ปัญหาการคัดลอกและวาง
77% ของผู้ใช้ AI ในองค์กรคัดลอกและวางข้อมูลลงในคำขอ chatbot นี่ไม่ใช่พฤติกรรมส่วนน้อย นี่คือวิธีมาตรฐานที่พนักงานใช้เครื่องมือ AI ในที่ทำงาน
รูปแบบนั้นง่าย พนักงานหญิงเผชิญกับงาน เธอเปิดเอกสาร คัดลอกข้อความที่เกี่ยวข้อง และวางลงใน ChatGPT เธอได้รับคำตอบที่มีประโยชน์
ไม่มีขั้นตอนใดในกระบวนการนี้ที่กรองข้อมูลส่วนบุคคล การวางเกิดขึ้นก่อนที่เธอจะถามตัวเองว่า: "มีข้อมูลส่วนบุคคลในนี้ไหม?" ถึงเวลาที่เธออ่านการตอบสนองของ AI การถ่ายโอนก็เสร็จสิ้นแล้ว
การวิจัยของ Cyberhaven พบว่าเกือบ 40% ของไฟล์ที่อัปโหลดไปยังเครื่องมือ AI มีข้อมูลส่วนบุคคลหรือข้อมูลการชำระเงิน การอัปโหลดส่วนใหญ่ไม่ได้เกิดจากความประมาท พนักงานทำงานกับไฟล์ที่ได้รับมอบหมาย ข้อมูลลูกค้าในนั้นเป็นข้อมูลที่มาพร้อมกัน
เหตุใดการฝึกอบรมจึงไม่สามารถปรับขนาดได้
การฝึกอบรมนโยบายมีข้อจำกัดเชิงโครงสร้าง มันพยายามเปลี่ยนพฤติกรรมที่เคยชินผ่านการศึกษาเป็นครั้งคราว
ปัญหาอยู่ที่ช่วงระหว่างการฝึกอบรม โปรแกรมองค์กรส่วนใหญ่จัดปีละครั้ง พนักงานที่ฝึกอบรมในเดือนมกราคมเกี่ยวกับการจัดการข้อมูล AI จะดำเนินการตามนิสัยในเดือนตุลาคม ความทรงจำจางลง นิสัยยังคงอยู่
การอัปเดตที่เสนอในเดือนมีนาคม 2025 สำหรับกฎความปลอดภัย HIPAA สะท้อนสิ่งนี้ มันกำหนดให้มีการตรวจสอบการเข้ารหัสประจำปี — ไม่ใช่แค่การฝึกอบรมประจำปี หน่วยงานกำกับดูแลคาดหวังให้การควบคุมทางเทคนิคเป็นการป้องกันหลัก การฝึกอบรมเป็นส่วนเสริม
เครื่องมือ AI ทำให้ปัญหาการฝึกอบรมแย่ลง พฤติกรรมนั้นใหม่ พนักงานไม่ได้สร้างนิสัยการจัดการข้อมูลสำหรับ AI เมื่อสิบปีที่แล้วเหมือนกับที่ทำกับอีเมล และการรั่วไหลนั้นมองไม่เห็น พนักงานเห็นคำตอบที่มีประโยชน์ ไม่มีข้อความแสดงข้อผิดพลาด ไม่มีผลตอบรับเชิงลบทันที
หากไม่มีผลตอบรับ พฤติกรรมจะไม่แก้ไขตัวเอง
วิธีที่ส่วนขยาย Chrome สกัดกั้นการวาง
ส่วนขยาย Chrome ทำงานในระดับ clipboard มันอยู่ระหว่างการกระทำคัดลอกและฟิลด์ป้อนข้อมูลของเครื่องมือ AI
ก่อนการวาง พนักงานหญิงคัดลอกข้อความจากแอปพลิเคชันงานของเธอ เธอสลับไปยังแท็บ ChatGPT และวาง ส่วนขยายตรวจจับข้อมูลส่วนบุคคลในเนื้อหา clipboard ในขณะที่วาง — ก่อนที่เนื้อหาจะปรากฏในฟิลด์ป้อนข้อมูล
หน้าต่างตัวอย่างเปิดขึ้น มันแสดงสิ่งที่จะเปลี่ยนแปลงอย่างแน่ชัด:
"ชื่อลูกค้า 'Maria Schmidt' → '[PERSON_1]'; ที่อยู่อีเมล 'maria.schmidt@company.de' → '[EMAIL_1]'"
พนักงานสามารถดำเนินการต่อด้วยเวอร์ชันที่ทำ anonymization แล้ว เธอยังสามารถยกเลิกได้หากการแทนที่ไม่เหมาะสมสำหรับงานของเธอ
แนวทางนี้ทำสองสิ่ง ประการแรก มันโปร่งใส พนักงานเห็นสิ่งที่เครื่องมือทำ นั่นสร้างความไว้วางใจและกำจัดความรู้สึกว่าการควบคุมความเป็นส่วนตัวเป็นการเฝ้าติดตาม ประการที่สอง มันทำให้การตัดสินใจด้านการจำแนกประเภทชัดเจน บุคคลยืนยันแต่ละขั้นตอนของการทำ anonymization การตัดสินใจไม่ได้เป็นอัตโนมัติอย่างสมบูรณ์
ตัวอย่างในทางปฏิบัติ
พิจารณาทีมสนับสนุนลูกค้าในบริษัทอีคอมเมิร์ซยุโรป ตัวแทนใช้ ChatGPT ในการร่างคำตอบ พวกเขาวางอีเมลลูกค้าที่มีชื่อ หมายเลขคำสั่งซื้อ และที่อยู่
ด้วยส่วนขยายที่ใช้งานอยู่ การวางแต่ละครั้งเริ่มต้นการตรวจสอบ anonymization ตัวแทนส่งคำขอที่ทำ anonymization แล้ว การตอบสนองของ ChatGPT อ้างอิงโทเค็นที่ทำ anonymization ตัวแทนอ่านคำแนะนำและรวมไว้ในการตอบสนองจริง
คุณภาพการสนับสนุนยังคงสูง ข้อกำหนดการลดข้อมูลตาม GDPR มาตรา 5 ได้รับการปฏิบัติตาม ข้อมูลส่วนบุคคลของลูกค้าไม่เคยไปถึงเซิร์ฟเวอร์ OpenAI
การฝึกอบรมนโยบายไม่สามารถให้ผลลัพธ์ดังกล่าวได้ การควบคุมทางเทคนิคในระดับ clipboard — สามารถทำได้
นโยบายเป็นส่วนเสริม ไม่ใช่การควบคุมหลัก
การฝึกอบรมนโยบายมีบทบาทของตัวเอง มันกำหนดความคาดหวัง มันสร้างการตระหนักรู้พื้นฐาน แต่มันไม่สามารถสกัดกั้นการวางในแบบเรียลไทม์ได้
การอัปเดตกฎ HIPAA ส่งสัญญาณทิศทางที่ความสอดคล้องกำลังมุ่งหน้า การควบคุมทางเทคนิคที่ตรวจสอบได้ ไม่ใช่แค่โปรแกรมการฝึกอบรมที่บันทึกไว้ องค์กรที่พึ่งพาการฝึกอบรมเพียงอย่างเดียวเผชิญกับช่องว่างการตรวจสอบที่สามารถปิดได้โดยชั้นทางเทคนิคเท่านั้น
ดูเพิ่มเติม:
- AI: ช่องทางการรั่วไหลข้อมูลหลัก
- Browser DLP สำหรับ ChatGPT, Claude และ Gemini — เปรียบเทียบเครื่องมือปี 2026