Shadow AI เครื่องมือที่พนักงานใช้เอง บริษัทตรวจและควบคุมอย่างไร

สำหรับประเด็น “Shadow AI” ต้องเริ่มจากข้อเท็จจริงของงานที่จะทำ บทความนี้อธิบายเงื่อนไขที่ทำให้คำตอบต่างกัน พร้อมวิธีตัดสินใจและหลักฐานที่ควรเตรียมก่อนเกิดข้อร้องเรียน

สถานการณ์แบบใดให้คำตอบต่างกัน

ตัวอย่างต่อไปนี้เป็นกรณีสมมติเพื่ออธิบายหลัก ไม่ใช่การเปิดเผยข้อมูลลูกความหรือคำพิพากษา

• พนักงานใช้บัญชีส่วนตัวสรุปสัญญาลูกค้าผ่านเว็บไซต์
• ส่วนเสริมเบราว์เซอร์ส่งข้อความที่พิมพ์ไปผู้ให้บริการโดยทีม IT ไม่ทราบ
• ระบบประชุมเพิ่มผู้ช่วยถอดเสียงอัตโนมัติ แม้พนักงานไม่ได้เปิดเว็บไซต์ AI เอง

ควรตัดสินใจตามลำดับใด

สำรวจว่างานใดต้องใช้ AI และข้อมูลไหลออกช่องทางใด ใช้ข้อมูลระบบที่จำเป็นและอยู่ในอำนาจดูแลของบริษัท เมื่อพบให้แยกการใช้ทั่วไปออกจากการส่งข้อมูลจริง แล้วประเมินเหตุและย้ายไปทางเลือกที่ได้รับอนุมัติ

ตรวจ Shadow AI โดยไม่เก็บข้อมูลเกินจำเป็น

ถามจากงานที่ต้องทำ

ให้แต่ละแผนกระบุเครื่องมือที่ช่วยงานและข้อมูลที่ส่ง เปิดช่วงสำรวจที่แยกจากการลงโทษอัตโนมัติเพื่อได้ข้อเท็จจริง แล้วอธิบายกติกาและผลเมื่อฝ่าฝืนให้ชัด

ตรวจระบบที่องค์กรดูแล

พิจารณาทะเบียนซอฟต์แวร์ ส่วนเสริม การอนุญาตเชื่อมบัญชี และรายการบริการที่จัดซื้อ ใช้ข้อมูลสรุปก่อนเมื่อพอ ไม่เก็บเนื้อหาเต็มหากยังไม่จำเป็น

เลือกมาตรการตามช่องทาง

ถอนสิทธิแอปที่ไม่จำเป็น จำกัดการอัปโหลดบางข้อมูล และเปิดบริการที่ผ่านประเมิน มาตรการบล็อกต้องมีช่องขออนุมัติเมื่อกระทบงานจำเป็น

รับมือเมื่อพบข้อมูลหลุด

แจ้งทีมรับเหตุ รักษาหลักฐานเท่าที่ต้องใช้ และประเมินความเสี่ยง ไม่ให้หัวหน้าแผนกส่ง Prompt ที่มีข้อมูลลูกค้าต่อกันเพื่อสอบถามในวงกว้าง

ฐานกฎหมายและขอบเขตที่ต้องแยก

มาตรา 22 กำหนดเก็บข้อมูลเท่าที่จำเป็น มาตรา 23 เกี่ยวกับการแจ้งรายละเอียดการเก็บ และมาตรา 24 (5) ใช้ได้เมื่อผ่านเงื่อนไขประโยชน์โดยชอบด้วยกฎหมาย ไม่ใช่ใบอนุญาตเฝ้าติดตามทุกอย่าง การควบคุม Shadow AI ต้องสอดคล้องหน้าที่ความปลอดภัยตามมาตรา 37 ด้วย

อ่านตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบการพิจารณาหน้าที่ของแต่ละฝ่าย

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วเรื่องไปทางใด

การตรวจเข้มโดยไม่แจ้งและไม่จำกัดขอบเขตอาจสร้างข้อร้องเรียนจากพนักงาน ขณะที่การบล็อกโดเมนอย่างเดียวอาจพลาดเครื่องมือฝังในแอป ต้องติดตามทั้งข้อมูลที่ออกและสิทธิที่เชื่อมต่อ

เมื่อได้รับหนังสือหรือข้อเรียกร้อง ให้ตรวจผู้ส่ง ประเด็นที่ถามและกำหนดตอบจากเอกสารจริง รักษาข้อมูลต้นฉบับที่เกี่ยวข้อง พร้อมแยกข้อเท็จจริงที่ยืนยันได้ออกจากประเด็นที่ยังสอบสวน การแก้ปัญหาปัจจุบันควรทำควบคู่กับการเตรียมชี้แจง โดยไม่แก้บันทึกเก่าให้คลาดจากเหตุการณ์

หลักฐานที่ต้องเก็บและวิธีจัดให้ใช้ได้จริง

• ทะเบียนเครื่องมือจากการสำรวจและผู้ยืนยันรายแผนก
• บันทึกความจำเป็นและขอบเขตการตรวจติดตาม
• Privacy Notice ของการตรวจระบบและสิทธิผู้ตรวจ
• บันทึกถอนสิทธิ ย้ายเครื่องมือ และจัดการเหตุ

จุดที่ควรตรวจเพิ่มคือทะเบียนเครื่องมือจากการสำรวจและผู้ยืนยันรายแผนก เอกสารนี้ตอบได้เฉพาะข้อเท็จจริงที่มีการตรวจและรับรองไว้ หากอีกฝ่ายโต้แย้งว่างานจริงต่างจากเอกสาร ให้ใช้ข้อมูลจากระบบและผู้ปฏิบัติงานตรวจเทียบ ไม่สรุปว่ามีเอกสารแล้วจึงถูกต้องทุกขั้นตอน กรณีที่หลักฐานขัดกัน ควรเก็บทั้งสองชุดไว้พร้อมบันทึกเหตุที่ตรวจพบ เพื่อให้ผู้รับผิดชอบประเมินอย่างครบถ้วนและไม่ตัดข้อมูลที่เสียเปรียบออกจากแฟ้ม

ให้เจ้าของงานระบุผู้จัดทำ ผู้ตรวจรับ วันที่และเวอร์ชัน เก็บต้นฉบับในพื้นที่ที่จำกัดสิทธิตามหน้าที่ ส่วนสำเนาสำหรับตรวจควรปกปิดข้อมูลที่ไม่เกี่ยวข้อง ระยะเก็บต้องสัมพันธ์กับวัตถุประสงค์ หน้าที่ตามกฎหมายและสิทธิเรียกร้องที่เกี่ยวข้อง หากมีข้อพิพาทให้ประเมินการพักทำลายเฉพาะข้อมูลที่จำเป็น พร้อมกำหนดผู้ทบทวน ไม่เก็บทุกอย่างตลอดไป

นำไปใช้กับทีมงานอย่างไร

กำหนดขอบเขตการทดลอง

เริ่มทดสอบด้วยข้อมูลสมมติหรือข้อมูลที่ลดความเสี่ยงแล้ว ระบุงานที่ให้เครื่องมือช่วยและงานที่ยังไม่อนุญาต หากต้องใช้ข้อมูลจริงเพื่อทดสอบ ต้องผ่านการประเมินฐานกฎหมายและสิทธิผู้รับก่อน ไม่ถือว่าช่วงทดลองอยู่นอกกฎหมาย

เก็บข้อจำกัดไว้กับผลทดสอบ

ผู้ตัดสินใจควรรู้ว่าระบบทดสอบกับงานแบบใด ข้อมูลแบบใดทำให้ผิด และมีสถานการณ์ใดที่ยังไม่ประเมิน แยกผลที่ตรวจยืนยันได้ออกจากคำอธิบายของผู้ขาย เพื่อไม่ขยายการใช้งานเกินหลักฐานที่มี

การอนุมัติต้องตามการเปลี่ยนแปลง

เมื่อผู้ให้บริการเปลี่ยนเงื่อนไข โมเดลหรือสิทธิการใช้ข้อมูล ให้เจ้าของงานประเมินส่วนที่เปลี่ยนและแจ้งผู้เกี่ยวข้อง การอนุมัติชื่อเครื่องมือครั้งเดียวไม่ครอบคลุมทุกการเชื่อมต่อ ทุกบัญชี และทุกข้อมูลในอนาคต

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลาต่อไปนี้เป็นตัวอย่างแผนจัดงานภายใน ไม่ใช่กำหนดตามกฎหมาย และไม่เลื่อนหน้าที่เร่งด่วนที่ต้องทำก่อน

ช่วงงาน	งานที่มอบหมาย	สิ่งที่ใช้ตรวจรับ
วันนี้	เปิดช่องสำรวจเครื่องมือและแจ้งพลาดที่เข้าถึงง่าย	ขอบเขตงานและผู้รับผิดชอบ
ภายใน 7 วัน	ตรวจส่วนเสริมและสิทธิแอปบนระบบบริษัทตามขอบเขตที่แจ้ง	ข้อค้นพบและรายการที่ต้องแก้
ภายใน 30 วัน	ทบทวนงานที่ยังไม่มีเครื่องมืออนุมัติและวัดผลการแก้ช่องว่าง	ผลตรวจหรือทดสอบและงานที่ยังค้าง

ข้อผิดพลาดที่ควรหลีกเลี่ยง

อย่าใช้คำว่าสอบสวน Shadow AI เพื่อเข้าบัญชีส่วนตัวโดยไม่มีอำนาจหรือเหตุรองรับ และไม่สรุปว่าพนักงานใช้โดเมน AI เท่ากับส่งข้อมูลลูกค้า ต้องพิสูจน์เนื้อหาที่เกี่ยวข้องอย่างได้สัดส่วน

อ่านต่อและจัดระบบให้เหมาะกับองค์กร

ภาพรวมของเรื่องนี้อยู่ในคู่มือกำกับการใช้ AI กับข้อมูลส่วนบุคคล สำหรับผู้บริหารและ HR ใช้ตรวจว่าประเด็นเฉพาะเชื่อมกับหน้าที่ส่วนอื่นอย่างไร

สำหรับขั้นตอนที่เกี่ยวข้อง อ่านนโยบายการใช้ AI ในบริษัท ควรห้ามข้อมูลใดและบังคับใช้อย่างไร และ20 คำถามที่ต้องถามผู้ให้บริการ AI ก่อนส่งข้อมูลบริษัท

หากงานเชื่อมกับกระบวนการอื่น ให้อ่านนายจ้างเปิดดูอีเมล แชท หรือคอมพิวเตอร์ของพนักงานได้หรือไม่ประกอบก่อนกำหนดผู้รับผิดชอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจข้อเท็จจริง เอกสารและพยานหลักฐานผ่านบริการกฎหมาย PDPA โดยประเด็นการจ้างงานสามารถประเมินร่วมกับทีมกฎหมายแรงงาน สามารถนัดหมายเพื่อนำเอกสารที่เกี่ยวข้องมาประเมินก่อนตัดสินใจ

ข้อกฎหมายที่เกี่ยวข้อง

มาตรา 22 กำหนดเก็บข้อมูลเท่าที่จำเป็น มาตรา 23 เกี่ยวกับการแจ้งรายละเอียดการเก็บ และมาตรา 24 (5) ใช้ได้เมื่อผ่านเงื่อนไขประโยชน์โดยชอบด้วยกฎหมาย ไม่ใช่ใบอนุญาตเฝ้าติดตามทุกอย่าง การควบคุม Shadow AI ต้องสอดคล้องหน้าที่ความปลอดภัยตามมาตรา 37 ด้วย

คำถามที่พบบ่อย

ตรวจบัญชี AI ส่วนตัวของพนักงานได้เลยไหม

ไม่ได้สรุปเช่นนั้น ต้องพิจารณาอำนาจ ความจำเป็น ฐานกฎหมาย และขอบเขตการตรวจเป็นรายกรณี

บล็อกเว็บไซต์ AI แล้วพอไหม

ยังมีเครื่องมือฝังในซอฟต์แวร์ ส่วนเสริมและการเชื่อมบัญชี ต้องสำรวจตามกระบวนงานด้วย

ควรลงโทษทุกคนที่ใช้เครื่องมือไม่ได้อนุมัติหรือไม่

ต้องตรวจนโยบายที่รับทราบ ข้อเท็จจริงและกฎหมายแรงงาน รวมถึงแยกการค้นหาเครื่องมือออกจากการส่งข้อมูลผิดเงื่อนไข

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ