พนักงานเพียงคนเดียวที่ใช้เครื่องมือ AI ที่ไม่ได้รับการอนุมัติเพื่อสรุปสัญญาหรือช่วยเขียนอีเมลถึงลูกค้าใหม่ อาจดูเหมือนไม่ใช่เรื่องใหญ่ แต่ในความเป็นจริง ทางลัดเล็ก ๆ นี้อาจสร้างจุดบอดให้กับฝ่ายกฎหมาย ความปลอดภัย และการกำกับดูแลการปฏิบัติตามข้อกำหนดได้ นี่คือปัญหาหลักของ Shadow AI หรือการใช้เครื่องมือและบริการปัญญาประดิษฐ์นอกเหนือจากกรอบการกำกับดูแล การมองเห็น และการควบคุมความเสี่ยงที่องค์กรอนุมัติ เมื่อการใช้งานเติบโตเร็วกว่านโยบาย หลายองค์กรจึงเริ่มพบว่า ประโยชน์ด้านประสิทธิภาพการทำงานอาจมาพร้อมกับความเสี่ยงที่ซ่อนอยู่
Shadow AI เข้ามาในองค์กรได้อย่างไร
Shadow AI มักไม่ได้เริ่มต้นจากเจตนาร้าย ในหลายกรณี พนักงานเพียงต้องการทำงานให้เร็วขึ้น ลดงานที่ซ้ำ ๆ หรือสร้างผลงานที่ดีขึ้นภายในเวลาที่จำกัด เครื่องมือ Generative AI สาธารณะเข้าถึงได้ง่าย มักทดลองใช้ได้ฟรี และใช้งานได้โดยไม่ต้องให้ฝ่าย IT เข้ามาเกี่ยวข้อง ด้วยเหตุนี้ หน่วยงานธุรกิจจึงสามารถนำ AI เข้ามาใช้ในกระบวนการทำงานประจำวันได้ตั้งแต่เนิ่น ๆ ก่อนที่ทีมความปลอดภัยจะรู้ด้วยซ้ำว่ามีการป้อนข้อมูลสำคัญลงไปที่ไหน หรือระบบกำลังสร้างคำตอบออกมาอย่างไร
อะไรทำให้ความเสี่ยงนี้ต่างจากเครื่องมือที่ไม่ได้รับอนุมัติประเภทอื่น
องค์กรต้องรับมือกับ Shadow IT มาหลายปีแล้ว แต่ AI ทำให้ลักษณะความเสี่ยงเปลี่ยนไป ซอฟต์แวร์ที่ไม่ได้รับอนุมัติแบบดั้งเดิมอาจเพียงจัดเก็บไฟล์ผิดที่หรือข้ามขั้นตอนการจัดซื้อจัดจ้างตามมาตรฐาน แต่เครื่องมือ AI สามารถรับ prompt ประมวลผลข้อมูลลับ และสร้างเนื้อหาที่มีผลต่อการตัดสินใจ การสื่อสาร หรือแม้แต่โค้ดได้ นั่นหมายความว่าความเสี่ยงไม่ได้มีแค่เรื่องข้อมูลหลุดออกจากองค์กรเท่านั้น แต่ยังรวมถึงผลลัพธ์ที่ไม่ถูกต้อง การเปิดเผยทรัพย์สินทางปัญญา ประเด็นด้านกฎระเบียบ และการที่การตัดสินใจถูกชี้นำโดยระบบที่ไม่เคยผ่านการตรวจสอบมาก่อน
ผลกระทบทางธุรกิจมักเริ่มปรากฏตรงไหนก่อน
สัญญาณเตือนแรก ๆ มักปรากฏในเชิงปฏิบัติการมากกว่าด้านเทคนิค ทีมกฎหมายอาจพบว่ามีการนำข้อมูลอ่อนไปกรอกในแพลตฟอร์มภายนอก ผู้นำด้าน compliance อาจตระหนักว่าไม่มี audit trail สำหรับตรวจสอบว่าเนื้อหาที่ AI สร้างขึ้นถูกจัดทำมาอย่างไร ส่วนทีมความปลอดภัยอาจบังคับใช้นโยบายได้ยาก เพราะมองไม่เห็นว่ามีการใช้เครื่องมือใด ใครเป็นผู้ใช้ หรือมีการแชร์ข้อมูลอะไรออกไปบ้าง ผลที่ตามมาคือองค์กรอาจเผชิญกับการละเมิดนโยบาย การสื่อสารกับลูกค้าที่ไม่สอดคล้องกัน และความไม่ชัดเจนที่เพิ่มขึ้นในเรื่องความรับผิดชอบ
ข้อผิดพลาดที่องค์กรพบได้บ่อย
หลายธุรกิจตอบสนองด้วยการพยายามปิดกั้น AI ทั้งหมด ซึ่งมักไม่ได้ผล เพราะความต้องการทำงานให้เร็วขึ้นไม่ได้หายไป ขณะที่บางองค์กรกลับไปอีกสุดทางด้วยการเปิดให้ใช้อย่างกว้างขวางโดยไม่มีหลักเกณฑ์ที่ชัดเจน แนวทางที่ได้ผลกว่าคือเริ่มจากการสร้างการมองเห็นก่อน แล้วจึงวางกรอบการกำกับดูแลตามกรณีการใช้งานจริงของธุรกิจ ในทางปฏิบัติ ช่องว่างที่พบบ่อยที่สุด ได้แก่:
- ไม่มีรายการเครื่องมือ AI ที่ได้รับอนุมัติสำหรับแต่ละหน้าที่ทางธุรกิจ
- ไม่มีแนวทางชัดเจนว่าข้อมูลประเภทใดสามารถหรือไม่สามารถป้อนเข้าสู่ระบบ AI ได้
- ไม่มีการติดตามการใช้งาน AI ผ่านเบราว์เซอร์ที่ไม่ได้รับอนุมัติ
- ไม่มีขั้นตอนทบทวนเนื้อหาที่ AI สร้างขึ้นก่อนนำไปใช้กับงานด้านลูกค้า กฎหมาย หรือเทคนิค
- ไม่มีการเชื่อมโยงระหว่างการนำ AI มาใช้กับทีมคุ้มครองข้อมูลและทีม compliance
แนวทางรับมือที่ใช้งานได้จริงควรเป็นอย่างไร
การจัดการ Shadow AI ไม่ได้หมายความว่าต้องหยุดนวัตกรรม แต่หมายถึงการกำหนดขอบเขตการใช้งาน องค์กรต้องกำหนดการใช้งานที่ยอมรับได้ จัดประเภทข้อมูลอ่อนไหว และใช้มาตรการควบคุมเพื่อลดโอกาสที่ข้อมูลลับจะถูกเปิดเผยผ่าน prompt หรือการอัปโหลดไฟล์ ในหลายสภาพแวดล้อม แนวทางนี้ยังหมายถึงการผสานนโยบาย ความตระหนักรู้ของผู้ใช้ การมองเห็นผ่านเบราว์เซอร์หรือเครือข่าย และเครื่องมือปกป้องข้อมูลอย่าง Data Loss Prevention (DLP) เพื่อช่วยลดพฤติกรรมเสี่ยงโดยไม่ทำให้งานที่ถูกต้องตามนโยบายช้าลง
การกำกับดูแลควรสนับสนุนธุรกิจ ไม่ใช่แค่จำกัดการใช้งาน
โครงการกำกับดูแล AI ที่มีประสิทธิภาพที่สุดจะยึดผลลัพธ์ทางธุรกิจเป็นศูนย์กลาง ผู้นำด้านความปลอดภัยต้องเข้าใจว่าทีมใดกำลังใช้ AI อยู่ พวกเขากำลังพยายามแก้ปัญหาอะไร และข้อมูลที่มีความเสี่ยงสูงที่สุดอยู่ตรงไหน จากนั้นองค์กรจึงสามารถอนุมัติเครื่องมือที่ปลอดภัยกว่า สร้างขั้นตอนตรวจทานสำหรับกรณีใช้งานที่อ่อนไหว และกำหนดความรับผิดชอบที่ชัดเจนระหว่างฝ่าย IT ความปลอดภัย กฎหมาย และ compliance วิธีนี้จะช่วยเปลี่ยน AI จากทางลัดที่ไร้การควบคุม ให้กลายเป็นขีดความสามารถที่บริหารจัดการได้
จากจุดบอดสู่การตัดสินใจที่รอบด้าน
Shadow AI ไม่ใช่เพียงปัญหาพฤติกรรมของพนักงาน แต่เป็นความท้าทายด้านการกำกับดูแลที่เกิดจากเทคโนโลยีที่เคลื่อนไหวเร็วและการกำกับติดตามที่ไม่ทั่วถึง องค์กรที่กำลังประเมินโซลูชันด้าน AI security การติดตามการใช้งาน และการปกป้องข้อมูล สามารถทำงานร่วมกับ Terrabyte เพื่อค้นหาเทคโนโลยีที่สอดคล้องกับความต้องการด้านปฏิบัติการ ข้อกำหนดด้าน compliance และกลยุทธ์การกำกับดูแลในระยะยาว
คำถามที่พบบ่อย
Shadow AI เกิดจากความตั้งใจเสมอไปหรือไม่?
ไม่เสมอไป ในหลายกรณี พนักงานใช้เครื่องมือ AI ที่ไม่ได้รับอนุมัติเพราะเข้าถึงง่ายและดูเหมือนช่วยให้งานสะดวกขึ้น ไม่ได้มีเจตนาจะหลีกเลี่ยงนโยบายขององค์กร
ข้อมูลประเภทใดมีความเสี่ยงมากที่สุด?
ข้อมูลลูกค้า ข้อมูลทางการเงิน ซอร์สโค้ด รายงานภายใน เอกสารทางกฎหมาย และทรัพย์สินทางปัญญา เป็นตัวอย่างทั่วไปของข้อมูลที่ไม่ควรถูกป้อนเข้าสู่แพลตฟอร์ม AI ที่ไม่ได้รับการอนุมัติ
องค์กรควรแบนเครื่องมือ AI สาธารณะทั้งหมดหรือไม่?
การแบนแบบครอบจักรวาลมักผลักให้การใช้งานยิ่งเกิดขึ้นนอกสายตามากขึ้น แนวทางที่มีการควบคุม พร้อมนโยบายที่ชัดเจน เครื่องมือที่ได้รับอนุมัติ และการติดตามการใช้งาน มักมีประสิทธิภาพมากกว่า
