FCA AI คือแนวปฏิบัติเรื่องการใช้ AI ในบริการการเงินของ Financial Conduct Authority ผู้กำกับดูแลตลาดการเงินของอังกฤษ ซึ่งเลือกไม่ออกกฎใหม่ แต่ให้บอร์ดและผู้บริหารรับผิดชอบ AI เอง บทความนี้เหมาะกับธนาคาร ฟินเทค บริษัทประกัน และบริษัทหลักทรัพย์ไทย อ่านแล้วจะรู้ว่าโครงสร้างความรับผิดเรื่อง AI ควรหน้าตาแบบไหน
ลองนึกภาพแอปสินเชื่อออนไลน์ที่ใช้ AI อนุมัติวงเงิน แล้ววันหนึ่งระบบปล่อยกู้ผิดพลาดหลายพันราย คำถามแรกของผู้กำกับคือ “ผู้บริหารคนไหนเป็นเจ้าของระบบนี้” ถ้าตอบไม่ได้ ปัญหาจะใหญ่กว่าความผิดพลาดของ AI เอง
สรุปสั้น: FCA ของอังกฤษออกแนวปฏิบัติ AI ในบริการการเงินโดยไม่ออกกฎใหม่ ตามสรุปของ Travers Smith และ MLex เมื่อ 19 ตุลาคม 2569 บอร์ดต้องกำหนดระดับความเสี่ยงที่รับได้ ผู้บริหารต้องรับผิดชอบ AI ในงานของตน และ FCA กำลังเตรียมกรอบสำหรับ AI agent ด้านการเงิน ธนาคารและฟินเทคไทยที่มีบริษัทแม่หรือคู่ค้าในอังกฤษควรตรวจโครงสร้างความรับผิดเรื่อง AI ของผู้บริหาร
แนวปฏิบัติ FCA AI คืออะไร เกิดอะไรขึ้น
แนวปฏิบัติ FCA AI เป็นการรวบรวมแนวทางที่ดีและจุดที่ควรปรับปรุงในการใช้ AI ของบริษัทการเงินอังกฤษ ไม่ใช่กฎใหม่ FCA ไม่ขยายการกำกับไปถึงโมเดลทั่วไป แต่ขอให้ผู้ให้บริการ AI ใส่คำเตือนเมื่อผลลัพธ์เป็นเรื่องการเงิน
FCA เตรียม “trusted framework” สำหรับ AI agent ด้านการเงิน ครอบคลุม 4 เรื่อง คือตัวตนของ agent อำนาจที่ได้รับ ธุรกรรมที่ทำ และความรับผิด FCA ยังเตือนว่าการพึ่ง human in the loop มากเกินไปเป็นความเสี่ยงในตัวเอง
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้ออกแนวปฏิบัติ | FCA สหราชอาณาจักร (สรุปโดย Travers Smith, MLex 19 ต.ค. 2569) |
| กฎใหม่ | ไม่มี · ไม่ขยายไปถึงโมเดลทั่วไป |
| ผู้ให้บริการ AI | ควรใส่คำเตือนผลลัพธ์ด้านการเงิน |
| AI agent | เตรียมกรอบ: ตัวตน อำนาจ ธุรกรรม ความรับผิด |
| บอร์ดและผู้บริหาร | บอร์ดกำหนดระดับความเสี่ยง · ผู้บริหารรับผิดชอบ AI ในงานของตน · ไม่มีเส้นตาย |
FCA AI กระทบธนาคารและฟินเทคไทยอย่างไร
FCA AI กระทบธุรกิจการเงินไทยทางอ้อมก่อน ผ่านบริษัทแม่และคู่ค้าในอังกฤษ แล้วอาจกระทบทางตรงถ้าผู้กำกับไทยหยิบแนวคิดเดียวกันมาใช้ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน แยกตามกลุ่มที่กระทบ
ธนาคารและฟินเทคไทยที่มีบริษัทแม่หรือคู่ค้าในอังกฤษ
ธนาคารและฟินเทคไทยในเครือบริษัทอังกฤษน่าจะได้รับคำขอจากบริษัทแม่ให้ระบุผู้บริหารที่เป็นเจ้าของ AI แต่ละระบบ ตัวอย่างสมมติ: ฟินเทคไทยที่ใช้แชตบอต AI ตอบคำถามสินเชื่อให้แบรนด์อังกฤษ อาจต้องส่งรายงานว่าใครอนุมัติระดับความเสี่ยงของแชตบอตนั้น
คำถามที่บอร์ดควรถามก่อนอนุมัติโครงการ AI สรุปไว้ใน บอร์ดต้องถามอะไร ก่อนอนุมัติโครงการ AI ซึ่งตรงกับสิ่งที่ FCA คาดหวังให้บอร์ดกำหนดระดับความเสี่ยงที่รับได้
ทีมที่ใช้ human in the loop เป็นด่านเดียว
ทีมที่ตั้งคนตรวจผล AI ไว้แล้วถือว่าปลอดภัย อาจต้องคิดใหม่ FCA เตือนว่าการพึ่ง human in the loop มากเกินไปเป็นความเสี่ยง เพราะคนตรวจที่ต้องดูผลหลายร้อยรายการต่อวันมักกดผ่านตาม AI ประเด็นนี้สอดคล้องกับ AI Governance เปลี่ยนเกมองค์กร เมื่อ Human-in-the-Loop ไม่พอ
ผู้พัฒนา AI agent ด้านการเงินในไทย
ผู้พัฒนา AI agent ที่จะให้ agent จ่ายเงินหรือทำธุรกรรมแทนลูกค้า ควรดูกรอบของ FCA เป็นต้นแบบ 4 เรื่อง คือยืนยันตัวตน agent กำหนดอำนาจ บันทึกธุรกรรม และระบุความรับผิด การคุมสิทธิ์ agent ในบริบทไทยสรุปไว้ใน Agentic AI Governance: ธุรกิจไทยต้องควบคุมสิทธิ์ AI Agent อย่างไร
ผู้กำกับและตลาดทุนไทย
แนวทาง “ไม่ออกกฎใหม่ แต่ให้ผู้บริหารรับผิดรายคน” เป็นแบบที่ผู้กำกับไทยหยิบใช้ได้ง่าย เพราะไม่ต้องรอออกกฎหมาย ฝั่งตลาดทุนไทยเคยปรับกรอบ AI ไปแล้ว ตามที่สรุปใน ก.ล.ต. ปรับ AI Governance Framework รับ Agentic AI และ PDPA ไทย
เทียบกับกฎหมายไทย: FCA AI ต่างจากแนวทางของไทยอย่างไร
FCA AI ใช้กลไกความรับผิดของผู้บริหารเป็นแกน ส่วนไทยมีแนวทางของ ธปท. เรื่องความเสี่ยง AI และ PDPA ที่กำกับเฉพาะส่วนข้อมูลส่วนบุคคล ตารางนี้เทียบประเด็นหลัก
| ประเด็น | FCA อังกฤษ (ตามข่าว) | ไทย |
|---|---|---|
| รูปแบบการกำกับ | แนวปฏิบัติ ไม่ออกกฎใหม่ | แนวทาง ธปท. เรื่องความเสี่ยง AI · ร่าง พ.ร.บ. AI ยังไม่ผ่าน |
| ใครรับผิด | บอร์ดกำหนดความเสี่ยง ผู้บริหารรับผิดรายคน | PDPA ม.37(1) วางหน้าที่ที่ผู้ควบคุมข้อมูล (องค์กร) |
| ข้อมูลลูกค้าใน AI | ไม่ระบุในข่าว | PDPA ม.21 ใช้ตามวัตถุประสงค์ที่แจ้ง · ม.24(5) ประโยชน์โดยชอบด้วยกฎหมาย |
| AI agent ทำธุรกรรม | เตรียม trusted framework | ยังไม่พบกรอบเฉพาะ |
ช่องว่างของไทยคือ PDPA วางหน้าที่ไว้ที่องค์กรในฐานะผู้ควบคุมข้อมูล แต่ไม่ได้ชี้ตัวผู้บริหารที่เป็นเจ้าของระบบ AI แต่ละตัว และยังไม่มีกรอบเฉพาะสำหรับ AI agent ที่ทำธุรกรรมการเงินแทนลูกค้า
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ระบุเจ้าของ AI แต่ละระบบ เมื่อเกิดเหตุจะไม่มีใครตอบผู้กำกับหรือบริษัทแม่ได้ว่าใครอนุมัติความเสี่ยง ธนาคารที่อยู่ในเครือต่างประเทศอาจถูกบริษัทแม่ตำหนิในการตรวจภายใน
ความเสี่ยงที่สองคือคนตรวจที่ไม่ได้ตรวจจริง ถ้าองค์กรอ้างว่ามี human in the loop แต่คนตรวจกดผ่านทุกรายการ ข้ออ้างนั้นจะกลายเป็นหลักฐานว่าองค์กรรู้ความเสี่ยงแต่ไม่ได้ควบคุม
ธนาคาร ฟินเทค และบริษัทประกันไทยควรทำอะไรตอนนี้
ธุรกิจการเงินไทยควรทำ 4 เรื่องนี้ ซึ่งใช้ได้ทั้งกับข้อกำหนดของบริษัทแม่ตามแนว FCA AI และกับแนวทางในไทย
- 1. ให้บอร์ดเขียนระดับความเสี่ยง AI ที่รับได้ กำหนดเป็นลายลักษณ์อักษรว่างานไหนใช้ AI ได้ งานไหนห้าม และเกณฑ์หยุดระบบ
- 2. ระบุผู้บริหารเจ้าของ AI แต่ละระบบ ทำตารางว่าระบบ AI ตัวไหนอยู่ในความรับผิดชอบของใคร
- 3. ทดสอบว่าคนตรวจ AI ตรวจได้จริง ดูปริมาณงานต่อคน อัตราที่คนแก้ผล AI และเวลาที่ใช้ต่อรายการ
- 4. เตรียมกรอบ AI agent ก่อนให้ทำธุรกรรม กำหนดตัวตน อำนาจ วงเงิน บันทึก และความรับผิด ก่อนให้ agent โอนเงินหรือทำสัญญาแทนลูกค้า
ถ้าต้องการวางโครงสร้างนี้ให้เป็นระบบ ดูรายละเอียดได้ที่ บริการวางระบบ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ FCA เลือกทางที่ฉลาด คือไม่ไล่เขียนกฎตามเทคโนโลยี แต่ถามว่าใครเป็นเจ้าของการตัดสินใจ กฎ AI ที่ดีที่สุดอาจไม่ใช่กฎใหม่ แต่คือการมีชื่อผู้บริหารหนึ่งคนอยู่หลัง AI ทุกระบบ จุดที่องค์กรมักพลาดคือเขียนว่ามีคนตรวจ AI แล้วถือว่าจบ ทั้งที่คนตรวจหนึ่งคนดูงานหลายร้อยรายการต่อวันไม่ได้ตรวจจริง ควรเช็กทั้งชื่อเจ้าของระบบและความสามารถของคนตรวจไปพร้อมกัน
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
ประวัติผู้เขียน · นโยบายบรรณาธิการ
คำถามที่พบบ่อยเกี่ยวกับ FCA AI
FCA ออกกฎ AI ใหม่สำหรับบริการการเงินหรือไม่
ไม่ได้ออกกฎใหม่ แนวปฏิบัติ FCA AI ตามที่ Travers Smith และ MLex สรุปเมื่อ 19 ตุลาคม 2569 เป็นแนวทางที่ดีและจุดที่ควรปรับปรุง ไม่ขยายการกำกับไปถึงโมเดลทั่วไป และไม่มีเส้นตาย
FCA ให้ใครรับผิดชอบเรื่อง AI
บอร์ดต้องกำหนดระดับความเสี่ยงที่รับได้ และผู้บริหารแต่ละคนรับผิดชอบ AI ที่ใช้ในงานของตน ผู้ให้บริการ AI ถูกขอให้ใส่คำเตือนเมื่อผลลัพธ์เป็นเรื่องการเงิน
ทำไม FCA เตือนเรื่อง human in the loop
FCA เตือนว่าการพึ่ง human in the loop มากเกินไปเป็นความเสี่ยง เพราะการมีคนตรวจไม่ได้แปลว่าตรวจได้จริง องค์กรจึงควรวัดว่าคนตรวจมีเวลาและข้อมูลพอจะจับข้อผิดพลาดของ AI หรือไม่
ธนาคารไทยต้องทำตามแนวปฏิบัติ FCA หรือไม่
ธนาคารไทยไม่อยู่ใต้ FCA โดยตรง แต่ธนาคารและฟินเทคที่มีบริษัทแม่หรือคู่ค้าในอังกฤษอาจได้รับข้อกำหนดผ่านสัญญาหรือนโยบายกลุ่ม และในไทยยังต้องทำตามแนวทาง ธปท. และ PDPA
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- ISO 42001 กับ NIST AI RMF องค์กรไทยควรเริ่มอันไหนก่อน — เมื่อบอร์ดต้องกำหนดระดับความเสี่ยง AI ตามแนว FCA กรอบมาตรฐานสองตัวนี้ช่วยให้มีโครงเอกสารที่ตรวจสอบได้ (aipdpa.com)
แหล่งอ้างอิง
- Travers Smith — (อ่านต้นฉบับ) — อ่านที่ Travers Smith
- MLex — (ไม่มีลิงก์ใน input)
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
