DeepSeek ปลอดภัยไหม? เช็กความเสี่ยงก่อนป้อนข้อมูล

คำถามว่า DeepSeek “ปลอดภัยไหม” ไม่มีคำตอบแบบใช่หรือไม่ใช่เสมอไป คำตอบที่รอบคอบกว่าคือ: ใช้ได้กับงานทั่วไป งานทดลอง หรือเนื้อหาที่เป็นสาธารณะอยู่แล้ว แต่ไม่ควรป้อนข้อมูลอ่อนไหว ข้อมูลบริษัท เอกสารภายใน หรือข้อมูลที่มีข้อกำกับด้านกฎหมายและความปลอดภัยสูง

หลักคิดง่าย ๆ คือ ถ้าข้อมูลนั้นเสี่ยงเมื่อถูกบันทึก วิเคราะห์ ส่งต่อ หรือรั่วไหล ก็ไม่ควรใส่ลงในแชตบอต

สรุปสั้น: อะไรพอใช้ อะไรควรเลี่ยง

สถานการณ์ใช้งาน	คำแนะนำแบบระมัดระวัง
ถามความรู้ทั่วไป ร่างข้อความที่ตั้งใจเผยแพร่ ทดลองพรอมป์ที่ไม่มีข้อมูลส่วนตัว	พอใช้ได้ หากยอมรับความเสี่ยงพื้นฐานด้านความเป็นส่วนตัว
ใส่ข้อมูลลูกค้า พนักงาน สัญญา การเงิน เวชระเบียน หรือเอกสารกฎหมาย	ไม่ควรใช้
อัปโหลดเอกสารภายใน ความลับทางธุรกิจ หรือซอร์สโค้ดส่วนตัว	ไม่ควรใช้
ใช้ในบริษัท หน่วยงานรัฐ หรือองค์กรที่ต้องปฏิบัติตามข้อกำกับด้านข้อมูล	ควรให้ทีมกฎหมาย ความปลอดภัย และธรรมาภิบาลข้อมูลประเมินก่อน
ใช้ DeepSeek ผ่านแอปหรือบริการบุคคลที่สาม	ต้องตรวจนโยบายของแอปนั้นเอง เพราะนโยบาย DeepSeek ไม่ได้ครอบคลุมระบบ downstream ทุกกรณี

DeepSeek เก็บข้อมูลอะไรบ้าง

นโยบายความเป็นส่วนตัวของ DeepSeek ระบุว่า เมื่อผู้ใช้สร้างบัญชี ป้อนเนื้อหา ติดต่อบริษัทโดยตรง หรือใช้บริการ บริษัทอาจเก็บข้อมูลส่วนบุคคลหลายประเภท เช่น ข้อมูลบัญชี เนื้อหาที่ผู้ใช้ป้อนหรืออัปโหลด ประวัติการสนทนา ข้อมูลที่ส่งเมื่อติดต่อบริษัท ข้อมูลอุปกรณ์และเครือข่าย บันทึกการใช้งาน ที่อยู่ IP และตำแหน่งโดยประมาณ

สำหรับแชตบอต AI ความเสี่ยงไม่ได้อยู่แค่อีเมลที่ใช้สมัครหรือที่อยู่ IP เท่านั้น จุดสำคัญคือ “สิ่งที่คุณพิมพ์หรืออัปโหลด” ไม่ว่าจะเป็นพรอมป์ ข้อความ เอกสาร โค้ด ข้อมูลลูกค้า รายละเอียดสัญญา หรือไฟล์ภายในองค์กร เพราะนโยบายของ DeepSeek รวมข้อมูลที่ผู้ใช้ป้อนหรืออัปโหลดไว้ในขอบเขตข้อมูลที่อาจถูกเก็บได้

DeepSeek ยังระบุว่าสามารถใช้ข้อมูลส่วนบุคคลเพื่อดำเนินงาน ให้บริการ พัฒนา และปรับปรุงบริการ และจะเก็บข้อมูลไว้นานเท่าที่จำเป็นตามวัตถุประสงค์ในนโยบาย ดังนั้นอย่ามองช่องแชตเป็นพื้นที่ส่วนตัวสนิทเหมือนสมุดบันทึกส่วนตัว

ข้อมูลถูกประมวลผลหรือเก็บไว้ที่ไหน

นโยบายของ DeepSeek ระบุว่าข้อมูลส่วนบุคคลอาจถูกเก็บรวบรวม ประมวลผล และจัดเก็บโดยตรงในประเทศจีน NPR สื่อสาธารณะของสหรัฐฯ รายงานด้วยว่า ข้อมูลที่ DeepSeek เก็บจากผู้ใช้ในสหรัฐฯ ถูกส่งไปยังเซิร์ฟเวอร์ในจีนตามเงื่อนไขของบริษัท และหน่วยงานกำกับดูแลในหลายประเทศได้ตั้งคำถามเกี่ยวกับวิธีที่ DeepSeek ใช้ข้อมูล

ประเด็นนี้ไม่ได้พิสูจน์โดยอัตโนมัติว่าข้อมูลจะถูกนำไปใช้ผิดทาง แต่ในการประเมินความเสี่ยง ตำแหน่งที่ข้อมูลถูกประมวลผลและจัดเก็บเป็นเรื่องสำคัญมาก โดยเฉพาะกับองค์กรที่ถือข้อมูลลูกค้า ข้อมูลการเงิน ข้อมูลสุขภาพ ข้อมูลกฎหมาย หรือข้อมูลภายในที่ต้องจำกัดการเข้าถึง

สัญญาณเตือนด้านความปลอดภัยที่ควรรู้

นอกจากนโยบายข้อมูลแล้ว ยังมีรายงานทางเทคนิคที่ควรนำมาประกอบการตัดสินใจ Krebs on Security ซึ่งเป็นเว็บไซต์ด้านความปลอดภัยไซเบอร์ อ้างการวิเคราะห์ของ NowSecure เกี่ยวกับแอป DeepSeek บน iOS ว่าแอปดังกล่าวปิด App Transport Security ส่งข้อมูลอุปกรณ์บางส่วนแบบไม่เข้ารหัส และใช้อัลกอริทึม 3DES ที่ล้าสมัยพร้อมคีย์ที่ถูก hard-code ไว้ในแอป

Krebs ยังอ้างงานวิจัยของ Wiz ที่ระบุว่า DeepSeek เคยเปิดฐานข้อมูลให้เข้าถึงได้แบบสาธารณะ โดยมีบันทึกมากกว่า 1 ล้านบรรทัด รวมถึงประวัติแชต API secrets และข้อมูล backend ทั้งนี้รายงานระบุว่า DeepSeek แก้ไขหลังได้รับแจ้งแล้ว

ข้อเท็จจริงเหล่านี้ไม่ได้หมายความว่าการใช้ DeepSeek ทุกแบบจะอันตรายในทุกเวลา แต่ถ้าถามว่าเหมาะสำหรับข้อมูลลับหรือข้อมูลที่ต้องการความปลอดภัยสูงหรือไม่ หลักฐานที่มีอยู่ทำให้ไม่ควรมอง DeepSeek เป็นสภาพแวดล้อมที่ปลอดภัยระดับสูงโดยปริยาย

ใช้ผ่านแอปบุคคลที่สาม ปลอดภัยกว่าหรือไม่

ตอบไม่ได้จากชื่อ DeepSeek อย่างเดียว DeepSeek ระบุว่านโยบายความเป็นส่วนตัวของตนไม่ครอบคลุมการประมวลผลข้อมูลส่วนบุคคลของผู้ใช้ปลายทาง เมื่อผู้ใช้เข้าถึงระบบหรือแอป downstream ที่นักพัฒนาสร้างโดยใช้ open platform ของ DeepSeek

พูดง่าย ๆ คือ ถ้าคุณใช้แอปอื่นที่บอกว่า “ขับเคลื่อนด้วย DeepSeek” ความเสี่ยงไม่ได้ขึ้นกับ DeepSeek เพียงรายเดียว แต่ขึ้นกับแอปตัวกลางด้วยว่าเก็บข้อมูลอะไร เก็บไว้ที่ไหน แชร์กับใคร เก็บนานแค่ไหน และมีมาตรการป้องกันข้อมูลอย่างไร จึงควรอ่านนโยบายความเป็นส่วนตัวและเงื่อนไขของแอปนั้น ไม่ใช่อ่านเฉพาะของ DeepSeek

เช็กลิสต์ใช้ DeepSeek ให้เสี่ยงน้อยลง

1. อย่าใส่ข้อมูลอ่อนไหว เช่น รหัสผ่าน คีย์ API ข้อมูลลูกค้า เลขประจำตัว ข้อมูลการเงิน ข้อมูลสุขภาพ เอกสารกฎหมาย ความลับทางธุรกิจ หรือซอร์สโค้ดส่วนตัว
2. ทำข้อมูลให้ไม่ระบุตัวตนก่อนป้อน เปลี่ยนชื่อจริง อีเมล เบอร์โทร ชื่อบริษัท เลขสัญญา หรือรหัสโครงการเป็นข้อมูลสมมติ
3. หลีกเลี่ยงการอัปโหลดไฟล์ภายใน เพราะไฟล์อาจมี metadata ความเห็น ประวัติการแก้ไข หรือข้อมูลแฝงที่คุณไม่ทันสังเกต
4. แยกบัญชีทดลองออกจากบัญชีงาน หากองค์กรยังไม่อนุมัติเครื่องมือนี้ ไม่ควรใช้อีเมลบริษัทสมัครหรือเชื่อมต่อบริการ
5. ระวังแอปบุคคลที่สาม ถ้าแอประบุว่าใช้ DeepSeek ให้ตรวจนโยบายของแอปนั้นเอง เพราะนโยบายของ DeepSeek อาจไม่ครอบคลุมระบบ downstream
6. สำหรับองค์กร ควรกำหนดกติกาก่อนใช้ อย่างน้อยควรระบุว่าข้อมูลประเภทใดป้อนได้ ใครมีสิทธิใช้ เก็บบันทึกอย่างไร ตรวจสอบย้อนหลังได้หรือไม่ และรับมือเหตุข้อมูลรั่วอย่างไร

บทสรุป

DeepSeek อาจใช้ได้กับงานทดลอง งานเรียนรู้ หรือเนื้อหาที่ไม่เป็นความลับ แต่ไม่ควรใช้เป็นที่วางข้อมูลสำคัญของบุคคลหรือองค์กร จากนโยบายของ DeepSeek เองและรายงานอิสระที่มีอยู่ ยังไม่มีเหตุผลพอที่จะถือว่า DeepSeek เป็นตัวเลือกที่ปลอดภัยสำหรับข้อมูลอ่อนไหวหรือข้อมูลลับระดับองค์กร

ทางเลือกที่ปลอดภัยที่สุดคือเก็บข้อมูลสำคัญไว้นอกเครื่องมือ: อย่าป้อนรหัสผ่าน ข้อมูลลูกค้า เอกสารภายใน ความลับทางธุรกิจ ข้อมูลกฎหมาย ข้อมูลสุขภาพ ข้อมูลการเงิน หรือซอร์สโค้ดส่วนตัวลงใน DeepSeek