ทำไมเครื่องมือ AI เชิงสร้างสรรค์จึงต้องมีกฎนโยบายเฉพาะ?
เครื่องมือเชิงสร้างสรรค์สร้างข้อความ ภาพ เสียง หรือโค้ดใหม่ แทนที่จะเพียงดึงหรือจัดเรียงข้อมูลที่มีอยู่ ความเสี่ยงหลักจึงเปลี่ยนจากสิ่งที่ป้อนเข้าไปเป็นสิ่งที่ได้ออกมา เครื่องมือค้นหาส่งคืนหน้าเว็บที่คุณตรวจสอบได้ ส่วนเครื่องมือเชิงสร้างสรรค์ส่งคืนฉบับร่างที่ดูมั่นใจ แต่อาจมีข้อเท็จจริงที่แต่งขึ้น ถ้อยคำที่หยิบยืมมา หรือการนำเสนอที่มีอคติ นโยบายต้องครอบคลุมทั้งข้อมูลขาเข้าและผลลัพธ์ขาออก
เอกสารความเสี่ยงเฉพาะด้าน AI เชิงกำเนิดของ NIST ระบุความเสี่ยงสิบสองอย่างที่เกิดเฉพาะกับ AI เชิงกำเนิดหรือรุนแรงขึ้นเพราะเทคโนโลยีนี้ สำหรับธุรกิจขนาดเล็กทั่วไป ความเสี่ยงห้าอย่างเป็นประเด็นหลักที่นโยบายควรครอบคลุม ได้แก่ การหลอนของ AI (เนื้อหาที่กล่าวอย่างมั่นใจแต่เป็นเท็จ) ความเป็นส่วนตัวของข้อมูล (ข้อมูลรั่วไหลหรือถูกเปิดเผยโดยไม่ได้รับอนุญาต) ทรัพย์สินทางปัญญา (การทำซ้ำเนื้อหาที่ได้รับความคุ้มครองหรือเปิดเผยความลับทางการค้า) ความน่าเชื่อถือของข้อมูล (เนื้อหาที่ไม่แยกข้อเท็จจริงออกจากความคิดเห็นหรือไม่ระบุความไม่แน่นอน) และสิ่งที่ NIST เรียกว่าการจัดความสัมพันธ์ระหว่างคนกับ AI ซึ่งรวมถึงอคติเชื่อระบบอัตโนมัติและการพึ่งพามากเกินไป
คุณใส่กฎเหล่านี้ไว้ในเอกสารเดียวกับกฎการใช้งานที่ยอมรับได้ บริษัทขนาดเล็กหลายแห่งก็ทำเช่นนี้ หน้านี้เน้นข้อกำหนดเฉพาะด้านเนื้อหา เป็นข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย
| ความเสี่ยงในโปรไฟล์ NIST | ลักษณะการใช้งานจริงในที่ทำงาน | ข้อกำหนดในนโยบายที่ครอบคลุมเรื่องนี้ |
|---|---|---|
| การแต่งข้อมูลขึ้นเอง | สถิติที่แต่งขึ้น หรือการอ้างอิงหน้าเว็บที่ไม่ได้ระบุเรื่องนั้นไว้ | ตรวจสอบข้อกล่าวอ้างที่เป็นข้อเท็จจริงทุกรายการกับแหล่งข้อมูลที่เปิดอ่านแล้วก่อนนำไปใช้ |
| ความเป็นส่วนตัวของข้อมูล | การวางรายชื่อผู้ติดต่อของลูกค้าเพื่อร่างจดหมายเวียน | ประเภทข้อมูลที่ผูกกับบัญชีที่ได้รับอนุมัติ |
| ทรัพย์สินทางปัญญา | ภาพที่เลียนแบบสไตล์ของศิลปินจนจำได้ว่าเป็นใคร หรือโค้ดที่คัดลอกจากโครงการที่มีใบอนุญาต | กติกาเกี่ยวกับคำสั่งกำหนดรูปแบบ การนำกลับมาใช้ และการตรวจสอบสิทธิ์การใช้งาน |
| ความถูกต้องครบถ้วนของข้อมูล | บทสรุปที่นำข้อคาดเดามาระบุเป็นข้อเท็จจริง | กำหนดให้ร่างที่ผ่านการตรวจทานแล้วยังคงระบุความไม่แน่นอนไว้อย่างชัดเจน |
| การพึ่งพามากเกินไป | ยอมรับผลการวิเคราะห์ที่สร้างขึ้นโดยไม่อ่านข้อมูล | ระบุการตัดสินใจที่ยังต้องให้คนเป็นผู้ตัดสินใจ |
นโยบายการใช้ ChatGPT สำหรับพนักงานควรระบุอะไรบ้าง?
นโยบายการใช้ ChatGPT สำหรับพนักงานควรระบุว่าต้องใช้บัญชีใด ข้อมูลใดห้ามใส่ในคำสั่งโดยเด็ดขาด ต้องตรวจสอบคำตอบอย่างไร และควรถามใคร โดยใช้กฎเดียวกันกับ Claude, Gemini, Copilot และผู้ช่วยอื่นที่คล้ายกัน การใส่ชื่อผลิตภัณฑ์หนึ่งไว้ในชื่อเรื่องช่วยให้ชัดเจนได้ แต่ควรเขียนกฎให้ไม่ต้องเขียนใหม่เมื่อทีมเพิ่มเครื่องมืออีกตัว
ความแตกต่างที่สำคัญที่สุดคือบัญชีส่วนตัวกับบัญชีบริษัท แพ็กเกจสำหรับบุคคลทั่วไปและสำหรับธุรกิจของผู้ช่วยตัวเดียวกันอาจมีข้อกำหนดต่างกันเรื่องการนำข้อมูลไปฝึกโมเดล การเก็บรักษาข้อมูล และการควบคุมโดยผู้ดูแลระบบ ตัวอย่างเช่น เอกสารของ Microsoft ระบุว่า Copilot Chat ที่องค์กรใช้อยู่ภายใต้ภาคผนวกการคุ้มครองข้อมูล และไม่นำคำสั่งกับคำตอบไปใช้ฝึกโมเดลพื้นฐาน โดยการควบคุมจะแตกต่างกันตามแพ็กเกจ ให้บันทึกข้อความที่ระบุเรื่องเดียวกันนี้สำหรับเครื่องมือแต่ละตัวที่คุณอนุมัติ พร้อมวันที่ตรวจสอบ แทนที่จะสันนิษฐานเอาเอง
ตัวอย่างข้อกำหนด: "ใช้ [ผู้ช่วย] ผ่านบัญชีธุรกิจของ [บริษัท] เท่านั้น ห้ามใช้บัญชีส่วนตัวทำงานของบริษัท แม้จะเป็นเพียงการถามคำถามสั้น ๆ เพราะบัญชีส่วนตัวไม่อยู่ภายใต้ข้อตกลงของเรากับผู้ให้บริการ"
ข้อมูลใดบ้างที่พนักงานห้ามใส่ในคำสั่งที่ป้อนให้ AI แบบสร้างเนื้อหาเด็ดขาด?
พนักงานต้องไม่ใส่รหัสผ่าน คีย์ หรือข้อมูลลับอื่น ๆ ลงในคำสั่งที่ส่งให้ AI และควรป้อนข้อมูลลับ ข้อมูลลูกค้า หรือข้อมูลส่วนบุคคลเฉพาะเมื่อกระบวนการทำงานที่ได้รับอนุมัติอนุญาตเท่านั้น แนวทางของศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติของสหราชอาณาจักรระบุว่าองค์กรผู้ให้บริการโมเดลมองเห็นข้อความที่ส่งเข้าไปได้ และแนะนำว่าไม่ควรส่งข้อความที่อาจก่อปัญหาหากถูกเปิดเผยต่อสาธารณะ
ไฟล์ที่อัปโหลดถือเป็นส่วนหนึ่งของคำสั่งที่ส่งให้ AI ไฟล์ตารางคำนวณที่แนบเพื่อขอให้สร้างแผนภูมิจะส่งข้อมูลทุกคอลัมน์ไปด้วย รวมถึงคอลัมน์ที่ไม่จำเป็นต่อคำถาม ข้อกำหนดในนโยบายที่ระบุว่า "ลบคอลัมน์ที่ไม่จำเป็นก่อนอัปโหลด" ทำตามได้ง่ายและช่วยป้องกันความผิดพลาดที่พบบ่อย
ตัวอย่างข้อกำหนด: "ก่อนวางข้อความหรืออัปโหลด ให้ลบสิ่งที่ไม่จำเป็นต่องานออก ห้ามใส่ข้อมูลลับโดยเด็ดขาด อย่าใส่ข้อมูลลูกค้าหรือข้อมูลส่วนบุคคล เว้นแต่ทะเบียนจะระบุอนุมัติเครื่องมือและงานนั้นไว้ หากไม่แน่ใจ ให้ถาม [ผู้รับผิดชอบ] ก่อน"
ควรตรวจสอบเนื้อหาที่สร้างขึ้นก่อนใช้งานอย่างไร?
ควรตรวจสอบเนื้อหาที่สร้างขึ้นให้เหมาะกับการนำไปใช้ หากเป็นการระดมความคิดส่วนตัวก็ตรวจคร่าว ๆ ได้ หากเป็นงานส่งลูกค้าต้องตรวจย้อนกลับไปยังแหล่งที่มาของทุกคำกล่าวอ้าง และหากเกี่ยวข้องกับกฎหมาย การเงิน หรือความปลอดภัย ต้องมีผู้ที่มีคุณสมบัติเหมาะสมตรวจสอบ นโยบายควรระบุผู้ตรวจสำหรับผลลัพธ์แต่ละประเภท ซึ่งโดยมากคือคนที่จะส่งหรือเผยแพร่เนื้อหานั้น
ตัวอย่างพร้อมแนวทางจากเฟนวิก ทาเลนต์ บริษัทที่ปรึกษาด้านการสรรหาบุคลากรสมมติที่มีพนักงาน 15 คน ที่ปรึกษาคนหนึ่งป้อนคำสั่งว่า: "เขียนสรุปสถานการณ์ตลาดความยาว 150 คำ สำหรับผู้อำนวยการฝ่ายการเงิน เกี่ยวกับการจ้างนักบัญชีบริหารในลีดส์" ร่างระบุว่าความต้องการเพิ่มขึ้นอย่างมากในปีนี้ และเงินเดือนเพิ่มขึ้นเป็นเปอร์เซ็นต์ที่ระบุชัด โดยอ้างชื่อผลสำรวจเงินเดือน แต่ที่ปรึกษาหาผลสำรวจหรือตัวเลขนั้นไม่พบ
ผลลัพธ์ที่ยังไม่ดีแต่ถูกเก็บไว้โดยไม่แก้ไข: "ความต้องการนักบัญชีบริหารในลีดส์เพิ่มขึ้นอย่างมากในปีนี้ โดยเงินเดือนเพิ่มขึ้น [ตัวเลข] ตามข้อมูลจาก [แบบสำรวจ]" ฉบับที่ผ่านการตรวจทาน: "จากตำแหน่งงานที่เราจัดหาคนได้ในไตรมาสนี้ ผู้อำนวยการฝ่ายการเงินถามเรื่องระยะเวลาแจ้งลาออกล่วงหน้าและเงื่อนไขการทำงานแบบผสมผสานบ่อยที่สุด เราพบข้อเสนอให้อยู่ต่อจากนายจ้างเดิมมากขึ้นในช่วงยื่นข้อเสนองาน" ฉบับที่ผ่านการตรวจทานใช้เฉพาะสิ่งที่เฟนวิกสังเกตพบเอง ข้อกำหนดในนโยบายที่เป็นเหตุผลของการแก้ไขนี้คือ: "ลบสถิติ แบบสำรวจ หรือผลลัพธ์ใดก็ตามที่คุณไม่สามารถเปิดดูและยืนยันได้"
อยากดูว่าสิ่งนี้เชื่อมโยงกับบทบาทงานอย่างไรไหม?
สำรวจการทดลองใช้สำหรับทีมที่อยู่ในแผนพัฒนา ↗เมื่อไรพนักงานควรเปิดเผยว่าเนื้อหาสร้างขึ้นด้วย AI?
อย่างน้อยที่สุด พนักงานควรแจ้งผู้ตรวจทานเมื่อเนื้อหาส่วนใหญ่ของร่างถูกสร้างโดย AI และปฏิบัติตามสัญญากับลูกค้า กฎของแพลตฟอร์ม หรือกฎการเผยแพร่ที่กำหนดให้เปิดเผยการใช้ AI นอกเหนือจากนั้น การเปิดเผยเป็นทางเลือกของบริษัทที่ขึ้นอยู่กับกลุ่มผู้อ่านและบริบท
แนวทางที่เผยแพร่ต่อสาธารณะมีความแตกต่างกัน แนวทางชั่วคราวสำหรับเจ้าหน้าที่ของเทศบาลเมืองบอสตัน ซึ่งเผยแพร่ในเดือนพฤษภาคม 2023 ขอให้พนักงานเปิดเผยการใช้ AI และระบุโมเดลที่ใช้ พร้อมเสนอให้ใส่ข้อความระบุที่มา เช่น "คำอธิบายนี้สร้างโดย ChatGPT 3.5 และแก้ไขโดย" ตามด้วยชื่อเจ้าหน้าที่ แนวทางนี้เหมาะกับหน่วยงานภาครัฐ บริษัทเอเจนซีขนาดเล็กอาจตัดสินใจว่าสำหรับข้อความทั่วไป การเปิดเผยต่อผู้ตรวจทานภายในก็เพียงพอแล้ว ส่วนภาพที่สร้างขึ้นหรือเสียงสังเคราะห์ต้องมีป้ายระบุให้บุคคลภายนอกทราบ
ตัวอย่างข้อกำหนด: "แจ้งผู้ตรวจทานเมื่อ AI สร้างเนื้อหาส่วนสำคัญของฉบับร่าง ติดป้ายกำกับภาพ เสียง หรือวิดีโอที่สร้างด้วย AI และเผยแพร่ให้ลูกค้าเห็นว่า [ข้อความกำกับ] ปฏิบัติตามคำสั่งของลูกค้าเกี่ยวกับการใช้ AI โดยคำสั่งนั้นมีผลเหนือข้อกำหนดนี้"
นโยบายการใช้ AI เชิงกำเนิดควรจัดการเรื่องลิขสิทธิ์และภาพอย่างไร?
นโยบายควรห้ามพนักงานจงใจทำซ้ำผลงานที่ได้รับความคุ้มครอง กำหนดให้ตรวจสอบสิทธิ์การใช้งานก่อนนำโค้ดหรือชิ้นงานที่สร้างขึ้นไปใช้ซ้ำ และห้ามสร้างภาพหรือเสียงของบุคคลจริงโดยไม่ได้รับความยินยอม เอกสารระบุความเสี่ยงของ NIST ระบุว่าการทำซ้ำเนื้อหาที่มีลิขสิทธิ์ เครื่องหมายการค้า หรือข้อกำหนดสิทธิ์การใช้งานได้ง่ายขึ้น และการเปิดเผยความลับทางการค้าได้ง่ายขึ้น เป็นส่วนหนึ่งของความเสี่ยงจาก AI เชิงกำเนิด.
กฎหมายลิขสิทธิ์เกี่ยวกับเนื้อหาที่ AI สร้างแตกต่างกันในแต่ละประเทศและยังอยู่ระหว่างการพัฒนา นโยบายจึงไม่ควรรับรองว่าบริษัทเป็นเจ้าของหรือสามารถจดทะเบียนลิขสิทธิ์ผลงานที่สร้างขึ้นได้ทุกชิ้น แต่ควรระบุว่าบริษัทจัดการกับความไม่แน่นอนอย่างไร เช่น อนุญาตให้ใช้ภาพที่สร้างขึ้นสำหรับแบบจำลองภายในได้อย่างอิสระ แต่สิ่งที่จะใช้ในแคมเปญของลูกค้าต้องตรวจสอบเงื่อนไขสิทธิ์การใช้งานของเครื่องมือและคำสั่งของลูกค้าก่อน
ตัวอย่างข้อกำหนด: "ห้ามป้อนคำสั่งให้สร้างเนื้อหาในรูปแบบของศิลปินที่ยังมีชีวิตหรือแบรนด์ที่ระบุชื่อ หรือขอให้เครื่องมือทำซ้ำข้อความที่มีลิขสิทธิ์ ห้ามสร้างภาพ เสียง หรือวิดีโอของบุคคลจริงโดยไม่ได้รับความยินยอมเป็นลายลักษณ์อักษรจากบุคคลนั้น ตรวจสอบเงื่อนไขการใช้งานเชิงพาณิชย์ของเครื่องมือก่อนนำสื่อที่สร้างขึ้นไปใช้ในงานลูกค้า" ขอคำปรึกษาเกี่ยวกับข้อกฎหมายที่ใช้บังคับในเขตอำนาจศาลของคุณ
การตัดสินใจเรื่องใดควรให้คนเป็นผู้ตัดสินใจต่อไป?
การตัดสินใจที่ส่งผลสำคัญต่อบุคคล เช่น การจ้างงาน ค่าตอบแทน ผลการปฏิบัติงาน สินเชื่อ ข้อร้องเรียน และเรื่องใดก็ตามที่เกี่ยวกับสุขภาพหรือความปลอดภัย ควรอยู่ในความรับผิดชอบของบุคคลที่ระบุชื่อชัดเจนและตรวจทานข้อมูลที่ใช้ประกอบการตัดสินใจ เครื่องมือ AI เชิงกำเนิดช่วยร่าง จัดโครงสร้าง หรือสรุปข้อมูลเพื่อประกอบการตัดสินใจเหล่านั้นได้ แต่ไม่ควรเป็นผู้ตัดสินใจเอง.
แนวทางของ NIST อธิบายว่าอคติจากการเชื่อระบบอัตโนมัติและการพึ่งพามากเกินไปเป็นส่วนหนึ่งของความเสี่ยงในการจัดรูปแบบการทำงานร่วมกันระหว่างมนุษย์กับ AI นโยบายรับมือเรื่องนี้ด้วยการทดสอบง่าย ๆ: ผู้ตัดสินใจต้องอธิบายการตัดสินใจได้โดยไม่อ้างถึงสิ่งที่เครื่องมือบอก หากเกี่ยวข้องกับข้อมูลส่วนบุคคล แนวทางของ ICO เรื่อง AI และการคุ้มครองข้อมูลเป็นแหล่งอ้างอิงอย่างเป็นทางการของสหราชอาณาจักร โดยปัจจุบันหน้าเว็บไซต์ระบุว่ากำลังทบทวนแนวทางดังกล่าวหลังมีพระราชบัญญัติข้อมูล (การใช้และการเข้าถึง)
เมื่อใดที่นโยบายการใช้ AI เชิงกำเนิดไม่ใช่เครื่องมือที่เหมาะสม?
นโยบาย AI เชิงกำเนิดสำหรับพนักงานยังไม่เพียงพอ หากคุณกำลังเพิ่มฟีเจอร์เชิงกำเนิดเข้าในผลิตภัณฑ์ ปรับแต่งโมเดลด้วยข้อมูลลูกค้า หรือนำแชตบอตมาใช้สื่อสารกับสาธารณะในนามของคุณ สิ่งเหล่านี้ต้องผ่านการตรวจทานด้านผลิตภัณฑ์ ความปลอดภัย และกฎหมาย ซึ่งครอบคลุมมากกว่ากฎสำหรับพนักงานอย่างมาก
นอกจากนี้ ยังไม่สามารถทดแทนการฝึกปฏิบัติได้ การรู้ว่าร่างงานอาจมีตัวเลขที่แต่งขึ้นนั้นต่างจากการสังเกตพบตัวเลขนั้นเมื่อเวลาส่งงานใกล้เข้ามา Tosheo.ai อยู่ระหว่างการพัฒนาเพื่อรองรับขั้นตอนการฝึกปฏิบัตินี้ โดยลำดับบทเรียนตามบทบาทงานที่วางแผนไว้จะปิดท้ายแต่ละบทด้วยงานให้ลงมือทำในเครื่องมือ AI จริง และให้คะแนนตามเกณฑ์ที่เปิดเผยให้เห็น Tosheo.ai ไม่ได้ร่างหรือบังคับใช้นโยบายของคุณ
แหล่งข้อมูลและขอบเขต
NIST, แนวทางความเสี่ยงสำหรับ AI เชิงกำเนิด (NIST AI 600-1), July 2024 ↗
NCSC, ChatGPT และโมเดลภาษาขนาดใหญ่: มีความเสี่ยงอะไรบ้าง?, 14 มีนาคม 2023 ↗
เทศบาลเมืองบอสตัน, แนวทางชั่วคราวสำหรับการใช้ AI เชิงสร้างสรรค์, ฉบับ 1.1, 18 May 2023 ↗
ICO, แนวทางเกี่ยวกับ AI และการคุ้มครองข้อมูล (อยู่ระหว่างการทบทวน), ตรวจสอบเมื่อ 16 ตุลาคม 2026 ↗