บทนำ
คำถามเกี่ยวกับ AI Governance ของไทยกำลังเปลี่ยนไป
ปี 2568 ประเด็นสำคัญคือประเทศไทยควรออกแบบหลักการกำกับ AI อย่างไร โดย ETDA เสนอแนวคิดที่ไม่ใช้กฎเดียวควบคุม AI ทุกประเภท แต่ให้ระดับการกำกับสัมพันธ์กับความเสี่ยง พร้อมให้ความสำคัญกับ AI ความเสี่ยงสูง สิทธิ ความรับผิดชอบ และความโปร่งใส.
ปี 2569 ภาพขยับไปอีกขั้น เมื่อระบบกลางทางกฎหมายมีร่างพระราชบัญญัติว่าด้วยปัญญาประดิษฐ์ที่ลงรายละเอียดเป็นหมวดด้านการส่งเสริมและการควบคุมความเสี่ยง ขณะที่ ETDA เดินหน้าเครื่องมือด้านการประเมิน การทดสอบ และการกำกับ AI ในภาคส่วนจริง.
นี่ทำให้คำถามสำหรับผู้บริหารไม่ควรเป็นเพียง “กฎหมาย AI จะออกเมื่อไร?”
แต่ควรเป็น
“ถ้าพรุ่งนี้ต้องอธิบาย AI ทุกระบบที่องค์กรใช้อยู่ เรามีข้อมูลและหลักฐานตอบหรือยัง?”
3 ชั้นของ AI Governance ไทยกำลังก่อตัวพร้อมกัน
ชั้นที่ 1 จากหลักการสู่โครงสร้างกฎหมาย
ในปี 2568 ETDA เปิดรับฟังหลักการกฎหมาย AI โดยวางแนวคิดเรื่องการกำกับตามระดับความเสี่ยง และระบุว่าการใช้มาตรการแบบเดียวกับ AI ทุกประเภทอาจไม่เหมาะกับบริบทประเทศไทย.
ในปี 2569 ระบบกลางทางกฎหมายเผยแพร่ร่างพระราชบัญญัติว่าด้วยปัญญาประดิษฐ์ฉบับใหม่ โดยข้อมูลที่เผยแพร่ระบุถึงหมวดการส่งเสริมการพัฒนาและประยุกต์ใช้ AI เช่น โครงการทดสอบระบบและการแบ่งปันข้อมูล รวมถึงอีกหมวดหนึ่งสำหรับการควบคุมความเสี่ยงจากระบบ AI.
จุดที่สำคัญต่อธุรกิจคือ กฎหมายกำลังถูกออกแบบให้ครอบคลุม “วงจรการใช้ AI” มากกว่าการมองเฉพาะผู้สร้างโมเดล เพราะผู้มีส่วนเกี่ยวข้องในระบบนิเวศประกอบด้วยทั้งผู้พัฒนา ผู้ให้บริการ ผู้ใช้งาน หน่วยงานรัฐ และประชาชน.
ดังนั้น บริษัทที่ไม่ได้สร้าง Large Language Model เองก็ไม่ควรสรุปเร็วเกินไปว่า AI Governance เป็นเรื่องของบริษัทเทคโนโลยีเท่านั้น
“องค์กรอาจไม่ได้สร้าง AI สักบรรทัดเดียว แต่ยังสามารถเป็นเจ้าของความเสี่ยงจากการนำ AI ไปตัดสินใจแทนธุรกิจได้”
ชั้นที่ 2 จากกฎกลางไปสู่ Governance รายอุตสาหกรรม
อีกสัญญาณที่น่าสนใจเกิดขึ้นในเดือนมิถุนายน 2569 เมื่อเอกสารจัดซื้อจัดจ้างของ ETDA ระบุโครงการจ้างที่ปรึกษาเพื่อ พัฒนากรอบธรรมาภิบาลและมาตรฐานจริยธรรมปัญญาประดิษฐ์สำหรับการศึกษาไทย หรือ AI Governance and Ethics Framework for Thai Education โดยมหาวิทยาลัยศิลปากรเป็นผู้ได้รับการคัดเลือก มูลค่า 488,000 บาท.
ต่อมา ETDA เปิดเผยว่ามีการทำงานร่วมกับ สพฐ. สสวท. UNICEF และผู้เชี่ยวชาญจากมหาวิทยาลัยศิลปากร เพื่อออกแบบกรอบที่นำไปใช้กับภาคการศึกษาโดยเฉพาะ โดยให้ความสำคัญกับข้อมูลส่วนบุคคล อคติของระบบ ความโปร่งใส ความเท่าเทียม และผลกระทบต่อสิทธิและโอกาสของผู้เรียน โดยเฉพาะเด็กและเยาวชน.
นี่คือสัญญาณสำคัญ เพราะความเสี่ยงของ AI ไม่เหมือนกันในทุกอุตสาหกรรม
AI ที่ช่วยเขียนอีเมลการตลาดย่อมมีผลกระทบต่างจาก AI ที่ช่วยประเมินนักเรียน คัดผู้สมัครงาน วิเคราะห์ผู้ป่วย หรือประกอบการพิจารณาสินเชื่อ
จึงมีเหตุผลที่ Governance ในอนาคตจะต้องมองทั้ง ความเสี่ยงของเทคโนโลยี และ บริบทที่เทคโนโลยีนั้นถูกนำไปใช้
ชั้นที่ 3 จาก “มี Policy” ไปสู่ “มี Evidence”
สัญญาณที่สามอาจสำคัญที่สุดสำหรับฝ่าย Legal, Compliance, Risk, Internal Audit และ IT
เอกสารจัดซื้อจัดจ้างของ ETDA เดือนมกราคม 2569 ระบุโครงการพัฒนาแนวทางทดสอบโมเดลปัญญาประดิษฐ์เพื่อการใช้งานอย่างรับผิดชอบ หรือ AI Ethics Testing โดยสำนักงานพัฒนาวิทยาศาสตร์และเทคโนโลยีแห่งชาติเป็นผู้ดำเนินงาน วงเงิน 3.5 ล้านบาท และยังมีโครงการพัฒนาแพลตฟอร์ม AI Governance Practice Center อีกโครงการหนึ่ง.
ทิศทางดังกล่าวสอดคล้องกับแผน AI 2026 ของ ETDA ซึ่งระบุถึง AI Governance Testing การทดสอบความปลอดภัยและความน่าเชื่อถือ รวมถึงกิจกรรม Red Teaming เพื่อค้นหาจุดอ่อน อคติ และความไม่ปลอดภัยก่อนนำ AI ไปใช้จริง.
จุดนี้ต้องตีความอย่างระมัดระวัง: ยังไม่ควรเขียนว่าร่าง พ.ร.บ. บังคับทุกองค์กรให้ทำ Bias Test, Prompt-Injection Test หรือ Red Teaming เพราะข้อมูลที่ตรวจสอบได้ยังไม่รองรับข้อสรุปเช่นนั้น
แต่สิ่งที่เห็นได้ชัดคือระบบนิเวศ AI Governance ของไทยกำลังให้ความสำคัญเพิ่มขึ้นกับ การประเมินและการทดสอบที่สามารถสร้างหลักฐานได้
“อนาคตของ AI Governance อาจไม่ได้วัดจากจำนวนหน้าของ AI Policy แต่วัดจากคำถามง่าย ๆ ว่า คุณพิสูจน์ได้หรือไม่ว่าระบบนี้ถูกตรวจสอบก่อนนำไปใช้กับคนจริง?”
ผลกระทบต่อธุรกิจในประเทศไทย
สำหรับองค์กรไทย จุดเปลี่ยนสำคัญที่สุดไม่ใช่ชื่อสุดท้ายของพระราชบัญญัติ แต่คือการเปลี่ยนวิธีคิดจาก Document Governance ไปสู่ Evidence-based Governance
ที่ผ่านมาองค์กรจำนวนมากเริ่ม AI Governance ด้วยการออกนโยบาย เช่น ห้ามใส่ข้อมูลลับลง Generative AI ต้องมี Human Review หรือกำหนดเครื่องมือ AI ที่อนุญาตให้ใช้ วิธีนี้ยังจำเป็น แต่ไม่เพียงพอหากองค์กรไม่รู้ว่า AI ถูกใช้จริงตรงไหน
ตัวอย่างเช่น ฝ่าย HR อาจใช้ AI ช่วยคัด CV ฝ่ายการตลาดใช้ AI วิเคราะห์ Customer Profile ฝ่ายบริการลูกค้าใช้ Chatbot ฝ่ายกฎหมายใช้ Generative AI ตรวจสัญญา และฝ่าย IT เชื่อม API ของโมเดลภายนอกเข้ากับฐานข้อมูลภายใน ระบบทั้งหมดนี้มีทั้งเจ้าของงาน ข้อมูล วัตถุประสงค์ ผู้ให้บริการ และระดับผลกระทบที่แตกต่างกัน
ยิ่งไปกว่านั้น หาก AI ประมวลผลข้อมูลส่วนบุคคล องค์กรยังต้องพิจารณาหน้าที่ตาม PDPA ควบคู่กัน เช่น วัตถุประสงค์และฐานในการประมวลผล ความจำเป็นของข้อมูล การส่งข้อมูลให้ผู้ให้บริการภายนอก มาตรการรักษาความมั่นคงปลอดภัย และสิทธิของเจ้าของข้อมูลตามข้อเท็จจริงของแต่ละระบบ ไม่ควรมอง AI Governance เป็นโครงการที่แยกขาดจาก Data Governance และ Privacy Governance
สำหรับระบบที่มีผลต่อคนสูง เช่น การคัดบุคลากร การศึกษา สุขภาพ สินเชื่อ ประกัน หรือการให้สิทธิประโยชน์ ความสามารถในการอธิบายว่า ใครตัดสินใจ ใช้ข้อมูลอะไร AI มีบทบาทแค่ไหน มนุษย์สามารถแทรกแซงได้หรือไม่ และเคยมีการทดสอบความผิดพลาดหรืออคติอย่างไร จะมีความสำคัญเพิ่มขึ้น
การพัฒนากรอบเฉพาะภาคการศึกษาของ ETDA ยิ่งแสดงให้เห็นว่าการบริหาร AI อาจไม่สามารถจบด้วยนโยบายกลางหนึ่งฉบับสำหรับทั้งองค์กรได้ เพราะระบบที่เกี่ยวข้องกับเด็ก นักเรียน หรือการประเมินผลการเรียนมีโจทย์ด้านสิทธิ ความเป็นธรรม และข้อมูลส่วนบุคคลที่ต่างจาก AI สำหรับงาน Back Office อย่างมีนัยสำคัญ.
สำหรับฝ่ายจัดซื้อและ Legal อีกประเด็นหนึ่งคือ Third-party AI Risk หากองค์กรซื้อ SaaS ที่มี AI ฝังอยู่ ผู้ขายอาจเป็นผู้พัฒนาเทคโนโลยี แต่ธุรกิจไทยคือผู้ตัดสินใจว่าจะนำระบบนั้นไปใช้กับใครและเพื่ออะไร ดังนั้นสัญญา Vendor Assessment การจัดการข้อมูล Incident Handling การเปลี่ยนโมเดล และสิทธิในการตรวจสอบจึงควรเริ่มถูกพิจารณาเป็นส่วนหนึ่งของ AI Governance
ผลในทางปฏิบัติคือ องค์กรที่สร้างฐานข้อมูลการใช้ AI และหลักฐานการควบคุมไว้ตั้งแต่วันนี้ จะมีต้นทุนในการปรับตัวต่ำกว่าองค์กรที่รอให้กฎหมายฉบับสุดท้ายประกาศ แล้วจึงเริ่มถามว่า
“บริษัทเราใช้ AI อะไรอยู่บ้าง?”
5 งาน ที่ไม่จำเป็นต้องรอกฎหมายฉบับสุดท้าย
- ทำ AI Inventory — ระบุระบบ AI ที่องค์กรพัฒนาเอง ซื้อมา ใช้ผ่าน SaaS หรือให้พนักงานเข้าถึง รวมถึงเจ้าของระบบ ผู้ให้บริการ วัตถุประสงค์ และข้อมูลที่เกี่ยวข้อง
- จัดระดับความเสี่ยงตาม Use Case — อย่าจัดจากชื่อผลิตภัณฑ์เพียงอย่างเดียว ให้ดูผลของการใช้งาน เช่น AI ที่ช่วยร่างข้อความกับ AI ที่ช่วยปฏิเสธผู้สมัครงานไม่ควรถูกจัดระดับเหมือนกัน
- เชื่อม AI Inventory กับ PDPA และ Security — ระบุว่าระบบใดใช้ข้อมูลส่วนบุคคล ข้อมูลอ่อนไหว ข้อมูลลับ หรือมีการส่งข้อมูลออกไปยังผู้ให้บริการภายนอก
- สร้าง Evidence Repository — เก็บผลการประเมิน Vendor Assessment เวอร์ชันโมเดล การอนุมัติใช้งาน Incident Log ผลการทดสอบ Human Oversight และหลักฐานอื่นที่เกี่ยวข้อง แทนการเก็บเพียง AI Policy
- กำหนด Minimum Test ตามระดับความเสี่ยง — ระบบที่มีผลกระทบสูงควรได้รับการประเมินอย่างเข้มขึ้น เช่น ความถูกต้อง อคติ ความทนทาน ความปลอดภัย การรั่วไหลของข้อมูล และประสิทธิภาพของ Human Oversight โดยเลือกรูปแบบการทดสอบตามบริบท ไม่ใช่ใช้ checklist เดียวกับ AI ทุกระบบ
แนวคิดสำคัญคือ
AI Provider → AI Deployer/User → Use Case → Data → Impact → Risk → Control → Test → Evidence → Human Oversight
เส้นนี้ควรสามารถตามย้อนกลับได้ตั้งแต่ระบบ AI ไปจนถึงผู้รับผิดชอบและหลักฐานประกอบการตัดสินใจ
แหล่งอ้างอิง
1. ระบบกลางทางกฎหมาย — การรับฟัง (ร่าง) พระราชบัญญัติว่าด้วยปัญญาประดิษฐ์ พ.ศ. …. รอบปี 2569
https://law.go.th/listeningDetail?survey_id=NzU4MERHQV9MQVdfRlJPTlRFTkQ%3D
ข้อมูลในระบบระบุโครงสร้างด้านการส่งเสริมการพัฒนา/ประยุกต์ใช้ AI และการควบคุมความเสี่ยง.
2. ETDA — ครั้งแรกของไทย! ดีอี–ETDA เปิด (ร่าง) หลักการกฎหมาย AI, 11 มิถุนายน 2568
https://www.etda.or.th/th/pr-news/law_ai.aspx
แหล่งข้อมูลสำหรับพัฒนาการของหลักการกำกับตามระดับความเสี่ยง High-Risk AI และการสร้างสมดุลระหว่างนวัตกรรมกับการคุ้มครองสิทธิ.
3. ETDA — ทิศทาง AI 2026: Driving Trust AI Governance
https://www.etda.or.th/th/pr-news/aigc_Driving-Trust_AI_Governance.aspx
ข้อมูลเกี่ยวกับ AI Governance Testing, Red Teaming, Toolkits, การขยายผลราย Sector และ AIGPC.
4. ETDA — การพัฒนากรอบธรรมาภิบาลและมาตรฐานจริยธรรม AI เพื่อการศึกษาไทย, 22 กรกฎาคม 2569
ข้อมูลยืนยันการทำงานร่วมกับ สพฐ. สสวท. UNICEF และมหาวิทยาลัยศิลปากร รวมถึงประเด็นข้อมูลส่วนบุคคล อคติ ความโปร่งใส ความเท่าเทียม และสิทธิของผู้เรียน.
