AI Governance
AI Governance คืออะไร และองค์กรไทยควรเริ่มต้นอย่างไร
แนวทางสำหรับผู้บริหารในการสร้างสมดุลระหว่างคุณค่าจาก AI ความเสี่ยง ความรับผิดชอบ และความเชื่อมั่น
เผยแพร่ 11 สิงหาคม 2569 · 12 นาทีในการอ่าน
AI ถูกนำมาใช้ในองค์กรไทยเร็วขึ้น ตั้งแต่ผู้ช่วยเขียนเอกสาร chatbot การวิเคราะห์ลูกค้า การคัดกรองธุรกรรม ไปจนถึงระบบที่ช่วยตัดสินใจเรื่องบุคลากรและสินเชื่อ แต่หลายองค์กรยังตอบคำถามพื้นฐานไม่ได้ว่า มี AI ใดใช้งานอยู่บ้าง ใครรับผิดชอบ ข้อมูลมาจากไหน และจะทำอย่างไรเมื่อผลลัพธ์ผิดพลาด
AI Governance จึงไม่ใช่การห้ามใช้ AI หรือการเพิ่มเอกสารอนุมัติทุกเรื่อง แต่คือการวางกติกาที่ช่วยให้องค์กรใช้ AI ได้เร็วพอ สร้างคุณค่าได้จริง และรับผิดชอบต่อผลกระทบที่อาจเกิดขึ้น
AI Governance คืออะไร
AI Governance คือระบบของหลักการ โครงสร้างการตัดสินใจ บทบาท นโยบาย กระบวนการ และการควบคุม ที่ทำให้องค์กรพัฒนา จัดหา และใช้ AI สอดคล้องกับกลยุทธ์ กฎหมาย ค่านิยม และระดับความเสี่ยงที่ยอมรับได้ ครอบคลุม AI ตลอดวงจรชีวิต ตั้งแต่เลือก use case เตรียมข้อมูล พัฒนาหรือจัดซื้อ ทดสอบ อนุมัติ ใช้งาน ติดตาม ไปจนถึงยุติระบบ
หัวใจสำคัญไม่ใช่การกำจัดความเสี่ยงทั้งหมด เพราะเป็นไปไม่ได้ แต่คือการทำให้ความเสี่ยงถูกมองเห็น มีเจ้าของ มีมาตรการควบคุม และมีหลักฐานประกอบการตัดสินใจ
AI Governance ต่างจาก Data Governance และ IT Governance อย่างไร
Data Governance ดูแลคุณภาพ ความหมาย สิทธิการเข้าถึง และวงจรชีวิตของข้อมูล ส่วน IT Governance กำกับการลงทุน บริการ ความมั่นคงปลอดภัย และผลลัพธ์จากเทคโนโลยี AI Governance เชื่อมทั้งสองเรื่องเข้ากับความเสี่ยงเฉพาะของ AI เช่น bias, hallucination, explainability, model drift, human oversight และผลกระทบต่อบุคคล
องค์กรไม่ควรสร้าง AI Governance เป็นเกาะใหม่ แต่ควรต่อยอดจากกลไกที่มีอยู่ เช่น Enterprise Risk, Data Governance, Cybersecurity, Privacy, Procurement, Legal และ Internal Audit
ทำไมองค์กรไทยควรเริ่มตอนนี้
- Shadow AI เกิดขึ้นแล้ว: พนักงานอาจส่งข้อมูลภายในให้เครื่องมือสาธารณะโดยที่องค์กรไม่รู้
- AI เริ่มมีผลต่อคนและลูกค้า: ความผิดพลาด อคติ หรือคำตอบที่อธิบายไม่ได้อาจสร้างผลกระทบและทำลายความเชื่อมั่น
- กฎหมายเดิมยังใช้บังคับ: การใช้ AI ไม่ได้ยกเว้นหน้าที่ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล สัญญา ทรัพย์สินทางปัญญา หรือกฎเฉพาะอุตสาหกรรม
- ลูกค้าและคู่ค้าต้องการหลักฐาน: องค์กรต้องตอบได้ว่า AI ใช้ข้อมูลอย่างไร ผ่านการทดสอบอะไร และใครรับผิดชอบ
- Governance ที่ดีช่วยขยายผล: เมื่อมีเส้นทางอนุมัติและมาตรฐานกลาง ทีมไม่ต้องเริ่มตอบคำถามเดิมใหม่ทุกโครงการ
หลักการออกแบบที่สำคัญ: กำกับตามระดับความเสี่ยง
ไม่ควรกำกับ chatbot สำหรับค้นหาคู่มือภายในเท่ากับโมเดลที่แนะนำสินเชื่อหรือคัดเลือกบุคลากร องค์กรควรพิจารณาความรุนแรงและโอกาสเกิดผลกระทบ โดยดูอย่างน้อยจากผู้ได้รับผลกระทบ ประเภทข้อมูล ระดับการตัดสินใจ ความสามารถในการแก้ไขผลลัพธ์ และการพึ่งพาผู้ให้บริการภายนอก
- ความเสี่ยงต่ำ: ใช้ช่วยงานภายใน ไม่มีข้อมูลอ่อนไหว และมนุษย์ตรวจผลลัพธ์ก่อนใช้
- ความเสี่ยงปานกลาง: เชื่อมข้อมูลภายในหรือสื่อสารกับลูกค้า ต้องมีเจ้าของ การทดสอบ และการติดตาม
- ความเสี่ยงสูง: มีผลต่อสิทธิ โอกาส ความปลอดภัย การเงิน หรือการตัดสินใจสำคัญ ต้องประเมินผลกระทบ อนุมัติหลายฝ่าย มี human oversight และแผนรับเหตุ
องค์กรไทยควรเริ่มต้นอย่างไร: แผน 90 วัน
ช่วงวันที่ 1-30: สร้างความชัดเจนและมองเห็นการใช้งาน
- แต่งตั้ง Executive Sponsor และผู้ประสานงาน AI Governance
- จัดทำ AI inventory ครอบคลุมระบบที่พัฒนาเอง จัดซื้อ ใช้ผ่าน cloud และเครื่องมือ Generative AI ที่พนักงานใช้
- ระบุเจ้าของธุรกิจ วัตถุประสงค์ ผู้ใช้ ข้อมูล ผู้ให้บริการ ผู้ได้รับผลกระทบ และสถานะการใช้งานของแต่ละ use case
- ออกกติกาเร่งด่วนเรื่องข้อมูลที่ห้ามป้อน การตรวจคำตอบ และเครื่องมือที่อนุญาต
ช่วงวันที่ 31-60: วางกรอบและทดลองกระบวนการ
- กำหนดหลักการ AI ที่รับผิดชอบและระดับความเสี่ยงให้เหมาะกับบริบทองค์กร
- กำหนด RACI และ decision rights ระหว่าง Business, Data/AI, IT, Security, Privacy, Legal, Risk และ Procurement
- สร้างแบบประเมินเบื้องต้นและ AI Impact Assessment สำหรับ use case ความเสี่ยงสูง
- กำหนดหลักฐานขั้นต่ำ เช่น data source, test result, limitation, human oversight, vendor terms และ incident contact
- ทดลองกระบวนการกับ use case 2-3 เรื่องที่มีระดับความเสี่ยงต่างกัน
ช่วงวันที่ 61-90: ทำให้ใช้งานได้จริงและวัดผล
- ปรับขั้นตอนจากข้อเสนอแนะของทีม pilot และเชื่อมเข้ากับ procurement, project delivery และ change management เดิม
- กำหนดตัวชี้วัด เช่น สัดส่วน AI ที่มีเจ้าของและจัดระดับแล้ว ระยะเวลาอนุมัติ เหตุการณ์ผิดปกติ และ use case ที่สร้างผลลัพธ์ตามเป้าหมาย
- อบรมผู้บริหาร เจ้าของ use case นักพัฒนา ผู้จัดซื้อ และผู้ใช้งานตามบทบาท
- กำหนดรอบทบทวน รายงานผู้บริหาร และช่องทางแจ้งเหตุหรือหยุดใช้ระบบ
เอกสารขั้นต่ำที่ควรมี
องค์กรไม่จำเป็นต้องเริ่มด้วยคู่มือหลายร้อยหน้า ชุดเริ่มต้นที่ใช้งานได้ควรมี AI policy แบบกระชับ, AI inventory, risk classification, แบบประเมิน use case, AI impact assessment สำหรับเรื่องสำคัญ, RACI, แนวทางใช้ Generative AI, vendor due diligence checklist, monitoring record และ incident response procedure
กรอบมาตรฐานที่ใช้เป็นเข็มทิศ
สำหรับบริบทไทย แนวทางของ ETDA เสนอองค์ประกอบ AI Governance Structure, AI Strategy และ AI Operation ขณะที่ NIST AI RMF จัดกิจกรรมเป็น Govern, Map, Measure และ Manage ส่วน ISO/IEC 42001 กำหนดข้อกำหนดของระบบบริหารจัดการ AI ที่ปรับปรุงอย่างต่อเนื่อง องค์กรสามารถใช้กรอบเหล่านี้ร่วมกันโดยเลือกให้เหมาะกับขนาด อุตสาหกรรม และความเสี่ยง ไม่จำเป็นต้องทำทุกข้อพร้อมกัน
ข้อผิดพลาดที่พบบ่อย
- เริ่มจากการเขียน policy แต่ไม่มี inventory และเจ้าของ use case
- ให้ IT หรือ Data รับผิดชอบฝ่ายเดียว ทั้งที่ความเสี่ยงกระจายไปยังธุรกิจ กฎหมาย บุคคล และชื่อเสียง
- ใช้ขั้นตอนเดียวกับทุก use case จนงานความเสี่ยงต่ำช้าและงานความเสี่ยงสูงตรวจไม่ลึกพอ
- ตรวจเฉพาะก่อนใช้งาน แต่ไม่มี monitoring, incident response หรือเกณฑ์ยุติระบบ
- มอง governance เป็น compliance อย่างเดียว โดยไม่วัดคุณค่าทางธุรกิจและ adoption
บทสรุป
AI Governance ที่ดีต้องตอบได้พร้อมกันสามเรื่อง: AI สร้างคุณค่าอะไร ความเสี่ยงถูกควบคุมอย่างไร และใครรับผิดชอบการตัดสินใจ องค์กรไทยไม่จำเป็นต้องรอให้มีกฎเฉพาะครบทุกเรื่อง และไม่จำเป็นต้องเริ่มด้วยโครงสร้างขนาดใหญ่
จุดเริ่มที่ได้ผลคือทำให้เห็น AI ทั้งองค์กร จัดลำดับตามความเสี่ยง กำหนดเจ้าของและกติกาขั้นต่ำ ทดลองกับ use case จริง แล้วปรับปรุงจากหลักฐาน การเริ่มเล็กแต่เชื่อมกับระบบบริหารเดิม จะสร้างความน่าเชื่อถือและขยายผลได้ดีกว่าการสร้างเอกสารที่ไม่มีใครใช้
คำถามที่พบบ่อย
AI Governance คืออะไร
ระบบของหลักการ บทบาท นโยบาย กระบวนการ และการควบคุมที่ทำให้การพัฒนา จัดหา และใช้ AI สอดคล้องกับกลยุทธ์ กฎหมาย ค่านิยม และระดับความเสี่ยงที่องค์กรยอมรับได้
องค์กรไทยควรเริ่มจากอะไร
เริ่มจากผู้รับผิดชอบระดับบริหาร AI inventory การจัดระดับความเสี่ยง กติกาขั้นต่ำ และ pilot กับ use case จริงก่อนขยายผล
ต้องตั้ง AI Committee ใหม่หรือไม่
ไม่จำเป็นเสมอไป อาจต่อยอดจากคณะทำงาน Risk, Data, Digital หรือ Technology ที่มีอยู่ แต่ต้องกำหนดอำนาจตัดสินใจ เจ้าของความเสี่ยง และช่องทางยกระดับประเด็นให้ชัด
AI Governance ทำให้นวัตกรรมช้าลงหรือไม่
ถ้าออกแบบตามระดับความเสี่ยง จะช่วยให้งานความเสี่ยงต่ำผ่านได้เร็วและทำให้ทีมรู้ล่วงหน้าว่างานความเสี่ยงสูงต้องเตรียมหลักฐานอะไร