AI Governance: How Organizations Can Adopt AI Responsibly

เมื่อ AI กลายเป็นส่วนหนึ่งของธุรกิจ คำถามสำคัญไม่ใช่แค่ “ใช้ AI ได้อย่างไร” แต่คือ “เราจะใช้ AI อย่างรับผิดชอบได้อย่างไร”

ปัจจุบัน AI ไม่ได้เป็นเพียงเทคโนโลยีสำหรับการทดลองอีกต่อไป แต่กำลังกลายเป็นส่วนหนึ่งของกระบวนการทำงานในหลายองค์กร ตั้งแต่การวิเคราะห์ข้อมูล การให้บริการลูกค้า การพัฒนาซอฟต์แวร์ การตรวจสอบเอกสาร ไปจนถึงการสนับสนุนการตัดสินใจทางธุรกิจ

องค์กรจำนวนมากเริ่มนำ Generative AI และ AI-powered applications มาใช้เพื่อเพิ่มประสิทธิภาพ ลดระยะเวลาการทำงาน และสร้างโอกาสทางธุรกิจใหม่ ๆ อย่างไรก็ตาม การนำ AI มาใช้งานโดยไม่มีแนวทางกำกับดูแลที่เหมาะสม อาจก่อให้เกิดความเสี่ยงที่องค์กรไม่เคยเผชิญมาก่อน เช่น การเปิดเผยข้อมูลสำคัญ การสร้างข้อมูลที่ไม่ถูกต้องหรือทำให้เข้าใจผิด การตัดสินใจที่มีอคติ และการละเมิดข้อกำหนดด้านกฎหมายหรือ Compliance

01AI Governance คืออะไร?

AI Governance คือกรอบการกำกับดูแลและบริหารจัดการการใช้งาน AI ภายในองค์กร ครอบคลุมนโยบาย กระบวนการ บทบาทความรับผิดชอบ มาตรการควบคุม และการติดตามประเมินผลตลอดวงจรชีวิตของระบบ AI

เป้าหมายสำคัญคือทำให้มั่นใจว่า AI ที่องค์กรพัฒนา จัดหา หรือใช้งานนั้นมีความเหมาะสม ปลอดภัย โปร่งใส เป็นธรรม และสอดคล้องกับข้อกำหนดที่เกี่ยวข้อง AI Governance ครอบคลุมตั้งแต่การพิจารณาว่ากรณีการใช้งานใดเหมาะสมกับ AI การประเมินความเสี่ยงก่อนนำมาใช้ การควบคุมข้อมูลที่ป้อนเข้าสู่ระบบ การตรวจสอบผลลัพธ์ ไปจนถึงการติดตามประสิทธิภาพและความเสี่ยงหลังจากนำระบบขึ้นใช้งานจริง

กล่าวอีกนัยหนึ่ง AI Governance ช่วยตอบคำถามสำคัญ เช่น

• องค์กรอนุญาตให้ใช้ AI กับข้อมูลประเภทใดได้บ้าง?
• ใครเป็นผู้รับผิดชอบเมื่อ AI สร้างผลลัพธ์ที่ผิดพลาด?
• ผลลัพธ์จาก AI ต้องผ่านการตรวจสอบโดยมนุษย์ในกรณีใด?
• จะป้องกันการรั่วไหลของข้อมูลและการนำข้อมูลไปใช้ผิดวัตถุประสงค์ได้อย่างไร?
• องค์กรจะตรวจสอบได้อย่างไรว่าระบบ AI ทำงานอย่างถูกต้องและเป็นธรรม?

02ทำไมองค์กรจึงต้องให้ความสำคัญกับ AI Governance?

การนำ AI มาใช้มีประโยชน์อย่างมาก แต่ในขณะเดียวกันก็สร้างความเสี่ยงในหลายมิติ ซึ่งอาจส่งผลกระทบต่อทั้งการดำเนินงาน ชื่อเสียง และความน่าเชื่อถือขององค์กร

Data Privacy and Security

พนักงานอาจนำข้อมูลลูกค้า ข้อมูลทางการเงิน Source Code หรือข้อมูลภายในองค์กรไปป้อนให้กับ AI Tools โดยไม่ทราบว่าข้อมูลเหล่านั้นจะถูกจัดเก็บ ประมวลผล หรือนำไปใช้อย่างไร หากไม่มีนโยบายควบคุมที่ชัดเจน องค์กรอาจเผชิญความเสี่ยงด้าน Data Leakage และการละเมิดข้อกำหนดด้านการคุ้มครองข้อมูลส่วนบุคคล

Accuracy and Reliability

AI โดยเฉพาะ Generative AI สามารถสร้างคำตอบที่ดูน่าเชื่อถือ แต่มีข้อมูลที่ไม่ถูกต้อง หรือที่มักเรียกว่า AI Hallucination หากองค์กรนำผลลัพธ์ดังกล่าวไปใช้ในการตัดสินใจโดยไม่มีการตรวจสอบ อาจส่งผลกระทบต่อการดำเนินธุรกิจและลูกค้าได้

Bias and Fairness

ข้อมูลที่ใช้ฝึกหรือประมวลผลโดย AI อาจมีอคติแฝงอยู่ ส่งผลให้ AI สร้างผลลัพธ์ที่ไม่เป็นธรรมต่อบุคคลหรือกลุ่มใดกลุ่มหนึ่ง ตัวอย่างเช่น ระบบ AI สำหรับคัดกรองผู้สมัครงาน หรือระบบประเมินความเสี่ยงทางการเงิน หากไม่ได้รับการตรวจสอบอย่างเหมาะสม อาจสร้างผลลัพธ์ที่มีอคติได้

Regulatory and Compliance Risks

องค์กรจำเป็นต้องพิจารณาข้อกำหนดทางกฎหมายและมาตรฐานที่เกี่ยวข้องกับ AI รวมถึงกฎหมายคุ้มครองข้อมูลส่วนบุคคลและข้อกำหนดเฉพาะของแต่ละอุตสาหกรรม การขาดกระบวนการกำกับดูแลอาจทำให้องค์กรไม่สามารถแสดงหลักฐานได้ว่ามีการบริหารความเสี่ยงและควบคุมการใช้งาน AI อย่างเหมาะสม

Accountability and Trust

เมื่อ AI เข้ามามีส่วนร่วมในการตัดสินใจ องค์กรต้องสามารถระบุได้ว่าใครเป็นเจ้าของระบบ ใครอนุมัติการใช้งาน และใครรับผิดชอบเมื่อเกิดปัญหา การกำหนดความรับผิดชอบที่ชัดเจนเป็นพื้นฐานสำคัญในการสร้างความเชื่อมั่นให้กับลูกค้า พนักงาน และผู้มีส่วนเกี่ยวข้อง

03องค์ประกอบสำคัญของ AI Governance

การสร้าง AI Governance ที่มีประสิทธิภาพควรครอบคลุมองค์ประกอบหลักดังต่อไปนี้

AI Policies and Acceptable Use

องค์กรควรกำหนดนโยบายการใช้งาน AI ที่ชัดเจน เพื่อให้พนักงานเข้าใจว่าอะไรสามารถทำได้ อะไรไม่ควรทำ และต้องปฏิบัติตามเงื่อนไขใด ตัวอย่างนโยบาย ได้แก่

• กำหนดประเภท AI Tools ที่องค์กรอนุญาตให้ใช้งาน
• ระบุประเภทข้อมูลที่ห้ามนำเข้าสู่ AI Tools ภายนอก
• กำหนดแนวทางการใช้ AI ในการสร้างเอกสาร Code และข้อมูลทางธุรกิจ
• กำหนดให้มีการตรวจสอบผลลัพธ์จาก AI ก่อนนำไปใช้งานจริง
• ระบุกรณีที่ต้องแจ้งให้ลูกค้าหรือผู้เกี่ยวข้องทราบว่ามีการใช้ AI

นโยบายควรเข้าใจง่ายและสามารถนำไปปฏิบัติได้จริง ไม่ใช่เป็นเพียงเอกสารที่จัดทำขึ้นเพื่อให้ครบตามข้อกำหนด

Risk Management and Classification

ไม่ใช่ทุก Use Case ของ AI จะมีระดับความเสี่ยงเท่ากัน องค์กรจึงควรจำแนกระบบ AI ตามระดับความเสี่ยงและผลกระทบที่อาจเกิดขึ้น ตัวอย่างเช่น

การจำแนกความเสี่ยงจะช่วยให้องค์กรกำหนดระดับการควบคุม การตรวจสอบ และการอนุมัติได้เหมาะสมกับลักษณะการใช้งาน

Data Governance and Privacy

คุณภาพและความปลอดภัยของข้อมูลเป็นปัจจัยสำคัญต่อความน่าเชื่อถือของ AI องค์กรควรมีแนวทางบริหารจัดการข้อมูลที่ชัดเจน เช่น

• Data Classification และ Data Access Control
• Data Quality Management
• Data Retention and Data Usage Policy
• Data Privacy and Protection
• การควบคุมข้อมูลที่ส่งไปยัง AI Services ภายนอก

โดยเฉพาะองค์กรที่ใช้ AI ในการประมวลผลข้อมูลลูกค้าหรือข้อมูลสำคัญ ควรพิจารณาทั้งข้อกำหนดด้านความปลอดภัยและกฎหมายคุ้มครองข้อมูลที่เกี่ยวข้อง

Transparency and Explainability

องค์กรควรสามารถอธิบายได้ว่าระบบ AI ถูกนำมาใช้เพื่อวัตถุประสงค์ใด ใช้ข้อมูลประเภทใด และมีข้อจำกัดอย่างไร ในกรณีที่ AI มีส่วนช่วยในการตัดสินใจที่สำคัญ ควรมีแนวทางให้ผู้เกี่ยวข้องสามารถตรวจสอบเหตุผลหรือปัจจัยที่ส่งผลต่อผลลัพธ์ได้ตามความเหมาะสม

ความโปร่งใสไม่ได้หมายความว่าทุกระบบต้องเปิดเผยรายละเอียดทางเทคนิคทั้งหมด แต่ต้องมีข้อมูลเพียงพอให้สามารถตรวจสอบและรับผิดชอบต่อการใช้งานได้

Human Oversight and Accountability

AI ควรทำหน้าที่เป็นเครื่องมือสนับสนุนการทำงาน ไม่ใช่สิ่งที่องค์กรต้องยอมรับผลลัพธ์โดยไม่มีการตรวจสอบ องค์กรควรกำหนด Human-in-the-Loop สำหรับกรณีที่มีความเสี่ยงสูง เช่น การอนุมัติธุรกรรม การประเมินความเสี่ยง หรือการตัดสินใจที่ส่งผลกระทบต่อบุคคล

นอกจากนี้ควรกำหนดบทบาทและความรับผิดชอบของ Business Owner, AI System Owner, IT, Security, Legal, Compliance และผู้ใช้งานให้ชัดเจน

Continuous Monitoring and Improvement

AI Governance ไม่ใช่กระบวนการที่ทำครั้งเดียวแล้วจบ เพราะระบบ AI ข้อมูล และรูปแบบการใช้งานสามารถเปลี่ยนแปลงได้ตลอดเวลา องค์กรควรติดตามผลการทำงานของ AI อย่างต่อเนื่อง เช่น

• ความถูกต้องและคุณภาพของผลลัพธ์
• ความผิดปกติหรือความเสี่ยงที่เกิดขึ้น
• การเปลี่ยนแปลงของข้อมูลและพฤติกรรมของระบบ
• การเข้าถึงและการใช้งาน AI ตามนโยบาย
• Incident และข้อร้องเรียนที่เกี่ยวข้องกับ AI

04Framework และมาตรฐานที่องค์กรควรรู้จัก

องค์กรไม่จำเป็นต้องเริ่มต้น AI Governance จากศูนย์ เพราะมี Framework และมาตรฐานที่สามารถนำมาใช้เป็นแนวทางได้

NIST AI Risk Management Framework (AI RMF)

จัดทำโดย National Institute of Standards and Technology (NIST) เพื่อช่วยองค์กรบริหารความเสี่ยงจาก AI โดยมี 4 ฟังก์ชันหลัก ได้แก่ Govern, Map, Measure และ Manage เหมาะสำหรับองค์กรที่ต้องการสร้างกระบวนการบริหารความเสี่ยง AI อย่างเป็นระบบ

ISO/IEC 42001:2023 — Artificial Intelligence Management System

เป็นมาตรฐานระบบบริหารจัดการ AI ที่ช่วยให้องค์กรกำหนดนโยบาย กระบวนการ และการควบคุมที่เกี่ยวข้องกับการพัฒนาและใช้งาน AI อย่างมีความรับผิดชอบ สามารถใช้เป็นแนวทางในการจัดตั้งและปรับปรุงระบบบริหารจัดการ AI ภายในองค์กร

EU AI Act

กฎหมายของสหภาพยุโรปที่กำหนดข้อกำหนดสำหรับ AI ตามระดับความเสี่ยง โดยมีข้อกำหนดและช่วงเวลาการบังคับใช้แตกต่างกันตามประเภทของระบบและบทบัญญัติที่เกี่ยวข้อง องค์กรที่ให้บริการหรือใช้ AI ซึ่งเกี่ยวข้องกับตลาดสหภาพยุโรปควรประเมินขอบเขตการบังคับใช้และเตรียมความพร้อมด้าน Compliance

05How to Build an Effective AI Governance Strategy

การเริ่มต้น AI Governance ไม่จำเป็นต้องเป็นโครงการขนาดใหญ่ตั้งแต่วันแรก องค์กรสามารถเริ่มจากการสร้างพื้นฐานและขยายขอบเขตตามระดับความพร้อมได้

1. Assess Current AI Adoption — สำรวจว่าองค์กรมีการใช้ AI อยู่ในกระบวนการใดบ้าง ทั้งการใช้งานอย่างเป็นทางการและการใช้งานโดยพนักงานเอง (Shadow AI) ควรระบุ AI Tools, Business Use Cases, ประเภทข้อมูล และหน่วยงานที่เกี่ยวข้อง เพื่อให้เห็นภาพรวมของการใช้งานและความเสี่ยงที่มีอยู่
2. Establish AI Governance Policy — กำหนดนโยบายและแนวทางการใช้งาน AI ที่สอดคล้องกับเป้าหมายธุรกิจ รวมถึงข้อกำหนดด้าน Security, Privacy และ Compliance ควรสื่อสารให้พนักงานเข้าใจและสามารถนำไปปฏิบัติได้จริง
3. Define Roles and Responsibilities — กำหนดผู้รับผิดชอบในแต่ละส่วน เช่น AI Governance Committee, Business Owner, IT, Security, Legal และ Compliance การกำหนด Ownership ที่ชัดเจนช่วยให้การอนุมัติ การติดตาม และการจัดการ Incident มีประสิทธิภาพมากขึ้น
4. Implement Risk Assessment and Controls — ประเมินความเสี่ยงของแต่ละ AI Use Case และกำหนดมาตรการควบคุมตามระดับความเสี่ยง เช่น การจำกัดสิทธิ์เข้าถึงข้อมูล การตรวจสอบผลลัพธ์ การอนุมัติโดยมนุษย์ และการจัดเก็บ Audit Logs
5. Monitor, Audit and Improve — ติดตามผลการใช้งาน ตรวจสอบประสิทธิภาพ และทบทวนความเสี่ยงอย่างสม่ำเสมอ พร้อมปรับปรุงนโยบายและมาตรการควบคุมให้สอดคล้องกับเทคโนโลยีและข้อกำหนดที่เปลี่ยนแปลงไป
6. Build AI Awareness and Literacy — ส่งเสริมให้พนักงานเข้าใจทั้งประโยชน์ ข้อจำกัด และความเสี่ยงของ AI ผ่านการอบรมและแนวทางการใช้งานจริง เพราะ AI Governance จะเกิดผลได้ก็ต่อเมื่อบุคลากรทุกระดับเข้าใจและมีส่วนร่วมในการใช้งานอย่างรับผิดชอบ

06Measuring AI Governance Effectiveness

การกำกับดูแล AI ไม่ควรวัดผลจากการมีนโยบายหรือเอกสารครบถ้วนเท่านั้น แต่ควรวัดจากความสามารถในการควบคุมความเสี่ยงและสนับสนุนการใช้งาน AI อย่างมีประสิทธิภาพด้วย ตัวอย่าง KPI ที่องค์กรสามารถนำไปปรับใช้ ได้แก่

07Common Challenges in AI Governance

แม้องค์กรจะเห็นความสำคัญของ AI Governance แต่การนำไปใช้จริงยังมีความท้าทายหลายด้าน

• Governance Without Business Alignment — หากนโยบายมีความเข้มงวดมากเกินไปหรือไม่สอดคล้องกับกระบวนการทำงาน อาจทำให้พนักงานหลีกเลี่ยงการปฏิบัติตาม
• Lack of AI Visibility — องค์กรอาจไม่ทราบว่าพนักงานใช้ AI Tools ใดบ้าง หรือมีการนำข้อมูลประเภทใดไปประมวลผล ทำให้ไม่สามารถประเมินความเสี่ยงได้ครบถ้วน
• Unclear Ownership — หากไม่มีผู้รับผิดชอบที่ชัดเจน การอนุมัติและการจัดการปัญหาอาจล่าช้าหรือไม่มีผู้รับผิดชอบโดยตรง
• Rapidly Evolving Technology — เทคโนโลยี AI เปลี่ยนแปลงอย่างรวดเร็ว นโยบายและมาตรการควบคุมจึงต้องได้รับการทบทวนอย่างต่อเนื่อง
• Limited AI Literacy — พนักงานอาจเข้าใจความสามารถของ AI มากเกินจริง หรือไม่ตระหนักถึงข้อจำกัดและความเสี่ยงในการใช้งาน

08MCT Perspective: Enabling Responsible AI Adoption Through Technology and Governance

สำหรับองค์กรที่ต้องการนำ AI มาใช้ในระดับองค์กร การมี AI Tools ที่มีประสิทธิภาพเพียงอย่างเดียวอาจไม่เพียงพอ แต่จำเป็นต้องมีโครงสร้างพื้นฐาน กระบวนการควบคุม และการติดตามผลที่เหมาะสมควบคู่กันไป

Marco Technology Company Limited (MCT) มุ่งสนับสนุนองค์กรในการพัฒนาความพร้อมด้าน Technology, Quality และ IT Operations ซึ่งเป็นส่วนสำคัญในการสร้างสภาพแวดล้อมที่เอื้อต่อการนำ AI มาใช้อย่างมีความรับผิดชอบ แนวทางการสนับสนุนสามารถครอบคลุมได้หลายด้าน เช่น

ทั้งนี้ AI Governance เป็นเรื่องที่ต้องอาศัยความร่วมมือจากหลายฝ่าย ทั้ง Business, IT, Security, Legal, Compliance และผู้เชี่ยวชาญด้าน AI โดย MCT สามารถสนับสนุนในมิติด้านเทคโนโลยี คุณภาพระบบ และกระบวนการปฏิบัติงาน เพื่อช่วยให้องค์กรเดินหน้า Digital Transformation ได้อย่างมั่นใจมากขึ้น

09สรุป

AI กำลังเปลี่ยนแปลงวิธีการทำงานและการแข่งขันขององค์กร แต่การนำ AI มาใช้ให้เกิดประโยชน์สูงสุดไม่ได้ขึ้นอยู่กับความสามารถของเทคโนโลยีเพียงอย่างเดียว

องค์กรจำเป็นต้องมี AI Governance ที่ช่วยกำหนดทิศทาง ควบคุมความเสี่ยง สร้างความโปร่งใส และกำหนดความรับผิดชอบที่ชัดเจนตลอดวงจรชีวิตของ AI องค์กรที่สามารถสร้างสมดุลระหว่าง Innovation, Security, Compliance และ Accountability จะมีพื้นฐานที่แข็งแกร่งในการขยายการใช้งาน AI และสร้างความเชื่อมั่นให้กับผู้มีส่วนเกี่ยวข้องในระยะยาว

10References

• NIST – Artificial Intelligence Risk Management Framework (AI RMF): nist.gov/itl/ai-risk-management-framework
• NIST – AI Risk Management Framework Playbook: airc.nist.gov/AI_RMF_Knowledge_Base/Playbook
• ISO – ISO/IEC 42001:2023 Artificial Intelligence Management System: iso.org/standard/81230.html
• European Commission – AI Act: digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
• OECD – AI Principles: oecd.ai/en/ai-principles

อ่านเพิ่มเติม

• Software Testing & IT Solutions โดย MCT
• ความปลอดภัยของข้อมูลกับ GenAI: เรากำลังป้อนความลับบริษัทให้ AI เรียนรู้ฟรีๆ หรือไม่?
• ถ้าเอา AI มาแทนที่ Junior Dev ทั้งหมด… อีก 5 ปีข้างหน้าเราจะไปหา Senior มาจากไหน?