AI Governance คืออะไร? เข้าใจกรอบ NIST, ISO/IEC 42001, EU AI Act และแนวปฏิบัติของ ETDA สำหรับทีมพัฒนา

ลองนึกภาพบริษัทแห่งหนึ่งที่ทีมการตลาดใช้ AI ช่วยเขียนแคมเปญ ทีมพัฒนาใช้ผู้ช่วยเขียนโค้ด ฝ่ายบริการลูกค้าเพิ่งเปิดแชตบอตตอบลูกค้า และมีคนในฝ่ายบัญชีลองอัปโหลดไฟล์ลูกค้าเข้า AI ฟรีตัวหนึ่งเพื่อสรุปรายงาน ทุกคนมีเหตุผลดีหมด แต่ถ้าวันหนึ่งผู้บริหารถามว่า ตอนนี้บริษัทเราใช้ AI อะไรอยู่บ้าง ข้อมูลอะไรถูกส่งออกไปแล้ว และใครรับผิดชอบถ้าคำตอบของ AI ผิด หลายองค์กรจะตอบไม่ได้ในทันที

คำถามชุดนี้คือโจทย์ของสิ่งที่เรียกว่า AI Governance ครับ วันนี้ Superdev Academy จะพาไปดูว่ามันคืออะไร กรอบหลักที่มีเอกสารอ้างอิงจริงมีอะไรบ้าง ได้แก่ NIST AI RMF, ISO/IEC 42001, EU AI Act และแนวปฏิบัติของ ETDA ในประเทศไทย และทีมพัฒนาซอฟต์แวร์ธรรมดาๆ ลงมือทำอะไรได้บ้างตั้งแต่สัปดาห์นี้ โดยบทความนี้เป็นความรู้ทั่วไปเพื่อการศึกษา ไม่ใช่คำปรึกษาด้านกฎหมาย คำถามที่เกี่ยวกับข้อบังคับจริงควรถามผู้เชี่ยวชาญด้านกฎหมายหรือหน่วยงานที่เกี่ยวข้องโดยตรง

AI Governance คืออะไร?

พูดง่ายๆ AI Governance (ธรรมาภิบาลปัญญาประดิษฐ์) คือชุดของนโยบาย บทบาทหน้าที่ และกระบวนการที่องค์กรกำหนดขึ้น เพื่อให้การใช้และการสร้างระบบ AI เป็นไปอย่างมีความรับผิดชอบ ตรวจสอบย้อนหลังได้ และอยู่ในระดับความเสี่ยงที่องค์กรรับไหว มันไม่ใช่ซอฟต์แวร์ตัวใดตัวหนึ่ง และไม่ใช่เอกสารที่เขียนครั้งเดียวแล้วเก็บเข้าลิ้นชัก แต่เป็นงานต่อเนื่องที่ผูกกับวิธีทำงานจริง

เปรียบเทียบให้เห็นภาพ เหมือนห้องครัวของร้านอาหารที่มีกติกาเรื่องความสะอาด ใครรับผิดชอบสต็อกวัตถุดิบ และมีสมุดบันทึกอุณหภูมิตู้เย็น ไม่ได้ทำเพราะไม่ไว้ใจพ่อครัว แต่เพราะเมื่อมีอะไรผิดพลาด เราต้องรู้ว่าพลาดตรงไหนและแก้ได้ AI Governance ก็ทำหน้าที่เดียวกันกับระบบ AI ขององค์กร

Fun Fact: กรอบสำคัญหลายฉบับที่เราจะพูดถึงไม่ได้บังคับทุกองค์กร เช่น NIST AI RMF ระบุในหน้าทางการว่าตั้งใจให้ใช้โดยสมัครใจ ส่วนกรอบที่มีผลทางกฎหมายอย่าง EU AI Act จะบังคับตามที่ตั้งและลักษณะการให้บริการของระบบ AI

กรอบที่ 1: NIST AI RMF

NIST (สถาบันมาตรฐานและเทคโนโลยีแห่งชาติของสหรัฐฯ) เผยแพร่ AI Risk Management Framework หรือ AI RMF 1.0 เมื่อวันที่ 26 มกราคม 2023 เพื่อช่วยจัดการความเสี่ยงที่ AI ก่อให้เกิดกับบุคคล องค์กร และสังคม หน้าทางการระบุว่าตั้งใจให้ใช้โดยสมัครใจ และระบุว่ากำลังถูกปรับปรุงภายใต้ White House AI Action Plan จึงควรตรวจเวอร์ชันล่าสุดจากเว็บไซต์ NIST ก่อนอ้างอิงในงานจริง

แกนกลางของกรอบนี้คือสี่ส่วนที่หน้าทางการตั้งชื่อไว้ ได้แก่ Govern, Map, Measure และ Manage ทีมเราขอตีความแบบสั้นๆ เพื่อให้ใช้งานง่าย (เป็นการตีความของทีม ไม่ใช่ข้อความจากเอกสาร) Govern คือการวางนโยบาย บทบาท และวัฒนธรรมความรับผิดชอบ Map คือการทำความเข้าใจบริบทว่าระบบ AI นี้ใช้ทำอะไร กับใคร และอาจเกิดอะไรขึ้นได้ Measure คือการทดสอบและวัดผลความเสี่ยงที่ระบุไว้ และ Manage คือการตัดสินใจจัดการ ลดผลกระทบ และติดตามต่อเนื่อง

NIST ยังออกเอกสารเสริมชื่อ Generative AI Profile (NIST-AI-600-1) เมื่อวันที่ 26 กรกฎาคม 2024 สำหรับความเสี่ยงที่เฉพาะกับ generative AI ซึ่งเป็นจุดที่ทีมพัฒนาที่ใช้ LLM ควรเปิดอ่านต่อ

กรอบที่ 2: ISO/IEC 42001

ISO/IEC 42001:2023 เป็นมาตรฐานระบบบริหารจัดการ AI (AI management system) ฉบับแรกที่เป็นมาตรฐานสากลและให้ตรวจรับรองได้ จากข้อมูลของแหล่งรวมมาตรฐานที่เราตรวจ ระบุวันเผยแพร่ 18 ธันวาคม 2023 และระบุว่าครอบคลุมข้อกำหนดและแนวทางสำหรับการจัดตั้ง นำไปใช้ บำรุงรักษา และปรับปรุงระบบบริหารจัดการ AI อย่างต่อเนื่องภายในองค์กร ใช้ได้กับองค์กรทุกขนาดที่ให้บริการหรือใช้ผลิตภัณฑ์ที่มี AI เป็นส่วนประกอบ

หมายเหตุเรื่องแหล่งข้อมูล หน้าอย่างเป็นทางการของ ISO เข้าถึงไม่ได้ตอนที่เราค้นคว้า (ตอบกลับเป็น 403) รายละเอียดข้างบนจึงมาจากหน้าสรุปมาตรฐานของหน่วยงานมาตรฐานระดับประเทศที่นำมาตรฐานนี้ไปเผยแพร่ ส่วนเนื้อหารายข้อของมาตรฐานเราไม่ได้อ่านเอง และเอกสารฉบับเต็มต้องซื้อ ถ้าองค์กรสนใจขอรับรอง ควรอ่านจากฉบับเต็มของ ISO หรือหน่วยงานมาตรฐานในประเทศโดยตรง

ความต่างที่เข้าใจง่ายที่สุดระหว่างสองกรอบนี้ คือ NIST AI RMF เป็นกรอบแนวทางให้เราเลือกนำไปปรับใช้ ส่วน ISO/IEC 42001 เป็นมาตรฐานระบบบริหารจัดการที่องค์กรสามารถขอรับการตรวจประเมินจากหน่วยงานภายนอกได้

กรอบที่ 3: EU AI Act

EU AI Act เป็นกฎหมายของสหภาพยุโรป ซึ่งต่างจากสองกรอบข้างบนที่ไม่มีผลบังคับตามกฎหมายโดยตรง จากหน้าอย่างเป็นทางการของคณะกรรมาธิการยุโรป กฎหมายนี้แบ่งความเสี่ยงของระบบ AI เป็นสี่ระดับ คือ unacceptable risk ซึ่งเป็นการปฏิบัติที่ถูกห้าม, high risk ที่มีข้อผูกพันเข้มงวดก่อนวางตลาด, transparency risk ที่มีหน้าที่เปิดเผยข้อมูล (ภาพบนหน้าเว็บเรียกว่า limited risk) และ minimal or no risk ที่ไม่มีกฎเฉพาะ

กำหนดเวลาตามหน้าเดียวกัน กฎหมายมีผลบังคับใช้ (entry into force) เมื่อ 1 สิงหาคม 2024 ส่วนข้อห้ามและข้อกำหนดเรื่อง AI literacy เริ่มใช้เมื่อ 2 กุมภาพันธ์ 2025 กฎการกำกับดูแลและข้อผูกพันของโมเดล AI วัตถุประสงค์ทั่วไป (GPAI) เริ่มใช้เมื่อ 2 สิงหาคม 2025 และตัวกฎหมายโดยรวมเริ่มใช้ได้ทั่วไป ยกเว้นบางส่วน ในวันที่ 2 สิงหาคม 2026 ส่วนกฎของ high-risk นั้นหน้านี้ระบุว่า AI Omnibus เลื่อนกำหนดออกไป กรณีใช้งานใน Annex III เป็น 2 ธันวาคม 2027 และ AI ที่ฝังในผลิตภัณฑ์ที่ถูกกำกับใน Annex I เป็น 2 สิงหาคม 2028 โดย Omnibus มีผลบังคับใช้เมื่อ 27 กรกฎาคม 2026

ข้อจำกัดของเรา เรายกเฉพาะลำดับเวลาและโครงสร้างระดับความเสี่ยงที่อ่านได้จากหน้าทางการ ส่วนรายละเอียดของข้อผูกพันรายข้อ ใครอยู่ในขอบเขต และโทษปรับ เราไม่ได้อ่านจากตัวบทกฎหมายโดยตรง จึงไม่ขอให้ตัวเลขหรือสรุปใดๆ ทีมที่อาจเข้าข่ายควรปรึกษาผู้เชี่ยวชาญด้านกฎหมายและอ่านตัวบทฉบับทางการ

แล้วในไทยมีอะไร?

ในไทย หน่วยงานที่ผลักดันเรื่องนี้คือ ETDA (สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์) จากฐานข้อมูล OECD.AI Policy Navigator ระบุว่า AI Governance Guideline for Executives หรือแนวปฏิบัติธรรมาภิบาล AI สำหรับผู้บริหาร เผยแพร่ในปี 2023 เป็นแนวปฏิบัติแบบ non-binding ที่องค์กรทำตามโดยสมัครใจ และเป็นคู่กับแนวปฏิบัติด้านจริยธรรม AI ของไทยที่ได้รับความเห็นชอบครั้งแรกในปี 2021

ตามรายงานจากแหล่งข่าวที่เราค้นพบ ETDA และกระทรวงดิจิทัลฯ ยังออกแนวปฏิบัติเฉพาะสำหรับ generative AI สำหรับองค์กร เมื่อวันที่ 30 ตุลาคม 2024 ซึ่งข้อมูลนี้มาจากฐานข้อมูลติดตามนโยบายดิจิทัลซึ่งเป็นแหล่งทุติยภูมิ เราไม่ได้เปิดอ่านตัวเอกสารต้นฉบับ และแหล่งข่าวที่เราพบเล่าสถานะการเสนอเข้า ครม. ไม่ตรงกัน จึงขอไม่สรุปสถานะ ให้ตรวจที่เว็บไซต์ ETDA โดยตรงเสมอ

ทีมพัฒนาเริ่มทำอะไรได้ตั้งแต่สัปดาห์นี้?

ไม่ต้องรอให้มีนโยบายระดับบริษัทก่อนจึงจะเริ่มได้ เช็กลิสต์ต่อไปนี้เป็นข้อเสนอของทีมเรา ที่ผูกกับสี่ส่วนของ NIST AI RMF แบบหลวมๆ ไม่ได้มาจากข้อความของเอกสารใดโดยตรง

• ทำทะเบียนว่าใช้ AI อะไรอยู่ (Govern และ Map): ระบุชื่อเครื่องมือ ใครเป็นเจ้าของ ใช้กับงานอะไร และข้อมูลประเภทไหนถูกส่งเข้าไป รวมถึงเครื่องมือที่พนักงานใช้เองโดยไม่ผ่านฝ่ายไอที

• แยกระดับความเสี่ยงของแต่ละการใช้งาน (Map): ผู้ช่วยร่างอีเมลภายในกับระบบที่ช่วยตัดสินใจเรื่องที่กระทบลูกค้าไม่ควรได้รับการควบคุมระดับเดียวกัน

• กำหนดจุดที่มนุษย์ต้องตรวจก่อนใช้ผลลัพธ์ (Manage): เช่น โค้ดที่ AI เขียนต้องผ่าน code review, คำตอบที่ส่งถึงลูกค้าต้องมีคนอนุมัติในกรณีที่เสี่ยง

• ตั้งชุดทดสอบและวัดผล (Measure): ถ้าเราสร้างฟีเจอร์ที่เรียก LLM ให้เก็บชุดคำถามตัวอย่างและเกณฑ์ผ่านไว้ใน repository แล้วรันซ้ำเมื่อเปลี่ยนโมเดลหรือ prompt

• เก็บ log ที่ตรวจสอบย้อนหลังได้ (Manage): บันทึกว่าโมเดลเวอร์ชันไหน รับ input อะไร ให้ผลอะไร โดยระวังไม่เก็บข้อมูลส่วนบุคคลเกินจำเป็น

• เขียนขั้นตอนเมื่อเกิดเหตุ (Manage): ใครมีอำนาจปิดฟีเจอร์ AI ชั่วคราว ใครแจ้งผู้ที่ได้รับผลกระทบ และแก้ไขแล้วบันทึกบทเรียนอย่างไร

ถ้าคุณกำลังสร้าง AI Agent ที่เรียกใช้เครื่องมือได้เอง เรื่อง guardrail เป็นจุดที่ควรให้ความสำคัญเป็นพิเศษ ทีมเรามีบทความที่เกี่ยวข้อง เช่นการสร้างรันไทม์ของ AI Agent ให้ปลอดภัยด้วย sandbox และClaude Skills กับ Promptซึ่งอธิบายว่าทำไมงานที่มีผลกระทบสูงยังควรมี permission และการตรวจโดยมนุษย์ ส่วนพื้นฐานฝั่งโค้ดSecure Coding สำหรับมือใหม่ก็ยังเป็นรากฐานที่ไม่ควรข้าม และถ้าอยากเห็นภาพการทำงานของ agent ในโค้ดจริง ลองดูAI Agent กับ ReAct Pattern ด้วย Go

ข้อควรระวัง: Governance ไม่ใช่ใบรับรองว่า AI จะไม่ผิด

มีความเข้าใจผิดสองอย่างที่พบบ่อย อย่างแรกคือคิดว่าถ้าทำตามกรอบแล้วระบบจะไม่ผิดพลาด ซึ่งไม่จริงเลย กรอบเหล่านี้ช่วยให้เรามองเห็นความเสี่ยง มีเจ้าของรับผิดชอบ และตอบสนองได้เมื่อเกิดเหตุ แต่ไม่ได้ทำให้โมเดลไม่ผิดพลาด อย่างที่สองคือคิดว่ามันเป็นงานของฝ่ายกฎหมายหรือฝ่ายบริหารเท่านั้น ในความเป็นจริงการตัดสินใจเรื่อง log, การทดสอบ, สิทธิ์ของ agent และการเลือกโมเดลเกิดในทีมพัฒนาทุกวัน ธรรมาภิบาลที่ไม่ลงมาถึงโค้ดจึงเป็นแค่เอกสาร

สรุป: เริ่มจากรู้ก่อนว่าเราใช้ AI อะไรอยู่

AI Governance คือชุดนโยบาย บทบาท และกระบวนการที่ทำให้การใช้ AI ขององค์กรมีความรับผิดชอบและตรวจสอบได้ NIST AI RMF ให้กรอบแนวคิดสี่ส่วนคือ Govern, Map, Measure และ Manage ที่ใช้โดยสมัครใจ ISO/IEC 42001 เป็นมาตรฐานระบบบริหารจัดการที่ขอรับรองได้ EU AI Act เป็นกฎหมายที่แบ่งระดับความเสี่ยงของระบบ AI และมีกำหนดการบังคับใช้เป็นระยะ ส่วน ETDA ของไทยมีแนวปฏิบัติแบบสมัครใจสำหรับผู้บริหารและสำหรับ generative AI

ถ้าอ่านจบแล้วยังไม่รู้จะเริ่มตรงไหน ให้เริ่มจากข้อเดียว คือเปิดไฟล์ใหม่ขึ้นมาแล้วลิสต์ว่าทีมคุณใช้เครื่องมือ AI อะไรอยู่ ใครเป็นเจ้าของ และข้อมูลอะไรถูกส่งเข้าไป ภายในครึ่งชั่วโมงคุณมักเจอสิ่งที่ไม่คาดคิดอย่างน้อยหนึ่งอย่าง และนั่นแหละคือจุดเริ่มต้นของ Governance ที่เป็นของจริงครับ

🎯 ติดตามความรู้สาย Dev ได้ที่ Superdev Academy:

• 🔵 Facebook: Superdev Academy Thailand

• 🎬 YouTube: Superdev Academy Channel

• 📸 Instagram: @superdevacademy

• 🎬 TikTok: @superdevacademy