คำถามที่บอร์ดต้องถามก่อนอนุมัติโครงการ AI คือเอกสาร 6 เรื่องตามแนวทางของ สคส. ได้แก่ สถานะผู้ควบคุมข้อมูล ฐานทางกฎหมาย ผล DPIA คนที่กลับคำตัดสินของระบบได้จริง ช่องทางใช้สิทธิ และแผนแจ้งเหตุ 72 ชั่วโมง เหมาะกับกรรมการและผู้บริหาร แนวทางนี้ไม่ใช่กฎหมาย
- สคส. ให้บอร์ดถามฝ่ายจัดการ 6 ข้อก่อนอนุมัติโครงการ AI ตั้งแต่สถานะทางกฎหมายไปจนถึงแผนแจ้งเหตุใน 72 ชั่วโมง
- แนวทาง สพธอ. ให้มีคณะกรรมการกำกับดูแล AI ที่รับผิดชอบโดยตรงต่อผลการตัดสินใจของ AI และเป็นผู้กำหนดความเสี่ยงที่รับได้
- งานเสี่ยงสูง เช่น คัดกรองพนักงานหรืออนุมัติเงิน ไม่ควรอนุมัติจนกว่าจะทำ DPIA เสร็จ (แนวทาง สคส. หัวข้อ 6.2)
- คนที่ทบทวนผล AI ต้องกลับคำตัดสินได้จริง ถ้ากดยืนยันได้อย่างเดียว สคส. ไม่นับว่าเป็นการทบทวน
- ทั้งสองเล่มเป็นแนวปฏิบัติ ไม่มีสภาพบังคับเหมือนพระราชบัญญัติ แต่บอกได้ชัดว่าหน่วยงานกำกับคาดหวังอะไร
เวลาฝ่ายไอทีหรือฝ่ายธุรกิจเสนอโครงการ AI เข้าที่ประชุม บอร์ดมักได้เห็นตัวเลขประหยัดต้นทุนกับเดโมที่ดูดี แต่แทบไม่มีใครยื่นคำตอบของสองคำถามง่าย ๆ ให้ดู คือ ถ้า AI ตัดสินผิดใครรับผิดชอบ และบริษัทจะอธิบายกับลูกค้าหรือพนักงานที่ได้รับผลกระทบอย่างไร
ตอนนี้มีแนวทางของรัฐสองเล่มที่ตอบเรื่องนี้กับผู้บริหารโดยตรง เล่มแรกคือ แนวทางการประยุกต์ใช้ปัญญาประดิษฐ์อย่างมีธรรมาภิบาล สำหรับผู้บริหารองค์กร ของสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (สพธอ.) ฉบับปรับปรุงครั้งที่ 2
เล่มที่สองคือ แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ version 1.0 ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลออกโดยอาศัยมาตรา 16 (3) ของ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
บทความนี้วางสองเล่มไว้คู่กัน แล้วกลั่นออกมาเป็นคำถามที่กรรมการหรือ CEO ควรถาม เอกสารที่ควรขอดู และเช็กลิสต์หน้าเดียวที่แนบท้ายวาระได้
ถ้า AI ตัดสินผิด ใครในบริษัทต้องรับผิดชอบ
ตามแนวทางของ สพธอ. ผู้รับผิดชอบคือคณะกรรมการกำกับดูแลการประยุกต์ใช้ AI (AI Governance Council) ไม่ใช่ทีมไอทีหรือบริษัทที่ขายระบบ เล่มนี้วางโครงการกำกับดูแลไว้ 3 องค์ประกอบ ได้แก่ โครงสร้างการกำกับดูแล กลยุทธ์ในการใช้ AI และการกำกับการปฏิบัติงานตลอดวงจรชีวิตของ AI
คณะกรรมการกำกับดูแลฯ เป็นผู้รับผิดชอบโดยตรงต่อผลลัพธ์จากการทำงานหรือการตัดสินใจของ AI
บริษัทขนาดกลางไม่ต้องตั้งคณะกรรมการชุดใหม่ก็ได้ เล่มเดียวกันเปิดทางให้ใช้โครงสร้างที่มีอยู่แล้ว เช่น มอบให้คณะกรรมการธรรมาภิบาลข้อมูลดูแลเรื่องคุณภาพข้อมูลและการคุ้มครองข้อมูลส่วนบุคคล หรือมอบให้คณะกรรมการตามโครงสร้าง GRC ดูแลความเสี่ยงของ AI
ตัวอย่างโครงสร้างในเล่มมีผู้บริหารระดับ C-level อยู่บนสุด ถัดลงมาเป็นผู้แทนฝ่ายกฎหมายหรือกำกับดูแล ฝ่ายเทคนิค ฝ่ายธุรกิจ และบุคคลภายนอกถ้าจำเป็น สองเรื่องที่ต้องเขียนให้ชัดคือ ใครมีอำนาจอนุมัติให้นำโมเดลไปใช้งานจริง และใครเป็นคนตัดสินว่าความเสี่ยงระดับไหนรับได้
คณะกรรมการกำกับดูแลฯ ยังมีหน้าที่ในการพิจารณาว่าความเสี่ยงใดเป็นความเสี่ยงที่ยอมรับได้ (Risk Appetite) พร้อมทั้งกำกับดูแลให้มีการบริหารจัดการความเสี่ยง (Risk Management) อย่างเหมาะสม เพื่อควบคุมความเสี่ยงให้อยู่ในขอบเขตที่ยอมรับได้
6 คำถามที่ สคส. ให้บอร์ดถามฝ่ายจัดการมีอะไรบ้าง
แนวทาง AI ของ สคส. มีหน้าหนึ่งเขียนถึงคณะกรรมการและผู้บริหารระดับสูงโดยเฉพาะ ระบุคำถาม 6 ข้อที่ควรถามก่อนอนุมัติโครงการ AI ทั้ง 6 ข้อไม่ได้ถามว่าระบบเก่งแค่ไหน ทุกข้อถามว่าบริษัทพร้อมรับผิดชอบหรือยัง ข้อที่บอร์ดมักลืมถามคือข้อ 4
4) มีมนุษย์กำกับดูแล (Human Oversight) ที่มีอำนาจกลับคำตัดสินของระบบได้จริง ในจุดที่กระทบสิทธิส่วนบุคคลหรือไม่
ตารางข้างล่างแปลงทั้ง 6 ข้อเป็นเอกสารที่บอร์ดขอดูได้จริง ช่องขวาสุดเป็นความเห็นของผู้เขียนว่าคำตอบแบบไหนควรทำให้บอร์ดชะลอการอนุมัติไว้ก่อน
| คำถาม (สรุปจากแนวทาง สคส.) | เอกสารที่ควรเห็น | สัญญาณให้ชะลอ |
|---|---|---|
| 1. เราเป็นผู้ควบคุมหรือผู้ประมวลผลข้อมูลในโครงการนี้ และสัญญากับผู้ให้บริการ AI ห้ามนำข้อมูลไปฝึกโมเดลหรือไม่ | ผังบทบาทในห่วงโซ่ AI · ข้อตกลงการประมวลผลข้อมูล (DPA) | ตอบได้แค่ว่าใช้ตามเงื่อนไขมาตรฐานของผู้ให้บริการ โดยไม่มีใครอ่าน |
| 2. ใช้ฐานทางกฎหมายอะไร ถ้าเป็นฐานประโยชน์โดยชอบด้วยกฎหมาย มี LIA หรือความยินยอมรองรับครบไหม | บันทึกฐานทางกฎหมายใน RoPA · แบบประเมิน LIA | อ้างความยินยอมเป็นฐานเดียว ทั้งที่เจ้าของข้อมูลถอนได้ทุกเมื่อ |
| 3. เข้าเกณฑ์ความเสี่ยงสูงที่ต้องทำ DPIA ไหม และผลอยู่ในระดับที่รับได้หรือไม่ | รายงาน DPIA พร้อมมาตรการลดความเสี่ยง | ยังไม่ได้ทำ แต่ขออนุมัติไปก่อน |
| 4. มีคนที่มีอำนาจกลับคำตัดสินของระบบได้จริงในจุดที่กระทบสิทธิไหม | ผังขั้นตอนที่ระบุตำแหน่งผู้ทบทวน · สถิติการกลับคำตัดสิน | ผู้ทบทวนกดยืนยันได้อย่างเดียว |
| 5. มีช่องทางให้เจ้าของข้อมูลใช้สิทธิหรือไม่ | ช่องทางรับคำขอ · ขั้นตอนตอบคำขอที่ครอบคลุมข้อมูลในระบบ AI | ไม่มีใครรู้ว่าจะลบข้อมูลในโมเดลหรือฐานเวกเตอร์อย่างไร |
| 6. ถ้าข้อมูลรั่ว มี log และแผนเผชิญเหตุที่แจ้ง สคส. ได้ทันใน 72 ชั่วโมงไหม | นโยบายเก็บ log · แผนรับมือเหตุ · รายชื่อผู้มีอำนาจตัดสินใจแจ้งเหตุ | log ไม่เก็บ prompt หรือเวอร์ชันโมเดล จึงย้อนหาสาเหตุไม่ได้ |
ข้อ 6 ผูกกับกฎหมายโดยตรง บทสรุปผู้บริหารของแนวทางเล่มเดียวกันย้ำว่า การแจ้งเหตุละเมิดต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมงนับแต่ทราบเหตุเป็นหน้าที่ตามมาตรา 37 (4) และผู้บริหารควรกำกับให้มีระบบรองรับ ขั้นตอนในชั่วโมงแรก ๆ อ่านต่อได้ที่ 72 ชั่วโมงแรกหลังข้อมูลรั่ว
ข้อมูลที่ log ควรเก็บ แนวทาง สคส. ภาคผนวก ข. ระบุไว้ค่อนข้างละเอียด ได้แก่ Prompt ที่ป้อนเข้า เวอร์ชันของโมเดล System Prompt และผลลัพธ์ เพื่อใช้พิสูจน์หลักฐานเมื่อเกิด Prompt Injection หรือข้อมูลรั่ว แต่ภาคผนวก ค. ข้อ 6.5 ก็เตือนให้เก็บเท่าที่จำเป็น และปกปิดข้อมูลส่วนบุคคลใน Prompt ก่อนบันทึก
AI ควรตัดสินเองได้แค่ไหน
แนวทางของ สพธอ. แบ่งการมีส่วนร่วมของมนุษย์ไว้ 3 ระดับ และให้องค์กรเลือกระดับตามความรุนแรงของผลกระทบที่อาจเกิด ระดับที่คนคุมมากที่สุดเรียกว่า Human-in-the-loop
เป็นระดับการมีส่วนร่วมที่มนุษย์ควบคุมการทำงานหรือตัดสินทั้งหมด โดยมี AI ทำหน้าที่ในการให้คำแนะนำหรือข้อมูล แต่ไม่สามารถทำงานหรือตัดสินใจในการดำเนินการใด ๆ ได้ โดยปราศจากมนุษย์
อีกสองระดับคือ Human-over-the-loop ที่ AI ทำงานเองได้แต่มีคนเฝ้าและสั่งหยุดได้ กับ Human-out-of-the-loop ที่คนเข้าไปแทรกแซงไม่ได้เลย แนวทางให้ปัจจัยตัดสินไว้ 4 ข้อ คือ ระดับความเสี่ยง ความรุนแรงของผลกระทบ ผลกระทบย้อนแก้ได้หรือไม่ และคนเข้าไปแทรกแซงได้จริงหรือไม่
ผลตกกับโอกาสในการทำงานของคน และแนวทาง สคส. ยกการคัดกรองการจ้างงานเป็นตัวอย่างงานเสี่ยงสูงที่ควรทำ DPIA
แนวทาง สพธอ. ใช้กรณีนี้เป็นตัวอย่างเอง ระบบคัดได้เองโดยไม่ต้องรอคน แต่ต้องมีคนสั่งหยุดได้เมื่อคัดผิด
แนวทาง สพธอ. ให้เปิดช่องทางติดต่อพนักงานที่เป็นคนไว้ และ สคส. แนะนำให้บอกผู้ใช้ตั้งแต่ต้นว่ากำลังคุยกับระบบอัตโนมัติ
กับดักที่เจอบ่อยที่สุดคือใส่คนไว้ในขั้นตอน แต่ไม่ให้อำนาจหรือเวลาพอจะค้านผลของระบบ แนวทาง สคส. เขียนเรื่องนี้ไว้ชัดในหัวข้อ 5.4
การให้มนุษย์เพียงยืนยันผลของระบบ (Rubber-stamping) ไม่ควรถือเป็นการทบทวนที่มีความหมาย และทำให้การตัดสินใจนั้นยังคงมีลักษณะเป็นการตัดสินใจอัตโนมัติตามข้อเท็จจริง
หัวข้อเดียวกันวางเงื่อนไขการทบทวนที่มีความหมายไว้ 3 ข้อ คือ ผู้ทบทวนต้องดูข้อมูลและปัจจัยอื่นประกอบหลังระบบให้ผลแล้ว ต้องมีอำนาจและความรู้พอจะกลับหรือแก้ผลได้จริง และต้องผ่านการอบรมให้รู้ทันการคล้อยตามระบบ (Automation Bias) บอร์ดถามทั้งสามข้อเป็นคำถามแบบใช่หรือไม่ได้เลย
โครงการแบบไหนที่บอร์ดยังไม่ควรอนุมัติ
คำตอบที่สั้นที่สุดอยู่ในกล่อง "ข้อแนะนำสำคัญสำหรับผู้บริหาร" ท้ายหัวข้อ DPIA ของแนวทาง สคส.
ไม่ควรอนุมัติโครงการ AI ที่มีความเสี่ยงสูง เช่น อนุมัติเงิน หรือคัดกรองพนักงาน จนกว่าจะมีการทำประเมินผลกระทบ (DPIA) เพื่อตรวจสอบและอุดช่องโหว่ความเสี่ยงเฉพาะที่เกี่ยวกับ AI ให้แน่ใจก่อน
เกณฑ์ความเสี่ยงสูงในหัวข้อเดียวกันกว้างกว่าตัวอย่างในกล่อง ได้แก่ การตัดสินใจอัตโนมัติที่มีผลทางกฎหมายหรือผลกระทบสำคัญต่อบุคคล การใช้ข้อมูลอ่อนไหวตามมาตรา 26 หรือข้อมูลผู้เยาว์ปริมาณมากฝึกโมเดล การเฝ้าติดตามพฤติกรรมคนในพื้นที่สาธารณะอย่างเป็นระบบ และ Generative AI ที่อาจสร้างเนื้อหาบิดเบือนจนกระทบชื่อเสียงของบุคคล
ถ้าโครงการตกเกณฑ์ข้อใดข้อหนึ่ง ผู้เขียนเห็นว่าวาระอนุมัติควรแนบรายงาน DPIA มาด้วยทุกครั้ง วิธีทำทีละขั้นอยู่ที่ คู่มือ DPIA ถ้าต้องการประเมินผลกระทบด้านจริยธรรมควบคู่ไปด้วย อ่าน EIA กับ DPIA ทำอันไหนก่อน
เช็กลิสต์หน้าเดียวสำหรับวาระอนุมัติ AI
ตารางนี้รวมสองเล่มไว้ด้วยกัน แนบท้ายวาระได้ทันที ช่อง "ที่มา" บอกว่าแต่ละข้อมาจากเล่มไหน หัวข้อใด เลขานุการบริษัทหรือ DPO จะได้ย้อนไปอ่านต้นฉบับได้
| # | เรื่องที่ต้องได้คำตอบ | ผู้ตอบ | ที่มา |
|---|---|---|---|
| 1 | โครงการนี้ช่วยเป้าหมายธุรกิจข้อไหน และวัดผลด้วยตัวชี้วัดอะไร | เจ้าของโครงการ | สพธอ. 4.4 |
| 2 | ใครมีอำนาจอนุมัติให้ใช้งานจริง และใครรับผิดชอบผลการตัดสินใจของ AI | คณะกรรมการกำกับดูแล AI | สพธอ. 5.1 |
| 3 | ระดับความเสี่ยงที่ยอมรับได้ (Risk Appetite) ของโครงการนี้ | คณะกรรมการกำกับดูแล AI | สพธอ. 5.1 · 6.2 |
| 4 | เป็นผู้ควบคุมหรือผู้ประมวลผลข้อมูล และสัญญาห้ามผู้ให้บริการนำข้อมูลไปฝึกโมเดลหรือไม่ | ฝ่ายกฎหมาย / จัดซื้อ | สคส. คำถามข้อ 1 · 3.1 |
| 5 | ฐานทางกฎหมาย และ LIA ถ้าใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย | DPO | สคส. คำถามข้อ 2 · 4.5 |
| 6 | ผล DPIA และความเสี่ยงที่เหลือหลังมีมาตรการแล้ว | DPO | สคส. คำถามข้อ 3 · 6.2 |
| 7 | ระดับการมีส่วนร่วมของมนุษย์ และผู้ทบทวนกลับคำตัดสินได้จริง | เจ้าของกระบวนการ | สพธอ. 6.2 · สคส. 5.4 |
| 8 | ประกาศความเป็นส่วนตัวบอกแล้วหรือยังว่าใช้ AI และใช้ข้อมูลทำอะไร | DPO | สคส. 4.4 |
| 9 | ช่องทางใช้สิทธิของเจ้าของข้อมูล รวมถึงการลบข้อมูลในระบบ AI | DPO / ไอที | สคส. คำถามข้อ 5 · บทที่ 9 |
| 10 | log ที่สืบย้อนได้ และแผนแจ้งเหตุภายใน 72 ชั่วโมง | ไอที / ความมั่นคงปลอดภัย | สคส. คำถามข้อ 6 · ภาคผนวก ข. |
| 11 | นโยบายการใช้ AI ของพนักงานและการอบรม | HR / DPO | สคส. 7.1 · ภาคผนวก ข. |
| 12 | รอบรายงานกลับมาที่บอร์ด เช่น ความแม่นยำ ข้อร้องเรียน และข้อผิดพลาด | เจ้าของโครงการ | สพธอ. 5.1 |
ถ้าบางข้อยังตอบได้แค่ว่า "กำลังทำ" บอร์ดอาจอนุมัติแบบมีเงื่อนไข เช่น ให้ทดลองกับข้อมูลที่ไม่ระบุตัวบุคคลก่อน แล้วเปิดใช้กับข้อมูลจริงเมื่อ DPIA เสร็จ วิธีนี้เป็นข้อเสนอของผู้เขียน แนวทางทั้งสองเล่มไม่ได้กำหนดขั้นตอนอนุมัติแบบนี้ไว้
แนวทางสองเล่มนี้บังคับบริษัทแค่ไหน
ในตัวเองไม่บังคับ ทั้งสองเล่มเขียนสถานะของตัวเองไว้ชัด เล่มของ สพธอ. ระบุในหัวข้อขอบเขตและข้อจำกัดว่า
การไม่ปฏิบัติตามแนวปฏิบัติหรือข้อเสนอแนะนี้ จึงไม่เป็นการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายและข้อกำหนดที่เกี่ยวข้องกับปัญญาประดิษฐ์ของประเทศไทย
เล่มเดียวกันบอกด้วยว่าไม่ใช่เกณฑ์สำหรับขอรับรองระบบ องค์กรที่ต้องการใบรับรองต้องทำตามมาตรฐาน ISO/IEC 42001:2023 ซึ่งสรุปไว้ที่ คู่มือเริ่มต้น ISO 42001 ส่วนแนวทางของ สคส. เขียนไว้ในหน้าแรกว่า
อนึ่ง แนวทางการดำเนินการฉบับนี้มีวัตถุประสงค์เพื่อเป็นคำแนะนำในชั้นต้น เพื่อประโยชน์ของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ที่เกี่ยวข้องในการนำไปปรับใช้เท่านั้น ไม่มีสภาพบังคับตามกฎหมายและไม่มีผลผูกพันในการพิจารณาความผิด
อย่าอ่านว่าไม่ต้องทำก็ได้ เรื่องที่แนวทาง สคส. ขอให้ทำส่วนใหญ่คือวิธีปฏิบัติตามหน้าที่ที่ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บังคับอยู่แล้ว เช่น ฐานทางกฎหมาย การแจ้งวัตถุประสงค์ มาตรการรักษาความมั่นคงปลอดภัย และการแจ้งเหตุ เมื่อเกิดปัญหาขึ้น เอกสารเล่มนี้คือสิ่งที่บอกว่าหน่วยงานกำกับคาดหวังให้องค์กรทำอะไรมาก่อน
บอร์ดเริ่มอะไรได้ภายในเดือนนี้
- ให้ฝ่ายจัดการทำบัญชีระบบ AI ที่ใช้อยู่จริงทั้งหมด รวมถึงเครื่องมือที่พนักงานสมัครใช้เอง แนวทาง สคส. เรียกกรณีหลังว่า Shadow AI และแนะนำให้ห้ามเชื่อมกับข้อมูลบริษัท ตัวอย่างนโยบายอยู่ที่ คู่มือนโยบาย Generative AI
- แต่งตั้งหรือมอบหมายคณะกรรมการกำกับดูแล AI ให้ชัด จะใช้คณะกรรมการบริหารความเสี่ยงที่มีอยู่แล้วก็ได้
- กำหนดว่าโครงการแบบไหนต้องเข้าบอร์ด อย่างน้อยงานที่ตกเกณฑ์ความเสี่ยงสูงของ สคส.
- ใช้เช็กลิสต์ 12 ข้อข้างบนเป็นแบบฟอร์มแนบวาระ
- กำหนดรอบรายงานกลับ เช่น ทุกไตรมาส ให้เห็นความแม่นยำ ข้อร้องเรียน และข้อผิดพลาดของระบบ
อยากรู้ว่าองค์กรอยู่ตรงไหนก่อนเข้าห้องประชุม ลองทำ แบบเช็กความเสี่ยง AI ใช้เวลาไม่กี่นาที ส่วนองค์กรที่ต้องดูแลทะเบียนระบบ AI และเช็กลิสต์ตามแนวทาง สคส. เป็นงานประจำ AIPDPA มีทะเบียน AI, AI Risk Radar และรายการตรวจตามแนวทาง สคส. ให้ ดูบัญชีตัวอย่าง
คำถามที่พบบ่อย
บอร์ดต้องดูแลเรื่อง AI เองหรือมอบให้ฝ่ายไอทีได้?
แนวทางของ สพธอ. ให้คณะกรรมการกำกับดูแลการประยุกต์ใช้ AI ซึ่งมีผู้บริหารระดับสูงร่วมอยู่ รับผิดชอบโดยตรงต่อผลการตัดสินใจของ AI ฝ่ายไอทีทำงานเทคนิคได้ แต่การกำหนดความเสี่ยงที่ยอมรับได้และการอนุมัติให้ใช้งานจริงเป็นเรื่องระดับนโยบาย ทั้งนี้แนวทางเป็นแนวปฏิบัติ ไม่ใช่กฎหมาย
ทุกโครงการ AI ต้องทำ DPIA หรือไม่?
ไม่ทุกโครงการ แนวทาง สคส. ภาคผนวก ค. ข้อ 6.1 ให้ทำกับโครงการที่มีความเสี่ยงสูงต่อสิทธิและเสรีภาพ เช่น การวิเคราะห์ทำนายพฤติกรรม (Profiling) การใช้ข้อมูลอ่อนไหวหรือข้อมูลผู้เยาว์จำนวนมาก และการให้ AI ตัดสินใจแทนคนในเรื่องที่มีผลทางกฎหมายหรือผลกระทบสำคัญ
ใช้ ChatGPT หรือ AI สำเร็จรูป ต้องทำตามแนวทางนี้ด้วยไหม?
ต้องดูเหมือนกัน แนวทาง สคส. ภาคผนวก ค. ข้อ 6.3 แนะนำให้ตรวจสอบผู้ให้บริการ อ่านข้อกำหนดการใช้งาน และตั้งค่าความเป็นส่วนตัวให้เหมาะสม ไม่ใช้ค่าเริ่มต้นถ้าไม่ปลอดภัยพอ เรื่องพนักงานใช้ AI สาธารณะอ่านต่อได้ที่ ใช้ ChatGPT ในที่ทำงาน
Human-in-the-loop กับ Human Oversight ต่างกันอย่างไร?
ตามแนวทาง สพธอ. Human-in-the-loop คือคนตัดสินทั้งหมดและ AI ให้ข้อมูลประกอบเท่านั้น ส่วน Human-over-the-loop คือ AI ทำเองได้แต่มีคนกำกับและสั่งหยุดได้ แนวทาง สคส. ใช้คำว่ามนุษย์กำกับดูแล (Human Oversight) และเน้นว่าคนนั้นต้องมีอำนาจกลับคำตัดสินได้จริง
ทำตามแนวทางครบแล้ว ได้ใบรับรองหรือพ้นความรับผิดไหม?
ไม่ได้ทั้งสองอย่าง แนวทาง สพธอ. ระบุเองว่าไม่ใช่เกณฑ์ขอรับรองระบบ ใบรับรองต้องทำตาม ISO/IEC 42001:2023 ส่วนรายการตรวจในภาคผนวก ข. ของ สคส. ก็เขียนว่าตรวจครบแล้วไม่ได้หมายความว่าปฏิเสธความรับผิดทางกฎหมายได้
ตัวบทและแหล่งอ้างอิง
- แนวทางการประยุกต์ใช้ปัญญาประดิษฐ์อย่างมีธรรมาภิบาล สำหรับผู้บริหารองค์กร (ฉบับปรับปรุงครั้งที่ 2) — สพธอ. (แนวปฏิบัติ ไม่ใช่กฎหมาย) — หัวข้อ 3 · 4.4 · 5.1 · 6.2
- แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ version 1.0 — คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (แนวทาง ไม่ใช่กฎหมาย) — ข้อความนำ · 6 คำถามสำหรับคณะกรรมการ · 3.3 · 5.4 · 6.2 · ภาคผนวก ข.–ค.
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)