บทนำ
การเคลื่อนไหวของ ETDA ในปี 2569 ส่งสัญญาณสำคัญต่อภาคธุรกิจไทย: AI Governance กำลังเปลี่ยนจากสิ่งที่องค์กรสามารถทำให้เสร็จด้วย “AI Policy หนึ่งฉบับ” ไปสู่ระบบที่ประกอบด้วยการประเมินผลกระทบ การจัดการความเสี่ยง การทดสอบ และหลักฐานการควบคุมที่ตรวจสอบย้อนหลังได้. ETDA ระบุว่ามี AI Governance Guideline & Toolkits แล้ว 12 ชุด พร้อมเดินหน้าพัฒนา AI Ethical Impact Assessment Playbook และกลไก AI Governance Testing.
ความเปลี่ยนแปลงนี้สำคัญยิ่งขึ้นเมื่อประเทศไทยกำลังพัฒนาร่างกฎหมาย AI ในแนวทาง risk-based และในเวลาเดียวกัน ISO/IEC 42001 ก็เสนอกรอบ Artificial Intelligence Management System สำหรับองค์กรที่พัฒนา ให้บริการ หรือใช้ AI. สิ่งที่ผู้บริหารควรถามจึงไม่ใช่เพียง “เรามีนโยบายหรือยัง” แต่คือ ถ้ามีคนขอดูหลักฐานพรุ่งนี้ องค์กรหยิบอะไรออกมาแสดงได้บ้าง.
ไทยกำลังสร้างเครื่องมือเพื่อพา AI Governance ลงจากกระดาษ
ทิศทางของ ETDA ไม่ได้มีเพียงการออกหลักจริยธรรมใหม่ แต่กำลังสร้างเครื่องมือที่องค์กรนำไปใช้กับวงจรชีวิต AI ได้จริง
ETDA ระบุว่าได้พัฒนา AI Governance Guideline & Toolkits รวม 12 ชุด เพื่อช่วยทั้งภาครัฐและเอกชนจัดการตั้งแต่การทำความเข้าใจความเสี่ยง การออกแบบการใช้งาน ไปจนถึงแนวทางบริหารจัดการ AI. ในปี 2569 ยังมีการพัฒนา AI Ethical Impact Assessment Playbook เพื่อช่วยประเมินผลกระทบ ความเสี่ยง และประเด็นจริยธรรมก่อนการจัดซื้อ พัฒนา หรือนำระบบ AI มาใช้งาน โดยนำแนวทางสากล เช่น UNESCO และ ISO มาปรับให้เข้ากับบริบทองค์กรไทย.
อีกด้านหนึ่ง ETDA กำลังผลักดันจาก AI Governance Center หรือ AIGC ไปสู่ AI Governance Practice Center — AIGPC โดยวางบทบาทให้เน้นการนำหลักการไปสู่การปฏิบัติ การพัฒนาเครื่องมือ การติดตามแนวโน้ม และการสร้างขีดความสามารถขององค์กรในระดับประเทศและภูมิภาค.
สิ่งที่ทำให้ภาพนี้ชัดยิ่งขึ้นคือการนำ AI Red Teaming มาทดลองกับภาคการเงิน ผ่าน Thailand Banking AI Red Team Challenge 2026 ซึ่งจำลองการค้นหาความเสี่ยงและช่องโหว่ของ AI ในมิติ Safety, Security, Privacy, Fairness และ Reliability. การแข่งขันมีทั้งการทดสอบจากมุมผู้ใช้กับ AI chatbot จำลอง และการทดสอบช่องโหว่เชิงเทคนิคแบบ Capture the Flag.
นี่ทำให้คำว่า “Responsible AI” เริ่มเปลี่ยนความหมายในทางปฏิบัติ เพราะองค์กรไม่สามารถพิสูจน์ความรับผิดชอบได้ด้วยข้อความว่า เรามุ่งมั่นใช้ AI อย่างมีจริยธรรม เพียงอย่างเดียว หากไม่มีหลักฐานว่าระบบถูกประเมิน ทดสอบ เฝ้าระวัง และแก้ไขเมื่อพบความเสี่ยง.
TECH LAW NOW – “AI Policy บอกว่าองค์กรเชื่ออะไร แต่ AI Governance Evidence บอกว่าองค์กรทำอะไรจริง”
ในระดับมาตรฐาน ISO/IEC 42001 ก็ใช้แนวคิด Artificial Intelligence Management System หรือ AIMS ซึ่งครอบคลุมการสร้าง การนำไปใช้ การรักษา และการปรับปรุงระบบบริหาร AI อย่างต่อเนื่อง พร้อมให้ความสำคัญกับการบริหารความเสี่ยง ความโปร่งใส และ traceability.
ขณะเดียวกัน ร่างกฎหมาย AI ฉบับใหม่ของไทยถูกเผยแพร่ในเดือนกรกฎาคม 2569 โดยยังอยู่ในกระบวนการพัฒนากฎหมาย และใช้แนวทางกำกับตามระดับความเสี่ยง ดังนั้นองค์กรควรแยกให้ชัดระหว่าง กฎหมายที่มีผลบังคับใช้อยู่แล้ว, ร่างกฎหมาย, มาตรฐานสมัครใจ และ แนวปฏิบัติ/เครื่องมือด้าน governance ไม่ควรนำมาปะปนจนทำให้ผู้อ่านเข้าใจว่าทุกข้อเป็นหน้าที่ตามกฎหมายในปัจจุบัน.
ผลกระทบต่อธุรกิจในประเทศไทย: จาก “Policy Stack” ไปสู่ “Evidence Stack”
ผลกระทบที่สำคัญที่สุดสำหรับธุรกิจไทยไม่ใช่การต้องเพิ่มเอกสารอีกหลายสิบฉบับ แต่คือ วิธีจัดโครงสร้าง governance ภายในองค์กรจะต้องเปลี่ยน
ในหลายองค์กร วันนี้ AI Governance เริ่มต้นโดยฝ่ายใดฝ่ายหนึ่งร่าง Acceptable Use Policy หรือ Generative AI Policy แล้วส่งให้พนักงานรับทราบ วิธีดังกล่าวยังมีประโยชน์ แต่ไม่สามารถตอบโจทย์เมื่อ AI ถูกนำไปใช้กับ recruitment, customer service, credit scoring, fraud detection, medical support, legal review หรือการวิเคราะห์ข้อมูลลูกค้า เพราะแต่ละ use case มีข้อมูล ผู้มีส่วนได้ส่วนเสีย ความรุนแรงของผลกระทบ และ vendor ที่แตกต่างกัน.
สิ่งที่องค์กรควรเริ่มสร้างจึงเป็น AI Governance Evidence Stack หรือระบบหลักฐานกลางของ AI แต่ละ use case
ชั้นแรกคือ AI Inventory — ต้องรู้ก่อนว่าองค์กรกำลังใช้ AI อะไร อยู่ในหน่วยงานใด มีวัตถุประสงค์อะไร ใครเป็น business owner และใครเป็นผู้ให้บริการภายนอก หากไม่มี inventory การทำ risk assessment, incident response หรือ internal audit ในขั้นถัดไปแทบเป็นไปไม่ได้อย่างเป็นระบบ.
ชั้นถัดมาคือ Risk & Impact Evidence เช่น การจัดระดับความเสี่ยง ผู้ที่อาจได้รับผลกระทบ ข้อมูลที่เข้าสู่ระบบ ความเสียหายที่อาจเกิดขึ้น ความจำเป็นของ human oversight และมาตรการลดความเสี่ยง ซึ่งสอดคล้องกับทิศทาง AI Ethical Impact Assessment ที่ ETDA กำลังผลักดัน.
จากนั้นคือ Testing Evidence องค์กรควรตอบได้ว่าก่อนนำ AI ไปใช้จริงเคยทดสอบเรื่องใด เช่น accuracy, hallucination, bias, prompt injection, disclosure of confidential information หรือพฤติกรรมที่เกิดขึ้นเมื่อผู้ใช้พยายามหลอกระบบ การที่ ETDA นำ Red Teaming มาใช้กับภาคธนาคารแสดงให้เห็นชัดว่าการกำกับ AI กำลังเคลื่อนเข้าสู่โลกของการพิสูจน์ด้วยการทดสอบ ไม่ใช่การรับรองด้วยคำประกาศ.
อีกชั้นคือ Human Oversight & Decision Evidence: เมื่อ AI ให้คำแนะนำหรือผลลัพธ์ที่กระทบบุคคล ใครมีอำนาจ override? เมื่อเกิดข้อผิดพลาด ใครหยุดระบบได้? มี escalation path หรือไม่? คำว่า human-in-the-loop จะไม่มีความหมายหากองค์กรไม่กำหนดผู้รับผิดชอบและขั้นตอนการตัดสินใจจริง.
สำหรับระบบที่เกี่ยวข้องกับข้อมูลส่วนบุคคล Evidence Stack ควรถูกเชื่อมเข้ากับ PDPA records แทนการเปิด “โครงการ AI Compliance” และ “โครงการ PDPA” แยกกันโดยสิ้นเชิง ตัวอย่างเช่น AI Inventory สามารถเชื่อมกับ Record of Processing Activities ได้เมื่อ use case มีการประมวลผลข้อมูลส่วนบุคคล ขณะที่การประเมิน vendor AI ก็ควรพิจารณาบทบาทและเงื่อนไขการประมวลผลข้อมูล ตลอดจน security controls ที่เกี่ยวข้อง. PDPC เองอธิบาย ROPA ว่าเป็นกลไกสำคัญในการบันทึกกิจกรรมการประมวลผลตามมาตรา 39.
ในทางบริหาร ISO/IEC 42001 สามารถทำหน้าที่เป็น “management-system layer” ที่ช่วยให้องค์กรนำ governance เหล่านี้ไปอยู่ภายใต้วงจรการบริหาร ความรับผิดชอบ การประเมิน และ continual improvement โดยมาตรฐานระบุชัดว่า AIMS ไม่ได้มีเฉพาะ policy แต่ประกอบด้วยองค์ประกอบและกระบวนการที่เชื่อมโยงกันเพื่อบริหารการพัฒนา การให้บริการ หรือการใช้ AI อย่างรับผิดชอบ.
ตรงนี้คือโอกาสสำคัญขององค์กรไทย: ไม่จำเป็นต้องสร้างหลักฐานใหม่หนึ่งชุดสำหรับ ETDA อีกชุดสำหรับ ISO อีกชุดสำหรับ PDPA และอีกชุดสำหรับ Internal Audit หากออกแบบ data model และ governance workflow ตั้งแต่ต้น หลักฐานเดียวกันจำนวนมากสามารถนำกลับมาใช้ข้ามกรอบได้.
ตัวอย่างเช่น ข้อมูล “AI system owner — purpose — data category — risk rating — vendor — approval date — test result — residual risk — human oversight — incident history” สามารถตอบคำถามของหลายฝ่ายได้พร้อมกัน ทั้งผู้บริหาร DPO Security Compliance Procurement และ Auditor.
TECH LAW NOW – “ความเสี่ยงขององค์กรในยุค AI ไม่ใช่แค่วันที่โมเดลตอบผิด แต่คือวันที่ผู้บริหารถูกถามว่า ‘ใครอนุมัติ ทดสอบอะไร และหลักฐานอยู่ที่ไหน’ แล้วองค์กรตอบไม่ได้”
สำหรับ SME เรื่องนี้ไม่ได้หมายความว่าต้องสร้างคณะกรรมการ AI ขนาดใหญ่หรือซื้อระบบ GRC ราคาแพง SME สามารถเริ่มด้วย spreadsheet หรือ register ที่ควบคุมเวอร์ชันได้ โดยเลือกประเมิน use case ที่มีผลกระทบสูงก่อน สิ่งสำคัญคือให้มี owner, risk decision และ evidence ไม่ใช่ความซับซ้อนของเครื่องมือ.
ส่วนองค์กรขนาดใหญ่ควรระวังอีกปัญหาหนึ่ง คือ “governance fragmentation” — DPO มีรายการระบบหนึ่ง ฝ่าย Security มี vendor list อีกชุด Procurement มีสัญญาอีกระบบ และ Data Science มี model registry ของตนเอง หากแต่ละฝ่ายไม่มี identifier กลางสำหรับ AI use case เดียวกัน เมื่อเกิด incident การรวบรวมหลักฐานจะช้าและความรับผิดชอบอาจไม่ชัดเจน.
ดังนั้น ปี 2569–2570 อาจไม่ใช่ช่วงเวลาของการแข่งขันว่าใครมี AI Policy หนาที่สุด แต่เป็นการแข่งขันว่าใครสามารถสร้าง governance ที่ ตรวจสอบได้ ใช้งานได้จริง และไม่ทำให้ธุรกิจช้าจนเกินไป.
สิ่งที่ควรทำต่อ
- ทำ AI Inventory ภายในองค์กร — ระบุ AI/GenAI/AI Agent ที่ใช้อยู่ วัตถุประสงค์ business owner vendor ข้อมูลที่เกี่ยวข้อง และผู้ที่อาจได้รับผลกระทบ
- สร้าง Risk Tier สำหรับ AI Use Case อย่าใช้ control เท่ากันหมด ให้ระบบที่เกี่ยวกับการเงิน การจ้างงาน สุขภาพ สิทธิของลูกค้า หรือข้อมูลอ่อนไหวได้รับการตรวจเข้มกว่า productivity tool ทั่วไป
- กำหนด Evidence Minimum ก่อนอนุมัติ AI อย่างน้อยควรมี risk assessment, owner approval, vendor due diligence, testing result, human oversight และ incident/escalation procedure ตามระดับความเสี่ยง
- เชื่อม AI Governance กับ PDPA, Security และ Procurement หาก AI use case ใช้ข้อมูลส่วนบุคคลหรือ vendor ภายนอก อย่าปล่อยให้การตรวจ AI แยกออกจาก ROPA, security review และกระบวนการจัดซื้อ.
- ทำ Gap Assessment เทียบ ETDA + ISO/IEC 42001 อย่างมีสติ ใช้เป็นกรอบพัฒนาระบบและเตรียมความพร้อม แต่แยกให้ชัดว่าอะไรเป็นข้อกฎหมายที่มีผลอยู่แล้ว อะไรเป็นร่างกฎหมาย อะไรเป็นมาตรฐานสมัครใจ และอะไรเป็น guideline.
แหล่งอ้างอิง
แหล่งต้นทางหลัก
- ETDA Resource Center — “AI Governance ไม่ใช่เรื่องของอนาคต แต่คือเงื่อนไขของการใช้ AI วันนี้ ถอดภารกิจ ETDA ผ่านแนวคิด Driving Trust AI Governance”, 1 กรกฎาคม 2569
อ่านต้นฉบับ ETDA
แหล่งประกอบการตรวจสอบ
- ETDA — การเปิด AI Governance Week 2026 และทิศทาง AIGPC / EIA Playbook / AI Red Teaming
- ThaiPR / ข้อมูลจาก ETDA — Thailand Banking AI Red Team Challenge 2026, 3 กรกฎาคม 2569
- ISO — ISO/IEC 42001:2023 Artificial Intelligence Management System
- Tilleke & Gibbins — Thailand Releases New Draft Artificial Intelligence Act, 2 กรกฎาคม 2569
- ราชกิจจานุเบกษา — พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
- สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล — GPPC PLUS / Record of Processing Activities
