นโยบายการใช้ AI ของบริษัท: หัวข้อที่ควรมี
โครงนโยบายการใช้ AI สำหรับบริษัท 10 หัวข้อที่ควรมี ตั้งแต่ขอบเขต เครื่องมือที่อนุมัติ กติกาข้อมูล ไปจนถึงการแจ้งเหตุและรอบทบทวน พร้อมตัวอย่างข้อความ
พนักงานใหม่ถามในวันปฐมนิเทศว่า "ที่นี่ใช้ ChatGPT ทำงานได้ไหมครับ" ฝ่าย HR ตอบว่าได้ หัวหน้าฝ่าย IT ตอบว่ายังไม่แน่ใจ ส่วนหัวหน้าทีมบอกว่าใช้ได้แต่อย่าเอาข้อมูลลูกค้าใส่ คำตอบสามแบบจากสามคนแสดงให้เห็นว่าบริษัทยังไม่มีนโยบายการใช้ AI ที่เป็นลายลักษณ์อักษร ซึ่งทำให้ทั้งพนักงานและบริษัทเสี่ยงโดยไม่จำเป็น นโยบายที่ดีไม่จำเป็นต้องยาว แต่ต้องตอบคำถามที่คนสงสัยจริงได้ชัดเจน
นโยบายการใช้ AI คืออะไร
นโยบายการใช้ AI (AI Use Policy) คือเอกสารที่บอกพนักงานว่าใช้ AI ในงานได้อย่างไร ใช้เครื่องมือไหน ข้อมูลอะไรห้ามใส่ ใครรับผิดชอบ และถ้าเกิดปัญหาต้องทำอะไร เป็นส่วนหนึ่งของ AI Governance ในภาพใหญ่ ซึ่งอ่านเพิ่มได้ที่ AI Governance สำหรับ SME
สำหรับองค์กรที่อยากอ้างอิงมาตรฐาน มี ISO/IEC 42001:2023 ซึ่ง ISO ระบุว่าเป็นมาตรฐานระบบการจัดการ AI (AI Management System) ที่ใช้ได้กับองค์กรทุกขนาดที่พัฒนา ให้บริการ หรือใช้ AI และในไทยมีแนวทางของ ETDA เป็นเอกสารอ้างอิงภาษาไทยที่ดี
10 หัวข้อที่นโยบายควรมี
1. วัตถุประสงค์และขอบเขต
นโยบายนี้ใช้กับใคร (พนักงาน ผู้รับจ้าง พาร์ตเนอร์) และครอบคลุม AI แบบไหน ทั้งแชตบอต เครื่องมือในโปรแกรมสำนักงาน และระบบที่บริษัทพัฒนาเอง
2. เครื่องมือที่อนุมัติ
รายชื่อเครื่องมือที่ใช้ได้ บัญชีแบบไหน และขั้นตอนขออนุมัติเครื่องมือใหม่
3. กติกาการใช้ข้อมูล
แบ่งระดับข้อมูลว่าอะไรใส่ได้ อะไรห้าม โดยเฉพาะข้อมูลส่วนบุคคลและข้อมูลอ่อนไหวตาม PDPA อ่านเพิ่มที่ PDPA กับการใช้ AI
4. การใช้ที่ทำได้และห้ามทำ
ตัวอย่างข้อความ: "พนักงานสามารถใช้ AI ช่วยร่าง สรุป และค้นคว้า แต่ห้ามใช้ AI ตัดสินใจเรื่องการจ้างงาน การให้สินเชื่อ หรือเรื่องที่กระทบสิทธิของบุคคลโดยไม่มีคนตรวจสอบ"
5. การตรวจสอบโดยคนและความรับผิดชอบ
ผู้ใช้ AI รับผิดชอบผลงานที่ส่งออกไปเสมอ งานที่ไปถึงลูกค้าหรือมีผลทางกฎหมายต้องผ่านการตรวจของคน
6. ความโปร่งใส
เมื่อไหร่ต้องแจ้งลูกค้าว่ากำลังคุยกับ AI หรือเนื้อหาสร้างด้วย AI เป็นแนวทางที่สอดคล้องกับหลักสากล เช่น EU AI Act ที่กำหนดให้ Chatbot ต้องแจ้งผู้ใช้ว่ากำลังคุยกับเครื่อง
7. ทรัพย์สินทางปัญญา
NIST AI 600-1 จัดให้ Intellectual Property เป็นหนึ่งในความเสี่ยงของ Generative AI นโยบายจึงควรระบุให้ตรวจเนื้อหาก่อนเผยแพร่ และห้ามใส่งานที่เป็นความลับของลูกค้าลงเครื่องมือที่ไม่ได้รับอนุมัติ
8. ความปลอดภัย
ห้ามใส่รหัสผ่านหรือ API Key ระวังลิงก์และไฟล์จากภายนอกที่อาจมีคำสั่งแฝง (Prompt Injection) และห้ามเชื่อมต่อ AI เข้ากับระบบบริษัทโดยไม่ผ่าน IT
9. การแจ้งเหตุ
ช่องทางแจ้งเมื่อพบคำตอบผิดร้ายแรง ข้อมูลรั่ว หรือการใช้ผิดวัตถุประสงค์ พร้อมย้ำว่าการแจ้งโดยสุจริตจะไม่ถูกลงโทษ
10. การอบรมและรอบทบทวน
ใครต้องอบรมอะไร และนโยบายจะทบทวนทุกกี่เดือน เพราะเครื่องมือเปลี่ยนเร็วมาก
ตัวอย่างการปรับใช้
สมมติสำนักงานบัญชีขนาด 30 คน ร่างนโยบายสองหน้า ระบุว่าใช้ได้เฉพาะบัญชี AI ขององค์กร ห้ามใส่เลขประจำตัวผู้เสียภาษีและงบการเงินของลูกค้าที่ยังไม่เปิดเผย งานที่ส่งให้ลูกค้าต้องมีผู้สอบทานลงชื่อ และมีอีเมลกลางสำหรับแจ้งเหตุ หลังประกาศใช้ คำถามซ้ำๆ จากพนักงานลดลง เพราะทุกคนเปิดดูคำตอบจากเอกสารเดียวกันได้
นโยบายที่ดีที่สุดคือฉบับที่พนักงานอ่านจบในสิบนาที และรู้ทันทีว่าวันนี้ทำอะไรได้บ้าง
ข้อควรระวัง
- อย่าลอกนโยบายของบริษัทอื่นมาทั้งฉบับ ธุรกิจและความเสี่ยงไม่เหมือนกัน
- นโยบายที่ห้ามทุกอย่างมักไม่มีใครทำตาม ให้ทางเลือกที่ปลอดภัยแทนการห้ามอย่างเดียว
- เนื้อหาเกี่ยวกับกฎหมาย สัญญาจ้าง และบทลงโทษ ควรให้ฝ่ายกฎหมายหรือผู้เชี่ยวชาญตรวจก่อนประกาศใช้
ทำอะไรต่อ
- สำรวจว่าพนักงานใช้ AI อะไรอยู่แล้วบ้าง
- ร่างนโยบายตาม 10 หัวข้อนี้ให้ยาวไม่เกิน 2 ถึง 3 หน้า
- ให้ตัวแทนจากหลายฝ่ายอ่านและแสดงความเห็น
- ประกาศใช้พร้อมอบรมสั้นๆ และตัวอย่างการใช้จริง
- ตั้งวันทบทวนครั้งถัดไป และเก็บคำถามที่พนักงานถามบ่อยไว้ปรับปรุง
นโยบายจะได้ผลเมื่อคนในทีมพร้อมจะใช้ อ่านต่อเรื่องการพาทีมเปลี่ยนได้ที่ Change Management: พาทีมใช้ AI และถ้าคุณกำลังขยายทีมเพื่อรองรับงานด้าน AI ลงประกาศรับสมัครงานได้ที่ Plants.work สำหรับนายจ้าง