ChatGPT หน่วยงานรัฐ กับกฎคุมความปลอดภัยข้อมูล AI

ข้อจำกัดไม่ใช่การปฏิเสธ AI แต่คือการคุมข้อมูล

การจำกัด AI ในหน่วยงานรัฐคือการอนุญาตให้เจ้าหน้าที่ใช้เฉพาะเครื่องมือที่ผ่านการประเมินและมีข้อตกลงคุ้มครองข้อมูล โดยควบคุมว่าข้อมูลราชการจะถูกส่งไปประมวลผลที่ใดและนำไปใช้อย่างไร มาตรการนี้สะท้อนว่าเทคโนโลยีที่ช่วยทำงานได้เร็วอาจกลายเป็นช่องทางเสี่ยง หากรัฐตรวจสอบการจัดการข้อมูลไม่ได้

ตั้งแต่วันที่ 26 ตุลาคม สำนักงานรัฐบาลสวีเดนเริ่มบล็อก ChatGPT และ Claude บนคอมพิวเตอร์ของพนักงานสำหรับงานราชการ โดยระบุเหตุผลด้านความปลอดภัยและความเสี่ยงที่ข้อมูลอ่อนไหวจะถูกป้อนเข้าสู่แพลตฟอร์มซึ่งไม่มีการกำกับดูแล นี่ไม่ใช่คำตัดสินว่า AI ใช้ไม่ได้ แต่เป็นการยืนยันว่า ChatGPT หน่วยงานรัฐ ต้องผ่านเกณฑ์ที่รัฐตรวจสอบได้ก่อน ความสะดวกของเครื่องมือจึงไม่ควรมีน้ำหนักเหนือการคุ้มครองข้อมูลประชาชนและความลับราชการ

ทำไมรัฐจึงจำกัด ChatGPT และ Claude: ความเสี่ยงข้อมูลที่ต้องคุม

ความเสี่ยงเกิดขึ้นเมื่อข้อมูลหลุดจากการควบคุม

ประเด็นสำคัญไม่ใช่เพียงว่าโมเดลใดเก่งกว่า แต่คือข้อมูลที่เจ้าหน้าที่ป้อนเข้าไปถูกจัดเก็บและนำไปใช้อย่างไร บริการ AI สำหรับงานราชการที่ไม่มีสัญญาองค์กรและกติกาคุ้มครองที่ชัดเจน อาจส่งข้อมูลกลับไปยังผู้ให้บริการ และข้อมูลนั้นอาจถูกเก็บเพื่อนำไปฝึกระบบต่อ เมื่อไม่มีข้อตกลง หน่วยงานยังตรวจสอบการใช้งานและรับรองการปฏิบัติตามข้อกำหนดคุ้มครองข้อมูลได้ยากขึ้น

นี่คือความเสี่ยงของ Shadow IT หรือการใช้เครื่องมือที่ฝ่ายเทคโนโลยีสารสนเทศไม่ได้อนุมัติ เจ้าหน้าที่อาจต้องการสรุปเอกสารหรือร่างข้อความให้เร็วขึ้น แต่หากนำข้อมูลส่วนบุคคลหรือรายละเอียดราชการไปใส่ในบริการสาธารณะ ความสะดวกนั้นอาจแลกกับการสูญเสียการควบคุมข้อมูล การประเมินภายในของหน่วยงานบริหารจัดการด้านการขนส่งพบว่ามีบริการ AI ราว 10 รายการถูกใช้ในลักษณะเสี่ยง ตัวเลขนี้บอกว่าปัญหาไม่ได้จำกัดอยู่ที่แอปใดแอปหนึ่ง แต่เป็นเรื่องวินัยและระบบกำกับดูแล

อนุญาตเครื่องมือที่ตรวจสอบได้ พร้อมช่องทางยกเว้น

สวีเดนยังเปิดให้ใช้ Microsoft Copilot ในงานราชการ แต่เพิ่มมาตรการความปลอดภัยหลังการตรวจสอบภายใน ขณะที่ ChatGPT และ Claude ไม่ผ่านเกณฑ์อนุมัติโดยตรงสำหรับคอมพิวเตอร์ของรัฐบาล เจ้าหน้าที่บางส่วนยังเข้าถึงสองบริการนี้ได้ผ่านแพลตฟอร์มผู้ช่วย AI เฉพาะที่สำนักงานรัฐบาลพัฒนาขึ้น แนวทางนี้สมเหตุผลกว่าการห้ามทุกอย่าง เพราะยังเปิดพื้นที่ให้ทดลองใช้โดยไม่ปล่อยให้ข้อมูลสำคัญไหลเข้าสู่ระบบที่หน่วยงานควบคุมไม่ได้

อย่างไรก็ตาม การอนุมัติเครื่องมือหนึ่งไม่ได้แปลว่าทุกงานเหมาะจะนำข้อมูลเข้าไปใช้ หน่วยงานต้องกำหนดระดับข้อมูลที่ป้อนได้ วิธีตรวจสอบคำตอบ และผู้รับผิดชอบเมื่อเกิดข้อผิดพลาด ส่วนกฎใช้ AI ภาครัฐควรระบุให้ชัดว่าใช้บัญชีหรือแพลตฟอร์มใดได้ ห้ามป้อนข้อมูลประเภทไหน และต้องเก็บหลักฐานการใช้งานอย่างไร การควบคุมที่ดีจึงเป็นทั้งเรื่องเทคโนโลยี สัญญา และพฤติกรรมของผู้ใช้

โจทย์ของรัฐคือรักษาสมดุล ไม่ใช่หยุดนวัตกรรม

การจำกัด Claude ภาครัฐ และ ChatGPT แสดงให้เห็นแรงตึงระหว่างการทำงานให้เร็วกับการรักษาความเป็นส่วนตัว เจ้าหน้าที่ได้ประโยชน์จากการให้ AI ช่วยร่าง สรุป และจัดระเบียบข้อมูล แต่ฝ่ายความมั่นคงไซเบอร์ต้องยับยั้งการใช้งานเมื่อยังไม่มีมาตรการคุ้มครองเพียงพอ นั่นไม่ใช่ความขัดแย้งที่แก้ได้ด้วยการเลือกเครื่องมือยอดนิยมที่สุด หากเป็นโจทย์ว่ารัฐจะสร้างสภาพแวดล้อมที่ใช้ AI ได้โดยยังตรวจสอบและรับผิดชอบต่อข้อมูลของประชาชนได้หรือไม่

หน่วยงานอื่นก็เริ่มเข้มงวดกับบริการ AI สำหรับผู้ใช้ทั่วไป และหน่วยงานบังคับใช้กฎหมายกำลังเตรียมพิจารณามาตรการของตนเอง บทเรียนที่นำไปใช้ได้ทันทีคืออย่านำข้อมูลลับ ข้อมูลส่วนบุคคล หรือเอกสารที่มีความอ่อนไหวไปใส่ใน AI สาธารณะที่ไม่มีข้อตกลงคุ้มครอง พร้อมตรวจสอบเงื่อนไขการจัดเก็บและประมวลผลก่อนเริ่มใช้งาน

สรุปแล้ว สวีเดนไม่ได้เลือกหยุด AI แต่เลือกจำกัดช่องทางที่รัฐกำกับไม่ได้ การนำ AI เข้าสู่ราชการจะเกิดประโยชน์อย่างยั่งยืนก็ต่อเมื่อมีเครื่องมือที่ผ่านการประเมิน กติกาที่ชัด และการฝึกเจ้าหน้าที่ให้รู้ว่าข้อมูลใดห้ามป้อน ความปลอดภัยข้อมูล AI จึงไม่ใช่อุปสรรคข้างทาง แต่เป็นเงื่อนไขพื้นฐานของการใช้เทคโนโลยีเพื่อบริการสาธารณะ