Microsoft Purview

Microsoft Purview คือชุดเครื่องมือกำกับดูแลข้อมูลและการปฏิบัติตามกฎเกณฑ์ของ Microsoft ที่องค์กรใช้คุมความเสี่ยงจากการใช้ AI สิ่งที่ครอบคลุมไม่ได้จำกัดแค่ microsoft-copilot เอกสารแบ่งแอปที่รองรับเป็นสามกลุ่ม กลุ่มแรกคือ Copilot และ agent ของ Microsoft เอง กลุ่มที่สองคือแอป AI ระดับองค์กรที่เชื่อมเข้ามา ซึ่งรวมถึง chatgpt-enterprise และ Claude รุ่นองค์กร และกลุ่มที่สามคือแอป AI อื่นที่ตรวจพบจากพฤติกรรมการใช้เบราว์เซอร์ เช่น ChatGPT รุ่นทั่วไป Gemini และ deepseek จุดนี้สำคัญเพราะแปลว่าเครื่องมือนี้ใช้มองเห็นการใช้ AI ทั้งองค์กรได้ ไม่ใช่แค่ของค่ายเดียว

ความสามารถหลักแบ่งได้เป็นสองด้าน ด้านการปกป้องข้อมูลมีป้ายกำกับความอ่อนไหวหรือ sensitivity label ซึ่งเป็นชั้นป้องกันเพิ่มเติม โดยเมื่อป้ายนั้นมีการเข้ารหัสกำกับ ผู้ใช้ต้องมีสิทธิ์ระดับที่กำหนดจึงจะให้ AI ดึงข้อมูลนั้นมาได้ ถัดมาคือ Data Loss Prevention หรือ DLP ที่ตรวจจับข้อมูลอ่อนไหวและบังคับนโยบายกันข้อมูลรั่ว ซึ่งใช้กับเครื่องที่ลงทะเบียนไว้เพื่อเตือนหรือบล็อกไม่ให้พนักงานวางข้อมูลอ่อนไหวลงในเว็บ AI ภายนอกได้ด้วย และมี Insider Risk Management ที่มีแม่แบบนโยบายสำหรับตรวจจับการใช้ AI แบบเสี่ยง ด้านการปฏิบัติตามกฎเกณฑ์มีการเก็บบันทึกการใช้งาน โดยคำสั่งและคำตอบทั้งหมดถูกบันทึกลงบันทึกการตรวจสอบรวม พร้อมข้อมูลว่าไปอ้างอิงไฟล์ไหนและไฟล์นั้นมีป้ายกำกับอะไร นอกจากนี้ยังมีการค้นหาหลักฐานทางกฎหมายแบบ eDiscovery ซึ่งทำได้เพราะคำสั่งและคำตอบถูกเก็บไว้ในกล่องจดหมายของผู้ใช้ และมีนโยบายเก็บรักษาหรือลบข้อมูลการใช้ AI อัตโนมัติ

จุดที่ควรเริ่มคือส่วนที่เอกสารเรียกว่าเป็นประตูหน้าบ้าน คือ Data Security Posture Management for AI ซึ่งใช้สำรวจว่าองค์กรใช้ AI ตรงไหนบ้าง ความเสี่ยงอยู่ที่ใด แล้วเสนอนโยบายที่กดใช้ได้ในคลิกเดียว สำหรับองค์กรไทย ประโยชน์ที่ตรงที่สุดมีสองข้อ ข้อแรกคือใช้ตอบคำถามผู้ตรวจสอบและฝ่ายกฎหมายได้ว่าใครใช้ AI ทำอะไรกับข้อมูลชุดไหนบ้าง ซึ่งเป็นหลักฐานที่กติกาอย่าง pdpa ต้องการเมื่อเกิดข้อพิพาท ข้อที่สองคือใช้จัดการ oversharing ก่อนเปิดใช้ Copilot จริง ข้อควรระวังคือความสามารถเหล่านี้ผูกกับระดับสิทธิ์การใช้งานที่องค์กรซื้อ ไม่ใช่ทุกองค์กรจะได้ครบทุกอย่าง จึงควรตรวจรายการที่ตัวเองมีจริงก่อนวางแผน

ตัวอย่างจากบทสนทนาจริง

ฝ่ายกำกับการปฏิบัติตามกฎเกณฑ์: "ถ้าวันหนึ่งมีข้อพิพาทแล้วต้องพิสูจน์ว่าพนักงานเอาข้อมูลลูกค้าไปให้ AI ประมวลผลหรือเปล่า เรามีหลักฐานไหมคะ"

ฝ่ายไอที: "มีครับถ้าเปิดใช้ให้ครบ คำสั่งและคำตอบของ Copilot ถูกบันทึกลงบันทึกการตรวจสอบรวม พร้อมบอกด้วยว่าไปอ้างอิงไฟล์ไหนและไฟล์นั้นมีป้ายกำกับความอ่อนไหวอะไร แล้วยังค้นย้อนหลังแบบ eDiscovery ได้เพราะข้อมูลเก็บอยู่ในกล่องจดหมายของผู้ใช้ แต่ผมต้องเช็กก่อนว่าสิทธิ์การใช้งานที่เราซื้อครอบคลุมส่วนไหนบ้าง เพราะความสามารถพวกนี้ไม่ได้มาครบทุกแพ็กเกจครับ"

ระวังสับสนกับ

• ai-governance : AI governance เป็นแนวคิดและกระบวนการกำกับดูแลการใช้ AI ให้รับผิดชอบได้ ซึ่งเป็นเรื่องของนโยบายและคน ส่วน Microsoft Purview คือสินค้าตัวหนึ่งที่ใช้บังคับนโยบายเหล่านั้นให้เกิดขึ้นจริงในระบบ
• guardrails : guardrails คือชั้นกรองที่กันไม่ให้โมเดลตอบหรือทำสิ่งที่ไม่ควร ซึ่งทำงานที่ตัวโมเดล ส่วน Purview ทำงานที่ชั้นข้อมูลและชั้นองค์กร คือคุมว่าข้อมูลไหนเข้าถึงได้ ใครใช้ไปแล้วบ้าง และเก็บหลักฐานไว้ตรวจย้อน
• oversharing : oversharing คือปัญหาที่ต้องแก้ ส่วน Purview คือหนึ่งในเครื่องมือที่ใช้แก้ปัญหานั้น โดยใช้คู่กับ SharePoint Advanced Management ตามคู่มือการติดตั้งของผู้ผลิต