บทนำ
ข่าวที่ควรจับตาไม่ได้อยู่แค่การที่ CMiC บริษัทซอฟต์แวร์ด้าน ERP สำหรับอุตสาหกรรมก่อสร้าง ได้รับการรับรอง ISO/IEC 42001:2023 แต่คือสิ่งที่ข่าวนี้กำลังสะท้อนต่อตลาดซอฟต์แวร์องค์กรในวงกว้างกว่าเดิมมาก เพราะเมื่อ AI กลายเป็นส่วนหนึ่งของซอฟต์แวร์ธุรกิจ ลูกค้าอาจไม่ได้ดูแค่ “ฟีเจอร์ดีไหม” แต่เริ่มดูด้วยว่า Vendor มีระบบบริหารและควบคุม AI ที่ตรวจสอบได้หรือไม่
นี่จึงเป็นข่าวที่ผู้พัฒนาซอฟต์แวร์ไทยควรอ่านในฐานะ สัญญาณทางธุรกิจ มากกว่าจะอ่านเป็นข่าวใบรับรองของบริษัทต่างชาติหนึ่งราย
ข้อเท็จจริง
CMiC ซึ่งพัฒนา ERP สำหรับธุรกิจก่อสร้าง ประกาศเมื่อวันที่ 1 กันยายน 2569 ว่าได้รับการรับรอง ISO/IEC 42001:2023 สำหรับระบบบริหารจัดการปัญญาประดิษฐ์ หรือ Artificial Intelligence Management System (AIMS) โดยขอบเขตที่ประกาศครอบคลุมฟังก์ชัน AI “AL” ซึ่งอยู่ในแพลตฟอร์ม NEXUS และมี Schellman เป็นผู้ตรวจรับรอง
CMiC ระบุว่าลูกค้าของบริษัทมีทั้งผู้รับเหมารายใหญ่และบริษัทก่อสร้างขนาดเล็กถึงกลาง โดยบริษัทบอกว่ามีลูกค้าประมาณหนึ่งในสี่ของ ENR Top 400 Contractors และมีรายได้จากงานก่อสร้างที่เกี่ยวข้องกับระบบของบริษัทมากกว่า 100,000 ล้านดอลลาร์ต่อปี
ในฝั่งมาตรฐาน ISO ระบุว่า ISO/IEC 42001:2023 เป็นมาตรฐานสำหรับระบบบริหารจัดการ AI ที่ช่วยให้องค์กรกำหนดนโยบาย กระบวนการ การประเมินความเสี่ยง การติดตาม และการปรับปรุงการกำกับดูแล AI อย่างต่อเนื่อง ไม่ได้มุ่งตรวจแค่ตัวโมเดลหรือฟีเจอร์ AI ตัวใดตัวหนึ่งเท่านั้น
ตรงนี้จึงมีประเด็นหนึ่งที่ต้องแยกให้ออกชัดเจน
ISO/IEC 42001 ไม่ใช่กฎหมายไทยที่กำหนดว่าซอฟต์แวร์ทุกตัวต้องมีใบรับรองนี้
สิ่งที่กำลังน่าสนใจกว่าคือ ตลาดอาจเริ่มใช้มาตรฐานนี้เป็น หลักฐานความพร้อมด้าน AI Governance โดยเฉพาะเมื่อซอฟต์แวร์นั้นเข้าไปอยู่ในระบบธุรกิจที่มีข้อมูลสำคัญและมีความเสี่ยงสูง
และนี่คือเหตุผลที่ข่าวของ CMiC ควรถูกมองผ่านเลนส์ของ “การขายซอฟต์แวร์” ไม่ใช่แค่ “การได้ใบรับรอง”
ผลกระทบต่อธุรกิจในประเทศไทย
ลองนึกภาพบริษัทซอฟต์แวร์ไทยรายหนึ่งกำลังขายระบบ HR, ERP, CRM หรือระบบวิเคราะห์ข้อมูลให้กับองค์กรขนาดใหญ่
เมื่อก่อนคำถามอาจจบที่ว่า ระบบทำอะไรได้บ้าง? เชื่อมกับระบบเดิมได้ไหม? ราคาเท่าไร? SLA เป็นอย่างไร?
แต่เมื่อ AI ถูกฝังเข้าไปในระบบ คำถามชุดใหม่อาจตามมา เช่น AI ใช้ข้อมูลอะไร, ใครรับผิดชอบเมื่อ AI ผิดพลาด, มีการประเมินความเสี่ยงหรือไม่, มีวิธีตรวจสอบผลลัพธ์หรือไม่, มีการกำหนดสิทธิ์การใช้งานหรือไม่ และองค์กรมีหลักฐานอะไรยืนยันว่า AI ถูกบริหารอย่างเป็นระบบ
ตรงนี้เองที่ ISO/IEC 42001 มีความหมายเชิงธุรกิจมากกว่าคำว่า “ใบรับรอง” เพราะมาตรฐานถูกออกแบบมาเป็นระบบบริหารที่ครอบคลุมการกำหนดนโยบาย การบริหารความเสี่ยง การดำเนินงาน การติดตามผล และการปรับปรุงอย่างต่อเนื่อง
สำหรับ Vendor ไทย ผลกระทบจึงอาจเกิดขึ้นได้โดยไม่ต้องมีใครออกกฎหมายบังคับเลย
สมมติลูกค้ารายใหญ่มี Vendor ให้เลือก 2 ราย รายแรกมี AI แต่ตอบคำถามเรื่อง Governance ได้เพียงระดับ “เรามี Policy ภายใน” ส่วนอีกรายมีระบบบริหาร AI ที่ผ่านการตรวจประเมินตามมาตรฐานที่เป็นที่ยอมรับในระดับสากล ลูกค้าอาจมองว่ารายที่สองมีความเสี่ยงในการจัดซื้อและการตรวจสอบภายหลังต่ำกว่า
นี่คือจุดที่ Compliance เริ่มเดินเข้ามาในห้อง Sales
และเมื่อเกิดขึ้นกับลูกค้าองค์กรเพียงไม่กี่ราย ผลกระทบก็สามารถขยายไปยังตลาดทั้งหมดได้ เพราะ Vendor รายใหญ่หนึ่งรายสามารถนำ requirement แบบนี้ไปใส่ใน RFP หรือ Vendor Assessment ได้ จากนั้นผู้เล่นรายอื่นก็ต้องปรับตัวตามเพื่อไม่ให้เสียโอกาสในการขาย
สำหรับบริษัทไทยที่มีเป้าหมายส่งออกซอฟต์แวร์หรือทำงานกับคู่ค้าต่างประเทศ เรื่องนี้ยิ่งสำคัญ เพราะ AI Governance ไม่ได้จบที่ทีม Developer อีกต่อไป แต่กลายเป็นเรื่องของฝ่ายกฎหมาย ความปลอดภัยสารสนเทศ Compliance Procurement และผู้บริหารด้วย
ดังนั้น สิ่งที่ควรคิดตั้งแต่วันนี้ไม่ใช่เพียง “เราควรไปขอใบ ISO 42001 หรือยัง” แต่คือ “ถ้าลูกค้ารายใหญ่ส่งแบบประเมิน AI Governance มาให้พรุ่งนี้ เราตอบได้ครบหรือไม่?” นั่นคือคำถามที่มีมูลค่าทางธุรกิจมากกว่า
และในอีกด้าน ผู้ซื้อซอฟต์แวร์ไทยก็ควรเรียนรู้บทเรียนจากเรื่องนี้เช่นกัน เพราะการเห็นคำว่า “มี AI” ไม่ควรจบที่การดู Demo แต่ควรถามต่อว่าองค์กรผู้ขายมีระบบควบคุม AI อย่างไร ใช้ข้อมูลอย่างไร และใครรับผิดชอบเมื่อระบบทำงานผิดจากที่คาด
ISO/IEC 42001 จึงอาจไม่ได้กลายเป็น “กฎหมายที่ทุกคนต้องมี” แต่มีโอกาสกลายเป็น ภาษากลางที่องค์กรใช้วัดความพร้อมของ Vendor ด้าน AI
และสำหรับธุรกิจ B2B ความแตกต่างระหว่าง “ถูกกฎหมาย” กับ “ผ่านการคัดเลือก” บางครั้งมีผลต่อรายได้มากพอๆ กัน
สิ่งที่ควรทำต่อ
1. ทำ Vendor AI Inventory
ไล่ดูว่าผลิตภัณฑ์หรือบริการของบริษัทมี AI อยู่ตรงไหนบ้าง ตั้งแต่ Chatbot, Recommendation, OCR, Generative AI, Predictive Analytics ไปจนถึง AI Agent
2. ทดลองทำ AI Governance Gap Assessment
ตรวจว่าบริษัทมีผู้รับผิดชอบ AI หรือไม่ มีการประเมินความเสี่ยง มีเอกสารการอนุมัติ การติดตามผล และขั้นตอนรับมือเมื่อ AI ให้ผลลัพธ์ผิดหรือไม่
3. เพิ่มคำถาม AI Governance ใน Sales Process
ทีมขายควรรู้ล่วงหน้าว่าลูกค้าองค์กรอาจถามเรื่องมาตรฐาน, การควบคุมข้อมูล, ความปลอดภัย และการบริหารความเสี่ยง AI อะไรบ้าง
4. อย่ารอให้ Procurement เป็นคนเริ่ม
แม้บริษัทจะยังไม่พร้อมขอ ISO/IEC 42001 อย่างเป็นทางการ ก็ควรเริ่มจัดโครงสร้างและเอกสารที่สะท้อนว่าบริษัทสามารถควบคุม AI ได้อย่างเป็นระบบ
5. มอง ISO 42001 เป็น “โครงสร้างความพร้อม” ก่อนมองเป็น “ตราบนเว็บไซต์”
เป้าหมายไม่ควรเป็นแค่การมีใบรับรอง แต่ต้องทำให้กระบวนการจริงในองค์กรตรวจสอบและอธิบายได้
แหล่งอ้างอิง
GlobeNewswire / CMiC — “CMiC Earns ISO 42001 Certification, Reinforcing the Value and Rigor Behind its AI-Powered NEXUS Platform”, เผยแพร่ 1 กันยายน 2569
อ่านข่าวต้นฉบับจาก GlobeNewswire
ISO — ISO/IEC 42001:2023 — Artificial Intelligence Management System
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
