กรณีศึกษา Samsung: เมื่อข้อมูลลับบริษัทรั่วผ่าน ChatGPT บทเรียนเรื่อง Shadow AI

พนักงานจำนวนมากใช้ ChatGPT สรุปเอกสาร แก้โค้ด หรือร่างอีเมลงานอยู่ทุกวัน คำถามสำหรับผู้บริหารคือ องค์กรรู้หรือไม่ว่าข้อมูลอะไรถูกส่งออกไปบ้าง ปรากฏการณ์นี้เรียกว่า Shadow AI คือการที่พนักงานใช้เครื่องมือ AI ทำงานโดยที่องค์กรไม่ได้อนุมัติหรือไม่มีกติกาควบคุม

กรณีศึกษาที่ถูกอ้างถึงบ่อยคือ Samsung ในปี 2023 ซึ่งพนักงานนำซอร์สโค้ดและเนื้อหาการประชุมภายในไปใส่ ChatGPT จนบริษัทต้องสั่งห้ามใช้ Generative AI บนอุปกรณ์บริษัท บทความนี้ถอดบทเรียนจากเหตุการณ์จริง พร้อมแนวทางที่องค์กรไทยนำไปใช้ได้

สรุปกรณีศึกษา Samsung ข้อมูลรั่วผ่าน ChatGPT

หัวข้อ	รายละเอียด
องค์กร	Samsung Electronics (เกาหลีใต้)
ช่วงเวลา	มีนาคม–พฤษภาคม 2023
เกิดอะไรขึ้น	พนักงานนำซอร์สโค้ดและเนื้อหาการประชุมภายในไปใส่ ChatGPT อย่างน้อย 3 ครั้ง
ผลกระทบ	ข้อมูลลับออกไปอยู่นอกการควบคุมของบริษัท และบริษัทสั่งห้ามใช้ Generative AI บนอุปกรณ์และเครือข่ายบริษัท
สาเหตุหลัก	เปิดให้ใช้ ChatGPT โดยมีแค่คำเตือน ยังไม่มีกติกาที่ชัดว่าข้อมูลแบบไหนห้ามใส่
บทเรียน	การสั่งห้ามแก้ได้ชั่วคราว สิ่งที่แก้ได้จริงคือ AI Governance (กรอบการกำกับดูแลการใช้ AI ในองค์กร) ที่ชัดเจน พร้อมเครื่องมือ AI ที่องค์กรอนุมัติ

เกิดอะไรขึ้นที่ Samsung

ช่วงเวลา	เหตุการณ์
11 มีนาคม 2023	ฝ่ายเซมิคอนดักเตอร์ (Device Solutions: DS) เริ่มอนุญาตให้พนักงานใช้ ChatGPT (TechCrunch)
ภายใน 20 วันหลังเริ่มอนุญาต	พบพนักงานนำข้อมูลภายในไปใส่ ChatGPT 3 ครั้ง Samsung จึงจำกัดความยาวคำถามไว้ที่ 1,024 ไบต์ (Tom's Hardware)
28 เมษายน 2023	Samsung ห้ามพนักงานฝ่าย DX (สมาร์ทโฟนและเครื่องใช้ไฟฟ้า) ใช้ Generative AI บนอุปกรณ์บริษัท ส่วนฝ่ายเซมิคอนดักเตอร์จำกัดการใช้อย่างมาก (KED Global)
ต้นพฤษภาคม 2023	Bloomberg รายงานบันทึกภายในที่จำกัดการใช้ Generative AI บนอุปกรณ์และเครือข่ายภายในของบริษัทเป็นการชั่วคราว (TechCrunch)

ตามที่สื่อเกาหลี Economist Korea รายงาน พนักงาน Samsung นำข้อมูลภายในไปใส่ ChatGPT 3 ครั้ง ได้แก่ วางซอร์สโค้ดฐานข้อมูลเซมิคอนดักเตอร์ให้ AI ช่วยหาจุดผิด วางโค้ดอีกชุดให้ช่วยปรับปรุงประสิทธิภาพ และให้ AI สรุปการประชุมภายใน ทั้ง 3 ครั้งเป็นงานประจำวันที่เจตนาดี ต่อมาบันทึกภายในของ Samsung ระบุว่าในเดือนเมษายน วิศวกรเผลอทำซอร์สโค้ดภายในรั่วด้วยการอัปโหลดขึ้น ChatGPT

ผลคือข้อมูลออกไปอยู่บนเซิร์ฟเวอร์ภายนอกที่เรียกคืนและลบได้ยาก พนักงานสูญเสียเครื่องมือที่เพิ่งได้ใช้ และผู้ฝ่าฝืนการห้ามอาจถูกลงโทษถึงขั้นเลิกจ้าง เหตุการณ์นี้ถูกรายงานโดยสื่อต่างประเทศจำนวนมาก แต่สิ่งที่ Samsung ทำได้ดีคือการตอบสนองและแก้ไขต่อเหตุการณ์ภายในไม่ถึง 2 เดือน กล่าวคือ สื่อสารว่าการห้ามเป็นมาตรการชั่วคราว และเริ่มพัฒนาเครื่องมือ AI ภายในให้พนักงานใช้แทน

ทำไมนี่คือ Shadow AI และสาเหตุที่แท้จริง

เหตุการณ์ของ Samsung เป็นตัวอย่างของ Shadow AI ในความหมายกว้าง แม้ฝ่ายเซมิคอนดักเตอร์จะอนุญาตให้ใช้ ChatGPT แต่ยังไม่มีกติกาควบคุมว่าข้อมูลแบบไหนห้ามใส่ และปัญหานี้ไม่ได้เกิดกับ Samsung เท่านั้น Proofpoint อ้างรายงานของ Menlo ปี 2025 ที่พบว่า พนักงาน 68% ใช้บัญชีส่วนตัวเข้าเครื่องมือ AI ฟรีอย่าง ChatGPT และ 57% ในกลุ่มนี้ใส่ข้อมูลสำคัญลงไป

การสรุปว่า "พนักงานประมาท" ไม่ได้ช่วยแก้ปัญหา เพราะคนอื่นก็จะทำแบบเดียวกันในสถานการณ์เดียวกัน ดังนั้น เมื่อวิเคราะห์จากเหตุการณ์ สาเหตุที่แท้จริงอยู่ที่ระบบ 3 เรื่อง:

• มีแค่คำเตือน ไม่มีกติกาการใช้ AI ที่ชัด พนักงานไม่รู้ว่าข้อมูลแบบไหนใส่ได้ แบบไหนห้ามใส่

• ไม่ได้ระบุชั้นความลับของข้อมูลที่ห้ามใส่ AI (data classification) โค้ดที่ใช้ทุกวันจึงอาจไม่ถูกมองว่าเป็นความลับ

• ไม่มีเครื่องมือ AI ภายในที่ข้อมูลไม่ออกนอกองค์กร พนักงานจึงใช้ ChatGPT สาธารณะ ซึ่งส่งข้อมูลไปยังเซิร์ฟเวอร์ภายนอก

  
  

ถ้าเกิดในองค์กรไทย: Shadow AI กับ PDPA

ถ้าสิ่งที่พนักงานวางลง AI เป็นรายชื่อผู้เอาประกัน หรือบันทึกการประชุมที่มีชื่อและเบอร์โทรลูกค้า การส่งออกไปยังบริการภายนอกโดยไม่มีการควบคุมจะกลายเป็นคำถามตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) ทันที เช่น ใครอนุญาตให้ส่ง ข้อมูลถูกเก็บที่ไหน และองค์กรรู้หรือไม่ว่ามีการส่งเกิดขึ้น ซึ่งความเสี่ยงนี้มีอยู่ในทุกฝ่ายที่ใช้ AI ช่วยงาน ไม่ใช่แค่ฝ่าย IT

นอกจาก PDPA ที่บังคับใช้แล้ว หน่วยงานไทยเริ่มออกแนวปฏิบัติเฉพาะด้าน AI แล้ว คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ออกร่างแนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคลในการพัฒนาและใช้ AI เมื่อกุมภาพันธ์ 2026 และสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ออกแนวปฏิบัติด้าน AI Security เมื่อกันยายน 2025 องค์กรที่เริ่มวางกติกาการใช้ AI ตั้งแต่ตอนนี้ จะปรับตัวตามแนวปฏิบัติเหล่านี้ได้ง่ายกว่า

แม้ไม่เกี่ยวกับกรณี Samsung โดยตรง แต่องค์กรไทยที่ให้บริการหรือใช้ AI กับตลาดยุโรปควรติดตาม EU AI Act ด้วย กฎหมายนี้มีผลตั้งแต่สิงหาคม 2024 ข้อห้ามและกฎสำหรับโมเดล AI ทั่วไป (GPAI) บังคับใช้แล้ว ส่วนข้อกำหนดสำหรับระบบ AI ความเสี่ยงสูงถูกเลื่อนออกไปตามการแก้ไขที่เรียกว่า Digital Omnibus เป็น 2 ธันวาคม 2027 สำหรับระบบแบบ standalone และ 2 สิงหาคม 2028 สำหรับระบบที่ฝังในผลิตภัณฑ์

6 มาตรการป้องกันข้อมูลรั่วจาก Shadow AI

มาตรการด้านล่างสรุปจากแนวปฏิบัติการจัดการ Shadow AI ของ Proofpoint และแนวปฏิบัติด้านความปลอดภัยข้อมูลในระบบ AI ที่ CISA, NSA และ FBI ออกร่วมกันเมื่อพฤษภาคม 2025 การแบ่งประเภทและผู้รับผิดชอบเป็นการจัดกลุ่มเพื่อให้องค์กรนำไปใช้ง่ายขึ้น

มาตรการ	ประเภท	ผู้รับผิดชอบ
1. สำรวจว่าพนักงานใช้ AI อะไร กับงานอะไร	ตรวจจับ	IT / Risk
2. จัดชั้นความลับของข้อมูล พร้อมตัวอย่างจริงทุกชั้น	ป้องกัน	Data Governance / DPO
3. ออกนโยบายการใช้ AI ในองค์กร ที่บอกทั้ง "ทำได้" และ "ห้ามทำ"	ป้องกัน	ผู้บริหาร + ฝ่ายกฎหมาย
4. จัดหาเครื่องมือ AI ที่องค์กรอนุมัติ	ป้องกัน	IT + จัดซื้อ
5. ตั้งระบบตรวจจับข้อมูลสำคัญก่อนออกนอกองค์กร (Data Loss Prevention: DLP)	ตรวจจับ	IT Security
6. อบรมด้วยสถานการณ์จริง และเปิดให้พนักงานแจ้งเครื่องมือ AI ที่ใช้อยู่ได้โดยไม่ถูกลงโทษ	รับมือ	HR + DPO

คำถามที่พบบ่อยเกี่ยวกับ Shadow AI

• Shadow AI คืออะไร?

  คือการที่พนักงานใช้เครื่องมือ AI ทำงานโดยที่องค์กรไม่ได้อนุมัติหรือไม่รู้ เช่น ใช้บัญชี ChatGPT ส่วนตัวสรุปเอกสารบริษัท

• Shadow AI ต่างจาก Shadow IT อย่างไร?

  Shadow AI เป็นส่วนหนึ่งของ Shadow IT ที่เกี่ยวกับเครื่องมือ AI โดยเฉพาะ จุดที่ต้องระวังคือข้อมูลที่พิมพ์หรือวางลงไปจะถูกส่งเข้าระบบภายนอกทันที

• พนักงานใช้ ChatGPT ทำงานได้ไหม?

  ได้ ถ้าองค์กรอนุมัติเครื่องมือและมีนโยบายบอกชัดว่าห้ามใส่ข้อมูลประเภทไหน เช่น ซอร์สโค้ด ข้อมูลลูกค้า หรือข้อมูลส่วนบุคคล

• ควรเริ่มป้องกัน Shadow AI จากตรงไหน?

  เริ่มจากสำรวจว่าพนักงานใช้ AI อะไรอยู่จริง แล้วจัดชั้นความลับของข้อมูล ก่อนออกนโยบายและจัดหาเครื่องมือที่อนุมัติ

  
  

ปกป้ององค์กรจาก Shadow AI ด้วย AI Security จาก Coraline

บทเรียนจากกรณีศึกษา Samsung คือการสั่งห้ามช่วยได้เพียงชั่วคราว องค์กรต้องรู้ว่ามีการใช้ AI ที่ไหน เสี่ยงแค่ไหน และควบคุมได้จริงหรือไม่ นี่คือหน้าที่ของ AI Security (การดูแลความปลอดภัยของข้อมูลและระบบที่เกี่ยวข้องกับ AI) โดยมี AI Governance เป็นฐานที่ทำให้มาตรการเหล่านี้ใช้ได้ต่อเนื่อง

Coraline ผู้เชี่ยวชาญด้าน Data และ AI Governance เปิดตัว AI Audit and AI Security Service เมื่อสิงหาคม 2026 เพื่อช่วยองค์กร:

• ตรวจสอบระบบ AI อย่างเป็นระบบ (AI Audit) ตรวจว่าระบบ AI ที่องค์กรใช้อยู่ปลอดภัยและตรวจสอบย้อนหลังได้

• ประเมินความเสี่ยงด้าน AI (AI Risk Assessment) ระบุจุดที่ข้อมูลสำคัญอาจรั่วไหลจากการใช้ AI

• กำกับดูแลการใช้ AI (AI Governance) วางกติกาและการควบคุมให้พนักงานใช้ AI ได้อย่างปลอดภัย

  
  

AI ที่พนักงานของคุณใช้ทุกวัน ปลอดภัยและตรวจสอบได้หรือยัง?

ปรึกษา Coraline ผู้เชี่ยวชาญด้าน AI Security

อีเมล inquiry@coraline.co.th หรือโทร 02-096-4465

แหล่งอ้างอิง

1. TechCrunch (2 พ.ค. 2023). Samsung bans use of generative AI tools like ChatGPT after April internal data leak. https://techcrunch.com/2023/05/02/samsung-bans-use-of-generative-ai-tools-like-chatgpt-after-april-internal-data-leak

2. Anton Shilov, Tom’s Hardware (3 เม.ย. 2023). Samsung Fab Workers Leak Confidential Data While Using ChatGPT. https://www.tomshardware.com/news/samsung-fab-workers-leak-confidential-data-to-chatgpt

3. Kris Holt, Engadget (7 เม.ย. 2023). Three Samsung employees reportedly leaked sensitive data to ChatGPT. https://www.engadget.com/three-samsung-employees-reportedly-leaked-sensitive-data-to-chatgpt-190221114.html

4. Olivia Powell, CS Hub (21 เม.ย. 2023). IOTW: Samsung employees allegedly leak proprietary information via ChatGPT. https://www.cshub.com/data/news/iotw-samsung-employees-allegedly-leak-proprietary-information-via-chatgpt

5. Shweta Sharma, CSO Online (2 พ.ค. 2023). Samsung bans staff AI use over data leak concerns. https://www.csoonline.com/article/3695170/samsung-bans-staff-ai-use-over-data-leak-concerns.html

6. KED Global (2 พ.ค. 2023). Spooked by data leak, Samsung bans use of ChatGPT, other AI tools. https://amp.kedglobal.com/newsView/ked202305020022

7. TheWrap. Samsung Cracks Down on Staff Use of AI, Citing Security Risks. https://www.thewrap.com/samsung-bans-staff-ai-use-citing-security-concerns/

8. Proofpoint (อัปเดต 23 มี.ค. 2026). What Is Shadow AI? https://www.proofpoint.com/us/threat-reference/shadow-ai

9. Tilleke & Gibbins (27 มี.ค. 2026). Comprehensive Policy: Thailand’s AI Governance Framework. https://www.tilleke.com/insights/comprehensive-policy-thailands-ai-governance-framework/2/

10. euaiact.com. Digital Omnibus on AI: what changed in the EU AI Act. https://www.euaiact.com/digital-omnibus-ai

11. CISA (22 พ.ค. 2025). New Best Practices Guide for Securing AI Data Released. https://www.cisa.gov/news-events/alerts/2025/05/22/new-best-practices-guide-securing-ai-data-released