AI กับข้อมูลส่วนบุคคล: สิ่งที่ผู้ใช้ควรรู้

คำขอถึง AI อาจมีมากกว่าข้อความ เช่น ไฟล์แนบ ประวัติสนทนา บัญชีที่เชื่อมต่อ หรือข้อมูลที่คัดลอกจากระบบอื่น ก่อนส่ง ผู้ใช้ควรรู้ว่ามีข้อมูลอะไรเข้ามา บริการใดได้รับ และการใช้นั้นสอดคล้องกับนโยบายขององค์กรหรือไม่

บทความนี้ให้แนวทางทั่วไป ไม่ใช่คำปรึกษากฎหมายหรือนโยบายความเป็นส่วนตัวของบริการใด บริการ แพ็กเกจ และการตั้งค่าต่างกัน ควรอ่านเอกสารทางการที่เกี่ยวข้อง

สังเกตข้อมูลอ่อนไหว

ข้อมูลอ่อนไหวไม่ได้มีแค่รหัสผ่าน อาจรวมข้อมูลระบุตัวบุคคล ประวัติลูกค้า ข้อมูลการเงิน สุขภาพ สัญญาที่ยังไม่เปิดเผย ความลับทางธุรกิจ หรือเนื้อหาภายใน ทั้งนี้ขึ้นกับบริบท

ข้อความยังอาจระบุตัวบุคคลได้แม้ลบชื่อแล้ว เมื่อตำแหน่ง สถานที่ วันที่ และเหตุการณ์ถูกรวมกัน จึงควรดูบริบททั้งหมด ไม่ใช่แค่ช่องข้อมูลเดี่ยว

ตรวจสอบก่อนส่ง

ก่อนวางข้อความหรืออัปโหลดไฟล์ ให้ถามตัวเองว่า:

1. จำเป็นต้องใช้ข้อมูลจริงไหม? ใช้ข้อมูลตัวอย่างหรือปกปิดตัวตนแทนได้หรือไม่
2. บริการใดจะได้รับข้อมูล? เป็นเครื่องมือที่องค์กรอนุมัติหรือบัญชีส่วนตัว
3. จัดการข้อมูลอย่างไร? ตรวจการเก็บรักษาและนโยบายของแพ็กเกจที่ใช้แล้วหรือยัง
4. ใครเข้าถึงได้บ้าง? สิทธิ์ไฟล์กว้างกว่าความจำเป็นหรือไม่
5. ถอนสิทธิ์ได้ไหม? รู้วิธีจัดการเมื่อเสร็จงานหรือยัง

หากตอบคำถามสำคัญไม่ได้ ให้หยุดแล้วถามผู้ดูแลข้อมูลหรือผู้มีอำนาจในองค์กร

ไฟล์แนบต้องตรวจด้วย

ก่อนอัปโหลด ให้ตรวจหน้าซ่อน ความคิดเห็น ประวัติแก้ไข ข้อมูลติดต่อ metadata หรือข้อมูลของผู้อื่น สเปรดชีตอาจมีชีตซ่อน ส่วนเอกสารอาจยังมีชื่อผู้เขียนหรือความคิดเห็น

ส่งเฉพาะส่วนที่จำเป็น หากต้องวิเคราะห์ไม่กี่คอลัมน์ก็อาจไม่ต้องส่งฐานข้อมูลทั้งหมด การลดข้อมูลช่วยลดการเปิดเผยและทำให้งานชัดขึ้น

บัญชีที่เชื่อมต่อและสิทธิ์

เครื่องมือที่เชื่อมกับอีเมล พื้นที่เก็บไฟล์ หรือระบบงาน อาจเข้าถึงข้อมูลตามสิทธิ์ที่ให้ไว้ การ “เชื่อมต่อแล้ว” ไม่ได้หมายความว่าทุกการกระทำเหมาะกับทุกงาน

ใช้สิทธิ์เท่าที่จำเป็น แยกอ่านกับเขียนหากทำได้ ทบทวนการเชื่อมต่อเก่าและถอนสิทธิ์ที่ไม่ใช้ ก่อนส่ง ลบ เผยแพร่ หรือแก้ข้อมูลจริง ให้คนยืนยัน

API key และข้อมูลยืนยันตัวตน

API key รหัสผ่าน รหัสกู้คืน และ token คือข้อมูลยืนยันตัวตน อย่าใส่ใน prompt เอกสารสาธารณะ ภาพหน้าจอ หรือโค้ดที่แชร์ หากต้องให้ AI ตรวจโค้ด ให้แทนค่าลับด้วยค่าจำลองแล้วตรวจอีกครั้งก่อนส่ง

หากสงสัยว่าคีย์รั่ว ให้ทำตามขั้นตอนของบริการเพื่อยกเลิกหรือเปลี่ยนคีย์ และแจ้งผู้รับผิดชอบ การลบข้อความจากหน้าจอไม่ได้หมายความว่าข้อมูลหายจากทุกที่

Local-first ไม่ใช่การรับประกันความเป็นส่วนตัวทั้งหมด

แอปอาจประมวลผลข้อมูลบางอย่างบนอุปกรณ์ แต่ยังเชื่อมบริการอื่นในบางงาน คำว่า “เน้นการทำงานในเครื่อง” เพียงอย่างเดียวไม่พิสูจน์ว่าข้อมูลทั้งหมดอยู่บนเครื่อง ไม่ส่งผ่านเครือข่าย หรือไม่ถูกเก็บที่อื่น

ตรวจเส้นทางข้อมูลจริง: งานใดทำในเครื่อง งานใดเรียกบริการภายนอก ผู้ให้บริการใดได้รับเนื้อหา และการตั้งค่ามีผลต่อการเก็บอย่างไร อย่าสรุปคำมั่นด้านความเป็นส่วนตัวจากคำการตลาด

สร้างนิสัยปลอดภัยในทีม

องค์กรอาจกำหนดเครื่องมือที่อนุมัติ ประเภทข้อมูลที่ใช้ได้ วิธีปกปิดตัวตน และผู้ตรวจทาน แนวทางควรมีตัวอย่างชัดเจน ช่องทางแจ้งเหตุ และวันที่ทบทวน

ผู้ใช้ควรตรวจผลก่อนแชร์ด้วย เพราะ AI อาจทวนข้อมูลเข้าไปในคำตอบหรือวางไว้ในจุดที่ไม่คาดคิด ความเป็นส่วนตัวไม่ได้จบตอนอัปโหลด แต่รวมถึงที่เก็บร่างและผู้รับผลลัพธ์

ตรวจอีกครั้งเมื่อจบงาน

งานเสร็จไม่ได้แปลว่าวงจรข้อมูลจบแล้ว ตรวจว่าร่างเก็บอยู่ที่ไหน ใครเปิดได้ ลิงก์แชร์ยังใช้ได้หรือไม่ และยังจำเป็นต้องเก็บไว้ไหม สรุปที่สร้างจากข้อมูลอ่อนไหวอาจเปิดเผยเรื่องสำคัญแม้ลบชื่อแล้ว

ทีมควรกำหนดที่เก็บผลที่อนุมัติและวิธีแยกจากร่าง หลีกเลี่ยงการทำสำเนาหลายบริการเพียงเพื่อความสะดวก การลบหรือถอนสิทธิ์ต้องทำตามขั้นตอนของบริการและองค์กร ไม่ควรคิดว่าลบสำเนาที่เห็นแล้วทุกสำเนาจะหายไป

ประเด็นสำคัญ: ส่งเฉพาะข้อมูลที่จำเป็น ไปยังบริการที่เหมาะสม และจำกัดสิทธิ์ หากไม่เข้าใจการจัดการข้อมูล ให้ใช้ข้อมูลตัวอย่างหรือถามผู้รับผิดชอบก่อน

สรุป

เมื่อใช้ AI กับเอกสารและข้อมูล ต้องคำนึงถึงชนิดข้อมูล บัญชี สิทธิ์เชื่อมต่อ และเส้นทางข้อมูล ไม่มีการตั้งค่าเดียวที่ใช้ได้กับผู้ให้บริการทุกราย

งานที่เกี่ยวกับข้อมูลอ่อนไหวควรทำตามนโยบายองค์กรและเอกสารทางการของบริการ หากยังไม่ได้รับอนุญาต อย่าส่งข้อมูลจริง