บทนำ
เวลาบริษัทพูดว่า “เราใช้ AI” เรามักนึกถึง chatbot ระบบวิเคราะห์ข้อมูล หรือเครื่องมือเพิ่มประสิทธิภาพการทำงาน
แต่สิ่งที่น่าสนใจกว่าเกิดขึ้นเมื่อคำว่า AI Governance เข้าไปอยู่ในเอกสารที่บริษัทใช้สื่อสารกับนักลงทุน
ใน MD&A ไตรมาส 2/2569 ของ Advanced Info Service หรือ AIS บริษัทระบุเรื่อง Data and AI Governance ไว้ภายใต้ยุทธศาสตร์ Drive Digital Economy พร้อมกับเรื่องบริการดิจิทัล ความเป็นส่วนตัวของข้อมูล การพัฒนาบุคลากร และความยั่งยืน
และเมื่อย้อนตรวจ MD&A ไตรมาส 1/2569 พบข้อความเรื่องนโยบายนี้อยู่แล้วเช่นกัน นั่นทำให้เรื่องนี้น่าสนใจกว่าการประกาศนโยบายครั้งเดียว เพราะเราเริ่มเห็น ความต่อเนื่องของภาษา AI Governance ในเอกสารนักลงทุน
“วันที่ AI Governance เข้าไปอยู่ในเอกสารนักลงทุน AI ก็เริ่มไม่ใช่เรื่องของฝ่าย IT อย่างเดียวอีกต่อไป แต่มันกำลังกลายเป็นเรื่องของบอร์ด ความเสี่ยง และความน่าเชื่อถือขององค์กร”
AIS กำลังวาง AI Governance ไว้ตรงไหนขององค์กร
ในเอกสาร 2Q26 AIS จัด Data and AI Governance อยู่ภายใต้หัวข้อ Drive Digital Economy ซึ่งเป็นหนึ่งในสามมิติของ Sustainable Development Framework ของบริษัท ร่วมกับ Promote Digital Inclusion และ Act on Climate
ภายใต้ Drive Digital Economy เอกสารพูดถึงการขยายบริการดิจิทัล เช่น IoT, ICT solutions, cloud, analytics และ digital platforms พร้อมกับการกำกับ Data และ AI ให้มีความถูกต้อง ปลอดภัย และใช้งานอย่างรับผิดชอบ รวมถึงการพัฒนาความสามารถของบุคลากร
อีกด้านหนึ่ง AIS ระบุว่า Sustainable Development Committee มีหน้าที่กำกับนโยบาย กลยุทธ์ เป้าหมาย และประเด็นสำคัญด้าน Sustainability ขององค์กร
สิ่งที่ควรแยกให้ออกคือ เอกสารนี้ ไม่ได้บอกว่า ก.ล.ต. หรือ SET ได้ออกข้อบังคับใหม่ให้องค์กรต้องเปิดเผย AI Governance แต่เป็นการเปิดเผยแนวทางของ AIS เองผ่านเอกสารบริษัท
ดังนั้น TechLawNow มองเรื่องนี้เป็น สัญญาณด้าน Corporate Governance ไม่ใช่การประกาศว่าประเทศไทยมีข้อบังคับ AI Disclosure ใหม่แล้ว
นอกจากนี้ เอกสารยังวางตัวชี้วัดเกี่ยวกับ Cybersecurity และ Customer Privacy Protection อยู่ใน Sustainability framework เดียวกัน และตารางข้อมูลปี 2023–2025 ระบุจำนวนคดีหรือค่าปรับจากการรั่วไหล การถูกขโมย หรือการสูญหายของข้อมูลไว้ที่ศูนย์ในช่วงข้อมูลที่รายงาน
ภาพที่เกิดขึ้นจึงน่าสนใจ: Data, Privacy, Cybersecurity, AI และ Sustainability เริ่มปรากฏอยู่ใกล้กันในภาษาเดียวของการกำกับองค์กร
จุดเปลี่ยนจริงอาจไม่ใช่ “มี AI Policy” แต่คือ “ใครรับผิดชอบ”
องค์กรจำนวนมากเริ่มต้น AI Governance ด้วยการเขียนข้อห้าม เช่น
“ห้ามใส่ข้อมูลลับลง ChatGPT”
หรือ
“ต้องตรวจสอบคำตอบจาก AI ก่อนนำไปใช้”
กติกาเหล่านี้มีประโยชน์ แต่ยังไม่ใช่ Governance ทั้งระบบ
เมื่อ AI ถูกนำไปใช้จริง ข้อมูลจะเดินผ่านหลายจุด ตั้งแต่ข้อมูลต้นทาง เอกสารที่ใช้ทำ RAG ข้อความที่ผู้ใช้ส่งเข้าโมเดล memory ผลลัพธ์ log และข้อมูล feedback
ทุกจุดสามารถสร้างคำถามคนละแบบ:
ข้อมูลนี้นำมาใช้ได้หรือไม่?
มีข้อมูลส่วนบุคคลหรือความลับบริษัทหรือไม่?
ใครอนุมัติโมเดล?
ใครตรวจ supplier?
ถ้าคำตอบของ AI ทำให้ลูกค้าเสียหาย ใครหยุดระบบ?
ถ้าเกิด incident ต้องรายงานใคร?
และใครเป็นเจ้าของความเสี่ยงนี้ในระดับองค์กร?
นี่คือเหตุผลที่การแยก AI Governance ออกจาก Data Governance, PDPA และ Cybersecurity อย่างเด็ดขาดอาจสร้าง “ช่องว่างระหว่างระบบ” มากกว่าจะช่วยลดความเสี่ยง
แนวคิดดังกล่าวสอดคล้องกับ AI Governance Guideline ของ ETDA ซึ่งไม่ได้มอง governance เป็นเพียง policy document แต่ครอบคลุมโครงสร้างกำกับ กลยุทธ์ การบริหารความเสี่ยง และการควบคุมการดำเนินงานของ AI
“คำถามที่แรงกว่า ‘บริษัทมี AI Policy หรือยัง?’ คือ ‘ถ้า AI สร้างความเสียหายพรุ่งนี้ ทุกคนรู้หรือยังว่าใครต้องตัดสินใจ ใครต้องหยุดระบบ และใครต้องรับผิดชอบ?’”
ผลกระทบต่อธุรกิจในประเทศไทย
สิ่งที่ AIS เปิดเผยยังไม่ใช่หลักฐานว่าบริษัทจดทะเบียนทุกแห่งในไทยกำลังจะถูกบังคับให้มี AI Governance Report แต่มีความสำคัญในเชิง ความคาดหวังของตลาด
เมื่อองค์กรขนาดใหญ่เริ่มพูดเรื่อง AI Governance ในเอกสารที่นักลงทุนเข้าถึงได้ คำถามเรื่องนี้สามารถขยายออกไปได้หลายทิศทาง
ระดับบอร์ด อาจเริ่มถามว่าบริษัทมี AI inventory หรือไม่ มีระบบแบ่งระดับความเสี่ยงของ AI หรือไม่ และระบบที่เกี่ยวข้องกับลูกค้า พนักงาน เครดิต สุขภาพ หรือการตัดสินใจสำคัญได้รับการควบคุมต่างจาก AI ทั่วไปอย่างไร
ระดับ Risk และ Internal Audit อาจต้องตรวจมากกว่าการมีเอกสารนโยบาย เพราะต้องดูว่ามีหลักฐานว่าการควบคุมเกิดขึ้นจริงหรือไม่ เช่น การอนุมัติ use case การประเมิน vendor การทดสอบ model output การเก็บ log หรือขั้นตอนจัดการ incident
ระดับ DPO และฝ่ายกฎหมาย จะเจอคำถามใหม่ เพราะข้อมูลที่เข้าสู่ AI อาจเกี่ยวข้องพร้อมกันทั้ง PDPA ความลับทางการค้า สัญญากับลูกค้า สิทธิในทรัพย์สินทางปัญญา และเงื่อนไขของผู้ให้บริการ AI
ระดับ Cybersecurity ต้องมอง AI เป็นช่องทางรับและส่งข้อมูลเพิ่มขึ้นอีกช่องหนึ่ง ไม่ใช่โปรแกรมที่อยู่นอก security architecture
ส่วน ฝ่าย ESG/Sustainability อาจต้องเริ่มเข้าใจ AI มากขึ้น เพราะเมื่อ Responsible AI ถูกนำไปเล่าในโครงสร้าง Sustainability คำถามเรื่องผลกระทบต่อคน ความเป็นธรรม ความโปร่งใส การใช้พลังงาน ความเสี่ยงต่อผู้มีส่วนได้เสีย และ governance สามารถเชื่อมถึงกันได้
สำหรับ SME เรื่องนี้อาจดูไกลตัว แต่ผลกระทบสามารถมาถึงผ่าน procurement ได้เร็วกว่ากฎหมาย ตัวอย่างเช่น ลูกค้าองค์กรอาจถามว่า vendor ใช้ AI ประมวลผลข้อมูลของตนหรือไม่ ใช้ผู้ให้บริการรายใด ข้อมูลออกนอกประเทศหรือไม่ หรือมีมาตรการป้องกันไม่ให้ข้อมูลลูกค้าเข้าไปเป็น training data อย่างไร
นี่คือจุดที่ AI Governance อาจเปลี่ยนจาก “เรื่องดีที่ควรมี” ไปเป็น เงื่อนไขทางธุรกิจในการได้งาน รักษาลูกค้า และผ่านการตรวจสอบของคู่ค้า
จาก AI Adoption สู่ AI Disclosure? “หันมาใช้ AI” สู่ “การแจ้งให้รู้ว่าใช้ AI”
ถ้ามองเป็นพัฒนาการระยะยาว องค์กรอาจเดินผ่านขั้นต่าง ๆ ได้ประมาณนี้:
Stage 1 — AI Adoption
เราเริ่มใช้ AI
Stage 2 — AI Policy
เรามีกติกาว่าอะไรใช้ได้และอะไรใช้ไม่ได้
Stage 3 — Governance Structure
เรารู้ว่าใครอนุมัติ ใครตรวจ และใครรับผิดชอบ
Stage 4 — Risk & Control Disclosure
เราอธิบายได้ว่า AI ที่สำคัญมีความเสี่ยงอะไรและควบคุมอย่างไร
Stage 5 — Metrics, Incident & Assurance
เรามีตัวชี้วัด เหตุการณ์ กระบวนการตรวจสอบ และหลักฐานให้บุคคลภายนอกประเมินได้
นี่เป็น บทวิเคราะห์และภาพอนาคต ไม่ใช่ข้อกำหนดที่ AIS, SET หรือ ก.ล.ต. ประกาศไว้ในเอกสารที่อ้างถึง
แต่การที่ภาษา Data and AI Governance ปรากฏต่อเนื่องในเอกสารนักลงทุนของบริษัทไทยขนาดใหญ่ เป็นเหตุผลเพียงพอให้บอร์ดองค์กรอื่นเริ่มถามว่า
“ถ้าวันหนึ่งเราต้องอธิบาย AI Governance ของบริษัทต่อผู้ถือหุ้น ลูกค้า หรือ auditor วันนี้เรามีอะไรให้เขาดูบ้าง?”
สิ่งที่องค์กรไทยควรทำต่อ
- ทำ AI Inventory ให้ได้ก่อน — ระบุว่าองค์กรใช้ AI อะไร ที่หน่วยงานไหน ใช้ข้อมูลอะไร และใช้เพื่อการตัดสินใจเรื่องใด
- เชื่อม AI Risk เข้ากับระบบเดิม — ตรวจว่า Data Governance, PDPA, Cybersecurity, Enterprise Risk และ AI Governance ใช้ risk register และ escalation process ที่เชื่อมถึงกันหรือไม่
- กำหนดเจ้าของความเสี่ยงให้ชัด — ทุก AI use case ที่สำคัญควรตอบได้ว่าใครเป็น Business Owner, System Owner และผู้อนุมัติความเสี่ยง
- ตรวจ AI Vendor และสัญญา — ดูเรื่องข้อมูลเข้าโมเดล การนำข้อมูลไปฝึกต่อ การเก็บ log ที่ตั้งข้อมูล security incident สิทธิใน output และการออกจากบริการ
- เตรียมหลักฐาน ไม่ใช่แค่นโยบาย — เก็บ approval, assessment, test result, monitoring record และ incident record เพื่อพิสูจน์ว่า governance ถูกนำไปใช้จริง
มุมมองผู้เชี่ยวชาญ
“ผมทำงาน ฝั่งเทคโนโลยีกับฝั่งกฎหมาย และผมเห็นความผิดพลาดเดิมซ้ำทุกครั้งที่มีเทคโนโลยีใหม่เข้ามา คือ องค์กรรีบ
‘มีนโยบาย’ ก่อนที่จะ ‘มีคนรับผิดชอบ’เรื่องนี้ผมอยากให้จำง่าย ๆ ดังนี้ นโยบายที่ไม่มีหลักฐาน คือ ความเสี่ยง ไม่ใช่การป้องกันความเสี่ยง เพราะ วันที่เกิดเรื่อง เอกสารที่คุณเขียนเองจะกลายเป็นพยานหลักฐานฝั่งตรงข้าม
สมัยทำ PDPA ใหม่ ๆ ผมเจอบริษัทที่มีนโยบายสวยมาก แต่พอถามว่าใครเป็นคนกดอนุมัติการส่งข้อมูลออกนอกองค์กร ไม่มีใครตอบได้ วันนี้เรื่อง AI กำลังเดินซ้ำรอยเดิม แค่เร็วกว่าและแพงกว่า
สิ่งที่ผมแนะนำลูกค้าเสมอคือ อย่าเพิ่งเขียนนโยบาย AI ให้กลับไปทำสองอย่างก่อน หนึ่ง ทำบัญชีว่าตอนนี้ในบริษัทมีใครใช้ AI ทำอะไรอยู่บ้างจริง ๆ สอง เขียนชื่อคนลงไปข้างแต่ละความเสี่ยง แค่สองข้อนี้ทำจริง คุณจะนำหน้าบริษัทส่วนใหญ่ในตลาดไปแล้ว”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | เนติบัณฑิต & ทนายความ
แหล่งอ้างอิง
- Advanced Info Service Public Company Limited — 2Q26 Management Discussion & Analysis, เอกสารเผยแพร่ผ่านระบบ ก.ล.ต.
เอกสาร AIS 2Q26 MD&A - Advanced Info Service Public Company Limited — 1Q26 Management Discussion & Analysis, ใช้ตรวจสอบย้อนหลังว่าข้อความเกี่ยวกับ Data and AI Governance ปรากฏก่อน 2Q26 แล้ว
- Electronic Transactions Development Agency (ETDA) — Thailand’s AI Governance Guideline / AI Governance Center, ใช้ประกอบบริบทเกี่ยวกับโครงสร้าง AI Governance ขององค์กร
