AI ผู้ช่วยของคุณอ่านตารางเงินเดือนได้ไหม? ความเสี่ยงข้อมูลที่บริษัทไม่เคยตรวจสอบ

ที่บริษัทค้าส่งแห่งหนึ่งในกรุงเทพฯ ซึ่งมีพนักงานกว่าสามสิบคน เจ้าหน้าที่ฝ่ายบุคคลชื่อ小美อยากรีบคำนวณค่าล่วงเวลาของเดือนหน้าให้เสร็จก่อนเลิกงาน จึงลากโฟลเดอร์ไดรฟ์ที่ใช้ร่วมกันของฝ่ายบุคคลทั้งโฟลเดอร์เข้าไปใน AI ผู้ช่วย แล้วพิมพ์เพียงว่า "ช่วยสรุปเนื้อหาในโฟลเดอร์นี้ให้หน่อย แล้วคำนวณค่าล่วงเวลาที่ต้องจ่ายเดือนหน้า" AI ตอบกลับมาด้วยตารางที่เรียบร้อยอย่างรวดเร็ว แต่ในโฟลเดอร์นั้น นอกจากบันทึกการเข้างานแล้ว ยังมีรายละเอียดเงินเดือนย้อนหลังสามปี สำเนาบัตรประชาชนของพนักงานหลายคน และแผนค่าชดเชยการเลิกจ้างสองฉบับที่ยังอยู่ระหว่างการเจรจา小美ไม่รู้ตัวเลยว่าเพิ่งป้อนเอกสารลับเหล่านี้ทั้งชุดเข้าไปในประวัติการสนทนาที่ใครๆ ก็เปิดดูได้

เจ้าของธุรกิจมารู้ทีหลังว่าบริษัทไม่เคยมีใครตรวจสอบเลยว่า "AI ผู้ช่วยอ่านไฟล์อะไรได้บ้าง" ตรรกะที่ทุกคนคิดไว้ล่วงหน้าคือ ตราบใดที่พนักงานคนนั้นมีสิทธิ์เปิดไฟล์นี้อยู่แล้ว การให้ AI ช่วยอ่านช่วยสรุปก็เป็นเรื่องปกติ แต่ตรรกะนี้มองข้ามความแตกต่างสำคัญไปข้อหนึ่ง คือคนเราเปิดได้ทีละไฟล์แล้วค่อยๆ อ่าน แต่ AI สามารถย่อยทั้งโฟลเดอร์ ทั้งเอกสารเป็นร้อยฉบับได้ภายในไม่กี่วินาที และอาจนำข้อมูลอ่อนไหวที่ไม่ควรอยู่ในรายงานเดียวกันมาปนกันโดยไม่รู้ตัว

ทำไมเรื่องนี้ถึงจัดการได้ไม่ดีมาตลอด

• เข้าใจผิดว่า "สิทธิ์เข้าถึงไฟล์" เท่ากับ "สิทธิ์ให้ AI อ่านได้": บริษัทส่วนใหญ่ตั้งค่าเพียงว่า "ใครเปิดโฟลเดอร์นี้ได้" แต่ไม่เคยคิดว่า "AI เอาโฟลเดอร์นี้มาเป็นข้อมูลอ้างอิงในการตอบได้หรือไม่" เป็นคนละประตูกันโดยสิ้นเชิง
• ข้อมูลอ่อนไหวไม่มีป้ายระดับชั้นความลับ: ตารางเงินเดือน สัญญาจ้างงาน รายชื่อลูกค้า และบันทึกการประชุมทั่วไปปะปนกันอยู่ในโฟลเดอร์ชั้นเดียวกัน โดยไม่มีเครื่องหมายใดๆ บอกระบบว่า "ไฟล์นี้ห้าม AI นำไปอ้างอิง"
• กระบวนการอัตโนมัติไม่มีมนุษย์คอยตรวจสอบ: บางบริษัทใช้ AI จัดทำรายงานอัตโนมัติหรือส่งอีเมลแจ้งเตือนอัตโนมัติอยู่แล้ว เมื่อกระบวนการไปแตะไฟล์ที่มีข้อมูลลับ หากไม่มีกลไกดักไว้ให้คนตรวจสอบก่อนปล่อยผ่าน ก็จะรู้ตัวอีกทีก็ตอนที่เกิดปัญหาแล้ว

องค์ประกอบของระบบจัดระดับข้อมูลที่ดี

ก่อนพูดถึงเครื่องมือ AI ผู้บริหารต้องสร้างตรรกะการจัดระดับข้อมูลที่เรียบง่ายและใช้งานได้จริงในหน้างานก่อน ซึ่งโดยทั่วไปต้องมีองค์ประกอบสามข้อ:

• ตัดสินจากผลกระทบ ไม่ใช่ความรู้สึก: มาตรฐานการจัดระดับต้องตัดสินจาก "ผลกระทบที่จะเกิดขึ้นหากข้อมูลนี้รั่วไหล" ไม่ใช่เดาจากความรู้สึกว่า "ข้อมูลนี้ดูสำคัญหรือไม่" ข้อมูลอย่างเงินเดือน บัตรประชาชน ใบเสนอราคาลูกค้า ที่หากรั่วไหลแล้วจะผิดกฎหมายโดยตรงหรือทำลายความเชื่อมั่น ต้องจัดเป็นระดับสูงสุด
• ทุกระดับต้องมีผู้รับผิดชอบชัดเจน: เกิดปัญหาแล้วรู้ว่าต้องหาใคร ไม่ใช่ "ทุกคนคิดว่าคนอื่นจะดูแล"
• เปิดช่องทางขออนุมัติกรณีพิเศษ: หน้างานย่อมมีบางกรณีที่จำเป็นต้องเรียกดูข้อมูลข้ามระดับอย่างมีเหตุผล แทนที่จะปล่อยให้พนักงานแอบหลบเลี่ยงกฎ ควรมีขั้นตอนขออนุมัติที่เดินได้จริงและเก็บบันทึกไว้ได้

🔧 AI ลงมือทำ: ตารางจัดระดับข้อมูลบริษัทและตรวจสอบสิทธิ์การอ่านของ AI

Google Workspace เพิ่งเปิดตัวความสามารถควบคุมใหม่สองชั้นสำหรับ Gemini คือ Gemini DLP ที่ให้ผู้ดูแลระบบสามารถจำกัดสิทธิ์ให้ Gemini อ่านไฟล์เฉพาะในไดรฟ์ได้ตาม "เงื่อนไขเนื้อหา + ป้ายกำกับข้อมูล" แม้พนักงานคนนั้นจะมีสิทธิ์เข้าถึงไฟล์นี้อยู่แล้วก็ตาม เพียงแค่ไฟล์ถูกติดป้ายว่าเป็นความลับ Gemini ก็จะไม่สามารถอ่านหรือนำไปใช้อ้างอิงในการตอบได้ อีกอย่างคือ Agent DLP ที่ควบคุมไปถึงชั้นกระบวนการอัตโนมัติ หากงานอัตโนมัติไปพบข้อมูลอ่อนไหวที่ตรงเงื่อนไข ก็สามารถบล็อกการทำงานได้ทันที หรือบังคับให้ต้องรอพนักงานตรวจสอบด้วยตนเองก่อนจึงจะปล่อยผ่านได้ นี่หมายความว่าการกำกับดูแลข้อมูลมีมิติใหม่ที่ไม่เคยมีมาก่อน จากเดิมที่ถามแค่ว่า "คนนี้เปิดไฟล์ได้หรือไม่" ตอนนี้ต้องถามเพิ่มอีกข้อว่า "AI อ่านไฟล์นี้ได้หรือไม่" ก่อนจะลงมือตั้งค่าระบบ ลองให้ AI ช่วยตรวจสอบบริษัทก่อนสักครั้งจะทำให้ภาพชัดเจนขึ้นมาก

ฉันเป็นผู้บริหารบริษัท[ประเภทธุรกิจ] ในประเทศไทย มีพนักงาน[จำนวนพนักงาน]คน

ฉันต้องการทำ "ตารางตรวจสอบระดับสิทธิ์การอ่านของ AI" สำหรับโฟลเดอร์และประเภทไฟล์ในไดรฟ์ที่ใช้ร่วมกันของบริษัท ช่วยจัดทำเป็นตาราง โดยมีคอลัมน์ดังนี้: โฟลเดอร์/ประเภทไฟล์, ตัวอย่างเนื้อหา, ระดับที่แนะนำ (ให้ AI อ่านได้อย่างอิสระ / ต้องปกปิดตัวตนก่อนจึงอ่านได้ / ห้ามป้อนให้ AI โดยเด็ดขาด), เหตุผลในการตัดสิน, ผู้รับผิดชอบที่แนะนำ, เกี่ยวข้องกับข้อมูลส่วนบุคคลตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) ของไทยหรือไม่

โฟลเดอร์ที่ฉันทราบอยู่แล้วมีดังนี้: [ระบุโฟลเดอร์ที่ใช้ร่วมกันจริงของบริษัท เช่น ฝ่ายบุคคล, การเงิน, ใบเสนอราคาลูกค้า, สื่อการตลาด, บันทึกการประชุม]

นอกจากนี้ ช่วยร่าง "ขั้นตอนขออนุมัติกรณีพิเศษ" ให้ด้วย: เมื่อพนักงานมีความจำเป็นในการทำงานที่สมเหตุสมผล และต้องให้ AI ช่วยจัดการข้อมูลที่เดิมถูกจัดเป็นระดับความเสี่ยงสูง ควรผ่านขั้นตอนอะไรบ้าง ใครเป็นผู้อนุมัติ ต้องเก็บบันทึกอะไรไว้ เพื่อไม่ให้งานปกติสะดุด แต่ยังสามารถติดตามการอนุญาตกรณีพิเศษแต่ละครั้งได้

สิ่งที่ทำได้ภายในสัปดาห์นี้: หาช่วงบ่ายว่างสักวัน ลิสต์ชื่อโฟลเดอร์ชั้นบนสุดในไดรฟ์ที่ใช้ร่วมกันของบริษัทออกมา แล้วใช้พรอมต์ข้างต้นรันตารางตรวจสอบหนึ่งรอบ จากนั้นติดป้ายโฟลเดอร์ที่เกี่ยวกับ "เงินเดือน" "สัญญา" "ข้อมูลส่วนบุคคล" ให้เป็นระดับสูงสุดก่อน ขั้นตอนนี้ไม่ต้องรอให้ตั้งค่าระบบเสร็จ วันนี้ก็สามารถแจ้งเพื่อนร่วมงานได้แล้วว่า "โฟลเดอร์เหล่านี้ยังอย่าเพิ่งป้อนให้ AI ทั้งชุด"