เริ่มทำระบบบริหารจัดการ AI ตาม ISO/IEC 42001 อย่างไร ฉบับองค์กรไทย เริ่ม ISO/IEC 42001 ได้โดยยังไม่ต้องขอการรับรอง ใช้ Clause 4–10 เป็นแบบประเมินตนเอง และใช้ 38 มาตรการใน Annex A เป็นเช็กลิสต์ เอกสารแกนที่ผู้ตรวจต้องการคือ นโยบาย AI ที่ผู้บริหารสูงสุดอนุมัติ (ข้อ 5.2) Statement of Applicability (ข้อ 6.1.3) และการประเมินผลกระทบของระบบ AI (ข้อ 6.1.4) ISO/IEC 42001 เป็นมาตรฐานโดยสมัครใจ ไม่ใช่กฎหมาย
ลูกค้าต่างชาติรายใหญ่ของโรงงานผลิตชิ้นส่วนแห่งหนึ่งส่งแบบประเมินคู่ค้ามาถามว่า “บริษัทมีระบบบริหารจัดการ AI ตาม ISO/IEC 42001 หรือไม่” ทั้งที่โรงงานใช้ AI แค่ตรวจภาพชิ้นงานและแชตบอตตอบลูกค้า ผู้จัดการฝ่ายไอทีเปิดดูโครงมาตรฐานแล้วไม่รู้ว่าจะเริ่มจากข้อไหน
สรุปสิ่งที่ต้องรู้
5 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้
- ISO/IEC 42001 เป็นระบบบริหารจัดการโครงเดียวกับ ISO 9001 และ ISO/IEC 27001 (Clause 4–10 และวงจร Plan-Do-Check-Act) ถามว่าใครรับผิดชอบ ประเมินความเสี่ยงอย่างไร มีหลักฐานอะไร และทบทวนเมื่อไร ไม่ได้ถามว่าโมเดลแม่นแค่ไหน
- สามเอกสารแกนของการตรวจรับรองคือ นโยบาย AI (5.2) Statement of Applicability (6.1.3) และการประเมินผลกระทบของระบบ AI (6.1.4)
- ผู้ตรวจอิสระออกใบรับรอง ISO/IEC 42001 ได้ ใบรับรองต่ออายุทุก 3 ปีและมีการตรวจติดตามระหว่างทาง
- องค์กรไทยส่วนใหญ่ไม่จำเป็นต้องขอการรับรอง แต่ได้ประโยชน์จากการใช้โครงของมาตรฐานจัดระบบงาน AI
- องค์กรที่ซื้อ AI มาใช้ระบุใน SoA ได้ว่ามาตรการด้านการสร้างโมเดลใน A.6 และ A.7 ส่วนใหญ่ไม่ใช้กับตน ถ้าให้เหตุผลชัด
ทำตามนี้ 8 ขั้นตอน
ทำตามลำดับ 8 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้
- ระบุบทบาทและขอบเขต (Clause 4)ตอบให้ชัดว่าองค์กรเป็นผู้พัฒนา ผู้ให้บริการ หรือผู้ใช้ AI เพราะคำตอบนี้กำหนดว่า Annex A ข้อไหนใช้กับคุณ แล้วเขียนขอบเขตสั้น ๆ ว่าครอบหน่วยงานใด ระบบ AI ใด และตัดอะไรออกพร้อมเหตุผล ขอบเขตแคบที่ให้เหตุผลได้ดีกว่าขอบเขตกว้างที่ทำไม่ถึง
- ให้ผู้บริหารสูงสุดอนุมัตินโยบาย AI (Clause 5.1–5.2)จัดทำนโยบาย 2–3 หน้า ระบุเหตุผลที่ใช้ AI หลักการ 5–7 ข้อ ระดับความเสี่ยงที่ยอมรับได้ ผู้อนุมัติเครื่องมือใหม่ และรอบทบทวน แล้วให้ผู้บริหารสูงสุดลงนาม บันทึกการประชุมคือหลักฐานที่ผู้ตรวจขอดู
- มอบหมายบทบาทด้วยชื่อคนจริง (Clause 5.3)ทำตารางบทบาท 5–8 แถว เช่น เจ้าภาพระบบบริหารจัดการ AI ซึ่งให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) รับไปก่อนได้ เจ้าของแต่ละระบบ ผู้กำกับดูแลโดยมนุษย์ และผู้ตรวจภายในที่ไม่ใช่คนทำงานนั้นเอง
- ตั้งเกณฑ์และทำทะเบียนความเสี่ยง AI (Clause 6.1.1–6.1.2)เขียนเกณฑ์เป็นตาราง 3×3 โอกาสคูณผลกระทบ พร้อมกฎว่าต่ำยอมรับได้ กลางต้องจัดการและเฝ้าระวัง สูงต้องยกระดับหรือเลิกใช้ แล้วบันทึกความเสี่ยงทีละระบบ เช่น อคติ ความเป็นส่วนตัว ความมั่นคงปลอดภัย และผู้ให้บริการล่ม
- ทำ Statement of Applicability ครบ 38 ข้อ (Clause 6.1.3)ทำตารางมาตรการ A.2.2 ถึง A.10.4 ทุกข้อ ระบุว่าใช้หรือไม่ใช้ เหตุผล สถานะ และหลักฐานอยู่ที่ไหน แล้วให้ผู้บริหารลงนามยอมรับความเสี่ยงคงเหลือ
- ประเมินผลกระทบต่อบุคคลและสังคม (Clause 6.1.4)สำหรับระบบที่มีความเสี่ยงสูง ให้ประเมินว่าใครได้รับผลกระทบ รวมถึงกลุ่มเปราะบาง และจะเกิดอะไรถ้าระบบถูกใช้ผิดวัตถุประสงค์ คู่มือของทีมแนะนำให้ผู้ที่ไม่ได้จัดหาระบบเป็นผู้ประเมิน
- อบรมและประเมินซ้ำตามรอบ (Clause 7–8)เก็บหลักฐานสมรรถนะและการรับทราบนโยบายของพนักงาน และประเมินความเสี่ยงซ้ำตามรอบที่กำหนดและทุกครั้งที่เปลี่ยนโมเดล ผู้ให้บริการ วัตถุประสงค์ หรือข้อมูล คู่มือของทีมเสนอรอบทุก 6 เดือนสำหรับระบบความเสี่ยงสูง และทุกปีสำหรับระบบอื่น
- ตรวจภายในและทบทวนโดยผู้บริหาร (Clause 9.2–9.3)ตรวจภายในอย่างน้อยปีละครั้งโดยใช้ SoA เป็นเช็กลิสต์ และจัดประชุมทบทวนโดยผู้บริหารปีละ 1–2 ครั้ง บันทึกการประชุมต้องมีการตัดสินใจ ไม่ใช่แค่รับทราบ
ISO/IEC 42001 คืออะไร และต่างจากกรอบ AI อื่นอย่างไร?
ISO/IEC 42001 คือมาตรฐานระบบบริหารจัดการ AI (AI Management System หรือ AIMS) ที่ใช้โครง Clause 4–10 เดียวกับ ISO 9001 และ ISO/IEC 27001 จุดที่ต่างจากกรอบอื่นคือมีสามสิ่งที่มาตรฐานนี้บังคับให้มี และเป็นแกนของการตรวจรับรอง
องค์กรที่มี ISO/IEC 27001 อยู่แล้วต่อยอดได้เร็ว เพราะโครงเอกสาร การตรวจภายใน และการทบทวนโดยผู้บริหารใช้แนวคิดเดียวกัน
- นโยบาย AI ที่ผู้บริหารสูงสุดอนุมัติ (ข้อ 5.2)
- Statement of Applicability ที่ระบุว่าเลือกและไม่เลือกมาตรการใดใน Annex A เพราะอะไร (ข้อ 6.1.3)
- การประเมินผลกระทบของระบบ AI ต่อบุคคลและสังคม (ข้อ 6.1.4 และ A.5)
ต้องขอการรับรอง ISO 42001 หรือไม่?
องค์กรไทยส่วนใหญ่ไม่จำเป็นต้องขอการรับรอง แต่ได้ประโยชน์จากโครงของมาตรฐาน โดยใช้ Clause 4–10 เป็นแบบประเมินตนเองและใช้ Annex A เป็นเช็กลิสต์ แล้วค่อยตัดสินใจเรื่องการรับรองภายหลัง
ISO/IEC 42001 เป็นกรอบที่รับรองได้ ต่างจาก NIST AI RMF ที่รับรองไม่ได้ ข้อดีของการรับรองคือแสดงต่อลูกค้าและคู่ค้าได้ ข้อเสียคือมีต้นทุนจริง และองค์กรที่จะขอการรับรองต้องซื้อมาตรฐานฉบับทางการ ใช้คู่มือสรุปแทนไม่ได้
บริษัทที่ซื้อ AI มาใช้ต้องทำ Annex A ทุกข้อไหม?
ไม่ต้องทำทุกข้อ แต่ต้องตอบทุกข้อ Statement of Applicability คือรายการทั้ง 38 ข้อพร้อมคำตอบว่าใช้หรือไม่ใช้และเพราะอะไร ไม่ใช่รายการเฉพาะสิ่งที่ทำ
ตามคู่มือของทีม AIPDPA เหตุผลว่า “เราเป็นผู้ใช้ ไม่ได้ฝึกโมเดล” ยอมรับได้สำหรับ A.6.1.x, A.6.2.2–A.6.2.4 และส่วนใหญ่ของ A.7.2–A.7.6 แต่ไม่ใช่เหตุผลที่ยอมรับได้สำหรับหมวดที่พูดถึงการใช้โดยตรง
- A.4 ทรัพยากร
- A.5 การประเมินผลกระทบ
- A.8 ข้อมูลสำหรับผู้ใช้
- A.9 การใช้ระบบ AI
- A.10 ผู้ให้บริการและบุคคลที่สาม
นโยบาย AI ตามข้อ 5.2 ต่างจากกฎการใช้ ChatGPT อย่างไร?
นโยบาย AI ตามข้อ 5.2 เป็นเอกสารที่ผู้บริหารสูงสุดอนุมัติ และให้กรอบสำหรับตั้งวัตถุประสงค์ ประเมินความเสี่ยง และตัดสินใจ ส่วนกฎการใช้เครื่องมืออย่าง ChatGPT เป็นเอกสารลูกของนโยบาย ไม่ใช่ตัวนโยบาย คู่มือของทีมระบุว่านี่คือข้อที่องค์กรไทยพลาดกันมากที่สุด
นโยบายที่ดีควรมีเหตุผลที่ใช้ AI หลักการ เช่น ความยุติธรรม ความโปร่งใส การมีคนกำกับ ความเป็นส่วนตัว ความมั่นคงปลอดภัย และความรับผิดชอบ ระดับความเสี่ยงที่ยอมรับได้ ผู้อนุมัติเครื่องมือใหม่ การอ้างถึงนโยบายข้อมูลส่วนบุคคลและความมั่นคงปลอดภัยเดิม (A.2.3) และการทบทวนปีละครั้ง (A.2.4)
ปัญหาที่พบบ่อยและวิธีแก้
องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ
| ปัญหา | วิธีแก้ |
|---|---|
| ✗ ถือว่ากฎการใช้ ChatGPT คือนโยบาย AI ของบริษัท | ✓ เขียนนโยบายหลัก 2–3 หน้าที่ผู้บริหารสูงสุดอนุมัติ แล้วให้กฎการใช้เครื่องมือเป็นเอกสารลูก AIPDPA มีนโยบายการใช้เครื่องมือ AI ในที่ทำงานพร้อมใช้สำหรับเอกสารลูก และทะเบียน AI ที่บอกว่าใช้เครื่องมืออะไรอยู่บ้าง |
| ✗ ประเมินความเสี่ยงครั้งเดียวตอนตั้งระบบแล้วไม่เคยทำซ้ำ | ✓ Clause 8 ต้องการให้ประเมินซ้ำตามรอบและทุกครั้งที่มีการเปลี่ยนแปลงสำคัญ จึงควรกำหนดรอบเป็นตัวเลขและเหตุที่ต้องประเมินใหม่ พื้นที่ทำ DPIA ใน AIPDPA มีแบบสอบถาม ทะเบียนความเสี่ยง และการลงนามอนุมัติ ใช้ DPIA ของระบบ AI แต่ละตัวเป็นทะเบียนความเสี่ยง AI ได้ |
| ✗ SoA ตัดหมวด A.9 หรือ A.10 ทิ้งด้วยเหตุผลว่าเป็นแค่ผู้ใช้ | ✓ เหตุผลว่าเป็นผู้ใช้ใช้ได้กับมาตรการด้านการสร้างโมเดลเท่านั้น หมวดการใช้และผู้ให้บริการต้องมีหลักฐานจริง ทะเบียนคู่ค้าใน AIPDPA เก็บข้อมูลผู้ให้บริการ AI และความเสี่ยงไว้เป็นหลักฐานสำหรับ A.10 ถ้าต้องการผู้ช่วยวางระบบทั้งชุด Kooru TrustAI รับทบทวนความเสี่ยงและตั้งระบบธรรมาภิบาล AI |
เริ่มระบบบริหารจัดการ AI จากทะเบียนที่มีอยู่จริง
AIPDPA มีทะเบียนระบบ AI, AI Risk Radar ที่เทียบ ISO 42001 กฎหมายไทย NIST และ EU AI Act, พื้นที่ทำ DPIA พร้อมทะเบียนความเสี่ยงและการลงนาม และแบบทดสอบพนักงาน ให้หลักฐานที่ผู้ตรวจขอดู ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
มีในแพ็กเกจ GROWTH · PRO · ENTERPRISE เริ่มต้น 4,900 บาท/ปี · ดูบัญชีตัวอย่างได้ ไม่ต้องสมัคร
คำถามที่พบบ่อย
คำถามที่คนค้นหาบ่อยที่สุดเรื่องนี้ แต่ละคำตอบสั้น ตรงประเด็น และอ่านแยกข้อได้
ISO 42001 เป็นกฎหมายบังคับในไทยไหม?
ไม่ใช่ ISO/IEC 42001 เป็นมาตรฐานสากลที่องค์กรเลือกนำมาใช้เอง หน้าที่ตามกฎหมายไทยเรื่องข้อมูลส่วนบุคคลยังอยู่ที่ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศที่ออกตามกฎหมายนั้น
ใบรับรอง ISO 42001 มีอายุกี่ปี?
ตามคู่มือของทีม AIPDPA ใบรับรองออกโดยผู้ตรวจอิสระและต่ออายุทุก 3 ปี โดยมีการตรวจติดตามระหว่างทาง
มี ISO 27001 แล้ว ต่อยอดเป็น ISO 42001 ได้ไหม?
ได้และทำได้เร็ว เพราะทั้งสองมาตรฐานใช้โครง Clause 4–10 และวงจร Plan-Do-Check-Act เดียวกัน งานที่เพิ่มคือนโยบาย AI SoA ของ Annex A และการประเมินผลกระทบของระบบ AI
Annex A ของ ISO 42001 มีกี่มาตรการ?
38 มาตรการ ตั้งแต่ A.2.2 ถึง A.10.4 ซึ่งต้องตอบใน Statement of Applicability ทุกข้อว่าใช้หรือไม่ใช้และเพราะอะไร
ใครควรเป็นผู้ตรวจภายในระบบบริหารจัดการ AI?
ผู้ตรวจต้องเป็นกลางและไม่ใช่คนที่ดูแลระบบนั้นเอง องค์กรเล็กอาจใช้คนจากฝ่ายอื่น หรือให้ DPO ตรวจเฉพาะส่วนที่ตนไม่ได้ทำ
ใช้คู่มือสรุปแทนตัวมาตรฐานเพื่อขอการรับรองได้ไหม?
ไม่ได้ ISO/IEC ถือลิขสิทธิ์และขายมาตรฐานฉบับทางการ องค์กรที่จะขอการรับรองต้องซื้อมาตรฐานฉบับจริง คู่มือสรุปใช้ได้เพียงเป็นแผนที่สำหรับเริ่มต้น
แหล่งอ้างอิง
คู่มือนี้อ้างอิงเอกสาร 6 รายการ ตัวบทกฎหมายระบุมาตราหรือข้อไว้ชัดเจน ส่วนแนวปฏิบัติและมาตรฐานเป็นแนวทาง ไม่ใช่กฎหมาย
- ISO/IEC 42001:2023 ข้อ 4 บริบทขององค์กร — สรุปจากคู่มือประยุกต์ ISO/IEC 42001 ของทีม AIPDPA (มาตรฐาน ไม่ใช่กฎหมาย)
- ISO/IEC 42001:2023 ข้อ 5.2 นโยบาย AI — สรุปจากคู่มือประยุกต์ ISO/IEC 42001 ของทีม AIPDPA (มาตรฐาน ไม่ใช่กฎหมาย)
- ISO/IEC 42001:2023 ข้อ 6.1.3 การจัดการความเสี่ยง AI และ Statement of Applicability — สรุปจากคู่มือประยุกต์ ISO/IEC 42001 ของทีม AIPDPA (มาตรฐาน ไม่ใช่กฎหมาย)
- ISO/IEC 42001:2023 ข้อ 6.1.4 การประเมินผลกระทบของระบบ AI — สรุปจากคู่มือประยุกต์ ISO/IEC 42001 ของทีม AIPDPA (มาตรฐาน ไม่ใช่กฎหมาย)
- ISO/IEC 42001:2023 ข้อ 8.2 การประเมินความเสี่ยง AI ตามรอบ — สรุปจากคู่มือประยุกต์ ISO/IEC 42001 ของทีม AIPDPA (มาตรฐาน ไม่ใช่กฎหมาย)
- ISO/IEC 42001:2023 ข้อ 9.2–9.3 การตรวจประเมินภายในและการทบทวนโดยผู้บริหาร — สรุปจากคู่มือประยุกต์ ISO/IEC 42001 ของทีม AIPDPA (มาตรฐาน ไม่ใช่กฎหมาย)
ตัวบทในบทความนี้อ้างอิงจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษา · เนื้อหาเป็นความรู้ทั่วไป หากกรณีของคุณมีข้อเท็จจริงเฉพาะ ทีมทนายของเราช่วยดูให้ได้
เครื่องมือและบริการที่ช่วยได้ทันที
อยากทำเองให้เร็วขึ้น ใช้เครื่องมือใน AIPDPA · อยากให้ทนายดูแลให้ หรืออยากเรียนให้เป็น เลือกบริการในเครือที่ตรงกับคุณได้เลย
ทะเบียนระบบ AI, AI Risk Radar เทียบกฎหมายไทย NIST ISO 42001 และ EU AI Act พร้อมนโยบายการใช้ AI ในที่ทำงาน
ลงชื่อรอเปิดใช้งาน →แบบประเมิน ทะเบียนความเสี่ยง และการอนุมัติในที่เดียว พิมพ์รายงานได้ทันที
ลงชื่อรอเปิดใช้งาน →รู้ว่าใครประมวลผลข้อมูลแทนคุณ ความเสี่ยงระดับไหน และสัญญาครบหรือยัง
ลงชื่อรอเปิดใช้งาน →ตรวจความเสี่ยงการใช้ AI และวางระบบคุมการใช้ AI ในองค์กร
ดูบริการ →คอร์สเสริมทักษะ PDPA, DPO และธรรมาภิบาล AI พร้อม Digital Product ชุดเครื่องมือพร้อมใช้
ดูคอร์สและสินค้า →
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)
อ่านต่อ
คู่มือที่มักต้องทำต่อจากเรื่องนี้ เลือกอ่านได้ตามลำดับงานขององค์กรคุณ