Shadow AI คือความเสี่ยงที่แฝงอยู่ต่อธุรกิจ

เครื่องมือ AI ได้กลายเป็นส่วนหนึ่งของการทำงานในปัจจุบัน โดยช่วยสรุปบันทึกการประชุม ร่างอีเมล ดีบั๊กรหัส วิเคราะห์ตารางคำนวณ และแปลงเอกสารเป็นงานนำเสนอ อย่างไรก็ตาม หากใช้งานโดยไม่มีการอนุมัติหรือการดูแลควบคุม ก็อาจก่อให้เกิดความกังวลอย่างร้ายแรงเกี่ยวกับความเป็นส่วนตัวของ AI เปิดเผยข้อมูลทางธุรกิจที่ละเอียดอ่อน และทำให้ทีม IT ไม่สามารถตรวจสอบได้ว่าข้อมูลของบริษัทกำลังถูกส่งไปที่ใด

คู่มือนี้ครอบคลุมถึงความหมายของ Shadow AI วิธีการแพร่กระจายภายในองค์กร และความเสี่ยงร้ายแรงที่เกิดขึ้น พร้อมแสดงวิธีตรวจหาเครื่องมือที่ไม่ได้รับการอนุมัติ และกำหนดมาตรการป้องกันที่นำไปใช้ได้จริงเพื่อปกป้องข้อมูลทางธุรกิจ โดยไม่ทำให้การทำงานของทีมช้าลง

• Shadow AI คืออะไร
• Shadow AI กับ Shadow IT
• Shadow AI เกิดขึ้นได้อย่างไร
• AI เรียนรู้จากข้อมูลโดยอัตโนมัติหรือไม่
• ตัวอย่างของ Shadow AI
• ความเสี่ยงของ Shadow AI มีอะไรบ้าง
• วิธีตรวจหา Shadow AI
• วิธีลดความเสี่ยงจาก Shadow AI
• สิ่งที่ควรทำหากมีการแชร์ข้อมูลที่ละเอียดอ่อนไปแล้ว
• ผู้ช่วย AI ส่วนตัวสำหรับทีม

Shadow AI คืออะไร

Shadow AI คือการใช้ปัญญาประดิษฐ์ในการทำงานที่อยู่นอกเหนือระบบและนโยบายที่ได้รับการอนุมัติของธุรกิจ ซึ่งอาจรวมถึงการใช้เครื่องมือที่ไม่ได้รับการอนุมัติ บัญชีส่วนตัวที่ใช้สำหรับการทำงานของบริษัท หรือบริการ AI ที่ได้รับการอนุมัติแต่นำไปใช้กับข้อมูลหรือภารกิจที่องค์กรไม่ได้อนุญาต

Shadow AI มักเริ่มต้นจากแรงกดดันในการทำงานประจำวัน เช่น กำหนดเวลาที่กระชั้นชิด ความต้องการหาวิธีทำงานที่เร็วขึ้นหรือดีขึ้น หรือเครื่องมือที่มีอยู่ไม่ตอบโจทย์การทำงาน ในบางครั้งแม้จะมีเครื่องมือ AI ที่ได้รับการอนุมัติให้ใช้งาน แต่พนักงานกลับไปใช้ตัวเลือกอื่นเนื่องจากมีความคุ้นเคยมากกว่า

Shadow AI กับ Shadow IT

Shadow IT เป็นคำที่มีความหมายครอบคลุมกว้างกว่า ซึ่งหมายถึงซอฟต์แวร์หรือฮาร์ดแวร์ใดๆ ที่ใช้โดยไม่ได้รับอนุมัติหรือขาดการดูแลควบคุมจากองค์กร ตัวอย่างที่พบได้ทั่วไป ได้แก่ พื้นที่จัดเก็บข้อมูลบนคลาวด์ส่วนตัวที่นำมาใช้ทำงาน แอปรับส่งข้อความที่ไม่ได้รับอนุญาต และแพลตฟอร์มจัดการโปรเจกต์ที่ไม่ได้รับการอนุมัติ

Shadow AI เป็นรูปแบบเฉพาะของ Shadow IT ที่เกี่ยวข้องกับระบบ AI และคุณสมบัติที่ขับเคลื่อนด้วย AI ซึ่ง AI ได้เพิ่มความท้าทายในการกำกับดูแลข้อมูล เนื่องจากข้อมูลของบริษัทอาจถูกส่งไปยังระบบภายนอกหรือถูกประมวลผลในรูปแบบที่ไม่คุ้นเคยนอกเหนือการควบคุมขององค์กร

Shadow AI เกิดขึ้นได้อย่างไร

พนักงานสามารถป้อนข้อมูลของบริษัทจำนวนมากเข้าไปในหน้าต่างแชตของ AI ได้ภายในไม่กี่วินาที ขึ้นอยู่กับการตั้งค่าของ AI เครื่องมือดังกล่าวอาจเก็บข้อมูลที่ป้อนไว้ แชร์ข้อมูลกับบุคคลอื่น (เช่น โบรกเกอร์ข้อมูล หรือผู้ให้บริการการวิเคราะห์ ดังเช่นในกรณีการละเมิดข้อมูลของ OpenAI) หรือนำไปใช้สำหรับการโฆษณาตรงกลุ่มเป้าหมาย หรือการพัฒนารุ่นจำลอง

Shadow AI มักแพร่กระจายเนื่องจากช่องว่างทางองค์กรที่พบได้บ่อยบางประการ

ไม่มีตัวเลือกอื่นที่ได้รับการอนุมัติ

พนักงานมีแนวโน้มที่จะใช้เครื่องมือ Shadow AI มากขึ้นเมื่อธุรกิจไม่ได้จัดหาตัวเลือกที่ได้รับการอนุมัติ ผลสำรวจของ BlackFog(หน้าต่างใหม่) จากคนทำงาน 2,000 คน พบว่า 49% ของพนักงานใช้เครื่องมือ AI โดยไม่ได้รับการอนุมัติจากนายจ้าง, 63% คิดว่าการใช้ AI เป็นเรื่องที่ยอมรับได้เมื่อไม่มีตัวเลือกที่องค์กรอนุมัติ และ 51% เคยเชื่อมต่อเครื่องมือ AI เข้ากับระบบงานโดยที่ทีม IT ไม่รับทราบ

นโยบายที่ไม่ชัดเจน

พนักงานอาจไม่แน่ใจว่าเครื่องมือ งาน และประเภทข้อมูลใดที่ได้รับอนุญาต แนวทางของบริษัทอาจจำกัดข้อมูลที่มีความละเอียดอ่อนสูงไว้อย่างชัดเจน แต่มักแทบไม่ได้ระบุถึงบันทึกการประชุมภายใน ร่างอีเมล ตารางคำนวณ ซอร์สโค้ด หรือบทสนทนาของลูกค้า

ผลสำรวจของ IT Brew(หน้าต่างใหม่) จากผู้เชี่ยวชาญด้าน IT จำนวน 241 คนพบว่า 35% แทบไม่มีความมั่นใจเลยว่าพนักงานทราบนโยบายการใช้งาน AI และความปลอดภัยของข้อมูลของบริษัท และมีเพียง 12% เท่านั้นที่รู้สึก “มั่นใจมาก” นอกจากนี้ ผลสำรวจของ WorkNest(หน้าต่างใหม่) จากผู้เชี่ยวชาญด้าน HR/นายจ้าง จำนวน 505 คนพบว่า 54% ขององค์กรไม่มีนโยบายเกี่ยวกับ AI เลย 24% ยังคงอยู่ในช่วงพัฒนานโยบาย และมีเพียง 13% เท่านั้นที่มีกฎระเบียบเป็นลายลักษณ์อักษรที่ชัดเจน

กระบวนการอนุมัติที่ล่าช้า

แรงกดดันในการทำงานให้ทันกำหนดเวลาอาจทำให้การตรวจสอบด้านความปลอดภัยหรือการจัดซื้อที่ยาวนานกลายเป็นเรื่องที่ไม่สะดวกในทางปฏิบัติ เมื่อพนักงานสามารถเข้าถึงเครื่องมือฟรีได้ทันที กระบวนการภายในที่ล่าช้าจึงทำให้เกิดทางออกที่ไม่เป็นทางการได้ง่ายขึ้น

คุณสมบัติ AI ใหม่ในซอฟต์แวร์ที่ได้รับการอนุมัติ

ผู้ให้บริการอาจเพิ่มคุณสมบัติ Generative AI ลงในแอปพลิเคชั่นที่ผ่านการตรวจสอบความปลอดภัยแล้ว ทำให้ซอฟต์แวร์นั้นยังคงอยู่ในรายการที่ได้รับการอนุมัติ ทั้งที่ยังไม่มีใครประเมินว่าคุณสมบัติใหม่ประมวลผล จัดเก็บ หรือแชร์ข้อมูลของบริษัทอย่างไร พนักงานไม่ได้ฝ่าฝืนนโยบายใดๆ แต่ผลลัพธ์ที่ได้นั้นไม่ต่างจากสาเหตุอื่น นั่นคือ ข้อมูลของบริษัทกำลังเคลื่อนผ่านช่องทางที่ไม่มีใครตรวจสอบอย่างแท้จริง

ความตระหนักรู้ที่จำกัดเกี่ยวกับการจัดการข้อมูล

พนักงานอาจไม่ทราบว่าผู้ให้บริการ AI อย่าง ChatGPT และ Gemini เก็บรักษาคำสั่ง ประมวลผลไฟล์ที่อัปโหลด นำบทสนทนาไปใช้ปรับปรุงบริการ หรือแชร์ข้อมูลกับผู้ให้บริการรายอื่นอย่างไร พนักงานอาจสันนิษฐานว่าข้อมูลที่ป้อนจะหายไปเมื่อปิดแท็บเบราว์เซอร์ ทั้งที่สำเนาของข้อมูลยังคงอยู่ในประวัติบัญชี บันทึก การสำรองข้อมูล หรือระบบที่เชื่อมต่อไว้

รายงานของ Kolide(หน้าต่างใหม่) พบว่าแม้พนักงาน 89% จะใช้ AI เป็นประจำทุกเดือน แต่มีบริษัทเพียง 56% เท่านั้นที่อธิบายความเสี่ยงด้านความปลอดภัยของ AI ให้บุคลากรทราบ

ตัวอย่างของ Shadow AI

ทีมงาน	ตัวอย่างของ Shadow AI	ข้อมูลที่มีความเสี่ยงจะถูกเปิดเผย	ผลกระทบที่อาจเกิดขึ้น
การพัฒนาซอฟต์แวร์	การวางรหัสภายในลงในแชตบอตสาธารณะเพื่อดีบั๊ก	ซอร์สโค้ด ข้อมูลยืนยันตัวตน สถาปัตยกรรมระบบ และคุณสมบัติที่ยังไม่ได้เปิดตัว	รหัสที่เป็นกรรมสิทธิ์หรือความลับอาจถูกเก็บรักษาไว้ภายนอกระบบของบริษัท
ผลิตภัณฑ์	การอัปโหลดแผนผังการดำเนินงานเพื่อสรุปเนื้อหา	วันเปิดตัว กลยุทธ์ผลิตภัณฑ์ ราคา และข้อมูลพาร์ทเนอร์	แผนธุรกิจที่เป็นความลับอาจตกอยู่ในเซิร์ฟเวอร์ของบุคคลที่สามโดยไม่มีการจัดการ
การตลาดและการออกแบบ	การป้อนแผนแคมเปญลงในเครื่องมือการเขียนหรือการออกแบบ AI	ผลิตภัณฑ์ที่ยังไม่ได้เปิดตัว การวิจัยลูกค้า สินทรัพย์ของแบรนด์ และข้อมูลกลุ่มเป้าหมาย	ข้อมูลแคมเปญที่ละเอียดอ่อนอาจถูกประมวลผลโดยไม่ได้ผ่านการตรวจสอบจากฝ่ายกฎหมายหรือฝ่ายความปลอดภัย
การวิเคราะห์ข้อมูล	การอัปโหลดชุดข้อมูลลูกค้าไปยังเครื่องมือวิเคราะห์ภายนอก	ข้อมูลส่วนบุคคล บันทึกที่มีความสำคัญเชิงพาณิชย์ และข้อมูลเชิงลึกที่เป็นความลับ	ข้อมูลที่ได้รับการคุ้มครองหรืออยู่ภายใต้การกำกับดูแลอาจถูกเปิดเผยแก่บุคคลที่สามที่ไม่ได้รับการอนุมัติ
ทรัพยากรบุคคล	การใช้เครื่องมือ AI เพื่อประเมินการใบสมัครหรือสรุปการสัมภาษณ์	ข้อมูลผู้สมัคร ข้อมูลการจ้างงาน และเกณฑ์การประเมิน	การเปิดเผยข้อมูลบุคลากรอาจเป็นการละเมิด GDPR หรือ CCPA
การขาย	การอัปโหลดบันทึกการสนทนาหรือบันทึกบัญชีเพื่อการวิเคราะห์	ข้อมูลระบุตัวตนของลูกค้า รายละเอียดสัญญา ราคา และกลยุทธ์การขาย	การเปิดเผยข้อมูลลูกค้าอาจเป็นการละเมิด GDPR หรือ CCPA
ฝ่ายสนับสนุนลูกค้า	การวางตั๋วการสนับสนุนลงในแชตบอตสาธารณะ	ชื่อลูกค้า รายละเอียดบัญชี ข้อร้องเรียน และการติดต่อสื่อสาร	บันทึกฝ่ายสนับสนุนที่ถูกจัดเก็บไว้อาจฝ่าฝืน GDPR หรือ CCPA
ฝ่ายการเงิน	การขอให้ผู้ช่วย AI วิเคราะห์ตารางคำนวณภายใน	งบประมาณ การคาดการณ์ ข้อมูลเงินเดือน และบันทึกการทำธุรกรรม	ข้อมูลทางการเงินอาจถูกประมวลผลโดยไม่มีมาตรการป้องกันที่เหมาะสม
กฎหมาย	การอัปโหลดสัญญาหรือไฟล์คดีเพื่อสรุปเนื้อหา	คำแนะนำที่มีสิทธิพิเศษ ข้อกำหนดในสัญญา และข้อมูลของลูกค้า	การนำข้อมูลลูกค้าไปใช้ในทางที่ผิดอาจเป็นการละเมิด GDPR หรือ CCPA และส่งผลกระทบต่อสิทธิปกป้องข้อมูลเอกสิทธิ์
ผู้บริหาร	การใช้บริการ AI เพื่อตรวจสอบเอกสารคณะกรรมการหรือแผนกลยุทธ์	แผนการเข้าซื้อกิจการ เป้าหมายภายใน และการหารือของผู้บริหาร	ข้อมูลเชิงลึกขององค์กรที่มีความละเอียดอ่อนสูงอาจถูกเปิดเผย

AI เรียนรู้จากข้อมูลโดยอัตโนมัติหรือไม่

โมเดลภาษาขนาดใหญ่ (LLM) ไม่ได้ฝึกฝนตัวเองใหม่ตามคำสั่งทุกคำสั่งแบบเรียลไทม์โดยอัตโนมัติ ดังนั้นบทสนทนาจึงไม่ได้กลายเป็นส่วนหนึ่งของโมเดล AI หรือปรากฏในการตอบกลับของผู้ใช้รายอื่นเสมอไป อย่างไรก็ตาม ระดับความเสี่ยงขึ้นอยู่กับผู้ให้บริการ ประเภทบัญชี การตั้งค่าความเป็นส่วนตัว สัญญา และวิธีการกำหนดค่าบริการ

ผู้ให้บริการ AI อาจเก็บรักษาคำสั่งและไฟล์ที่อัปโหลด จัดทำไว้สำหรับการตรวจสอบโดยมนุษย์ นำไปใช้ปรับปรุงบริการ หรือแชร์กับผู้ให้บริการโครงสร้างพื้นฐานและผู้ให้บริการโมเดล

แม้ว่าจะปิดการใช้งานการฝึกโมเดลแล้ว ข้อมูลก็อาจยังคงปรากฏในประวัติบัญชี บันทึกการปฏิบัติงาน ระบบตรวจสอบการใช้งานที่ผิดวิธี การสำรองข้อมูล บันทึกเบราว์เซอร์ บริการที่เชื่อมต่อ หรือการทำงานร่วมกับบุคคลที่สาม หากเนื้อหาเคยถูกนำไปใช้ในการฝึกโมเดลแล้ว การปิดตัวเลือกนี้จะไม่ทำให้โมเดลลืมบทสนทนาในอดีต

ความเสี่ยงของ Shadow AI มีอะไรบ้าง

AI สามารถส่งผลกระทบต่อการตัดสินใจ สร้างเนื้อหาสำหรับลูกค้า เขียนรหัส หรือวิเคราะห์ข้อมูลส่วนบุคคล ซึ่งทั้งหมดนี้ก่อให้เกิดความเสี่ยงที่ครอบคลุมเกินกว่าความปลอดภัยของตัวเครื่องมือเอง:

การละเมิดข้อมูล

รายงานมูลค่าของการละเมิดข้อมูลประจำปี 2025 ของ IBM(หน้าต่างใหม่) พบว่าหนึ่งในห้าขององค์กรเคยประสบปัญหาการละเมิดข้อมูลที่เชื่อมโยงกับ Shadow AI แต่มีเพียง 37% เท่านั้นที่มีนโยบายที่ออกแบบมาเพื่อจัดการหรือตรวจหาปัญหานี้

องค์กรที่มีการใช้ Shadow AI ในระดับสูงต้องเผชิญกับมูลค่าความเสียหายจากการละเมิดข้อมูลเฉลี่ยสูงกว่าองค์กรที่มี Shadow AI เพียงเล็กน้อยหรือไม่เลยถึง $670,000 นอกจากนี้ เหตุการณ์ที่เกี่ยวข้องกับ Shadow AI ยังทำให้ข้อมูลส่วนบุคคลและทรัพย์สินทางปัญญาเปิดเผยบ่อยกว่าค่าเฉลี่ยทั่วโลก

การเปิดเผยข้อมูลที่เป็นความลับ

พนักงานอาจแชร์เอกสารภายใน ซอร์สโค้ด ข้อมูลทางการเงิน สัญญา บันทึกข้อมูลลูกค้า แผนผลิตภัณฑ์ หรือความลับทางการค้าโดยไม่รู้ว่าผู้ให้บริการ AI เก็บรักษาข้อมูลที่ป้อนไว้ แม้ว่าข้อมูลจะถูกยกเว้นจากการฝึกโมเดล แต่ก็ยังคงเสี่ยงต่อการถูกโจมตีบัญชี การละเมิดข้อมูล การเข้าถึงของผู้ให้บริการ การเชื่อมโยงที่ไม่ปลอดภัย หรือข้อเรียกร้องทางกฎหมาย

ตัวอย่างเช่น Samsung ได้สั่งห้ามใช้ ChatGPT(หน้าต่างใหม่) ทั่วทั้งบริษัทในเดือนพฤษภาคม 2023 หลังจากพนักงานวางข้อมูลที่เป็นความลับลงในระบบถึงสามครั้งในเวลา 20 วัน ซึ่งรวมถึงซอร์สโค้ดเซมิคอนดักเตอร์ อัลกอริทึมตรวจจับข้อบกพร่อง และถอดความการประชุมภายใน

การสูญเสียทรัพย์สินทางปัญญา

ความรู้ที่เป็นกรรมสิทธิ์มักเป็นสินทรัพย์ที่มีค่าที่สุดของบริษัท การอัปโหลดรหัส งานวิจัย การออกแบบผลิตภัณฑ์ กระบวนการ หรือเอกสารกลยุทธ์ไปยังบริการ AI ภายนอกอาจขัดแย้งกับข้อตกลงรักษาความลับ หรือทำให้ความสามารถของธุรกิจในการควบคุมข้อมูลนั้นอ่อนแอลง นอกจากนี้ พนักงานอาจใช้เนื้อหาที่สร้างโดย AI โดยไม่เข้าใจถึงที่มา ข้อจำกัดด้านลิขสิทธิ์ หรือความคล้ายคลึงกับสื่อของบุคคลที่สาม

การละเมิดความเป็นส่วนตัวและข้อบังคับ

ข้อมูลส่วนบุคคลยังคงอยู่ภายใต้กฎหมายความเป็นส่วนตัวของข้อมูลเมื่อถูกประมวลผลผ่านเครื่องมือ AI โดย Shadow AI สามารถเลี่ยงมาตรการป้องกันความเป็นส่วนตัว เนื่องจากทีมกฎหมายที่เกี่ยวข้องไม่เคยทราบว่ามีการประมวลผลเกิดขึ้น สำนักงานคณะกรรมการข้อมูลข่าวสารของสหราชอาณาจักร เตือนว่าระบบ AI สามารถเพิ่มความเสี่ยงด้านความปลอดภัยที่มีอยู่เดิม(หน้าต่างใหม่) การละเมิด GDPR อย่างร้ายแรงอาจส่งผลให้ถูกปรับสูงสุดถึง 20 ล้านยูโร หรือ 4% ของรายได้รวมทั่วโลกต่อปีขององค์กรจากปีการเงินก่อนหน้า แล้วแต่จำนวนใดจะสูงกว่า

การเชื่อมต่อที่ไม่ปลอดภัยและการเข้าถึงที่มากเกินไป

เครื่องมือ AI อาจเชื่อมต่อกับอีเมล พื้นที่จัดเก็บบนคลาวด์ ปฏิทิน คลังเก็บรหัส ฐานข้อมูลลูกค้า และแพลตฟอร์มการทำงานร่วมกัน สิทธิ์การใช้งานที่กว้างขวาง API ที่มีความปลอดภัยต่ำ การรั่วไหลของโทเค็นการเข้าถึง ส่วนขยายเบราว์เซอร์ที่เป็นอันตราย และบริการของบุคคลที่สามที่ถูกโจมตี สามารถเปิดเผยระบบและข้อมูลของบริษัทได้มากกว่าข้อมูลที่ป้อนในคำสั่งเดียว

ในกรณีการละเมิดข้อมูลของ Salesloft Drift ผู้โจมตีได้ขโมยโทเค็น OAuth จาก Drift ซึ่งเป็นระบบเชื่อมต่อผู้ช่วยการขาย AI และใช้โทเค็นเหล่านั้นดึงข้อมูลออกจากอินสแตนซ์ของ Salesforce ขององค์กรกว่า 700 แห่ง รวมถึงรายชื่อผู้ติดต่อทางธุรกิจ คีย์ API และข้อมูลยืนยันตัวตนบนคลาวด์ที่ฝังไว้ในกรณีของฝ่ายสนับสนุน

การโจมตีแบบ Prompt Injection

ช่องโหว่นี้มีอยู่ในระบบ AI ที่เชื่อมต่ออยู่ทุกระบบ ไม่ว่าจะได้รับการอนุมัติหรือไม่ก็ตาม โดยผู้โจมตีสามารถควบคุมระบบ AI ผ่านคำสั่งที่ซ่อนอยู่ในเอกสาร หน้าเว็บ อีเมล หรือเนื้อหาอื่นที่ระบบประมวลผล ส่งผลให้ระบบเปิดเผยข้อมูล เมินเฉยต่อคำสั่งเดิม หรือดำเนินการกระทำที่ไม่พึงประสงค์

Shadow AI เพิ่มความเสี่ยงยิ่งขึ้น เนื่องจากเครื่องมือหรือเอเจนต์ AI ที่ไม่ได้รับการอนุมัติอาจไม่เคยได้รับการประมวลผลประเมินการโจมตีแบบ Prompt Injection หรือไม่เคยได้รับการจำกัดสิทธิ์เท่าที่จำเป็น หากการโจมตีสำเร็จ ทีมความปลอดภัยอาจแทบไม่มีข้อมูลเลยว่าเกิดอะไรขึ้นหรือจะควบคุมอย่างไร ผลกระทบจะร้ายแรงเป็นพิเศษเมื่อเอเจนต์ AI สามารถเข้าถึงข้อมูลที่ละเอียดอ่อนหรือดำเนินการใดๆ โดยไม่มีมนุษย์ตรวจสอบ

การขาดความรับผิดชอบ

กิจกรรมของ Shadow AI มักทิ้งร่องรอยการตรวจสอบส่วนกลางไว้ไม่ชัดเจนหรือไม่ทิ้งไว้เลย ทีมความปลอดภัยอาจไม่สามารถระบุได้ว่ามีการส่งข้อมูลใดไป โมเดลใดประมวลผลข้อมูล ผลลัพธ์ที่ได้คืออะไร หรือผลลัพธ์นั้นส่งผลต่อการตัดสินใจอย่างไร การสอบสวนข้อผิดพลาด ข้อร้องเรียน การละเมิดข้อมูล หรือคำถามทางกฎหมายข้อบังคับจึงทำได้ยากขึ้นมากหากไม่มีบันทึกเหล่านั้น

ค่าใช้จ่ายที่ไม่คาดคิดและการพึ่งพาผู้ให้บริการ

การสมัครสมาชิกและบัญชี API ที่แยกกันสามารถสร้างค่าใช้จ่ายที่ซ้ำซ้อนในแผนกต่างๆ เครื่องมือทดลองอาจกลายเป็นส่วนหนึ่งที่ฝังอยู่ในเวิร์กโฟลว์สำคัญก่อนที่ทีมจัดซื้อจะได้ประเมินราคา ความน่าเชื่อถือ หรือความพร้อมใช้งานในระยะยาว บริการฟรีอาจกลายเป็นส่วนสำคัญยิ่งต่อธุรกิจโดยไม่มีข้อตกลงการให้บริการ แผนความต่อเนื่องของธุรกิจ หรือวิธีที่นำไปใช้ได้จริงในการย้ายเวิร์กโฟลว์ไปยังที่อื่น

วิธีตรวจหา Shadow AI

Shadow AI ตรวจหาได้ยากเนื่องจากพนักงานอาจใช้บัญชีส่วนตัว ส่วนขยายเบราว์เซอร์ คุณสมบัติ AI ที่ฝังไว้ เบราว์เซอร์ AI หรือเครื่องมือที่กลมกลืนไปกับทราฟฟิกเว็บปกติ ดังนั้น องค์กรจึงต้องการความสามารถในการมองเห็นว่ามีการใช้บริการใดบ้างและข้อมูลของบริษัทเคลื่อนผ่านบริการเหล่านั้นอย่างไร

การตรวจสอบควรทำในสัดส่วนที่เหมาะสมและเคารพความเป็นส่วนตัวของพนักงาน เป้าหมายคือการระบุเครื่องมือและการไหลของข้อมูลที่มีความเสี่ยง โดยไม่ต้องตรวจสอบเนื้อหาของทุกคำสั่งหรือบทสนทนาอยู่เป็นประจำ

คำแนะนำในการระบุ Shadow AI ภายในองค์กรมีดังนี้:

สร้างบัญชีรายการการใช้งาน AI

สอบถามทีมงานว่าปัจจุบันใช้เครื่องมือ AI ใดบ้าง ใช้สำหรับงานใด และอะไรคืออุปสรรคในการใช้ตัวเลือกอื่นที่ได้รับการอนุมัติ แบบสำรวจสั้นๆ การสัมภาษณ์หัวหน้าแผนก และช่วงเวลาการเปิดเผยข้อมูลโดยสมัครใจสามารถเผยให้เห็นการใช้งานที่ระบบควบคุมทางเทคนิคตรวจไม่พบ พนักงานมีแนวโน้มที่จะตอบตามความเป็นจริงเมื่อเป้าหมายคือการเข้าใจความต้องการมากกว่าการลงโทษการทดลองในระยะแรก

ตรวจสอบกิจกรรมเครือข่ายและแอปพลิเคชั่น

ทีมความปลอดภัยสามารถใช้บันทึกเครือข่าย บัญชีรายการซอฟต์แวร์ และเครื่องมือความปลอดภัยในการเข้าถึงคลาวด์เพื่อระบุการเชื่อมต่อกับบริการ AI ที่รู้จัก การตรวจสอบสามารถแสดงให้เห็นว่ากำลังเข้าถึงบริการใดและมีการถ่ายโอนข้อมูลจำนวนเท่าใดโดยไม่ต้องจับภาพเนื้อหาของทุกบทสนทนา

ตรวจสอบส่วนขยายเบราว์เซอร์และปลั๊กอิน

ส่วนขยายเบราว์เซอร์สามารถเพิ่มคุณสมบัติการเขียน การสรุปเนื้อหา การแปลภาษา การประชุม และการเขียนรหัสของ AI ให้แก่เวิร์กโฟลว์เกือบทุกประเภท ตรวจสอบว่ามีการติดตั้งส่วนขยายใดบ้าง ส่วนขยายเหล่านั้นขอสิทธิ์การใช้งานใด และสามารถอ่านเนื้อหาในหน้าเว็บ อีเมล เอกสาร หรือข้อมูลการเข้าสู่ระบบได้หรือไม่

ตรวจสอบค่าใช้จ่ายและบันทึกการจัดซื้อ

การเบิกจ่ายค่าใช้จ่ายของพนักงาน รายการเดินบัญชีบัตรองค์กร และบันทึกการจัดซื้ออาจเปิดเผยการสมัครสมาชิก AI แบบชำระเงินที่ไม่เคยผ่านการตรวจสอบความปลอดภัย นอกจากนี้ การชำระเงินซ้ำๆ จากทีมต่างๆ ยังสามารถเปิดเผยเครื่องมือที่ซ้ำซ้อนและบัญชีที่ไม่เป็นทางการได้ด้วย

ค้นหาคีย์ API และการเชื่อมโยงที่ไม่ได้จัดการ

ตรวจสอบคลังเก็บรหัส ระบบจัดการความลับ สภาพแวดล้อมคลาวด์ หน้าหลักของระบบเรียกเก็บเงิน และแพลตฟอร์มอัตโนมัติ เพื่อหาการเชื่อมต่อกับผู้ให้บริการ AI ภายนอก คีย์ API ที่ไม่ได้จัดการหรือค่าบริการที่ไม่คุ้นเคยอาจบ่งบอกถึงโมเดลต้นแบบ การเชื่อมต่อ หรือเครื่องมือภายในที่ยังไม่ได้รับการอนุมัติอย่างเป็นทางการ

ใช้มาตรการควบคุมการป้องกันข้อมูลรั่วไหล

เครื่องมือการป้องกันข้อมูลรั่วไหลสามารถระบุความพยายามในการอัปโหลดหมวดหมู่ข้อมูลที่ละเอียดอ่อน เช่น บันทึกส่วนบุคคล ข้อมูลยืนยันตัวตน ข้อมูลทางการเงิน และซอร์สโค้ด มาตรการควบคุมควรมีความเหมาะสมและสื่อสารอย่างชัดเจน พนักงานต้องเข้าใจว่ามีการตรวจสอบอะไร เหตุใดจึงจำเป็น และจะทำงานอย่างถูกต้องผ่านระบบที่ได้รับการอนุมัติได้อย่างไร

ทำงานร่วมกับพนักงานแทนที่จะหลีกเลี่ยงพนักงาน

การตรวจสอบทางเทคนิคเพียงอย่างเดียวจะไม่สามารถเผยให้เห็นทุกกรณีของ Shadow AI ได้ พนักงานอาจใช้บัญชีส่วนตัว อุปกรณ์เคลื่อนที่ หรือเครื่องมือที่ปรากฏเป็นทราฟฟิกเว็บปกติ การหารือกับทีมอย่างสม่ำเสมอสามารถระบุได้ว่าเวิร์กโฟลว์ที่มีอยู่สร้างอุปสรรคตรงไหน และเหตุใดพนักงานจึงมองหาเครื่องมือภายนอก

วิธีลดความเสี่ยงจาก Shadow AI

การลด Shadow AI ต้องอาศัยตัวเลือกอื่นที่ใช้ได้จริง นโยบายที่ชัดเจน การควบคุมการเข้าถึงที่เหมาะสม การฝึกอบรมพนักงาน และการตรวจสอบอย่างต่อเนื่อง มาตรการป้องกันที่มีประสิทธิภาพควรสนับสนุนการใช้ AI ที่ถูกต้องพร้อมทั้งรักษาข้อมูลของบริษัทให้อยู่ในระบบที่ได้รับการอนุมัติ:

จัดหาเครื่องมือ AI ที่ได้รับการอนุมัติให้พนักงาน

พนักงานจะมีแนวโน้มน้อยลงที่จะค้นหาตัวเลือกอื่นเมื่อมีการจัดหา ผู้ช่วย AI สำหรับธุรกิจที่ตอบสนองความต้องการใช้งานจริง เครื่องมือที่ได้รับการอนุมัติใดๆ ควรเสนอการคุ้มครองความเป็นส่วนตัวที่แข็งแกร่ง เงื่อนไขการจัดการข้อมูลที่ชัดเจน การควบคุมทางธุรกิจที่เหมาะสม และความสามารถที่เพียงพอในการสนับสนุนงานทั่วไป

หลีกเลี่ยงการสั่งห้ามโดยสิ้นเชิง

การสั่งห้ามโดยสิ้นเชิงอาจยิ่งผลักดันการใช้ AI ให้ลงลึกไปใต้ดิน โดยเฉพาะอย่างยิ่งเมื่อพนักงานพึ่งพาเครื่องมือเหล่านี้อยู่แล้ว บางคนอาจย้ายไปใช้บัญชีส่วนตัว อุปกรณ์เคลื่อนที่ ส่วนขยายเบราว์เซอร์ หรือบริการ AI ที่น่าเชื่อถือน้อยกว่า ซึ่งยากต่อการระบุขององค์กร

สร้างนโยบายการใช้งาน AI ที่ยอมรับได้

ใช้ตัวเลือกตัวอย่างตามเวิร์กโฟลว์จริง คำว่า “ห้ามแชร์ข้อมูลที่ละเอียดอ่อน” เปิดช่องให้ตีความมากเกินไป นโยบายที่ชัดเจนกว่าอาจระบุให้พนักงานทราบว่าห้ามอัปโหลดข้อมูลส่งออกของฝ่ายสนับสนุนลูกค้า ซอร์สโค้ด สัญญา ข้อมูลยืนยันตัวตน ผลประกอบการทางการเงินที่ยังไม่ได้เปิดตัว หรือบันทึกพนักงานที่ระบุตัวตนได้ไปยังบริการที่ไม่ได้รับการอนุมัติโดยเด็ดขาด

จำแนกประเภทข้อมูลก่อนกำหนดกฎระเบียบ AI

ระบุหมวดหมู่ข้อมูลว่าเป็นสาธารณะ ภายใน เป็นความลับ ควบคุม หรือจำกัดสิทธิ์สูง จากนั้นเชื่อมต่อแต่ละหมวดหมู่กับการใช้งาน AI ที่ได้รับอนุญาต ข้อความการตลาดสาธารณะอาจเหมาะสมกับเครื่องมือที่หลากหลายยิ่งขึ้น ในขณะที่ข้อมูลส่วนบุคคล ข้อมูลยืนยันตัวตน ความลับทางการค้า และสื่อทางกฎหมายที่มีสิทธิพิเศษอาจต้องใช้ระบบที่ควบคุมอย่างเข้มงวดหรือต้องยกเว้นโดยสิ้นเชิง

ทบทวนซอฟต์แวร์ที่ได้รับการอนุมัติเป็นระยะเพื่อหาคุณสมบัติ AI ใหม่

แอปพลิเคชั่นอาจประมวลผลข้อมูลแตกต่างออกไปหลังจากเพิ่มผู้ช่วย AI การถอดความอัตโนมัติ การสร้างเนื้อหา หรือการวิเคราะห์เชิงคาดการณ์ การสอบทานผู้ให้บริการเป็นประจำจะช่วยระบุการเปลี่ยนแปลงเหล่านี้และยืนยันว่าเครื่องมือที่เคยอนุมัติยังคงตอบสนองความต้องการด้านความปลอดภัย ความเป็นส่วนตัว และการปฏิบัติตามข้อบังคับขององค์กร

จำกัดสิทธิ์การใช้งาน

ให้เครื่องมือ AI เข้าถึงเฉพาะข้อมูลและระบบที่จำเป็นสำหรับงานที่ได้รับการอนุมัติเท่านั้น ใช้บัญชีที่จัดการโดยบริษัท การลงชื่อเข้าใช้เพียงครั้งเดียว (SSO) การยืนยันตัวตนผ่านสองขั้นตอน (2FA) สิทธิ์ตามบทบาท และการลบออกบัญชีแบบรวมศูนย์หากมี หลีกเลี่ยงการเชื่อมต่อผู้ช่วย AI สำหรับธุรกิจเข้ากับทั้งไดรฟ์ กล่องขาเข้า หรือฐานข้อมูลลูกค้าเมื่อแหล่งข้อมูลที่แคบกว่าสามารถทำงานได้

ควรกำหนดกฎระเบียบตามบทบาทและกรณีการใช้งาน

ทีมต่างกันมีความต้องการและระดับความเสี่ยงต่างกัน นักพัฒนาอาจต้องเข้าถึง API เพื่อทดสอบหรือสร้างโมเดลต้นแบบ ทีมการตลาดอาจต้องใช้การสร้างข้อความและรูปภาพ ทีมกฎหมายหรือฝ่าย HR อาจทำงานกับข้อมูลที่ต้องใช้มาตรการจำกัดที่เข้มงวดกว่ามาก กฎระเบียบตามบทบาทสามารถรักษาความจริงจังของนโยบายพร้อมทั้งจำกัดการเข้าถึงข้อมูลที่ละเอียดอ่อนและฟังก์ชันที่มีความเสี่ยงสูง

ฝึกอบรมพนักงาน

พนักงานจำเป็นต้องมีความรอบรู้เรื่อง AI เพียงพอที่จะเข้าใจทั้งประโยชน์และข้อจำกัดของระบบที่ตนใช้ การฝึกอบรมควรครอบคลุมถึงความเป็นส่วนตัวของ AI การรักษาความลับ การสร้างข้อมูลเท็จ อคติ ทรัพย์สินทางปัญญา การโจมตีแบบ Prompt Injection การตรวจสอบโดยมนุษย์ และการรายงานเหตุการณ์ ระดับการฝึกอบรมที่เหมาะสมขึ้นอยู่กับความรู้ ประสบการณ์ของบุคลากร และบริบทที่นำ AI ไปใช้

สร้างกระบวนการอนุมัติที่ไม่ซับซ้อน

กระบวนการทำงานอาจรวบรวมชื่อเครื่องมือ งานที่ตั้งใจ ข้อมูลที่เกี่ยวข้อง การเชื่อมโยงที่จำเป็น และผลประโยชน์ทางธุรกิจที่คาดว่าจะได้รับ จากนั้นทีมความปลอดภัยและทีมกฎหมายสามารถอนุมัติ จำกัด ทดสอบ จำลองสภาพแวดล้อม หรือปฏิเสธตามความเสี่ยงจริง กระบวนการจัดซื้อที่ยาวนานอาจกระตุ้นให้พนักงานค้นหาทางออกของตนเอง กำหนดเป้าหมายการทบทวนที่สมเหตุสมผลและอธิบายข้อมูลที่จำเป็นต้องใช้เพื่อประกอบการตัดสินใจ

กำหนดให้บุคคลต้องรับผิดชอบต่อผลลัพธ์

งานที่ได้รับความช่วยเหลือจาก AI ควรมีมนุษย์เป็นผู้รับผิดชอบ กำหนดให้มีการตรวจสอบก่อนที่ผลลัพธ์จะส่งผลกระทบต่อลูกค้า พนักงาน การเงิน การตัดสินใจทางกฎหมาย รหัสที่ใช้งานจริง ข้อมูลที่เผยแพร่ หรือพื้นที่อื่นๆ ที่มีผลกระทบสูง บุคคลใดๆ ที่ใช้เครื่องมือ AI ยังคงต้องรับผิดชอบในการตรวจสอบความถูกต้อง ความเหมาะสม การรักษาความลับ และการปฏิบัติตามนโยบายของบริษัท

บันทึกเอกสารเกี่ยวกับการตัดสินใจสำคัญที่ได้รับความช่วยเหลือจาก AI

จัดเก็บบันทึกอย่างชัดเจนเมื่อ AI มีส่วนช่วยในการตัดสินใจที่ส่งผลกระทบต่อลูกค้า พนักงาน การเงิน เรื่องทางกฎหมาย หรือพื้นที่อื่นๆ ที่มีผลกระทบสูง ร่องรอยการตรวจสอบที่เชื่อถือได้จะสนับสนุนความรับผิดชอบและช่วยให้องค์กรสามารถตรวจสอบข้อผิดพลาด อธิบายผลลัพธ์ และตอบสนองต่อข้อร้องเรียนหรือคำถามทางกฎหมายข้อบังคับ

สิ่งที่ควรทำหากมีการแชร์ข้อมูลที่ละเอียดอ่อนไปแล้ว

ปฏิบัติต่อการเปิดเผยข้อมูลแก่เครื่องมือ AI โดยไม่ได้ตั้งใจเสมือนเป็นเหตุการณ์ทางข้อมูลที่อาจเกิดขึ้นตามปกติ ดำเนินการอย่างรวดเร็วตามขั้นตอนต่อไปนี้

ระบุสิ่งที่แชร์: ยืนยันว่ามีการป้อนหรืออัปโหลดข้อมูลใด ใช้เครื่องมือและบัญชีใด เกิดการเปิดเผยเมื่อใด และใครบ้างที่อาจเข้าถึงข้อมูลได้

ลบออกข้อมูลหากทำได้: ลบบทสนทนาและไฟล์ที่อัปโหลดทั้งหมดออกจากเครื่องมือ ตรวจสอบเงื่อนไขของผู้ให้บริการและตัวเลือกฝ่ายสนับสนุนว่าสามารถยื่นคำขอการลบอย่างเป็นทางการได้หรือไม่

ตรวจสอบสิ่งที่ผู้ให้บริการอาจเก็บรักษาไว้: การลบแชตออกจากการมองเห็นไม่ได้หมายความว่าจะลบสำเนาทั้งหมดเสมอไป ตรวจสอบและบันทึกข้อความที่ผู้ให้บริการระบุเกี่ยวกับบันทึกการปฏิบัติงาน การสำรองข้อมูล การตรวจสอบโดยมนุษย์ การฝึกโมเดล และระยะเวลาในการลบ เพื่อช่วยพิจารณาว่ายังมีข้อมูลหลงเหลืออยู่หรือไม่

รักษาความปลอดภัยของระบบที่ได้รับผลกระทบ: ยกเลิกสิทธิ์การใช้งานที่ให้กับเครื่องมือ AI หรือปลั๊กอินที่เชื่อมต่อ หมุนเวียนรหัสผ่าน คีย์ API โทเค็นการเข้าถึง หรือข้อมูลยืนยันตัวตนอื่นที่ปรากฏในคำสั่งหรือไฟล์ที่แนบมา

แจ้งเตือนทีมที่เกี่ยวข้อง: รายงานเหตุการณ์ไปยังทีมความปลอดภัย ความเป็นส่วนตัว กฎหมาย หรือคุ้มครองข้อมูลขององค์กร ทีมสามารถประเมินข้อผูกพันตามสัญญา ข้อกำหนดทางกฎหมายข้อบังคับ และพิจารณาว่าต้องแจ้งให้ลูกค้าหรือพาร์ทเนอร์ที่ได้รับผลกระทบทราบหรือไม่

เรียนรู้จากเหตุการณ์: บันทึกเอกสารเกี่ยวกับสิ่งที่เกิดขึ้นและนำไปใช้ปรับปรุงการฝึกอบรม มาตรการควบคุม และตัวเลือกอื่นที่ได้รับการอนุมัติ หลีกเลี่ยงการลงโทษพนักงานที่รายงานข้อผิดพลาดด้วยเจตนาบริสุทธิ์ เนื่องจากมาตรการตอบโต้ด้วยการลงโทษอาจบั่นทอนคนอื่นในการแจ้งเหตุการณ์ในอนาคต

ผู้ช่วย AI ส่วนตัวสำหรับทีม

Lumo for Business ช่วยให้ทีมงานของคุณมีผู้ช่วย AI ที่เชื่อถือได้ในการสรุปเอกสาร วิเคราะห์ข้อมูล ตรวจสอบรหัส ร่างเนื้อหา และค้นหาไอเดีย ขณะเดียวกันยังช่วยให้ธุรกิจของคุณรักษาการควบคุมข้อมูลที่เป็นความลับได้อย่างมั่นใจ

ผู้ช่วย AI สำหรับธุรกิจไม่เก็บบันทึกบทสนทนาหรือนำไปใช้ฝึกโมเดล AI และประวัติแชตใดๆ ที่เลือกบันทึกไว้ได้รับการปกป้องด้วยการเข้ารหัสลับแบบเข้าถึงเป็นศูนย์ ซึ่งหมายความว่าจะไม่มีวันเข้าถึงข้อมูลดังกล่าวได้

Lumo เป็นโอเพนซอร์สเต็มรูปแบบ สร้างขึ้นในยุโรป และออกแบบมาเพื่อสนับสนุนการปฏิบัติตามมาตรฐาน GDPR และ HIPAA ผ่านการรับรอง ISO 27001 และการรับรอง SOC 2 Type II ของ Proton

การมอบผู้ช่วย AI ที่ทรงประสิทธิภาพและเน้นความเป็นส่วนตัวให้แก่ทีมจะช่วยลดการพึ่งพาเครื่องมือที่ไม่ได้รับการอนุมัติ และช่วยให้การใช้งาน AI อยู่ในระบบที่ดูแลควบคุมได้