การใช้งานปัญญาประดิษฐ์ในองค์กรกำลังเปลี่ยนผ่านจากเครื่องมือช่วยวิเคราะห์ข้อมูล ไปสู่ AI Agent ที่สามารถตัดสินใจและดำเนินงานบางส่วนแทนมนุษย์
ส่งผลให้ประเด็น Data Sovereignty หรือ อธิปไตยด้านข้อมูล กลายเป็นความท้าทายสำคัญที่องค์กรต้องให้ความสำคัญมากกว่าการกำหนดสถานที่จัดเก็บข้อมูลเพียงอย่างเดียว
ณัฐวิชช์ ว่องสิทธิโรจน์ หัวหน้าฝ่ายเทคนิคประจำภูมิภาค แมเนจเอนจิ้น (ManageEngine) กล่าวว่า AI ขับเคลื่อนด้วยข้อมูล ดังนั้นหากองค์กรไม่สามารถควบคุมข้อมูลได้ ก็ยากที่จะควบคุมการทำงานและผลลัพธ์ของ AI ได้เช่นกัน
โดยเฉพาะเมื่อข้อมูลถูกจัดเก็บหรือประมวลผลบนคลาวด์ในต่างประเทศ ซึ่งก่อให้เกิดคำถามเกี่ยวกับเจ้าของข้อมูล กฎหมายที่ใช้บังคับ และผู้ที่สามารถเข้าถึงข้อมูลผ่าน AI ได้
เริ่มจาก Data Sovereignty
แมเนจเอนจิ้น มองว่า AI Sovereignty จะเกิดขึ้นไม่ได้ หากองค์กรยังไม่สามารถสร้าง Data Sovereignty ได้อย่างแท้จริง เนื่องจาก AI พึ่งพาข้อมูลเป็นพื้นฐาน หากไม่ทราบว่าข้อมูลถูกจัดเก็บอยู่ที่ใด ใครเป็นผู้ควบคุม และอยู่ภายใต้กฎหมายของประเทศใด ก็จะควบคุมการทำงานและการตัดสินใจของ AI ได้ยาก
องค์กรจึงควรเริ่มจากการวางรากฐานด้าน Data Governance ก่อนนำ AI มาใช้งานในวงกว้าง
แม้ประเทศไทยจะมีพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) แต่ แมเนจเอนจิ้น ระบุว่าการกำกับดูแลข้อมูลในยุค AI จำเป็นต้องครอบคลุมมากกว่าการคุ้มครองข้อมูลส่วนบุคคล เพราะความเสี่ยงไม่ได้จำกัดอยู่เพียงข้อมูลส่วนบุคคล แต่รวมถึงข้อมูลเชิงลึกขององค์กร ความลับทางธุรกิจ และทรัพย์สินทางปัญญา
องค์กรจึงควรให้ความสำคัญกับการจัดประเภทข้อมูล (Data Classification) การกำหนดตำแหน่งจัดเก็บข้อมูล (Data Localization และ Data Residency) การบริหารการเคลื่อนย้ายข้อมูลข้ามพรมแดน ตลอดจนการกำกับดูแล AI และการกำหนดกลไกตรวจสอบที่ชัดเจน โดยควรใช้แนวทางแบบ Principle-based เพื่อให้สามารถรองรับเทคโนโลยีใหม่ได้อย่างยืดหยุ่น
ความเสี่ยงอยู่ที่การไหลของ ‘ข้อมูล’
แมเนจเอนจิ้น ระบุว่า เมื่อ AI Agent สามารถเข้าถึงข้อมูล เรียกใช้ระบบ และดำเนินงานอัตโนมัติ แนวคิด Data Sovereignty ต้องขยายจากการมองเพียงสถานที่จัดเก็บข้อมูล ไปสู่การติดตามเส้นทางการไหลของข้อมูล (Data Flow) ตลอดกระบวนการทำงาน
องค์กรควรกำหนดสิทธิ์การเข้าถึงข้อมูลของ AI อย่างชัดเจน ควบคุมสถานที่ประมวลผลข้อมูล รวมถึงสร้างระบบบันทึกและติดตามทุกกิจกรรมของ AI พร้อมเฝ้าระวังแบบเรียลไทม์เนื่องจาก AI ทำงานด้วยความเร็วระดับเครื่องจักร
นอกจากนี้ การบริหารจัดการ Identity ต้องครอบคลุมทั้งบัญชีผู้ใช้ของมนุษย์ บัญชีบริการ (Service Accounts) กุญแจ API และ Machine Identities ที่ AI ใช้งานด้วย
‘5 ความเสี่ยง’ ที่องค์กรมองไม่เห็น
จากประสบการณ์ทำงานร่วมกับองค์กรในภูมิภาค แมเนจเอนจิ้น ระบุว่า ยังพบความเสี่ยงสำคัญหลายด้าน ได้แก่
- ไม่สามารถมองเห็นเส้นทางการใช้งานข้อมูลของ AI ได้ทั้งหมด
- การใช้งาน Shadow AI เช่น ChatGPT หรือ Copilot โดยไม่ได้รับอนุญาต
- สิทธิ์การเข้าถึงของบัญชีบริการที่มากเกินความจำเป็น
- การจัดการ API Keys ที่ไม่ปลอดภัย
- ความไม่ชัดเจนเกี่ยวกับการจัดเก็บและการนำข้อมูลไปใช้ของผู้ให้บริการ AI ภายนอก
องค์กรจึงควรใช้หลัก Least Privilege และระบบอัตโนมัติในการบริหารสิทธิ์ เพื่อจำกัดการเข้าถึงเฉพาะที่จำเป็นและลดความเสี่ยงจากการกำหนดสิทธิ์ที่ไม่เหมาะสม
Identity กลายเป็นแนวป้องกันหลักในยุค Hybrid Cloud
แมเนจเอนจิ้น ระบุว่า แนวคิดด้านความมั่นคงปลอดภัยที่อาศัยการป้องกันรอบเครือข่าย (Perimeter Security) ไม่เพียงพออีกต่อไป เนื่องจากข้อมูลกระจายอยู่ในศูนย์ข้อมูล คลาวด์ แอปพลิเคชัน SaaS และอุปกรณ์ของผู้ใช้งาน
ภายใต้แนวคิด Zero Trust สิ่งที่กำหนดการเข้าถึงข้อมูลคือ Identity ทำให้ Identity กลายเป็นแนวป้องกันหลักขององค์กร โดยบันทึกด้าน Identity และ Audit Trail ควรอยู่ภายใต้การควบคุมขององค์กรหรือประเทศ เพื่อรองรับข้อกำหนดด้าน Data Sovereignty ได้อย่างมีประสิทธิภาพ
สำหรับการบริหารจัดการข้อมูลและ AI แมเนจเอนจิ้น เห็นว่าองค์กรควรมี AI-Ready Governance Stack ประกอบด้วย
- ระบบ Privileged Access Management (PAM) สำหรับผู้ใช้และ Machine Identities
- ระบบ Logging และการวิเคราะห์ข้อมูลเพื่อสร้าง Audit Trail
- นโยบายการใช้งาน AI ที่ชัดเจน
- ระบบติดตามและตรวจสอบการทำงานของ AI อย่างต่อเนื่อง
องค์ประกอบเหล่านี้จะช่วยให้องค์กรสามารถมองเห็นความเสี่ยง ควบคุมการเข้าถึงข้อมูล และปฏิบัติตามข้อกำหนดด้านกฎหมายได้อย่างมีประสิทธิภาพ
ควบคุมโดยไม่ปิดกั้นนวัตกรรม
ความท้าทายขององค์กรคือการสร้างสมดุลระหว่างการควบคุมและความคล่องตัว โดยเสนอแนวคิด “Guardrails, Not Roadblocks” หรือการสร้างรั้วป้องกันแทนการปิดกั้น ผ่านการจำกัดเฉพาะกิจกรรมที่มีความเสี่ยงสูง การจัดประเภทข้อมูล การจัดเตรียมเครื่องมือ AI ที่ได้รับอนุมัติ และการใช้เทคโนโลยีช่วยบังคับใช้นโยบายโดยอัตโนมัติ พร้อมทบทวนแนวทางอย่างสม่ำเสมอ
แมเนจเอนจิ้น เสนอแนวทางเชิงปฏิบัติสำหรับองค์กรไทย 4 ขั้นตอน ได้แก่
- วางรากฐาน ด้วยการรู้จักและจัดประเภทข้อมูล รวมถึงบริหารจัดการ Identity
- สร้างการมองเห็น ผ่านระบบ Logging การตรวจจับ Shadow AI และการสร้าง Audit Trail
- สร้างการควบคุม เพื่อกำกับการเข้าถึงและการใช้งานข้อมูล
- ปรับปรุงและพัฒนาอย่างต่อเนื่อง เพื่อรองรับกฎระเบียบใหม่ในอนาคต
โดยองค์กรไม่จำเป็นต้องดำเนินการทุกอย่างพร้อมกัน แต่ควรเริ่มจากการสร้างรากฐานที่แข็งแรงก่อน
หากองค์กรไทยต้องการก้าวสู่ AI Sovereignty ภายใน 2-3 ปีข้างหน้า แมเนจเอนจิ้น แนะนำให้เร่งดำเนินการ 5 ด้าน ได้แก่
- การบริหาร Identity ให้ครอบคลุมผู้ใช้ บัญชีบริการ และ API Keys
- การทำความเข้าใจข้อมูลขององค์กร
- การควบคุมสิทธิ์การเข้าถึงข้อมูล
- การสร้างระบบ Logging และ Monitoring แบบเรียลไทม์
- การกำหนดนโยบายการใช้งาน AI ที่ชัดเจนพร้อมบังคับใช้อย่างจริงจัง
