บทนำ
งานวิจัยระดับนานาชาติชิ้นล่าสุดชี้ให้เห็นว่า สถาบันการเงินทั่วโลกกำลังปล่อยให้ “AI ตัวแทน” (agentic AI) เข้ามาตัดสินใจเรื่องเงินแทนมนุษย์มากขึ้นเรื่อยๆ ทั้งเทรดหุ้นอัตโนมัติและอนุมัติ-ปฏิเสธธุรกรรมต้องสงสัย แต่คนในวงการการเงินเกือบ 9 ใน 10 คนยอมรับว่าองค์กรของตนไม่มีระบบกำกับความเสี่ยงของ AI เหล่านี้เลย เรื่องนี้ไม่ใช่ปัญหาไกลตัว เพราะสถาบันการเงินไทยก็เดินตามเทรนด์เดียวกันอยู่
ข้อเท็จจริง
ทีมวิจัยเสนอกรอบกำกับดูแล AI แบบ 4 ชั้น ได้แก่
(1) ชั้นนโยบาย — ทบทวน “เป้าหมาย” ที่ AI ถูกฝึกให้ทำ เหมือนทบทวนนโยบายความเสี่ยงทั่วไป
(2) ชั้นวิศวกรรม — ระบบเฝ้าระวังความเบี่ยงเบนของพฤติกรรม AI แบบเรียลไทม์ พร้อมปุ่มหยุดฉุกเฉิน
(3) ชั้นองค์ประกอบ — ตรวจสอบความเสี่ยงจากการต่อ AI หลายตัวจากหลาย vendor เข้าด้วยกัน และ
(4) ชั้นระบบ — ความเสี่ยงเชิงระบบเมื่อหลายสถาบันใช้โมเดลคล้ายกันจนพฤติกรรมพร้อมกันในภาวะวิกฤต
งานวิจัยยกตัวอย่างจริง 3 กรณีสนับสนุน ได้แก่ กลยุทธ์เทรดหุ้นที่ใช้ AI วิเคราะห์ข่าวจริงจากต่างประเทศ, กองทุนเก็งกำไรมูลค่าราว 45,000 ล้านดอลลาร์ที่ต้องบังคับขายสินทรัพย์จนมูลค่าหายไปกว่าครึ่งภายในไม่กี่สัปดาห์เพราะใช้เลเวอเรจสูงกับกลยุทธ์เดียว และคำตัดสินของศาลแคนาดาที่ให้สายการบินต้องรับผิดชอบคำตอบผิดพลาดของแชทบอทของตัวเอง ทั้งที่อ้างว่าแชทบอทเป็น “หน่วยงานแยกต่างหาก” ก็ไม่รอด
ผลกระทบต่อธุรกิจในประเทศไทย
สำหรับธุรกิจไทย ประเด็นนี้ไม่ใช่เรื่องไกลตัวเลย ธนาคารและฟินเทคไทยจำนวนมากเริ่มใช้ AI ตรวจจับธุรกรรมต้องสงสัยหรือให้บริการแชทบอทตอบคำถามลูกค้าอยู่แล้ว หากเกิดกรณีคล้ายคดี Air Canada ในไทย เช่น แชทบอทของธนาคารให้ข้อมูลผิดจนลูกค้าเสียหาย คำถามคือธุรกิจจะปัดความรับผิดโดยอ้างว่า “เป็นการตัดสินใจของ AI” ได้หรือไม่ ซึ่งแนวทางสากลชี้ชัดว่าทำไม่ได้ องค์กรต้องรับผิดชอบคำพูด/การตัดสินใจของ AI เสมือนเป็นคำพูดของพนักงานจริง
อีกประเด็นที่สำคัญคือ PDPA กำหนดให้ผู้ควบคุมข้อมูลต้องมีฐานทางกฎหมายและวัตถุประสงค์ที่ชัดเจนในการประมวลผลข้อมูลส่วนบุคคล หาก AI agent ที่ใช้ตัดสินใจอนุมัติ-ปฏิเสธธุรกรรมไม่เคยผ่านการทบทวน “เกณฑ์การให้คะแนนความเสี่ยง” อย่างเป็นทางการ องค์กรอาจเผชิญทั้งความเสี่ยงด้าน PDPA และความเสี่ยงเลือกปฏิบัติโดยไม่ตั้งใจ (เช่น ปฏิเสธลูกค้าบางกลุ่มมากผิดปกติ) นอกจากนี้ฟินเทคไทยจำนวนมากพึ่งพาโมเดล AI จากผู้ให้บริการต่างประเทศ ซึ่งอาจอัปเดตโมเดลโดยที่องค์กรไทยไม่รู้ตัว ส่งผลต่อพฤติกรรมระบบโดยไม่มีใครตรวจพบทันเวลา
สิ่งที่ควรทำต่อ
- สำรวจ (inventory) ว่าองค์กรมี AI agent ตัวไหนบ้างที่ตัดสินใจแทนมนุษย์ในกระบวนการทางการเงิน
- กำหนดเพดานความเสียหายสูงสุดที่ AI ตัดสินใจเองได้ ก่อนต้องส่งให้มนุษย์อนุมัติ
- บันทึกเวอร์ชันโมเดล AI/vendor ที่ใช้งานจริงทุกครั้งที่มีการอัปเดต เพื่อสอบย้อนกลับได้
- ทำ DPIA (การประเมินผลกระทบด้านข้อมูลส่วนบุคคล) สำหรับ AI ที่ประมวลผลข้อมูลลูกค้าเพื่อการตัดสินใจ
- เตรียมกระบวนการทบทวน “เป้าหมาย” ของ AI โดยทีมที่แยกจากทีมพัฒนา เพื่อลดความเสี่ยงเลือกปฏิบัติ
มุมมองผู้เชี่ยวชาญ
“หลายองค์กรคิดว่า AI แค่เป็นเครื่องมือช่วยงาน แต่พองานวิจัยแบบนี้ชี้ชัดว่าเมื่อ AI ตัดสินใจแทนมนุษย์ องค์กรต้องรับผิดชอบเหมือนเป็นคนตัดสินใจเอง กฎหมายไทยอย่าง PDPA ก็มีหลักการเดียวกันอยู่แล้ว สิ่งที่ธุรกิจไทยต้องทำ คือ ทบทวนตั้งแต่วันนี้ ไม่ใช่รอให้เกิดเคสจริงก่อนแล้วค่อยแก้”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
บทความนี้เรียบเรียงและวิเคราะห์จากงานวิจัยที่เผยแพร่ผ่าน arXiv อ่านต้นฉบับฉบับเต็มได้ที่: https://arxiv.org/pdf/2608.02311
