กรอบแนวทางของเรา

กรอบควบคุม Private AI ของ RAGBOX

กรอบนี้เป็นแนวทางวางแผนของ RAGBOX ไม่ใช่มาตรฐานรับรองภายนอก ทุกชั้นต้องมีผู้รับผิดชอบ หลักฐาน และการทดสอบ

ประเมินความพร้อม AI

ทุกข้อมีน้ำหนักเท่ากัน: มีแล้ว 100% / บางส่วน 50% / ยังไม่มี 0% คะแนน 0–30 เร่งด่วน, 31–60 เสี่ยง, 61–80 กำลังพัฒนา, 81–100 พร้อมต่อยอด

แบบประเมินเบื้องต้น ไม่ใช่การรับรองความปลอดภัยหรือการตรวจ Compliance

1. ยังไม่มีการควบคุม AI — Shadow AI คือการใช้ AI ที่อยู่นอกกระบวนการอนุมัติหรือการมองเห็นขององค์กร ความเสี่ยงขึ้นกับชนิดข้อมูล เครื่องมือ บัญชี และสัญญาที่ใช้ ไม่ควรสรุปว่าบริการ Public AI ทุกแบบไม่ปลอดภัย
2. มีนโยบายการใช้ AI — บันทึกการใช้ AI ควรบอกได้ว่าใครทำอะไร ใช้ข้อมูลและโมเดลใด เกิดขึ้นเมื่อไร และใครตรวจย้อนหลังได้ ต้องจัดสมดุลระหว่างหลักฐานที่จำเป็นกับข้อมูลอ่อนไหวใน Logs
3. บริหารเครื่องมือและผู้ใช้ — Role-Based Access Control กำหนดสิทธิ์ตามบทบาท เช่น ผู้ดูแล ผู้จัดการ และสมาชิก โดยต้องผูกกับ Workspace แหล่งข้อมูล และ Agent ไม่ใช้แค่การซ่อนปุ่มในหน้าจอ
4. ใช้ความรู้ภายในกับ AI — จัดความรู้ที่องค์กรอนุญาตให้ AI ใช้ โดยระบุแหล่งต้นทาง รุ่น และเจ้าของข้อมูล เอกสารภายในไม่ได้หมายความว่าทุกคนในองค์กรควรเข้าถึงได้
5. Agent ภายใต้การกำกับดูแล — AI Agent คือระบบที่ใช้โมเดลช่วยเลือกขั้นตอนและเรียกเครื่องมือเพื่อทำงานตามเป้าหมาย จึงต้องกำหนดสิทธิ์ของการกระทำ นอกเหนือจากสิทธิ์อ่านเอกสาร การที่โมเดลเสนอให้ทำ ไม่ได้แปลว่าผู้ใช้ได้รับอนุญาตให้ทำ

แนวทางนำไปใช้

1. คัดเอกสารที่อนุญาต
2. กำหนดเจ้าของข้อมูล
3. เตรียมคำถามพร้อมคำตอบอ้างอิง
4. ทดสอบข้ามสิทธิ์และการลบ
5. วัดคุณภาพ ความเร็ว และต้นทุนก่อนขยาย