ความหมายของ AI ที่ไม่มีการกำกับดูแล และเหตุผลที่มันอันตรายกว่าที่คิด
AI ที่ไม่มีการกำกับดูแล หมายถึงการใช้งานเครื่องมือ AI ในองค์กรโดยไม่มีการเห็นชอบหรือควบคุมจากฝ่าย IT และทีมรักษาความปลอดภัย ไม่ว่าผ่านบัญชีส่วนตัว แอปพลิเคชันที่ไม่ได้อนุมัติ หรือส่วนเสริมบนเบราว์เซอร์ ส่งผลให้เกิดช่องว่างด้านนโยบาย การมองเห็น และการตรวจสอบ ทำให้ความเสี่ยงทั้งด้านข้อมูล ระบบ และการปฏิบัติตามข้อกำหนดเพิ่มสูงขึ้นอย่างชัดเจนโดยที่ผู้บริหารอาจไม่รู้ตัว
สิ่งที่น่ากังวลคือการนำ AI เข้าไปอยู่ในงานประจำวันโดยไม่มีใครคุมเกม รายงานหนึ่งพบว่า 80% ของเครื่องมือ AI ภายในองค์กรกำลังทำงานโดยไม่มีการกำกับจากฝ่าย IT นั่นหมายความว่าแค่หนึ่งในห้าเท่านั้นที่อยู่ภายใต้การควบคุมที่เป็นทางการ ขณะเดียวกันการใช้งานแบบ Unmonitored deployment of AI tools is a risk to security, and puts data at risk ไม่ใช่คำเตือนในเชิงทฤษฎี แต่คือภัยจริงที่กำลังเกิดขึ้น
Shadow AI และช่องโหว่ใหม่ของความปลอดภัย AI governance
เมื่อฝ่าย IT คิดว่าควบคุมเครื่องมือ AI ได้แล้ว พนักงานกลับเลี่ยงไปใช้บัญชีส่วนตัว ส่วนขยายเบราว์เซอร์ หรือ AI Applications ที่ไม่ผ่านการตรวจสอบขององค์กร ปรากฏการณ์นี้ถูกเรียกว่า Shadow AI และกลายเป็นต้นตอสำคัญของความเสี่ยงในการรั่วไหลของข้อมูล เพราะองค์กรไม่รู้ด้วยซ้ำว่าข้อมูลอะไรถูกส่งออกไปที่ไหน และผ่านกลไกแบบใด
เดิมทีองค์กรใช้ Cloud Access Security Broker เพื่อควบคุม SaaS และใช้ Data Loss Prevention เพื่อดักข้อมูลสำคัญ แนวทางนี้ยังจำเป็น แต่ไม่เพียงพอในโลกของ AI เนื่องจากความเสี่ยง AI ที่ไม่มีการกำกับดูแลไม่ได้ซ่อนอยู่แค่ในไฟล์หรือฟอร์ม แต่ซ่อนอยู่ในความหมายของบทสนทนากับ AI ในรูปแบบ Prompt ที่ค่อยๆ เผยข้อมูลธุรกิจทีละส่วน และเมื่อรวมกัน AI สามารถสร้างภาพรวมของข้อมูลลับได้ทั้งชุด ขณะที่ Pattern-based DLP แบบเดิมอาจไม่เห็นอะไรผิดปกติเลย
AI security vulnerabilities จาก Agent และช่องว่างด้านการมองเห็นของ IT
จุดที่ทำให้ความเสี่ยงสูงขึ้นแบบก้าวกระโดดคือ AI Agents ที่เข้าไปอยู่ในเครื่องมือหลากหลายชนิด รายงานด้านความปลอดภัยหนึ่งติดตามช่องโหว่จำนวน 637 รายการใน Agent และ LLM และพบว่าจาก 500 เครื่องมือ Agent ที่ตรวจสอบ 62% สามารถอ่านข้อมูลภายในเครื่องและเชื่อมต่ออินเทอร์เน็ตได้พร้อมกัน นั่นคือประตูขนาดใหญ่สำหรับการนำข้อมูลภายในออกสู่ภายนอกโดยที่เจ้าของระบบไม่ได้อนุมัติ
ยิ่งไปกว่านั้น AI agents have moved from experimentation into daily business workflows, but our findings show only 20% of AI tools in enterprise ecosystems are currently governed by IT oversight ตัวเลขนี้สะท้อนชัดว่า IT กำลังขาดทั้งการมองเห็นและการควบคุม ขณะที่ธุรกิจเล็กๆ ใช้เครื่องมือ AI เฉลี่ยถึง 414 รายต่อพนักงาน 1,000 คนโดยไม่ได้รับอนุมัติจาก IT ส่วนใหญ่เป็นส่วนขยายบนเบราว์เซอร์และเวิร์กโฟลว์อัตโนมัติที่เล็ดรอดนอกกระบวนการอนุมัติปกติ ทำให้เกิด Shadow AI risks แบบที่นโยบายเดิมเพียงอย่างเดียวรับมือไม่ทัน
ทำไมการ “Block AI” กลายเป็นตัวเร่ง Shadow AI ในองค์กร
หลายองค์กรตอบโจทย์ความเสี่ยงด้วยการบล็อก AI ให้มากที่สุด ห้ามใช้เครื่องมือบางประเภท ปิดการเข้าถึงจากเครือข่ายภายใน หรือเข้มงวด CASB และ DLP จนเกือบไม่มีช่องให้ทดลองใช้งาน ผลลัพธ์ที่เกิดขึ้นในโลกจริงคือพนักงานยังต้องการ Productivity จาก AI แต่เมื่อใช้ช่องทางทางการไม่ได้ พวกเขาถูกผลักไปใช้ Personal Accounts หรือ Unmanaged AI Extensions ที่อยู่นอกสายตาทีมความปลอดภัย ซึ่งยิ่งทำให้ปัญหา Shadow AI รุนแรงขึ้น
นั่นคือเหตุผลว่าทำไมแนวคิด “Block AI เพื่อความปลอดภัย” จึงเป็นกลยุทธ์ที่ย้อนศรกับความเป็นจริงขององค์กร การปิดกั้นโดยไม่มองบริบทจะทำให้ธุรกิจเสียทั้งประสิทธิภาพการทำงานและการควบคุมความเสี่ยง ความปลอดภัย AI governance แบบใหม่ต้องตอบรับความจริงว่า AI คือเครื่องมือหลักของงานยุคนี้ ไม่ใช่ของเล่นที่ใช้เฉพาะในแผนกทดลอง และต้องเปลี่ยนจุดยืนจากการปิดประตูทั้งหมดเป็นการเปิดประตูเฉพาะที่ปลอดภัยและมองเห็นได้
Govern AI ตามบริบทด้วย Interaction-Aware Layer ทางออกที่สมดุล
ทางออกที่เป็นรูปธรรมคือการขยับจาก Block AI ไปสู่การ Govern AI ตามบริบทและความเสี่ยง ซึ่งช่วยให้องค์กรใช้ประโยชน์จาก AI ได้เต็มศักยภาพโดยไม่ต้องแลกกับความปลอดภัย แนวทางที่เหมาะสมคือการทำงานร่วมกันของหลายชั้น CASB ทำหน้าที่ค้นหาและควบคุมการเข้าถึง AI และ SaaS DLP ตรวจจับข้อมูลสำคัญที่รู้จักอยู่แล้ว และเสริมด้วย Interaction-Aware Layer เพื่อปิดช่องว่างที่เหลือ
Interaction-Aware Security Layer คือชั้นความปลอดภัยที่เข้าไปอยู่ตรงกลางระหว่างผู้ใช้กับ AI วิเคราะห์ความหมายของ Prompt บริบทของบทสนทนา ความละเอียดอ่อนของคำตอบ และพฤติกรรมของ AI Agent ว่าการกระทำที่กำลังจะเกิดขึ้นได้รับอนุญาตหรือไม่ แนวคิดนี้ยังช่วยรับมือความเสี่ยงอย่าง Prompt Injection ที่คำสั่งแฝงปะปนมากับข้อมูลแล้ว Agent เข้าใจว่าเป็นคำสั่งจริง เมื่อรวมกับ AI Anomaly Detection การเฝ้าระวังแบบ Real-Time และหลัก Least Privilege ที่จำกัดสิทธิของ Agent อย่างชัดเจน องค์กรจะได้กรอบความปลอดภัยที่มองบริบทเป็นหลัก ไม่ตัดตอนการใช้ AI แต่ทำให้มันปลอดภัยขึ้นอย่างมีเหตุผล
