สารบัญ
- ก.ล.ต. ไม่ได้ถามแล้วว่า “ใช้ AI หรือไม่”
- จุดเปลี่ยนสำคัญคือ AI ต้องมี “บัญชีรายการ”
- ความเสี่ยงที่ธุรกิจไทยมองข้าม: คนขาย AI อาจกลายเป็นจุดล้มของตลาด
- AI Governance ก.ล.ต. เชื่อมเรื่อง AI เข้ากับ PDPA และ Cybersecurity อย่างไร
- ใครบ้างที่ควรเริ่มทำตอนนี้
- สิ่งที่ควรทำต่อ
- มุมมองผู้เชี่ยวชาญ
- แหล่งอ้างอิง
ก.ล.ต. กำลังเปลี่ยนโจทย์จาก “ใช้ AI อย่างไร” เป็น “ควบคุม AI อย่างไร”
AI Governance ก.ล.ต. กำลังเข้าสู่ช่วงที่น่าสนใจมากขึ้น เพราะ ก.ล.ต. ไม่ได้มอง AI เป็นเพียงเทคโนโลยีเพิ่มประสิทธิภาพอีกต่อไป แต่กำลังวางระบบให้ผู้ประกอบธุรกิจตลาดทุนสามารถอธิบาย ตรวจสอบ และควบคุมการใช้ AI ได้ตลอดวงจรชีวิตของระบบ
ประเด็นนี้สำคัญเป็นพิเศษในตอนนี้ เพราะ ก.ล.ต. มีกรอบ AI Governance Framework and Handbook ฉบับปรับปรุงครั้งที่ 1 เดือนสิงหาคม 2569 ซึ่งต่อยอดจากกรอบที่เผยแพร่เมื่อปี 2566 และเพิ่มเครื่องมือเชิงปฏิบัติหลายส่วนเข้าไปอย่างชัดเจน
นี่จึงไม่ใช่เพียงเรื่องว่า AI “แม่นหรือไม่แม่น” แต่เป็นเรื่องที่ว่า เมื่อ AI เข้ามาอยู่ในกระบวนการลงทุน การซื้อขาย การบริการลูกค้า หรือการบริหารความเสี่ยง บริษัทสามารถพิสูจน์ได้หรือไม่ว่าใครรับผิดชอบและองค์กรควบคุมมันจริง
จุดเปลี่ยนสำคัญคือ AI ต้องมี “บัญชีรายการ”
ถ้าอ่านกรอบฉบับใหม่แบบคนทำธุรกิจ สิ่งที่สะดุดตาที่สุดไม่ใช่คำว่า Ethics หรือ Transparency แต่คือแนวคิด AI Inventory
พูดง่าย ๆ คือ องค์กรต้องมองให้เห็นว่า “เราใช้ AI ตัวไหนอยู่บ้าง”
ก.ล.ต. วางกลไกการนำกรอบไปใช้ด้วยแนวคิด Think → Record → Act
เริ่มจาก Think คือพิจารณาว่าแต่ละ AI use case ทำอะไร กระทบใคร และมีความเสี่ยงระดับไหน จากนั้น Record คือบันทึกข้อมูลลงใน AI Inventory เพื่อให้รู้ถึง use case บทบาทขององค์กร แหล่งข้อมูล และระดับความเสี่ยง ก่อนเข้าสู่ Act คือเลือกมาตรการควบคุมให้เหมาะกับความเสี่ยงของ AI ตัวนั้น
นี่เป็นการเปลี่ยนวิธีคิดครั้งสำคัญ
เพราะองค์กรจำนวนมากรู้ว่า “ฝ่ายการตลาดใช้ GenAI” หรือ “ฝ่าย IT ใช้ AI ช่วยเขียน Code” แต่ไม่สามารถตอบคำถามต่อได้ว่า ข้อมูลอะไรถูกป้อนเข้าไป ใครเป็นเจ้าของระบบ ผู้ให้บริการอยู่ที่ไหน มีการเปลี่ยนโมเดลเมื่อไร และถ้าระบบเกิดปัญหา ใครมีสิทธิ์หยุดมัน
กรอบใหม่จึงกำลังผลักองค์กรจากการ “รู้ว่ามี AI” ไปสู่การ “รู้จัก AI ทุกตัวในองค์กร” และเรื่องนี้ไม่ได้หยุดแค่การทำทะเบียน
AI Governance ก.ล.ต. กำลังขยับจาก Policy ไปสู่หลักฐาน
ก.ล.ต. ยังเชื่อมการกำกับ AI เข้ากับ Enterprise Risk Management หรือการบริหารความเสี่ยงระดับองค์กร รวมถึงความเสี่ยงด้าน IT, Cybersecurity, บุคคลที่สาม, การปฏิบัติต่อลูกค้า และข้อกฎหมายที่เกี่ยวข้อง
หมายความว่า AI Governance ไม่ควรเป็นโครงการของฝ่าย Innovation ที่ทำเสร็จแล้วจบ
มันต้องเข้าไปอยู่ในระบบบริหารความเสี่ยงของบริษัท
ตัวอย่างง่ายๆ คือ บริษัทใช้ AI ช่วยคัดกรองสัญญาณการซื้อขาย หากโมเดลเปลี่ยน ข้อมูลต้นทางเปลี่ยน หรือผู้ให้บริการ cloud เปลี่ยน ความเสี่ยงก็เปลี่ยนตาม กรอบของ ก.ล.ต. จึงคาดหวังให้มีการทบทวนทั้งตามรอบเวลาและเมื่อเกิดเหตุการณ์สำคัญ ไม่ใช่ประเมินครั้งเดียวก่อนเปิดใช้งาน
สิ่งที่มีน้ำหนักมากขึ้นอีกเรื่องคือ “หลักฐาน”
องค์กรควรสามารถย้อนกลับไปดูได้ว่า AI ถูกใช้อย่างไร ใครตัดสินใจอะไร มีการทดสอบแบบไหน เกิดเหตุผิดปกติเมื่อไร และมีการตอบสนองอย่างไร เพราะกรอบฉบับใหม่ให้ความสำคัญกับ explainability และ traceability รวมถึงการป้องกันการสื่อสารเกินจริงเกี่ยวกับความสามารถของ AI หรือที่เรียกว่า AI-washing
นี่คือจุดที่หลายองค์กรอาจประเมินต่ำไป
การมี AI Policy หนึ่งฉบับไม่ได้แปลว่ามี AI Governance
ถ้าหยิบเอกสารขึ้นมาแล้วตอบไม่ได้ว่า AI ตัวใดกำลังทำงานอยู่ที่ไหน เอกสารนั้นก็อาจไม่มีประโยชน์มากนักเมื่อเกิดเหตุจริง
ความเสี่ยงใหญ่ที่อาจไม่ได้อยู่ในบริษัท แต่อยู่ที่ผู้ให้บริการ
อีกมุมที่น่าสนใจมากคือ ก.ล.ต. ไม่ได้มองความเสี่ยงเฉพาะตัวโมเดล แต่ให้ความสำคัญกับ Third-party Dependency and Concentration
สมมติว่าบริษัทตลาดทุนหลายแห่งใช้ foundation model, cloud infrastructure, external API หรือผู้ให้บริการ AI รายเดียวกัน
ตอนระบบยังทำงาน ทุกบริษัทอาจรู้สึกว่าเป็นการประหยัดต้นทุนและเร็วกว่า แต่ถ้าผู้ให้บริการรายนั้นล่ม โมเดลมีปัญหา หรือบริการเปลี่ยนเงื่อนไข ผลกระทบอาจไม่ได้เกิดกับบริษัทเดียว แต่อาจขยายไปถึงผู้เล่นหลายรายพร้อมกัน และกลายเป็นปัญหาระดับตลาดได้
นี่คือสิ่งที่ผู้บริหารควรถามมากกว่า “Vendor นี้เก่งไหม”
คำถามที่สำคัญกว่าคือ “ถ้า Vendor นี้หายไปพรุ่งนี้ เราหยุดทำงานตรงไหนบ้าง”
สำหรับธุรกิจการเงิน คำถามนี้เกี่ยวข้องโดยตรงกับ Business Continuity และ Operational Resilience
ดังนั้นการประเมิน AI Vendor ไม่ควรจบที่ราคา ความแม่นยำ หรือ SLA แต่ควรมองถึง dependency, concentration risk, สิทธิในการตรวจสอบ, การเปลี่ยนโมเดล, การจัดการข้อมูล และทางออกเมื่อเลิกใช้บริการด้วย
AI Governance ไม่ได้แยกออกจาก PDPA
อีกเรื่องที่ควรจับตาคือเส้นแบ่งระหว่าง AI Governance กับ PDPA กำลังบางลงเรื่อย ๆ
กรอบของ ก.ล.ต. ระบุให้การกำกับข้อมูลสำหรับ AI ครอบคลุมตั้งแต่ input, prompt, knowledge base, output, log ไปจนถึงการเชื่อมต่อกับระบบหรือผู้ให้บริการภายนอก โดยต้องพิจารณาคุณภาพข้อมูล สิทธิในการใช้ข้อมูล ความเสี่ยงจาก bias, drift, data exposure และ data loss
เมื่อ AI ใช้ข้อมูลส่วนบุคคล บริษัทจึงไม่ได้มีโจทย์แค่ “ห้ามข้อมูลรั่ว”
แต่ต้องรู้ด้วยว่า ข้อมูลนั้นเข้าระบบตรงไหน ใช้เพื่ออะไร ใครเข้าถึงได้ เก็บไว้นานแค่ไหน ส่งต่อให้ใคร และจะทำลายเมื่อเลิกใช้ระบบอย่างไร
กรอบยังระบุถึงมาตรการอย่าง encryption และ anonymization รวมถึงการคุ้มครองข้อมูลตลอดวงจรชีวิตของ AI และการปฏิบัติตามกฎหมายที่เกี่ยวข้อง เช่น PDPA และกฎหมายลิขสิทธิ์
ดังนั้น สำหรับบริษัทตลาดทุน การทำ AI Inventory ที่ดีอาจกลายเป็นจุดเชื่อมระหว่าง AI Governance, Data Governance, PDPA และ Cybersecurity ในชุดเดียวกัน
นี่เป็นเหตุผลว่าเหตุใด AI Governance จึงไม่ควรถูกโยนให้ฝ่าย AI หรือฝ่าย IT รับผิดชอบเพียงลำพัง
ผลกระทบต่อธุรกิจในประเทศไทย
ผลกระทบที่แท้จริงของกรอบ AI Governance ก.ล.ต. ต่อธุรกิจไทยไม่ได้อยู่ที่การบังคับให้บริษัทต้องมี AI Committee หรือสร้างเอกสารเพิ่ม แต่คือการทำให้ “การใช้ AI” กลายเป็นเรื่องที่ต้องมีเจ้าของ มีหลักฐาน และสามารถถูกตรวจสอบย้อนกลับได้
สำหรับองค์กรขนาดใหญ่ การเปลี่ยนแปลงนี้จะกระทบโครงสร้างการกำกับดูแลโดยตรง เพราะ AI อาจกระจายอยู่หลายฝ่าย ตั้งแต่ Front Office, Operations, Compliance, Risk, Customer Service ไปจนถึง Marketing หากไม่มีทะเบียนกลาง แต่ละฝ่ายอาจควบคุม AI ด้วยมาตรฐานคนละแบบ และไม่มีใครมองภาพรวมของความเสี่ยง
สำหรับผู้ประกอบการที่พึ่งพา Vendor มาก ความเสี่ยงจะย้ายจาก “โมเดลผิด” ไปสู่ “เราควบคุมสิ่งที่เราไม่ได้สร้างเองได้แค่ไหน” ซึ่งเป็นโจทย์สำคัญอย่างมาก เพราะกรอบของ ก.ล.ต. ให้ความสำคัญกับ third-party dependency และ concentration risk ไม่ใช่เฉพาะคุณภาพของโมเดล
สำหรับบริษัทที่ใช้ข้อมูลลูกค้า AI Governance ยังทำให้ PDPA กลายเป็นเรื่องที่ต้องคิดตั้งแต่ต้นน้ำ ไม่ใช่เข้ามาตรวจทีหลัง เพราะข้อมูลใน prompt, knowledge base, output และ log ล้วนสามารถมีความสำคัญต่อความเป็นส่วนตัวและการตรวจสอบภายหลัง
ขณะที่ AI ที่มีความเป็นอิสระสูง โดยเฉพาะ Agentic AI หรือระบบที่สามารถเชื่อมต่อเครื่องมือและลงมือทำเอง จะต้องถูกมองต่างจาก chatbot ทั่วไป กรอบฉบับใหม่มีตัวอย่างให้ประเมินทั้ง autonomy level, tool access, write/execute permission, human authority และกลไกหยุดหรือระงับการทำงาน
ผลเชิงธุรกิจจึงมีสองด้านพร้อมกัน
ด้านหนึ่ง บริษัทที่วางระบบก่อนจะได้เปรียบเมื่อกฎเกณฑ์ในอนาคตเข้มขึ้น เพราะมี inventory, risk assessment, documentation และ control framework อยู่แล้ว
อีกด้าน บริษัทที่ใช้ AI แบบกระจายตัวโดยไม่มีเจ้าของกลางอาจมีต้นทุนในการ “รื้อระบบย้อนหลัง” สูงกว่าการวาง governance ตั้งแต่ต้น โดยเฉพาะเมื่อมีข้อมูลลูกค้า มีการเชื่อมต่อกับผู้ให้บริการต่างประเทศ หรือ AI เข้าไปแตะกระบวนการที่มีผลโดยตรงต่อผู้ลงทุน
ก.ล.ต. เองระบุว่ากรอบล่าสุดไม่ได้ตั้งใจให้เป็น one-size-fits-all และให้องค์กรปรับความเข้มของมาตรการตามลักษณะและระดับความเสี่ยงของแต่ละ use case แต่ขั้นต่ำที่ควรตอบได้คือ องค์กรใช้ AI ตรงไหน ใครรับผิดชอบ ผลกระทบคืออะไร และมีมาตรการพื้นฐานด้านข้อมูล ความปลอดภัย และ human oversight หรือไม่
ดังนั้น คำถามเชิงธุรกิจที่สำคัญที่สุดอาจไม่ใช่ “ก.ล.ต. จะบังคับใช้เมื่อไร”
แต่คือ “วันนี้บริษัทของเราพิสูจน์ได้หรือยังว่าเราควบคุม AI ที่ใช้อยู่จริง”
สิ่งที่ควรทำต่อ
- ทำ AI Inventory ให้เห็นของจริง
เริ่มจาก AI ที่ใช้งานอยู่ทุกฝ่าย รวมถึง SaaS, API, chatbot, Copilot, GenAI และระบบที่ Vendor จัดหาให้ - จัดระดับความเสี่ยงของแต่ละ Use Case
พิจารณาว่า AI กระทบลูกค้า นักลงทุน การซื้อขาย ข้อมูลส่วนบุคคล หรือความต่อเนื่องของธุรกิจมากแค่ไหน - ตรวจ Vendor ก่อนตรวจโมเดล
ถามเรื่องข้อมูลที่ส่งเข้าไป สิทธิในการตรวจสอบ การเปลี่ยนโมเดล SLA, exit plan และการพึ่งพาผู้ให้บริการรายเดียว - เชื่อม AI Governance เข้ากับ PDPA และ Cybersecurity
อย่าแยก AI Inventory ออกจาก Data Governance, Access Control, Logging, Incident Response และ IT Audit - กำหนดคนที่มีสิทธิ์หยุด AI
สำหรับ AI ที่มีผลกระทบสูง ต้องตอบให้ชัดว่าใครสามารถ review, override, suspend หรือหยุดการทำงานได้จริง ไม่ใช่มีชื่อใน policy แต่ไม่มีอำนาจในระบบ
แหล่งอ้างอิง
Tilleke & Gibbins International Ltd. — “Thailand’s AI and Machine Learning Governance Framework for Capital Markets” เผยแพร่ 3 เมษายน 2569 เป็นแหล่งข่าวต้นทางของประเด็นนี้
อ่านบทความต้นฉบับของ Tilleke & Gibbins
สำนักงาน ก.ล.ต. — AI Governance Framework and Handbook ฉบับปรับปรุงครั้งที่ 1 เดือนสิงหาคม 2569 ซึ่งเป็นเอกสารทางการที่มีรายละเอียดล่าสุดของกรอบดังกล่าว
อ่านกรอบ AI Governance ฉบับ ก.ล.ต. ล่าสุด
Tilleke & Gibbins International Ltd. — “Comprehensive Policy: Thailand’s AI Governance Framework” สำหรับบริบทภาพรวมการพัฒนากรอบ AI Governance ของไทยและแนวโน้มกฎหมาย AI ในระดับประเทศ
อ่านบทวิเคราะห์ภาพรวม AI Governance ของไทย
YMYL Disclaimer:
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย
หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
