บทนำ AI Governance กำลังเปลี่ยนจาก “เอกสาร” เป็น “กระบวนการ”
ETDA กำลังยกระดับ AI Governance Center หรือ AIGC ไปสู่ AI Governance Practice Center หรือ AIGPC โดยตั้งเป้าเปลี่ยนแนวคิดด้านธรรมาภิบาล AI ให้กลายเป็นเครื่องมือ แนวปฏิบัติ การฝึกอบรม และการสนับสนุนที่องค์กรสามารถนำไปใช้จริงได้.
สิ่งที่ธุรกิจไทยควรจับตาจึงไม่ใช่เพียงชื่อศูนย์ใหม่ แต่คือภาพของ AI Governance ที่เริ่มชัดขึ้นว่า หน้าที่กำกับไม่ได้สิ้นสุดในวันที่อนุมัติให้ใช้ AI
TechLawNow Insight:
“ถ้าองค์กรอนุมัติ AI ได้ แต่ตอบไม่ได้ว่าหลังจากนั้นใครเฝ้าดูมันอยู่ AI Governance ก็ยังไม่ครบวงจร”
ETDA วาง AI Governance ไปถึงช่วงหลังนำระบบมาใช้
ETDA ระบุว่า AIGPC จะสนับสนุนองค์กรตั้งแต่การประเมินความพร้อม วิเคราะห์ความเสี่ยง ประเมินผลกระทบ ออกแบบมาตรการกำกับดูแล ไปจนถึงการติดตามและทบทวน AI หลังนำไปใช้จริงแล้ว.
นี่เป็นรายละเอียดที่สำคัญ เพราะทำให้ AI Governance มีลักษณะเป็น วงจรการบริหารจัดการ มากกว่าการจัดทำเอกสารก่อนเริ่มโครงการ
ในมุมการบริหารองค์กร วงจรดังกล่าวสามารถนำมาประยุกต์เป็นขั้นตอนที่เข้าใจง่ายได้ เช่น
AI Inventory → Risk Assessment → Approval → Deployment → Monitoring → Incident Management → Reassessment → Retirement
ลำดับข้างต้นเป็นกรอบวิเคราะห์ของ TechLawNow ไม่ใช่ถ้อยคำหรือ framework ที่ ETDA ประกาศโดยตรง แต่สังเคราะห์จากแนวทางที่ ETDA ระบุถึงการประเมินก่อนใช้ การกำหนดมาตรการ และการติดตามหลังใช้งาน.
แนวคิดนี้ยังไปในทิศทางเดียวกับ ISO/IEC 42001:2023 ซึ่งกำหนด AI Management System สำหรับการจัดตั้ง นำไปปฏิบัติ รักษา และปรับปรุงระบบบริหาร AI อย่างต่อเนื่อง รวมถึงการบริหารความเสี่ยงและโอกาสของ AI ในระดับองค์กร.
ก่อนหน้านี้ ETDA เองก็ได้เผยแพร่แนวทางสำหรับ Generative AI ในองค์กร โดยครอบคลุมทั้งประโยชน์ ข้อจำกัด ความเสี่ยง และข้อพิจารณาในการนำ GenAI ไปใช้อย่างมีธรรมาภิบาล ซึ่งสะท้อนว่าทิศทางของไทยกำลังขยับจากการสร้างความตระหนักไปสู่การสร้างระบบควบคุมที่ใช้งานจริงมากขึ้น.
ผลกระทบต่อธุรกิจในประเทศไทย จาก “มี Policy หรือยัง” ไปสู่ “มีหลักฐานหรือไม่”
ผลกระทบสำคัญที่สุดสำหรับองค์กรไทยคือ AI Governance อาจต้องถูกมองเป็น ระบบงานประจำขององค์กร ไม่ใช่โครงการของฝ่ายกฎหมายหรือฝ่าย IT ที่ทำครั้งเดียวแล้วปิดงาน
สมมติบริษัทใช้ AI ช่วยคัดกรองผู้สมัครงาน วิเคราะห์พฤติกรรมลูกค้า สรุปข้อมูลภายใน หรือช่วยเจ้าหน้าที่ตอบคำถามลูกค้า การมีเอกสาร AI Policy ที่เขียนว่า “ต้องใช้งาน AI อย่างรับผิดชอบ” ยังไม่สามารถตอบคำถามสำคัญได้ว่า ระบบใดกำลังใช้อยู่ ใช้ข้อมูลประเภทใด ความเสี่ยงระดับไหน ใครเป็นเจ้าของระบบ ใครอนุมัติ และหลังเริ่มใช้งานแล้วพบปัญหาอะไรบ้าง
สิ่งที่องค์กรควรเริ่มคิดจึงเป็น audit evidence หรือ หลักฐานที่แสดงว่ากระบวนการกำกับเกิดขึ้นจริง
ตัวอย่างเช่น เมื่อมี AI ระบบใหม่เข้ามา ควรมีข้อมูลว่าระบบถูกนำมาใช้เพื่ออะไร ผ่านการประเมินความเสี่ยงเมื่อใด ใครอนุมัติ มีข้อจำกัดอะไร และกำหนดวิธีติดตามผลอย่างไร หากภายหลังโมเดล เป้าหมายการใช้งาน แหล่งข้อมูล หรือผู้ให้บริการเปลี่ยนไป ก็ควรมีเหตุผลและหลักฐานว่ามีการประเมินใหม่หรือไม่
ประเด็นนี้มีความสำคัญมากขึ้นในองค์กรที่ต้องผ่านการตรวจสอบจากสำนักงานใหญ่ ลูกค้ารายใหญ่ คู่ค้าต่างประเทศ หรือกระบวนการรับรองมาตรฐาน เพราะคำถามอาจไม่ได้หยุดเพียงว่าองค์กร “มีนโยบาย AI หรือไม่” แต่จะขยับไปถึงว่า สามารถแสดงหลักฐานการบริหารความเสี่ยงของ AI แต่ละระบบได้หรือไม่
ISO/IEC 42001 สนับสนุนมุมนี้อย่างมีนัยสำคัญ เพราะมาตรฐานเน้นระบบบริหาร AI ที่มีองค์ประกอบเชื่อมโยงกัน ทั้งนโยบาย เป้าหมาย กระบวนการ การบริหารความเสี่ยง และการปรับปรุงอย่างต่อเนื่อง และ ISO ยังระบุประโยชน์ในเรื่อง traceability หรือความสามารถในการติดตามย้อนหลังด้วย.
ดังนั้น องค์กรที่กำลังเตรียม ISO/IEC 42001 หรือวาง Responsible AI Framework อาจได้ประโยชน์จากการออกแบบระบบเก็บหลักฐานไปพร้อมกับกระบวนการตั้งแต่วันนี้ แทนที่จะรอให้มีการตรวจแล้วค่อยย้อนกลับไปสร้างเอกสาร
TechLawNow Insight:
“AI Governance ที่บอกว่าควบคุมได้ แต่ไม่มีหลักฐานว่าควบคุมอย่างไร อาจกลายเป็น governance ที่พิสูจน์ไม่ได้ ในวันที่องค์กรต้องตอบคำถามจริง”
อีกประเด็นที่ผู้บริหารควรระวังคือความรับผิดชอบอาจกระจายอยู่หลายฝ่าย AI หนึ่งระบบอาจเกี่ยวข้องพร้อมกันทั้ง IT, Security, Legal, PDPA, Procurement, Risk Management และฝ่ายธุรกิจ หากไม่มีเจ้าของระบบและจุดตัดสินใจที่ชัดเจน ปัญหาที่เกิดขึ้นหลัง deploy อาจไม่มีใครเป็นผู้รับผิดชอบโดยตรง
นี่คือเหตุผลที่ “AI Inventory” อาจกลายเป็นหนึ่งในจุดเริ่มต้นที่มีค่าที่สุดขององค์กร เพราะถ้ายังไม่รู้ว่าองค์กรมี AI อะไรอยู่บ้าง ก็ยากที่จะประเมินความเสี่ยง ติดตามเหตุผิดปกติ หรือพิสูจน์ว่าระบบเหล่านั้นอยู่ภายใต้การกำกับ
สิ่งที่ควรทำต่อ
- ทำ AI Inventory ให้เห็นของจริงก่อน — ระบุว่าองค์กรมี AI หรือ Generative AI ตัวใดใช้งานอยู่ ใช้เพื่ออะไร ใครเป็นเจ้าของ และเกี่ยวข้องกับข้อมูลหรือกระบวนการสำคัญใด
- กำหนดระดับความเสี่ยงของ AI — ไม่จำเป็นต้องใช้กระบวนการหนักเท่ากันทุกระบบ แต่ระบบที่มีผลต่อบุคคล ข้อมูลสำคัญ หรือการตัดสินใจทางธุรกิจควรถูกตรวจละเอียดกว่าเครื่องมือความเสี่ยงต่ำ
- เก็บหลักฐานตั้งแต่วันเริ่มต้น — บันทึก assessment, approval, testing, ข้อจำกัดของระบบ การเปลี่ยนแปลง และเหตุผิดปกติ แทนการสร้างเอกสารย้อนหลัง
- กำหนด Trigger สำหรับ Reassessment — เช่น เปลี่ยนโมเดล เปลี่ยน vendor เปลี่ยนวัตถุประสงค์ เพิ่มข้อมูลประเภทใหม่ หรือพบ incident ที่อาจเปลี่ยนระดับความเสี่ยง
- กำหนดเส้นทางเมื่อ AI ต้องหยุดหรือเลิกใช้ — รวมถึงผู้มีอำนาจสั่งหยุด การจัดการข้อมูล การยกเลิกสิทธิ์เข้าถึง และหลักฐานการปิดระบบ
แหล่งอ้างอิง
แหล่งข่าวต้นทาง
ETDA — ETDA เปิดเวที AI Governance Week 2026 จากเวทีนโยบาย สู่สนามปฏิบัติจริง พร้อมดันไทยเป็นศูนย์กลาง AI Governance ภูมิภาค เผยแพร่วันที่ 22 มิถุนายน 2569.
อ่านต้นฉบับจาก ETDA
แหล่งข้อมูลประกอบการวิเคราะห์
International Organization for Standardization — ISO/IEC 42001:2023 — Artificial intelligence management systems ซึ่งอธิบาย AI Management System ในลักษณะระบบที่ต้องจัดตั้ง นำไปใช้ รักษา และปรับปรุงอย่างต่อเนื่อง.
ETDA — แนวทางประยุกต์ใช้ Generative AI อย่างมีธรรมาภิบาลสำหรับองค์กร ซึ่งครอบคลุมความเสี่ยง ข้อจำกัด และแนวทางนำ GenAI มาใช้ในระดับองค์กร.
