บทนำ
ลองนึกภาพบริษัทแห่งหนึ่งนำ AI Agent มาใช้ช่วยตรวจสัญญา ติดต่อผู้ขาย วิเคราะห์ข้อร้องเรียน และเสนอทางเลือกให้ผู้บริหาร
วันหนึ่ง AI ปฏิเสธคำสั่งบางอย่าง
คำถามที่คนในบริษัทมักถามคือ
“ทำไม AI ทำไม่ได้?”
แต่คำถามที่ฝ่ายกำกับดูแลควรถามเพิ่มคือ
“ใครเป็นคนตัดสินตั้งแต่แรกว่า AI ไม่ควรทำ?”
นี่คือจุดที่บทความ Who Writes the AI Constitution? ของ Nicolas McMullan และ Kevin Frazier ซึ่ง Lawfare เผยแพร่เมื่อวันที่ 13 สิงหาคม 2026 น่าสนใจ เพราะผู้เขียนชี้ว่าเอกสารกำหนดพฤติกรรมของ AI บางประเภทไม่ได้เป็นเพียงคู่มือหรือคำประกาศด้านจริยธรรม แต่สามารถมีบทบาทตั้งแต่การฝึกโมเดล การสร้างข้อมูลสำหรับฝึก การประเมินผล ไปจนถึงการกำหนดพฤติกรรมที่โมเดลควรเลือกในสถานการณ์จริง
Anthropic เองอธิบายว่า Claude’s Constitution เป็นเอกสารที่บอกทั้งค่านิยมและพฤติกรรมที่บริษัทต้องการจาก Claude และเนื้อหาของเอกสารมีผลโดยตรงต่อการฝึกและพฤติกรรมของโมเดล
OpenAI ก็อธิบาย Model Spec ในลักษณะใกล้เคียงกันว่าเป็นกรอบอย่างเป็นทางการสำหรับพฤติกรรมที่ต้องการจากโมเดล และใช้เป็นเป้าหมายสำหรับการฝึก การประเมิน และการปรับปรุงพฤติกรรมในอนาคต
ดังนั้น AI Governance จึงไม่ได้จบแค่คำถามว่า
“AI ปลอดภัยหรือไม่?”
แต่ต้องถามต่อว่า
“AI ถูกสร้างให้ถือคุณค่าอะไรเป็นหลัก และใครเป็นคนเลือกคุณค่านั้น?”
เมื่อ “เอกสารนโยบาย” กลายเป็นส่วนหนึ่งของวิธีคิดของ AI
Lawfare ใช้คำว่า AI Constitution เพื่ออธิบายเอกสารที่กำหนดพฤติกรรม คุณค่า และลำดับความสำคัญของโมเดล โดยชี้ว่า Claude’s Constitution และ OpenAI Model Spec ไม่ได้เหมือนกันทั้งหมด และความแตกต่างเหล่านั้นสะท้อนการตัดสินใจเชิงคุณค่าของบริษัทผู้พัฒนา
ตัวอย่างที่บทความหยิบมาวิเคราะห์คือ เมื่อเกิดสถานการณ์ที่คำสั่งของผู้ควบคุม ความซื่อสัตย์ ความปลอดภัย หรือผลประโยชน์ของบุคคลอื่นชนกัน โมเดลจากคนละบริษัทอาจได้รับแนวทางให้ให้น้ำหนักกับปัจจัยเหล่านั้นแตกต่างกัน
นี่ทำให้เอกสารประเภทนี้มีสถานะประหลาดอยู่ตรงกลางระหว่างสองโลก
ด้านหนึ่ง มันคล้าย ข้อกำหนดทางเทคนิค เพราะใช้กำหนดพฤติกรรมของระบบ
แต่อีกด้านหนึ่ง มันก็เป็น การประกาศทางคุณค่า เพราะมีมนุษย์ตัดสินว่าอะไรคือพฤติกรรมที่ควรหรือไม่ควรเกิดขึ้น
Lawfare จึงตั้งประเด็นว่า หากรัฐบาลสหรัฐเข้าไปบังคับให้บริษัทแก้ไขส่วนที่เป็น “คุณค่า” เพื่อให้ AI มีมุมมองทางการเมืองหรือสังคมตามที่รัฐต้องการ อาจเกิดคำถามเกี่ยวกับเสรีภาพในการแสดงออกและ compelled speech ภายใต้ First Amendment ได้
อย่างไรก็ตาม ประเด็น First Amendment เป็นเรื่องของกฎหมายรัฐธรรมนูญสหรัฐ ไม่ควรถูกยกมาใช้กับประเทศไทยโดยตรง
สิ่งที่มีประโยชน์สำหรับไทยคือหลักคิดที่อยู่ข้างใต้ประเด็นนี้มากกว่า:
การกำกับ “ผลลัพธ์และพฤติกรรมที่ก่อความเสียหาย” กับการกำหนดว่า AI “ต้องยึดถือค่านิยมอะไร” เป็นคนละเรื่องกัน
Lawfare เองเสนอว่ารัฐยังมีพื้นที่ในการกำกับพฤติกรรม ผลลัพธ์ ความปลอดภัย การเปิดเผยข้อมูล หรือการป้องกันความเสียหาย โดยไม่จำเป็นต้องเข้าไปเขียนชุดความเชื่อทั้งหมดให้แก่โมเดล
บทความยังหยิบแนวคิด kernel constitution ขึ้นมา คือกำหนดหลักขั้นต่ำร่วมกัน เช่น ต้องเคารพกฎหมาย ซื่อสัตย์ เปิดให้มนุษย์แก้ไขหรือควบคุมได้ และไม่สร้างความเสียหายร้ายแรง แล้วปล่อยให้ระบบหรือผู้ให้บริการแต่ละรายมีรายละเอียดด้านคุณค่าที่แตกต่างกันได้บนฐานดังกล่าว
ผลกระทบต่อธุรกิจในประเทศไทย: AI Governance ควรถูกแยกเป็น 3 ชั้น
สำหรับประเทศไทย ประเด็นนี้อาจมีความหมายมากกว่า การถกเถียงเรื่องเสรีภาพในการพูดของบริษัท AI ในสหรัฐ เพราะบริษัทไทยจำนวนมากไม่ได้สร้าง foundation model เอง แต่กำลัง นำโมเดลของคนอื่นเข้ามาเป็นส่วนหนึ่งของระบบงาน
นั่นหมายความว่าองค์กรไม่ได้ซื้อแค่ “AI ที่เก่ง”
องค์กรอาจกำลังนำ ชุดการตัดสินใจที่ถูกออกแบบจากต่างประเทศ เข้ามาอยู่ในกระบวนการธุรกิจด้วย
วิธีที่ใช้งานได้จริงคือแยก AI Governance ออกเป็นอย่างน้อยสามชั้น
ชั้นที่ 1 – Legal Minimum: “ต้องทำ”
คือสิ่งที่องค์กรไม่มีสิทธิ์เลือกว่าจะทำหรือไม่ เช่น ข้อกำหนดตามกฎหมายที่ใช้กับกิจกรรมหรือข้อมูลขององค์กร หน้าที่ตามสัญญา ข้อกำหนดเฉพาะอุตสาหกรรม หรือข้อจำกัดที่เกี่ยวข้องกับการใช้ AI
หลักในชั้นนี้ต้องสามารถตอบได้ว่า
“เพราะกฎหมายหรือข้อผูกพันอะไร เราจึงกำหนดให้ AI ต้องทำหรือห้ามทำเช่นนี้?”
ไม่ควรใช้คำกว้างอย่าง “Responsible AI” มาแทนคำตอบทางกฎหมาย
ชั้นที่ 2 – Safety Controls: “ต้องควบคุม”
นี่คือมาตรการที่องค์กรกำหนดเพื่อไม่ให้ AI สร้างความเสียหายเกินระดับที่ยอมรับได้ เช่น การให้คนอนุมัติก่อน AI ส่งข้อมูลออกนอกองค์กร การจำกัดสิทธิ์ของ AI Agent การตรวจสอบผลลัพธ์ การบันทึกเหตุการณ์ การทดสอบก่อนใช้งาน หรือการกำหนด fallback เมื่อโมเดลไม่แน่ใจ
มาตรฐาน ISO/IEC 42001 มอง AI ในระดับ ระบบการจัดการขององค์กร ครอบคลุมตั้งแต่นโยบาย วัตถุประสงค์ ความเสี่ยง การติดตามผล และการปรับปรุงอย่างต่อเนื่อง ไม่ได้จบลงที่การเขียนหลักจริยธรรมสวย ๆ เพียงหน้าเดียว
ดังนั้น Safety Controls ต้องสามารถทดสอบ ตรวจสอบ และมีเจ้าของความรับผิดชอบได้
ชั้นที่ 3 – Organizational Values: “เราเลือก”
นี่คือส่วนที่หลายองค์กรยังไม่แยกออกมาให้ชัด
องค์กรอาจต้องตัดสินใจเองว่า AI ของตนควรสื่อสารกับลูกค้าอย่างไร ควรให้ความสำคัญกับความเป็นส่วนตัวมากเพียงใด ควรระมัดระวังการแนะนำเรื่องใด ควรจัดการกับความไม่แน่นอนอย่างไร หรือในสถานการณ์ที่มีหลายคำตอบที่ถูกกฎหมาย องค์กรต้องการให้ระบบเลือกแนวทางแบบไหน
สิ่งเหล่านี้ไม่จำเป็นต้องเป็น “กฎหมาย”
แต่ก็ไม่ได้หมายความว่าไม่สำคัญ
เพราะเมื่อ AI เริ่มพูด ตัดสินใจ และลงมือทำแทนองค์กร ค่านิยมที่อยู่ในระบบก็จะค่อย ๆ กลายเป็นพฤติกรรมขององค์กรต่อหน้าลูกค้า พนักงาน และสังคม
“AI Policy ที่ดีไม่ใช่เอกสารที่บอกว่า AI ต้องเป็นคนดี แต่ต้องบอกให้ได้ว่าอะไรคือกฎหมาย อะไรคือ control และอะไรคือสิ่งที่องค์กรเลือกเชื่อ”
ประเด็นนี้ยิ่งสำคัญสำหรับองค์กรที่ใช้โมเดลจากหลายค่าย เพราะ Claude, OpenAI หรือโมเดลอื่นอาจมีหลักการพื้นฐานและวิธีจัดลำดับคำสั่งไม่เหมือนกัน ขณะที่ OpenAI ระบุเองว่า Model Spec มีทั้งกฎที่ไม่ควรถูก override และ defaults ที่ผู้ใช้หรือ developer สามารถปรับทิศทางได้ภายในขอบเขตที่กำหนด
ดังนั้นการทำ Multi-model Strategy โดยไม่ตรวจดู behavioral specification ของแต่ละโมเดล อาจสร้างผลลัพธ์ที่องค์กรคาดไม่ถึง
ตัวอย่างเช่น ระบบเดียวกันเปลี่ยนโมเดลหลังบ้าน แล้วพฤติกรรมเรื่องการปฏิเสธคำสั่ง การให้คำแนะนำ หรือการจัดการสถานการณ์อ่อนไหวเปลี่ยนตามไปด้วย นี่คือ AI supply-chain risk รูปแบบหนึ่ง
ไม่ต่างจากการเปลี่ยนซอฟต์แวร์หลักแล้วพบว่ากฎธุรกิจข้างในไม่เหมือนเดิม เพียงแต่ครั้งนี้ “กฎธุรกิจบางส่วน” อาจไม่ได้อยู่ใน code ของบริษัทเรา แต่อยู่ในโมเดลของ vendor
“วันที่ AI เริ่มตัดสินใจแทนองค์กร ค่านิยมของผู้ให้บริการ AI ก็อาจกลายเป็นค่านิยมขององค์กรเราโดยที่ไม่มีใครตั้งใจ”
นี่จึงเป็นเหตุผลว่าทำไมฝ่ายกฎหมาย Risk, Compliance, IT, Security และผู้บริหารธุรกิจไม่ควรปล่อยให้การเลือกโมเดลเป็นเรื่องของทีมเทคนิคเพียงฝ่ายเดียว
สิ่งที่องค์กรไทยควรทำต่อ
1. ทำ AI Governance Map ให้เห็นสามชั้น
แยกทุกข้อใน AI Policy ว่าเป็น
- Legal Minimum – ต้องทำเพราะกฎหมาย/สัญญา
- Safety Control – ทำเพื่อควบคุมความเสี่ยง
- Organizational Value – องค์กรเลือกให้ AI ทำงานแบบนี้
หากข้อใดตอบไม่ได้ว่าอยู่ชั้นไหน นั่นคือสัญญาณว่าต้องกลับไปออกแบบใหม่
2. ตรวจ “Behavioral Specification” ของ AI Vendor
อย่าตรวจ vendor แค่เรื่องราคา SLA ความปลอดภัยไซเบอร์ และที่ตั้งข้อมูลควรตรวจด้วยว่าโมเดลมี Model Spec, Constitution, System Behavior Policy หรือ ข้อกำหนดระดับใดที่มีผลต่อพฤติกรรม และ vendor สามารถเปลี่ยนข้อกำหนดเหล่านั้นได้หรือไม่
3. ทดสอบเหตุการณ์ที่ “คุณค่าชนกัน”
อย่าทดสอบ AI เพียงว่าตอบคำถามถูกหรือไม่ ควรสร้าง scenario ที่มีความขัดแย้ง เช่น
- ลูกค้าขอให้ AI ทำสิ่งที่นโยบายบริษัทไม่อนุญาต
- ผู้บริหารสั่ง AI ทำสิ่งที่อาจสร้างความเสียหาย
- ความเป็นส่วนตัวชนกับความสะดวก
- ความซื่อสัตย์ชนกับการรักษาความสัมพันธ์กับลูกค้า
- คำสั่งมนุษย์ชนกับ safety rule
แล้วดูว่าโมเดลเลือกอะไร และเพราะอะไร
4. กำหนด “องค์กรยอมให้ Vendor ตัดสินแทนถึงตรงไหน”
บางเรื่ององค์กรอาจยอมรับ default ของ vendor ได้ แต่บางเรื่อง เช่น การตัดสินใจเกี่ยวกับ พนักงาน ลูกค้า การให้สิทธิ การปฏิเสธบริการ หรือ การทำธุรกรรม องค์กรควรมี policy และ control ของตัวเองครอบทับอีกชั้น
5. ทำให้ AI Policy เป็นเอกสารที่ทดสอบได้
คำอย่าง “AI ต้องเป็นธรรม โปร่งใส รับผิดชอบ และมีจริยธรรม” ฟังดี แต่ยังไม่พอ ทุกหลักสำคัญควรถูกแปลงเป็น
Policy → Control → Test → Evidence → Owner
เพื่อให้เมื่อเกิดเหตุขึ้นจริง องค์กรสามารถพิสูจน์ได้ว่าไม่ได้เพียงประกาศหลักการ แต่มีระบบควบคุมที่ใช้งานอยู่จริง
มุมมองผู้เชี่ยวชาญ
“เรื่องนี้ทำให้ผมมอง AI Governance ง่ายขึ้นมากครับ เราไม่ควรเอาทุกอย่างไปรวมในคำว่า ‘AI Ethics’ แล้วจบ เพราะกฎหมาย ก็คือกฎหมาย Control ก็คือ สิ่งที่ต้องทดสอบได้ ส่วนค่านิยม คือ สิ่งที่องค์กรเลือกเอง
จุดที่ผมคิดว่าสำคัญที่สุด คือ ถ้าเราไม่แยกสามอย่างนี้ วันหนึ่งเราจะตอบไม่ได้เลยว่า AI ทำแบบนี้เพราะกฎหมายบังคับ หรือ เพราะระบบถูกออกแบบให้ปลอดภัย หรือ เพราะใครบางคนเลือกค่านิยมนี้ใส่เข้าไป และเมื่อ AI เริ่มทำงานแทนคนมากขึ้น คำถามว่า ‘ใครเป็นคนเขียนกติกาให้ AI’ จะสำคัญไม่แพ้คำถามว่า ‘AI ฉลาดแค่ไหน’”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | เนติบัณฑิต & ทนายความ
แหล่งอ้างอิง
- The Lawfare Institute — Nicolas McMullan และ Kevin Frazier, “Who Writes the AI Constitution?”, เผยแพร่ 13 สิงหาคม 2026
อ่านต้นฉบับจาก Lawfare - Anthropic — Claude’s Constitution
อ่าน Claude’s Constitution - OpenAI — Inside our approach to the Model Spec, 25 มีนาคม 2026
อ่านเอกสารจาก OpenAI - ISO — ISO/IEC 42001:2023 AI management systems
ข้อมูลมาตรฐานจาก ISO
