💡 Shadow AI คือการที่พนักงานใช้เครื่องมือหรือฟีเจอร์ AI ในการทำงาน โดยองค์กรไม่สามารถมองเห็น อนุมัติ หรือกำกับดูแลได้อย่างเหมาะสม

ปัจจุบันการใช้ Generative AI ในองค์กรเพิ่มขึ้นจาก 74% ในปี 2023 เป็น 96% ในปี 2024 และพนักงานมากกว่า 1 ใน 3 เคยป้อนข้อมูลสำคัญของงานลงใน AI Tool โดยไม่ได้รับอนุญาต

ตัวเลขนี้สะท้อนว่า AI ไม่ได้รอให้องค์กรออก Policy พร้อมก่อนแล้วค่อยเข้ามาในที่ทำงาน แต่พนักงานจำนวนมากเริ่มใช้ AI เพื่อช่วยทำงานไปแล้ว ไม่ว่าจะเป็นการสรุปเอกสาร วิเคราะห์ข้อมูล เขียนอีเมล สร้างภาพ หรือช่วยคิดไอเดีย โดยบางครั้ง IT, Security หรือผู้บริหารอาจไม่รู้ด้วยซ้ำว่ามีเครื่องมือใดกำลังถูกใช้งานอยู่

พฤติกรรมนี้เรียกว่า “Shadow AI”

ปัญหาสำคัญจึงไม่ได้อยู่ที่ว่า “พนักงานใช้ AI หรือไม่” แต่คือ “องค์กรสามารถมองเห็นและควบคุมการใช้ AI เหล่านั้นได้มากน้อยแค่ไหน”

เพราะ AI ที่ช่วยเพิ่ม Productivity ได้ในวันนี้ อาจกลายเป็นความเสี่ยงด้านข้อมูล ความปลอดภัย และการตัดสินใจขององค์กร หากไม่มีระบบกำกับดูแลที่เหมาะสม

📌 Shadow AI คืออะไร? แตกต่างจาก Shadow IT อย่างไร?

Shadow AI คือการใช้เครื่องมือ ระบบ หรือฟีเจอร์ AI เพื่อช่วยทำงาน โดยไม่มีการอนุมัติ การมองเห็น หรือการกำกับดูแลจากฝ่าย IT และ Security อย่างเป็นทางการ

ตัวอย่าง:
▪️ พนักงานนำเอกสารภายในไปให้ AI ช่วยสรุป
▪️ นักการตลาดใส่ข้อมูลลูกค้าลงใน AI Tool เพื่อวิเคราะห์ Insight
▪️ นักพัฒนาใช้ AI Plugin ที่สามารถเข้าถึง Source Code โดยไม่ได้ผ่านการประเมิน
▪️ ทีมบริการลูกค้านำคำถามของลูกค้าไปถาม Public Chatbot เพื่อหาคำตอบอย่างรวดเร็ว

หลายกรณีไม่ได้เกิดจากความตั้งใจทำผิด แต่เกิดจากความต้องการทำงานให้เร็วขึ้น เพราะ AI Tool ในปัจจุบันเข้าถึงง่าย ใช้งานผ่าน Browser ได้ทันที และหลายเครื่องมือสามารถสมัครใช้งานได้ภายในไม่กี่นาทีโดยไม่ต้องผ่านกระบวนการอนุมัติจากองค์กร

📌 Shadow AI ต่างจาก Shadow IT อย่างไร?

Shadow IT คือ “การใช้เทคโนโลยีหรือ Software ที่องค์กรไม่ได้อนุมัติ” เช่น Cloud Storage, Project Management Tool หรือ Application สำหรับทำงานต่าง ๆ

ขณะที่ Shadow AI เป็นส่วนหนึ่งของ Shadow IT ที่มีความซับซ้อนมากขึ้น เพราะ AI ไม่ได้เป็นเพียงเครื่องมือจัดเก็บหรือประมวลผลข้อมูล แต่สามารถ
▪️ วิเคราะห์ข้อมูล
▪️ สร้างเนื้อหา
▪️ แนะนำแนวทางตัดสินใจ
▪️ เรียนรู้จากข้อมูลที่ป้อนเข้าไป

ทำให้ความเสี่ยงไม่ได้จำกัดอยู่แค่ “ข้อมูลอยู่ที่ไหน” แต่รวมถึง “AI นำข้อมูลไปประมวลผลอย่างไร” และ “ผลลัพธ์จาก AI ถูกนำไปใช้ตัดสินใจอย่างไร”

📌 ทำไม Shadow AI ถึงเกิดขึ้นง่ายในองค์กร?

Shadow AI ไม่ได้เกิดขึ้นเพราะพนักงานละเลยเรื่องความปลอดภัยเพียงอย่างเดียว แต่เกิดจากช่องว่างระหว่าง ‘ความเร็วของการนำ AI มาใช้’ กับ ‘ความเร็วในการออกแบบ Governance ขององค์กร’

ปัจจัยสำคัญที่ทำให้ Shadow AI เกิดขึ้น ได้แก่

1. AI Tool เข้าถึงง่ายและเริ่มใช้งานได้ทันที
เครื่องมือ AI จำนวนมากเปิดให้ทดลองใช้งานฟรี สมัครด้วยอีเมลส่วนตัว และสามารถเริ่มใช้งานได้ภายในไม่กี่นาที

2. งานต้องเร็ว แต่องค์กรอนุมัติเครื่องมือช้า
ในสภาพแวดล้อมการทำงานที่ต้องแข่งขันด้วยความเร็ว หากเครื่องมือที่องค์กรจัดเตรียมไว้ยังไม่ตอบโจทย์ พนักงานอาจมองหา AI Tool อื่นเพื่อช่วยให้งานเสร็จเร็วขึ้น

3. Policy ด้าน AI ยังไม่ชัดเจน
พนักงานจำนวนมากไม่แน่ใจว่า
▪️ ข้อมูลประเภทใดสามารถใส่ใน AI ได้
▪️ AI Tool ใดได้รับอนุญาตให้ใช้
▪️ งานประเภทใดต้องขออนุมัติก่อน
▪️ ใครเป็นผู้รับผิดชอบเมื่อ AI สร้างข้อมูลผิดพลาด

เมื่อไม่มีแนวทางที่ชัดเจน การใช้งาน AI จึงเกิดขึ้นตามความเข้าใจของแต่ละบุคคล

4. AI ถูกฝังอยู่ใน Software ที่องค์กรใช้อยู่แล้ว
ปัจจุบัน Software ที่องค์กรใช้อยู่แล้วจำนวนมากเริ่มเพิ่มฟีเจอร์ AI เข้าไป เช่น ระบบจัดการงาน ระบบวิเคราะห์ข้อมูล หรือเครื่องมือสร้าง Content แต่อาจยังไม่ได้รับการประเมินด้าน Security, Privacy หรือ Data Governance อย่างเหมาะสม

ดังนั้น Shadow AI จึงไม่ได้หมายถึง “การใช้ AI ที่ไม่ได้รับอนุญาตเท่านั้น” แต่หมายถึง การใช้ AI ทุกกรณีที่องค์กรไม่สามารถมองเห็นและกำกับดูแลได้อย่างเหมาะสม

📌 Shadow AI มีความเสี่ยงอะไรบ้าง?

แม้ Shadow AI จะช่วยให้พนักงานทำงานได้รวดเร็วขึ้น แต่หากไม่มีการกำกับดูแลที่เหมาะสม ความสะดวกในระยะสั้นอาจนำไปสู่ความเสี่ยงด้านข้อมูล ความปลอดภัย และการกำกับดูแลในระยะยาว โดยความเสี่ยงไม่ได้จำกัดอยู่เพียงเรื่องข้อมูลรั่วไหล แต่ยังส่งผลต่อการตัดสินใจ ความน่าเชื่อถือของข้อมูล และชื่อเสียงขององค์กรอีกด้วย

1. Data Leakage: ข้อมูลสำคัญอาจหลุดออกนอกองค์กร
ความเสี่ยงที่พบได้บ่อยที่สุดคือ การนำข้อมูลสำคัญขององค์กรไปประมวลผลผ่าน AI Tool โดยไม่ได้รับอนุญาต เช่น ข้อมูลลูกค้า ข้อมูลพนักงาน แผนธุรกิจ Source Code สัญญา หรือ ข้อมูลทางการเงิน

หลายครั้งพนักงานอาจไม่ทราบว่า AI Tool ที่ใช้งานมีนโยบายจัดเก็บ Prompt อย่างไร ข้อมูลถูกนำไปใช้พัฒนาโมเดลต่อหรือไม่ หรือมีบุคคลภายนอกสามารถเข้าถึงข้อมูลได้มากน้อยเพียงใด

เมื่อข้อมูลออกจากระบบที่องค์กรควบคุมได้ ความเสี่ยงด้านความปลอดภัยและการปฏิบัติตามกฎหมายก็เพิ่มขึ้นทันที

2. Compliance Risk: ความเสี่ยงด้านกฎหมายและข้อกำหนด
การใช้ AI ที่อยู่นอกกระบวนการกำกับดูแล อาจทำให้องค์กรไม่สามารถปฏิบัติตามข้อกำหนดด้านกฎหมายหรือมาตรฐานที่เกี่ยวข้องได้ ตัวอย่างเช่น
▪️ PDPA
▪️ GDPR
▪️ ข้อกำหนดด้านการรักษาความลับของลูกค้า
▪️ นโยบายความปลอดภัยขององค์กร
▪️ ข้อกำหนดของคู่ค้าหรือหน่วยงานกำกับดูแล

แม้พนักงานจะมีเจตนาดีและต้องการทำงานให้รวดเร็วขึ้น แต่หากข้อมูลถูกส่งออกไปยังระบบที่ไม่ได้รับอนุญาต ก็อาจสร้างความเสี่ยงด้าน Compliance ได้โดยไม่รู้ตัว

3. Lack of Auditability & Accountability: ตรวจสอบย้อนหลังได้ยาก
เมื่อ AI สร้างคำตอบผิดพลาด องค์กรอาจไม่สามารถตอบคำถามสำคัญได้ เช่น
▪️ ใช้ AI Model ตัวใด
▪️ ใช้ Prompt อะไร
▪️ ป้อนข้อมูลอะไรเข้าไป
▪️ ใครเป็นผู้ตัดสินใจนำผลลัพธ์ไปใช้งานจริง

หากไม่มีบันทึกการใช้งาน (Audit Trail) หรือกระบวนการกำกับดูแลที่ชัดเจน การตรวจสอบสาเหตุของปัญหาและการระบุผู้รับผิดชอบจะทำได้ยาก ส่งผลต่อทั้งการบริหารความเสี่ยงและการปรับปรุงกระบวนการในอนาคต

4. คุณภาพของ AI Output อาจไม่น่าเชื่อถือ
AI ไม่ได้ถูกต้องเสมอไป เครื่องมือที่ไม่ได้ผ่านการประเมินอาจสร้างข้อมูลที่ผิดพลาด (Hallucination) มีอคติ (Bias) หรืออ้างอิงข้อมูลที่ไม่น่าเชื่อถือ หากองค์กรนำผลลัพธ์เหล่านั้นไปใช้โดยไม่มี Human Review เช่น
▪️ สื่อสารกับลูกค้า
▪️ จัดทำรายงานผู้บริหาร
▪️ วิเคราะห์ข้อมูลธุรกิจ
▪️ ใช้ประกอบการตัดสินใจ

ความเสียหายอาจขยายวงกว้างกว่าปัญหาทางเทคนิค และส่งผลต่อความน่าเชื่อถือขององค์กรในระยะยาว

5. Shadow AI ทำให้องค์กรมองไม่เห็นการใช้ AI ที่เกิดขึ้นจริง
ความเสี่ยงสำคัญที่สุดของ Shadow AI คือ องค์กรไม่รู้ว่า AI ถูกใช้งานอยู่ที่ไหน ใช้อย่างไร และใช้กับข้อมูลประเภทใด เมื่อขาดการมองเห็น (Visibility) องค์กรก็ไม่สามารถประเมินความเสี่ยง กำหนดสิทธิ์การเข้าถึงข้อมูล ติดตามการใช้งาน หรือปรับปรุงนโยบายให้ทันต่อพฤติกรรมการใช้งานจริง ได้อย่างมีประสิทธิภาพ

💡 Insight: หลายองค์กรมองว่า Shadow AI เป็นปัญหาของ “การใช้ AI” แต่ในความเป็นจริง ปัญหาหลักคือ “การมองไม่เห็นการใช้ AI” (AI Visibility) หากองค์กรมีเครื่องมือ นโยบาย และกระบวนการกำกับดูแลที่เหมาะสม พนักงานก็สามารถใช้ AI ได้อย่างปลอดภัยโดยไม่ต้องลดทอนประสิทธิภาพในการทำงาน

📌 องค์กรควรรับมือ Shadow AI อย่างไร?

การรับมือ Shadow AI ไม่ใช่การ “ห้ามใช้ AI” เพราะในความเป็นจริง พนักงานจำนวนมากใช้ AI เป็นส่วนหนึ่งของการทำงานไปแล้ว

สิ่งที่องค์กรควรทำ คือการออกแบบ AI Governance ที่ช่วยให้พนักงานใช้ AI ได้อย่างปลอดภัย โปร่งใส และตรวจสอบได้ โดยไม่ลดทอนความคล่องตัวในการทำงาน โดยแนวทางที่แนะนำ ได้แก่

1. กำหนด AI Policy ที่ชัดเจน
ระบุให้พนักงานเข้าใจว่า AI Tool ใดสามารถใช้งานได้ ข้อมูลประเภทใดห้ามป้อนเข้าสู่ AI งานประเภทใดต้องได้รับอนุมัติก่อน ใครเป็นผู้รับผิดชอบในการตรวจสอบผลลัพธ์จาก AI และจัดเตรียม AI Tool ที่ได้รับการอนุมัติ

หากองค์กรมีเครื่องมือที่ตอบโจทย์การทำงานและผ่านการประเมินด้าน Security แล้ว พนักงานก็มีแนวโน้มที่จะเลือกใช้เครื่องมือเหล่านั้น แทนการค้นหา AI Tool ภายนอกด้วยตนเอง

2. สร้างความรู้ด้าน AI Literacy และ AI Governance
เทคโนโลยีเพียงอย่างเดียวไม่สามารถลดความเสี่ยงได้ หากพนักงานยังไม่เข้าใจข้อจำกัดของ AI องค์กรจึงควรพัฒนาความรู้ด้าน
▪️ AI Literacy
▪️ Data Literacy
▪️ Prompt Security
▪️ Responsible AI
▪️ AI Governance

เพื่อให้พนักงานสามารถใช้ AI ได้อย่างมีวิจารณญาณและเข้าใจผลกระทบที่อาจเกิดขึ้นจากการใช้งาน

📌 สรุป: Shadow AI ไม่ใช่ศัตรู แต่เป็นสัญญาณว่าองค์กรต้องพัฒนา AI Governance

Shadow AI ไม่ได้เกิดขึ้นเพราะพนักงานทุกคนละเลยความปลอดภัย หลายครั้งกลับเกิดจากความตั้งใจที่ดี อยากทำงานให้เร็วขึ้น แก้ปัญหาได้ไวขึ้น และสร้างผลงานที่มีคุณภาพมากขึ้น

แต่เมื่อการใช้ AI อยู่นอกสายตาขององค์กร สิ่งที่ดูเหมือน Productivity ในระยะสั้น อาจแลกมาด้วยความเสี่ยงด้าน Data Leakage, Compliance, ความน่าเชื่อถือของข้อมูล และชื่อเสียงขององค์กรในระยะยาว

เป้าหมายขององค์กรจึงไม่ใช่การหยุดให้พนักงานใช้ AI แต่คือการสร้างสภาพแวดล้อมที่ทำให้ทุกคนสามารถใช้ AI ได้อย่างมั่นใจ ภายใต้กรอบการกำกับดูแลที่เหมาะสม

การมี AI Governance ที่ดี จะช่วยให้องค์กรสร้างสมดุลระหว่าง นวัตกรรม ความปลอดภัย และการกำกับดูแล ทำให้การนำ AI มาใช้เกิดประโยชน์สูงสุดโดยไม่เพิ่มความเสี่ยงที่ไม่จำเป็น

True Digital Academy สนับสนุนองค์กรในการพัฒนาความรู้ด้าน AI Literacy, Data Literacy และ AI Governance เพื่อให้ผู้นำและพนักงานสามารถนำ AI ไปใช้ได้อย่างมีประสิทธิภาพ โปร่งใส และสอดคล้องกับหลักการกำกับดูแลที่เหมาะสม

เพราะองค์กรที่พร้อมสำหรับ AI ไม่ใช่องค์กรที่ใช้ AI ได้เร็วที่สุด แต่คือองค์กรที่สามารถใช้ AI ได้อย่าง ปลอดภัย มีความรับผิดชอบ และสร้างคุณค่าได้อย่างยั่งยืน

Source: ibm.com, paloaltonetworks.com