ส่งข้อมูลเข้า AI ผิดที่ อาจกระทบทั้งองค์กร

พนักงานคนหนึ่งต้องสรุปสัญญาฉบับยาวให้ผู้บริหารภายในเย็นนั้น เขาทำสิ่งที่ดูสมเหตุสมผลที่สุดในยุคนี้ คือคัดลอกเนื้อหาทั้งฉบับวางลงในเครื่องมือ AI ฟรีตัวหนึ่งบนอินเทอร์เน็ต เพื่อให้ช่วยสรุป งานเสร็จเร็วและดี ผู้บริหารพอใจ ไม่มีใครรู้ว่ามีอะไรผิดปกติ จนกระทั่งหลายเดือนต่อมา ทีมกฎหมายตั้งคำถามว่าข้อมูลในสัญญานั้น ซึ่งมีทั้งเงื่อนไขราคาและข้อมูลของคู่ค้า ตอนนี้อยู่ที่ไหน และใครเป็นเจ้าของสิทธิ์ในการนำไปใช้ คำถามที่ไม่มีใครตอบได้

เรื่องนี้ไม่ได้เกิดจากความประสงค์ร้าย แต่เกิดจากความขยันที่ไม่มีกติกากำกับ ในวันที่เครื่องมือ AI ทรงพลังและเข้าถึงง่ายอยู่ปลายนิ้ว ระยะห่างระหว่างความตั้งใจดีกับความเสี่ยงร้ายแรงนั้นแค่การกดวางเพียงครั้งเดียว และสิ่งที่ทำให้เรื่องนี้น่ากังวลกว่าภัยไซเบอร์แบบเดิมคือ มันไม่ได้มาจากผู้บุกรุกภายนอก แต่มาจากคนในที่ตั้งใจทำงานให้ดีที่สุด

เหตุใดการห้ามทั้งหมดจึงไม่ใช่คำตอบ

ปฏิกิริยาแรกของหลายองค์กรคือการสั่งห้ามใช้ AI ทั้งหมด ซึ่งเข้าใจได้ในแง่ความกลัว แต่ในทางปฏิบัติมันมักล้มเหลว เพราะเครื่องมือเหล่านี้ให้ประโยชน์จริง และเมื่อห้าม คนก็ไม่ได้เลิกใช้ พวกเขาแค่ใช้มันอย่างลับ ๆ บนอุปกรณ์ส่วนตัว ผลคือองค์กรเสียทั้งประโยชน์จากเทคโนโลยี และเสียทั้งความสามารถในการมองเห็นว่าข้อมูลกำลังไหลไปทางไหน การห้ามที่ไร้ทางเลือกจึงไม่ได้ลดความเสี่ยง มันแค่ผลักความเสี่ยงเข้าไปอยู่ในที่มืด

ในทางกลับกัน การปล่อยให้ทุกคนใช้เครื่องมืออะไรก็ได้ตามใจ ก็เป็นอีกขั้วที่อันตราย ความจริงที่หลายคนไม่รู้คือ เครื่องมือ AI แต่ละตัวมีนโยบายเรื่องข้อมูลต่างกันมาก บางตัวนำสิ่งที่คุณป้อนเข้าไปใช้ฝึกโมเดลต่อ บางตัวเก็บข้อมูลไว้บนเซิร์ฟเวอร์ในต่างประเทศที่อยู่นอกเขตอำนาจกฎหมายของไทย คำว่าฟรีในโลกของข้อมูลมักหมายความว่าคุณคือสินค้า ไม่ใช่ลูกค้า

ทางสายกลางที่ใช้ได้จริงไม่ได้อยู่ที่การห้ามหรือปล่อย แต่อยู่ที่การแบ่งระดับ องค์กรควรชัดเจนว่าข้อมูลประเภทใดห้ามนำเข้าเครื่องมือสาธารณะเด็ดขาด เช่น ข้อมูลส่วนบุคคลของลูกค้า สัญญา และข้อมูลทางการเงิน และข้อมูลประเภทใดที่ใช้ได้อย่างสบายใจ เช่น การร่างข้อความทั่วไปที่ไม่มีข้อมูลอ่อนไหว เมื่อเส้นแบ่งชัด พนักงานจะตัดสินใจได้เองโดยไม่ต้องมาถามทุกครั้ง และที่สำคัญคือไม่ต้องแอบทำ

• เรารู้ไหมว่าตอนนี้พนักงานใช้เครื่องมือ AI ตัวไหนบ้าง และข้อมูลแบบใดถูกป้อนเข้าไป
• เรามีกติกาที่ชัดพอจะให้พนักงานตัดสินใจเองได้ หรือเขาต้องเดาเอาทุกครั้ง
• ถ้าข้อมูลลูกค้าถูกป้อนเข้าเครื่องมือสาธารณะแล้ว เรารู้หรือไม่ และเราจะทำอะไรได้บ้าง
• เราได้เตรียมทางเลือกที่ปลอดภัยให้พนักงานใช้ หรือเราแค่ห้ามแล้วหวังว่าเขาจะเชื่อฟัง

จากการควบคุมเครื่องมือ สู่การสร้างวิจารณญาณ

คำถามที่ดีกว่าไม่ใช่ เราจะบล็อกเครื่องมือ AI ตัวไหนบ้าง แต่คือ เราจะสร้างวิจารณญาณให้คนทั้งองค์กรเข้าใจว่าข้อมูลแบบไหนควรอยู่ที่ไหนได้อย่างไร เครื่องมือจะเปลี่ยนไปทุกเดือน รายชื่อที่บล็อกวันนี้จะล้าสมัยในไม่ช้า แต่ความเข้าใจว่าข้อมูลของเรามีค่าและมีความเสี่ยงต่างกัน เป็นสิ่งที่อยู่ติดตัวคนและปรับใช้กับเครื่องมือใหม่ ๆ ได้เสมอ การกำกับดูแล AI ที่ดีจึงเป็นเรื่องของการศึกษามากกว่าการห้าม

ที่ Whale Task เราเห็นว่าองค์กรที่รับมือกับเรื่องนี้ได้ดีที่สุด ไม่ใช่องค์กรที่มีกฎเข้มที่สุด แต่เป็นองค์กรที่ทำให้พนักงานเข้าใจเหตุผลเบื้องหลังกฎ จนพวกเขากลายเป็นด่านป้องกันที่คิดเองได้ เรามองว่าบทบาทของเราคือช่วยให้ผู้บริหารวางกติกาการใช้ AI ที่สมดุล เปิดทางให้ใช้ประโยชน์จากเทคโนโลยีโดยไม่เผลอเปิดประตูข้อมูลทิ้งไว้ และทำให้คำว่าปลอดภัยกับคำว่าใช้งานได้จริง เดินไปด้วยกันได้