AI Data Leakage กำลังกลายเป็นปัญหาด้านธรรมาภิบาล ไม่ใช่แค่เรื่องความปลอดภัย

ประโยชน์ด้านประสิทธิภาพการทำงานอาจกลายเป็นปัญหาด้านธรรมาภิบาลได้อย่างรวดเร็ว เมื่อพนักงานนำข้อมูลอ่อนไหวไปวางในเครื่องมือ AI สาธารณะ นี่คือความจริงใหม่เบื้องหลัง AI Data Leakage สิ่งที่ดูเหมือนเป็นเพียงการทดลองใช้งานทั่วไป อาจทำให้ซอร์สโค้ด สัญญา ข้อมูลลูกค้า ข้อมูลราคา และกลยุทธ์ภายใน ถูกส่งไปยังระบบที่อยู่นอกการควบคุมขององค์กร สำหรับหลายธุรกิจ ปัญหาที่แท้จริงไม่ใช่การนำ AI มาใช้ แต่คือการขาดการมองเห็น นโยบาย และกรอบควบคุมที่ชัดเจนว่ามีการใช้งาน AI อย่างไร

AI Data Leakage เกิดขึ้นได้อย่างไรในทางปฏิบัติ

AI data leakage เกิดขึ้นเมื่อมีการป้อนข้อมูลอ่อนไหวเข้าสู่ระบบ AI แล้วข้อมูลนั้นถูกประมวลผลในลักษณะที่องค์กรควบคุมได้ไม่เต็มที่ หรือถูกแชร์ออกไปเกินกว่ากลุ่มเป้าหมายที่ตั้งใจไว้ ในหลายกรณี พนักงานใช้เครื่องมือ Generative AI เพื่อสรุปเอกสาร ร่างอีเมล วิเคราะห์สเปรดชีต หรือเขียนโค้ดได้รวดเร็วขึ้น ความเสี่ยงจะเกิดขึ้นเมื่อมีการคัดลอกข้อมูลลับไปใส่ใน prompt โดยไม่เข้าใจว่าข้อมูลจะถูกส่งไปที่ใด ถูกเก็บไว้นานแค่ไหน หรืออาจถูกนำไปใช้เพื่อพัฒนาโมเดลภายนอกหรือไม่ เพียงการกระทำครั้งเดียวก็อาจทำให้ข้อมูลที่ต้องได้รับการปกป้องหลุดออกไปนอกสภาพแวดล้อมทางธุรกิจที่ได้รับอนุมัติ

ปัญหานี้ไม่ได้จำกัดอยู่แค่ chatbot สาธารณะเท่านั้น ปัจจุบันฟีเจอร์ AI ถูกฝังอยู่ในเบราว์เซอร์ แพลตฟอร์มการทำงานร่วมกัน เครื่องมือค้นหา ผู้ช่วยเขียนโค้ด และแอปพลิเคชัน SaaS แล้ว ด้วยเหตุนี้ ข้อมูลจึงอาจหลุดออกจาก workflow ที่ได้รับอนุมัติผ่านช่องทางที่ทีมความปลอดภัยอาจไม่เคยจัดว่าเป็นความเสี่ยงสูงมาก่อน อีกความท้าทายหนึ่งคือเรื่องความเร็ว เครื่องมือ AI ช่วยลดขั้นตอนและความยุ่งยากได้อย่างมาก จนผู้ใช้มักแชร์ข้อมูลก่อน แล้วค่อยนึกถึงนโยบายภายหลัง

เหตุใดผลกระทบทางธุรกิจจึงใหญ่กว่าที่คิด

หลายองค์กรมักมองว่า AI data leakage เป็นเพียงปัญหาพฤติกรรมการใช้งานของผู้ใช้บางราย แต่ในความเป็นจริง มันสามารถก่อให้เกิดผลกระทบด้านกฎหมาย การเงิน และการดำเนินงานพร้อมกันได้ ทรัพย์สินทางปัญญาที่รั่วไหลอาจทำให้ความได้เปรียบในการแข่งขันลดลง การแชร์ข้อมูลส่วนบุคคลอาจก่อให้เกิดปัญหาด้านความเป็นส่วนตัวและการปฏิบัติตามข้อกำหนด ขณะเดียวกัน ข้อมูลการเงินภายใน แผนผลิตภัณฑ์ หรือรายละเอียดในสัญญา ก็อาจไปถึงบุคคลที่ไม่ได้รับอนุญาต ซึ่งเพิ่มความเสี่ยงต่อข้อพิพาท การตรวจสอบจากหน่วยงานกำกับดูแล หรือความเสียหายต่อชื่อเสียงขององค์กร

ผลกระทบระยะยาวคือการสูญเสียการควบคุมข้อมูลทางธุรกิจ เมื่อข้อมูลอ่อนไหวถูกป้อนเข้าสู่สภาพแวดล้อมที่ไม่เหมาะสมแล้ว การดึงกลับมาอาจไม่ใช่เรื่องง่าย หรืออาจเป็นไปไม่ได้เลย ความไม่แน่นอนนี้ทำให้ผู้นำด้าน IT ทีม compliance และผู้บริหาร ต้องอยู่ในสถานการณ์ที่ยากลำบาก เพราะถูกคาดหวังให้สนับสนุนนวัตกรรมไปพร้อมกับการปกป้องธุรกิจ การใช้งาน AI โดยไม่มีธรรมาภิบาลที่เหมาะสม จะเปลี่ยนประสิทธิภาพให้กลายเป็นความเสี่ยงที่ไม่ได้รับการจัดการ

ช่องโหว่ที่พบบ่อยและทำให้ความเสี่ยงเพิ่มขึ้น

องค์กรส่วนใหญ่ไม่ได้เผชิญความเสี่ยงนี้เพราะพนักงานประมาท แต่เกิดจากนโยบายที่ตามการใช้งาน AI ไม่ทัน ทีมความปลอดภัยอาจมีหลักเกณฑ์การจัดประเภทข้อมูลอยู่แล้ว แต่กฎเหล่านั้นมักยังไม่ได้เชื่อมโยงกับกรณีใช้งาน AI อย่างชัดเจน อาจมีแนวทางการใช้งานที่ยอมรับได้อยู่บ้าง แต่พนักงานอาจยังไม่รู้ว่าเครื่องมือใดได้รับอนุมัติ ข้อมูลประเภทใดที่สามารถแชร์ได้ หรือเมื่อใดที่จำเป็นต้องมีการตรวจสอบโดยมนุษย์ หากไม่มีทิศทางที่ชัดเจน พนักงานก็จะสร้างกรอบการตัดสินใจขึ้นมาใช้เอง

• การใช้งาน AI สาธารณะนอกแพลตฟอร์มที่องค์กรอนุมัติแบบ Shadow IT
• ไม่มีนโยบายที่ชัดเจนเกี่ยวกับการป้อนข้อมูลลับหรือข้อมูลที่อยู่ภายใต้ข้อกำหนดลงใน prompt
• มองเห็นการใช้งาน AI ผ่านเบราว์เซอร์และ SaaS ได้อย่างจำกัด
• แนวปฏิบัติด้านการจัดประเภทและการติดป้ายกำกับข้อมูลยังไม่เข้มแข็ง
• การอบรมพนักงานเกี่ยวกับความเสี่ยงที่เกี่ยวข้องกับ AI ยังไม่เพียงพอ

ช่องโหว่เหล่านี้ไม่ได้เป็นเพียงประเด็นทางเทคนิคเท่านั้น แต่สะท้อนถึงความท้าทายด้านธรรมาภิบาลที่ครอบคลุมทั้งฝ่ายความปลอดภัย กฎหมาย compliance จัดซื้อ และการดำเนินธุรกิจ นี่จึงเป็นเหตุผลที่การรับมืออย่างมีประสิทธิภาพต้องมากกว่าการบล็อกเว็บไซต์เพียงไม่กี่แห่ง

แนวทางรับมือที่มีประสิทธิภาพมากขึ้นควรเป็นอย่างไร

กลยุทธ์ที่ใช้ได้จริงควรเริ่มจากการทำความเข้าใจว่าในปัจจุบันมีการใช้งาน AI อยู่ที่ใดบ้างทั่วทั้งองค์กร จากนั้นธุรกิจจึงสามารถกำหนดกรณีใช้งานที่ได้รับอนุมัติ จำกัดไม่ให้นำข้อมูลความเสี่ยงสูงไปใช้กับเครื่องมือที่ไม่ได้รับอนุมัติ และใช้การมอนิเตอร์เพื่อระบุพฤติกรรมที่เสี่ยงตั้งแต่เนิ่นๆ โดย Data Loss Prevention (DLP), การควบคุมผ่านเบราว์เซอร์, การมองเห็นการใช้งาน SaaS, นโยบายด้านตัวตนและสิทธิ์การเข้าถึง และการให้ความรู้แก่ผู้ใช้ ล้วนมีบทบาทสำคัญ เป้าหมายไม่ใช่การหยุดการนำ AI มาใช้ แต่คือการทำให้พนักงานสามารถใช้งานได้อย่างปลอดภัยมากขึ้น

องค์กรยังจำเป็นต้องแยกให้ออกระหว่างการทดลองใช้งานที่มีความเสี่ยงต่ำ กับกระบวนการทางธุรกิจที่มีความเสี่ยงสูง การร่างสรุปการประชุมแบบทั่วไปไม่เหมือนกับการอัปโหลดข้อมูลลูกค้าหรือโค้ดที่เป็นกรรมสิทธิ์ นโยบายควรสะท้อนความแตกต่างนี้ โปรแกรมที่มีประสิทธิภาพที่สุดคือโปรแกรมที่เชื่อมกฎการใช้งาน AI เข้ากับระดับความอ่อนไหวของข้อมูล หน้าที่ทางธุรกิจ และข้อกำหนดด้านกฎระเบียบ แทนที่จะปฏิบัติต่อทุกการใช้งาน AI เหมือนกันทั้งหมด

คำถามที่ผู้มีอำนาจตัดสินใจควรถาม

• ปัจจุบันมีการใช้เครื่องมือ AI ใดบ้างภายในธุรกิจ
• ข้อมูลอ่อนไหวประเภทใดที่พนักงานมีแนวโน้มจะแชร์มากที่สุด
• มาตรการ DLP และการควบคุมการเข้าถึงที่มีอยู่ รองรับ workflow ที่ขับเคลื่อนด้วย AI ได้หรือไม่
• พนักงานเข้าใจกรณีใช้งาน AI ที่ได้รับอนุมัติและที่ห้ามใช้แล้วหรือยัง
• องค์กรสามารถมอนิเตอร์และตรวจสอบการเปิดเผยข้อมูลที่เกี่ยวข้องกับ AI ได้หรือไม่

FAQ

AI data leakage เป็นปัญหาเฉพาะกับเครื่องมือ AI สาธารณะเท่านั้นหรือไม่

ไม่ใช่ ความเสี่ยงยังอาจเกิดจากฟีเจอร์ AI ที่ฝังอยู่ในแอปพลิเคชันธุรกิจที่ได้รับอนุมัติแล้ว หากองค์กรยังไม่เข้าใจกฎการจัดการข้อมูล เงื่อนไขการเก็บรักษา หรือการควบคุมสิทธิ์การเข้าถึงอย่างชัดเจน

การบล็อกเครื่องมือ AI แก้ปัญหาได้หรือไม่

โดยทั่วไปไม่เพียงพอ พนักงานอาจยังหาทางใช้งานผ่านช่องทางอื่นได้ และธุรกิจก็อาจสูญเสียประโยชน์ด้านประสิทธิภาพที่เหมาะสม แนวทางที่สมดุลควรรวมการมองเห็น นโยบาย การอบรม และมาตรการควบคุมทางเทคนิคเข้าด้วยกัน

ใครควรเป็นเจ้าของความเสี่ยงจาก AI data leakage

ทีมความปลอดภัยมีบทบาทสำคัญ แต่ความรับผิดชอบควรถูกแบ่งร่วมกันระหว่างฝ่าย IT กฎหมาย compliance จัดซื้อ และผู้นำธุรกิจ เพราะความเสี่ยงนี้ไม่ได้กระทบเฉพาะเรื่องเทคโนโลยีเท่านั้น

เปลี่ยนการใช้งาน AI ให้เป็นการตัดสินใจทางธุรกิจที่บริหารจัดการได้

AI ได้กลายเป็นส่วนหนึ่งของการทำงานประจำวันไปแล้ว ซึ่งหมายความว่าองค์กรจำเป็นต้องมีรูปแบบการควบคุมที่สอดคล้องกับความเป็นจริง ไม่ใช่เพียงเอกสารนโยบายที่ไม่มีใครเปิดอ่าน ธุรกิจที่เริ่มลงมือได้เร็ว จะสามารถสนับสนุนนวัตกรรมไปพร้อมกับลดความเสี่ยงที่ไม่จำเป็นจากการสูญเสียข้อมูล ปัญหาด้าน compliance และการหยุดชะงักทางการดำเนินงานได้ ส่วนองค์กรที่รอช้า อาจเพิ่งพบปัญหาก็ต่อเมื่อข้อมูลอ่อนไหวได้หลุดพ้นขอบเขตที่ได้รับอนุมัติไปแล้ว

องค์กรที่กำลังประเมินมาตรการควบคุมเพื่อรับมือกับการเปิดเผยข้อมูลที่เกี่ยวข้องกับ AI สามารถทำงานร่วมกับ Terrabyte เพื่อระบุเทคโนโลยีด้าน cybersecurity ที่สอดคล้องกับเป้าหมายการปกป้องข้อมูล ภาระหน้าที่ด้าน compliance และความต้องการในการดำเนินงานประจำวันขององค์กร