sarunjade_

AI Governance สำหรับองค์กรไทย คืออะไร ต้องมีอะไรบ้าง

AI Governance คือระบบกำกับดูแลการใช้ AI ในองค์กร — ชุดของนโยบาย บทบาทความรับผิดชอบ และกระบวนการตรวจสอบ

ที่ทำให้การใช้ AI ในองค์กรโปร่งใส ตรวจสอบย้อนกลับได้ และไม่สร้างความเสี่ยงด้านข้อมูลส่วนบุคคล กฎหมาย หรือชื่อเสียง

สำหรับองค์กรไทย สิ่งที่ต้องมีขั้นต่ำคือ 4 อย่าง:

  1. นโยบายการใช้ AI ที่เป็นลายลักษณ์อักษร
  2. การกำหนดผู้รับผิดชอบและจุดตรวจสอบก่อน AI ถูกนำไปใช้จริง
  3. แนวทางจัดการความเสี่ยงด้านข้อมูลส่วนบุคคลให้สอดคล้องกับ PDPA
  4. กระบวนการติดตามผลหลังใช้งานจริง

บทความนี้อธิบายแต่ละส่วนแบบเข้าใจง่าย พร้อมบอกว่า AI Governance ต่างจาก "คอร์สอบรมการใช้ AI ให้ทำงานเป็น" อย่างไร เพราะสองเรื่องนี้มักถูกปนกัน ทั้งที่เป็นความต้องการคนละแบบ

สารบัญ

AI Governance คืออะไร (นิยามแบบสั้น)

AI Governance คือกรอบการกำกับดูแลที่ทำให้องค์กรใช้ AI อย่างมีความรับผิดชอบ — ไม่ใช่แค่ "ใช้ AI ให้เก่งขึ้น"

แต่คือ "ใช้ AI โดยรู้ว่าใครรับผิดชอบอะไร ตรวจสอบยังไง และเสี่ยงตรงไหน"

มาตรฐานสากลที่องค์กรทั่วโลกใช้อ้างอิงตอนนี้คือ ISO/IEC 42001 และ NIST AI Risk Management Framework (AI RMF) ซึ่งวางกรอบไว้คล้ายกันแม้ใช้คำต่างกัน

ISO/IEC 42001 (มาตรฐานระบบบริหารจัดการ AI ฉบับแรกของโลกที่ออกโดย ISO) วางโครงสร้างตาม PDCA (Plan-Do-Check-Act) ผ่านหมวดข้อกำหนดที่ 4-10:

  1. บริบทองค์กร (context)
  2. ภาวะผู้นำ (leadership)
  3. การวางแผนและประเมินความเสี่ยง (planning)
  4. ทรัพยากรสนับสนุน (support)
  5. การปฏิบัติงานจริง (operation)
  6. การประเมินผล (evaluation)
  7. การปรับปรุงต่อเนื่อง (improvement)

จุดที่มาตรฐานนี้มีแต่ไม่มีในมาตรฐานความปลอดภัยข้อมูลทั่วไปอย่าง ISO 27001 คือข้อกำหนดเรื่อง "การประเมินผลกระทบของระบบ AI" (AI system impact assessment)

ซึ่งบังคับให้องค์กรประเมินผลกระทบของ AI แต่ละระบบต่อบุคคลและสังคมก่อนนำไปใช้จริง ไม่ใช่แค่ประเมินความเสี่ยงด้านความปลอดภัยของข้อมูลอย่างเดียว

ฝั่ง NIST AI RMF ของสหรัฐฯ ใช้โครงสร้าง 4 ฟังก์ชันหลักคือ:

  1. Govern (สร้างวัฒนธรรมองค์กรที่ตระหนักถึงความเสี่ยง AI และมีโครงสร้างกำกับดูแลชัดเจน)
  2. Map (ทำความเข้าใจบริบทของระบบ AI แต่ละตัวว่ากระทบใคร กระทบด้านไหนบ้างทั้งเชิงเทคนิค สังคม และจริยธรรม)
  3. Measure (วัดความเสี่ยงทั้งเชิงปริมาณและเชิงคุณภาพ)
  4. Manage (จัดลำดับความสำคัญและตอบสนองต่อความเสี่ยงที่พบ)

ทั้ง 4 ฟังก์ชันนี้ไม่ใช่ขั้นตอนที่ทำเรียงลำดับแล้วจบ แต่เป็นวงจรที่ทำซ้ำตลอดอายุการใช้งานของระบบ AI ตั้งแต่ออกแบบจนถึงเลิกใช้งาน

สรุปให้เข้าใจง่ายสำหรับองค์กรไทย: ไม่ว่าจะอ้างอิงกรอบไหน หัวใจของ AI Governance คือ 4 เรื่องเดิม — จริยธรรม (ethics), กรอบกฎหมาย/ข้อบังคับ (legal & regulatory), การจัดการความเสี่ยง (risk management), และการมีส่วนร่วมของผู้มีส่วนได้ส่วนเสีย (stakeholder engagement)

องค์กรขนาดกลาง-เล็กไม่จำเป็นต้องขอรับรอง ISO 42001 เต็มรูปแบบตั้งแต่วันแรก แต่ควรยืมโครงสร้างความคิดของมันมาใช้ — โดยเฉพาะเรื่องการประเมินผลกระทบก่อนใช้งานจริง ซึ่งเป็นสิ่งที่องค์กรไทยส่วนใหญ่ยังข้ามขั้นตอนนี้ไป

สำหรับบริบทไทย ตัวแปรที่ทำให้ AI Governance "จำเป็น" ไม่ใช่แค่ "ดีที่มี" คือ PDPA

เพราะ AI ส่วนใหญ่ที่องค์กรใช้งานจริง (แชทบอท, การวิเคราะห์ข้อมูลลูกค้า, การสรุปเอกสาร) มักประมวลผลข้อมูลส่วนบุคคลอยู่ในตัว ไม่ว่าจะตั้งใจหรือไม่

ทำไมองค์กรไทยต้องสนใจเรื่องนี้ตอนนี้

ความเสี่ยงที่เกิดขึ้นจริงเมื่อองค์กรใช้ AI โดยไม่มีการกำกับดูแล ไม่ใช่เรื่องไกลตัว

พนักงานวางข้อมูลลูกค้าลงในแชทบอทสาธารณะเพื่อสรุปงานให้เร็วขึ้น, ทีมขายใช้ AI วิเคราะห์พฤติกรรมลูกค้าโดยไม่มีใครตรวจสอบว่าผลลัพธ์มีอคติ (bias) หรือไม่

หรือฝ่าย IT อนุมัติเครื่องมือ AI ใหม่โดยไม่มีใครเช็คว่าข้อมูลที่ส่งเข้าไปถูกเก็บไว้ที่ไหน

ทั้งหมดนี้คือสถานการณ์ที่ AI Governance ถูกออกแบบมาป้องกัน

สิ่งที่ทำให้ปัญหานี้ขยายตัวเร็วกว่าที่ผู้บริหารส่วนใหญ่ประเมินไว้ คือปรากฏการณ์ที่เรียกว่า "Shadow AI" — พนักงานเริ่มใช้เครื่องมือ AI สาธารณะ (แชทบอทฟรีบนเว็บ, ปลั๊กอิน AI ในเบราว์เซอร์, แอปสรุปเอกสารที่ดาวน์โหลดเอง) โดยไม่ผ่านการอนุมัติจากฝ่าย IT หรือฝ่ายกฎหมายเลย

เพราะเครื่องมือเหล่านี้เข้าถึงง่าย ไม่ต้องขออนุญาตใคร และเห็นผลลัพธ์ทันที

ปัญหาคือ องค์กรจำนวนมากไม่รู้ด้วยซ้ำว่าตอนนี้มีข้อมูลอะไรบ้างที่หลุดออกไปนอกระบบผ่านช่องทางนี้ — เพราะไม่มีใครสำรวจ และไม่มีนโยบายที่ระบุชัดว่าทำได้แค่ไหน

สิ่งนี้ต่างจากความเสี่ยงด้าน IT แบบเดิม (เช่น การรั่วไหลผ่านอีเมลหรือไฟล์แชร์) ตรงที่ AI สาธารณะหลายตัวอาจนำข้อมูลที่ป้อนเข้าไปไปใช้ฝึกโมเดลต่อ

ซึ่งหมายความว่าข้อมูลลูกค้าที่หลุดเข้าไปอาจไม่มีทางดึงกลับคืนมาได้เลย

อีกมิติที่มักถูกมองข้ามคือความเสี่ยงเชิงชื่อเสียง (reputational risk) ที่ไม่เกี่ยวกับกฎหมายโดยตรง เช่น แชทบอทตอบลูกค้าด้วยข้อมูลผิดพลาดเพราะไม่มีใครตรวจสอบ (validate) คำตอบก่อนปล่อยใช้งานจริง

หรือระบบ AI คัดกรองใบสมัครงาน/สินเชื่อที่ให้ผลลัพธ์เอนเอียงต่อกลุ่มใดกลุ่มหนึ่งโดยที่ไม่มีใครทดสอบมาก่อน

ความเสียหายแบบนี้ไม่ต้องรอให้หน่วยงานกำกับดูแลเข้ามาตรวจ ลูกค้าหรือสาธารณะก็สร้างความเสียหายให้แบรนด์ได้เองผ่านโซเชียลมีเดีย

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) และ PDPA Thailand ระบุตรงกันว่า AI ที่ประมวลผลข้อมูลส่วนบุคคล — รวมถึงข้อมูลทางเทคนิคอย่าง prompt, embedding หรือ vector data ที่สามารถระบุตัวบุคคลได้ทางอ้อม — ต้องมีการควบคุมภายในที่ตรวจสอบได้ ไม่ใช่แค่ "เชื่อใจว่า AI จะไม่ทำผิดพลาด"

องค์กรที่ไม่มีระบบตรวจสอบตรงนี้ คือองค์กรที่รับความเสี่ยงไว้เต็มตัวโดยไม่รู้ตัว

และเมื่อเกิดปัญหาขึ้นจริง คำถามแรกที่ผู้ตรวจสอบหรือลูกค้าจะถามไม่ใช่ "AI ทำผิดได้ยังไง" แต่คือ "องค์กรมีกระบวนการตรวจสอบก่อนใช้งานหรือไม่"

ถ้าคำตอบคือไม่มี นั่นคือช่องโหว่ที่กระทบความรับผิดชอบขององค์กรโดยตรง ไม่ใช่แค่ความผิดของเครื่องมือ

AI Governance ต้องมีอะไรบ้าง (4 องค์ประกอบหลัก)

1. นโยบายการใช้ AI (AI Acceptable-Use Policy)

เอกสารที่ระบุชัดว่า พนักงานใช้ AI เครื่องมือไหนได้-ไม่ได้ ข้อมูลประเภทไหนห้ามป้อนเข้า AI สาธารณะ และใครเป็นคนอนุมัติเครื่องมือ AI ใหม่ก่อนนำมาใช้จริง

นโยบายที่ใช้งานได้จริงไม่ควรเป็นเอกสารเชิงหลักการยาว 20 หน้าที่ไม่มีใครอ่าน แต่ควรตอบคำถามที่พนักงานเจอจริงหน้างาน

เช่น "ใส่ชื่อ-เบอร์โทรลูกค้าลงในแชทบอทสาธารณะเพื่อช่วยร่างอีเมลได้ไหม" หรือ "ทีมขายเอาไฟล์สัญญาลูกค้าไปให้ AI สรุปได้ไหม" — คำตอบต้องชัดและวัดผลได้ ไม่ใช่ "ใช้ด้วยความระมัดระวัง" ซึ่งไม่มีความหมายในทางปฏิบัติ

องค์กรจำนวนหนึ่งในไทยเริ่มเผยแพร่นโยบายลักษณะนี้แล้ว (ดูตัวอย่างแนวทางจาก PDPA Thailand)

หากยังไม่มีเอกสารนี้ นี่คือจุดเริ่มต้นที่ทำได้เร็วที่สุดและเห็นผลทันที — เรามีบทความแยกที่อธิบายวิธีเขียนนโยบายนี้แบบละเอียดใน "AI Acceptable-Use Policy คืออะไร ต้องมีอะไรบ้าง"

2. บทบาทความรับผิดชอบและจุดอนุมัติ (Ownership & Approval Gate)

ต้องมีคนหรือคณะทำงานที่รับผิดชอบชัดเจน — ไม่จำเป็นต้องเป็นคณะกรรมการขนาดใหญ่สำหรับ SME แต่ต้องมี "จุดตรวจ" ก่อนระบบ AI ใหม่จะถูกนำไปใช้งานจริงในกระบวนการที่กระทบลูกค้าหรือข้อมูลส่วนบุคคล

กรอบสากลอย่าง NIST AI RMF เรียกส่วนนี้ว่า organizational structure — ต้องมีเจ้าของความเสี่ยงที่ชัดเจนสำหรับ AI แต่ละระบบ ไม่ใช่ปล่อยให้เป็นความรับผิดชอบลอย ๆ ของทั้งองค์กร

ในทางปฏิบัติ "จุดอนุมัติ" นี้ไม่จำเป็นต้องเป็นกระบวนการซับซ้อน สำหรับ SME อาจเป็นแค่แบบฟอร์ม 1 หน้าที่ทีมที่อยากใช้เครื่องมือ AI ใหม่ต้องกรอกก่อน

ระบุว่าเครื่องมือนี้จะประมวลผลข้อมูลอะไรบ้าง ข้อมูลนั้นถูกเก็บที่ไหน (server อยู่ประเทศไหน) และใครเป็นคนรับผิดชอบถ้าเกิดปัญหา

ส่งให้ผู้รับผิดชอบ 1 คน (มักเป็น IT lead, DPO หรือผู้บริหารที่ได้รับมอบหมาย) เซ็นอนุมัติก่อนเริ่มใช้จริง

สิ่งสำคัญคือ "จุดตรวจ" นี้ต้องเกิดขึ้นก่อน นำไปใช้งานจริง ไม่ใช่ตรวจย้อนหลังหลังพบปัญหาแล้ว เพราะเมื่อข้อมูลหลุดออกไปแล้วไม่มีทางเรียกคืนได้

3. การจัดการความเสี่ยงด้านข้อมูลส่วนบุคคล (Risk & PDPA Alignment)

ส่วนนี้คือจุดที่ AI Governance กับ PDPA เชื่อมกันโดยตรง องค์กรต้องตรวจสอบที่มาของข้อมูล (data provenance) โดยเฉพาะเมื่อใช้ข้อมูลจากบุคคลที่สาม

ต้องมีข้อตกลงประมวลผลข้อมูล (DPA) ตามหลัก accountability และต้องประเมินว่าโมเดล AI ที่ใช้มีอคติ (bias) ต่อกลุ่มใดกลุ่มหนึ่งหรือไม่

สิ่งเหล่านี้ไม่ใช่ทฤษฎี แต่เป็นสิ่งที่ผู้ตรวจสอบ (auditor) หรือหน่วยงานกำกับดูแลจะถามหาได้จริงเมื่อเกิดปัญหา

การประเมินความเสี่ยงที่ใช้งานได้จริงควรแยกตามระดับผลกระทบ ไม่ใช่ตรวจทุกระบบ AI ด้วยมาตรฐานเดียวกัน เช่น AI ที่ใช้สรุปบันทึกการประชุมภายใน มีความเสี่ยงต่ำกว่า AI ที่ตัดสินใจอนุมัติ/ปฏิเสธคำขอสินเชื่อหรือใบสมัครงานของบุคคลจริง

ระบบหลังนี้ต้องผ่านการประเมินผลกระทบก่อนใช้งาน (impact assessment) ที่ละเอียดกว่า รวมถึงต้องมีกลไกให้บุคคลที่ได้รับผลกระทบสามารถขอคำอธิบาย หรือขอให้มนุษย์ทบทวนผลลัพธ์ได้ (human-in-the-loop)

นี่คือหลักที่ทั้ง ISO/IEC 42001 และแนวทางของ สคส. ให้น้ำหนักตรงกัน คือ AI ที่กระทบสิทธิของบุคคลโดยตรงต้องมีทางออกให้มนุษย์ตรวจสอบซ้ำได้เสมอ ไม่ใช่ปล่อยให้ระบบตัดสินใจฝ่ายเดียว

4. การติดตามผลหลังใช้งานจริง (Monitoring)

AI Governance ไม่ใช่เอกสารที่เขียนครั้งเดียวจบ — ต้องมีรอบตรวจสอบต่อเนื่องว่าโมเดล AI ที่ใช้งานอยู่ยังทำงานตามที่ควร ไม่มีการ "เพี้ยน" ไปจากผลลัพธ์เดิม (model drift) และไม่มีการใช้งานผิดวัตถุประสงค์ (misuse)

นี่คือสิ่งที่ทำให้ AI Governance เป็นกระบวนการต่อเนื่อง ไม่ใช่โครงการที่ทำเสร็จแล้วปิดเคส

รอบตรวจสอบที่ใช้งานได้จริงไม่จำเป็นต้องเป็นการตรวจทุกวัน สำหรับระบบ AI ความเสี่ยงต่ำ (เช่น เครื่องมือช่วยร่างเอกสารภายใน) การสุ่มตรวจรายไตรมาสอาจเพียงพอ

แต่สำหรับระบบที่กระทบลูกค้าโดยตรง เช่น แชทบอทตอบคำถามลูกค้า ควรมีการสุ่มตรวจบทสนทนาจริงอย่างน้อยรายเดือนว่ายังตอบถูกต้องตามนโยบายและไม่หลุดข้อมูลที่ไม่ควรเปิดเผย

พร้อมมีช่องทางให้พนักงานหรือลูกค้ารายงานเมื่อพบคำตอบที่ผิดปกติ (feedback loop)

เพราะการติดตามผลที่ดีที่สุดในทางปฏิบัติมักไม่ได้มาจากการตรวจเชิงระบบเพียงอย่างเดียว แต่มาจากคนหน้างานที่สังเกตเห็นความผิดปกติก่อนใคร

AI Governance กับ PDPA เหมือนหรือต่างกันอย่างไร

สองเรื่องนี้ทับซ้อนกันมากแต่ไม่ใช่เรื่องเดียวกัน PDPA คือกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่บังคับใช้ตามกฎหมายไทย

ส่วน AI Governance คือกรอบการกำกับดูแลการใช้ AI ทั้งระบบ ซึ่ง "ครอบคลุม" ประเด็น PDPA ไว้เป็นส่วนหนึ่ง

แต่ยังรวมถึงเรื่องอื่นที่ PDPA ไม่ได้พูดถึงโดยตรง เช่น ความโปร่งใสของการตัดสินใจของ AI (explainability) หรือมาตรฐานการทดสอบโมเดลก่อนใช้งาน (model validation)

พูดง่าย ๆ คือ องค์กรที่ทำตาม PDPA ครบถ้วนแล้ว ยังอาจไม่มี AI Governance ที่สมบูรณ์ เพราะ PDPA คุมเฉพาะมิติข้อมูลส่วนบุคคล ไม่ใช่การกำกับดูแล AI ทั้งระบบ

ตัวอย่างที่เห็นชัด: องค์กรอาจปฏิบัติตาม PDPA ครบถ้วน (มีนโยบายความเป็นส่วนตัว, ขอความยินยอมถูกต้อง, มี DPO) แต่ยังใช้ AI คัดกรองใบสมัครงานที่ไม่เคยถูกทดสอบว่าให้ผลลัพธ์เอนเอียงทางเพศหรืออายุหรือไม่

กรณีนี้ไม่ผิด PDPA โดยตรง (เพราะข้อมูลถูกเก็บและใช้อย่างถูกต้องตามกฎหมาย) แต่ผิดหลัก AI Governance เพราะไม่มีการประเมินความเป็นธรรม (fairness) ของผลลัพธ์

ซึ่งเป็นความเสี่ยงเชิงกฎหมายด้านอื่น (เช่น กฎหมายแรงงาน หรือกฎหมายต่อต้านการเลือกปฏิบัติ) และความเสี่ยงเชิงชื่อเสียงที่ PDPA ไม่ได้ครอบคลุม

นี่คือเหตุผลที่องค์กรควรมองสองเรื่องนี้แยกกันแต่วางแผนไปพร้อมกัน — DPO ที่ดูแล PDPA ควรเป็นหนึ่งในผู้มีส่วนร่วมของ AI Governance framework แต่ไม่ใช่เจ้าของกระบวนการทั้งหมดเพียงคนเดียว

AI Governance Training ในตลาดไทยตอนนี้เป็นแบบไหน

ปัจจุบันมีหลักสูตร AI Governance ที่เปิดสอนแบบ public course เปิดรับสมัครทั่วไปหลายแห่ง เช่น AI Governance Workshop ของ Career for the Future Academy ราคา 12,840 บาท/คน (รวม VAT) หลักสูตร 2 วัน และ AI Governance ของ NeoAcademy ราคาปกติ 29,000 บาท/คน (Early Bird 25,000 บาท)

หลักสูตรลักษณะนี้เหมาะกับผู้ที่ต้องการความรู้เชิงกฎหมาย/compliance โดยเฉพาะ — เจ้าหน้าที่กฎหมาย, DPO, หรือผู้บริหารที่ต้องการเข้าใจภาพรวมด้านการกำกับดูแล

รูปแบบหลักสูตรเหล่านี้มักเป็นการบรรยายเชิงหลักการ (lecture-based) เน้นให้ผู้เรียนเข้าใจกรอบมาตรฐานสากล ข้อกำหนดทางกฎหมาย และวิธีร่างนโยบาย

ผู้เรียนออกจากห้องเรียนพร้อมความเข้าใจเรื่องกรอบและคำศัพท์ แต่ไม่ได้ฝึกลงมือเขียนนโยบายจริงสำหรับองค์กรของตัวเอง หรือฝึกใช้ AI ในงานจริงประกอบไปด้วย

ซึ่งเหมาะสมกับกลุ่มเป้าหมายที่ต้องการความรู้เชิงกฎหมายเป็นหลักอยู่แล้ว แต่ไม่ตอบโจทย์องค์กรที่ต้องการทั้งความเข้าใจเรื่อง governance และความสามารถให้พนักงานใช้ AI ทำงานได้จริงไปพร้อมกัน

AI Governance Training ต่างจากหลักสูตรอบรมการใช้ AI ทำงาน (Adoption Training) อย่างไร

นี่คือจุดที่คนมักสับสน — และเป็นเหตุผลที่บทความนี้ต้องพูดให้ชัด: หลักสูตร AI Governance แบบที่กล่าวไปข้างต้น เป็นหลักสูตรcompliance/กฎหมาย-นำ เน้นให้ผู้เข้าอบรมเข้าใจกรอบกำกับดูแลและออกแบบนโยบาย

ส่วนสิ่งที่หลายองค์กรต้องการจริง ๆ เมื่อพูดว่า "อยากให้พนักงานใช้ AI เป็น" คือหลักสูตรการนำ AI ไปใช้งานจริง (adoption training) ซึ่งเป็นความต้องการคนละแบบ

ความสับสนนี้มักเกิดตอนที่ผู้บริหารสั่งให้ฝ่าย HR หรือ L&D "หาคอร์ส AI Governance มาอบรมพนักงาน" โดยตั้งใจจริง ๆ ว่าอยากให้พนักงานใช้ AI ทำงานเร็วขึ้น

ผลคือพนักงานนั่งเรียนเรื่องกรอบกฎหมายและมาตรฐานสากลทั้งวัน แต่กลับมาที่โต๊ะทำงานแล้วยังไม่รู้วิธีเขียน prompt ให้ได้ผลลัพธ์ที่ใช้ได้จริง

หรือไม่รู้ว่าจะเอา AI ไปช่วยงานเฉพาะของแผนกตัวเองยังไง — นี่คือช่องว่างที่เกิดขึ้นซ้ำ ๆ เพราะสองหลักสูตรนี้ถูกออกแบบมาตอบโจทย์คนละกลุ่มเป้าหมายและคนละผลลัพธ์ตั้งแต่ต้น

เนื้อหาแบบเรียนรู้และปฏิบัติงานได้ Training ของ Jade วางเรื่องความเสี่ยงและ governance ไว้เป็นหนึ่งในโมดูลของหลักสูตร ไม่ใช่หลักสูตรเดี่ยวที่สอนแค่เรื่อง compliance

เพราะในประสบการณ์ตรง องค์กรที่ส่งพนักงานไปเรียนเฉพาะเรื่อง governance มักได้แค่ "ความเข้าใจ" แต่ไม่ได้ "ความสามารถลงมือทำ" กลับมา

ส่วนองค์กรที่ต้องการเฉพาะกรอบ compliance/กฎหมายจริง ๆ (ไม่ต้องการ adoption training ทั้งองค์กร) หลักสูตร AI Governance Workshop แบบ public course ที่กล่าวถึงข้างต้นน่าจะตอบโจทย์ตรงกว่า

นโยบาย AI Governance ฉบับแรกขององค์กร ต้องมีอะไรบ้าง (Checklist ปฏิบัติจริง)

องค์กรที่เพิ่งเริ่มทำ AI Governance เป็นครั้งแรกไม่จำเป็นต้องเขียนกรอบที่สมบูรณ์แบบตาม ISO/IEC 42001 ทั้งฉบับ แต่นโยบายฉบับแรกที่ใช้งานได้จริงควรมีอย่างน้อย 7 องค์ประกอบนี้:

  1. รายการเครื่องมือ AI ที่อนุญาต/ไม่อนุญาต — ระบุชื่อเครื่องมือจริงที่พนักงานใช้อยู่แล้ว (เช่น ChatGPT, Claude, Gemini, ปลั๊กอิน AI ในเบราว์เซอร์) ไม่ใช่เขียนแบบกว้าง ๆ ว่า "AI สาธารณะ" เพราะพนักงานต้องรู้ชัดว่าเครื่องมือที่ตัวเองใช้อยู่ทุกวันอยู่ในกลุ่มไหน
  2. ประเภทข้อมูลต้องห้าม — ระบุชัดว่าข้อมูลแบบไหนห้ามป้อนเข้า AI สาธารณะเด็ดขาด (เช่น เลขบัตรประชาชน, ข้อมูลสุขภาพ, ข้อมูลบัญชีธนาคารลูกค้า, สัญญาที่มีเงื่อนไขไม่เปิดเผย)
  3. ผู้รับผิดชอบและจุดอนุมัติ — ระบุชื่อตำแหน่งจริง (ไม่ใช่ "ฝ่ายที่เกี่ยวข้อง") ที่เป็นผู้อนุมัติก่อนนำเครื่องมือ AI ใหม่มาใช้งานจริง
  4. ขั้นตอนประเมินความเสี่ยงก่อนใช้งาน — อย่างน้อยต้องตอบได้ว่า AI ระบบนี้ประมวลผลข้อมูลอะไร เก็บไว้ที่ไหน และกระทบใครบ้างถ้าเกิดข้อผิดพลาด
  5. จุดที่ต้องมีมนุษย์ตรวจสอบซ้ำ (human-in-the-loop) — ระบุว่างานใดที่ AI ห้ามตัดสินใจฝ่ายเดียว เช่น การอนุมัติ/ปฏิเสธคำขอของลูกค้า ต้องมีพนักงานตรวจสอบผลลัพธ์ก่อนส่งออกเสมอ
  6. ช่องทางรายงานปัญหา — ช่องทางที่ชัดเจนให้พนักงานหรือลูกค้าแจ้งเมื่อพบว่า AI ตอบผิดหรือทำงานผิดปกติ พร้อมระบุว่าใครเป็นผู้รับเรื่องและตอบสนองภายในกี่วัน
  7. รอบทบทวนนโยบาย — กำหนดความถี่ที่ชัดเจน (เช่น ทุก 6 เดือน) ในการทบทวนว่านโยบายยังทันกับเครื่องมือ AI ใหม่ที่เกิดขึ้นหรือไม่ เพราะเครื่องมือ AI เปลี่ยนเร็วกว่านโยบายภายในองค์กรเสมอ
  8. บทลงโทษหรือผลของการไม่ปฏิบัติตาม — ระบุให้ชัดว่าถ้าพนักงานฝ่าฝืนนโยบาย (เช่น ป้อนข้อมูลลูกค้าเข้า AI สาธารณะโดยไม่ได้รับอนุญาต) จะมีผลอย่างไร เพราะนโยบายที่ไม่มีผลบังคับใช้จริงมักถูกมองข้ามในทางปฏิบัติ

นโยบายฉบับแรกไม่จำเป็นต้องยาวเกิน 2-3 หน้า สิ่งที่สำคัญกว่าความยาวคือความชัดเจนที่พนักงานอ่านแล้วนำไปใช้ตัดสินใจหน้างานได้ทันที ไม่ใช่เอกสารเชิงหลักการที่ต้องตีความเพิ่ม

ตัวอย่างสมมติ: องค์กรเริ่มทำ AI Governance สำหรับแชทบอทลูกค้าสัมพันธ์

ตัวอย่างต่อไปนี้เป็นสถานการณ์สมมติเพื่อประกอบความเข้าใจเท่านั้น ไม่ใช่กรณีลูกค้าจริงรายใดของ Jade

สมมติว่าบริษัทค้าปลีกขนาดกลางแห่งหนึ่ง (สมมติชื่อ "บริษัท A") ตัดสินใจนำแชทบอท AI มาใช้ตอบคำถามลูกค้าผ่าน LINE Official Account เพื่อลดภาระทีมแอดมิน

กระบวนการเริ่มทำ AI Governance สำหรับระบบนี้ตั้งแต่ก่อนเปิดใช้งานจริงอาจเป็นแบบนี้:

ขั้นที่ 1 — สำรวจและ Map ความเสี่ยง: ทีมงานสำรวจก่อนว่าบอทจะเข้าถึงข้อมูลอะไรบ้าง พบว่าบอทต้องดึงประวัติการสั่งซื้อ เบอร์โทร และที่อยู่จัดส่งของลูกค้าเพื่อตอบคำถามสถานะออเดอร์ — นี่คือข้อมูลส่วนบุคคลตาม PDPA ทันที จุดนี้คือขั้น Map ตามแนวทาง NIST AI RMF คือระบุให้ชัดว่าระบบกระทบใคร กระทบข้อมูลอะไร

ขั้นที่ 2 — กำหนดจุดอนุมัติ: บริษัท A มอบหมายให้หัวหน้าฝ่าย IT ร่วมกับ DPO เป็นผู้อนุมัติก่อนบอทจะเปิดใช้งานจริง ทั้งสองคนตรวจสอบว่าผู้ให้บริการ AI ที่เลือกใช้เก็บข้อมูลไว้ที่ไหน มีข้อตกลงประมวลผลข้อมูล (DPA) หรือไม่ และมีมาตรการป้องกันข้อมูลรั่วไหลระดับใด

ขั้นที่ 3 — ตั้งเงื่อนไข human-in-the-loop: บริษัท A กำหนดว่าคำถามที่เกี่ยวกับการคืนเงินหรือข้อร้องเรียนมูลค่าสูง บอทต้องส่งต่อให้พนักงานจริงตัดสินใจ ไม่ปล่อยให้บอทอนุมัติการคืนเงินเองโดยอัตโนมัติ — เพราะเป็นจุดที่กระทบสิทธิ์ทางการเงินของลูกค้าโดยตรง

ขั้นที่ 4 — เขียนนโยบายการใช้ AI ฉบับสั้นสำหรับทีมแอดมิน: ระบุว่าแอดมินที่ดูแลบอทห้ามคัดลอกบทสนทนาลูกค้าไปวางในเครื่องมือ AI สาธารณะอื่นเพื่อ "ขอให้ช่วยตอบ" เพราะเท่ากับส่งข้อมูลลูกค้าออกนอกระบบที่อนุมัติไว้แล้ว

ขั้นที่ 5 — ตั้งรอบติดตามผล: หลังเปิดใช้งาน บริษัท A สุ่มตรวจบทสนทนาจริงทุกสัปดาห์ในเดือนแรก (ความถี่สูงเพราะเป็นระบบใหม่ที่ยังไม่เคยพิสูจน์) แล้วค่อยลดเหลือทุกเดือนเมื่อบอทเสถียร พร้อมเปิดช่องทางให้แอดมินรายงานทันทีถ้าเห็นบอทตอบผิดปกติ

ตัวอย่างนี้แสดงให้เห็นว่า AI Governance ในทางปฏิบัติไม่ใช่เอกสารนโยบายลอย ๆ แต่คือชุดการตัดสินใจที่เป็นรูปธรรม 5 ขั้นตอนที่ผูกกับความเสี่ยงจริงของ use case เดียว

องค์กรที่มีระบบ AI หลายตัวควรทำกระบวนการลักษณะนี้แยกทีละระบบ ไม่ใช่เขียนนโยบายกว้าง ๆ ฉบับเดียวครอบคลุมทุกระบบพร้อมกัน เพราะแต่ละระบบมีระดับความเสี่ยงและข้อมูลที่เกี่ยวข้องต่างกัน

คำถามที่พบบ่อยเกี่ยวกับ AI Governance

AI Governance กับ PDPA ต่างกันอย่างไร PDPA คือกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่บังคับใช้ตามกฎหมาย ส่วน AI Governance คือกรอบการกำกับดูแลการใช้ AI ทั้งระบบซึ่งครอบคลุมประเด็น PDPA ไว้เป็นส่วนหนึ่ง

แต่ยังรวมเรื่องความโปร่งใสและมาตรฐานการทดสอบโมเดลที่ PDPA ไม่ได้ระบุไว้โดยตรง

องค์กรขนาดเล็กหรือ SME จำเป็นต้องมี AI Governance ไหม จำเป็น แต่ไม่ต้องเริ่มจากคณะกรรมการขนาดใหญ่ SME ส่วนใหญ่เริ่มได้จากนโยบายการใช้ AI 1-2 หน้าและกำหนดผู้รับผิดชอบ 1 คนที่เป็นจุดอนุมัติก่อนนำเครื่องมือ AI ใหม่มาใช้

ขนาดของระบบกำกับดูแลควรสอดคล้องกับขนาดความเสี่ยงจริงขององค์กร ไม่ใช่ลอกกรอบจากองค์กรใหญ่ทั้งหมด

AI Governance Workshop ราคาเท่าไหร่ หลักสูตร public course ที่เปิดสอนในไทยตอนนี้อยู่ในช่วง 12,840-29,000 บาทต่อคน ขึ้นอยู่กับผู้จัดและความยาวหลักสูตร (ราคาตรวจสอบจากเว็บไซต์ผู้จัดโดยตรง ณ เดือนสิงหาคม 2026)

ราคานี้เป็นค่าใช้จ่ายต่อที่นั่ง 1 คน แตกต่างจากโปรแกรมแบบ in-house ที่ออกแบบเฉพาะองค์กรซึ่งคิดราคาต่อทีม/แผนก ไม่ใช่ต่อคน

ต้องตั้งคณะกรรมการ AI Governance ก่อนไหม ไม่จำเป็นต้องเป็นขั้นตอนแรก ขั้นตอนแรกที่ทำได้เร็วและเห็นผลทันทีคือนโยบายการใช้ AI เป็นลายลักษณ์อักษร ส่วนโครงสร้างคณะทำงานหรือคณะกรรมการเป็นสิ่งที่ควรมีตามมาเมื่อการใช้ AI ในองค์กรขยายตัวขึ้น

เริ่มทำ AI Governance ต้องเริ่มจากตรงไหนก่อน เริ่มจากสำรวจว่าตอนนี้พนักงานใช้เครื่องมือ AI อะไรอยู่บ้าง (มักมากกว่าที่ฝ่าย IT รับรู้)

จากนั้นเขียนนโยบายการใช้ AI ฉบับสั้นที่ระบุข้อมูลต้องห้ามและผู้อนุมัติ แล้วค่อยขยายไปสู่กระบวนการตรวจสอบความเสี่ยงและการติดตามผลตามลำดับ

บทความนี้เป็นเนื้อหาระดับผู้ปฏิบัติงานจริง (practitioner-level) จากประสบการณ์ตรงในการออกแบบและอบรมทีมงานให้ใช้ AI ในองค์กร ไม่ใช่คำแนะนำทางกฎหมายหรือ compliance อย่างเป็นทางการ — สำหรับประเด็นกฎหมาย PDPA หรือการตีความข้อบังคับเฉพาะกรณี ควรปรึกษาที่ปรึกษากฎหมายหรือ DPO ขององค์กรโดยตรง

และหากองค์กรต้องการหลักสูตร AI Governance/compliance โดยเฉพาะ ไม่ใช่การอบรมการใช้ AI ทั้งองค์กร หลักสูตร public course อย่าง AI Governance Workshop ที่กล่าวถึงข้างต้นน่าจะตอบโจทย์ตรงกว่าโปรแกรมของ Jade

เขียนโดย Jade (Sarunjade) — ที่ปรึกษาและผู้ออกแบบหลักสูตร AI Transformation Training ให้องค์กรไทย

แหล่งอ้างอิง: PDPA Thailand — หลักสูตรอบรม AI Data Governance และ PDPA, PDPA Thailand — พนักงานใช้ AI ทำงาน แนวทางป้องกันความเสี่ยง, Career for the Future Academy — AI Governance Workshop, NeoAcademy — AI Governance, ISO — ISO/IEC 42001:2023 AI management systems, NIST — AI Risk Management Framework Playbook

หากองค์กรของคุณกำลังตัดสินใจว่าจะเริ่มจากนโยบายการใช้ AI แบบไหน หรืออยากเข้าใจว่าองค์กรตัวเองอยู่ตรงไหนในเรื่อง AI Governance ก่อนตัดสินใจอบรมทั้งทีม อ่านต่อเรื่อง "AI Acceptable-Use Policy คืออะไร ต้องมีอะไรบ้าง" หรือทักมาคุยแบบไม่มีข้อผูกมัดเพื่อประเมินสถานะปัจจุบันขององค์กรคุณ