คำตอบสั้น
เช็กลิสต์ความปลอดภัยข้อมูล 10 ข้อก่อนนำ AI มาใช้ในงาน อปท. ครอบคลุมสิทธิ์เข้าถึง ข้อมูลส่วนบุคคล ผู้ตรวจทาน และการบันทึกการใช้งาน
ก่อนให้ AI เข้ามาแตะข้อมูลของหน่วยงาน ต้องตอบสามคำถามหลักให้ได้ก่อน คือ ข้อมูลชุดนี้ใครเข้าถึงได้บ้าง ข้อมูลจะไปอยู่ที่ไหนเมื่อส่งเข้าเครื่องมือ และใครเป็นผู้ตรวจผลลัพธ์ก่อนนำไปใช้ ถ้ายังตอบไม่ครบสามข้อ ควรเริ่มจากงานที่ไม่มีข้อมูลส่วนบุคคลก่อน
หลักคิดพื้นฐาน: แยกข้อมูลออกเป็นสามกลุ่ม
- กลุ่มที่ 1 ข้อมูลสาธารณะ เช่น คู่มือประชาชน ประกาศ ระเบียบ และข้อมูลติดต่อหน่วยงาน กลุ่มนี้ใช้กับ AI ได้ค่อนข้างอิสระ และเป็นจุดเริ่มต้นที่ปลอดภัยที่สุด
- กลุ่มที่ 2 ข้อมูลภายในที่ไม่ระบุตัวบุคคล เช่น สถิติเรื่องร้องเรียนรายเดือน จำนวนงานค้าง และแนวโน้มการใช้บริการ ใช้ได้เมื่อมีการอนุมัติภายในและตกลงขอบเขตชัดเจน
- กลุ่มที่ 3 ข้อมูลส่วนบุคคลและข้อมูลอ่อนไหว เช่น เลขบัตรประชาชน ข้อมูลสุขภาพ ข้อมูลรายได้ และรายละเอียดผู้ร้องเรียน กลุ่มนี้ต้องมีมาตรการเฉพาะและไม่ควรส่งเข้าเครื่องมือภายนอกที่หน่วยงานไม่ได้ควบคุม
การแยกสามกลุ่มนี้ทำให้ทีมงานตัดสินใจหน้างานได้เร็ว โดยไม่ต้องถามหัวหน้าทุกครั้ง
เช็กลิสต์ 10 ข้อก่อนเริ่ม
- ระบุได้ว่าข้อมูลที่จะใช้อยู่ในกลุ่มใดจากสามกลุ่มข้างต้น
- มีรายชื่อผู้มีสิทธิ์เข้าถึงข้อมูลชุดนั้น และรายชื่อนี้ถูกทบทวนภายในหนึ่งปีที่ผ่านมา
- รู้ว่าข้อมูลถูกเก็บที่ใดเมื่อส่งเข้าเครื่องมือ และเก็บไว้นานเท่าใด
- มีข้อตกลงหรือเงื่อนไขการใช้งานของเครื่องมือที่ผู้รับผิดชอบได้อ่านแล้วจริง
- กำหนดชัดว่าข้อมูลประเภทใดห้ามพิมพ์ลงเครื่องมือเด็ดขาด และสื่อสารให้ทีมทราบเป็นลายลักษณ์อักษร
- มีผู้ตรวจทานผลลัพธ์ก่อนนำไปใช้ทุกครั้ง โดยระบุตำแหน่งงานได้
- ผลลัพธ์ทุกชิ้นอ้างอิงกลับไปยังเอกสารต้นทางได้
- มีการบันทึกว่าใครใช้เครื่องมือกับงานใดเมื่อใด เพื่อให้ตรวจสอบย้อนหลังได้
- มีขั้นตอนรับมือเมื่อเกิดเหตุข้อมูลรั่วไหลหรือผลลัพธ์ผิดพลาดจนกระทบประชาชน
- มีรอบทบทวนอย่างน้อยทุกไตรมาสว่าการใช้งานยังอยู่ในขอบเขตที่ตกลงไว้
ข้อผิดพลาดที่พบบ่อยที่สุด
ข้อผิดพลาดอันดับหนึ่งคือการคัดลอกเอกสารทั้งฉบับที่มีข้อมูลผู้ยื่นคำร้องลงเครื่องมือ เพื่อขอให้ช่วยสรุป ทั้งที่สามารถลบชื่อ เลขบัตร และที่อยู่ออกก่อนได้โดยไม่กระทบผลสรุป
อันดับสองคือการเชื่อผลลัพธ์โดยไม่ตรวจ โดยเฉพาะตัวเลข วันที่ และการอ้างอิงระเบียบ ซึ่งเป็นจุดที่ผิดพลาดได้และตรวจง่ายที่สุด
อันดับสามคือการไม่มีบันทึกการใช้งาน ทำให้เมื่อมีข้อสงสัยภายหลัง หน่วยงานตอบไม่ได้ว่าเอกสารฉบับนั้นถูกจัดทำอย่างไร
เริ่มต้นอย่างปลอดภัย 3 ขั้นตอน
- เริ่มจากข้อมูลกลุ่มที่ 1 เท่านั้นในเดือนแรก เช่น ใช้ช่วยร่างคำตอบคำถามที่พบบ่อยจากคู่มือประชาชน ไม่มีความเสี่ยงด้านข้อมูลส่วนบุคคล
- เขียนกติกาหนึ่งหน้าและติดไว้ให้เห็น ระบุสิ่งที่ทำได้ สิ่งที่ห้าม และชื่อผู้ตรวจทาน กติกาที่สั้นและอ่านง่ายถูกปฏิบัติตามมากกว่าเอกสารยาว
- ทบทวนหลังใช้จริงหนึ่งเดือน เก็บกรณีที่เกือบผิดพลาดมาปรับกติกา แล้วจึงพิจารณาขยายไปข้อมูลกลุ่มที่ 2
แนวทางนี้ทำให้หน่วยงานได้ประโยชน์จาก AI โดยที่ความเสี่ยงยังอยู่ในระดับที่อธิบายต่อผู้ตรวจสอบได้
คำถามที่พบบ่อย
ถ้าใช้เครื่องมือฟรี ความเสี่ยงต่างจากเครื่องมือที่จ่ายเงินอย่างไร
สิ่งที่ต่างคือเงื่อนไขการนำข้อมูลไปใช้และระดับการควบคุมที่หน่วยงานมี ควรอ่านเงื่อนไขการใช้งานก่อนเสมอ และไม่ว่าจะเป็นแบบใด ข้อมูลกลุ่มที่ 3 ก็ยังไม่ควรส่งเข้าเครื่องมือที่หน่วยงานไม่ได้ควบคุม
ต้องขอความยินยอมจากประชาชนก่อนหรือไม่
ขึ้นกับว่าใช้ข้อมูลอะไรและใช้เพื่อวัตถุประสงค์ใด หากเป็นการประมวลผลข้อมูลส่วนบุคคล ควรหารือผู้รับผิดชอบด้านการคุ้มครองข้อมูลของหน่วยงานก่อนเริ่ม บทความนี้เป็นแนวทางปฏิบัติทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย
บทสรุป
ก่อนนำ AI มาใช้กับงาน อปท. ให้แยกข้อมูลเป็นสามกลุ่ม เริ่มจากข้อมูลสาธารณะก่อน ตอบให้ได้ว่าใครเข้าถึงอะไร ข้อมูลไปอยู่ที่ไหน และใครตรวจก่อนใช้ แล้วทบทวนการใช้งานเป็นรอบ
อ่านต่อ: Checklist 10 ข้อ: หน่วยงานพร้อมเริ่มใช้ AI แล้วหรือยัง และ ลดเวลาค้นหาเอกสารราชการด้วย e-Document และ AI อย่างปลอดภัย
