ข้อมูลอะไรไม่ควรใส่ AI ก่อนพิมพ์หรือแนบไฟล์ ให้ตรวจ 7 เรื่องนี้

อย่าส่งข้อมูลเข้า AI เพียงเพราะระบบรับไฟล์ได้ ก่อนพิมพ์ วางข้อความ แนบเอกสาร หรือเชื่อมระบบ ให้ตรวจว่ามีข้อมูลส่วนบุคคล ความลับ สิทธิ์ของผู้อื่น เงื่อนไขสัญญา หรือผลกระทบหากข้อมูลรั่วหรือถูกใช้ผิดวัตถุประสงค์หรือไม่ หากตอบไม่ได้ ให้หยุดและใช้ข้อมูลจำลองหรือขออนุมัติก่อน

7 คำถามก่อนส่งข้อมูล

1. ข้อมูลนี้เป็นของใคร
2. ฉันมีสิทธิ์ใช้กับเครื่องมือนี้หรือไม่
3. จำเป็นต้องส่งครบทั้งหมดหรือไม่
4. บัญชีและเครื่องมือนี้ได้รับอนุมัติหรือไม่
5. ข้อมูลถูกเก็บ ใช้ฝึก ส่งต่อ หรือลบอย่างไร
6. ถ้ารั่ว ผิด หรือถูกนำไปเชื่อมกับข้อมูลอื่น ผลเสียคืออะไร
7. มีวิธีทำงานด้วยข้อมูลย่อ ปิดบัง หรือจำลองแทนหรือไม่

ข้อมูลที่ควรหยุดตรวจทันที

กลุ่ม	ตัวอย่าง	ทางเลือก
ข้อมูลเข้าสู่ระบบ	รหัสผ่าน API key recovery code	ห้ามส่ง เปลี่ยนทันทีหากเผลอ
ข้อมูลส่วนบุคคล	ชื่อ เบอร์ ที่อยู่ เลขประจำตัว ประวัติพนักงาน	ลด/ปิดบังและตรวจฐานการใช้
ข้อมูลอ่อนไหว	สุขภาพ การเงิน ชีวมิติ เรื่องร้องเรียน	ใช้ระบบอนุมัติเฉพาะหรือไม่ใช้
ความลับธุรกิจ	ราคาเฉพาะ สัญญา แผน กลยุทธ์ Source code	สรุปโครงโดยไม่ส่งเนื้อหาจริง
ข้อมูลลูกค้า/คู่ค้า	CRM ใบเสนอราคา บันทึกสนทนา	ใช้ข้อมูลจำลองหรือระบบองค์กรที่อนุมัติ
งานของผู้อื่น	ไฟล์มีลิขสิทธิ์หรือเอกสารจำกัดสิทธิ์	ตรวจสิทธิ์และใช้เฉพาะส่วนจำเป็น

Decision Tree แบบเร็ว

1. เป็น Public จริงหรือไม่: ถ้าเผยแพร่แล้ว ให้ตรวจว่ายังมีข้อมูลส่วนบุคคล/ข้อจำกัดหรือไม่
2. เป็น Internal/Confidential: ใช้ได้เฉพาะเครื่องมือ บัญชี และ Use Case ที่องค์กรอนุมัติ
3. มีข้อมูลบุคคล: ลดข้อมูล ประเมินความจำเป็น ความชอบธรรม การเก็บ และสิทธิ์เจ้าของข้อมูล
4. มี Secret: ห้ามส่งและหมุน Secret หากส่งแล้ว
5. ไม่รู้เงื่อนไข: หยุด อ่าน Privacy/Data controls และถามผู้ดูแล

การลบชื่ออย่างเดียวอาจไม่พอ

ตำแหน่ง สถานที่ วันที่ เหตุการณ์เฉพาะ หรือชุดข้อมูลหลายช่องอาจทำให้ระบุตัวบุคคลย้อนกลับได้ NIST ระบุว่าการลดข้อมูล การทำให้ไม่ระบุตัว และการรวมข้อมูลช่วยความเป็นส่วนตัวได้ แต่มี Trade-off กับความแม่นและต้องประเมินตามบริบท

วิธีเตรียมข้อมูลให้เสี่ยงน้อยลง

1. เขียนเป้าหมายให้ชัดว่าต้องการให้ AI ทำอะไร
2. ลบคอลัมน์และส่วนที่ไม่จำเป็น
3. แทนชื่อ/เลข/สถานที่ด้วยรหัสที่ไม่ย้อนกลับง่าย
4. ใช้ช่วงค่าแทนตัวเลขเฉพาะเมื่อพอ
5. สร้างตัวอย่างจำลองที่รักษาโครงปัญหา
6. ตรวจ Metadata, Comment, Hidden sheet และ Revision
7. ให้ผู้มีอำนาจอนุมัติก่อนส่งข้อมูลที่ยังมีความเสี่ยง

สถานการณ์จำลอง

HR ต้องการให้ AI สรุปแบบสำรวจพนักงาน แทนการอัปโหลดไฟล์ดิบที่มีชื่อ แผนก และคำร้องเรียน ให้กำหนดคำถาม วิเคราะห์ข้อมูลที่รวมกลุ่มขั้นต่ำ ลบข้อความที่ระบุตัวบุคคล ใช้บัญชีองค์กรที่อนุมัติ และให้ HR ตรวจว่ากลุ่มเล็กเกินจนระบุตัวย้อนกลับได้หรือไม่

ถ้าเผลอส่งไปแล้ว

1. หยุดแชร์และอย่าส่งข้อมูลเพิ่ม
2. บันทึกว่าอะไร ส่งที่ไหน บัญชีใด และเมื่อไร
3. เปลี่ยน Password/Token/Key ที่เกี่ยวข้องทันที
4. แจ้งเจ้าของข้อมูล ผู้ดูแลระบบ Privacy/Security ตาม Incident route
5. ใช้ฟังก์ชันลบตามสิทธิ์และตรวจ Retention ของบริการ
6. ประเมินผู้ได้รับผลกระทบและข้อกำหนดการแจ้ง
7. แก้ Workflow ไม่ให้เกิดซ้ำ

กติกาสำหรับทีม

• มีรายชื่อเครื่องมือและบัญชีที่อนุมัติ
• มี Data classification ที่ใช้คำเดียวกับองค์กร
• มีตัวอย่าง Allowed/Ask first/Prohibited
• กำหนดเจ้าของ Use Case และ Reviewer
• ปิด Connector/Plugin ที่ไม่จำเป็น
• ทบทวน Data controls เมื่อบริการเปลี่ยน
• มีทางถามและรายงานเหตุการณ์โดยไม่ทำให้พนักงานปกปิด

Checklist ก่อนกดส่ง

• ไม่มี Password, Token, Key หรือเลขยืนยัน
• ไม่มีข้อมูลส่วนบุคคลเกินจำเป็น
• ไม่มีความลับหรือข้อจำกัดตามสัญญา
• มีสิทธิ์ใช้เอกสารและข้อมูล
• ใช้บัญชี/เครื่องมือที่อนุมัติ
• เข้าใจ Retention, Training และ Sharing setting
• มีข้อมูลจำลองเมื่อทำได้
• มีคนรับผิดชอบตรวจผลและลบข้อมูล

คำถามที่พบบ่อย

ข้อมูลสาธารณะส่งเข้า AI ได้ทุกอย่างหรือไม่

ไม่เสมอไป ต้องตรวจสิทธิ์ ลิขสิทธิ์ เงื่อนไขเว็บไซต์ ข้อมูลส่วนบุคคลในเอกสาร และวัตถุประสงค์การใช้ด้วย

บัญชีองค์กรปลอดภัยเสมอหรือไม่

บัญชีองค์กรอาจมีการควบคุมเพิ่ม แต่ยังต้องตรวจสัญญา การตั้งค่า Region, Retention, Connector, Permission และ Use Case จริง ไม่ควรใช้ชื่อแพ็กเกจแทนการประเมิน

แหล่งอ้างอิง

• CISA: Stay Safe Online When Using AI
• NIST AI RMF: AI Risks and Trustworthiness
• NIST AI RMF Core

ผู้เขียน: อาจารย์หลิง ณิชชา ทัตพงษ์พฤธา ผู้ก่อตั้ง AJLinkOfficial และบริษัท อินดิจิทัล จำกัด เรียบเรียงเรื่อง AI และ Digital Marketing ให้เชื่อมกับการตัดสินใจและการทำงานของธุรกิจ