IT Select Lab

ที่ทำงาน · กลาง · ประมาณ 9 นาที

ข้อมูลลูกค้า ห้ามวางลง AI ที่ไม่อนุมัติ

ข้อมูลรั่วจากคนในส่วนใหญ่ไม่ได้มาจากคนร้าย แต่มาจากทางลัดตอนงานเร่ง และการรายงานเร็วคือสิ่งที่ช่วยได้มากที่สุด

0/5

เปิดโหมดสอน (สไลด์เต็มจอ)

จำภาพนี้ภาพเดียว

ข้อมูลลูกค้าไม่วางลง AI ที่องค์กรไม่อนุมัติ พลาดแล้วรีบบอก

  • ใช้ AI ที่อนุมัติ
  • พรางข้อมูลก่อนใช้
  • พลาดแล้วรายงานทันที
ภัยจากคนในและการใช้ AI · IT Select Lab

สรุปใน 3 บรรทัด

  1. ภัยจากคนในมีทั้งคนที่ตั้งใจขโมยข้อมูลและคนที่พลาดโดยไม่ตั้งใจ รายงาน DBIR 2026 ของ Verizon ชี้ว่าเคสภายในจำนวนมากเป็นความผิดพลาดหรือทางลัด ไม่ใช่การบ่อนทำลาย [7][15]
  2. ข้อความที่พิมพ์ลงแชตบอต AI สาธารณะ ผู้ให้บริการมองเห็นและเก็บได้ จึงห้ามวางข้อมูลลูกค้า ข้อมูลส่วนบุคคล ความลับ หรือซอร์สโค้ด และต้องตรวจผลลัพธ์ก่อนใช้ทุกครั้ง [10][6]
  3. ถ้าพลาดแล้วให้รายงานทันที เพราะเมื่อข้อมูลส่วนบุคคลรั่วและมีความเสี่ยง องค์กรต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ และองค์กรที่ดีตอบรับแบบไม่โทษกัน [1][2][8]

ทำสิ่งนี้ตอนนี้

  • ถามหัวหน้าหรือฝ่าย IT วันนี้ว่าองค์กรอนุมัติเครื่องมือ AI ตัวไหน และมีนโยบายการใช้ AI หรือยัง [6][9]
  • บันทึกช่องทางรายงานเหตุไว้ในโทรศัพท์ ทั้งหัวหน้า ฝ่าย IT หรือความปลอดภัย และ DPO ขององค์กร [8]
  • เปิดดูไฟล์งานที่แชร์แบบ "ทุกคนที่มีลิงก์" แล้วเปลี่ยนเป็นแชร์เฉพาะคน พร้อมตั้งวันหมดอายุ [15]

1 ลองคิด

อีก 20 นาทีต้องส่งสรุปข้อร้องเรียนลูกค้า 300 รายการ แล้วเพื่อนบอกว่า "วางลงแชตบอต AI ฟรีสิ เสร็จใน 1 นาที" คุณจะวางตารางนั้นไหม

ก่อนวาง ถามตัวเองสองข้อ เครื่องมือนี้องค์กรอนุมัติไหม และในตารางมีข้อมูลลูกค้าหรือเปล่า ถ้าตอบไม่ได้ ให้หยุดก่อน

ไม่ต้องตอบใคร แค่ตอบในใจ แล้วอ่านต่อ

2 ดูสัญญาณ

เรื่องนี้เกิดขึ้นอย่างไร

CISA ให้นิยาม "คนใน" ว่าคือทุกคนที่มีหรือเคยมีสิทธิ์เข้าถึงข้อมูลขององค์กร ทั้งพนักงาน ผู้รับเหมา และผู้ขาย ภัยจากคนในมีทั้งแบบตั้งใจ เช่น ขโมยข้อมูลไปใช้ประโยชน์ส่วนตัว และแบบไม่ตั้งใจ เช่น ประมาทไม่ทำตามนโยบาย หรือพิมพ์อีเมลผิดจนเอกสารไปถึงคู่แข่ง [7]

ภาพที่หลายคนนึกถึงคือพนักงานแค้นที่แอบขายข้อมูล แต่ตัวเลขบอกอีกแบบ รายงาน DBIR 2026 ของ Verizon พบว่าผู้กระทำภายในอยู่ใน 12% ของการรั่วไหลที่ยืนยันแล้ว ในจำนวนนี้ 75% เป็นผู้ใช้ทั่วไป [15] ความผิดพลาดของคนคิดเป็นเกือบ 9% ของการรั่วไหล ที่พบบ่อยคือส่งผิดผู้รับ ตั้งค่าที่เก็บข้อมูลโดยไม่คุมสิทธิ์ และทำของหาย ขณะที่การใช้สิทธิ์โดยมิชอบมีไม่ถึง 4% [15]

AI ทำให้ทางลัดง่ายขึ้นมาก ข้อมูลปี 2025 ใน DBIR 2026 พบว่าพนักงาน 45% ใช้ AI เป็นประจำบนอุปกรณ์องค์กร เพิ่มจาก 15% และ shadow AI เป็นพฤติกรรมเสี่ยงแบบไม่เจตนาร้ายที่พบมากเป็นอันดับ 3 [15] NCSC ของอังกฤษอธิบายว่าสาเหตุมักเป็นเพราะเครื่องมือที่อนุมัติใช้ยากหรือไม่ตอบโจทย์ [9] ในไทย เลขาธิการ สกมช. ก็เตือนว่าหลายองค์กรนำข้อมูลภายในไปป้อนแพลตฟอร์ม AI สาธารณะโดยไม่มีการควบคุม [25]

ลองนึกภาพว่าคุณยื่นแฟ้มรายชื่อลูกค้าให้คนแปลกหน้าที่เก่งมากช่วยสรุป เขาสรุปให้เร็ว แต่จดทุกอย่างลงสมุดของเขาเอง และอาจมีคนอื่นมาเปิดอ่าน นี่คือสิ่งที่เกิดเมื่อวางข้อมูลลงแชตบอต AI สาธารณะ NCSC ระบุว่าผู้ให้บริการมองเห็นคำถามที่พิมพ์ลงไป เก็บไว้ และเกือบแน่นอนว่าจะใช้พัฒนาบริการในบางขั้น [10] ผู้ให้บริการรายใหญ่รายหนึ่งระบุว่ามีคนตรวจอ่านแชตบางส่วน และเก็บแชตที่ตรวจแล้วได้นานถึง 3 ปี [17]

ภัยแบบตั้งใจก็ยังมี เช่น คนที่แจ้งลาออกแล้วคัดลอกรายชื่อลูกค้าก่อนไปอยู่กับคู่แข่ง DBIR 2026 จึงแนะนำให้ทบทวนกิจกรรมเมื่อคนที่เข้าถึงข้อมูลอ่อนไหวลาออก [15] แต่หน้าที่ของเพื่อนร่วมงานคือรายงานผ่านช่องทางที่ถูกต้อง ไม่ใช่สืบเอง [8]

ดูกลโกงทีละขั้น

‹หัวหน้าทีม (แชตงาน)
ขอสรุปข้อร้องเรียนลูกค้า 300 รายการ ก่อนประชุมบ่ายสองนะ
ได้ค่ะ แต่เวลาเหลือไม่ถึงชั่วโมง

ขั้นที่ 1 จาก 5

งานด่วน เวลาน้อย ไฟล์ใหญ่

เหตุส่วนใหญ่เริ่มจากงานเร่ง ไม่ใช่เจตนาร้าย รายงาน DBIR 2026 พบว่าแรงจูงใจ "ความสะดวก" เพิ่มขึ้นในเคสคนใน และ NCSC ชี้ว่าคนหันไปใช้ทางลัดเมื่อเครื่องมือที่อนุมัติใช้ยากหรือไม่ตอบโจทย์ [15][9]

‹ต้น (เพื่อนร่วมทีม)
วางตารางลงแชตบอต AI ฟรีบนเว็บสิ ใช้บัญชีส่วนตัวก็ได้
เสร็จใน 1 นาที ไม่ต้องขอใคร

ขั้นที่ 2 จาก 5

เพื่อนแนะทางลัด แชตบอต AI ฟรี

การใช้แชตบอต AI ที่องค์กรไม่ได้อนุมัติกับข้อมูลงานเรียกว่า shadow AI [9] ข้อมูลปี 2025 ในรายงาน DBIR 2026 ของ Verizon พบว่า 67% ของผู้ใช้ AI เข้าใช้ด้วยบัญชีที่ไม่ใช่ขององค์กร [15]

free-ai-chat.example

แชตบอต AI ฟรีบนเว็บ

วางข้อความหรือไฟล์ของคุณที่นี่

ชื่อ-สกุล | 08x-xxx-xxxx | บัตร x-xxxx-xxxxx-xx-x | บัญชี xxx-x-x4417 ... ส่ง

ขั้นที่ 3 จาก 5 · จุดที่หยุดได้ง่ายที่สุด

คัดลอกตารางลูกค้าวางลงช่องแชต

NCSC ระบุว่าคำถามที่พิมพ์ลงแชตบอต AI สาธารณะ ผู้ให้บริการมองเห็นได้และเก็บไว้ และอาจถูกนำไปพัฒนาบริการ [10] ผู้ให้บริการบางรายมีคนตรวจอ่านแชตบางส่วน และเก็บแชตที่ตรวจแล้วได้นานถึง 3 ปี [17]

หยุดได้ตรงนี้: ก่อนกดวาง ถามสองข้อ เครื่องมือนี้องค์กรอนุมัติไหม และในข้อมูลมีชื่อ เบอร์ เลขบัญชี หรือความลับไหม ถ้าข้อใดไม่แน่ใจ หยุด แล้วใช้เครื่องมือที่อนุมัติหรือพรางข้อมูลก่อน

ขั้นที่ 4 จาก 5

แชร์ไฟล์แบบเปิดหรือส่งผิดคน

ช่องผู้รับเติมชื่อให้อัตโนมัติผิดคน และลิงก์ถูกตั้งเป็น "ทุกคนที่มีลิงก์" รายงาน DBIR 2026 ระบุว่าการส่งผิดผู้รับและการตั้งค่าที่เก็บข้อมูลโดยไม่คุมสิทธิ์ อยู่ในกลุ่มข้อผิดพลาดที่พบบ่อยที่สุด [15]

ข้อมูลลูกค้าอยู่นอกระบบองค์กร

ต้องประเมินความเสี่ยง และแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ

รายงาน DPO ทันที

ขั้นที่ 5 จาก 5

ข้อมูลหลุด นาฬิกา 72 ชั่วโมงเริ่มเดิน

ประกาศ สคส. นับความผิดพลาดหรืออุบัติเหตุของพนักงานเป็นการละเมิดข้อมูลด้วย [2] ถ้ามีความเสี่ยงต่อเจ้าของข้อมูล องค์กรต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ผู้ควบคุมข้อมูลที่ไม่ทำตามมาตรา 37 อาจถูกปรับทางปกครองไม่เกิน 3 ล้านบาท [1]

กดตัวเลขด้านบน ปุ่มลูกศร หรือ "เล่นอัตโนมัติ" หน้าจอทั้งหมดเป็นตัวอย่างสมมติ

สัญญาณเตือน

สัญญาณด้านล่างเป็นเหตุให้หยุดคิดหรือรายงาน ไม่ใช่หลักฐานว่าใครผิด CISA ย้ำว่าการมีสัญญาณไม่ได้แปลว่าคนนั้นเป็นภัย [8]

  • คุณกำลังจะวางตารางลูกค้า สัญญา หรือโค้ดลงแชตบอต AI ที่ล็อกอินด้วยบัญชีส่วนตัว [9][15]
  • มีคนขอให้ส่งไฟล์งานเข้าอีเมลหรือคลาวด์ส่วนตัว "เพื่อทำงานที่บ้าน" [9][15]
  • ช่องผู้รับเติมชื่อให้อัตโนมัติ หรือใส่อีเมลลูกค้าจำนวนมากในช่อง To หรือ CC [3][13]
  • ลิงก์แชร์ไฟล์ที่มีข้อมูลส่วนบุคคลตั้งเป็น "ทุกคนที่มีลิงก์" [15]
  • ผลลัพธ์จาก AI อ้างตัวเลข ระเบียบ หรือแหล่งที่หาไม่เจอในข้อมูลจริง [6][12]
  • บทสรุปที่ AI ทำให้มีคำแนะนำแปลก ๆ ที่ไม่มีในต้นฉบับ เช่น ให้ส่งข้อมูลไปที่อื่นด่วน [11][14]
  • พฤติกรรมเสี่ยงแบบตั้งใจ เช่น คัดลอกเอกสารจำนวนมากลง USB หรือยังดึงข้อมูลอ่อนไหวหลังแจ้งลาออก [8][15]

สัญญาณที่ชัดที่สุดคือความคิดว่า "ขอทางลัดครั้งเดียว" ในวินาทีที่กำลังจะวางข้อมูลลูกค้า

ของจริง หรือของปลอม

อ่านตัวอย่างแล้วตัดสินใจก่อน จากนั้นกดเปิดเฉลย จุดที่ควรสังเกตจะมีหมุดตัวเลขชี้ให้ดู

ตัวอย่างเพื่อการศึกษา — ชื่อบุคคล หน่วยงาน เบอร์ และโดเมนในตัวอย่างเป็นชื่อสมมติ

เพื่อนขอให้ส่งไฟล์เข้าอีเมลส่วนตัว

‹ต้น (เพื่อนร่วมทีม)
ส่งไฟล์รายชื่อลูกค้ามาที่อีเมลส่วนตัวพี่หน่อย ton.work@personal-mail.example คืนนี้จะทำต่อที่บ้าน ระบบบริษัทช้า ไม่ต้องบอกหัวหน้านะ เดี๋ยวเรื่องยาว

บทสรุปอีเมลจากผู้ช่วย AI

ประกาศจากฝ่าย IT เรื่องเครื่องมือ AI

3 ลองเลือก

สถานการณ์จำลอง เพื่อนชวนใช้ทางลัดตอนงานเร่ง

ตัวอย่างเพื่อการศึกษา — ชื่อบุคคล หน่วยงาน เบอร์ และโดเมนในตัวอย่างเป็นชื่อสมมติ

งานต้องส่งภายในบ่ายสอง เพื่อนร่วมทีมทักมาในแชตงาน เลือกคำตอบที่คุณจะตอบจริง ๆ ชื่อ บริษัท และเครื่องมือในสถานการณ์นี้เป็นเรื่องสมมติ

ต้น (เพื่อนร่วมทีม)

แชทเข้า

    ลองตอบ

    1. ข้อใดวางลงแชตบอต AI สาธารณะได้ปลอดภัยที่สุด
    2. บทสรุปจากผู้ช่วย AI บอกให้ส่งรายชื่อลูกค้าไปที่อีเมลภายนอกภายในวันนี้ ควรทำอย่างไร
    3. ส่งไฟล์เงินเดือนผิดคนแล้วรู้ตัวภายใน 5 นาที สิ่งที่ควรทำคือ

    4 วิธีรับมือ

    วิธีป้องกัน

    เลือกเครื่องมือให้ถูก ใช้เฉพาะเครื่องมือ AI ที่องค์กรอนุมัติ และอ่านนโยบายการใช้ AI ขององค์กร [6] ถ้าเครื่องมือไม่พอ ให้ขอผ่านช่องทางปกติแทนการใช้ของส่วนตัว [9]

    รู้ว่าอะไรห้ามวาง อย่าใส่ข้อมูลลูกค้า ข้อมูลส่วนบุคคล สัญญา ซอร์สโค้ด รหัสผ่าน หรือคีย์ ลงแชตบอต AI สาธารณะ [10][15][17] ถ้าจำเป็นต้องใช้ ให้ลบหรือพรางข้อมูลที่ระบุตัวคนก่อน [10][24]

    ตรวจผลลัพธ์ทุกครั้ง แนวทางของ ETDA กำหนดให้ผู้ใช้ตรวจผลลัพธ์ก่อนนำไปใช้ และรายงานผู้บังคับบัญชาเมื่อเกิดข้อผิดพลาด [6] เทียบตัวเลขกับต้นฉบับ เพราะยิ่งเชื่อเครื่องมาก ข้อมูลที่ AI แต่งขึ้นยิ่งสร้างความเสียหาย [12]

    รู้ทันคำสั่งแฝง เอกสารหรืออีเมลจากภายนอกอาจมีคำสั่งซ่อนที่คนมองไม่เห็นแต่ AI อ่านได้ [12][14] อย่าทำตามคำแนะนำที่โผล่เฉพาะในบทสรุปของ AI และอย่าให้ผู้ช่วย AI ส่งอีเมลหรือแชร์ไฟล์เองโดยไม่มีคนอนุมัติ [11][14]

    ส่งและแชร์อย่างระวัง ตรวจผู้รับก่อนกดส่ง ปิดการเติมชื่ออัตโนมัติหรือหน่วงเวลาส่ง และอย่าพึ่ง BCC อย่างเดียวกับข้อมูลอ่อนไหว [13] แชร์แบบระบุชื่อคน ตั้งวันหมดอายุ และพรางข้อมูลก่อนเผยแพร่ เช่น มาตรการ X5 ของ สคส. ที่แทนเลขบัตรประชาชนด้วย X อย่างน้อย 5 ตัว [4][15]

    สำหรับผู้บริหาร ให้สิทธิ์เท่าที่จำเป็น ทบทวนกิจกรรมเมื่อคนที่เข้าถึงข้อมูลอ่อนไหวลาออก และมีช่องทางรายงานที่เป็นความลับ [8][15] กฎหมายกำหนดให้ผู้ควบคุมข้อมูลมีมาตรการรักษาความปลอดภัยที่เหมาะสม [1]

    ถ้าพลาดไปแล้ว ทำอะไรก่อน

    1. หยุดความเสียหายทันที เรียกคืนอีเมลหรือขอให้ผู้รับลบและยืนยัน ยกเลิกลิงก์แชร์ และลบแชตกับ AI แต่รู้ไว้ว่าข้อมูลที่ส่งไปแล้วอาจถูกเก็บต่อ [2][13][17]
    2. รายงานทันทีผ่านหัวหน้า ฝ่าย IT หรือ DPO บอกว่าส่งอะไร ไปที่ไหน เมื่อไร ถึงใคร อย่ารอหรือแก้เงียบ ๆ [2][6]
    3. ให้องค์กรประเมินความเสี่ยง ถ้ามีความเสี่ยงต่อเจ้าของข้อมูล ผู้ควบคุมข้อมูลต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ถ้าเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย [1] ถ้าแจ้งช้าต้องชี้แจงเหตุผลภายใน 15 วัน [2]
    4. DPO แจ้ง สคส. ผ่านช่องทางทางการ ประกาศ สคส. ปี 2568 กำหนดให้แจ้งทางอีเมล saraban@pdpc.or.th ควรตรวจช่องทางล่าสุดบน pdpc.or.th ก่อนส่ง [3]
    5. ถ้าสงสัยว่าเพื่อนร่วมงานตั้งใจนำข้อมูลออก อย่าสืบ เผชิญหน้า หรือแอบดูข้อมูลของเขาเอง ให้รายงานสิ่งที่เห็นผ่านช่องทางลับขององค์กร ซึ่งต้องปกป้องทั้งสองฝ่าย [8]

    การไม่โทษกันไม่ได้แปลว่าไม่ต้องรับผิดชอบ แต่องค์กรที่โทษคนรายงานจะไม่ได้ยินเรื่องผิดพลาดอีก [8][9]

    ข้อผิดพลาดที่พบบ่อย

    • คิดว่าลบแชตแล้วข้อมูลหายไปด้วย ผู้ให้บริการบางรายเก็บแชตที่ผ่านการตรวจไว้ได้นานถึง 3 ปี แม้ผู้ใช้ลบประวัติแล้ว [17]
    • เชื่อตัวเลขจาก AI เพราะเขียนมาอย่างมั่นใจ AI สร้างข้อมูลที่ฟังน่าเชื่อแต่ไม่จริงได้ [6][12]
    • แก้เงียบ ๆ แทนการรายงาน ความผิดพลาดของพนักงานนับเป็นการละเมิดข้อมูลได้ และองค์กรมีกรอบแจ้งเพียง 72 ชั่วโมง [1][2]
    • ตั้งตัวเป็นนักสืบเมื่อสงสัยเพื่อน สัญญาณเตือนไม่ใช่หลักฐาน ให้รายงานผ่านช่องทางที่ถูกต้องแทน [8]
    • คิดว่าภัยจากคนในคือคนร้ายเท่านั้น เคสภายในจำนวนมากเกิดจากความผิดพลาดและทางลัดของคนทั่วไป [7][15]

    ใช้ในชีวิตจริงและที่ทำงาน

    ที่ทำงาน ตั้งนิสัยสองคำถามก่อนวางข้อมูลลงเครื่องมือใด ๆ คือ "องค์กรอนุมัติไหม" และ "มีข้อมูลลูกค้าหรือความลับไหม" ถ้าบทสรุปจาก AI บอกให้ส่งข้อมูลออก ให้เปิดต้นฉบับดูเองและส่งต่อให้ฝ่าย IT [11][14]

    สำหรับผู้บริหาร ถ้าพนักงานแอบใช้ AI ส่วนตัว แปลว่าเครื่องมือที่มีไม่ตอบโจทย์ NCSC แนะนำให้หาเครื่องมือทดแทนและทำให้การขอใช้ง่าย แทนการห้ามแล้วลงโทษ [9] และควรกำหนดนโยบายให้ชัดว่าข้อมูลแบบไหนใช้กับ AI ได้ [6]

    ที่บ้าน อย่าวางสำเนาบัตรประชาชน ผลตรวจสุขภาพ หรือสลิปเงินเดือนลงแชตบอต AI สาธารณะ เพราะสิ่งที่พิมพ์ลงไปอาจถูกเก็บและถูกคนตรวจอ่าน [10][17]

    ถ้าแหล่งข้อมูลเห็นต่าง

    • เพดานค่าปรับตาม PDPA ตัวบทมาตรา 83 ให้ปรับทางปกครองไม่เกิน 3 ล้านบาทกรณีไม่ทำตามมาตรา 37 [1] ข่าวบางแห่งเขียนกว้าง ๆ ว่า "1–5 ล้านบาท" ให้ยึดตัวบท ส่วนคำสั่งปรับ 7 ล้านบาทที่เป็นข่าวเกิดจากหลายข้อหารวมกัน [21]
    • สัดส่วนคนในของ DBIR ลดจาก 18% เหลือ 12% รายงานระบุว่าส่วนหนึ่งเกิดจากการเปลี่ยนผู้ให้ข้อมูล จึงไม่ควรตีความว่าภัยจากคนในลดลงจริง [15]
    • สถิติไทยที่มาจากข่าว ข่าวรายงานว่าถึง 12 มิ.ย. 2567 มีการแจ้งเหตุละเมิดต่อ สคส. 564 เรื่อง สาเหตุมากที่สุดคือความผิดพลาดของคน 203 เรื่อง แต่ยังไม่พบเอกสารต้นฉบับของ สคส. [22] ข่าวอีกชิ้นรายงานกรณีเวชระเบียนโรงพยาบาลเอกชนหลุดไปเป็นถุงขนมเพราะผู้รับจ้างทำลายเอกสารไม่ถูกขั้นตอน [20] ใช้เป็นภาพประกอบได้ แต่ยังไม่ใช่ข้อมูลทางการ
    • ตัวเลขต้นทุนจาก shadow AI ข่าวประชาสัมพันธ์ของ IBM ปี 2025 ระบุว่า 20% ขององค์กรรายงานการรั่วไหลจาก shadow AI [16] ส่วนตัวเลขปี 2026 ที่ 43% มาจากแหล่งรองและใช้ตัวหารต่างกัน [19] บทนี้จึงไม่ใช้เป็นตัวเลขหลัก
    • ป้องกันคำสั่งแฝงได้แค่ไหน OWASP ให้มาตรการลดความเสี่ยง ส่วน NCSC เตือนว่าอาจแก้ไม่ได้ทั้งหมด ทั้งสองแหล่งตรงกันว่าไม่มีวิธีป้องกัน 100% [11][14]
    • หลักฐานในไทยยังบาง ยังไม่พบคำสั่งลงโทษในไทยที่ยืนยันว่าเกิดจากการวางข้อมูลลงแชตบอต AI และไม่มีสถิติทางการแยกเคสคนในที่ตั้งใจขโมยข้อมูล [23]

    5 จำให้ได้

    ทำได้วันนี้

    ติ๊กแล้วจำไว้ในเครื่องนี้เท่านั้น

    ประโยคจำง่าย

    ข้อมูลลูกค้า ไม่วางลงแชตบอตฟรี
    จากบท ภัยจากคนในและการใช้ AI
    พลาดแล้วรีบบอก ดีกว่าแอบเก็บเงียบ
    จากบท ภัยจากคนในและการใช้ AI
    AI ตอบมา ตรวจก่อนใช้ทุกครั้ง
    จากบท ภัยจากคนในและการใช้ AI

    คำศัพท์ในบทนี้

    ภัยจากคนใน (insider threat)
    โอกาสที่คนซึ่งมีหรือเคยมีสิทธิ์เข้าถึงข้อมูลขององค์กร เช่น พนักงาน ผู้รับเหมา หรือผู้ขาย จะทำให้เกิดความเสียหาย ทั้งแบบตั้งใจและไม่ตั้งใจ [7]
    Shadow IT และ Shadow AI
    เครื่องมือที่ใช้ทำงานแต่องค์กรไม่รู้หรือไม่ได้ดูแล เช่น คลาวด์ส่วนตัว หรือแชตบอต AI ที่ใช้กับข้อมูลองค์กรโดยไม่ได้รับอนุมัติ [9]
    AI แต่งข้อมูล (confabulation หรือ hallucination)
    การที่ AI สร้างคำตอบที่ฟังน่าเชื่อแต่ไม่ถูกต้อง เช่น ตัวเลขหรือระเบียบที่ไม่มีอยู่จริง [6][12]
    เชื่อระบบอัตโนมัติเกินควร (automation bias)
    แนวโน้มที่คนเชื่อผลจากระบบอัตโนมัติโดยไม่ตรวจ ซึ่งทำให้ความเสียหายจากข้อมูลที่ AI แต่งขึ้นรุนแรงกว่าเดิม [12]
    คำสั่งแฝง (prompt injection)
    ข้อความที่ซ่อนอยู่ในเอกสาร อีเมล หรือหน้าเว็บ คนอาจมองไม่เห็น แต่ AI อ่านแล้วอาจทำตาม [12][14]
    ส่งผิดผู้รับ (misdelivery)
    การส่งข้อมูลไปถึงคนที่ไม่ควรได้รับ เช่น ช่องผู้รับเติมอัตโนมัติผิดคน เป็นข้อผิดพลาดที่พบบ่อยที่สุดแบบหนึ่ง [15]

    ดูอภิธานศัพท์ทั้งเว็บ

    แหล่งอ้างอิง

    ตรวจทานล่าสุด 29 ต.ค. 2569 · ระดับความมั่นใจของเนื้อหา: สูง

    1. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (ราชกิจจานุเบกษา เล่ม 136 ตอนที่ 69 ก) — รัฐสภา/ราชกิจจานุเบกษา, 2019-05-27 · ระดับแหล่ง 1 (lawdivision.kku.ac.th)
    2. ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565 (ราชกิจจานุเบกษา เล่ม 139 ตอนพิเศษ 292 ง) — คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล, 2022-12-15 · ระดับแหล่ง 1 (lawdivision.kku.ac.th)
    3. คู่มือแนวทางการประเมินความเสี่ยงและแจ้งเหตุละเมิดข้อมูลส่วนบุคคล มหาวิทยาลัยขอนแก่น (รวมประกาศ สคส. เรื่องช่องทางอิเล็กทรอนิกส์ในการแจ้งเหตุฯ พ.ศ. 2568) — มหาวิทยาลัยขอนแก่น, 2025-04 · ระดับแหล่ง 3 (lawdivision.kku.ac.th)
    4. PDPC จับมือ กรมส่งเสริมการปกครองส่วนท้องถิ่น เร่งใช้มาตรการ X5 ปิดช่องทางข้อมูลรั่วไหล — สคส. (PDPC), 2024-02-22 · ระดับแหล่ง 1 (pdpc.or.th)
    5. Generative AI Governance Guideline for Organizations (แนวทางการประยุกต์ใช้ Generative AI อย่างมีธรรมาภิบาลสำหรับองค์กร) Vol.1 — ETDA ศูนย์ AIGC / กระทรวงดีอี, 2024-10-30 · ระดับแหล่ง 1 (library.ipst.ac.th)
    6. Defining Insider Threats — CISA · ระดับแหล่ง 2 (cisa.gov)
    7. Insider Threat Mitigation Guide — CISA, 2020-11 · ระดับแหล่ง 2 (cisa.gov)
    8. Shadow IT — NCSC UK, 2023-07-27 · ระดับแหล่ง 2 (ncsc.gov.uk)
    9. ChatGPT and large language models: what's the risk? — NCSC UK, 2023-03-14 · ระดับแหล่ง 2 (ncsc.gov.uk)
    10. Prompt injection is not SQL injection (it may be worse) — NCSC UK, 2025-12-08 · ระดับแหล่ง 2 (ncsc.gov.uk)
    11. NIST AI 600-1 Artificial Intelligence Risk Management Framework: Generative AI Profile — NIST, 2024-07 · ระดับแหล่ง 2 (nvlpubs.nist.gov)
    12. Email and security — ICO (UK), 2023-08-30 · ระดับแหล่ง 2 (ico.org.uk)
    13. LLM01:2025 Prompt Injection — OWASP GenAI Security Project · ระดับแหล่ง 3 (genai.owasp.org)
    14. 2026 Data Breach Investigations Report — Verizon, 2026-05-20 · ระดับแหล่ง 3 (verizon.com)
    15. IBM Report: 13% Of Organizations Reported Breaches Of AI Models Or Applications, 97% Of Which Reported Lacking Proper AI Access Controls — IBM Newsroom, 2025-07-30 · ระดับแหล่ง 3 (newsroom.ibm.com)
    16. Gemini Apps Privacy Hub — Google, 2026-10-26 · ระดับแหล่ง 3 (support.google.com)
    17. Ten Takeaways from IBM's 2026 Cost of a Data Breach Report — Baker Donelson, 2026-07-30 · ระดับแหล่ง 4 (bakerdonelson.com)
    18. สคส. เข้มเดินหน้าบังคับใช้ PDPA ลงโทษปรับหน่วยงานที่ปล่อยข้อมูลประชาชนรั่วไหล ไม่เว้นทั้งภาครัฐ-ภาคเอกชน — ไทยโพสต์, 2025-08-01 · ระดับแหล่ง 4 (thaipost.net)
    19. สคส.ประเดิมสั่งปรับ 7 ลบ.บริษัทเอกชนปล่อยข้อมูลลูกค้ากว่าแสนรายรั่วไปถึงแก๊งคอลเซ็นเตอร์ — InfoQuest, 2024-08-21 · ระดับแหล่ง 4 (infoquest.co.th)
    20. PDPC เร่งทำงานเชิงรุก อุดข้อมูลรั่วไหลใกล้เป็นศูนย์ มุ่งเป้าพบเห็น-การซื้อขายข้อมูล — ไทยโพสต์, 2024-06-21 · ระดับแหล่ง 4 (thaipost.net)
    21. สคส. เปิดสถิติตรวจสอบเชิงรุก PDPA เผย 6 เดือน ตรวจแล้วกว่า 5.9 แสนหน่วย (URL) ลุยแก้ปัญหาข้อมูลรั่วไหลครบ 100% — ไทยโพสต์, 2026-04-10 · ระดับแหล่ง 4 (thaipost.net)
    22. ThaiCERT เตือนช่องโหว่แชตบอต AI ที่อาจทำให้ข้อมูลรั่ว (ข่าว) — ฐานเศรษฐกิจ (อ้าง ThaiCERT), 2026-04-01 · ระดับแหล่ง 4 (thansettakij.com)
    23. สกมช. เตือนองค์กรใช้ AI ไม่ระวังเสี่ยงข้อมูลรั่วไหล (ข่าว) — กรุงเทพธุรกิจ · ระดับแหล่ง 4 (bangkokbiznews.com)

    หน้าที่แจ้งเหตุ 72 ชั่วโมงอ่านจากตัวบทกฎหมาย และคำแนะนำเรื่องคนในกับ AI มาจาก CISA, NCSC, NIST และ ETDA โดยตรง ส่วนสถิติไทยมาจากข่าวจึงใช้เฉพาะในหัวข้อที่แหล่งเห็นต่าง

    เนื้อหาเพื่อการศึกษา ไม่ใช่คำแนะนำทางกฎหมายหรือการเงินเฉพาะบุคคล ตัวอย่างข้อความ ชื่อบุคคล หน่วยงาน และโดเมนในแบบฝึกเป็นชื่อสมมติ · เนื้อหาตรวจทานตามนโยบายเนื้อหา

    บทที่เกี่ยวข้อง