คำตอบเผยแพร่แล้ว19 แหล่งที่มา
องค์กรสิงคโปร์กำกับ Shadow AI ไม่ทันการใช้งานของพนักงาน
ปัญหา Shadow AI ในสิงคโปร์ไม่ใช่แค่การขาดนโยบาย แต่คือการมองไม่เห็นและบังคับใช้กฎได้ไม่ทั่วถึง โดย 18% ขององค์กรที่สำรวจมีข้อห้ามแต่ไม่มีวิธีตรวจจับการละเมิด ผู้มีส่วนเกี่ยวข้องด้าน DevSecOps ในสิงคโปร์ 60% ระบุว่าการกำกับดูแลและบังคับใช้นโยบายกินเวลามากที่สุด ส่วน 41% บอกว่าการตรวจโค้ดที่ AI สร้างต้องใช้ทรัพยากรมาก...
เผยแพร่โดยแก้ไขด้วย GPT-6 Lunaรูปภาพสร้างด้วย GPT Image 2
คำตอบการวิจัย
ประเด็นสำคัญ
- ปัญหา Shadow AI ในสิงคโปร์ไม่ใช่แค่การขาดนโยบาย แต่คือการมองไม่เห็นและบังคับใช้กฎได้ไม่ทั่วถึง โดย 18% ขององค์กรที่สำรวจมีข้อห้ามแต่ไม่มีวิธีตรวจจับการละเมิด
- ผู้มีส่วนเกี่ยวข้องด้าน DevSecOps ในสิงคโปร์ 60% ระบุว่าการกำกับดูแลและบังคับใช้นโยบายกินเวลามากที่สุด ส่วน 41% บอกว่าการตรวจโค้ดที่ AI สร้างต้องใช้ทรัพยากรมาก
- การกำกับดูแลต้องครอบคลุมทั้งโมเดล AI แพ็กเกจซอฟต์แวร์ และเครื่องมือจากภายนอก ไม่ใช่ตรวจเฉพาะโค้ดที่องค์กรเขียนเอง
AI พรอมต์
openai.comCreate a landscape editorial hero image for this Studio Global article: How is employee adoption of shadow AI outpacing governance controls in Singapore companies, and what do JFrog’s Sunny Rao and Splunk’s Chris. Article summary: Employee use of unapproved AI is moving faster than Singapore companies can discover it, review its outputs and enforce internal rules, creating a gap between written governance and operational control. The reported cons. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
พนักงานอาจเริ่มใช้ AI ทำงานได้ทันที แต่ฝ่ายไอทีและความปลอดภัยอาจยังไม่รู้ว่ามีการใช้เครื่องมือใดบ้าง ตรวจสอบผลลัพธ์ได้ครบหรือไม่ และจะทำให้นโยบายที่เขียนไว้เกิดผลจริงได้อย่างไร ผลสำรวจในสิงคโปร์สะท้อนช่องว่างนี้ โดยเฉพาะเมื่อองค์กรต้องกำกับดูแลทั้งเครื่องมือ AI และส่วนประกอบซอฟต์แวร์ที่ทีมพัฒนานำมาใช้ 3
5
6
มีนโยบายแล้ว แต่ตรวจจับการใช้งานไม่ได้
Shadow AI หมายถึงการใช้เครื่องมือ AI ทำงานโดยที่องค์กรไม่ได้อนุมัติหรือกำกับดูแล พนักงานอาจใช้เครื่องมือเหล่านี้เพื่อให้งานเดินหน้าเร็วขึ้น แต่ทีมไอทีและความปลอดภัยอาจไม่มีข้อมูลครบว่าใช้งานที่ใด และมีการป้อนข้อมูลอะไรเข้าไปบ้าง 14
การมีนโยบายเป็นลายลักษณ์อักษรจึงไม่ได้แปลว่าองค์กรรู้ว่าพนักงานทำตามหรือไม่ หรือจะตรวจพบการใช้เครื่องมือที่ไม่ได้รับอนุญาตได้ JFrog รายงานว่า 18% ขององค์กรในสิงคโปร์มีนโยบายห้ามใช้เครื่องมือ AI ที่ไม่ได้รับอนุญาต แต่ไม่มีระบบตรวจจับการฝ่าฝืน 3
ซอฟต์แวร์ที่ซับซ้อนขึ้น เพิ่มภาระการตรวจสอบ
แอปพลิเคชันสมัยใหม่ไม่ได้ประกอบด้วยโค้ดที่ทีมเขียนขึ้นเองเท่านั้น แต่อาจรวมแพ็กเกจโอเพนซอร์ส บริการคลาวด์ โค้ดที่ AI สร้าง โมเดล AI และเครื่องมือจากผู้ให้บริการภายนอก องค์กรจึงต้องติดตามและประเมินส่วนประกอบเหล่านี้ไปพร้อมกัน 5
ผลสำรวจของ JFrog ชี้ให้เห็นภาระงานที่ตามมา: ผู้มีส่วนเกี่ยวข้องด้าน DevSecOps ในสิงคโปร์ 60% ระบุว่าการกำกับดูแลและบังคับใช้นโยบายเป็นภาระที่ใช้เวลามากที่สุด ขณะที่ 41% บอกว่าการตรวจโค้ดที่ AI สร้างต้องใช้ทรัพยากรมาก 5 ตัวเลขนี้สะท้อนแรงกดดันที่ผู้ตอบรายงาน ไม่ได้หมายความว่าทุกองค์กรมีความเสี่ยงในระดับเดียวกัน
อีกประเด็นคือการเตรียมหลักฐานสำหรับการตรวจสอบ รายงานจากงานวิจัยของ JFrog ในสิงคโปร์ระบุว่า ผู้ตอบแบบสำรวจ 54% ต้องใช้เวลาอย่างน้อยหนึ่งสัปดาห์เพื่อจัดเตรียมหลักฐานด้านการปฏิบัติตามข้อกำหนดสำหรับแอปพลิเคชันหนึ่งรายการ 7 การรู้ว่าใครเป็นเจ้าของแอปจึงอาจยังไม่พอ หากองค์กรยังรวบรวมข้อมูลส่วนประกอบและสถานะการปฏิบัติตามข้อกำหนดได้ไม่รวดเร็ว
ความเสี่ยงไม่ได้หยุดอยู่ที่การตรวจโค้ด
เมื่อเครื่องมือ AI ที่ไม่ได้รับอนุญาตอยู่นอกการกำกับดูแลของฝ่ายความปลอดภัย พนักงานอาจส่งข้อมูลอ่อนไหว เช่น ซอร์สโค้ดหรือข้อมูลลูกค้า เข้าไปในเครื่องมือเหล่านั้น แนวทางด้านความปลอดภัยระบุว่าการที่ข้อมูลสำคัญหลุดออกไปอยู่นอกการควบคุมขององค์กรเป็นหนึ่งในความเสี่ยงของ Shadow AI 23
24
โค้ดและผลลัพธ์จาก AI ก็ควรได้รับการตรวจสอบก่อนนำไปใช้ ผลสำรวจในสิงคโปร์ระบุว่าการตรวจโค้ดที่ AI สร้างกินทรัพยากรไม่น้อย แต่ข้อมูลที่มีไม่ได้ระบุว่าเกิดข้อผิดพลาดหลุดไปถึงลูกค้าหรือระบบสำคัญบ่อยเพียงใด 5
การห้ามใช้เพียงอย่างเดียวก็ไม่ทำให้องค์กรมองเห็นการใช้งานได้ หากพนักงานยังใช้เครื่องมือที่ตรวจจับไม่ได้ ผลสำรวจเรื่ององค์กรที่มีข้อห้ามแต่ไม่มีกลไกตรวจจับจึงชี้ถึงความสำคัญของการค้นหาการใช้งานจริงและทำให้นโยบายบังคับใช้ได้ ไม่ใช่เพียงระบุว่าอะไรห้ามทำ 3
ต้องมองทั้งห่วงโซ่ซอฟต์แวร์และการกำกับดูแล
Sunny Rao จาก JFrog อธิบายว่าแอปพลิเคชันยุคใหม่ประกอบด้วยโค้ดภายใน แพ็กเกจโอเพนซอร์ส บริการคลาวด์ โค้ดที่ AI สร้าง โมเดล และเครื่องมือจากบุคคลที่สาม มุมมองนี้ทำให้การรักษาความปลอดภัยต้องครอบคลุมส่วนประกอบทั้งหมดที่เข้ามาเป็นส่วนหนึ่งของแอป ไม่ใช่จำกัดอยู่แค่ซอร์สโค้ด 5
Christine Low จาก Splunk กล่าวถึงโจทย์ที่เกี่ยวข้องกันว่า องค์กรที่ต้องการขยายการใช้ AI ต้องรับมือทั้งข้อกำหนดด้านการปฏิบัติตามกฎ การกำกับดูแลข้อมูล และภาระจากการเปลี่ยนแปลงอย่างต่อเนื่อง 4 เมื่อพิจารณาร่วมกัน ประเด็นนี้ชี้ว่าการกำกับดูแล AI ไม่ได้เป็นเพียงงานตรวจโค้ดของนักพัฒนา แต่ยังเกี่ยวข้องกับการดูแลข้อมูลและส่วนเชื่อมโยงต่าง ๆ ขณะที่ระบบเปลี่ยนแปลงไป
สิ่งที่องค์กรทำได้
แนวทางที่ใช้งานได้จริงควรเชื่อมการมองเห็นเข้ากับการควบคุมที่บังคับใช้ได้ เช่น
- ติดตามส่วนประกอบของแอปพลิเคชันให้ครบ รวมโมเดล AI แพ็กเกจ และชิ้นส่วนซอฟต์แวร์อื่น ๆ ไว้ด้วย ไม่ใช่ติดตามเฉพาะโค้ดที่เขียนภายในองค์กร
5
8
- ทำให้นโยบายตรวจสอบและนำไปใช้ได้จริง ผลสำรวจเรื่อง 18% แสดงให้เห็นว่ากฎต้องมาพร้อมวิธีค้นหาการใช้เครื่องมือที่ไม่ได้รับอนุญาต
3
- เตรียมหลักฐานการปฏิบัติตามข้อกำหนดให้เข้าถึงได้ ระยะเวลาที่ผู้ตอบใช้จัดเตรียมหลักฐานสะท้อนว่าแค่มีข้อมูลเจ้าของแอปอาจไม่พอ ทีมยังต้องค้นข้อมูลส่วนประกอบและสถานะการกำกับดูแลได้สะดวก
7
- ตรวจผลลัพธ์จาก AI เป็นส่วนหนึ่งของงานรักษาความปลอดภัยซอฟต์แวร์ตามปกติ ภาระการตรวจสอบที่ถูกรายงานชี้ว่าโค้ดที่ AI สร้างควรได้รับการประเมิน ไม่ควรสรุปเองว่าการสร้างโค้ดได้เร็วหมายถึงส่งมอบซอฟต์แวร์ที่ปลอดภัยได้เร็วขึ้นด้วย
แนวทางที่ JFrog เสนอคือใช้ระบบบันทึกข้อมูลร่วมกันเพื่อกำกับดูแลโมเดล แพ็กเกจ ปลั๊กอิน และชิ้นงานที่ AI สร้าง 8 ไม่ว่าองค์กรจะเลือกเครื่องมือแบบใด หัวใจสำคัญคือเชื่อมสิ่งที่มองเห็นเข้ากับมาตรการที่บังคับใช้ได้ตลอดห่วงโซ่ซอฟต์แวร์และ AI
Studio Global AI
ทำการวิจัยต่อ
หน้านี้รวมคำตอบที่ได้รับการสนับสนุนจากแหล่งที่มาซึ่งคุณสามารถดำเนินการต่อภายใน Studio Global
คนยังถาม
คำตอบสั้น ๆ สำหรับ "องค์กรสิงคโปร์กำกับ Shadow AI ไม่ทันการใช้งานของพนักงาน" คืออะไร
ปัญหา Shadow AI ในสิงคโปร์ไม่ใช่แค่การขาดนโยบาย แต่คือการมองไม่เห็นและบังคับใช้กฎได้ไม่ทั่วถึง โดย 18% ขององค์กรที่สำรวจมีข้อห้ามแต่ไม่มีวิธีตรวจจับการละเมิด
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร?
ปัญหา Shadow AI ในสิงคโปร์ไม่ใช่แค่การขาดนโยบาย แต่คือการมองไม่เห็นและบังคับใช้กฎได้ไม่ทั่วถึง โดย 18% ขององค์กรที่สำรวจมีข้อห้ามแต่ไม่มีวิธีตรวจจับการละเมิด ผู้มีส่วนเกี่ยวข้องด้าน DevSecOps ในสิงคโปร์ 60% ระบุว่าการกำกับดูแลและบังคับใช้นโยบายกินเวลามากที่สุด ส่วน 41% บอกว่าการตรวจโค้ดที่ AI สร้างต้องใช้ทรัพยากรมาก
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ?
การกำกับดูแลต้องครอบคลุมทั้งโมเดล AI แพ็กเกจซอฟต์แวร์ และเครื่องมือจากภายนอก ไม่ใช่ตรวจเฉพาะโค้ดที่องค์กรเขียนเอง
แหล่งที่มา
frontier-enterprise.comSingapore's innovation faces a new risk: Shadow AI