Shadow AI: ช่องว่างการกำกับดูแลที่องค์กรไม่สามารถเพิกเฉยได้

ณ จุดนี้ของการเดินทางด้วย AI ผู้นำธุรกิจโดยทั่วไปตระหนักถึงความสำคัญของการกำกับดูแล AI อย่างกว้างขวาง อย่างไรก็ตาม ความเร็วที่องค์กรพัฒนา นโยบายและเครื่องมือในการควบคุมยังคงล้าหลังความเร็วที่พนักงานนำ AI มาใช้และรวมเข้ากับการทำงานประจำวัน

องค์กรที่รอการกำกับดูแลจน “สมบูรณ์” ก่อนที่จะใช้ AI ต้องเผชิญกับความเป็นจริงที่ยากลำบาก: ในการขาดกฎเกณฑ์ที่ชัดเจนเกี่ยวกับวิธีการใช้ AI อะไร และที่ไหน พนักงานจะกำหนดขอบเขตเหล่านั้นเอง และการตัดสินใจเหล่านั้นอาจขัดแย้งโดยตรงกับมาตรฐานขององค์กร ความเสี่ยง หรือภาระผูกพันตามกฎระเบียบ

ช่องว่างการกำกับดูแลนี้ทำให้ Shadow AI กลายเป็นรูปแบบการดำเนินงานโดย mặc định ภายในองค์กรหลายแห่ง

ปัญหาระบาดและเติบโต

Shadow AI ไม่ได้จำกัดอยู่เพียงผู้ร่วมให้ข้อมูลที่ทดลองอยู่บนขอบเขต มันขยายไปทั่วทั้งองค์กร รวมถึงผู้นำด้วย เมื่อ AI ถูกฝังอยู่ในกระบวนการทำงานประจำวัน แม้แต่ผู้ตัดสินใจระดับสูงก็จะข้ามกระบวนการอนุมัติอย่างเป็นทางการเพื่อใช้ประโยชน์จาก AI จริงๆ แล้ว การวิจัยล่าสุด พบว่า 68% ของผู้นำด้านความปลอดภัย รวมถึง CISO ยอมรับว่าพวกเขาใช้ AI ที่ไม่ได้รับอนุญาตในกระบวนการทำงานบางระดับ

ในเวลาเดียวกัน 79% ของผู้นำ IT รายงาน ว่าองค์กรของพวกเขาได้รับผลเสียจากการที่พนักงานใช้ AI ที่ไม่ได้รับอนุญาตแล้ว และนักวิเคราะห์คาดว่าปัญหานี้จะรุนแรงขึ้น Gartner คาดการณ์ ว่าภายในปี 2030 มากกว่า 40% ขององค์กรจะประสบเหตุการณ์ความปลอดภัยหรือการไม่ปฏิบัติตามกฎระเบียบเนื่องจากการใช้ AI ที่ไม่ได้รับอนุญาต

พื้นที่เสี่ยงที่ขยายตัว

Shadow AI นำเสนอความเสี่ยงหลากหลาย รวมถึง:

• การสูญเสียการควบคุมข้อมูลและความเสี่ยงของการรั่วไหลของข้อมูล
• การเพิ่มขึ้นของช่องโหว่ด้านความปลอดภัยและพื้นที่โจมตี
• การเปิดเผยต่อการไม่ปฏิบัติตามกฎระเบียบ
• การขาดความเข้าใจเกี่ยวกับวิธีการใช้ AI
• การสูญเสียทรัพย์สินทางปัญญา
• ความเสียหายต่อชื่อเสียง
• ข้อมูลที่ไม่ถูกต้องหรือมีอคติ

ปัจจัยสำคัญที่ทำให้เกิดความเสี่ยงเหล่านี้คือความเข้าใจที่ไม่ถูกต้องเกี่ยวกับวิธีการที่ระบบ AI จัดการข้อมูล

พนักงานหลายคนคิดว่าการใช้ “เครื่องมือฟรี” โดยเฉพาะเครื่องมือที่ไม่ต้องการข้อมูลเข้าใช้ จะมอบความเป็นส่วนตัวหรือการป้องกัน ในความเป็นจริง เครื่องมือเหล่านี้มักจะพึ่งพาข้อมูลจากผู้ใช้เพื่อฝึกอบรมและปรับปรุงแบบจำลอง และในบางกรณี จะแบ่งปันข้อมูลกับผู้ให้บริการที่สาม ข้อมูลนั้นอาจรวมถึงข้อมูลที่ละเอียดอ่อน เช่น ข้อมูลส่วนบุคคล (PII) ข้อมูลทางการแพทย์หรือกฎหมาย บันทึกทางการเงิน ทรัพย์สินทางปัญญา และข้อมูลธุรกิจที่เป็นความลับอื่นๆ

น่าห่วงใยยิ่งขึ้น การตระหนักไม่จำเป็นต้องเปลี่ยนพฤติกรรมเสมอไป การวิจัยพบ ว่า 38% ของพนักงานแบ่งปันข้อมูลที่ละเอียดอ่อนกับเครื่องมือ AI โดยไม่ได้รับการอนุมัติจากองค์กร

ทำไม Shadow AI ยังคงอยู่

เพื่อแก้ไขปัญหา Shadow AI องค์กรต้องเข้าใจสาเหตุของมันก่อน

ในกรณีส่วนใหญ่ พนักงานไม่ได้กระทำด้วยเจตนาเลว พวกเขากำลังตอบสนองต่อสภาพแวดล้อมของตน พวกเขาต้องทำงานให้เร็วขึ้น ทำงานให้มากขึ้นด้วยทรัพยากรที่น้อยลง และให้ผลลัพธ์ที่ดีขึ้น AI ช่วยให้พวกเขาบรรลุเป้าหมายนั้น

Shadow AI เกิดขึ้นเมื่อระบบขององค์กรไม่สามารถตามทันความคาดหวังเหล่านั้นได้ ปัจจัยที่ทำให้เกิด Shadow AI รวมถึง:

• การห้ามใช้เครื่องมือ AI ในที่ทำงานอย่างเข้มงวด
• เครื่องมือที่ได้รับอนุมัติซึ่งมีความสามารถหรือความเป็นมิตรกับผู้ใช้น้อยกว่า
• ความกดดันในการปฏิบัติตามกำหนดเวลาอย่างเข้มงวด
• กระบวนการซื้อขายที่ช้าหรือซับซ้อน
• นโยบายที่ไม่ชัดเจน ไม่สอดคล้องกัน หรือไม่มีอยู่
• การฝึกอบรมหรือคำแนะนำที่จำกัด
• ความมั่นใจส่วนบุคคลหรือการประเมินความเสี่ยงที่ไม่ถูกต้อง

ในแก่นแท้ Shadow AI คือการแลกเปลี่ยน เมื่อผลประโยชน์ที่รับรู้เกี่ยวกับผลผลิตมีมากกว่าความเสี่ยงที่รับรู้ พนักงานจะเลือกความเร็วและประสิทธิภาพทุกครั้ง

การจัดการ AI โดยไม่ขัดขวางนวัตกรรม

พนักงานกำลังใช้ AI แล้ว การเพิกเฉยต่อข้อเท็จจริงนี้หรือการชะลอการดำเนินการเพียงเพื่อขยายช่องว่างระหว่างนโยบายและแนวปฏิบัติ

องค์กรควรเปลี่ยนแนวทางจากการควบคุมไปสู่การเปิดโอกาส

สิ่งนั้นเริ่มต้นด้วยการกำหนดแนวทางที่ชัดเจน เป็นรูปธรรม และโปร่งใส แม้ว่าจะไม่สมบูรณ์แบบก็ตาม ระบบการควบคุมในระยะแรกให้คำแนะนำ ลดความไม่แน่นอน และสร้างความเข้าใจร่วมกันเกี่ยวกับการใช้งานที่ยอมรับได้

แต่นโยบายเพียงอย่างเดียวไม่เพียงพอ องค์กรต้องมีความสามารถในการมองเห็นด้วย ซึ่งต้องสร้างกลไกที่สร้างความไว้วางใจเพื่อให้พนักงานสามารถเปิดเผยเครื่องมือที่พวกเขาใช้และเหตุผลได้อย่างปลอดภัย วิธีการเช่น “ช่วงเวลาอภัย Shadow AI” หรือการรายงานแบบ 匿名 สามารถให้ข้อมูลเชิงลึกที่สำคัญโดยไม่ต้องลงโทษพฤติกรรมทันที

ในเวลาเดียวกัน องค์กรต้องรักษาความรับผิดชอบ ในกรณีที่การรั่วไหลของข้อมูลมีนัยสำคัญหรือการละทิ้งหน้าที่ อาจจำเป็นต้องมีผลกระทบด้วย โจทย์ไม่ใช่การกำจัดความเสี่ยงทั้งหมด แต่จัดการมันอย่างฉลาด

จาก Shadow ไปสู่กลยุทธ์

Shadow AI เป็นสัญญาณที่บ่งบอกว่านวัตกรรมกำลังเคลื่อนไปเร็วกว่าโครงสร้างขององค์กรที่ออกแบบมาเพื่อควบคุมมัน

องค์กรไม่สามารถรอได้ การกำหนดการกำกับดูแลในขณะนี้ แม้ว่าจะไม่สมบูรณ์แบบก็ตาม เป็นสิ่งสำคัญในการลดความเสี่ยงและฟื้นฟูความสามารถในการมองเห็น แต่การกำกับดูแลเพียงอย่างเดียวไม่เพียงพอ ระบบการควบคุมที่ชัดเจนต้องจับคู่กับการเปิดโอกาส การศึกษา และตัวเลือกที่เข้าถึงได้ซึ่งช่วยให้พนักงานใช้ AI อย่างปลอดภัยและมีประสิทธิภาพ

เป้าหมายไม่ใช่การจำกัดการนำ AI มาใช้ แต่เพื่อ塑造มัน เมื่อองค์กรสร้างสมดุลนั้น Shadow AI จะเปลี่ยนจากภาระที่ซ่อนอยู่ไปเป็นความสามารถเชิงกลยุทธ์ที่จัดการได้ และด้วยวิธีนี้ พวกเขาสามารถปิดช่องว่างระหว่างวิธีการใช้ AI ที่เป็นอยู่กับวิธีที่ควรใช้ ก่อนที่ช่องว่างนั้นจะพัฒนาเป็นการละเมิด