ไม่ใช่การแบน AI แต่คือการคุมทางผ่านของข้อมูล
AI หน่วยงานรัฐ คือการนำระบบปัญญาประดิษฐ์มาใช้ช่วยงานราชการ โดยต้องกำหนดว่าเครื่องมือใดเข้าถึงข้อมูลได้ ข้อมูลถูกประมวลผลที่ใด และใครตรวจสอบการใช้งานได้ เพื่อป้องกันข้อมูลของรัฐหลุดพ้นจากมาตรการคุ้มครองที่หน่วยงานกำหนดไว้ รัฐบาลสวีเดนจำกัดเจ้าหน้าที่ไม่ให้ใช้ ChatGPT ของ OpenAI และ Claude ของ Anthropic ทำงานราชการ เพราะกังวลว่าข้อมูลละเอียดอ่อนอาจถูกป้อนเข้าสู่แพลตฟอร์มที่หน่วยงานไม่ได้กำกับดูแล ตั้งแต่วันที่ 26 ตุลาคม สำนักงานรัฐบาลจะบล็อกโปรแกรมทั้งสองบนคอมพิวเตอร์พนักงาน มาตรการนี้ควรถูกมองว่าเป็นการกำหนดขอบเขตการใช้ ไม่ใช่การปฏิเสธเทคโนโลยี: เมื่อระบบจัดการข้อมูลลับไม่ได้อย่างโปร่งใส ความสะดวกก็ไม่ควรมีสิทธิเหนือความปลอดภัย
ความเสี่ยงไม่ได้อยู่แค่คำตอบ แต่อยู่ที่ข้อมูลที่ส่งเข้าไป
จุดเริ่มต้นของข้อจำกัดมาจากการตรวจสอบการใช้เครื่องมือ AI ของเจ้าหน้าที่สำนักงานขนส่งสวีเดนในช่วงต้นปี ซึ่งพบการใช้งานที่มีปัญหา บริการที่ไม่มีสัญญาระดับองค์กรและข้อกำกับที่เหมาะสมอาจทำให้ข้อมูลซึ่งเจ้าหน้าที่ป้อนเข้าแชตบอตถูกส่งกลับไปยังผู้พัฒนา จัดเก็บ หรือใช้ฝึกระบบได้ อีกทั้งการไม่มีข้อตกลงยังทำให้ตรวจสอบย้อนหลังได้ยาก และอาจเกิดปัญหาหากข้อมูลที่กฎหมายยุโรปคุ้มครองถูกประมวลผลนอกเขตดิจิทัลของยุโรป มิคาเอล เวตเตอร์แครนซ์ เจ้าหน้าที่ฝ่ายกิจการดิจิทัลของรัฐบาลสวีเดน เตือนว่าการใช้บริการ AI ที่ไม่มีการควบคุมอาจกระทบความปลอดภัยของข้อมูล ความเสี่ยงนี้ไม่ใช่เรื่องไกลตัว เพราะเมื่อเจ้าหน้าที่เลือกใช้เครื่องมือเองโดยไม่มีระบบอนุมัติ หน่วยงานย่อมไม่รู้แน่ชัดว่าข้อมูลถูกส่งไปไหนหรือถูกเก็บไว้อย่างไร การใช้ AI โดยไร้ข้อตกลงจึงเป็นปัญหาการกำกับดูแล ไม่ใช่เพียงความผิดพลาดของผู้ใช้รายบุคคล
ข้อจำกัดที่เข้มขึ้น แต่ยังเหลือช่องทางที่ควบคุมได้
ผลต่อเจ้าหน้าที่คือ Microsoft Copilot ยังคงได้รับอนุญาตให้ใช้ทำงานราชการ แต่ภายใต้มาตรการความปลอดภัยที่เข้มงวดขึ้นหลังการทบทวนภายใน นี่ไม่ใช่การรับรองว่าเครื่องมือหนึ่งปลอดความเสี่ยงโดยธรรมชาติ แต่อธิบายว่าหน่วยงานเลือกบริการที่ผ่านการประเมินและปรับการตั้งค่าความปลอดภัยแล้ว ส่วน ChatGPT ภาครัฐ และ Claude ภาครัฐ ยังเข้าถึงได้สำหรับพนักงานบางส่วนผ่านแพลตฟอร์มผู้ช่วย AI เฉพาะที่รัฐบาลจัดไว้ การตรวจสอบหน่วยงานบริหารจัดการด้านการขนส่งยังพบว่ามีบริการ AI ราว 10 รายการถูกใช้งานในรูปแบบคล้ายกันและมีความเสี่ยง ขนาดของปัญหานี้ชี้ว่าแค่บล็อกเว็บไซต์อาจไม่พอ หากไม่มีช่องทางที่อนุมัติและใช้งานได้จริง เจ้าหน้าที่ก็อาจหันไปใช้บริการอื่นโดยไม่ผ่านฝ่ายเทคโนโลยีสารสนเทศ ซึ่งยิ่งทำให้การติดตามและคุ้มครองข้อมูลยากขึ้น
บทเรียนคือองค์กรต้องออกแบบกติกา ไม่ใช่ฝากความหวังไว้กับผู้ใช้
กรณีนี้สะท้อนโจทย์ที่หน่วยงานรัฐทุกแห่งต้องตอบให้ได้: จะใช้ประโยชน์จาก AI อย่างไร โดยไม่เปิดช่องให้ข้อมูลราชการไหลเข้าสู่ระบบที่ตรวจสอบไม่ได้ คำตอบไม่ควรหยุดอยู่ที่การห้าม แต่ต้องมีเครื่องมือที่ผ่านการประเมิน ข้อตกลงการจัดการข้อมูลที่ชัดเจน และแนวทางให้เจ้าหน้าที่รู้ว่าข้อมูลประเภทใดห้ามป้อนลงระบบ หน่วยงานอื่นในสวีเดน เช่น สำนักงานสรรพากรและคณะกรรมการสุขภาพแห่งชาติ ก็มีมาตรการจำกัดเครื่องมือ AI สำหรับผู้ใช้ทั่วไปในทิศทางคล้ายกัน ขณะที่หน่วยงานบังคับใช้กฎหมายกำลังเตรียมตัดสินใจของตนเอง สัญญาณนี้ย้ำว่า ChatGPT ภาครัฐ และ Claude ภาครัฐ ไม่ควรถูกตัดสินจากความสามารถในการสร้างคำตอบเท่านั้น แต่ต้องพิจารณาการจัดเก็บ การประมวลผล และการตรวจสอบข้อมูลด้วย สรุปแล้ว ความปลอดภัยข้อมูลต้องเป็นเงื่อนไขตั้งต้นของ AI ในภาครัฐ ส่วนความสะดวกและประสิทธิภาพจะเกิดขึ้นได้ก็ต่อเมื่อมีระบบกำกับที่เชื่อถือได้
