AI ของคุณดีแค่ไหน อาจไม่ใช่คำถามแรกที่ลูกค้าถามอีกต่อไป
ลองนึกภาพบริษัทไทยกำลังจะซื้อซอฟต์แวร์ AI จาก Vendor ต่างประเทศ
เมื่อก่อนคำถามอาจเป็นเพียง “AI ตัวนี้ทำอะไรได้บ้าง?” หรือ “แม่นแค่ไหน?”
แต่ต่อไปคำถามอาจเปลี่ยนเป็น “คุณมีหลักฐานอะไรว่า AI ตัวนี้ถูกกำกับดูแลอย่างเป็นระบบ?”
ภาพนี้กำลังเริ่มเกิดขึ้นในตลาดจริง เมื่อ 3E ผู้ให้บริการซอฟต์แวร์ด้าน Product Compliance และ EHS&S ประกาศว่าได้รับการรับรอง ISO/IEC 42001:2023 หลังผ่านการตรวจประเมินโดยหน่วยงานอิสระ Prescient Security โดยบริษัทระบุว่าการรับรองครอบคลุมระบบบริหารจัดการ AI ที่ใช้กับโซลูชันของตน
สำหรับธุรกิจไทย เรื่องสำคัญจึงไม่ใช่แค่ “3E ได้ใบรับรองอะไร” แต่คือ ตลาดกำลังสร้างภาษากลางใหม่เพื่อพิสูจน์ว่าองค์กรจัดการ AI อย่างรับผิดชอบหรือไม่
ข้อเท็จจริง: ISO/IEC 42001 คืออะไร และ 3E ได้อะไร
ISO/IEC 42001:2023 เป็นมาตรฐานสากลสำหรับ ระบบบริหารจัดการ AI หรือ Artificial Intelligence Management System (AIMS) โดย ISO อธิบายว่ามาตรฐานนี้ออกแบบมาให้องค์กรที่พัฒนา ให้บริการ หรือใช้งาน AI สามารถวางระบบ กำกับ ตรวจสอบ และปรับปรุงการจัดการ AI อย่างต่อเนื่องได้ พูดง่ายๆ คือ มาตรฐานนี้ไม่ได้ถามเพียงว่า
“AI ของคุณทำงานได้หรือไม่?”
แต่ถามลึกไปถึงว่า “องค์กรของคุณมีระบบควบคุม AI หรือไม่?”
เรื่องนี้ครอบคลุมตั้งแต่การกำหนดบทบาทและความรับผิดชอบ การประเมินความเสี่ยง การควบคุมการใช้งาน ไปจนถึงการติดตามและปรับปรุงระบบอย่างต่อเนื่อง
กรณีของ 3E น่าสนใจตรงที่บริษัทไม่ได้เป็นเพียงผู้พัฒนา AI ทั่วไป แต่ให้บริการซอฟต์แวร์ด้าน Product Compliance และ EHS&S แก่ลูกค้าในอุตสาหกรรมที่มีข้อกำกับจำนวนมาก บริษัทระบุว่ามีลูกค้าทั่วโลกมากกว่า 5,000 ราย
3E ระบุด้วยว่าการรับรองดังกล่าวผ่านการตรวจสอบโดยหน่วยงานอิสระ และนำไปใช้เพื่อช่วยสร้างความเชื่อมั่นในกระบวนการจัดการ AI ของบริษัท รวมถึงช่วยตอบโจทย์การประเมินความเสี่ยงของ Vendor และกระบวนการจัดซื้อของลูกค้า และนี่คือจุดที่ข่าวนี้น่าสนใจกว่าการเป็นเพียงข่าว “บริษัทหนึ่งได้ใบรับรอง” เพราะ ใบรับรองกำลังถูกนำไปใช้เป็นหลักฐานประกอบการตัดสินใจทางธุรกิจ
สิ่งที่เกิดขึ้นในไทย: ตลาดไม่ได้เริ่มจากศูนย์
ประเทศไทยเองก็เริ่มเห็นการขยับในเรื่องนี้แล้ว
เมื่อเดือนมีนาคม 2569 SGS Thailand ระบุว่า VEKIN (Thailand) Co., Ltd. เป็นองค์กรแรกที่ได้รับการรับรอง ISO/IEC 42001 จาก SGS ประเทศไทย ซึ่งสะท้อนว่ามาตรฐานด้านระบบบริหารจัดการ AI กำลังเริ่มมีผู้ใช้งานจริงในตลาดไทย จึงไม่ใช่เรื่องไกลตัวแบบ “มาตรฐานต่างประเทศที่อีกหลายปีค่อยว่ากัน”
แต่ตลาดไทยกำลังเริ่มสร้างประสบการณ์จริงขึ้นมาแล้ว คำถามที่น่าสนใจจึงเปลี่ยนจาก “ไทยมีบริษัทที่ได้ ISO/IEC 42001 แล้วหรือยัง?”
เป็น
“เมื่อมีบริษัทที่ได้แล้ว ลูกค้ารายอื่นจะเริ่มคาดหวังมาตรฐานนี้เมื่อไร?”
ผลกระทบต่อธุรกิจในประเทศไทย
นี่คือจุดที่ธุรกิจไทยควรให้ความสนใจมากที่สุด
ISO/IEC 42001 ไม่ได้แปลว่า ทุกบริษัทในไทยต้องมีใบรับรองทันที และการไม่มีใบรับรอง ไม่ได้หมายความว่า องค์กรทำผิดกฎหมายโดยอัตโนมัติ เพราะมาตรฐานนี้เป็นมาตรฐานระบบบริหารจัดการ ไม่ใช่กฎหมายที่บังคับให้ทุกองค์กรต้องผ่านการรับรอง
แต่สิ่งที่อาจเกิดขึ้นก่อนคือ แรงกดดันจากตลาด สมมติบริษัทไทยกำลังจะซื้อ AI จาก Vendor สองราย รายแรกตอบได้เพียงว่า “เรามี AI ที่เก่งและปลอดภัย” ส่วนอีกราย สามารถแสดงให้เห็นว่าองค์กรมีระบบบริหารจัดการ AI ที่ผ่านการตรวจประเมินตามมาตรฐานสากล พร้อมเอกสารเรื่องการกำกับดูแล ความเสี่ยง และการควบคุมที่เกี่ยวข้อง
เมื่อเป็นการจัดซื้อขององค์กรขนาดใหญ่ คำตอบแบบหลังย่อมมีน้ำหนักมากกว่า โดยเฉพาะในอุตสาหกรรมที่ความเสี่ยงสูงหรือมีข้อกำกับเข้ม
นี่หมายความว่า ISO/IEC 42001 อาจค่อย ๆ เปลี่ยนจาก “ใบรับรองที่สร้างภาพลักษณ์” ไปเป็น “หลักฐานประกอบการผ่าน Vendor Due Diligence” ผลกระทบจึงมีสองด้าน
ด้านแรก: ผู้ขาย AI
บริษัทไทยที่พัฒนา AI หรือ เอา AI ไปเป็นส่วนหนึ่งของผลิตภัณฑ์ อาจต้องเตรียมตอบคำถามจากลูกค้าว่า
- ใครรับผิดชอบ AI?
- ประเมินความเสี่ยงอย่างไร?
- มีการควบคุมการใช้ข้อมูลอย่างไร?
- เมื่อ AI ผิดพลาด ใครเป็นคนจัดการ?
- มีการติดตามระบบหลังนำไปใช้งานหรือไม่?
- มีหลักฐานอะไรที่พิสูจน์ว่าองค์กรไม่ได้ปล่อย AI ทำงานโดยไร้การควบคุม?
หากตอบไม่ได้ ปัญหาอาจไม่ได้จบที่ฝ่าย Compliance แต่อาจกระทบ การขายและการต่อสัญญา
ด้านที่สอง: ผู้ซื้อ AI
บริษัทที่ไม่ได้ขาย AI ก็ไม่ควรคิดว่าตัวเองไม่เกี่ยว
เพราะเมื่อองค์กรนำ AI ของคนอื่นเข้ามาใช้ ความเสี่ยงก็ไม่ได้หายไป แต่เปลี่ยนจาก “เราพัฒนา AI อย่างไร” เป็น “เราคัดเลือกและควบคุม Vendor AI อย่างไร”
นี่คือจุดที่ฝ่าย Procurement, IT, Legal, Compliance, Security และ Data Protection อาจต้องทำงานร่วมกันมากขึ้น
ในอนาคต การถาม Vendor ว่า “ผ่าน ISO/IEC 42001 หรือไม่?” อาจกลายเป็นหนึ่งในคำถามของการประเมิน Vendor เช่นเดียวกับคำถามด้าน ISO 27001, SOC 2 หรือมาตรการความปลอดภัยอื่น ๆ แม้แต่ละองค์กรจะกำหนดเกณฑ์ของตัวเองก็ตาม
ดังนั้น สำหรับธุรกิจไทย สิ่งที่ควรทำวันนี้อาจไม่ใช่การรีบไปขอใบรับรอง แต่คือ การทำให้ตัวเองพร้อมสำหรับวันที่ลูกค้าถามหา “หลักฐาน AI Governance”
สิ่งที่ควรทำต่อ
ธุรกิจไทยที่ใช้หรือให้บริการ AI สามารถเริ่มต้นได้โดยไม่ต้องรอการตัดสินใจเรื่องการขอใบรับรองทันที
- ทำบัญชี AI ที่องค์กรใช้อยู่ — รู้ก่อนว่าบริษัทกำลังใช้ AI ตัวไหน กับงานอะไร และใครเป็นเจ้าของกระบวนการ
- แยก AI ที่มีความเสี่ยงสูงออกมา — โดยเฉพาะ AI ที่เกี่ยวข้องกับข้อมูลส่วนบุคคล การตัดสินใจต่อบุคคล หรือกระบวนการสำคัญของธุรกิจ
- ตรวจ Vendor AI — ขอข้อมูลเรื่องการกำกับดูแล ความปลอดภัย การใช้ข้อมูล การตรวจสอบ และการจัดการเหตุผิดพลาด
- กำหนดเจ้าของ AI Governance — อย่าปล่อยให้ AI เป็นเรื่องของ IT เพียงฝ่ายเดียว เพราะมีทั้งประเด็นกฎหมาย ความเสี่ยง และธุรกิจเข้ามาเกี่ยวข้อง
- ประเมิน Gap ก่อนคิดเรื่อง Certification — ดูก่อนว่าองค์กรมีนโยบาย กระบวนการ การประเมินความเสี่ยง และหลักฐานการควบคุมเพียงพอหรือยัง
หัวใจสำคัญคือ “สร้างระบบก่อน แล้วค่อยถามเรื่องใบรับรอง”
เพราะถ้าระบบภายในยังไม่มี ใบรับรองก็ไม่สามารถทำหน้าที่แทน Governance ได้
มุมมองผู้เชี่ยวชาญ
ข่าวของ 3E อาจดูเหมือนเป็นเพียงอีกหนึ่งข่าวเรื่องบริษัทต่างประเทศได้รับ ISO/IEC 42001
แต่ถ้ามองให้ลึกกว่านั้น สิ่งที่กำลังเกิดขึ้นคือ ตลาดกำลังสร้างวิธีพิสูจน์ความน่าเชื่อถือของ AI และสำหรับธุรกิจไทย คำถามสำคัญจึงไม่ใช่ “เราต้องมี ISO/IEC 42001 หรือยัง?” แต่คือ
“ถ้าลูกค้าถามพรุ่งนี้ว่า AI ของเราถูกกำกับดูแลอย่างไร เรามีหลักฐานอะไรให้เขาดู?”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
ถ้าคำตอบยังไม่มี วันนี้อาจเป็นเวลาที่เหมาะสมที่สุดในการเริ่มสร้างระบบนั้น ไม่จำเป็นต้องเริ่มจากใบรับรอง เริ่มจากการรู้ก่อนว่า AI ขององค์กรกำลังทำอะไร และใครกำลังรับผิดชอบมัน
แหล่งอ้างอิง
Business Wire — รายงานการได้รับการรับรอง ISO/IEC 42001:2023 ของ 3E และรายละเอียดขอบเขตของระบบบริหารจัดการ AI
อ่านข่าวต้นฉบับจาก Business Wire
ISO — ข้อมูลอย่างเป็นทางการเกี่ยวกับ ISO/IEC 42001:2023 และ AI Management Systems
SGS Thailand — ประกาศ VEKIN เป็นองค์กรแรกที่ได้รับการรับรอง ISO/IEC 42001 จาก SGS ประเทศไทยในเดือนมีนาคม 2569
