AI Governance คืออะไร องค์กรควรมีกฎการใช้ AI แบบไหน

ปัญญาประดิษฐ์หรือ AI กำลังกลายเป็นเครื่องมือสำคัญขององค์กร ตั้งแต่การเขียนเอกสาร วิเคราะห์ข้อมูล ตอบคำถามลูกค้า สร้างสื่อการตลาด ไปจนถึงช่วยตัดสินใจทางธุรกิจ

แต่การเปิดให้พนักงานใช้ AI โดยไม่มีกฎควบคุมอาจนำไปสู่ข้อมูลรั่วไหล คำตอบผิดพลาด การละเมิดลิขสิทธิ์ ความไม่เป็นธรรม และความเสียหายต่อชื่อเสียงขององค์กร แนวคิด AI Governance จึงเข้ามามีบทบาทในการกำหนดว่าองค์กรควรเลือก พัฒนา ใช้งาน และตรวจสอบระบบ AI อย่างไรให้ปลอดภัย โปร่งใส และสามารถรับผิดชอบได้ AI Governance ไม่ได้มีเป้าหมายเพื่อห้ามพนักงานใช้เทคโนโลยี 

แต่เป็นการสร้างกรอบการใช้งานที่ชัดเจน เพื่อให้องค์กรได้รับประโยชน์จาก AI โดยไม่เพิ่มความเสี่ยงโดยไม่จำเป็น นโยบายที่ดีควรครอบคลุมตั้งแต่ประเภทข้อมูลที่ป้อนเข้า AI เครื่องมือที่ได้รับอนุญาต การตรวจสอบผลลัพธ์ สิทธิ์การเข้าถึง การจัดเก็บข้อมูล ตลอดจนผู้รับผิดชอบเมื่อเกิดข้อผิดพลาด

AI Governance คืออะไร

AI Governance หรือการกำกับดูแลปัญญาประดิษฐ์ คือกรอบนโยบาย กระบวนการ บทบาทหน้าที่ และมาตรการควบคุมที่องค์กรใช้บริหารระบบ AI ตลอดวงจรชีวิต ตั้งแต่การวางแผนจัดซื้อ การออกแบบ การทดสอบ การใช้งานจริง การติดตามผล ไปจนถึงการยกเลิกระบบ

การกำกับดูแลไม่ได้จำกัดอยู่เฉพาะระบบ AI ที่องค์กรพัฒนาขึ้นเอง แต่รวมถึงบริการภายนอก เช่น Generative AI, Chatbot, AI Assistant, ระบบวิเคราะห์ลูกค้า เครื่องมือสร้างภาพ ระบบคัดกรองผู้สมัคร และ AI ที่ติดมากับซอฟต์แวร์ทางธุรกิจ

เป้าหมายสำคัญคือทำให้องค์กรสามารถตอบคำถามได้อย่างชัดเจนว่า AI ระบบใดกำลังถูกใช้งาน ใช้ข้อมูลอะไร ใครเป็นเจ้าของระบบ มีความเสี่ยงระดับใด ใครตรวจสอบผลลัพธ์ และใครต้องรับผิดชอบเมื่อ AI ทำงานผิดพลาด

เหตุใดองค์กรจึงต้องมี AI Governance

1. ป้องกันข้อมูลสำคัญรั่วไหล

ความเสี่ยงที่พบได้บ่อยคือพนักงานนำข้อมูลภายในไปป้อนในบริการ AI สาธารณะ เช่น รายชื่อลูกค้า หมายเลขโทรศัพท์ ข้อมูลการเงิน รายงานยอดขาย สัญญา รหัสผ่าน หรือข้อมูลโครงการที่ยังไม่เปิดเผย ข้อมูลเหล่านี้อาจถูกส่งออกไปยังระบบของผู้ให้บริการภายนอกและอยู่นอกเหนือการควบคุมขององค์กร

2. ลดความผิดพลาดจากคำตอบของ AI

AI สามารถสร้างคำตอบที่ดูน่าเชื่อถือแต่ไม่ถูกต้อง หรือที่เรียกว่า AI Hallucination หากพนักงานนำคำตอบไปใช้โดยไม่ตรวจสอบ อาจเกิดความผิดพลาดในเอกสาร ข้อมูลลูกค้า รายงานผู้บริหาร คำแนะนำด้านกฎหมาย หรือการสื่อสารสาธารณะ

3. ควบคุมความเสี่ยงด้านกฎหมายและลิขสิทธิ์

เนื้อหาที่ AI สร้างขึ้นอาจคล้ายกับผลงานที่มีลิขสิทธิ์ หรืออาจนำข้อมูลส่วนบุคคลมาใช้โดยไม่มีฐานทางกฎหมายที่เหมาะสม องค์กรจึงต้องกำหนดขั้นตอนการตรวจสอบก่อนนำข้อความ รูปภาพ เสียง วิดีโอ หรือโค้ดที่สร้างโดย AI ไปเผยแพร่หรือใช้งานเชิงพาณิชย์

4. สร้างความโปร่งใสและความรับผิดชอบ

เมื่อนำ AI มาช่วยคัดกรองผู้สมัคร ประเมินพนักงาน กำหนดราคา อนุมัติสินเชื่อ หรือจัดลำดับความสำคัญของลูกค้า องค์กรต้องสามารถอธิบายหลักเกณฑ์และเปิดโอกาสให้มนุษย์ตรวจสอบได้ ไม่ควรปล่อยให้ AI เป็นผู้ตัดสินใจขั้นสุดท้ายในเรื่องที่กระทบสิทธิหรือชีวิตของบุคคล

5. ป้องกันการใช้เครื่องมือซ้ำซ้อนและค่าใช้จ่ายที่ควบคุมไม่ได้

เมื่อแต่ละแผนกสมัครบริการ AI ด้วยตนเอง องค์กรอาจมีบัญชีซ้ำซ้อน ค่าใช้จ่ายกระจัดกระจาย และไม่สามารถควบคุมข้อมูลได้ การมี AI Governance ช่วยให้องค์กรเลือกเครื่องมือมาตรฐาน ต่อรองสัญญา จัดการสิทธิ์ และตรวจสอบการใช้งานจากส่วนกลาง

หลักสำคัญของ AI Governance

ความรับผิดชอบ

ทุกระบบ AI ต้องมีเจ้าของระบบหรือ AI System Owner ที่รับผิดชอบด้านวัตถุประสงค์ ความเสี่ยง คุณภาพข้อมูล และการติดตามผล ห้ามระบุเพียงว่า “AI เป็นผู้ตัดสินใจ” เพราะความรับผิดชอบสุดท้ายต้องอยู่ที่บุคคลหรือหน่วยงานในองค์กร

ความโปร่งใส

ผู้ใช้งานและผู้ได้รับผลกระทบควรทราบว่าเนื้อหา กระบวนการ หรือคำแนะนำใดมี AI เข้ามาเกี่ยวข้อง โดยเฉพาะ Chatbot บริการลูกค้า เนื้อหาสาธารณะ และระบบที่มีผลต่อการตัดสินใจสำคัญ

ความเป็นธรรม

องค์กรต้องตรวจสอบว่า AI ไม่สร้างผลลัพธ์ที่เลือกปฏิบัติต่อบุคคลตามเพศ อายุ เชื้อชาติ ศาสนา ความพิการ หรือคุณลักษณะที่ได้รับการคุ้มครอง การทดสอบควรครอบคลุมผู้ใช้หลายกลุ่มและทบทวนผลลัพธ์อย่างสม่ำเสมอ

ความเป็นส่วนตัวและความปลอดภัย

ข้อมูลที่ใช้กับ AI ต้องได้รับการจัดประเภท ควบคุมสิทธิ์ เข้ารหัส และจัดเก็บตามนโยบายขององค์กร ควรใช้หลักให้สิทธิ์เท่าที่จำเป็น รวมถึงต้องพิจารณาว่าผู้ให้บริการนำข้อมูลไปฝึกโมเดลหรือส่งข้อมูลไปเก็บในประเทศใด

การกำกับดูแลโดยมนุษย์

AI ควรทำหน้าที่ช่วยสนับสนุน ไม่ใช่แทนที่ความรับผิดชอบของมนุษย์ทั้งหมด การตัดสินใจที่มีผลกระทบสูงต้องมีผู้มีอำนาจตรวจสอบ อนุมัติ แก้ไข หรือระงับผลลัพธ์ของ AI ได้

องค์กรควรมีกฎการใช้ AI แบบไหน

1. กำหนดเครื่องมือ AI ที่ได้รับอนุญาต

องค์กรควรจัดทำรายชื่อ Approved AI Tools ระบุว่าเครื่องมือใดสามารถใช้ได้ ใช้กับงานประเภทใด และต้องเข้าสู่ระบบด้วยบัญชีองค์กรหรือไม่ เครื่องมือที่ไม่ได้ผ่านการตรวจสอบควรถูกจำกัดสำหรับงานที่ไม่มีข้อมูลภายในเท่านั้น

ก่อนอนุมัติเครื่องมือ ควรตรวจสอบเงื่อนไขการใช้งาน นโยบายความเป็นส่วนตัว สถานที่จัดเก็บข้อมูล การเข้ารหัส ระบบบันทึกกิจกรรม การยืนยันตัวตนแบบหลายปัจจัย และความสามารถในการปิดการนำข้อมูลไปฝึกโมเดล

2. ห้ามป้อนข้อมูลลับและข้อมูลส่วนบุคคล

นโยบายควรระบุข้อมูลต้องห้ามอย่างชัดเจน เช่น

• ชื่อ ที่อยู่ หมายเลขโทรศัพท์ อีเมล หรือเลขประจำตัวของลูกค้า
• ข้อมูลบัตรเครดิต หนังสือเดินทาง และเอกสารยืนยันตัวตน
• รหัสผ่าน API Key Token และข้อมูลเข้าสู่ระบบ
• ข้อมูลเงินเดือน ประวัติพนักงาน และข้อมูลสุขภาพ
• สัญญา รายงานทางการเงิน และแผนธุรกิจที่ยังไม่เปิดเผย
• Source Code หรือโครงสร้างระบบที่เป็นความลับ
• ข้อมูลเหตุการณ์ด้านความปลอดภัยที่อยู่ระหว่างการสอบสวน

เมื่อต้องใช้ข้อมูลจริง ควรลบข้อมูลระบุตัวบุคคล ใช้ข้อมูลตัวอย่าง หรือแทนค่าด้วยรหัสก่อนส่งให้ AI ประมวลผล

3. แบ่งระดับความเสี่ยงของงาน AI

องค์กรสามารถแบ่งการใช้งานออกเป็นสามระดับเพื่อให้ควบคุมได้ง่าย งานความเสี่ยงต่ำ เช่น การระดมความคิด ปรับสำนวน หรือสรุปข้อมูลสาธารณะ สามารถใช้ได้ภายใต้แนวทางทั่วไป

งานความเสี่ยงปานกลาง เช่น การสร้างเนื้อหาการตลาด วิเคราะห์ข้อมูลภายใน หรือเขียนโปรแกรม ต้องมีผู้รับผิดชอบตรวจสอบก่อนนำไปใช้ ส่วนงานความเสี่ยงสูง เช่น การรับสมัครงาน การประเมินพนักงาน การอนุมัติธุรกรรม และคำแนะนำด้านกฎหมาย ต้องผ่านการประเมินความเสี่ยงและได้รับอนุมัติจากหน่วยงานที่เกี่ยวข้อง

4. บังคับให้ตรวจสอบผลลัพธ์โดยมนุษย์

ข้อความ ตัวเลข เอกสาร หรือคำแนะนำที่สร้างจาก AI ต้องได้รับการตรวจสอบกับแหล่งข้อมูลที่เชื่อถือได้ก่อนใช้งาน โดยเฉพาะเนื้อหาที่ส่งถึงลูกค้า ผู้บริหาร หน่วยงานกำกับดูแล หรือเผยแพร่บนเว็บไซต์และสื่อสังคมออนไลน์

ผู้ตรวจสอบต้องพิจารณาทั้งความถูกต้อง ความเหมาะสม ความลับ ลิขสิทธิ์ อคติ และผลกระทบต่อชื่อเสียงองค์กร ไม่ควรตรวจเฉพาะการสะกดคำหรือรูปแบบภาษา

5. ห้ามให้ AI ตัดสินใจเรื่องสำคัญโดยอัตโนมัติ

AI ไม่ควรเป็นผู้ตัดสินใจขั้นสุดท้ายเกี่ยวกับการจ้างงาน เลิกจ้าง ลงโทษพนักงาน ปฏิเสธบริการ กำหนดสิทธิประโยชน์ หรือประเมินความน่าเชื่อถือของบุคคล ต้องมีมนุษย์ตรวจสอบเหตุผลและสามารถเปลี่ยนแปลงผลลัพธ์ได้

6. กำหนดกฎสำหรับเนื้อหาที่ AI สร้างขึ้น

เนื้อหาที่เผยแพร่ภายนอกควรผ่านการอนุมัติตามกระบวนการเดียวกับเนื้อหาที่สร้างโดยมนุษย์ หากมีการสร้างภาพบุคคล เสียงเลียนแบบ หรือวิดีโอสังเคราะห์ ต้องได้รับความยินยอมและติดป้ายกำกับอย่างเหมาะสม ห้ามใช้ AI สร้างรีวิวปลอม ข่าวปลอม หรือข้อความที่ทำให้ผู้รับเข้าใจผิด

7. ควบคุมการใช้ AI เขียนโปรแกรม

Source Code ที่สร้างจาก AI ต้องผ่าน Code Review การทดสอบช่องโหว่ และการตรวจสอบใบอนุญาตก่อนนำขึ้นระบบจริง ห้ามป้อนรหัสผ่าน ค่า Configuration ภายใน หรือ Source Code ที่มีความลับทางธุรกิจลงในเครื่องมือสาธารณะ

8. กำหนดขั้นตอนรายงานเหตุการณ์

พนักงานต้องทราบว่าควรรายงานใครเมื่อป้อนข้อมูลผิด ส่งข้อมูลลับให้ AI พบคำตอบที่มีอคติ หรือเกิดผลลัพธ์ที่อาจสร้างความเสียหาย ช่องทางรายงานควรใช้งานง่ายและไม่มุ่งลงโทษผู้แจ้งโดยสุจริต

ทีม IT และ Security ควรมีขั้นตอนระงับบัญชี ลบข้อมูล ติดต่อผู้ให้บริการ ประเมินผลกระทบ แจ้งเจ้าของข้อมูล และเก็บหลักฐานสำหรับการสอบสวน

ตัวอย่างกฎการใช้ AI สำหรับพนักงาน

1. ใช้เฉพาะเครื่องมือ AI ที่องค์กรอนุมัติ
2. เข้าสู่ระบบด้วยบัญชีองค์กรเมื่อมีบริการรองรับ
3. ห้ามป้อนข้อมูลลับ ข้อมูลลูกค้า หรือรหัสผ่าน
4. ลบข้อมูลระบุตัวบุคคลก่อนนำข้อมูลไปประมวลผล
5. ตรวจสอบความถูกต้องของคำตอบก่อนนำไปใช้
6. ห้ามใช้ AI ตัดสินใจเรื่องสำคัญแทนมนุษย์
7. ตรวจสอบลิขสิทธิ์ก่อนเผยแพร่ข้อความ ภาพ หรือวิดีโอ
8. เปิดเผยการใช้ AI เมื่ออาจทำให้ผู้รับเข้าใจผิด
9. รายงานทันทีเมื่อเกิดข้อมูลรั่วไหลหรือผลลัพธ์ผิดปกติ
10. ผู้ใช้งานเป็นผู้รับผิดชอบผลงานสุดท้าย ไม่ใช่ AI

โครงสร้างผู้รับผิดชอบด้าน AI Governance

องค์กรขนาดกลางและขนาดใหญ่ควรตั้งคณะทำงาน AI Governance ซึ่งประกอบด้วยตัวแทนจากฝ่ายบริหาร IT, Cybersecurity, Legal, Data Protection, Human Resources, Risk Management และหน่วยงานธุรกิจ

ฝ่ายบริหารกำหนดทิศทางและระดับความเสี่ยงที่ยอมรับได้ ฝ่าย IT ตรวจสอบระบบและการเชื่อมต่อ ฝ่าย Security ประเมินภัยคุกคาม ฝ่ายกฎหมายตรวจสอบข้อผูกพัน ฝ่ายทรัพยากรบุคคลดูแลการใช้งานที่เกี่ยวข้องกับพนักงาน ส่วนเจ้าของกระบวนการธุรกิจรับผิดชอบความถูกต้องของผลลัพธ์

สำหรับองค์กรขนาดเล็ก ไม่จำเป็นต้องตั้งคณะกรรมการขนาดใหญ่ แต่อย่างน้อยควรมีผู้อนุมัติเครื่องมือ ผู้ตรวจสอบด้านข้อมูลและความปลอดภัย และเจ้าของงานที่รับผิดชอบผลลัพธ์อย่างชัดเจน

ขั้นตอนเริ่มต้นจัดทำ AI Governance

ขั้นตอนที่ 1 สำรวจการใช้ AI ภายในองค์กร

จัดทำ AI Inventory โดยสำรวจว่าแต่ละฝ่ายใช้เครื่องมือใด ใช้ทำอะไร ประมวลผลข้อมูลประเภทใด มีค่าใช้จ่ายเท่าใด และผลลัพธ์ส่งผลต่อใครบ้าง การสำรวจควรครอบคลุมทั้งบริการที่องค์กรจัดซื้อและบัญชีที่พนักงานสมัครเอง

ขั้นตอนที่ 2 ประเมินความเสี่ยง

ประเมินผลกระทบด้านความลับ ความถูกต้อง กฎหมาย ความเป็นธรรม ความต่อเนื่องทางธุรกิจ และชื่อเสียง ยิ่ง AI มีอำนาจตัดสินใจหรือเข้าถึงข้อมูลสำคัญมากเท่าใด มาตรการควบคุมก็ต้องเข้มงวดมากขึ้น

ขั้นตอนที่ 3 จัดทำนโยบายและคู่มือใช้งาน

นโยบายควรเขียนให้อ่านง่าย แยกส่วนที่ต้องปฏิบัติสำหรับพนักงานทั่วไปออกจากข้อกำหนดทางเทคนิค ควรมีตัวอย่างสิ่งที่ทำได้ สิ่งที่ห้ามทำ และช่องทางขอคำปรึกษา

ขั้นตอนที่ 4 เลือกแพลตฟอร์มมาตรฐาน

เลือกบริการที่มีการควบคุมบัญชีส่วนกลาง การยืนยันตัวตน การกำหนดสิทธิ์ บันทึกกิจกรรม นโยบายรักษาข้อมูล และสัญญาคุ้มครองข้อมูลที่เหมาะสม เพื่อลดการใช้ Shadow AI หรือเครื่องมือที่ฝ่าย IT ไม่สามารถมองเห็น

ขั้นตอนที่ 5 อบรมพนักงาน

การอบรมควรครอบคลุมข้อจำกัดของ AI วิธีเขียนคำสั่งโดยไม่เปิดเผยข้อมูล วิธีตรวจสอบคำตอบ การระบุเนื้อหาหลอกลวง และขั้นตอนรายงานเหตุการณ์ ควรจัดอบรมเพิ่มเติมตามหน้าที่ เช่น ฝ่ายการตลาด ฝ่ายบุคคล ฝ่ายกฎหมาย และนักพัฒนาระบบ

ขั้นตอนที่ 6 ติดตามและทบทวนอย่างต่อเนื่อง

เทคโนโลยี AI เปลี่ยนแปลงรวดเร็ว นโยบายจึงไม่ควรถูกจัดทำเพียงครั้งเดียว องค์กรควรทบทวนรายการเครื่องมือ ความเสี่ยง เหตุการณ์ผิดปกติ และข้อกำหนดทางกฎหมายเป็นระยะ รวมถึงติดตามว่ามาตรการควบคุมยังใช้งานได้จริง

ตัวอย่างการประยุกต์ใช้ในธุรกิจโรงแรม

โรงแรมสามารถใช้ AI ช่วยเขียนข้อความตอบลูกค้า แปลภาษา วิเคราะห์ความคิดเห็น สรุปรายงาน หรือแนะนำกิจกรรมในพื้นที่ได้ แต่ไม่ควรป้อนข้อมูลจากระบบ PMS เช่น ชื่อผู้เข้าพัก หมายเลขห้อง หนังสือเดินทาง รายละเอียดการชำระเงิน หรือประวัติการเข้าพักลงใน AI สาธารณะ

Chatbot สำหรับแขกควรถูกจำกัดให้ตอบข้อมูลที่ผ่านการรับรอง เช่น เวลาให้บริการ ห้องอาหาร สิ่งอำนวยความสะดวก และนโยบายทั่วไป หากเป็นเรื่องร้องเรียน การคืนเงิน เหตุฉุกเฉิน หรือข้อมูลส่วนบุคคล ระบบควรส่งต่อให้พนักงานทันที

AI ที่ใช้วิเคราะห์รีวิวหรือพฤติกรรมลูกค้าต้องมีการลดข้อมูลระบุตัวบุคคล กำหนดระยะเวลาจัดเก็บ และจำกัดสิทธิ์การเข้าถึง ส่วนระบบกำหนดราคาห้องพักควรมีผู้บริหารรายได้ตรวจสอบความสมเหตุสมผลและสามารถยกเลิกคำแนะนำได้

ข้อผิดพลาดที่องค์กรควรหลีกเลี่ยง

• ห้าม AI ทุกประเภทจนพนักงานหันไปใช้เครื่องมือส่วนตัวอย่างลับ ๆ
• ออกนโยบายที่มีศัพท์เทคนิคมากเกินไปจนพนักงานไม่เข้าใจ
• มอบความรับผิดชอบทั้งหมดให้ฝ่าย IT เพียงฝ่ายเดียว
• อนุมัติเครื่องมือโดยไม่ตรวจสอบสัญญาและการใช้ข้อมูล
• เชื่อว่าผลลัพธ์ของ AI ถูกต้องเพราะใช้โมเดลที่มีชื่อเสียง
• ไม่มีผู้รับผิดชอบหรือช่องทางรายงานเมื่อเกิดเหตุการณ์
• ไม่ทบทวนนโยบายหลังจากระบบหรือกฎหมายเปลี่ยนแปลง

บทสรุป

AI Governance ช่วยให้องค์กรใช้ AI ได้อย่างปลอดภัย โปร่งใส และรับผิดชอบ โดยกำหนดกฎด้านข้อมูล เครื่องมือ การตรวจสอบ และบทบาทของมนุษย์อย่างชัดเจน

FAQ คำถามที่พบบ่อยเกี่ยวกับ AI Governance

องค์กรขนาดเล็กจำเป็นต้องมี AI Governance หรือไม่

จำเป็น แม้ไม่ต้องจัดตั้งคณะกรรมการขนาดใหญ่ แต่ควรมีกฎพื้นฐานเกี่ยวกับเครื่องมือที่ใช้ได้ ข้อมูลที่ห้ามป้อน การตรวจสอบคำตอบ และผู้รับผิดชอบเมื่อเกิดปัญหา

พนักงานสามารถใช้ ChatGPT หรือ Generative AI ในการทำงานได้หรือไม่

สามารถใช้ได้เมื่อเป็นเครื่องมือที่องค์กรอนุมัติและไม่ป้อนข้อมูลลับหรือข้อมูลส่วนบุคคล ผลลัพธ์ทั้งหมดต้องผ่านการตรวจสอบโดยผู้ใช้งานก่อนนำไปเผยแพร่หรือตัดสินใจ

ใครควรรับผิดชอบ AI Governance ภายในองค์กร

ควรเป็นความรับผิดชอบร่วมกันระหว่างผู้บริหาร IT, Cybersecurity, Legal, Data Protection และเจ้าของกระบวนการธุรกิจ โดยต้องกำหนดเจ้าของระบบ AI แต่ละระบบอย่างชัดเจน