AI Governance สำหรับ SME: เริ่มจาก 5 เรื่องนี้

วางกติกาการใช้ AI ในบริษัทขนาดเล็กแบบไม่ต้องตั้งคณะกรรมการใหญ่ ด้วย 5 เรื่องที่ทำได้ทันที อ้างอิงกรอบ NIST และแนวทางของ ETDA

บริษัทขนาด 40 คนแห่งหนึ่ง ฝ่ายขายใช้ ChatGPT ร่างใบเสนอราคา ฝ่ายบัญชีลองให้ AI สรุปงบ ส่วนฝ่าย HR เอา Resume ผู้สมัครไปให้ AI ช่วยคัด ทุกคนตั้งใจดีและงานเร็วขึ้นจริง แต่ไม่มีใครรู้ภาพรวมว่าบริษัทใช้ AI ตัวไหนบ้าง ส่งข้อมูลอะไรออกไปบ้าง และถ้าคำตอบของ AI ผิด ใครเป็นคนรับผิดชอบ สถานการณ์แบบนี้คือจุดที่ SME จำนวนมากกำลังยืนอยู่ และเป็นเหตุผลที่เรื่อง AI Governance ไม่ใช่เรื่องของบริษัทใหญ่อย่างเดียวอีกต่อไป

AI Governance คืออะไร

AI Governance คือชุดกติกา บทบาท และกระบวนการที่ทำให้องค์กรใช้ AI ได้อย่างมีประโยชน์ ปลอดภัย และตรวจสอบได้ พูดง่ายๆ คือการตอบให้ได้ว่า ใช้ AI ทำอะไร ใช้ข้อมูลอะไร ใครอนุมัติ ใครตรวจ และถ้าพลาดจะแก้ยังไง

คุณไม่ต้องเริ่มจากศูนย์ เพราะมีกรอบอ้างอิงที่เปิดให้ใช้ฟรีอยู่แล้ว เช่น NIST AI Risk Management Framework (AI RMF 1.0) ของสหรัฐฯ ที่เผยแพร่เมื่อมกราคม 2023 เป็นแนวทางแบบสมัครใจ แบ่งงานเป็น 4 ฟังก์ชัน คือ Govern, Map, Measure และ Manage ส่วนในไทย ETDA ผ่านศูนย์ AI Governance Center (AIGC) ได้ออก AI Governance Guideline for Executive (2023) และกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมร่วมกับ ETDA ได้ออกแนวทางการประยุกต์ใช้ Generative AI อย่างมีธรรมาภิบาลสำหรับองค์กรในปี 2024 ทั้งหมดนี้เป็นแนวทาง ไม่ใช่กฎหมายบังคับ แต่ช่วยให้คุณไม่ต้องคิดเองทุกข้อ

เรื่องที่ 1: ทำบัญชีรายการ AI ที่ใช้อยู่ (AI Inventory)

NIST AI RMF ระบุไว้ในหมวด GOVERN 1.6 ว่าองค์กรควรมีกลไกทำบัญชีรายการระบบ AI ที่ใช้อยู่ สำหรับ SME ทำแค่ตารางเดียวก็พอ

• ชื่อเครื่องมือหรือระบบ AI และใครเป็นคนใช้
• ใช้ทำงานอะไร และผลลัพธ์ไปถึงลูกค้าหรือไม่
• ข้อมูลประเภทไหนถูกส่งเข้าไป
• ใช้บัญชีส่วนตัวหรือบัญชีบริษัท

หลายบริษัทพบว่าพนักงานใช้ AI มากกว่าที่คิด การรู้ความจริงก่อนจึงสำคัญกว่าการรีบออกกฎ

เรื่องที่ 2: แบ่งระดับข้อมูลให้ชัด

กติกาที่ใช้ได้จริงที่สุดคือการบอกพนักงานว่าข้อมูลแบบไหนใส่ AI ได้ แบบไหนห้าม

ตัวอย่างการแบ่ง 3 ระดับ

• ใส่ได้: ข้อมูลสาธารณะ เนื้อหาการตลาดที่เผยแพร่แล้ว
• ใส่ได้เฉพาะเครื่องมือที่บริษัทอนุมัติ: เอกสารภายใน ตัวเลขยอดขาย
• ห้ามใส่: ข้อมูลส่วนบุคคลของลูกค้าและพนักงาน ข้อมูลอ่อนไหว รหัสผ่าน สัญญาที่เป็นความลับ

ข้อมูลส่วนบุคคลต้องคิดเรื่อง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) ประกอบเสมอ อ่านเพิ่มได้ที่ PDPA กับข้อมูลพนักงาน

เรื่องที่ 3: กำหนดเจ้าของและความรับผิดชอบ

AI ไม่ใช่คนรับผิดชอบงาน คนต่างหากที่รับผิดชอบ ทุกการใช้งานควรมีเจ้าของ (Owner) ที่ตอบได้ว่าทำไมใช้ ใช้ยังไง และวัดผลยังไง SME ไม่ต้องตั้งคณะกรรมการใหญ่ แค่มีผู้ประสานงาน AI หนึ่งคน กับผู้บริหารหนึ่งคนที่ตัดสินใจเรื่องที่มีความเสี่ยงสูงก็เพียงพอในช่วงแรก

เรื่องที่ 4: ให้คนตรวจก่อนในงานที่มีผลกระทบ

งานที่ผลลัพธ์ไปถึงลูกค้า มีผลต่อเงิน หรือมีผลต่อคน เช่น การคัดผู้สมัคร ควรมี Human-in-the-loop คือให้คนตรวจและอนุมัติก่อนใช้จริงเสมอ AI ตอบผิดได้อย่างมั่นใจ และบางครั้งมีอคติแฝงอยู่ ดูตัวอย่างฝั่ง HR ได้ใน HR ต้องใช้ AI ยังไงให้ Responsible

เรื่องที่ 5: ทบทวนเป็นรอบและมีช่องทางแจ้งปัญหา

เครื่องมือ AI เปลี่ยนเร็ว กติกาที่เขียนวันนี้อาจล้าสมัยในไม่กี่เดือน ตั้งรอบทบทวนทุกไตรมาส และเปิดช่องทางให้พนักงานแจ้งได้ทันทีเมื่อเจอคำตอบผิดหรือข้อมูลหลุด โดยไม่ถูกตำหนิ เพราะปัญหาที่ถูกซ่อนไว้อันตรายกว่าปัญหาที่ถูกรายงาน

Governance ที่ดีไม่ได้มีไว้ห้ามใช้ AI แต่มีไว้ให้ทุกคนกล้าใช้ AI อย่างมั่นใจ

ข้อควรระวัง

• อย่าเขียนกฎยาวจนไม่มีใครอ่าน เริ่มจาก 1 ถึง 2 หน้าที่ทุกคนเข้าใจ
• การห้ามใช้ AI ทั้งหมดมักทำให้คนแอบใช้ด้วยบัญชีส่วนตัว ซึ่งเสี่ยงกว่าเดิม
• กรอบอย่าง NIST หรือแนวทางของ ETDA เป็นแนวปฏิบัติแบบสมัครใจ ส่วนเรื่องที่เกี่ยวกับกฎหมาย เช่น PDPA ควรปรึกษาผู้เชี่ยวชาญด้านกฎหมาย

เริ่มต้นยังไง

1. สัปดาห์นี้ ส่งแบบสำรวจสั้นๆ ถามทีมว่าใช้ AI ตัวไหน ทำอะไร
2. ทำตาราง AI Inventory จากคำตอบที่ได้
3. เขียนกติกาการใช้ข้อมูล 3 ระดับ และประกาศให้ทุกคนรู้
4. ตั้งผู้ประสานงาน AI และกำหนดงานที่ต้องมีคนตรวจก่อน
5. นัดทบทวนครั้งแรกในอีก 3 เดือน

ถ้าอยากมีคนช่วยประเมินความพร้อมและวางกรอบ Governance แบบเป็นระบบ SCALE มีเวิร์กช็อป AI Readiness Diagnostic และ AI Governance สำหรับองค์กร ดูรายละเอียดได้ที่ scale.co.th ส่วนทีมที่อยากเพิ่มทักษะ AI ให้พร้อมกับกติกาใหม่ เริ่มเรียนได้ที่ Plants.work Learn