AI Governance ไม่ใช่เรื่องของฝ่าย IT — แต่คือความรับผิดชอบของผู้นำทั้งองค์กร

AI Governance ไม่ใช่เรื่องของฝ่าย IT: เมื่อความรับผิดชอบต่อ AI ต้องเริ่มจากผู้บริหารทั้งองค์กร

จาก Shadow AI และ Generative AI สู่คำถามใหม่เรื่อง Accountability, Human Oversight และความเชื่อมั่น

AI กำลังเปลี่ยนจากเครื่องมือเฉพาะของฝ่ายเทคโนโลยี ไปเป็นเครื่องมือที่พนักงานแทบทุกฝ่ายเข้าถึงและใช้งานได้โดยตรง ไม่ว่าจะเป็น Generative AI, Copilot, ระบบช่วยวิเคราะห์ข้อมูล หรือ AI Agent ที่เริ่มเชื่อมต่อกับ Workflow และระบบงานขององค์กร

การเปลี่ยนแปลงนี้ทำให้คำถามเรื่อง AI Governance เปลี่ยนไปอย่างมีนัยสำคัญ

จากเดิมที่หลายองค์กรมองว่าเป็นเรื่องของ IT, Data, Cybersecurity หรือ Compliance วันนี้ AI Governance กำลังกลายเป็น ความรับผิดชอบร่วมของผู้บริหารทั้งองค์กร

เพราะเมื่อ AI เข้าไปมีผลต่อการตัดสินใจ ข้อมูล ลูกค้า พนักงาน การเงิน กระบวนการทำงาน และชื่อเสียงขององค์กร ความเสี่ยงก็ไม่ได้อยู่ในระบบ IT เพียงอย่างเดียวอีกต่อไป

บทความนี้เรียบเรียงเพื่อชวนผู้บริหารมอง AI Governance ในฐานะเรื่องของ Accountability, Human Oversight และ Responsible AI มากกว่าการมองเป็นเพียงข้อกำหนดทางเทคนิค

ตอบ: เพราะผลกระทบของ AI ไม่ได้จำกัดอยู่ที่เทคโนโลยี

ลองพิจารณา AI Use Case ทั่วไปในองค์กร เช่น AI ช่วยประเมินลูกค้า ช่วยสรุปข้อมูลผู้สมัครงาน ช่วยให้คำแนะนำด้านการเงิน ช่วยตอบลูกค้า หรือช่วยตัดสินใจว่าจะอนุมัติหรือปฏิเสธบางสิ่ง

คำถามที่เกิดขึ้นไม่ได้มีเพียงว่า “ระบบทำงานหรือไม่” แต่รวมถึง

ข้อมูลที่นำมาใช้เหมาะสมหรือไม่
ผลลัพธ์มีความถูกต้องเพียงใด
มี Bias หรือไม่
มีผลกระทบต่อสิทธิของบุคคลหรือไม่
ใครเป็นผู้รับผิดชอบต่อการตัดสินใจ
และหากเกิดความเสียหาย ใครมีอำนาจหยุดหรือแก้ไข

ดังนั้น AI Governance จึงต้องมีทั้ง Business, IT, Data, Security, Legal, Privacy, Risk, Compliance, Internal Audit และผู้บริหารระดับสูงเข้ามามีส่วนร่วม

ตอบ: หนึ่งในเรื่องที่เห็นชัดขึ้นคือ Shadow AI

ในอดีต การนำเทคโนโลยีใหม่เข้ามาใช้มักต้องผ่าน IT, Procurement หรือโครงการลงทุนที่ค่อนข้างเป็นทางการ

แต่ Generative AI เปลี่ยนสมการนี้

พนักงานสามารถสมัครใช้เครื่องมือ AI ได้ด้วยตนเอง ใช้บัญชีส่วนตัว หรือคัดลอกข้อมูลจากองค์กรไปใส่ในระบบภายนอกได้ภายในไม่กี่นาที

ปัญหาคือ ผู้บริหารอาจไม่รู้ด้วยซ้ำว่าในวันนี้องค์กรกำลังใช้ AI อะไรอยู่บ้าง

Shadow AI จึงสร้าง Blind Spot หลายระดับ ตั้งแต่เรื่องข้อมูลส่วนบุคคล ความลับทางธุรกิจ การใช้เครื่องมือที่ไม่ได้รับอนุมัติ ไปจนถึงความเสี่ยงจาก Vendor และ Model ที่องค์กรไม่ได้ประเมิน

คำถามแรกของ Governance จึงไม่ใช่ “จะควบคุมอย่างไร” แต่คือ

“เรามองเห็น AI ในองค์กรครบหรือยัง?”

ตอบ: Policy เป็นจุดเริ่มต้นที่สำคัญ แต่ไม่เพียงพอ

Policy บอกหลักการว่าองค์กรควรหรือไม่ควรทำอะไร แต่ในการใช้งานจริง ยังต้องตอบคำถามว่า

ใครเป็นเจ้าของ Use Case
ใครต้อง Review
Use Case ไหนต้องขออนุมัติ
ระดับความเสี่ยงไหนต้องมี Human Oversight
ใครสามารถยอมรับ Residual Risk
และเมื่อเกิด Incident ต้อง Escalate ไปที่ใคร

หากเรื่องเหล่านี้ยังไม่มีความชัดเจน Policy ก็อาจกลายเป็นเอกสารที่ดี แต่ไม่สามารถสร้าง Accountability ได้จริง

AI Governance ที่มีประสิทธิภาพจึงต้องเชื่อมหลักการเข้ากับบทบาท ความรับผิดชอบ และ Decision Rights ที่ชัดเจน

ตอบ: Accountability คือหัวใจของ AI Governance เพราะ AI ไม่สามารถเป็นผู้รับผิดชอบทางธุรกิจแทนองค์กรได้

แม้ AI จะเป็นผู้สร้างคำตอบหรือแนะนำการตัดสินใจ แต่สุดท้ายองค์กรยังต้องมีบุคคลหรือหน่วยงานที่รับผิดชอบต่อผลลัพธ์

ทุก AI Use Case จึงควรมีเจ้าของที่ชัดเจน

เช่น Business Owner รับผิดชอบวัตถุประสงค์และผลลัพธ์ของ Use Case
Technical Owner รับผิดชอบด้านระบบและการดำเนินงาน
Risk หรือ Control Owner ดูแลข้อกำหนดด้านความเสี่ยง
และผู้มีอำนาจอนุมัติต้องรู้ว่าตนกำลังอนุมัติความเสี่ยงประเภทใด

ปัญหาที่พบบ่อยคือองค์กรมี “คณะกรรมการ AI” แต่ยังตอบไม่ได้ว่า เมื่อ Use Case หนึ่งเกิดปัญหา ใครเป็นเจ้าของความรับผิดชอบจริง

Governance ที่ดีจึงไม่ใช่การมี Committee มากขึ้น แต่คือการทำให้ Accountability ชัดขึ้น

ตอบ: Human Oversight ไม่ได้แปลว่า “คนต้องตรวจทุกอย่าง”

Human Oversight ไม่ควรถูกตีความว่ามนุษย์ต้องตรวจทุก Output ของ AI เพราะหากทำเช่นนั้นอาจทำให้ระบบไม่มีประสิทธิภาพและไม่สามารถขยายผลได้

สิ่งที่สำคัญกว่าคือการกำหนดให้ชัดว่า

จุดใดมนุษย์ต้องเห็น
จุดใดมนุษย์ต้องอนุมัติ
จุดใดมนุษย์สามารถ Override
และจุดใดต้องสามารถหยุดระบบได้

ระดับ Human Oversight ควรสัมพันธ์กับระดับความเสี่ยง

AI ที่ใช้ช่วยร่างเอกสารภายในอาจใช้การ Review แบบเบา ขณะที่ AI ที่มีผลต่อเครดิต การจ้างงาน สุขภาพ ความปลอดภัย หรือสิทธิของบุคคลควรมีการกำกับที่เข้มกว่ามาก

หัวใจจึงอยู่ที่ Proportional Governance ไม่ใช่ One-size-fits-all Governance

ตอบ: เมื่อ AI Agent เริ่ม “ลงมือทำ” Governance ต้องเปลี่ยนอีกครั้ง

Generative AI ส่วนใหญ่เริ่มจากการสร้างคำตอบหรือเนื้อหา แต่ AI Agent กำลังเพิ่มระดับความเป็นอิสระของระบบ

Agent อาจเรียกใช้ API เข้าถึงข้อมูล ส่งอีเมล สั่งซื้อสินค้า เปลี่ยนสถานะในระบบ หรือดำเนิน Workflow บางส่วนแทนมนุษย์

ดังนั้นคำถามด้าน Governance จึงเปลี่ยนจาก

“ผลลัพธ์ของ AI ถูกต้องหรือไม่?”

ไปเป็น

“การกระทำนั้นได้รับอนุญาตหรือไม่ ถูกควบคุมหรือไม่ ติดตามได้หรือไม่ และใครเป็นผู้รับผิดชอบ?”

นี่คือสิ่งที่เรียกว่า Responsible Autonomy

ยิ่ง AI มีความเป็นอิสระในการตัดสินใจและลงมือทำมากขึ้นเท่าใด ระบบ Permission, Human Gate, Transaction Limit, Logging, Monitoring และ Stop Mechanism ก็ต้องแข็งแรงขึ้นเท่านั้น

เป้าหมายไม่ใช่การห้ามใช้ AI Agent แต่คือการกำหนดขอบเขตว่า AI สามารถทำอะไรได้ แค่ไหน และภายใต้เงื่อนไขอะไร

ตอบ: Governance ที่ดีไม่ควรทำให้องค์กรช้าลง

ถ้าออกแบบ Governance แบบเดียวกับทุก Use Case ก็มีโอกาสช้า

แต่หากใช้แนวคิด Risk-based หรือ Proportional Governance องค์กรสามารถทำตรงกันข้ามได้ คือ เร่ง Use Case ที่ความเสี่ยงต่ำ และควบคุมเข้มเฉพาะ Use Case ที่มีผลกระทบสูง

ตัวอย่างเช่น Use Case ที่ใช้เครื่องมือที่อนุมัติแล้ว ไม่มีข้อมูลอ่อนไหว และไม่มีผลต่อการตัดสินใจสำคัญ อาจเข้าสู่ Fast Track ได้

ขณะที่ AI ที่เกี่ยวข้องกับข้อมูลละเอียดอ่อน กฎระเบียบ หรือการตัดสินใจที่มีผลกระทบสูง ควรผ่าน Review ที่เข้มขึ้น

Governance จึงไม่ควรทำหน้าที่เป็น “เบรก” แต่ควรเป็นเหมือน ระบบควบคุมการจราจร ที่ทำให้องค์กรเดินหน้าได้เร็วขึ้นอย่างปลอดภัย

ตอบ: AI Governance เป็นเรื่องของ Trust และ Business Value

ประโยชน์ไม่ได้มีเพียงการลดความเสี่ยง

Governance ที่ดีช่วยให้ผู้บริหารรู้ว่า AI อยู่ที่ไหน ใครรับผิดชอบ และควรลงทุนต่อกับ Use Case ใด

สามารถลด Rework จากการพบปัญหาช่วงท้าย ลดเวลาการ Review ลดการค้นหา Evidence ย้อนหลัง และช่วยตอบคำถาม Due Diligence จากลูกค้า คู่ค้า หรือ Auditor ได้เร็วขึ้น

ในบางอุตสาหกรรม ความสามารถในการพิสูจน์ว่าองค์กรใช้ AI อย่างรับผิดชอบอาจกลายเป็นส่วนหนึ่งของความเชื่อมั่นและความสามารถในการแข่งขัน

ดังนั้น Trust ไม่ควรถูกมองเป็นผลพลอยได้ของ Governance

แต่ควรถูกมองเป็น โครงสร้างพื้นฐานของการใช้ AI ในระดับองค์กร

ตอบ: สำหรับองค์กรที่ยังอยู่ช่วงเริ่มต้น ไม่จำเป็นต้องสร้าง Governance ที่ซับซ้อนตั้งแต่วันแรก

ควรเริ่มจาก Minimum Viable AI Governance ให้ตอบคำถามสำคัญให้ได้ก่อน ได้แก่

• เรามี AI และ Use Case อะไรบ้าง

• ใครเป็น Business Owner

• Use Case อยู่ Risk Tier ใด

• Minimum Controls ที่ต้องมีคืออะไร

• จุดใดต้องมี Human Oversight

• ใครมีอำนาจ Approve, Escalate หรือ Stop

• หลักฐานที่ต้องเก็บมีอะไรบ้าง

จากนั้นจึงค่อยขยายไปสู่ Monitoring, Incident Management, Vendor Governance, AI Agent Governance และ Continuous Improvement

ท้ายที่สุด AI Governance ไม่ใช่โครงการของฝ่าย IT และไม่ควรถูกผลักให้ Compliance รับผิดชอบเพียงฝ่ายเดียว

เพราะคำถามที่แท้จริงของ Governance คือ

องค์กรยอมรับความเสี่ยงได้แค่ไหน
ใครมีสิทธิ์ตัดสินใจ
ใครรับผิดชอบต่อผลกระทบ
และ AI ควรถูกใช้เพื่อสร้างคุณค่าในขอบเขตใด

ทั้งหมดนี้คือคำถามของ Leadership

AI Governance ไม่ได้มีเป้าหมายเพื่อหยุด AI
แต่เพื่อให้องค์กรสามารถใช้ AI ได้อย่างกล้า เร็ว และรับผิดชอบในเวลาเดียวกัน

และเมื่อ AI เริ่มมีอิสระมากขึ้น สิ่งที่องค์กรต้องสร้างควบคู่กันไปไม่ใช่เพียง AI Capability แต่คือ ความสามารถในการกำกับ ความรับผิดชอบ และความเชื่อมั่นที่เติบโตไปพร้อมกับ AI