TH-AI Passport ปลอดภัยแค่ไหน? ผู้บริหาร Human Intelligence ตอบทุกข้อสงสัย

TH-AI Passport เปิดใช้งานจริง พร้อมรวบรวม AI ชั้นนำมากกว่า 14 แพลตฟอร์มไว้ในระบบเดียว เพื่อให้หน่วยงานสามารถนำ AI มาใช้งานได้อย่างมีประสิทธิภาพ ควบคู่ไปกับการรักษาความปลอดภัยของข้อมูล

เมื่อ AI กำลังกลายเป็นเครื่องมือสำคัญของภาครัฐ ประเด็นที่หลายคนให้ความสำคัญจึงไม่ได้มีแค่ความสามารถของ AI แต่ยังรวมถึงคำถามสำคัญว่า “ข้อมูลที่เราป้อนเข้าไป ปลอดภัยแค่ไหน?” ทีมงาน CEEi.co ได้พูดคุยกับ พาขวัญ วงศ์พลทวี Chairman of Executive Committee บริษัท Human Intelligence ผู้พัฒนา TH-AI Pass เจาะลึกประเด็นที่หลายคนสงสัย ตั้งแต่ Prompt ที่ป้อนเข้า AI ถูกจัดเก็บอย่างไร ข้อมูลถูกส่งต่อไปยัง AI Provider หรือไม่ ไปจนถึงมาตรการป้องกันข้อมูลสำคัญรั่วไหล

การใช้ Generative AI ในองค์กร โดยเฉพาะหน่วยงานภาครัฐ มาพร้อมกับคำถามสำคัญเรื่องความปลอดภัยของข้อมูล เพราะสิ่งที่ผู้ใช้งานพิมพ์เข้าไปอาจมีทั้งข้อมูลส่วนบุคคล เอกสารภายใน หรือข้อมูลที่มีความละเอียดอ่อน

TH-AI Passport จึงถูกออกแบบมาเพื่อเป็นอีกหนึ่งโครงสร้างพื้นฐานสำหรับการใช้งาน AI โดยมีเป้าหมายให้หน่วยงานสามารถเข้าถึงโมเดล AI หลายรูปแบบ พร้อมมีระบบควบคุมและป้องกันข้อมูล

Prompt ที่พิมพ์เข้าไป ถูกเก็บไว้ที่ไหน?

หนึ่งในคำถามที่หลายคนสงสัยคือ Prompt หรือข้อมูลที่ผู้ใช้พิมพ์เข้าไปในระบบถูกเก็บไว้หรือไม่ คุณพาขวัญ วงศ์พลทวี ระบุว่า ข้อมูล Prompt ถูกจัดเก็บอย่างปลอดภัยบน Google Cloud ที่ตั้งอยู่ในประเทศไทย โดยในการใช้งานปกติ จะไม่มีบุคคลเข้ามาเปิดอ่านเนื้อหา เนื่องจากการประมวลผลทำผ่านระบบอัตโนมัติ

นอกจากนี้ ข้อมูล Prompt ยังถูกจัดเก็บแยกจากข้อมูลที่สามารถระบุตัวตนของผู้ใช้ เพื่อลดความเสี่ยงด้านความเป็นส่วนตัว

การเข้าถึงเนื้อหาอาจเกิดขึ้นได้เฉพาะบางกรณี เช่น การสอบสวนเหตุการณ์ด้านความมั่นคงปลอดภัยทางไซเบอร์ การดำเนินการตามคำสั่งศาล หรือกรณีที่ผู้ใช้ยินยอมให้ตรวจสอบเพื่อแก้ไขปัญหาการใช้งาน โดยทุกการเข้าถึงต้องผ่านขั้นตอนอนุมัติและมีการบันทึก Audit Log

ข้อมูลถูกส่งไปให้ AI เจ้าไหน?

AI Pass รองรับโมเดลที่ให้บริการผ่านหลายแพลตฟอร์ม ได้แก่ Google Vertex AI, Microsoft Azure OpenAI และ Jasmine ที่ให้บริการในประเทศไทย ตามข้อมูลจาก Human Intelligence ผู้ให้บริการเหล่านี้มีข้อตกลงด้านการประมวลผลข้อมูล หรือ DPA ที่ระบุว่าไม่นำข้อมูลของผู้ใช้ไปใช้ฝึกโมเดล และไม่มีการเก็บข้อมูลหลังการประมวลผลเสร็จสิ้น

สำหรับหน่วยงานที่มีข้อกำหนดว่าข้อมูลต้องได้รับการประมวลผลภายในประเทศ ระบบสามารถกำหนดให้เลือกใช้เฉพาะโมเดลที่โฮสต์อยู่ในประเทศไทยได้

ถ้าเผลอใส่ข้อมูลส่วนตัวเข้าไป ระบบช่วยป้องกันได้ไหม?

อีกหนึ่งความเสี่ยงของการใช้ AI คือการที่ผู้ใช้งานอาจเผลอส่งข้อมูลสำคัญเข้าไปในระบบ TH-AI Passport มีระบบ PII Detection และ Masking เพื่อช่วยตรวจจับและปกปิดข้อมูลส่วนบุคคลก่อนส่งต่อไปยังโมเดล AI เช่น เลขบัตรประชาชนและอีเมล แนวคิดนี้ช่วยลดความเสี่ยงจากการที่ข้อมูลระบุตัวบุคคลจะถูกส่งออกไปยังระบบ AI โดยไม่จำเป็น

ลบข้อมูลแล้ว หายจริงหรือไม่?

สำหรับการลบข้อมูลหรือการลบบัญชี Human Intelligence ระบุว่า หน่วยงานผู้ควบคุมข้อมูลส่วนบุคคลจะตรวจสอบตัวตนของผู้ร้องขอ รวมถึงพิจารณาว่าข้อมูลดังกล่าวมีข้อยกเว้นตามกฎหมายที่จำเป็นต้องเก็บรักษาไว้หรือไม่

หากไม่มีข้อยกเว้น ระบบจะดำเนินการลบข้อมูลภายใน 30 วัน นับจากวันที่ได้รับคำขอ แต่ระบบจะตัดการเข้าถึงข้อมูลดังกล่าวทันทีตั้งแต่ได้รับคำขอ โดยระหว่างกระบวนการลบ ข้อมูลจะไม่ถูกนำไปใช้งานหรือประมวลผลต่อ

Admin เปิดอ่าน Prompt ของเราได้หรือไม่?

ตามข้อมูลของ Human Intelligence ผู้ดูแลระบบจะเข้าถึงได้เฉพาะข้อมูล Metadata เช่น จำนวนการใช้งานหรือสถานะบัญชี โดยปกติจะไม่สามารถเห็นเนื้อหา Prompt ของผู้ใช้ได้ หากจำเป็นต้องเข้าถึงเนื้อหา จะต้องระบุผู้ใช้เป้าหมายเป็นรายบุคคล พร้อมระบุเหตุผล ไม่สามารถค้นหาข้อมูลแบบกว้าง ๆ หรือ Export ข้อมูลทั้งหมดออกจากระบบได้ ทุกการดำเนินการจะถูกบันทึกไว้ใน Audit Log เพื่อให้สามารถตรวจสอบย้อนหลังได้

ทดสอบรับมือ Prompt Injection แล้วหรือยัง?

ในยุคที่การโจมตี AI อย่าง Prompt Injection และ Jailbreak กลายเป็นความเสี่ยงใหม่ ระบบ AI ไม่ได้ต้องป้องกันเพียงการแฮกระบบแบบเดิมเท่านั้น Human Intelligence ระบุว่า AI Pass ได้มีการทดสอบด้าน Prompt Injection และ Security Assessment ร่วมกับ สกมช. ในเดือนสิงหาคม โดยผลการทดสอบเบื้องต้นผ่านเกณฑ์ที่กำหนด และข้อสังเกตที่พบถูกนำไปปรับปรุง Guardrail และ System Prompt ให้มีความรัดกุมมากขึ้น

นอกจากนี้ ระบบยังมีการติดตามพฤติกรรมที่อาจเข้าข่าย Prompt Injection หรือ Jailbreak อย่างต่อเนื่อง เพื่อนำข้อมูลมาปรับปรุงระบบป้องกันต่อไป

สำหรับคนที่สนใจใช้งาน TH-AI Passport สามารถตรวจสอบสิทธิ์และรายละเอียดการลงทะเบียนได้ที่เว็บไซต์โครงการ โดยวันนี้ 31 สิงหาคม 2569 เป็นวันเปิดใช้งานระบบอย่างเป็นทางการแล้วและเป็นวันลงทะเบียนใช้งานวันสุดท้ายด้วย