บทความ · นโยบายและความปลอดภัยข้อมูล

Shadow AI ในองค์กร: คนไทย 81% ของผู้ใช้ AI ใช้เครื่องมือที่เลือกเอง วิธีสำรวจ เครื่องมือตรวจจับ และแผน 30 วัน

Treepob Tiangtrong (Champ) · ผู้ก่อตั้งและซีอีโอ TRAINIAC · 24 ตุลาคม 2026

TL;DR Shadow AI คือการที่พนักงานใช้เครื่องมือ AI ที่องค์กรไม่ได้อนุมัติ Microsoft พบว่าคนทำงานสายความรู้ในไทย 92% ใช้ AI ในงาน และ 81% ของผู้ใช้ใช้เครื่องมือที่เลือกเอง IBM พบว่า 1 ใน 5 องค์กรเคยถูกเจาะข้อมูลจาก Shadow AI และมีเพียง 37% ที่มีนโยบายจัดการหรือตรวจจับ ทางแก้ที่ได้ผลคือให้เครื่องมือแบบองค์กรที่ดีพอ สำรวจแบบไม่ลงโทษ แล้วบล็อกเฉพาะส่วนที่เสี่ยง บทความนี้มีตัวเลขที่ตรวจจากต้นฉบับ เครื่องมือตรวจจับของ Microsoft และ Google แบบสำรวจที่คัดลอกไปใช้ได้ และแผน 30 วัน

Shadow AI คือการที่พนักงานใช้เครื่องมือ AI ที่องค์กรไม่ได้อนุมัติหรือไม่รู้ว่ามีการใช้ และในไทยเรื่องนี้เกิดขึ้นแล้วในวงกว้าง ผลสำรวจ Work Trend Index 2024 ของ Microsoft พบว่าคนทำงานสายความรู้ในไทย 92% ใช้ AI ในงาน และในกลุ่มนี้ 81% ใช้เครื่องมือที่เลือกเอง ความเสี่ยงจึงไม่ใช่เรื่องสมมติ IBM Cost of a Data Breach 2025 พบว่า 1 ใน 5 องค์กรที่ศึกษาเคยถูกเจาะข้อมูลจาก Shadow AI องค์กรที่ใช้ Shadow AI สูงเสียหายเพิ่มเฉลี่ย 670,000 ดอลลาร์ และมีเพียง 37% ที่มีนโยบายจัดการหรือตรวจจับ Shadow AI ทางแก้ที่ได้ผลไม่ใช่การห้ามใช้ทั้งหมด แต่คือให้เครื่องมือแบบองค์กรที่ดีพอให้คนเลิกใช้บัญชีส่วนตัว สำรวจการใช้จริงแบบไม่ลงโทษ แล้วค่อยบล็อกเฉพาะส่วนที่เสี่ยง ผลศึกษาของ ETDA ปี 2024 ชี้ด้วยว่าเหตุผลอันดับสองที่องค์กรไทยยังไม่ใช้ AI คือรอนโยบายจากผู้บริหาร บทความนี้มีตัวเลขที่ตรวจจากต้นฉบับ เครื่องมือตรวจจับที่ผู้ให้บริการเปิดให้ใช้ แบบสำรวจ Shadow AI ที่คัดลอกไปใช้ได้ และแผน 30 วัน

ตัวเลขตรวจจากหน้าต้นฉบับของผู้จัดทำแต่ละรายเมื่อ 24 ต.ค. 2026 ผลสำรวจแต่ละชุดใช้กลุ่มตัวอย่างต่างกัน จึงไม่ควรนำตัวเลขมาเทียบกันตรง ๆ

ตัวเลขที่ตรวจแล้ว

ผู้จัดทำกลุ่มตัวอย่างตัวเลขที่เกี่ยวกับ Shadow AI
Microsoft Work Trend Index 2024 (ไทย)คนทำงานสายความรู้ในไทย92% ใช้ AI ในงาน · 81% ของผู้ใช้ใช้เครื่องมือที่เลือกเอง · 64% ของผู้นำไทยกังวลว่าผู้บริหารยังไม่มีแผน AI
Microsoft Work Trend Index 2024 (ทั่วโลก)31,000 คนใน 31 ประเทศ78% ของผู้ใช้ AI นำ AI ของตัวเองมาใช้ · 52% ไม่อยากบอกว่าใช้ AI กับงานสำคัญที่สุด
IBM Cost of a Data Breach 2025600 องค์กร1 ใน 5 เคยถูกเจาะข้อมูลจาก Shadow AI · ใช้ Shadow AI สูงเสียหายเพิ่ม 670,000 ดอลลาร์ · 37% มีนโยบายจัดการหรือตรวจจับ
Cisco Data Privacy Benchmark 2024ผู้เชี่ยวชาญด้านข้อมูลและความปลอดภัย 2,600 คน48% ยอมรับว่าเคยใส่ข้อมูลที่ไม่เปิดเผยของบริษัทลง Generative AI · 27% เคยห้ามใช้อย่างน้อยชั่วคราว
ISACA AI Pulse Poll 2026ผู้เชี่ยวชาญ 3,400 คนขึ้นไป90% เชื่อว่าพนักงานใช้ AI · 38% มีนโยบาย AI ที่เป็นทางการและครอบคลุม
ETDA และ สวทช. 2024องค์กรไทย 580 แห่งเหตุผลสามอันดับแรกที่ยังไม่ใช้ AI คือ ยังศึกษาข้อมูล รอนโยบายจากผู้บริหาร และยังขาดความพร้อม
จากหน้าข่าวของ Microsoft ประเทศไทย, Microsoft WorkLab, IBM, Cisco, ISACA และ ETDA ตรวจ 24 ต.ค. 2026

ยังไม่พบผลสำรวจของหน่วยงานรัฐไทยที่วัดการใช้ AI ของพนักงานในปี 2025–2026 ตัวเลขของไทยที่ดีที่สุดตอนนี้จึงยังเป็นของ Microsoft ปี 2024

ทำไมห้ามใช้อย่างเดียวไม่ได้ผล

ตัวเลขชุดเดียวกันบอกเหตุผล คนส่วนใหญ่ใช้ AI อยู่แล้ว และครึ่งหนึ่งไม่อยากบอกว่าใช้ การห้ามจึงมักทำให้การใช้ย้ายไปอยู่ในโทรศัพท์และบัญชีส่วนตัวที่องค์กรมองไม่เห็น แนวทาง AI ของ สคส. จึงแนะนำให้ผู้บริหารห้ามพนักงานนำ AI ส่วนตัวมาเชื่อมกับข้อมูลบริษัท และให้ใช้รุ่นสำหรับองค์กรที่มีข้อตกลงคุ้มครองข้อมูลแทน (PDPA กับการใช้ AI) ความต่างระหว่างสองแบบดูที่AI แบบ enterprise กับแบบใช้ฟรี

เครื่องมือตรวจจับและควบคุม

เครื่องมือทำอะไรได้เงื่อนไข
Microsoft Defender for Cloud Appsapp catalog มีหมวด Generative AI ให้กรอง ดูปัจจัยความเสี่ยง และตั้งสถานะอนุญาตหรือไม่อนุญาตตั้งนโยบายให้ระบบยกเลิกการอนุญาตแอปที่เสี่ยงอัตโนมัติได้
Defender for Endpoint ร่วมกับ Defender for Cloud Appsแอปที่ตั้งเป็น Unsanctioned ถูกบล็อกบนเครื่องของพนักงาน และแสดงหน้าแจ้งเตือนที่ลิงก์ไปนโยบาย AI ได้ต้องเปิด network protection แบบ block · มีผลภายในไม่เกินสามชั่วโมง
Microsoft Purview DSPM for AIเห็นการเข้าเว็บ AI และข้อมูลอ่อนไหวที่ส่งเข้า AIเว็บ AI ภายนอกต้องติดตั้งส่วนขยายเบราว์เซอร์และลงทะเบียนอุปกรณ์
Chrome Enterprise Premiumแม่แบบกฎบันทึกการเข้าเว็บกลุ่ม Generative AI บล็อกการวางข้อความ หรือบล็อกการเข้าเว็บ โดยยกเว้น Geminiต้องมีส่วนเสริม Chrome Enterprise Premium
จาก Microsoft Learn และหน้าช่วยเหลือ Chrome Enterprise ของ Google ตรวจ 24 ต.ค. 2026

Microsoft มีแนวทางสี่ขั้นชื่อ Prevent data leak to shadow AI ได้แก่ ค้นหาแอป AI ที่ใช้อยู่ บล็อกแอปที่ไม่อนุญาต กันข้อมูลอ่อนไหวไม่ให้เข้าแอปที่อนุญาต และกำกับกับเก็บรักษา prompt องค์กรที่ใช้ Claude, ChatGPT หรือ Gemini แบบองค์กรใช้หลักเดียวกันได้ คือรู้ก่อนว่าใช้อะไร แล้วเปิดทางที่ปลอดภัยให้ก่อนบล็อก

แบบสำรวจ Shadow AI แบบไม่ลงโทษ

ส่งแบบสำรวจนี้แบบไม่ระบุชื่อ และบอกชัดว่าคำตอบใช้เลือกเครื่องมือ ไม่ใช่ใช้ลงโทษ

คำถามใช้ตัดสินใจเรื่องอะไร
ใช้ AI ตัวไหนในงานบ้าง และใช้ด้วยบัญชีส่วนตัวหรือบัญชีบริษัทรายชื่อเครื่องมือที่ต้องจัดการก่อน
ใช้กับงานอะไรบ่อยที่สุดสามอย่างเลือกเครื่องมือแบบองค์กรที่ตอบงานจริง
เคยวางข้อมูลประเภทไหนลงไป เช่น ข้อมูลลูกค้า เอกสารภายใน ตัวเลขการเงินระดับความเสี่ยงและเรื่องที่ต้องรีบอบรม
อะไรทำให้ไม่ใช้เครื่องมือที่บริษัทจัดให้ช่องว่างของเครื่องมือหรือการตั้งค่า
อยากให้บริษัทช่วยเรื่องอะไรหัวข้ออบรมและคู่มือที่ต้องทำ
แม่แบบของ TRAINIAC · ใช้คู่กับรายงานจากเครื่องมือตรวจจับเพื่อเทียบสิ่งที่คนบอกกับสิ่งที่ระบบเห็น

แผน 30 วัน

  1. สัปดาห์ที่ 1 ส่งแบบสำรวจ และเปิดรายงานการใช้แอป AI จากเครื่องมือที่องค์กรมีอยู่
  2. สัปดาห์ที่ 2 เลือกเครื่องมือแบบองค์กรหนึ่งถึงสองตัวที่ตอบงานที่คนใช้มากที่สุด (เลือกเครื่องมือ AI ให้องค์กร)
  3. สัปดาห์ที่ 3 ประกาศนโยบายสั้น ๆ ว่าใช้อะไรได้ ข้อมูลอะไรห้ามป้อน และถามใคร (นโยบาย AI สำหรับองค์กรไทย)
  4. สัปดาห์ที่ 4 อบรมพนักงานให้ใช้เครื่องมือที่อนุมัติเป็น แล้วจึงตั้งการบล็อกเฉพาะแอปที่เสี่ยงสูง

แหล่งอ้างอิง

อ่านต่อ

ความเสี่ยงอื่นที่ต้องคุมคู่กันดูที่ความเสี่ยงจาก AI ที่องค์กรต้องจัดการ และถ้าเกิดเหตุข้อมูลรั่วแล้วดูแม่แบบแผนรับมือเหตุจาก AI

คำถามที่พบบ่อย

Shadow AI คืออะไร?
Shadow AI คือการที่พนักงานใช้เครื่องมือ AI โดยที่ฝ่าย IT หรือฝ่ายความปลอดภัยขององค์กรไม่รู้ ไม่ได้อนุมัติ หรือไม่ได้กำกับดูแล เช่น ใช้บัญชี ChatGPT หรือ Gemini ส่วนตัวกับเอกสารงาน Microsoft นิยามไว้ในแนวทาง Prevent data leak to shadow AI ว่าเป็นการใช้โดยไม่มีความรู้ การอนุมัติ หรือการกำกับดูแลของ IT หรือฝ่ายความปลอดภัยที่มา: Prevent data leak to shadow AI · Microsoft Learn
คนไทยใช้ AI ที่บริษัทไม่ได้จัดให้มากแค่ไหน?
ผลสำรวจ Work Trend Index 2024 ของ Microsoft พบว่าคนทำงานสายความรู้ในไทย 92% ใช้ AI ในงาน สูงกว่าค่าเฉลี่ยโลกที่ 75% และในกลุ่มผู้ใช้นี้ 81% ใช้เครื่องมือ AI ที่เลือกเอง ซึ่ง Microsoft เรียกว่า Bring Your Own AI และระบุว่าอาจทำให้ข้อมูลบริษัทเสี่ยงที่มา: Work Trend Index 2024 ประเทศไทย · Microsoft
Shadow AI ทำให้เสียหายแค่ไหน?
IBM Cost of a Data Breach 2025 พบว่า 1 ใน 5 องค์กรที่ศึกษาเคยถูกเจาะข้อมูลจาก Shadow AI องค์กรที่ใช้ Shadow AI สูงเสียค่าความเสียหายจากการถูกเจาะเพิ่มเฉลี่ย 670,000 ดอลลาร์เทียบกับองค์กรที่ใช้น้อยหรือไม่ใช้ และมีเพียง 37% ที่มีนโยบายจัดการ AI หรือตรวจจับ Shadow AIที่มา: Cost of a Data Breach 2025 · IBM
ควรห้ามพนักงานใช้ AI เลยไหม?
การห้ามอย่างเดียวมักทำให้การใช้ย้ายไปอยู่ในบัญชีส่วนตัวที่องค์กรมองไม่เห็น Microsoft พบว่า 52% ของคนทำงานไม่อยากบอกว่าใช้ AI กับงานสำคัญที่สุด ทางที่ได้ผลกว่าคือจัดเครื่องมือแบบองค์กรที่มีข้อตกลงคุ้มครองข้อมูล ประกาศว่าข้อมูลอะไรห้ามป้อน อบรม แล้วบล็อกเฉพาะแอปที่เสี่ยงที่มา: AI at work is here. Now comes the hard part · Microsoft WorkLab
ตรวจจับ Shadow AI ในองค์กรได้อย่างไร?
Microsoft Defender for Cloud Apps มีหมวด Generative AI ใน app catalog ให้ดูความเสี่ยงและตั้งสถานะอนุญาตหรือไม่อนุญาต แอปที่ตั้งเป็น Unsanctioned ถูกบล็อกผ่าน Defender for Endpoint ภายในไม่เกินสามชั่วโมง ส่วน Chrome Enterprise Premium มีแม่แบบกฎบล็อกการวางข้อความบนเว็บกลุ่ม Generative AI โดยยกเว้น Geminiที่มา: Govern discovered apps using Defender for Endpoint · Microsoft Learnที่มา: Chrome Enterprise Premium DLP templates · Google
องค์กรส่วนใหญ่มีนโยบาย AI แล้วหรือยัง?
ยังไม่ใช่ส่วนใหญ่ ISACA AI Pulse Poll 2026 พบว่ามีเพียง 38% ขององค์กรที่มีนโยบาย AI ที่เป็นทางการและครอบคลุม เพิ่มจาก 28% ในปี 2025 ขณะที่ 90% เชื่อว่าพนักงานใช้ AI อยู่แล้ว ส่วนผลศึกษาของ ETDA ปี 2024 พบว่ารอนโยบายจากผู้บริหารเป็นหนึ่งในสามเหตุผลแรกที่องค์กรไทยยังไม่ใช้ AIที่มา: AI Pulse Poll 2026 · ISACAที่มา: ผลการสำรวจความพร้อมการใช้ AI ขององค์กรไทย · ETDA
Shadow AIนโยบาย AIความปลอดภัยข้อมูล

บทความที่เกี่ยวข้อง

บทความทั้งหมดในหัวข้อ นโยบายและความปลอดภัยข้อมูล →