กติกาที่ช่วยกำหนดว่าเครื่องมือไหนใช้ได้ ข้อมูลอะไรห้ามใส่ และคำตอบแบบใดต้องมีคนตรวจ
สวัสดีค่ะ ในบทความนี้แอดจะพาทุกคนมารู้จักกับ AI Governance เรื่องที่หลายองค์กรเริ่มพูดถึง หลังจาก AI กลายเป็นเครื่องมือทำงานของแทบทุกแผนก
วันนี้พนักงานสามารถใช้ ChatGPT Claude หรือ Gemini ช่วยทำงานได้ตั้งแต่ร่างอีเมล สรุปเอกสาร ไปจนถึงวิเคราะห์ข้อมูล แต่เมื่อเริ่มใช้ AI กันมากขึ้น คำถามใหม่ก็ตามมาว่า ข้อมูลแบบไหนนำเข้าได้ คำตอบเชื่อได้แค่ไหน และเครื่องมือนี้ผ่านการอนุมัติจากองค์กรแล้วหรือยัง
หากองค์กรยังไม่มีคำตอบที่ชัดเจน พนักงานแต่ละคนก็ต้องตัดสินใจเอง ความตั้งใจที่จะทำงานให้เร็วขึ้นจึงอาจกลายเป็นความเสี่ยงด้านข้อมูล ความถูกต้อง และความรับผิดชอบได้ นี่คือจุดที่ AI Governance เข้ามาช่วยค่ะ
AI Governance คืออะไร?
AI Governance คือกติกากลางสำหรับการใช้ AI ในองค์กร โดยกำหนดว่า AI ใช้กับงานอะไรได้ ข้อมูลประเภทไหนต้องระวัง ผลลัพธ์แบบใดต้องมีคนตรวจ และใครเป็นผู้รับผิดชอบเมื่อเกิดปัญหา
ลองนึกภาพ AI เป็นเหมือนรถยนต์ค่ะ รถช่วยให้เราเดินทางได้เร็วขึ้น แต่ถ้าบนถนนไม่มีเลน ไม่มีสัญญาณไฟ และทุกคนขับตามความเข้าใจของตัวเอง ความเร็วก็อาจมาพร้อมอุบัติเหตุ AI Governance จึงทำหน้าที่คล้ายกฎจราจร ไม่ได้มีไว้ห้ามใช้ AI แต่ช่วยให้ทุกคนใช้งานไปในทิศทางเดียวกันอย่างปลอดภัยมากขึ้น
ถ้าไม่มีกติกา จะเกิดอะไรขึ้น?
ลองสมมติว่าฝ่ายขายได้รับความคิดเห็นจากลูกค้าหลายร้อยรายการ พนักงานจึงนำข้อมูลทั้งหมดไปให้ AI ช่วยสรุป แต่ถ้าข้อมูลที่นำไปใช้มีชื่อ เบอร์โทรศัพท์ หรือรายละเอียดทางธุรกิจของลูกค้าติดไปด้วย ข้อมูลเหล่านั้นก็อาจถูกส่งไปยังเครื่องมือภายนอกโดยไม่ตั้งใจ
อีกทีมหนึ่งอาจใช้ AI ช่วยร่างคำตอบให้ลูกค้า แล้วนำคำตอบไปใช้ทันที เพราะข้อความอ่านดูน่าเชื่อถือ แต่หาก AI เข้าใจข้อมูลผิดหรือสร้างคำตอบขึ้นมาเอง ลูกค้าก็อาจได้รับข้อมูลที่คลาดเคลื่อนไปด้วย
ลองดูตัวอย่างจากฝ่าย HR ค่ะ หลายทีมอาจนำ Resume เข้า AI เพื่อช่วยสรุปประสบการณ์หรือคัดกรองผู้สมัคร เพราะดูเหมือนเป็นงานเอกสารทั่วไป แต่ใน Resume มีทั้งชื่อ ประวัติการศึกษา ประสบการณ์ทำงาน และข้อมูลอื่นที่ระบุตัวบุคคลได้ ข้อมูลเหล่านี้จึงเป็นข้อมูลส่วนบุคคลของผู้สมัคร ไม่ใช่ข้อมูลขององค์กรเอง
ถ้าองค์กรแจ้งผู้สมัครว่าเก็บ Resume เพื่อพิจารณาการสมัครงาน การส่งเอกสารต่อไปยัง AI ภายนอกเพื่อวิเคราะห์อาจเป็นการใช้ข้อมูลเกินจากวัตถุประสงค์เดิมได้ เรื่องนี้เชื่อมโยงกับ PDPA มาตรา 21–23 ซึ่งกำหนดให้ผู้ควบคุมข้อมูลใช้ข้อมูลตามวัตถุประสงค์ที่แจ้งไว้ และเก็บเท่าที่จำเป็น ดังนั้นก่อนใช้งานจริงจึงควรตรวจ Privacy Notice ฐานกฎหมาย สัญญากับผู้ให้บริการ สถานที่จัดเก็บข้อมูล และขั้นตอนลบหรือปกปิดข้อมูลให้ครบ
AI Governance ควรมีกติกาอะไรบ้าง?
องค์กรควรเริ่มจากการตอบคำถามเหล่านี้ให้ได้ค่ะ
1. เครื่องมือ AI ตัวไหนใช้ได้?
องค์กรควรกำหนดว่าเครื่องมือใดผ่านการตรวจสอบแล้ว และควรใช้งานผ่านบัญชีแบบไหน
อีกเรื่องที่มักเข้าใจผิดคือ ถ้าจ่ายเงินแล้วก็น่าจะปลอดภัยกว่าบัญชีฟรี แต่จุดสำคัญจริง ๆ ไม่ใช่ “ฟรีหรือเสียเงิน” ค่ะ แต่อยู่ที่บัญชีนั้นเป็นบัญชีส่วนตัวหรือเป็น Workspace ที่องค์กรบริหารจัดการได้
แม้พนักงานจะใช้แบบเสียเงิน บัญชีนั้นก็ยังถูกจัดการโดยเจ้าของบัญชีแต่ละคน การซื้อแพ็กเกจส่วนตัวให้ครบทุกคนจึงไม่ได้ทำให้องค์กรควบคุมสมาชิก กำหนดสิทธิ์ เปิดหรือปิดฟีเจอร์ ตรวจสอบการใช้งาน หรือจัดการข้อมูลตามนโยบายได้โดยอัตโนมัติ
สำหรับงานองค์กร ควรเลือกเครื่องมือที่ผ่านการประเมินและใช้งานผ่านแพ็กเกจประเภท Business / Team / Enterprise ตามชื่อของแต่ละผู้ให้บริการ พร้อมตรวจสัญญาและการตั้งค่าจริง ตัวอย่างเช่น OpenAI ระบุว่า ข้อมูลจาก ChatGPT Business และ Enterprise จะไม่ถูกนำไปฝึกโมเดลโดยค่าเริ่มต้น ส่วน Free Plus และ Pro บน Personal Workspace จะเปิดการใช้บทสนทนาเพื่อช่วยพัฒนาโมเดลไว้เป็นค่าเริ่มต้น แต่ผู้ใช้สามารถปิดได้จาก Data Controls สำหรับ Claude for Work แบบ Team และ Enterprise ทาง Anthropic ระบุว่าองค์กรเป็นผู้ควบคุมข้อมูลและจัดการสมาชิก ส่วน Anthropic ทำหน้าที่ประมวลผลข้อมูลตามข้อตกลงกับองค์กร
การมีแพ็กเกจองค์กรก็ยังไม่ใช่จุดจบของ Governance ค่ะ เพราะแพ็กเกจองค์กรช่วยเพิ่มการควบคุม แต่ยังต้องมีนโยบาย การตั้งค่า และการใช้งานที่เหมาะสม องค์กรยังต้องกำหนดว่าใครใช้ได้ ฟีเจอร์ใดเปิดได้ ข้อมูลประเภทไหนห้ามใส่ เก็บข้อมูลได้นานเท่าไร และงานแบบไหนต้องมีคนตรวจสอบ
2. ข้อมูลอะไรใส่ใน AI ได้บ้าง?
ข้อมูลแต่ละประเภทมีระดับความสำคัญไม่เท่ากัน องค์กรจึงควรระบุให้ชัดว่าอะไรนำเข้า AI ได้ อะไรต้องขออนุมัติก่อน และอะไรห้ามนำเข้าเครื่องมือภายนอกค่ะ
ข้อมูลสาธารณะอาจนำไปใช้ผ่านเครื่องมือที่องค์กรอนุมัติได้ ส่วนข้อมูลภายในควรใช้เท่าที่จำเป็น และอาจต้องลบชื่อหรือรายละเอียดที่ระบุตัวบุคคลออกก่อน
สำหรับข้อมูลลูกค้า Resume ข้อมูลพนักงาน เอกสารลับ Source Code และข้อมูลทางการเงิน ควรผ่านการประเมินและใช้เฉพาะในระบบที่องค์กรควบคุมได้ ส่วนรหัสผ่าน API Key และข้อมูลสำหรับเข้าสู่ระบบ ไม่ควรนำเข้าเครื่องมือ AI โดยเด็ดขาดค่ะ
งานแต่ละประเภทมีความเสี่ยงไม่เท่ากัน
นอกจากประเภทข้อมูลแล้ว องค์กรควรดูด้วยว่า หาก AI ตอบผิดหรือข้อมูลถูกนำไปใช้อย่างไม่เหมาะสม จะส่งผลกระทบมากแค่ไหน โดยอาจแบ่งงานออกเป็น 3 ระดับค่ะ
- ความเสี่ยงต่ำ: ช่วยคิดไอเดียหรือร่างข้อความจากข้อมูลสาธารณะ โดยไม่มีข้อมูลภายในหรือข้อมูลส่วนบุคคล
- ความเสี่ยงปานกลาง: สรุปเอกสารภายในที่ไม่มีข้อมูลอ่อนไหว ผ่านเครื่องมือที่องค์กรอนุมัติ และมีคนตรวจผลลัพธ์ก่อนนำไปใช้
- ความเสี่ยงสูง: ใช้ข้อมูลส่วนบุคคลหรือข้อมูลลับ ให้คำแนะนำด้านกฎหมาย การเงิน และสุขภาพ หรือช่วยตัดสินใจเรื่องการรับพนักงานและสิทธิของบุคคล งานกลุ่มนี้ควรผ่านการอนุมัติ มีผู้เชี่ยวชาญตรวจสอบ และมีผู้รับผิดชอบอย่างชัดเจน
การแบ่งระดับเช่นนี้ช่วยให้ทีมทดลองใช้ AI กับงานทั่วไปได้โดยไม่ต้องผ่านขั้นตอนที่ซับซ้อนเกินไป พร้อมทำให้องค์กรทุ่มการตรวจสอบไปกับงานที่อาจสร้างผลกระทบสูงได้อย่างเหมาะสมค่ะ
3. คำตอบแบบไหนต้องมีคนตรวจ?
AI สามารถช่วยคิด ช่วยร่าง และช่วยสรุปได้ แต่ไม่ได้แปลว่าคำตอบจะถูกต้องทุกครั้ง
หากเป็นไอเดียเบื้องต้น อาจตรวจสอบตามขั้นตอนการทำงานปกติได้ แต่ถ้าเกี่ยวข้องกับลูกค้า การเงิน กฎหมาย สุขภาพ การคัดเลือกบุคลากร หรือการตัดสินใจที่กระทบต่อบุคคล ควรมีผู้เชี่ยวชาญตรวจสอบก่อนนำไปใช้จริงเสมอค่ะ
4. ใครเป็นผู้ดูแล?
ทุกงานที่นำ AI มาใช้ควรมีเจ้าของที่ชัดเจน เช่น ใครดูแลข้อมูล ใครตรวจผลลัพธ์ ใครอนุมัติให้เปิดใช้งาน และควรแจ้งใครเมื่อพบปัญหา
เพราะถ้าไม่มีผู้ดูแลที่ชัดเจน AI อาจถูกนำไปใช้งานต่อไปเรื่อย ๆ โดยไม่มีใครสังเกตว่าผลลัพธ์เริ่มผิดปกติค่ะ
5. เมื่อเกิดปัญหาต้องทำอย่างไร?
องค์กรควรมีช่องทางให้พนักงานแจ้งปัญหาได้ง่าย เช่น พบว่า AI ตอบผิด มีข้อมูลสำคัญถูกนำไปใช้ หรือเครื่องมือทำงานไม่เหมือนเดิม
จากนั้นต้องมีขั้นตอนสำหรับตรวจสอบ หยุดใช้งานชั่วคราว และแก้ไขก่อนนำระบบกลับมาใช้ใหม่
งานแต่ละประเภทไม่จำเป็นต้องใช้กติกาเท่ากัน
จุดสำคัญของ AI Governance คือไม่ควรทำให้ทุก Use Case ต้องผ่านขั้นตอนหนักเท่ากันค่ะ
การแบ่งระดับแบบนี้ช่วยให้ทีมยังทดลองใช้ AI ได้ โดยไม่ต้องผ่านขั้นตอนซับซ้อนเกินความจำเป็น และช่วยให้องค์กรทุ่มการตรวจสอบไปกับงานที่มีผลกระทบสูงจริง ๆ ค่ะ
AI Governance ไม่ได้มีไว้ห้ามใช้ AI
เมื่อพูดถึงคำว่า Governance หลายคนอาจนึกถึงเอกสาร การขออนุมัติ และขั้นตอนที่ทำให้งานช้าลง
แต่กติกาที่ดีควรทำให้พนักงานตัดสินใจง่ายขึ้นค่ะ
เมื่อทุกคนรู้ว่าเครื่องมือไหนใช้ได้ ข้อมูลอะไรใส่ได้ และงานแบบไหนต้องมีคนตรวจ ก็ไม่ต้องคิดกันเองหรือถามใหม่ทุกครั้ง
ส่วนคนที่ดูแลเรื่อง Security, Legal, IT หรือ HR ก็ไม่ต้องเบื่อตามแก้ปัญหาแต่ละกรณี เพราะมีแนวทางกลางให้ทุกทีมใช้อ้างอิงร่วมกัน
เป้าหมายของ AI Governance จึงไม่ใช่การทำให้ทุกคนกลัว AI แต่คือการช่วยให้คนในองค์กรกล้าใช้ AI ได้อย่างมั่นใจมากขึ้น
แล้วองค์กรควรเริ่มจากตรงไหน?
ถ้าองค์กรยังไม่มี AI Governance สามารถเริ่มจาก 4 ขั้นตอนง่าย ๆ ค่ะ
ขั้นที่ 1 สำรวจความต้องการใช้งาน AI แต่ละทีม
อาจเริ่มจากแบบสอบถามสั้น ๆ ว่าแต่ละทีมใช้เครื่องมือไหน ใช้กับงานอะไร และมีข้อมูลประเภทใดเกี่ยวข้องบ้าง
ขั้นที่ 2 แบ่งระดับความเสี่ยง
แยกงานทั่วไปออกจากงานที่เกี่ยวข้องกับข้อมูลสำคัญ ลูกค้า หรือการตัดสินใจที่มีผลกระทบสูง
ขั้นที่ 3 เขียนแนวทางฉบับสั้น
เริ่มจากเอกสารที่ตอบให้ได้ว่าอะไรทำได้ อะไรไม่ควรทำ ใช้เครื่องมือไหน และต้องติดต่อใครเมื่อไม่แน่ใจ
ขั้นที่ 4 อบรมด้วยตัวอย่างจากงานจริง
การส่งนโยบายให้พนักงานอ่านอย่างเดียวอาจไม่เพียงพอค่ะ ควรมีตัวอย่างให้ทดลองตัดสินใจ เช่น ไฟล์นี้ใส่ใน AI ได้หรือไม่ คำตอบนี้ต้องตรวจตรงไหน และควรเลือกใช้เครื่องมือแบบใด
เพราะ AI Governance ที่ใช้งานได้จริง ต้องช่วยให้พนักงานนำไปใช้กับสถานการณ์ต่างๆในแต่ละวันได้อย่างมีประสิทธิภาพค่ะ
สรุป: ยิ่งองค์กรใช้ AI มาก ยิ่งต้องมีกติกาที่ชัดเจน
AI ช่วยลดงานซ้ำซ้อนและทำให้องค์กรทำงานเร็วขึ้นได้จริง แต่ความเสี่ยงอาจเริ่มจากเรื่องธรรมดาอย่างการอัปโหลดไฟล์ผิด การเชื่อคำตอบโดยไม่ตรวจสอบ หรือใช้บัญชีส่วนตัวกับข้อมูลของบริษัท
ปัญหาจึงไม่ได้อยู่ที่ AI เพียงอย่างเดียว แต่อยู่ที่องค์กรรู้หรือไม่ว่าใครกำลังใช้ AI ใช้กับข้อมูลอะไร และนำผลลัพธ์ไปตัดสินใจเรื่องใดบ้าง
AI Governance จึงเป็นกติกากลางที่ทำให้ทุกคนเข้าใจตรงกันว่า เครื่องมือไหนใช้ได้ ข้อมูลอะไรห้ามใส่ งานแบบไหนต้องมีคนตรวจ และใครต้องรับผิดชอบเมื่อเกิดปัญหา
เป้าหมายไม่ใช่การหยุดใช้ AI แต่คือการช่วยให้องค์กรเดินหน้าได้อย่างมั่นใจ โดยไม่ปล่อยให้พนักงานต้องตัดสินใจเรื่องความเสี่ยงทุกอย่างเพียงลำพังค่ะ
อยากให้ทีมใช้ AI ได้จริง พร้อมมีแนวทางที่ชัดเจน?
หากองค์กรกำลังเริ่มนำ AI เข้ามาช่วยทำงาน แต่ยังไม่แน่ใจว่าควรวางแนวทาง อบรมพนักงาน หรือดูแลความเสี่ยงอย่างไร
borntoDev พร้อมจัด In-house Training ด้าน AI โดยสามารถปรับเนื้อหาและ Workshop ให้เหมาะกับเป้าหมาย รูปแบบการทำงาน และ Use Case ของแต่ละองค์กร เพื่อให้พนักงานไม่ได้แค่รู้จัก AI แต่สามารถนำไปใช้งานได้อย่างเข้าใจและมั่นใจมากขึ้นค่ะ
ดูรายละเอียดได้ที่ 👉 https://campaign.borntodev.com/training
หมายเหตุ: เนื้อหาด้าน PDPA ในบทความนี้เป็นข้อมูลทั่วไป ไม่ใช่คำปรึกษาทางกฎหมาย ก่อนใช้ AI กับข้อมูลส่วนบุคคล องค์กรควรให้ฝ่ายกฎหมายหรือ DPO ประเมินวัตถุประสงค์ ฐานกฎหมาย Privacy Notice สัญญากับผู้ให้บริการ และการโอนข้อมูลตามบริบทจริง
แหล่งอ้างอิง
- สำนักงานคณะกรรมการกฤษฎีกา. พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562. เผยแพร่ผ่านระบบข้อมูลกฎหมายภาครัฐ: law.prd.go.th
- Information Commissioner’s Office. ICO intervention into AI recruitment tools leads to better data protection for job seekers. 6 November 2024: ico.org.uk
- OpenAI. What if I want to keep my history on but disable model training?: OpenAI Help Center
- OpenAI. Business data privacy security and compliance: openai.com
- Anthropic. Does Anthropic Act as a Data Processor or Controller?. 16 March 2026: Anthropic Privacy Center
- National Institute of Standards and Technology. Artificial Intelligence Risk Management Framework 1.0. 26 January 2023: NIST
