คำตอบอาจไม่ใช่การรีบเลือกมาตรฐานที่ดีที่สุด หรือเริ่มต้นด้วยการเขียนนโยบายขนาดใหญ่ แต่คือการทำให้องค์กรตอบคำถามพื้นฐานให้ได้ก่อนว่า
เรากำลังใช้ AI อะไร ใช้กับงานใด ใครเป็นเจ้าของ ใช้ข้อมูลอะไร ส่งผลต่อใคร และมีหลักฐานอะไรยืนยันว่าเรากำกับดูแลระบบเหล่านั้นจริง
แนวทางของ NIST มองการบริหารความเสี่ยง AI ผ่านหน้าที่หลัก ได้แก่ Govern, Map, Measure และ Manage ขณะที่ ISO/IEC 42001 เน้นการสร้างระบบบริหาร AI ระดับองค์กรอย่างเป็นระบบ ส่วน ASEAN Guide จัดทำขึ้นเป็นแนวทางเชิงปฏิบัติสำหรับองค์กรในภูมิภาคที่ออกแบบ พัฒนา หรือใช้งาน AI
สำหรับองค์กรไทย ให้เริ่มดำเนินการตาม Roadmap 8 ขั้น ดังนี้
1. สำรวจว่าองค์กรมี AI อะไรอยู่บ้าง
อย่าจำกัดการสำรวจเฉพาะ “โครงการ AI” ที่ฝ่ายเทคโนโลยีดูแล แต่ต้องรวมถึง
- AI ที่องค์กรพัฒนาเอง
- ระบบที่จัดซื้อจากผู้ขาย
- AI ที่ฝังอยู่ในซอฟต์แวร์หรือ SaaS
- เครื่องมือ Generative AI ที่พนักงานใช้งาน
- ระบบทดลองและ Proof of Concept
- AI Agent และ Shadow AI ที่หน่วยงานกลางอาจยังไม่ทราบ
ทุกระบบควรมีชื่อหรือรหัสระบบ วัตถุประสงค์ หน่วยงานเจ้าของ ผู้ให้บริการ ประเภทข้อมูล ผู้ใช้ ผู้ได้รับผลกระทบ และสถานะการใช้งาน
ผลลัพธ์แรกที่ต้องได้คือ AI System Inventory ไม่ใช่นโยบายฉบับหนา
2. เลือกระบบที่ต้องจัดการก่อน
องค์กรไม่จำเป็นต้องประเมินทุกระบบด้วยความเข้มเท่ากัน ควรคัดกรองและจัดลำดับความสำคัญ โดยถามว่า
- ระบบมีผลต่อสิทธิ โอกาส การจ้างงาน สินเชื่อ สุขภาพ การศึกษา หรือบริการสาธารณะหรือไม่
- ใช้ข้อมูลส่วนบุคคล ข้อมูลอ่อนไหว ข้อมูลเด็ก หรือข้อมูลกลุ่มเปราะบางหรือไม่
- ระบบสามารถตัดสินใจหรือดำเนินการโดยอัตโนมัติหรือไม่
- ความผิดพลาดอาจสร้างความเสียหายรุนแรงหรือเป็นวงกว้างเพียงใด
ให้เริ่มจากระบบที่มีความเสี่ยงสูงประมาณ 5–10 ระบบก่อน แล้วจึงขยายไปยังระบบอื่น
3. ตรวจสอบกฎหมายที่มีผลอยู่แล้ว
องค์กรไม่ควรรอจนประเทศไทยมีกฎหมายที่ใช้ชื่อว่า “กฎหมาย AI” จึงค่อยเริ่มกำกับดูแล เพราะการใช้ AI อาจเกี่ยวข้องกับกฎหมายและข้อผูกพันที่มีอยู่แล้ว เช่น
- การคุ้มครองข้อมูลส่วนบุคคล
- การคุ้มครองผู้บริโภคและการโฆษณา
- แรงงานและการไม่เลือกปฏิบัติ
- ธุรกรรมอิเล็กทรอนิกส์
- ความมั่นคงปลอดภัยไซเบอร์
- ทรัพย์สินทางปัญญา
- ข้อกำหนดของหน่วยงานกำกับรายภาคส่วน
- สัญญากับลูกค้า คู่ค้า และผู้ให้บริการ
องค์กรควรจัดทำ Legal Obligation Register ที่เชื่อมแต่ละภาระหน้าที่กับระบบ ผู้รับผิดชอบ การควบคุม หลักฐาน และช่องว่างที่ต้องแก้ไข
4. กำหนดกติกาขั้นต่ำที่ใช้ได้ทันที
ในช่วงเริ่มต้น องค์กรควรออกกติกาที่สั้น ชัด และใช้ได้จริง โดยเฉพาะการใช้ Generative AI เช่น
- ข้อมูลใดห้ามนำเข้าสู่ระบบภายนอก
- งานประเภทใดต้องมีมนุษย์ตรวจสอบ
- ผลลัพธ์ใดห้ามนำไปใช้ตัดสินใจโดยตรง
- เนื้อหาประเภทใดต้องเปิดเผยว่าใช้ AI
- เครื่องมือใดได้รับอนุญาตหรือไม่ได้รับอนุญาต
- เมื่อพบความผิดพลาดหรือข้อมูลรั่วไหลต้องรายงานใคร
นโยบายฉบับแรกไม่จำเป็นต้องสมบูรณ์ทั้งหมด แต่ต้องช่วยให้คนทำงานรู้ว่า อะไรทำได้ อะไรทำไม่ได้ และเมื่อไม่แน่ใจต้องถามใคร
5. ทำให้ผู้ได้รับผลกระทบรู้ว่า AI มีบทบาทอย่างไร
ความโปร่งใสไม่ใช่เพียงการเขียนว่า “ระบบนี้ใช้ AI” แต่ต้องแจ้งข้อมูลที่เพียงพอให้บุคคลเข้าใจว่า
- AI ถูกใช้เพื่ออะไร
- AI มีบทบาทมากน้อยเพียงใด
- ใครเป็นผู้ตัดสินใจขั้นสุดท้าย
- ระบบมีข้อจำกัดอะไร
- บุคคลขอคำอธิบาย ขอแก้ไข หรือขอให้มนุษย์ทบทวนได้อย่างไร
ในกรณี Chatbot ควรแจ้งให้ผู้ใช้ทราบว่ากำลังสนทนากับ AI และมีช่องทางติดต่อเจ้าหน้าที่ ส่วนระบบที่เกี่ยวข้องกับการสมัครงาน สินเชื่อ สุขภาพ หรือสิทธิสำคัญ ควรมีกระบวนการอธิบายและทบทวนที่ชัดเจน
6. เลือกกรอบหลักเพียงหนึ่งกรอบเป็นภาษากลาง
องค์กรไม่ควรนำหลายมาตรฐานมาทำพร้อมกันจนเกิดตารางเปรียบเทียบและเอกสารจำนวนมาก แต่ไม่มีใครรู้ว่าต้องปฏิบัติอย่างไร
อาจเลือก NIST AI RMF หากต้องการกรอบบริหารความเสี่ยงที่ยืดหยุ่น หรือใช้ ISO/IEC 42001 หากต้องการพัฒนาเป็นระบบบริหารระดับองค์กร จากนั้นจึงเชื่อมกับแนวทางของไทย ASEAN Guide กฎหมาย และข้อกำหนดรายภาคส่วนผ่าน Crosswalk เดียวกัน
NIST ระบุว่า AI RMF เป็นกรอบสมัครใจเพื่อช่วยผนวกเรื่องความน่าเชื่อถือเข้าไปในการออกแบบ พัฒนา ใช้งาน และประเมิน AI ส่วน ISO/IEC 42001 กำหนดโครงสร้างสำหรับการจัดตั้ง ดำเนินงาน บำรุงรักษา และปรับปรุงระบบบริหาร AI
7. เปลี่ยนคำกล่าวอ้างให้เป็นหลักฐาน
องค์กรไม่ควรหยุดอยู่ที่ข้อความว่า
“เรามีมนุษย์กำกับดูแล”
“ระบบมีความเป็นธรรม”
“ข้อมูลมีความปลอดภัย”
“ผู้ขายผ่านมาตรฐาน”
“ระบบมีความโปร่งใส”
แต่ต้องสามารถแสดงหลักฐานได้ เช่น
- Human Oversight Log
- Decision Log
- ผลการทดสอบ Bias และ Performance
- Security Assessment และ Access Log
- Transparency Notice
- Incident Report
- Change Log
- สัญญาและผลประเมินผู้ขาย
- Evidence Register
หลักฐานต้องระบุให้ได้ว่าเกี่ยวข้องกับระบบใด รุ่นใด ใครเป็นเจ้าของ จัดทำเมื่อใด และใช้พิสูจน์การควบคุมข้อใด
8. กำหนดเจ้าของ รอบทบทวน และเหตุที่ต้องประเมินใหม่
ระบบ AI ไม่ควรผ่านการอนุมัติเพียงครั้งเดียวแล้วใช้งานต่อไปโดยไม่มีการติดตาม
องค์กรควรกำหนดให้ชัดว่าใครเป็น
- Business Owner
- System Owner
- Data Owner
- ผู้อนุมัติ
- ผู้ติดตามความเสี่ยง
- ผู้ตรวจสอบอิสระ
พร้อมกำหนด Trigger Event ที่ทำให้ต้องประเมินใหม่ เช่น การเปลี่ยนโมเดล เปลี่ยนข้อมูล เปลี่ยนผู้ให้บริการ เพิ่มกลุ่มผู้ใช้ เพิ่มระดับอัตโนมัติ เกิด Drift มีข้อร้องเรียน เกิดเหตุผิดปกติ หรือกฎหมายและสัญญาเปลี่ยนแปลง
สิ่งที่องค์กรไทยควรทำใน 90 วันแรก
สัปดาห์ที่ 1–2
แต่งตั้งเจ้าภาพ กำหนดขอบเขต และตั้งทีมร่วมจาก Business, IT, Data, Legal, Privacy, Risk และ Security
สัปดาห์ที่ 3–6
สำรวจระบบ AI จัดทำ Inventory ค้นหา Shadow AI และระบุเจ้าของระบบ
สัปดาห์ที่ 7–8
ออกนโยบาย Generative AI ฉบับย่อ และกำหนดข้อกำหนดขั้นต่ำด้านความโปร่งใสและ Human Review
สัปดาห์ที่ 9–10
ทำ Risk Triage และ Legal Check เพื่อเลือกระบบสำคัญที่จะประเมินเชิงลึก
สัปดาห์ที่ 11–12
รายงานผู้บริหาร อนุมัติแผนปีแรก กำหนดเจ้าของงาน และจัดทำ Review Calendar
ภายในปีแรก องค์กรควรมีอย่างน้อย
- AI System Inventory
- รายชื่อระบบสำคัญตามระดับความเสี่ยง
- นโยบายและเอกสารหลักที่ใช้งานได้จริง
- ระบบบันทึกหลักฐานและเหตุผิดปกติ
- รอบทบทวนและ Trigger Event
- Dashboard สำหรับผู้บริหาร
ศูนย์ธรรมาภิบาลปัญญาประดิษฐ์ของ ETDA พัฒนากรอบและองค์ความรู้ด้าน AI Governance ให้สอดคล้องกับบริบทของประเทศ และเป็นแหล่งสนับสนุนองค์กรที่ต้องการนำ AI ไปใช้อย่างรับผิดชอบ ขณะที่ Thailand’s AI Governance Guideline for Executive ให้ความสำคัญกับโครงสร้าง กลยุทธ์ การดำเนินงาน ความโปร่งใส ความรับผิดชอบ ความเป็นธรรม ความมั่นคงปลอดภัย และความเป็นส่วนตัว
องค์กรไทยจึงไม่ควรรอให้ทุกอย่างชัดเจนก่อนจึงเริ่มต้น
สิ่งสำคัญคือเริ่มจากการมองเห็นระบบที่มีอยู่จริง เลือกระบบเสี่ยงสูง วางกติกาขั้นต่ำ กำหนดผู้รับผิดชอบ และเก็บหลักฐานตั้งแต่วันนี้
- AI Governance ที่ดีไม่ได้วัดจากจำนวนหน้าของนโยบาย
- แต่วัดจากความสามารถขององค์กรในการตอบได้ว่า
- ระบบใดกำลังทำอะไร ใครรับผิดชอบ ความเสี่ยงถูกควบคุมอย่างไร
- และมีหลักฐานใดพิสูจน์ได้ว่าการกำกับดูแลเกิดขึ้นจริง
ขอขอบคุณ บทความโดย
ดร.ศักดิ์ เสกขุนทด
ที่ปรึกษา ผู้ทรงคุณวุฒิ
ศูนย์ AI Governance Practice Center
สำนักงานพัฒนาธุรกรรมทางอิเลกทรอนิกส์
อ่านบทความและข่าวอื่นๆเพิ่มเติมได้ที่ it24hrs.com
องค์กรไทยควรเริ่มทำ AI Governance อย่างไร เมื่อ AI ถูกนำมาใช้ในงานจริงเร็วกว่าระบบกำกับดูแลขององค์กร
อย่าลืมกดติดตามอัพเดตข่าวสาร ทิปเทคนิคดีๆกันนะคะ Please follow us
Youtube it24hrs
Twitter it24hrs
Tiktok it24hrs
facebook it24hrs
ติดต่อโฆษณา [email protected] โทร 080234502
