7 ข้อมูลที่ “ไม่ควร” ให้ AI รู้

เมื่อครู่นี้ ผู้เขียนได้อ่านข้อมูลเกี่ยวกับโครงการ TH-AI Passport แล้วก็อดนึกไม่ได้ว่า ในวันที่คนไทยกำลังจะเข้าถึงเครื่องมือ Generative AI ระดับสูงได้ง่ายขึ้น สิ่งที่ควรเรียนรู้ควบคู่กันไปอาจไม่ใช่เพียง “เขียน Prompt อย่างไรให้ได้คำตอบดี” แต่คือ “อะไรที่เราไม่ควรบอก AI”

เรื่องนี้สำคัญมาก โดยเฉพาะสำหรับคนวัยทำงาน ผู้ประกอบการ หรือผู้ที่ต้องจัดการเอกสารสำคัญ เพราะ AI อาจช่วยเราสรุปเอกสาร เขียนงาน วิเคราะห์ข้อมูล หรือคิดเนื้อหาได้อย่างรวดเร็ว แต่ไม่ได้หมายความว่า ข้อมูลทุกอย่างที่เราอยากให้ AI ช่วยอ่าน ควรถูกส่งเข้าไปทั้งหมด

ยิ่งในช่วงที่ TH-AI Passport กำลังได้รับความสนใจ เรื่องความปลอดภัยของข้อมูลจึงเป็นสิ่งที่ควรทำความเข้าใจให้ชัดเจน

แล้ว TH-AI Passport ปลอดภัยหรือไม่?

ต้องแยกให้ออกก่อนว่า “ความปลอดภัยของโครงการ” กับ “ข้อมูลที่ผู้ใช้ป้อนเข้า AI” เป็นคนละเรื่องกัน

ข้อมูลจากกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมระบุว่า TH-AI Passport ออกแบบให้ข้อมูลส่วนบุคคลและข้อมูลพฤติกรรมการใช้งานของโครงการจัดเก็บและประมวลผลภายในประเทศไทย และดำเนินการภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคล รวมถึงมีการคัดกรองและปกปิดข้อมูลส่วนบุคคลหรือข้อมูลอ่อนไหวก่อนส่ง Prompt รวมถึงไฟล์ภาพ เสียง และข้อมูลต่าง ๆ ไปประมวลผลกับผู้ให้บริการ AI ต่างประเทศ

ก่อนหน้านี้ กระทรวงดีอียังชี้แจงว่า ข้อมูลผู้ใช้และ Prompt จะจัดเก็บบนระบบคลาวด์ภายในประเทศไทย และผู้ให้บริการ AI จะไม่สามารถนำข้อมูลดังกล่าวไปใช้ฝึก AI ของตนเองได้

พูดง่าย ๆ คือ โครงการมีมาตรการด้านความปลอดภัยของระบบอยู่ แต่ผู้ใช้ก็ยังมีหน้าที่ต้องระมัดระวังข้อมูลที่ตนเองป้อนเข้าไป

เพราะต่อให้ระบบมีมาตรการป้องกันดีเพียงใด หลักการสำคัญของการใช้ AI อย่างปลอดภัยก็ยังเหมือนเดิม นั่นคือ อย่าส่งข้อมูลที่ไม่จำเป็นเข้าไปตั้งแต่แรก

และนี่คือ 7 กลุ่มข้อมูลที่ผู้เขียนเห็นว่า ควรระวังเป็นพิเศษ

1. Password, PIN และ OTP

เรื่องแรกจำง่ายที่สุด

รหัสผ่าน, PIN, OTP, Recovery Code หรือรหัสสำหรับยืนยันตัวตน ไม่ควรนำไปป้อนให้ AI

ไม่ว่าจะมีใครบอกว่า “ส่งมาให้ AI ตรวจสอบ” หรือ “ใช้เพื่อยืนยันบัญชี” ก็ตาม ควรหยุดและตรวจสอบให้แน่ใจก่อน

รหัสเหล่านี้เป็นข้อมูลที่ใช้เพื่อเข้าถึงบัญชีหรือยืนยันตัวตน จึงไม่มีเหตุผลที่จะต้องนำไปให้ AI ช่วยวิเคราะห์ในงานทั่วไป

จำง่าย ๆ ว่า รหัสผ่านเป็นความลับ ไม่ใช่ข้อมูลสำหรับทดลองกับ AI

2. เลขบัตรประชาชนและข้อมูลที่ระบุตัวเราได้

เลขบัตรประชาชน หนังสือเดินทาง ใบขับขี่ ที่อยู่ เบอร์โทรศัพท์ อีเมล วันเดือนปีเกิด หรือข้อมูลอื่น ๆ ที่สามารถเชื่อมโยงกลับมาหาตัวบุคคลได้ ก็ควรระมัดระวัง

หากต้องการให้ AI ช่วยสรุปเอกสารจริง ๆ ก็ไม่จำเป็นต้องส่งเอกสารทั้งฉบับแบบไม่ปิดบังข้อมูล

ตัวอย่างเช่น เปลี่ยนชื่อเป็น “บุคคล A” ลบเลขประจำตัว ลบเบอร์โทรศัพท์ และตัดข้อมูลส่วนที่ไม่เกี่ยวข้องออกก่อน

เพราะถ้า AI ต้องการเพียงเนื้อหาของเอกสาร การรู้ว่าเอกสารนั้นเป็นของใครก็อาจไม่จำเป็นตั้งแต่แรก

3. เลขบัตรเครดิตและข้อมูลบัญชีธนาคาร

อีกเรื่องที่ควรระวังอย่างมากคือข้อมูลทางการเงิน

ไม่ว่าจะเป็นหมายเลขบัตรเครดิต วันหมดอายุ CVV เลขบัญชี ข้อมูล Internet Banking หรือข้อมูลที่ใช้ยืนยันธุรกรรม

หากต้องการให้ AI วิเคราะห์รายรับรายจ่ายจริง ๆ เราสามารถตัดข้อมูลส่วนตัวออก แล้วเหลือเฉพาะสิ่งที่จำเป็น เช่น

วันที่ – ประเภทรายการ – จำนวนเงิน

เพียงเท่านี้ AI ก็สามารถช่วยจัดหมวดหมู่หรือวิเคราะห์ค่าใช้จ่ายได้แล้ว โดยไม่จำเป็นต้องรู้เลขบัญชีหรือข้อมูลบัตรของเรา

4. เอกสารลับของบริษัท

ข้อนี้คนทำงานควรระวังเป็นพิเศษ

บางคนอาจคิดว่า “มี AI ช่วยแล้ว เอาไฟล์นี้ไปให้มันสรุปเลยดีกว่า”

แต่ก่อนกด Upload ควรถามตัวเองก่อนว่า เอกสารนั้นมีข้อมูลภายในบริษัทหรือไม่ มีรายชื่อลูกค้าหรือไม่ มีตัวเลขยอดขายหรือไม่ มีแผนธุรกิจที่ยังไม่เปิดเผยหรือไม่ มี Source Code หรือข้อมูลที่อยู่ภายใต้สัญญารักษาความลับหรือไม่

หากคำตอบคือมี อย่าเพิ่งส่งเข้า AI จนกว่าจะตรวจสอบนโยบายของบริษัทและเงื่อนไขการจัดการข้อมูลของบริการนั้นเสียก่อน

เพราะข้อมูลที่เป็นความลับทางธุรกิจอาจมีมูลค่ามหาศาล และบางครั้งความเสียหายจากข้อมูลหลุดไม่ได้จบเพียงเรื่องความเป็นส่วนตัว แต่อาจกระทบทั้งบริษัทและคู่ค้าได้

5. ข้อมูลส่วนบุคคลของ “คนอื่น”

เรื่องนี้หลายคนอาจนึกไม่ถึง

เรามักระวังข้อมูลของตัวเอง แต่กลับลืมว่า ข้อมูลของผู้อื่นก็มีความสำคัญเช่นกัน

ตัวอย่างเช่น รายชื่อลูกค้า ประวัติพนักงาน Resume ของผู้สมัครงาน เบอร์โทรศัพท์ อีเมล หรือบทสนทนาส่วนตัว

ก่อนนำข้อมูลเหล่านี้ไปให้ AI วิเคราะห์ ควรพิจารณาว่าเรามีสิทธิหรือความจำเป็นในการนำข้อมูลนั้นไปประมวลผลหรือไม่

หลักง่าย ๆ ที่ผู้เขียนชอบคือ

ถ้าเจ้าของข้อมูลมาเห็นสิ่งที่เราใส่ลงไป แล้วเราต้องนั่งอธิบายอย่างลำบากว่าทำไมถึงเอาข้อมูลของเขามาใส่ ก็ควรหยุดคิดก่อน

6. ข้อมูลสุขภาพและเรื่องส่วนตัวที่ละเอียดอ่อน

AI มีประโยชน์ในการช่วยอธิบายศัพท์ทางสุขภาพ ช่วยเรียบเรียงคำถาม หรือให้ข้อมูลทั่วไปได้ แต่ไม่ได้หมายความว่าเราต้องส่งประวัติการรักษาทั้งหมด ผลตรวจ เอกสารจากโรงพยาบาล หรือข้อมูลที่สามารถระบุตัวบุคคลได้เข้าไปทั้งหมด

หากต้องการใช้ AI ช่วยทำความเข้าใจข้อมูล ควรตัดข้อมูลที่ระบุตัวบุคคลออกเท่าที่ทำได้

และที่สำคัญ อย่าใช้คำตอบจาก Generative AI แทนการวินิจฉัยหรือคำแนะนำจากแพทย์และผู้เชี่ยวชาญ

7. ความลับที่ยังไม่เปิดเผย แม้ไม่มีข้อมูลส่วนตัว

ข้อนี้สำคัญและหลายคนมักมองข้าม

ข้อมูลที่ต้องปกป้องไม่ได้มีเพียงเลขบัตรประชาชนหรือเลขบัญชีเท่านั้น

สมมุติบริษัทกำลังจะเปิดตัวสินค้าใหม่ในอีก 3 เดือน มีราคาขายที่ยังไม่เปิดเผย หรือกำลังเตรียมข้อเสนอพิเศษสำหรับลูกค้ารายสำคัญ

ข้อมูลเหล่านี้อาจไม่มีชื่อหรือเลขบัตรประชาชนเลย แต่ก็ยังเป็น ข้อมูลลับทางธุรกิจ

ดังนั้น หากเป็นข้อมูลที่บริษัทหรือเจ้าของข้อมูลยังไม่ต้องการให้สาธารณชนรับรู้ ก็ควรถือว่าเป็นข้อมูลที่ต้องระวังเช่นกัน

แล้วถ้าจำเป็นต้องใช้ AI กับข้อมูลจริง ทำอย่างไร?

ไม่จำเป็นต้องถึงขั้นกลัว AI จนไม่กล้าใช้ เพราะเราสามารถลดความเสี่ยงได้ด้วยวิธีง่าย ๆ

หนึ่ง ลบชื่อ เบอร์โทรศัพท์ อีเมล เลขบัตรประชาชน และข้อมูลระบุตัวตนที่ไม่จำเป็น

สอง ใช้ข้อมูลสมมติ หากต้องการให้ AI ช่วยสร้างรูปแบบเอกสารหรือทดลองวิเคราะห์

สาม ส่งเฉพาะข้อมูลที่จำเป็น ไม่จำเป็นต้อง Upload เอกสารทั้งเล่ม หากต้องการให้ AI อ่านเพียงหนึ่งหน้า

สี่ อ่านนโยบายความเป็นส่วนตัวและเงื่อนไขการจัดการข้อมูลของบริการ AI ที่กำลังใช้งาน

ห้า หากเป็นข้อมูลจากที่ทำงาน ต้องตรวจสอบนโยบายขององค์กรก่อนเสมอ

แนวทางนี้สอดคล้องกับคำเตือนด้านความปลอดภัยของ OWASP ซึ่งจัด “Sensitive Information Disclosure” หรือการเปิดเผยข้อมูลอ่อนไหว เป็นหนึ่งในความเสี่ยงสำคัญของระบบ LLM และ Generative AI

ยกตัวอย่างง่าย ๆ ก่อนกดส่ง Prompt

สมมุติเราต้องการให้ AI ช่วยเขียนอีเมลติดตามหนี้

เราไม่จำเป็นต้องนำใบแจ้งหนี้ทั้งฉบับที่มีชื่อ ที่อยู่ เลขประจำตัวผู้เสียภาษี และเลขบัญชีไปใส่ใน AI

เพียงบอกว่า

“ช่วยร่างอีเมลติดตามลูกค้า A ซึ่งมียอดค้างชำระ 15,000 บาท เกินกำหนด 7 วัน ใช้ภาษาสุภาพและเป็นทางการ”

เท่านี้ AI ก็สามารถช่วยร่างข้อความได้แล้ว

AI ไม่จำเป็นต้องรู้ว่าลูกค้า A ชื่ออะไร อยู่ที่ไหน หรือมีเลขบัญชีธนาคารอะไร

นี่คือหลักการสำคัญของการใช้ AI อย่างปลอดภัยที่ผู้เขียนอยากฝากไว้ว่า

ให้ AI รู้เท่าที่จำเป็นต่อการทำงาน ไม่ใช่รู้ทุกอย่างที่เรามี

ในมุมมองของผู้เขียนเห็นว่า...

TH-AI Passport ถือเป็นโครงการที่น่าสนใจ เพราะช่วยเปิดโอกาสให้คนไทยเข้าถึงเครื่องมือ AI ได้ง่ายขึ้น โดยปัจจุบันมีการเปิดลงทะเบียนล่วงหน้าแล้ว และกำหนดเปิดใช้งานอย่างเป็นทางการในวันที่ 31 สิงหาคม 2569

ที่สำคัญ กระทรวงดีอีได้ออกมาชี้แจงเรื่องการจัดเก็บและประมวลผลข้อมูลอย่างชัดเจน รวมถึงมาตรการคัดกรองและปกปิดข้อมูลก่อนส่งต่อไปยังผู้ให้บริการ AI

แต่ในความเห็นของผู้เขียน คำว่า “ระบบมีมาตรการรักษาความปลอดภัย” ไม่ควรถูกตีความว่า “เราสามารถส่งข้อมูลทุกอย่างเข้า AI ได้อย่างสบายใจ”

สองเรื่องนี้ไม่เหมือนกัน

ต่อให้เป็นบริการ AI ที่เราเสียเงินสมัครเอง หรือเป็นสิทธิ์ AI ที่ได้รับจากโครงการของรัฐ หลักการที่ดีที่สุดก็ยังเหมือนเดิม คือ ข้อมูลใดไม่จำเป็น ก็อย่าส่งเข้าไป

เพราะความปลอดภัยที่ดีไม่ได้เริ่มต้นจากระบบเพียงอย่างเดียว แต่เริ่มตั้งแต่ปลายนิ้วของเราก่อนกดปุ่ม “ส่ง”

ผู้เขียนจึงอยากฝากประโยคหนึ่งให้จำง่าย ๆ

“ก่อนส่ง Prompt ให้ถามตัวเองว่า ถ้าข้อมูลนี้ถูกเปิดเผยขึ้นมา เราจะเดือดร้อนหรือไม่?”

ถ้าคำตอบคือ “เดือดร้อน” ก็อย่าเสี่ยง

ลบ ปิดบัง เปลี่ยนเป็นข้อมูลสมมติ หรือส่งเฉพาะส่วนที่จำเป็นเสียก่อน

เพราะในยุคที่ AI เก่งขึ้นทุกวัน ทักษะสำคัญอาจไม่ใช่เพียง “เราสั่ง AI เก่งแค่ไหน” แต่คือ “เรารู้หรือไม่ว่าเรื่องไหนไม่ควรบอก AI”

และนี่อาจเป็นทักษะพื้นฐานที่คนใช้ AI ทุกคนควรเรียนรู้ ก่อนจะก้าวเข้าสู่ยุคที่ AI กลายเป็นส่วนหนึ่งของชีวิตประจำวันอย่างเต็มตัว

แหล่งที่มาของข้อมูล :

• กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม — ข้อมูลชี้แจงมาตรการจัดเก็บและประมวลผลข้อมูลของโครงการ TH-AI Passport
• กรมประชาสัมพันธ์ — ข้อมูลการเปิดลงทะเบียน TH-AI Passport และกำหนดเปิดใช้งานวันที่ 31 สิงหาคม 2569
• รัฐบาลไทย — ข้อมูลเกี่ยวกับโครงการ TH-AI Passport และแนวทางด้านการคุ้มครองข้อมูล
• OWASP — แนวทางความเสี่ยงด้านการเปิดเผยข้อมูลอ่อนไหวในระบบ LLM