุมอะไร

เรื่องนี้เป็นเรื่องของการมองเห็น ถ้าไม่มีรายการเครื่องมือที่ใช้อยู่ ก็ตั้งกติกา อบรม หรือประเมินความเสี่ยงไม่ได้ กรอบ AI RMF ของ NIST ระบุไว้ในหัวข้อ GOVERN 1.6 ว่าองค์กรควรมีกลไกจัดทำรายการระบบ AI ตามลำดับความเสี่ยง

ทำไมการสั่งห้ามอย่างเดียวจึงไม่พอ

คำสั่งห้ามมีประโยชน์เมื่อเป็นข้อมูลระดับลับสุด แต่ถ้าห้ามทุกอย่างโดยไม่มีทางเลือก พนักงานที่เห็นว่า AI ช่วยประหยัดเวลาจริงก็มักหาทางใช้ต่อ อาจเป็นโทรศัพท์ส่วนตัวหรือคอมพิวเตอร์ที่บ้าน ซึ่งองค์กรมองไม่เห็นยิ่งกว่าเดิม ผลคือปัญหาไม่ได้หายไป แค่ซ่อนลึกขึ้น

แนวทางจัดการ 5 ขั้นตอน

1. สำรวจ ถามพนักงานตรง ๆ ว่าใช้เครื่องมือ AI อะไร ใช้กับงานแบบไหน และบอกให้ชัดว่าจุดประสงค์คือรู้ข้อเท็จจริง ไม่ใช่หาคนผิด ถ้าคนกลัวถูกลงโทษ คำตอบจะไม่ตรงความจริง
2. เทียบกับข้อมูลฝ่ายไอที ดูรายการแอปที่เชื่อมกับบัญชีองค์กร ส่วนขยายเบราว์เซอร์ และบันทึกการใช้งานเว็บที่มีอยู่แล้ว เพื่อเติมสิ่งที่แบบสอบถามพลาดไป
3. จัดระดับข้อมูล แบ่งข้อมูลเป็นกลุ่ม เช่น ใส่ได้ ใส่ได้เมื่อใช้เครื่องมือที่อนุมัติ และห้ามใส่เด็ดขาด พร้อมตัวอย่างที่ตรงกับงานจริงของแต่ละฝ่าย
4. จัดเครื่องมือที่อนุญาตให้ใช้ เลือกเครื่องมือที่ฝ่ายไอทีและผู้ดูแล PDPA ตรวจแล้ว มีเงื่อนไขการเก็บข้อมูลที่ยอมรับได้ และตั้งขั้นตอนขอเครื่องมือใหม่ที่ไม่ยาวจนคนเลี่ยง
5. เขียนนโยบายฉบับสั้นและอบรม นโยบายสองถึงสามหน้าที่คนอ่านจบดีกว่าเล่มหนาที่ไม่มีใครเปิด ส่วนการอบรมควรใช้ตัวอย่างจากงานของพนักงานเอง

รายละเอียดการเขียนนโยบายอ่านต่อได้ใน นโยบายการใช้ AI ในองค์กร และภาพรวมการเริ่มใช้ AI อย่างปลอดภัยอยู่ใน คู่มือการนำ AI มาใช้อย่างปลอดภัย

ตัวอย่างการแบ่งระดับข้อมูลสำหรับพนักงาน

ตารางนี้เป็นเพียงตัวอย่าง แต่ละองค์กรควรปรับตามชนิดข้อมูลที่มีจริง

สิ่งที่ผู้บริหารควรถามตัวเอง

• ตอนนี้เรารู้หรือไม่ว่าพนักงานใช้เครื่องมือ AI อะไรบ้าง
• ถ้ามีคนวางข้อมูลลูกค้าลงไปแล้ว พนักงานรู้หรือไม่ว่าต้องแจ้งใคร
• เรามีเครื่องมือที่อนุญาตให้ใช้ได้จริงหรือยัง หรือมีแต่ข้อห้าม
• มีใครตรวจผลลัพธ์ของ AI ก่อนส่งถึงลูกค้าหรือไม่

ถ้าตอบไม่ได้สองข้อขึ้นไป แสดงว่า Shadow AI น่าจะมีอยู่แล้วในองค์กร และควรเริ่มจากขั้นตอนที่ 1 ก่อน

หมายเหตุ: เนื้อหาเกี่ยวกับ PDPA และกฎหมายในบทความนี้เป็นข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย โปรดปรึกษาที่ปรึกษากฎหมายก่อนนำไปใช้

ขั้นตอนถัดไป

ถ้าอยากรู้ว่าพนักงานในองค์กรใช้ AI อย่างไร หรืออยากให้ทีมที่มองจากมุมความปลอดภัยช่วยวางแนวทางและอบรม ดูแนวทางของเราได้ที่ บริการ AI Transformation หรือคุยกับทีมที่ หน้าติดต่อ