Data Governance

Data governance คือกรอบการบริหารจัดการข้อมูลขององค์กรให้มีกฎกติกาชัดเจน ว่าใครเป็นเจ้าของข้อมูลชุดไหน ข้อมูลต้องมีคุณภาพระดับไหนถึงเรียกว่าใช้งานได้ ใครมีสิทธิ์เข้าถึงหรือแก้ไขข้อมูลนั้น และข้อมูลแต่ละชุดต้องจัดชั้นความลับแบบไหน DAMA International ซึ่งเป็นสมาคมวิชาชีพด้านการจัดการข้อมูลที่พัฒนากรอบความรู้ DAMA-DMBOK อธิบายบทบาทของ data governance ในกรอบนี้ว่าเป็นการวางนโยบาย บทบาท และมาตรฐานสำหรับบริหารข้อมูลในฐานะสินทรัพย์ทางธุรกิจ เพื่อให้เกิดการปฏิบัติตามกฎ ความรับผิดชอบที่ชัดเจน และความสม่ำเสมอทั่วทั้งองค์กร บริษัท Collibra ผู้พัฒนาแพลตฟอร์ม data governance ให้นิยามไปในทิศทางเดียวกันว่าเป็นวินัยขององค์กรในการบริหารและจัดระเบียบข้อมูลกับกระบวนการทำงาน เพื่อให้เกิดความร่วมมือและการเข้าถึงข้อมูลที่สอดคล้องกับกฎเกณฑ์ และย้ำว่าเป็นวินัยขององค์กรที่มีเครื่องมือมาสนับสนุนการทำงาน ไม่ใช่การซื้อซอฟต์แวร์มาติดตั้งแล้วจบในตัวเอง

ในทางปฏิบัติ data governance ต้องอาศัยหลายบทบาททำงานร่วมกัน Collibra อธิบายว่าองค์ประกอบหลักมีทั้งการกำหนดเจ้าของข้อมูล (data owner) และผู้ดูแลข้อมูล (data steward) ทั้งฝั่งธุรกิจและฝั่งเทคนิค การตรวจสอบคุณภาพข้อมูลว่าสะอาดและใช้งานได้ตรงจุดประสงค์หรือไม่ การบันทึกเส้นทางข้อมูลตลอดวงจรชีวิตว่าไหลผ่านระบบไหนบ้าง การจัดกลุ่มข้อมูลเป็นหมวดหมู่เช่นข้อมูลลูกค้าหรือข้อมูลผู้ขายพร้อมควบคุมว่าใครเข้าถึงได้ และการวัดว่าองค์กรทำตามมาตรฐานภายในและกฎเกณฑ์ภายนอกได้มากแค่ไหน เครื่องมือซอฟต์แวร์ที่ทำหน้าที่นี้มีหลายเจ้าในตลาด ตัวอย่างเช่น microsoft-purview ที่ให้องค์กรสแกนแหล่งข้อมูลเก็บ metadata เข้า Data Map แล้วบริหารคุณภาพและสิทธิ์ผ่าน Unified Catalog โดย Microsoft แนะนำแนวทางแบบ federated คือให้ศูนย์กลางข้อมูลขององค์กรวางกติกากลาง ขณะที่แต่ละแผนกที่เข้าใจข้อมูลของตัวเองเป็นคนดูแลรายละเอียด แบ่งบทบาทเป็นเจ้าของข้อมูลที่จัดชั้นความลับและดูแลคุณภาพ ผู้ดูแลข้อมูลที่รับผิดชอบความถูกต้องและการค้นหา และผู้ใช้ข้อมูลที่ขอสิทธิ์เข้าถึงผ่านกระบวนการที่วางไว้

คนทำงานมักเจอคำนี้ตอนบริษัทเริ่มนำ AI มาใช้กับข้อมูลภายใน เพราะ Microsoft ระบุว่ายุคที่กฎเกณฑ์เปลี่ยนตลอดเวลาบวกกับการขยายตัวของ AI ทำให้ data governance สำคัญพอกับความปลอดภัยของข้อมูล ประเด็นที่ต้องระวังที่สุดคือถ้าสิทธิ์เข้าถึงไฟล์ในระบบต้นทางตั้งไว้หลวมตั้งแต่แรก เครื่องมือค้นข้อมูลด้วย AI แบบ rag หรือแพลตฟอร์มอย่าง glean จะยิ่งทำให้พนักงานเจอไฟล์ที่ไม่ควรเห็นได้เร็วและง่ายกว่าเดิมมาก เพราะ AI ค้นได้ทั่วถึงกว่ามนุษย์ไล่หาเอง ข้อจำกัดอีกข้อที่ควรรู้คือ Microsoft ระบุชัดว่าข้อมูลทั้งหมดในสองส่วนที่เป็นเครื่องมือ governance ของ Purview คือ Data Map และ Unified Catalog เป็น metadata ไม่ใช่ตัวข้อมูลจริง และไม่มีสิทธิ์หรือบทบาทใดในสองส่วนนี้ที่ให้ผู้ใช้เข้าถึงข้อมูลต้นฉบับได้ ข้อควรระวังคือขอบเขตนี้ใช้กับฝั่ง governance เท่านั้น เพราะ Purview ยังมีเครื่องมือฝั่งความปลอดภัยข้อมูลอย่าง Data Loss Prevention และ Information Protection ที่ทำงานกับเนื้อข้อมูลจริง องค์กรจึงต้องคุมทั้งสองชั้นคู่กัน คือชั้น governance ที่ดูแลนโยบายและ metadata กับชั้นสิทธิ์จริงในระบบเก็บข้อมูลปลายทาง

ตัวอย่างจากบทสนทนาจริง

ฝ่ายไอที: "จะเปิดให้พนักงานใช้ glean ค้นเอกสารทั้งบริษัทผ่าน AI แต่ยังไม่เคยมีใครกำหนดว่าโฟลเดอร์ไหนใครเป็นเจ้าของ ต้องเริ่มตรงไหนก่อนดีครับ"

หัวหน้าฝ่ายข้อมูล: "ต้องวาง data governance ก่อนเลย กำหนดเจ้าของข้อมูลแต่ละชุด จัดชั้นความลับ แล้วตั้งสิทธิ์เข้าถึงให้ตรงกับชั้นนั้น ไม่งั้นพอเปิด AI ค้นหาเข้าไป มันจะเจอไฟล์ที่ควรปิดไว้เร็วกว่าที่คนเคยเจอมาก่อนอีก"

ฝ่ายไอที: "แล้วต่างจากเรื่อง data-privacy ที่ฝ่ายกฎหมายทำอยู่ยังไงครับ"

หัวหน้าฝ่ายข้อมูล: "privacy โฟกัสเฉพาะข้อมูลส่วนบุคคล ส่วน governance ดูแลข้อมูลทุกชุดในองค์กร ทั้งคุณภาพ เจ้าของ และสิทธิ์เข้าถึง ครอบคลุมกว้างกว่ามาก"

ระวังสับสนกับ

• ai-governance : ai governance ควบคุมการใช้งานระบบ AI เอง เช่นความเสี่ยงจากผลลัพธ์ของโมเดล ใครรับผิดชอบเมื่อ AI ตัดสินใจพลาด ส่วน data governance ควบคุมตัวข้อมูลที่ป้อนเข้าหรือไหลออกจากระบบเหล่านั้น คือเจ้าของข้อมูล คุณภาพ วงจรชีวิต และสิทธิ์เข้าถึง สองเรื่องเกี่ยวเนื่องกันเพราะ AI governance ที่ดีต้องพึ่งฐานข้อมูลที่ผ่าน data governance มาก่อน แต่เป็นคนละชั้นของปัญหา
• data-privacy : data privacy โฟกัสเฉพาะข้อมูลส่วนบุคคลและสิทธิของเจ้าของข้อมูลว่ายินยอมให้เก็บและใช้แค่ไหน ส่วน data governance ครอบคลุมกว้างกว่านั้นคือกรอบบริหารข้อมูลทุกประเภทในองค์กรทั้งข้อมูลส่วนบุคคลและข้อมูลธุรกิจอื่น data privacy จึงเป็นเพียงส่วนหนึ่งของ data governance ไม่ใช่คำเดียวกัน
• pdpa : pdpa คือกฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทยที่กำหนดข้อบังคับทางกฎหมายที่องค์กรต้องทำตาม ส่วน data governance คือแนวปฏิบัติภายในที่องค์กรวางเองเพื่อให้ทำตามกฎหมายแบบ pdpa ได้จริง พร้อมวางมาตรฐานคุณภาพและสิทธิ์เข้าถึงข้อมูลเพิ่มเติมนอกเหนือจากที่กฎหมายบังคับ
• shadow-ai : shadow AI คือพนักงานแอบใช้เครื่องมือ AI ที่บริษัทไม่ได้อนุมัติ ซึ่งมักเป็นผลจากการไม่มี data governance ที่ชัดเจนตั้งแต่แรก ทำให้ไม่มีใครรู้ว่าข้อมูลอะไรถูกส่งออกไปที่ไหนบ้าง