GPT Store เปิดตัวอย่างเป็นทางการ: หัวหน้า IT อย่าเพิ่งรีบไฟเขียว ต้องถาม 3 คำถามด้านความปลอดภัยก่อน

เช้าวันจันทร์ เพื่อนร่วมงานฝ่ายการตลาดส่งลิงก์มาให้ ตื่นเต้นบอกว่าเจอ "GPT เขียนคอนเทนต์สุดเจ๋ง" อยากใช้เดี๋ยวนี้เลย คุณคลิกเข้าไปดู พบว่าเป็น GPT ที่คนอื่นสร้างและแชร์แบบเปิดสาธารณะ แต่คำอธิบายกลับคลุมเครือ ไม่รู้ว่าจะส่งข้อมูลบริษัทไปยังบริการภายนอกที่ไม่รู้จักหรือไม่ และไม่มีขั้นตอนตรวจสอบให้อ้างอิง ได้แต่ระงับไว้ก่อน พนักงานก็บ่นว่า IT ถ่วงงานอีกแล้ว ทั้งที่ในใจคุณเองก็อึดอัด ไม่ใช่ไม่อยากให้ใช้ แต่ไม่มีหลักเกณฑ์ให้ตรวจสอบต่างหาก

วันนี้ OpenAI ทำให้เรื่องนี้ถูกพูดถึงอย่างเป็นทางการ GPT Store เปิดให้บริการแล้ว ใครก็ตามสามารถเรียกดู ค้นหา GPT ที่ผู้ใช้หรือองค์กรอื่นสร้างขึ้น แล้วกดเพิ่มใช้งานได้ทันที เหมือนเดินเลือกแอปในสโตร์บนมือถือ ในวันเดียวกัน มีการเปิดตัวแผน ChatGPT Team ที่เจาะกลุ่มธุรกิจขนาดกลางและเล็ก รวมฟีเจอร์ที่องค์กรใส่ใจอย่างการทำงานร่วมกันเป็นทีม สิทธิ์การจัดการ และข้อมูลไม่ถูกนำไปฝึกโมเดล สำหรับธุรกิจค้าปลีก อีคอมเมิร์ซ หรือโรงแรมที่ต้องการนำเครื่องมือมาใช้ข้ามแผนกอย่างรวดเร็ว นี่คือจุดเปลี่ยนสำคัญ แต่อีกด้านของจุดเปลี่ยนคือความรับผิดชอบด้านการกำกับดูแล

ความสะดวกที่มาพร้อมคำถามว่าใครเป็นผู้ตรวจสอบ

โมเดลร้านค้าของ GPT Store แท้จริงแล้วคือการโอนสิทธิ์เลือกเครื่องมือไปให้พนักงานแต่ละคน ซึ่งดีต่อประสิทธิภาพการทำงาน แต่กลายเป็นช่องโหว่ใหม่ด้านความปลอดภัยข้อมูล เพราะ GPT ที่ใครสักคนสร้างขึ้น ผู้ใช้ทั่วไปมองไม่ทะลุว่าคำสั่งเบื้องหลังตั้งค่าอย่างไร เชื่อมต่อแหล่งข้อมูลภายนอกหรือไม่ เดิมทีหัวหน้าฝ่ายจัดซื้อ IT ตรวจสอบ "ซอฟต์แวร์" แต่ตอนนี้ต้องตรวจสอบ "ชุดคำสั่งและการตั้งค่าที่คนอื่นเขียนไว้" ความละเอียดในการตรวจสอบเพิ่มขึ้น แต่กระบวนการยังตามไม่ทัน

แผน Team ไม่ใช่ยาวิเศษ แต่ควรพิจารณาให้ครบ

แผน ChatGPT Team ชูจุดขายเรื่องข้อมูลไม่ถูกนำไปฝึกโมเดล มีแผงควบคุมสำหรับผู้ดูแลระบบ และตั้งค่า GPT ที่ทีมใช้ร่วมกันได้ ซึ่งช่วยแก้ปัญหาพนักงานต่างคนต่างใช้เวอร์ชันฟรีจนข้อมูลบริษัทรั่วไหลกระจัดกระจาย แต่แผงควบคุมของผู้ดูแลจัดการได้แค่บัญชีและสิทธิ์การเข้าถึง ไม่สามารถควบคุมได้ว่า GPT บุคคลที่สามแต่ละตัวที่พนักงานเพิ่มเข้ามาจากร้านค้ามีคำสั่งซ่อนอะไรอยู่บ้าง กล่าวคือ การอัปเกรดแผนเพียงจำกัดความเสี่ยงให้อยู่ในขอบเขตบริษัทเท่านั้น ไม่ได้แปลว่าความเสี่ยงหมดไป

สามคำถามที่ต้องถามให้ชัดก่อนอนุมัติใช้งาน

เมื่อพนักงานร้องขอว่า "อยากใช้ GPT ตัวนี้" หัวหน้า IT สามารถถามสามเรื่องนี้ก่อนได้: GPT ตัวนี้จะขอให้กรอกข้อมูลอ่อนไหวอย่างข้อมูลลูกค้าหรือการเงินหรือไม่ คำอธิบายระบุวัตถุประสงค์และผู้สร้างชัดเจนหรือไม่ หากยกเลิกใช้งาน มีวิธีการทำงานสำรองหรือไม่ สามคำถามนี้ไม่ต้องอาศัยพื้นฐานความปลอดภัยเชิงลึกก็ถามได้ แต่กรองความเสี่ยงสูงของ GPT ที่บุคคลทั่วไปแชร์ออกไปได้มาก

🔧 ลงมือทำกับ AI：ให้ GPT-4 สร้างเช็กลิสต์ตรวจสอบ GPT บุคคลที่สาม

แทนที่จะตัดสินใจตามความรู้สึกทุกครั้ง ลองให้ AI ช่วยสร้างเช็กลิสต์ที่ใช้ซ้ำได้ ส่งต่อให้หัวหน้าแผนกคัดกรองเบื้องต้นเอง แล้ว IT ตรวจสอบซ้ำอีกครั้ง จะช่วยประหยัดเวลาสื่อสารไปมาได้มาก

คุณคือที่ปรึกษาด้านความปลอดภัยข้อมูล ช่วยออกแบบเช็กลิสต์การตรวจสอบเบื้องต้น
สำหรับหัวหน้าแผนกใช้ กรณีพนักงานต้องการเพิ่ม GPT บุคคลที่สามจาก GPT Store
โดยให้ครอบคลุม:
1. วัตถุประสงค์และผู้สร้าง GPT ตัวนี้โปร่งใสตรวจสอบได้หรือไม่
2. มีการขอให้กรอกข้อมูลลูกค้า ตัวเลขการเงิน หรือข้อมูลส่วนบุคคลพนักงานหรือไม่
3. มีลิงก์ภายนอกหรือการเชื่อมต่อบริการบุคคลที่สามหรือไม่
4. หากยกเลิกใช้งาน มีวิธีทำงานทดแทนหรือไม่
5. ข้อเสนอแนะผลการคัดกรองเบื้องต้น (ใช้ได้ / ต้องให้ IT ตรวจซ้ำ / ไม่แนะนำให้ใช้)
กรุณาตอบเป็นข้อ ๆ พร้อมคำอธิบายสั้น ๆ ในแต่ละข้อ เพื่อให้หัวหน้าที่ไม่มีพื้นฐานเทคนิคเข้าใจง่าย

สิ่งที่ทำได้สัปดาห์นี้: เลือก GPT บุคคลที่สามที่แผนกใดแผนกหนึ่งอยากขอใช้มากที่สุดในตอนนี้ นำพรอมต์ข้างต้นไปสร้างเช็กลิสต์ แล้วลองรันกระบวนการคัดกรองเบื้องต้นจริงหนึ่งรอบ ดูว่าใช้เวลานานแค่ไหนถึงจะได้ผล และติดขัดตรงขั้นตอนไหน