AI Governance

AI Governance คือกรอบการกำกับดูแลว่าระบบ ai จะถูก "ชี้ทิศทางและตรวจสอบ" อย่างไร: ใครรับผิดชอบเมื่อ AI ตัดสินใจพลาด · อะไรบ้างที่ต้องถูกตรวจสอบ · ตรวจตอนไหนของวงจรการพัฒนา · และบังคับใช้กติกาด้วยกลไกอะไร คำนี้ครอบคลุมตั้งแต่กติกาภายในบริษัท เช่น พนักงานใช้เครื่องมือ generative-ai ตัวไหนได้ ข้อมูลลูกค้าห้ามป้อนเข้าระบบไหน ไปจนถึงกฎหมายระดับประเทศและข้อตกลงระหว่างประเทศ

ในทางปฏิบัติ AI governance ทำงานสองระดับ ระดับองค์กร: กำหนดเจ้าภาพและนโยบาย ประเมินความเสี่ยงก่อนนำ AI ไปใช้ และติดตามผลหลังใช้งานจริง กรอบที่องค์กรทั่วโลกนิยมอ้างอิงคือ nist-ai-rmf ของสหรัฐ ซึ่งเป็น framework แบบสมัครใจ (ออกเวอร์ชัน 1.0 เมื่อมกราคม 2023) แบ่งงานกำกับดูแลเป็น 4 หมวด: Govern · Map · Measure · Manage ระดับกฎหมายและนานาชาติ: สหภาพยุโรปมี eu-ai-act (เริ่มมีผลบังคับสิงหาคม 2024) ที่จัดกลุ่ม AI ตามความเสี่ยง 4 ขั้น ตั้งแต่ "ห้ามใช้" จนถึง "ความเสี่ยงต่ำสุด" ที่แทบไม่กำกับ ขณะที่สหรัฐใช้แนวทางกำกับรายอุตสาหกรรม จีนใช้แนวทางที่รัฐควบคุมเข้ม และยังมีแนวทางแบบ soft law คือหลักการที่ไม่ใช่กฎหมายบังคับ เช่น OECD AI Principles (2019) และ UNESCO Recommendation on the Ethics of AI ที่ประเทศสมาชิกทั้ง 193 ประเทศรับรองในปี 2021

ทำไมคนทำงานยุค AI ต้องรู้: เพราะกติกาพวกนี้กำลังไหลจากระดับกฎหมายลงมาถึงโต๊ะทำงานของทุกคน องค์กรที่มี governance ชัดเจนจะตอบได้ว่างานไหนให้ AI ทำได้เลย งานไหนต้องมี human-in-the-loop คอยตรวจก่อนส่งออก และข้อมูลแบบไหนห้ามหลุดเข้าเครื่องมือสาธารณะ ส่วนองค์กรที่ไม่มีกติกา พนักงานมักแอบใช้เครื่องมือกันเองจนเกิด shadow-ai ซึ่งเสี่ยงทั้งข้อมูลรั่วและผิดกฎหมายคุ้มครองข้อมูลอย่าง pdpa การเข้าใจ AI governance จึงไม่ใช่เรื่องของนักกฎหมายเท่านั้น แต่เป็นทักษะพื้นฐานของคนที่ใช้ AI ทำงานทุกคน

ตัวอย่างจากบทสนทนาจริง

ถาม: เรื่อง AI governance นี่ปล่อยให้ฝ่าย IT กับฝ่ายกฎหมายดูไปเลยได้ไหมครับ ทีมผมแค่ใช้ chatgpt ช่วยเขียนงาน ไม่น่าจะเกี่ยวอะไรกับเรา

ตอบ: เกี่ยวโดยตรงเลยครับ AI governance ไม่ใช่แค่เอกสารของฝ่ายกฎหมาย แต่คือกติกาที่ทุกทีมต้องใช้จริงในงานประจำวัน เช่น ข้อมูลลูกค้าห้ามป้อนเข้า tool สาธารณะ งานที่ AI ช่วยร่างต้องมีคนตรวจก่อนส่งลูกค้าเสมอ และต้องบันทึกได้ว่าใครใช้ AI กับงานไหน ถ้าทีมคุณใช้ AI ทุกวันแต่ไม่รู้กติกาพวกนี้ ต่อให้บริษัทมีนโยบายสวยแค่ไหน ก็เท่ากับไม่มี governance ในทางปฏิบัติ

ระวังสับสนกับ

• ai-policy : policy คือเอกสารกติกาภายในองค์กรฉบับหนึ่ง ส่วน governance คือระบบทั้งหมด: นโยบาย + ผู้รับผิดชอบ + กระบวนการตรวจสอบ + การบังคับใช้ มี policy แปะไว้แต่ไม่มีใครตามดู ยังไม่นับว่ามี governance
• responsible-ai : responsible AI คือ "หลักการ" ว่า AI ที่ดีควรเป็นอย่างไร เช่น โปร่งใส เป็นธรรม ปลอดภัย ส่วน AI governance คือ "กลไก" ที่ทำให้หลักการเหล่านั้นเกิดขึ้นจริงและตรวจสอบได้ว่าทำจริง
• iso-42001 : เป็นมาตรฐานสากลที่นำหลัก AI governance ไปเขียนเป็นข้อกำหนดที่ตรวจประเมินและขอใบรับรองระดับองค์กรได้จริง ต่างจาก governance ที่เป็นกรอบกว้างๆ ไม่ผูกกับมาตรฐานฉบับใดฉบับหนึ่งโดยเฉพาะ