สารบัญ
AAISM Series — คู่มือคุม AI ในมุมคนบริหาร (ไม่ใช่มุมผู้ตรวจ) ตอนที่ 15 / Domain 2 — AI Risk & Opportunity Management ซีรีส์นี้เล่าจากมุม “เจ้าของกิจการ / CISO ที่เอา AI มาใช้จริง” ว่าต้องตัดสินใจอะไรบ้าง (สารบัญเต็มจะตามมา)
📚 ตอนนี้ผมจะ ไม่ อธิบายตั้งแต่ศูนย์ว่า “เฟรมเวิร์ก” (framework) คืออะไร ทำไมต้องมี ใช้ยังไง เพราะปูพื้นไว้ครบแล้วในซีรีส์ความมั่นคงปลอดภัยไซเบอร์ EP.08 — เฟรมเวิร์กความปลอดภัยมีไว้ทำไม ใครยังงงๆ ว่าทำไมโลกนี้ต้องมี “กรอบสำเร็จรูป” ให้เดินตาม แวะไปอ่านก่อนได้ครับ ตอนนี้เราจะเอาแนวคิดเดิมนั่นแหละ มาครอบกับของใหม่ — กรอบที่ออกแบบมาคุม AI โดยเฉพาะ แล้วดูว่าเจ้าของกิจการควรหยิบอันไหนมาใช้
ลองนึกภาพเจ้าของกิจการขนาดกลางคนหนึ่งนะครับ (สมมติขึ้นมาให้เห็นภาพ) เพิ่งเอา AI เข้ามาช่วยงานเต็มตัว — คัดใบสมัคร ตอบแชทลูกค้า ช่วยอนุมัติสินเชื่อรายย่อย ทุกอย่างดูเข้าที่ จนวันหนึ่งที่ปรึกษาคนหนึ่งพูดขึ้นกลางวงประชุมว่า “พี่ครับ AI ที่เราใช้อยู่นี่ มันเข้าข่ายต้องทำตาม กฎหมาย AI ของยุโรป รึเปล่า ถ้าเข้าข่ายแล้วเราไม่ทำ โดนปรับหนักนะ”
เถ้าแก่อึ้งไปสามวินาที แล้วถามกลับว่า “อ้าว เราขายของในไทย จะไปเกี่ยวอะไรกับกฎหมายยุโรป? แล้วถ้าจะทำให้ถูก ต้องเริ่มจากตรงไหน มีคู่มือให้เดินตามไหม?”
คำถามชุดนี้แหละครับคือหัวใจของตอนนี้ — โลกนี้มี สองกรอบหลัก ที่ออกแบบมาคุมความเสี่ยงของ AI โดยเฉพาะ ตัวหนึ่งเป็น “คู่มือแนะนำ” ที่หยิบมาใช้เมื่อไหร่ก็ได้ อีกตัวเป็น “กฎหมาย” ที่ถ้าเข้าข่ายแล้วไม่ทำตาม มีโทษ และคำถามที่เจ้าของกิจการต้องตอบให้ได้คือ “แล้วของเราต้องใช้อันไหน?”
AI = พนักงานใหม่เก่งสุดๆ ที่ต้องกำกับ (ตอนนี้: มองว่าเขาอาจทำพังตรงไหน แล้วรับมือ)
ทั้งซีรีส์นี้ผมชวนมองภาพเดียวกันตลอด — AI ก็เหมือนพนักงานใหม่ที่เก่งมากๆ คนหนึ่ง เก่งจนน่าตกใจ ทำงานเร็ว ไม่บ่น ไม่ลา แต่มีนิสัยแปลกๆ ที่เราต้องกำกับ
มาถึง Domain 2 นี้ เราขยับจาก “ตั้งกฎให้พนักงานคนนี้” (เรื่องของ Domain 1) มาสู่อีกหน้าที่ของหัวหน้า — “มองให้ออกว่าพนักงานคนนี้อาจทำพังตรงไหน แล้ววางแผนรับมือไว้ก่อน”
ลองคิดดูครับ เวลาเราได้พนักงานเก่งๆ แต่ใหม่มากเข้ามาคนหนึ่ง หัวหน้าที่ดีจะไม่รอให้เขาทำพังก่อนแล้วค่อยแก้ — แต่จะ นั่งคิดล่วงหน้า ว่า “งานไหนที่ถ้าเขาพลาดแล้วเจ็บหนัก งานไหนพลาดได้ไม่เป็นไร” แล้ววางคนคุม วางกระบวนการตรงจุดเสี่ยงไว้ก่อน นี่แหละครับคือสิ่งที่เรียกว่า การจัดการความเสี่ยง (risk management) ของ AI
และนี่คือจุดที่ผมอยากย้ำให้ชัดตั้งแต่ต้น Domain นี้ — มุมที่เราจะเล่ากันไม่ใช่มุม “ผู้ตรวจ” (auditor) ที่เดินเข้ามาตรวจว่าบริษัทคุณทำครบไหมแล้วให้คะแนน แต่เป็นมุม “เจ้าของความเสี่ยง” (risk owner) — คือคนที่ เป็นเจ้าของ ปัญหานี้เอง ต้องตัดสินใจเอง ต้องลงมือรับมือเอง และต้องรับผลถ้ามันพัง
เจ้าของความเสี่ยงไม่ได้ถามว่า “ฉันทำถูกตามเช็กลิสต์ไหม” แต่ถามว่า “ถ้าเจ้านี่พังขึ้นมา ฉันเสียหายแค่ไหน แล้วฉันยอมรับได้ไหม ถ้าไม่ได้จะทำยังไง” — กรอบทั้งสองที่เราจะคุยกันวันนี้ มีไว้ช่วยตอบคำถามนั้นนั่นเอง
ทำไมต้องมีกรอบเฉพาะของ AI — ของเดิมไม่พอเหรอ
ก่อนจะแยกแยะว่าสองกรอบนี้ต่างกันยังไง ขอตอบคำถามที่เจ้าของกิจการหลายคนคิดในใจก่อน — “บริษัทฉันก็มีระบบจัดการความเสี่ยงอยู่แล้วนี่ มีกรอบความปลอดภัยไซเบอร์ใช้อยู่ จะมาต้องมีกรอบ AI แยกทำไม?”
คำตอบคือ AI มันมี ความเสี่ยงหน้าใหม่ ที่กรอบเดิมไม่เคยต้องรับมือ ผมขอเทียบให้เห็น
| ความเสี่ยงแบบเดิม (IT/ไซเบอร์) | ความเสี่ยงหน้าใหม่ที่ AI พามา |
|---|---|
| ระบบล่ม ข้อมูลรั่ว โดนแฮก | AI ตัดสินใจลำเอียง (bias) เลือกปฏิบัติกับคนบางกลุ่มโดยไม่มีใครสั่ง |
| ไวรัส มัลแวร์ | AI มั่วอย่างมั่นใจ (hallucination) ตอบผิดด้วยน้ำเสียงน่าเชื่อถือ |
| รหัสผ่านอ่อน | AI อธิบายไม่ได้ ว่าทำไมมันตัดสินใจแบบนี้ (ความโปร่งใส/explainability หาย) |
| สิทธิ์เข้าถึงเกินจำเป็น | AI เพี้ยนเองตามเวลา (drift) เคยแม่นแล้วค่อยๆ ผิดโดยไม่มีสัญญาณ |
| — | AI กระทบ สิทธิมนุษยชน ของคน — งานหาย โดนปฏิเสธสินเชื่อ ถูกตัดสินผิด |
บรรทัดสุดท้ายคือหัวใจ — ความเสี่ยงของ AI ไม่ได้จบที่ “เครื่องพัง” แต่ลามไปถึง คนจริงๆ ที่เดือดร้อน และนั่นคือเหตุผลที่หน่วยงานทั่วโลกต้องออกกรอบเฉพาะสำหรับ AI ขึ้นมา ไม่เอากรอบ IT เดิมมาแปะแล้วจบ
ในโลกนี้มีหน่วยงานที่ออกกรอบ/กฎเกณฑ์เกี่ยวกับ AI อยู่หลายเจ้ามาก — ตั้งแต่องค์กรมาตรฐานสากลอย่าง ISO/IEC, กลุ่มประเทศเศรษฐกิจอย่าง OECD, สถาบันวิศวกรอย่าง IEEE, ไปจนถึงหน่วยงานด้านจริยธรรมของมหาวิทยาลัยต่างๆ และเพราะหลายกรอบยัง “อายุน้อย” เปลี่ยนแปลงเร็ว เจ้าของกิจการจึงต้องคอยเช็กว่ากำลังอ่านเวอร์ชันล่าสุดอยู่หรือเปล่า
แต่ในทางปฏิบัติ ถ้าจะให้จำแค่สองตัวที่ดังที่สุด ใช้กันกว้างที่สุด และเป็นตัวที่เจ้าของกิจการต้องรู้จัก คือ:
- NIST AI RMF — กรอบจัดการความเสี่ยง AI ของสถาบันมาตรฐานสหรัฐฯ (NIST = National Institute of Standards and Technology)
- EU AI Act — กฎหมาย AI ของสหภาพยุโรป
เส้นแบ่งที่ต้องเข้าใจก่อนอื่น: “สมัครใจ” vs “บังคับ”
ก่อนจะลงรายละเอียดแต่ละตัว ผมอยากให้จำเส้นแบ่งใหญ่ที่สุดไว้ก่อน เพราะมันตอบคำถาม “ใช้อันไหน” ได้เกินครึ่งแล้ว — กรอบจัดการความเสี่ยง AI แบ่งเป็นสองพันธุ์
พันธุ์ที่ 1 — กรอบกฎหมาย (regulatory framework) = “บังคับ”
นี่คือพวกที่มีผลทางกฎหมาย ถ้าคุณเข้าข่ายแล้วไม่ทำตาม มี บทลงโทษ — ค่าปรับ หรือถูกสั่งห้ามใช้งาน EU AI Act เป็นตัวแทนของพันธุ์นี้ มันไม่ใช่ “คำแนะนำ” แต่เป็น “กฎ” ที่มีฟันไว้กัด
พันธุ์ที่ 2 — กรอบสมัครใจ (voluntary framework) = “แนะนำ”
นี่คือพวกที่รวบรวม “วิธีที่ดี” (best practices) มาให้เป็นระเบียบ หยิบมาใช้เมื่อไหร่ก็ได้ ใช้แค่บางส่วนก็ได้ ไม่ใช้ก็ไม่ผิดกฎหมาย NIST AI RMF เป็นตัวแทนของพันธุ์นี้ มันเหมือนคู่มือดีๆ ที่ผู้รู้เขียนให้ ไม่ใช่หมายเรียกจากศาล
ผมขอวางตารางสรุปเส้นแบ่งนี้ไว้ก่อนเลย เดี๋ยวเราจะค่อยๆ เติมรายละเอียดลงไป
| NIST AI RMF | EU AI Act | |
|---|---|---|
| พันธุ์ | สมัครใจ (แนะนำ) | กฎหมาย (บังคับ) |
| ไม่ทำมีโทษไหม | ไม่มีโทษทางกฎหมาย | มี — ค่าปรับ / สั่งห้ามใช้ |
| เปรียบเหมือน | คู่มือ “วิธีทำให้ดี” | กฎจราจรที่มีตำรวจคอยจับ |
| ใครออก | สถาบันมาตรฐานสหรัฐฯ (NIST) | สหภาพยุโรป (EU) |
มุมผู้บริหาร: คำถามแรกที่เจ้าของกิจการต้องถามไม่ใช่ “กรอบไหนดีกว่ากัน” แต่เป็น “ของเราเข้าข่ายกรอบที่ ‘บังคับ’ หรือเปล่า” เพราะถ้าเข้าข่าย EU AI Act คุณไม่มีสิทธิ์เลือก — ต้องทำ ส่วน NIST นั้นเลือกเอาเมื่อพร้อม คนละน้ำหนักการตัดสินใจกันเลย
NIST AI RMF — คู่มือ “วิธีกำกับ AI ให้ดี” 4 เครื่องยนต์
มาเริ่มที่ตัวสมัครใจก่อน เพราะมันเป็นรากฐานความคิดที่ดี
NIST AI RMF (ชื่อเต็ม Artificial Intelligence Risk Management Framework) ถูกออกแบบมาให้องค์กรที่กำลังจะ ออกแบบ พัฒนา ติดตั้ง หรือใช้งาน AI หยิบไปใช้ จุดเด่นของมันคือ ไม่ผูกกับอุตสาหกรรมใดอุตสาหกรรมหนึ่ง (industry-agnostic) — โรงงาน โรงพยาบาล ธนาคาร ร้านค้า ใช้กรอบเดียวกันนี้ได้หมด
หัวใจของ NIST AI RMF คือการแบ่งงานจัดการความเสี่ยง AI ออกเป็น 4 หน้าที่หลัก (functions) ผมขอเรียกเล่นๆ ว่า “4 เครื่องยนต์” ที่หมุนวนต่อเนื่อง
ลองนึกภาพหัวหน้าที่กำลังกำกับพนักงานใหม่คนนั้น เขาต้องทำ 4 อย่างนี้
1. Govern (วางระบบกำกับ) — ตั้งคน ตั้งกฎ ตั้งวัฒนธรรม
เครื่องยนต์ตัวแรกคือ Govern — สร้าง “นโยบายความเสี่ยง โครงสร้างความรับผิดชอบ และกลไกกำกับ” ให้องค์กรมีวัฒนธรรมที่ใส่ใจความเสี่ยงตั้งแต่ราก
พูดเป็นภาษาคนคือ ก่อนจะไปไล่จับความเสี่ยงทีละตัว ต้องตอบให้ได้ก่อนว่า “ใครรับผิดชอบเรื่องนี้ กฎกติกาคืออะไร และทั้งบริษัทรู้ตรงกันไหมว่าความเสี่ยง AI เป็นเรื่องที่ต้องแคร์” ตัวนี้เป็นเหมือนฐานที่รองรับอีกสามตัว ถ้า Govern ไม่แน่น อีกสามตัวก็ลอย
สังเกตว่าตัวนี้ทับกับเรื่อง AI Governance ที่เราคุยกันยาวใน Domain 1 — ใช่ครับ มันคือเรื่องเดียวกัน NIST เอา governance มาเป็นฐานของการจัดการความเสี่ยงเลย
2. Map (ส่องหาความเสี่ยง) — เจ้านี่จะพังตรงไหนได้บ้าง
เครื่องยนต์ตัวที่สองคือ Map — ระบุ “ลักษณะของระบบ AI จุดเสี่ยง และพื้นที่ที่อาจได้รับผลกระทบ” เพื่อให้เห็นว่าความเสี่ยงเกิดในบริบทไหน ภัยมาจากไหน กระทบใคร
นี่คือขั้น “ส่องให้เห็นแผนที่ความเสี่ยง” ก่อนลงมือ — ตอบคำถามว่า AI ตัวนี้เอาไปทำอะไร ใช้ข้อมูลอะไร ถ้ามันพลาดจะกระทบใครบ้าง ลูกค้า? พนักงาน? ชื่อเสียงบริษัท? เหมือนหัวหน้านั่งไล่ดูว่า “งานที่มอบให้พนักงานใหม่คนนี้ ตรงไหนที่ถ้าพลาดแล้วเจ็บ”
3. Measure (วัดและเฝ้าดู) — เพี้ยนรึยัง วัดได้ไหม
เครื่องยนต์ตัวที่สามคือ Measure — สร้าง “ตัววัดความเสี่ยง (metrics) และวิธีเฝ้าติดตาม” เพื่อจัดการความเสี่ยงที่เจอตลอดอายุการใช้งานของ AI
จุดสำคัญคือคำว่า “ตลอดอายุการใช้งาน” — เพราะ AI ไม่นิ่ง (จำเรื่อง drift ได้ไหมครับ) วันนี้แม่น พรุ่งนี้อาจเพี้ยน ถ้าไม่มีตัววัดคอยจับ เราจะไม่มีวันรู้ว่ามันเริ่มทำงานผิดตั้งแต่เมื่อไหร่ Measure คือการติด “มิเตอร์” ไว้ที่ตัวพนักงาน AI ว่ายังทำงานในเกณฑ์ดีอยู่ไหม
4. Manage (ลงมือรับมือ) — ตัดสินใจแล้วทำจริง
เครื่องยนต์ตัวที่สี่คือ Manage — ลงมือ “ตอบสนองต่อความเสี่ยง” จัดลำดับความสำคัญ และทำตามน้ำหนักของผลกระทบ
นี่คือขั้น “ลงมือทำ” — เจอความเสี่ยงแล้ว วัดได้แล้ว ทีนี้จะทำยังไงกับมัน จะแก้? จะลด? จะยอมรับ? จะโยนให้คนอื่น? (เรื่องการ “รับมือความเสี่ยง” 4 แบบนี้เป็นอีกตอนที่จะเล่าละเอียด) Manage คือการตัดสินใจแล้ว ทำจริง ไม่ใช่แค่รู้ว่ามีความเสี่ยงแล้วปล่อยไว้
ผมสรุป 4 เครื่องยนต์เป็นตารางให้จำง่าย
| เครื่องยนต์ | ทำอะไร | คำถามที่ตอบ |
|---|---|---|
| Govern | วางระบบกำกับ ตั้งคน ตั้งกฎ ตั้งวัฒนธรรม | ”ใครรับผิดชอบ กฎคืออะไร” |
| Map | ส่องหาว่าความเสี่ยงเกิดตรงไหน กระทบใคร | ”เจ้านี่จะพังตรงไหนได้บ้าง” |
| Measure | วัดและเฝ้าดูความเสี่ยงตลอดอายุใช้งาน | ”ตอนนี้เพี้ยนรึยัง วัดยังไง” |
| Manage | ลงมือรับมือ จัดลำดับ ตัดสินใจ | ”จะทำยังไงกับความเสี่ยงนี้” |
จุดที่หลายคนเข้าใจผิด: 4 ตัวนี้ไม่ได้เดินเป็นเส้นตรง 1→2→3→4 แล้วจบ แต่ หมุนวน ตลอดเวลา เหมือนเราไม่ได้กำกับพนักงานแค่สัปดาห์แรกแล้วเลิกยุ่ง แต่กำกับทุกวันตลอดที่เขายังทำงานอยู่
อีกเรื่องที่ควรรู้ — NIST แตกแต่ละ “เครื่องยนต์” (function) ลงไปเป็น หมวด (category) และ หมวดย่อย (subcategory) อีกชั้น เหมือนเอาหน้าที่ใหญ่ๆ มาซอยเป็นงานย่อยที่ลงมือทำได้จริง โครงสร้างนี้คนที่เคยเห็นกรอบความปลอดภัยไซเบอร์ของ NIST (NIST Cybersecurity Framework) จะคุ้นมาก เพราะออกแบบมาในแนวเดียวกัน ใครยังไม่คุ้นเรื่องโครงสร้าง function-category นี้ ผมแนะนำให้ย้อนไปอ่านตอนเฟรมเวิร์กในซีรีส์ไซเบอร์ที่ลิงก์ไว้ข้างบนครับ
มุมผู้บริหาร: เสน่ห์ของ NIST AI RMF สำหรับเจ้าของกิจการคือ มันไม่บังคับให้คุณจัด AI เข้าช่องตายตัว และไม่กำหนดว่า “ความเสี่ยงต้องไม่เกินเท่านี้” — มันให้ เครื่องมือ คุณไปตัดสินใจเอง ว่าธุรกิจคุณรับความเสี่ยงได้แค่ไหน นี่คือทั้งข้อดี (ยืดหยุ่น เข้ากับธุรกิจคุณ) และข้อเสีย (ต้องคิดเอง ไม่มีใครบอกเส้นให้) ถ้าทีมคุณยังใหม่กับเรื่องนี้ ความยืดหยุ่นนี้อาจกลายเป็นความว่างเปล่าได้ถ้าไม่มีคนกล้าตัดสินใจ
EU AI Act — กฎหมายที่แบ่ง AI เป็น 4 ระดับเสี่ยง
ทีนี้มาที่ตัว “บังคับ” บ้าง
EU AI Act คือ กฎหมาย ที่สหภาพยุโรปออกมาเพื่อกำกับ AI ด้วยแนวคิด “ดูที่ความเสี่ยงเป็นหลัก” (risk-based) คือยิ่ง AI เสี่ยงสูงก็ยิ่งคุมเข้ม ยิ่งเสี่ยงต่ำก็ยิ่งปล่อยเบา ฟังดูเป็นธรรมดีใช่ไหมครับ
แต่จุดที่ทำให้เจ้าของกิจการไทยต้องสะดุ้งคือเรื่อง “ขอบเขตการบังคับใช้ข้ามพรมแดน” (extraterritorial) — กฎหมายนี้ไม่ได้บังคับแค่บริษัทในยุโรป แต่บังคับ ทุกองค์กรที่ระบบ AI ไปกระทบพลเมืองยุโรป ด้วย แปลว่าถ้าธุรกิจไทยของคุณมีลูกค้าในยุโรป หรือระบบ AI ของคุณประมวลผลข้อมูลคนยุโรป คุณก็อาจเข้าข่ายต้องทำตาม ทั้งที่ออฟฟิศอยู่กรุงเทพฯ นี่แหละครับคือคำตอบของเถ้าแก่ในฉากเปิด — “ขายของในไทย ก็เกี่ยวได้”
หัวใจของ EU AI Act: พีระมิด 4 ระดับเสี่ยง
ตัวที่ทำให้ EU AI Act ดังและจำง่ายคือมันจัด AI ทุกตัวเข้า 4 ระดับเสี่ยง เหมือนพีระมิด ยิ่งสูงยิ่งเสี่ยงยิ่งคุมหนัก ผมขอวางเป็นภาพพีระมิดให้เห็น
▲ ระดับ 1: เสี่ยงรับไม่ได้ (Unacceptable) → ห้ามใช้เด็ดขาด ▲▲ ระดับ 2: เสี่ยงสูง (High) → ใช้ได้ แต่คุมเข้มสุดๆ ▲▲▲ ระดับ 3: เสี่ยงจำกัด (Limited) → ใช้ได้ แค่ต้องบอกความจริง ▲▲▲▲ ระดับ 4: เสี่ยงต่ำ/ไม่มี (Minimal) → ใช้ได้ตามสบายมาดูทีละชั้นในมุมที่จับต้องได้
ระดับ 1 — เสี่ยงรับไม่ได้ (Unacceptable Risk): ห้ามใช้เด็ดขาด
นี่คือ AI ที่อันตรายเกินกว่าจะยอมให้มีในสังคม ตัวอย่างก็เช่นระบบที่ บงการพฤติกรรมคน ในทางที่ผิดจริยธรรม ระบบ ให้คะแนนความดี-เลวของพลเมือง (social scoring แบบที่บางประเทศใช้) หรือการใช้ข้อมูลชีวมาตร (biometrics เช่น สแกนหน้า) ในลักษณะที่ละเมิดสิทธิ์ ของพวกนี้ EU บอกชัดเลยว่า ห้าม ไม่มีเงื่อนไข คุณจะคุมดีแค่ไหนก็ทำไม่ได้
ระดับ 2 — เสี่ยงสูง (High Risk): ใช้ได้ แต่ต้องคุมเข้มสุด
นี่คือชั้นที่เจ้าของกิจการต้องโฟกัสที่สุด เพราะ ภาระตกหนักที่สุด AI กลุ่มนี้คือพวกที่ตัดสินใจเรื่องกระทบชีวิตคนจริงๆ เช่น ใช้ในโครงสร้างพื้นฐานสำคัญอย่างไฟฟ้าประปา ใช้ในงานบังคับใช้กฎหมาย ในการแพทย์ ในการคัดคนเข้าทำงาน หรือในการอนุมัติสินเชื่อ กลุ่มนี้ใช้ได้นะ แต่ต้อง ทำตามเงื่อนไขหนักหน่วง ทั้งทำเอกสารละเอียด ประเมินตรวจสอบสม่ำเสมอ ทดสอบซ้ำ มีคนคอยกำกับ และที่สำคัญต้องผ่าน “การประเมินความสอดคล้อง” (conformity assessment คือการตรวจว่าระบบทำตามกฎครบไหม ทั้งก่อนและหลังเอาไปใช้)
ระดับ 3 — เสี่ยงจำกัด (Limited Risk): ใช้ได้ แค่ต้องบอกความจริง
กลุ่มนี้คือ AI ที่อาจมีอิทธิพลต่อการตัดสินใจของคนบ้าง แต่ไม่ถึงขั้นทำร้ายใครรุนแรง ตัวอย่างคลาสสิกคือ แชทบอท เงื่อนไขหลักของกลุ่มนี้เบากว่ามาก — แค่ต้อง โปร่งใส คือบอกให้คนรู้ว่า “นี่คุณกำลังคุยกับ AI อยู่นะ ไม่ใช่คน” เท่านั้นเอง
แต่ระวังกับดักตรงนี้ให้ดี การที่แชทบอทถูกจัดเป็น “เสี่ยงจำกัด” เป็นเพราะมันทำงานในขอบเขตแคบๆ ตอบตามสคริปต์ที่กำหนด มันไม่ได้แปลว่าแชทบอททุกตัวเสี่ยงต่ำเสมอ นะ ถ้าคุณเอา AI ตัวเดียวกันไปทำงานทำนายผลทางการเงินที่กระทบการตัดสินใจของคน มันก็ขยับขึ้นไปเป็นกลุ่มเสี่ยงสูงได้ทันที ระดับเสี่ยงขึ้นกับ “งานที่มันทำ” ไม่ใช่ “เทคโนโลยีที่มันเป็น”
ระดับ 4 — เสี่ยงต่ำ/ไม่มี (Minimal Risk): ใช้ได้ตามสบาย
ชั้นล่างสุด คือ AI ที่แทบไม่ต้องกำกับอะไรเลย — ตัวกรองสแปม (spam filter), AI ในเกม ของพวกนี้ใช้ได้อิสระ ไม่ต้องทำเอกสารหรือขออนุญาตอะไร
ผมรวบ 4 ระดับเป็นตารางให้เทียบกันชัดๆ
| ระดับ | ตัวอย่าง AI | เจ้าของกิจการต้องทำอะไร |
|---|---|---|
| 1. เสี่ยงรับไม่ได้ | บงการพฤติกรรม, ให้คะแนนพลเมือง, biometrics ละเมิดสิทธิ์ | ห้ามใช้ — ไม่มีทางเลือก |
| 2. เสี่ยงสูง | คัดคนเข้าทำงาน, อนุมัติสินเชื่อ, การแพทย์, โครงสร้างพื้นฐาน, บังคับใช้กฎหมาย | คุมเข้มสุด — เอกสารละเอียด, ประเมินซ้ำ, มีคนกำกับ, ผ่าน conformity assessment |
| 3. เสี่ยงจำกัด | แชทบอทบริการลูกค้า | โปร่งใส — บอกผู้ใช้ว่ากำลังคุยกับ AI |
| 4. เสี่ยงต่ำ/ไม่มี | ตัวกรองสแปม, AI ในเกม | ใช้ได้อิสระ แทบไม่ต้องทำอะไร |
มุมผู้บริหาร: สิ่งแรกที่เจ้าของกิจการควรทำเมื่อได้ยินคำว่า EU AI Act ไม่ใช่ตื่นตระหนกว่า “ต้องทำทุกอย่าง” แต่คือ นั่งจัดว่า AI แต่ละตัวที่เราใช้อยู่ มันตกชั้นไหนในพีระมิด เพราะภาระต่างกันลิบลับ — ถ้า AI ทั้งบริษัทคุณเป็นแค่แชทบอท (เสี่ยงจำกัด) คุณแค่ติดป้ายบอกว่าเป็น AI ก็เกือบจบแล้ว แต่ถ้ามีตัวไหนแอบไปทำงานคัดคนหรืออนุมัติสินเชื่อ (เสี่ยงสูง) นั่นคือจุดที่ต้องลงแรงจริงจัง การจัดชั้นนี้คือ “การตัดสินใจ” ที่คุณในฐานะเจ้าของความเสี่ยงต้องเป็นคนทำ
EU AI Act แยกบทบาทคนชัด: ผู้สร้าง vs ผู้เอาไปใช้
มีอีกเรื่องสำคัญใน EU AI Act ที่ตรงกับมุมของซีรีส์เราเป๊ะ — มันแยกแยะ “บทบาท” ของคนในวงจร AI ชัดเจน โดยเฉพาะสองบทบาทนี้
- ผู้สร้าง/ผู้ให้บริการ (provider) — คนที่พัฒนา AI ขึ้นมาหรือเอามาขาย เช่น บริษัทที่สร้างโมเดล AI
- ผู้นำไปใช้ (deployer) — คนที่เอา AI ของคนอื่นมาใช้ในธุรกิจตัวเอง
เจ้าของกิจการส่วนใหญ่ที่อ่านซีรีส์นี้ = ผู้นำไปใช้ (deployer) ครับ เราไม่ได้สร้าง AI เอง เราซื้อ/เช่ามาใช้ และ EU AI Act บอกชัดว่า deployer ก็มี หน้าที่ของตัวเอง ไม่ใช่ว่า “ฉันแค่เอาของเขามาใช้ ความรับผิดชอบเป็นของคนสร้าง” — ไม่ใช่เลย คนเอาไปใช้ก็ต้องรับผิดชอบในส่วนของตัวเอง (เช่น ใช้ให้ถูกวัตถุประสงค์ คอยดูแลขณะใช้งาน) นี่เป็นเรื่องที่จะลงรายละเอียดต่อในตอนหลังๆ ของ Domain นี้
มุมผู้บริหาร: ประโยคที่อันตรายที่สุดในห้องประชุมคือ “AI ตัวนี้เราซื้อเขามา เดี๋ยวถ้ามีปัญหาก็เป็นเรื่องของบริษัทที่ขายเรา” — ผิดครับ ในสายตากฎหมายอย่าง EU AI Act คุณในฐานะ “ผู้นำไปใช้” มีหน้าที่ของคุณเอง การโยนความรับผิดชอบให้ผู้ขายทั้งหมดเป็นความเข้าใจที่ทำให้บริษัทเจ็บตัวได้จริง
สองกรอบนี้ต่างกันยังไง (เทียบให้เห็นทุกมุม)
เราเห็นแต่ละตัวไปแล้ว ทีนี้มาวางเทียบกันแบบจัดเต็ม เพราะนี่คือหัวใจที่เจ้าของกิจการต้องเข้าใจเพื่อเลือกใช้ ผมขอเทียบ 4 มุมหลัก
มุมที่ 1 — วิธีจัดชั้นความเสี่ยง: “มีเส้นตายตัว” vs “ยืดหยุ่น”
- EU AI Act = มีเส้นชัด ขีดไว้ให้แล้ว 4 ระดับ บอกชัดว่าอะไรห้าม อะไรเสี่ยงสูง โดยประเมินภายใต้กรอบกฎหมายและสิทธิของยุโรป
- NIST AI RMF = ยืดหยุ่น มองความเสี่ยงเป็น “ช่วงต่อเนื่อง” ตามวัตถุประสงค์การใช้งาน ไม่ขีดเส้นตายตัว ให้ว่าระดับไหนเรียกอะไร ปล่อยให้องค์กรไปตัดสินเอง
ภาพง่ายๆ คือ EU AI Act เหมือนป้ายจราจรที่บอกชัด “ตรงนี้ห้ามเลี้ยว ตรงนี้จำกัดความเร็ว 60” ส่วน NIST เหมือนคู่มือขับขี่ปลอดภัยที่บอกหลักการ แต่ให้คุณกะความเร็วเองตามสภาพถนน
มุมที่ 2 — เรื่องบทบาทคน: “แยกชัด” vs “เหมารวม”
- EU AI Act = แยกบทบาทชัด ผู้สร้าง / ผู้นำไปใช้ / ผู้กระจาย-นำเข้า แต่ละบทบาทมีหน้าที่เฉพาะของตัวเอง (เช่น ผู้สร้างต้องทำ conformity assessment, ผู้กระจายต้องตรวจเอกสารยืนยันความถูกต้อง)
- NIST AI RMF = ใช้คำรวมๆ ว่า “ผู้เกี่ยวข้องกับ AI” (AI actors) ไม่แยก ว่าใครต้องทำอะไรเป็นเฉพาะ ปล่อยให้องค์กรไปตีความเอง
มุมที่ 3 — เรื่องการตรวจคู่ค้า/ของจากภายนอก: น่าสนใจกว่าที่คิด
ข้อนี้คนชอบเดาผิด — หลายคนคิดว่า “ตัวที่เป็นกฎหมาย (EU) ต้องละเอียดกว่าเรื่องทุกอย่าง” แต่จริงๆ แล้วในเรื่อง การตรวจสอบความน่าเชื่อถือของของ AI ที่มาจากบุคคลที่สาม (third-party / คู่ค้า) กลับเป็น NIST ที่ให้คำแนะนำละเอียดกว่า — NIST แจกแจงวิธีจัดการความเสี่ยงจากคู่ค้าครอบทั้ง 4 เครื่องยนต์อย่างเป็นระบบ ในขณะที่ EU AI Act ให้แนวทางพื้นฐานกว่า (เน้นว่าควรมีข้อสัญญาอะไรบ้าง)
นี่เป็นจุดดักสอบ/ดักความเข้าใจคลาสสิก — “กฎหมาย” ไม่ได้แปลว่า “ละเอียดกว่าในทุกเรื่อง” มันละเอียดในเรื่องที่มันบังคับ (เช่น การจัดชั้นเสี่ยง การประเมินความสอดคล้อง) แต่เรื่องวิธีปฏิบัติบางอย่าง คู่มือสมัครใจอย่าง NIST กลับลงลึกกว่า
มุมที่ 4 — ผลทางกฎหมาย: อันที่เราเน้นตั้งแต่ต้น
- EU AI Act = บังคับ มีโทษ
- NIST AI RMF = สมัครใจ ไม่มีโทษ
ผมรวบทั้ง 4 มุมเป็นตารางเดียวให้เห็นภาพรวม
| มุมเทียบ | EU AI Act | NIST AI RMF |
|---|---|---|
| ผลทางกฎหมาย | บังคับ มีโทษ (ค่าปรับ/สั่งห้าม) | สมัครใจ ไม่มีโทษ |
| วิธีจัดชั้นเสี่ยง | เส้นชัด 4 ระดับ มีเกณฑ์ตายตัว | ยืดหยุ่น มองเป็นช่วงต่อเนื่อง ไม่ขีดเส้น |
| อิงอะไร | กฎหมายและสิทธิของยุโรป | หลักการทั่วไป ไม่ผูกอุตสาหกรรม |
| บทบาทคน | แยกชัด (ผู้สร้าง/ผู้ใช้/ผู้กระจาย) มีหน้าที่เฉพาะ | รวมเป็น “ผู้เกี่ยวข้อง” ไม่แยกหน้าที่ |
| ตรวจคู่ค้า/third-party | แนวทางพื้นฐาน เน้นข้อสัญญา | ละเอียดกว่า ครอบทุกเครื่องยนต์ |
| เหมาะกับ | ”ต้องทำตามกฎหมาย" | "อยากกำกับ AI ให้ดีอย่างเป็นระบบ” |
แล้วเจ้าของกิจการควรใช้อันไหน? — คำตอบที่หลายคนคาดไม่ถึง
มาถึงคำถามที่เป็นชื่อตอน — “อันไหนบังคับ อันไหนแนะนำ แล้วของเราใช้อันไหน”
คำตอบที่ตรงที่สุดคือ มันไม่ใช่คำถามแบบ “เลือกอันใดอันหนึ่ง” ครับ ในความเป็นจริงองค์กรที่ทำเรื่องนี้ดี มัก ใช้ทั้งสองตัวคู่กัน เพราะมันตอบคนละโจทย์
ลองคิดแบบนี้ครับ
ขั้นที่ 1 — ถามก่อนว่า “เราโดน EU AI Act บังคับไหม”
นี่คือคำถามบังคับที่ต้องตอบก่อนเสมอ เพราะถ้าใช่ คุณไม่มีสิทธิ์เลือก ดูง่ายๆ ว่า:
- AI ของคุณไปกระทบคนในยุโรปไหม (มีลูกค้ายุโรป? ประมวลผลข้อมูลคนยุโรป?)
- ถ้าใช่ → AI ตัวนั้นตกชั้นไหนในพีระมิด 4 ระดับ
- ถ้ามีตัวที่เป็น “เสี่ยงสูง” → ต้องทำตามเงื่อนไขหนักของ EU AI Act ไม่มีทางเลี่ยง
ขั้นที่ 2 — ใช้ NIST AI RMF เป็น “วิธีลงมือทำ”
ตรงนี้คือจุดที่สวยงาม — NIST ตอบคำถามที่ EU AI Act ไม่ได้ตอบ EU AI Act บอกว่า “คุณต้องจัดการความเสี่ยง AI ให้ดีนะ” แต่ไม่ได้บอกละเอียดว่า “ทำยังไง” ส่วน NIST AI RMF ด้วย 4 เครื่องยนต์ (Govern → Map → Measure → Manage) นี่แหละคือ “วิธีทำ” ที่จับต้องได้
พูดง่ายๆ คือ
EU AI Act บอกว่า “ต้องไปถึงไหน” — NIST AI RMF บอกว่า “เดินไปยังไง”
แม้บริษัทคุณจะไม่โดน EU AI Act บังคับเลย (เช่น ไม่มีลูกค้ายุโรป) การหยิบ NIST AI RMF มาใช้ก็ยังคุ้มมาก เพราะมันทำให้คุณกำกับ AI อย่างเป็นระบบ ไม่ใช่ทำมั่วๆ และถ้าวันหนึ่งธุรกิจโตจนต้องเข้าตลาดยุโรป คุณก็มีฐานพร้อมอยู่แล้ว
ขั้นที่ 3 — อย่าลืมว่ายังมีกรอบอื่นเป็นทางเลือก
นอกจากสองตัวนี้ ยังมีมาตรฐานสากลอย่าง ISO/IEC ที่ออกแนวทางจัดการความเสี่ยง AI มาเช่นกัน และเครื่องมือที่แปลงความเสี่ยง AI เป็น ตัวเลขเงิน (เช่น แนวทางของ FAIR Institute) ซึ่งเหมาะกับองค์กรที่อยากคุยความเสี่ยงกับผู้บริหารระดับสูงเป็นภาษาเงินๆ ทองๆ — แต่สองตัวนั้นเป็นเรื่องของตอนอื่น ตอนนี้แค่รู้ว่า “โลกนี้ไม่ได้มีแค่สองกรอบ” ก็พอ
มุมผู้บริหาร: ถ้าจะให้สรุปการตัดสินใจในประโยคเดียวสำหรับเจ้าของกิจการ — “เช็กก่อนว่าโดนกฎหมายยุโรปบังคับไหม (ถ้าโดนคือต้องทำ) แล้วใช้คู่มือของ NIST เป็นวิธีลงมือกำกับ ไม่ว่าจะโดนบังคับหรือไม่ก็ตาม” เพราะตัวหนึ่งคือ “เส้นที่ต้องข้ามให้ได้ตามกฎหมาย” อีกตัวคือ “วิธีเดินไปให้ถึงเส้นนั้นอย่างมีระบบ” สองอันนี้ไม่ได้แข่งกัน มันเสริมกัน
กับดักที่เจ้าของกิจการมักตกเรื่องสองกรอบนี้
ก่อนจบ ผมขอรวบกับดักที่เจอบ่อย เผื่อใครกำลังจะเริ่ม จะได้ไม่พลาด
- กับดักที่ 1 — คิดว่าต้อง “เลือกอันใดอันหนึ่ง” ไม่ใช่เลยครับ ตัวหนึ่งเป็นกฎหมาย (ที่ต้องทำถ้าเข้าข่าย) อีกตัวเป็นวิธีทำ ใช้คู่กันได้และควรใช้คู่กัน
- กับดักที่ 2 — “ขายของในไทย ไม่เกี่ยวกับยุโรป” อย่าด่วนสรุป EU AI Act บังคับข้ามพรมแดน ถ้า AI ของคุณไปแตะคนยุโรปได้ ก็เข้าข่ายได้ ทั้งที่ออฟฟิศอยู่ไทย
- กับดักที่ 3 — “กฎหมาย (EU) ต้องละเอียดกว่าในทุกเรื่อง” ไม่จริง เรื่องวิธีตรวจคู่ค้า third-party คู่มือสมัครใจอย่าง NIST กลับลงลึกกว่า กรอบแต่ละตัวเก่งคนละด้าน
- กับดักที่ 4 — จัดชั้นความเสี่ยงตาม “ชนิดเทคโนโลยี” แทนที่จะดู “งานที่มันทำ” แชทบอทไม่ได้เสี่ยงต่ำเสมอ AI ตัวเดียวกันถ้าเอาไปทำงานอนุมัติสินเชื่อ ก็ขยับเป็นเสี่ยงสูงได้ทันที ระดับเสี่ยงขึ้นกับ การใช้งาน ไม่ใช่ตัวเทคโนโลยี
- กับดักที่ 5 — “ซื้อ AI เขามา ความรับผิดชอบเป็นของคนขาย” ผิด ในฐานะ “ผู้นำไปใช้” (deployer) คุณมีหน้าที่ของตัวเองตามกฎหมาย โยนให้ผู้ขายทั้งหมดไม่ได้
- กับดักที่ 6 — มองว่า NIST “เบากว่า” เลยไม่ต้องจริงจัง ความยืดหยุ่นของ NIST เป็นดาบสองคม — มันไม่ขีดเส้นให้ แปลว่าคุณต้องกล้าตัดสินใจเองว่ารับความเสี่ยงได้แค่ไหน ถ้าไม่มีคนกล้าตัดสิน ความยืดหยุ่นจะกลายเป็นความว่างเปล่า
สรุปสั้นๆ ให้ตัวเองจำได้
อ่านมาถึงตรงนี้ ขอจดกันลืมไว้สามอย่างครับ
อย่างแรก — เส้นแบ่งใหญ่สุดคือ “บังคับ vs แนะนำ” EU AI Act เป็นกฎหมาย มีโทษ ถ้าเข้าข่ายก็ต้องทำ ส่วน NIST AI RMF เป็นคู่มือสมัครใจ หยิบมาใช้เมื่อพร้อม นี่คือเรื่องแรกที่ต้องแยกให้ออก
อย่างที่สอง — สองตัวนี้ “เสริมกัน” ไม่ใช่ “แข่งกัน” EU AI Act บอกว่าต้องไปถึงไหน (เส้นที่ต้องข้าม) NIST AI RMF บอกว่าเดินไปยังไง (4 เครื่องยนต์ Govern-Map-Measure-Manage) องค์กรที่ทำดีมักใช้ทั้งคู่
อย่างที่สาม — เราคือ “เจ้าของความเสี่ยง” ไม่ใช่ผู้ตรวจ ทั้งสองกรอบมีไว้ช่วยเราตัดสินใจ ไม่ใช่ไว้ให้คนอื่นมาตรวจแล้วให้คะแนน คำถามที่เราต้องตอบเองคือ “AI เราตกชั้นไหน เสี่ยงแค่ไหน รับได้ไหม ถ้าไม่ได้จะทำยังไง” — และในฐานะผู้นำไปใช้ (deployer) ความรับผิดชอบนั้นเป็นของเรา โยนให้คนขายทั้งหมดไม่ได้
ถ้าจะสรุปแบบที่เจ้าของกิจการหลายคนน่าจะพยักหน้าตาม — “งั้นก็แค่เช็กก่อนว่าโดนกฎหมายบังคับไหม แล้วใช้คู่มือ NIST เป็นวิธีกำกับให้เป็นระบบ ใช่มะ” ใช่เลยครับ นั่นแหละคือหัวใจของการเลือกใช้สองกรอบนี้
ตอนหน้าเราจะลงลึกต่อในเรื่องที่ค้างไว้ — “แล้วจะขีดเส้นยังไงว่าความเสี่ยงแค่ไหนที่บริษัทเรา ‘ยอมรับได้’” เรื่องการจัดชั้นความเสี่ยงและการกำหนดขีดจำกัดที่ยอมรับได้ (acceptable limits) ในมุมที่จับต้องได้จริง — ไว้เจอกันครับ
อ้างอิงเนื้อหา: AAISM — Domain 2: Section 2.3 (AI Risk Frameworks) ครอบทั้ง 2.3.1 (NIST AI RMF), 2.3.2 (EU AI Act) และ 2.3.3 (NIST vs EU AI Act) แหล่งสาธารณะที่อ้างถึงโดยตรง: National Institute of Standards and Technology, Artificial Intelligence Risk Management Framework (AI RMF 1.0), 2023 (nist.gov) · European Union, Artificial Intelligence Act (Regulation (EU) 2024/1689), eur-lex.europa.eu · ข้อมูลระดับเสี่ยงอ้างอิง Future of Life Institute, “EU AI Act Compliance Checker” (artificialintelligenceact.eu)
