ความพร้อมด้านการบริหารความเสี่ยง AI · เกณฑ์กำกับดูแล

ความเสี่ยง AI ไม่ต้องรอกฎใหม่: เกณฑ์ที่ใช้อยู่แล้วกำหนดอะไรไว้บ้าง

กรณีตัวอย่างจากภาคธนาคาร: อ่านเกณฑ์ของ ธปท. ทีละข้อ

หากถามองค์กรที่อยู่ภายใต้การกำกับดูแลแทบทุกแห่งว่าต้องมีเกณฑ์ใหม่สำหรับความเสี่ยง AI หรือไม่ คนส่วนใหญ่จะตอบว่าต้องมี หรือกำลังรอเกณฑ์นั้นอยู่ ลองดูภาคธนาคารซึ่งเป็นกรณีที่เขียนเกณฑ์ไว้ละเอียดที่สุด แนวนโยบาย AI ของ ธปท. ใช้ถ้อยคำ “ควร” และไม่ได้กำหนดวันที่ จึงง่ายที่จะสรุปว่ายังไม่มีอะไรที่ต้องทำ แต่ประกาศเรื่องความเสี่ยงด้าน IT ซึ่งมีผลผูกพันกลับบอกอีกอย่าง ประกาศฉบับนี้กำหนดไว้แล้วว่าธนาคารต้องรู้ว่าตนพึ่งพาอะไรอยู่ ต้องบริหารผู้ให้บริการที่อยู่เบื้องหลัง และต้องวางแผนรองรับเมื่อผู้ให้บริการเหล่านั้นขัดข้อง รวมถึงกรณีเลวร้ายที่คลาวด์สาธารณะหยุดชะงัก และ AI ก็เกี่ยวข้องกับทั้งสามเรื่องนี้ บทนี้วางเกณฑ์ทั้งสองฉบับเทียบกัน แล้วชี้ว่าเอกสารประเภทเดียวกันนี้อยู่ที่ใดในภาคธุรกิจอื่นที่อยู่ภายใต้การกำกับดูแล

ตรวจทานล่าสุดเทียบกับเอกสารของผู้กำกับดูแลเมื่อ 10 พฤศจิกายน 2569 เกณฑ์อาจเปลี่ยนแปลงได้ โปรดตรวจสอบเอกสารในหัวข้อแหล่งอ้างอิงท้ายบทก่อนนำไปใช้
Infozense · 10 พฤศจิกายน 2569 · CIO · CISO · CRO · หัวหน้าหน่วยงานตรวจสอบภายใน · ~9 นาที

ซีรีส์นี้ถามคำถามสามข้อกับทุกองค์กรที่ใช้ AI ได้แก่ องค์กรพึ่งพา AI อะไรอยู่บ้าง ธุรกิจจะเป็นอย่างไรเมื่อ AI นั้นขัดข้อง และ องค์กรแสดงคำตอบต่อคณะกรรมการบริหารความเสี่ยงและผู้ตรวจสอบได้หรือไม่ บทที่ 1 เริ่มจากจุดเดียวกับที่ CRO เริ่ม คือเกณฑ์ที่องค์กรถูกตรวจสอบอยู่แล้ว

ทำไมเรื่องนี้จึงสำคัญ ลองนึกถึงธนาคารแห่งหนึ่งที่ใช้ผู้ช่วย AI ในงานบริการลูกค้า โดยผู้ช่วยนั้นอาศัยผู้ให้บริการ AI ภายนอกเพียงรายเดียว สมมติว่าวันหนึ่ง ผู้ให้บริการรายนั้นใช้งานไม่ได้ตลอดทั้งวันทำการ ในทุก region ที่ธนาคารใช้อยู่ วันนั้นจะไม่มีใครถามว่าแนวนโยบาย AI เขียนไว้อย่างไร สิ่งที่ทุกคนจะถามคือแผนรองรับความต่อเนื่อง (BCP) ของบริการนั้นครอบคลุมสถานการณ์นี้หรือไม่

สำหรับระบบงานสำคัญที่ใช้บริการคลาวด์สาธารณะ ประกาศ ธปท. เรื่องความเสี่ยงด้าน IT กำหนดให้มีแผนนี้อยู่แล้ว LLM API นับเป็นการใช้บริการคลาวด์สาธารณะหรือไม่ เป็นเรื่องที่แต่ละธนาคารต้องวินิจฉัยเอง หากธนาคารวินิจฉัยว่าใช่ แผนนี้ก็ต้องมีอยู่ก่อนเกิดเหตุใด ๆ

ประเทศไทยยังไม่มีกฎหมายเฉพาะด้าน AI ที่มีผลบังคับใช้ ที่มีอยู่คือแนวทางด้าน AI จากผู้กำกับดูแลรายภาค ซึ่งใช้ถ้อยคำ “ควร” ได้แก่ แนวนโยบายของ ธปท. สำหรับธนาคาร (กันยายน 2568) แนวปฏิบัติของ คปภ. สำหรับบริษัทประกันภัย (พฤศจิกายน 2568) และกรอบของ ก.ล.ต. สำหรับตลาดทุน (สิงหาคม 2569) บทนี้ใช้กรณีของภาคธนาคาร เพราะเกณฑ์ด้าน IT ที่มีผลผูกพันของธนาคารเขียนไว้ละเอียดที่สุด จึงเห็นวิธีคิดได้ชัดที่สุด เอกสารของ ธปท. คือแนวนโยบาย เรื่อง การบริหารจัดการความเสี่ยงของการใช้งานระบบปัญญาประดิษฐ์ (ว. 5994/2568) ลงวันที่ 12 กันยายน 2568

แนวนโยบายฉบับนี้ครอบคลุมความรับผิดชอบของคณะกรรมการ คุณภาพข้อมูล การติดตามโมเดล การลดข้อมูลเท็จ (hallucination) และภัยคุกคามทางไซเบอร์ที่เฉพาะกับ AI ทุกข้อใช้ถ้อยคำ “ควร” ไม่ได้กำหนดวันมีผลบังคับ ไม่ได้กำหนดให้มีทะเบียน AI และไม่ได้กล่าวถึงกรณีที่ผู้ให้บริการ AI ขัดข้อง

ข้อสรุปที่ได้ยินบ่อยจึงเป็นว่า ธนาคารไทยยังไม่มีหน้าที่ที่มีผลผูกพันเรื่องความเสี่ยง AI และไม่มีกรอบเวลา ข้อสรุปนี้ถูกต้องหากอ่านเพียงแนวนโยบาย AI แต่เมื่ออ่านเกณฑ์ที่ธนาคารต้องปฏิบัติและถูกตรวจสอบอยู่จริง ข้อสรุปนี้ก็ใช้ไม่ได้

บทความนี้เขียนถึงใคร

บทนี้เขียนสำหรับ CIO, CDO, CISO หรือ DPO ขององค์กรที่อยู่ภายใต้การกำกับดูแลในประเทศไทยและใช้ AI อยู่ รวมถึง CRO และหัวหน้าหน่วยงานตรวจสอบภายในซึ่งเป็นผู้รับฟังผลการตรวจ ไม่ว่าจะเป็นธนาคาร บริษัทประกันภัย บริษัทหลักทรัพย์ ผู้ให้บริการการชำระเงิน หรือหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ

ไม่ว่าองค์กรของท่านอยู่ในภาคใด วิธีตรวจก็เหมือนกัน คือหาว่าเกณฑ์ของท่านกำหนดให้จัดทำเอกสารใดไว้แล้ว แล้วดูว่าเอกสารเหล่านั้นรวม AI ที่องค์กรใช้อยู่หรือไม่ เลขข้อในบทนี้เป็นของ ธปท. เพราะใช้ภาคธนาคารเป็นกรณีตัวอย่าง ให้อ่านเพื่อดูวิธีคิด ไม่ต้องยึดเลขข้อ บริษัทประกันภัยและหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศมีเอกสารสามประเภทเดียวกันตามเกณฑ์ของตนเอง ได้แก่ ทะเบียนทรัพย์สินด้าน IT การควบคุมผู้ให้บริการภายนอก และ BCP ส่วนบางภาคเราไม่พบเกณฑ์เฉพาะภาค จึงให้เริ่มจากเอกสารที่องค์กรจัดทำไว้อยู่แล้วตามปกติ หัวข้อ “ภาคธุรกิจอื่นที่อยู่ภายใต้การกำกับดูแล” ท้ายบทชี้ว่ากรณีใดใช้กับท่าน

เอกสารสองประเภท

ในกรณีของภาคธนาคาร เอกสารที่เกี่ยวข้องมีสองฉบับ และแต่ละฉบับมีน้ำหนักในการบังคับใช้ไม่เท่ากัน ฉบับแรกคือแนวนโยบาย AI ของ ธปท. ซึ่งใช้ถ้อยคำ “ควร” ฉบับที่สองคือประกาศเรื่องความเสี่ยงด้าน IT ซึ่งมีผลผูกพันและใช้ตรวจสอบธนาคารอยู่ ไม่ว่าองค์กรของท่านอยู่ในภาคใด ให้แยกเอกสารของท่านเป็นสองประเภทเช่นเดียวกัน ได้แก่ แนวทางด้าน AI ที่ใช้ถ้อยคำ “ควร” หากผู้กำกับดูแลของท่านออกไว้แล้ว และเกณฑ์ที่มีผลผูกพันซึ่งองค์กรถูกตรวจสอบอยู่แล้ว ความผิดพลาดที่พบบ่อยที่สุดในเรื่องนี้คือการอ่านเอกสารทั้งสองประเภทราวกับเป็นเกณฑ์ประเภทเดียวกัน

  • แนวนโยบาย AI ของ ธปท. (ว. 5994/2568) เป็นแนวนโยบายที่ใช้ถ้อยคำ “ควร” และไม่มีวันมีผลบังคับ ข้อ 2 ระบุว่าแนวนโยบายนี้เป็นส่วนเพิ่มเติมจากเกณฑ์ความเสี่ยงด้าน IT แนวปฏิบัติด้านความเสี่ยงจากบุคคลภายนอก แนวนโยบายด้านธรรมาภิบาลข้อมูล และหลักเกณฑ์ด้าน Market Conduct และไม่ได้ใช้แทนเกณฑ์ฉบับใด
  • ประกาศ ธปท. เรื่องความเสี่ยงด้าน IT (สกช. 5/2566) และแนวปฏิบัติที่แนบท้ายอีกสองฉบับ ตัวประกาศมีผลผูกพัน โดยข้อ 7 ระบุว่าสถาบันการเงิน “มีหน้าที่ต้องปฏิบัติตาม” เอกสารแนบ 2 ของประกาศกำหนดหน้าที่สี่ด้าน ได้แก่ การบริหารทรัพย์สินด้าน IT บุคคลภายนอก การกระจุกตัว และความต่อเนื่อง นอกจากนี้ ธนาคารยังส่งแบบประเมินตนเองด้านความเสี่ยง IT ให้ ธปท. ทุกปีอยู่แล้ว ส่วนแนวปฏิบัติการบริหารจัดการความเสี่ยงจากบุคคลภายนอกที่แนบท้าย (แนวปฏิบัติ TPRM) ใช้ถ้อยคำ “ควร” และนำไปใช้ตามระดับความเสี่ยง

คำถามที่มีประโยชน์ไม่ใช่ “ฉบับไหนใช้กับธนาคาร” เพราะสำหรับธนาคารไทย ทั้งสองฉบับใช้อยู่แล้ว คำถามที่มีประโยชน์คือ มีอะไรบ้างที่เกณฑ์ซึ่งมีผลผูกพันกำหนดไว้แล้ว แต่คนที่อ่านเฉพาะแนวนโยบาย AI จะมองไม่เห็น

วางเอกสารสองฉบับเทียบกัน

ภาพด้านล่างวางเอกสารสองฉบับของ ธปท. เทียบกันตามประเด็นที่บทนี้กล่าวถึง เครื่องหมายเต็มหมายถึงเอกสารฉบับนั้นระบุข้อคาดหวังไว้ชัดเจน เครื่องหมายครึ่งหมายถึงครอบคลุมบางส่วน หรือครอบคลุมผ่านหลักเกณฑ์ทั่วไปที่ไม่ได้เขียนสำหรับ AI โดยตรง ส่วนเครื่องหมายว่างหมายถึงเอกสารฉบับนั้นไม่ได้กล่าวถึง ข้อความในภาพเป็นการสรุปย่อ ไม่ใช่ถ้อยคำจากต้นฉบับ เลขข้อในภาพใช้สำหรับเปิดดูต้นฉบับ

A table comparing two Bank of Thailand texts across nine themes, with a filled, half or empty marker in each cell. Columns: the AI guideline, written as should; and the binding IT risk notification with its third-party guideline. Board accountability: AI guideline explicit; IT notification partly, through the bank's own materiality criteria. Inventory or register: AI guideline not addressed; IT notification explicit, through the IT asset register and the third-party register. Risk tiering: both partly. Data and PDPA: AI guideline explicit; IT notification partly. Monitoring and change: AI guideline explicit; IT notification partly, through notice of major IT change. Third parties, concentration and exit: AI guideline partly; IT notification explicit. Contingency: AI guideline not addressed; IT notification explicit, including an all-region outage plan for critical IT systems on public cloud. Incident reporting: AI guideline not addressed; IT notification explicit. Dates: AI guideline none; IT notification an annual self-assessment. Where the AI guideline is silent on inventory, contingency and incident reporting, the row is highlighted: not in the AI guideline, required by the IT risk notification. A timeline along the bottom: 2023, the binding IT risk notification; 2025, the AI guideline, which adds to the IT risk rules; today, both apply. Whether an LLM API counts as public cloud is each bank's interpretation. ตารางเปรียบเทียบเกณฑ์ของธนาคารแห่งประเทศไทยสองฉบับใน 9 หัวข้อ แต่ละช่องมีเครื่องหมายเต็ม ครึ่ง หรือว่าง คอลัมน์แรกคือแนวนโยบาย AI ซึ่งใช้ถ้อยคำ “ควร” คอลัมน์ที่สองคือประกาศความเสี่ยงด้าน IT ที่มีผลผูกพันพร้อมแนวปฏิบัติด้านบุคคลภายนอก การกำกับดูแลโดยคณะกรรมการ: แนวนโยบาย AI ระบุชัดเจน ประกาศระบุบางส่วนผ่านเกณฑ์จัดระดับความสำคัญของธนาคาร ทะเบียน: แนวนโยบาย AI ไม่ได้กล่าวถึง ประกาศระบุชัดเจนผ่านทะเบียนทรัพย์สินด้าน IT และทะเบียนบุคคลภายนอก การจัดระดับความเสี่ยง: ทั้งสองฉบับระบุบางส่วน ข้อมูลและ PDPA: แนวนโยบาย AI ระบุชัดเจน ประกาศระบุบางส่วน การติดตามผลและการเปลี่ยนแปลง: แนวนโยบาย AI ระบุชัดเจน ประกาศระบุบางส่วนผ่านการแจ้งการเปลี่ยนแปลง IT ที่สำคัญ บุคคลภายนอก การกระจุกตัว และการยุติบริการ: แนวนโยบาย AI ระบุบางส่วน ประกาศระบุชัดเจน แผนสำรอง: แนวนโยบาย AI ไม่ได้กล่าวถึง ประกาศระบุชัดเจน รวมถึงแผนรองรับกรณีทุก region หยุดชะงักสำหรับระบบงานสำคัญบนคลาวด์สาธารณะ การรายงานเหตุการณ์: แนวนโยบาย AI ไม่ได้กล่าวถึง ประกาศระบุชัดเจน กรอบเวลา: แนวนโยบาย AI ไม่ระบุ ประกาศกำหนดการประเมินตนเองทุกปี การนับ LLM API เป็นบริการคลาวด์สาธารณะหรือไม่ เป็นการวินิจฉัยของแต่ละธนาคาร แถวที่แนวนโยบาย AI ไม่ได้กล่าวถึงเรื่องทะเบียน แผนสำรอง และการรายงานเหตุการณ์ ถูกเน้นไว้ว่าไม่อยู่ในแนวนโยบาย AI แต่ประกาศด้าน IT กำหนดไว้แล้ว เส้นเวลาด้านล่าง: พ.ศ. 2566 ประกาศความเสี่ยงด้าน IT ที่มีผลผูกพัน พ.ศ. 2568 แนวนโยบาย AI ซึ่งเป็นส่วนเพิ่มเติมจากเกณฑ์ด้าน IT และปัจจุบันใช้ทั้งสองฉบับ

ขอให้อ่านคอลัมน์ของประกาศเรื่องความเสี่ยงด้าน IT ก่อน หน้าที่ที่มีผลผูกพันอยู่ในคอลัมน์นี้ และมีรายการมากกว่าที่คนส่วนใหญ่คาดไว้ จากคอลัมน์นี้มีข้อค้นพบที่เด่นชัดสองข้อ

ข้อค้นพบที่ 1: ทะเบียนมีอยู่แล้ว แต่ยังไม่มีรายการ AI

เอกสารแนบ 2 ข้อ 1 ของประกาศเรื่องความเสี่ยงด้าน IT กำหนดให้ธนาคารต้องจัดทำทะเบียนรายการทรัพย์สินด้านเทคโนโลยีสารสนเทศ เพื่อให้ระบุรายการทรัพย์สินได้อย่างครบถ้วน ข้อนี้เป็นหน้าที่ที่มีผลผูกพัน

แนวปฏิบัติ TPRM ข้อ 7.4 คาดหวังให้มีทะเบียนการใช้บริการ การเชื่อมต่อ หรือการเข้าถึงข้อมูลจากบุคคลภายนอก ข้อนี้ใช้ถ้อยคำ “ควร”

หากอ่านตามตัวอักษร โมเดล AI, AI Agent และฟังก์ชัน AI ที่เปิดใช้อยู่ในซอฟต์แวร์ที่ธนาคารมีสิทธิ์ใช้งาน ล้วนเป็นทรัพย์สินด้าน IT ส่วนผู้ให้บริการ AI ก็เป็นบุคคลภายนอก นี่เป็นการตีความของเรา ไม่ใช่สิ่งที่ ธปท. ระบุไว้ ทั้งนี้ ความละเอียดของทะเบียนเป็นไปตามนโยบายบริหารทรัพย์สินด้าน IT ของธนาคารเอง คำถามสำหรับธนาคารจึงไม่ใช่ว่าต้องสร้างทะเบียน AI ขึ้นมาใหม่หรือไม่ แต่คือทะเบียนที่มีอยู่แล้วครอบคลุม AI ครบถ้วนหรือไม่

งานที่ต้องทำจึงไม่ใหญ่และเป็นงานพื้นฐาน คือเพิ่มรายการ AI และช่องระบุว่ารายการใดเป็น AI ลงในทะเบียนที่ธนาคารดูแลอยู่แล้ว จากนั้นนับว่ามีกี่รายการที่ระบุชื่อเจ้าของไว้แล้ว

ข้อค้นพบที่ 2: แผนรองรับกรณีทุก region หยุดชะงักเป็นหน้าที่ที่มีผลผูกพันอยู่แล้ว AI ของท่านอยู่ในขอบเขตนั้นหรือไม่

เอกสารแนบ 2 ข้อ 10.4 ของประกาศเรื่องความเสี่ยงด้าน IT กำหนดให้ธนาคารเตรียมความพร้อมรับมือเหตุการณ์ที่ส่งผลกระทบรุนแรง เพื่อให้บริการลูกค้าและการดำเนินธุรกิจต่อเนื่องได้

ข้อ 10.5.9 กำหนดเพิ่มเติมสำหรับระบบงานสำคัญ (ประกาศใช้คำว่า ระบบงานเทคโนโลยีสารสนเทศที่มีนัยสำคัญ) ซึ่งใช้บริการคลาวด์สาธารณะ โดยธนาคารต้องมี BCP และแผนกู้คืนระบบ IT สำหรับกรณีเลวร้าย ซึ่งรวมถึงกรณีระบบของผู้ให้บริการหยุดชะงักใน region ที่ใช้อยู่ และกรณีทุก region ที่ใช้อยู่หยุดชะงัก

ข้อ 10.2 กำหนดเรื่องความเสี่ยงจากการกระจุกตัวและการผูกติดกับผู้ให้บริการรายใดรายหนึ่ง ส่วนข้อ 7.1 กำหนดให้ใช้ความยืดหยุ่นในการเปลี่ยนผู้ให้บริการเป็นเกณฑ์หนึ่งในการคัดเลือก

ลองนึกถึงระบบงานสำคัญระบบหนึ่งซึ่งมี LLM API ทำงานอยู่เบื้องหลัง หาก API นั้นนับเป็นการใช้บริการคลาวด์สาธารณะตามเอกสารแนบ 2 ข้อ 10.5 แผนรองรับกรณีทุก region หยุดชะงักก็ไม่ใช่ข้อคาดหวังในอนาคต แต่เป็นหน้าที่ที่ธนาคารมีอยู่แล้ว

การนับว่าเข้าข่ายหรือไม่เป็นเรื่องของการตีความ ซึ่งธนาคารสรุปร่วมกับฝ่ายกำกับดูแลการปฏิบัติตามกฎเกณฑ์ (Compliance) ของธนาคาร ไม่ว่าผลการตีความจะออกมาอย่างไร ขั้นแรกก็เหมือนกัน คือเปิด BIA และ BCP แล้วดูว่ามีบริการ AI ภายนอกที่อยู่เบื้องหลังกระบวนการสำคัญอยู่ในเอกสารหรือไม่ หากธนาคารถือว่า API นั้นเป็นคลาวด์สาธารณะแต่ไม่มีบริการ AI ภายนอกเหล่านี้อยู่ในเอกสาร ธนาคารก็ไม่อาจกล่าวได้ว่าปฏิบัติตามข้อ 10.5.9 สำหรับระบบเหล่านั้น หากไม่ถือเช่นนั้น ข้อ 10.4 ก็ยังกำหนดให้ BCP รองรับเหตุการณ์ที่ส่งผลกระทบรุนแรง และการที่ไม่มีบริการ AI ภายนอกเหล่านี้อยู่ในเอกสารก็ถือเป็นช่องว่างตามข้อนั้น

ขีดจำกัดที่เราพูดตรง ๆ

บทนี้เป็นการอ่านและตีความเอกสารที่เผยแพร่แล้ว ไม่ใช่คำแนะนำทางกฎหมาย และไม่ได้คาดการณ์ว่าผู้กำกับดูแลรายใดจะทำอะไรต่อไป

  • เกณฑ์ที่อ้างถึงในเนื้อหาหลักเป็นของ ธปท. ประกาศเรื่องความเสี่ยงด้าน IT ใช้กับสถาบันการเงินและสถาบันการเงินเฉพาะกิจ ส่วนแนวนโยบาย AI ครอบคลุมถึงผู้ให้บริการการชำระเงินภายใต้การกำกับด้วย บทนี้ไม่ได้วิเคราะห์เกณฑ์ของผู้กำกับดูแลรายอื่นทีละข้อ หัวข้อ “ภาคธุรกิจอื่นที่อยู่ภายใต้การกำกับดูแล” ท้ายบทระบุว่าเกณฑ์อื่นกำหนดให้มีเอกสารใดบ้าง และภาคใดที่เราไม่พบเกณฑ์ลักษณะนี้
  • บทนี้ไม่ได้ลงรายละเอียดเรื่องความเสี่ยงด้านโมเดล เกณฑ์ปัจจุบันของ ธปท. ไม่มีฉบับที่ว่าด้วยความเสี่ยงด้านโมเดลโดยเฉพาะ นโยบายบริหารความเสี่ยงด้านโมเดลของธนาคารเองอาจเขียนขึ้นโดยมุ่งที่โมเดลด้านความเสี่ยงและสินเชื่อเป็นหลัก ควรตรวจว่านโยบายนั้นครอบคลุม Generative AI และ AI ของผู้ให้บริการภายนอกหรือไม่ และทะเบียนโมเดลที่ธนาคารมีอยู่ (ถ้ามี) รวมรายการเหล่านี้แล้วหรือยัง
  • บทนี้ไม่ได้สรุปว่า LLM API นับเป็นการใช้บริการคลาวด์สาธารณะตามข้อ 10.5 หรือไม่ เรื่องนี้ธนาคารแต่ละแห่งต้องวินิจฉัยเอง

หากฝ่ายกำกับดูแลการปฏิบัติตามกฎเกณฑ์ (Compliance) ขององค์กรตีความเอกสารฉบับใดต่างจากนี้ ให้ยึดการตีความของฝ่ายนั้นสำหรับองค์กรของท่าน บทนี้เป็นจุดเริ่มต้นของการหารือ ไม่ได้ใช้แทนการหารือนั้น

ข้อสรุป

องค์กรที่อยู่ภายใต้การกำกับดูแลไม่จำเป็นต้องสร้างกรอบการทำงานด้าน AI ใหม่หรือตั้งคณะกรรมการใหม่เพื่อเริ่มต้น ในกรณีของภาคธนาคาร ธนาคารมีทะเบียนทรัพย์สินด้าน IT ทะเบียนบุคคลภายนอก BIA และ BCP ตามที่เกณฑ์กำหนดหรือคาดหวังไว้อยู่แล้ว งานที่ต้องทำคือทำให้ AI ที่องค์กรใช้อยู่จริงปรากฏในเอกสารเหล่านั้น

บทถัดไปจะแปลงเรื่องนี้เป็นคำถามแปดข้อที่คณะกรรมการบริหารความเสี่ยงถามฝ่ายบริหารได้ และแต่ละข้อตอบได้ด้วยตัวเลขจากเอกสารเหล่านั้น

เริ่มจากตรงไหน

เลือกกระบวนการสำคัญหนึ่งกระบวนการที่ใช้บริการ AI ภายนอก แล้วค้นหากระบวนการนั้นในทะเบียนทรัพย์สินด้าน IT ทะเบียนบุคคลภายนอก BIA และ BCP จดไว้ว่าเอกสารใดบ้างในสี่ฉบับนี้ที่ระบุชื่อบริการ AI นั้น และแต่ละรายการมีใครเป็นเจ้าของ

หากทั้งสี่ฉบับระบุไว้ครบ แสดงว่าทะเบียนของท่านครอบคลุม AI แล้ว และบทถัดไปจะใช้เวลาไม่นาน หากยังไม่ครบ ท่านก็พบช่องว่างแรกแล้ว โดยยังไม่ต้องซื้ออะไรเลย

ภาคธุรกิจอื่นที่อยู่ภายใต้การกำกับดูแล

ข้อกำหนดข้างต้นเป็นของ ธปท. และผูกพันธนาคาร ต่อไปนี้คือสิ่งที่เราพบในภาคอื่น จากเอกสารของผู้กำกับดูแลแต่ละแห่งเอง

  • บริษัทประกันภัย (คปภ.) ประกาศของ คปภ. เรื่องความเสี่ยงด้าน IT สำหรับบริษัทประกันชีวิต (พ.ศ. 2563 มีผลใช้บังคับตั้งแต่ 1 มกราคม 2564) กำหนดให้มีทะเบียนทรัพย์สินด้าน IT (ข้อ 16 (1)) ให้มีหลักเกณฑ์คัดเลือกผู้ให้บริการภายนอก พร้อมสัญญาและข้อตกลงระดับการให้บริการ (SLA) ที่ติดตามอย่างสม่ำเสมอ (ข้อ 23) และให้มีแผนรองรับความต่อเนื่องด้าน IT พร้อมแผนกู้คืนระบบที่เป็นลายลักษณ์อักษรและทดสอบอย่างน้อยปีละครั้ง (ข้อ 25) เรายังไม่ได้อ่านประกาศฉบับสำหรับบริษัทประกันวินาศภัย ซึ่งมีรายงานว่าใช้โครงสร้างเดียวกัน
  • โครงสร้างพื้นฐานสำคัญทางสารสนเทศ (สกมช.) ประมวลแนวทางปฏิบัติด้านการรักษาความมั่นคงปลอดภัยไซเบอร์มีผลผูกพันหน่วยงานของรัฐและหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศในส่วนของบริการที่สำคัญ ประมวลนี้กำหนดให้มีทะเบียนทรัพย์สิน (21.1.1) กำหนดว่าความรับผิดชอบยังอยู่ที่องค์กรแม้จะจ้างบุคคลภายนอกดำเนินงาน (21.4.1 ถึง 21.4.2) และกำหนดให้มี BCP ซึ่งรวมการทบทวนแผนของผู้ให้บริการภายนอก (25.1.1) โดยต้องซ้อมอย่างน้อยปีละครั้ง (25.1.2) บริการที่ไม่ได้ถูกกำหนดเป็นบริการที่สำคัญอยู่นอกขอบเขตของประมวลนี้
  • ตลาดทุน (ก.ล.ต.) กรอบการกำกับดูแลการใช้งานปัญญาประดิษฐ์ในภาคตลาดทุนฉบับปรับปรุงของ ก.ล.ต. (สิงหาคม 2569) แนะนำให้บริษัทบันทึกกรณีการใช้งาน AI แต่ละกรณีไว้ในทะเบียน AI (AI Inventory) (2.3 และภาคผนวก 4) เอกสารนี้เป็นแนวทาง ใช้ถ้อยคำ “ควร”
  • ภาคอื่น สำหรับภาคพลังงาน การบิน ท่าเรือ และบริษัทจดทะเบียนนอกภาคการเงิน เราไม่พบเกณฑ์เฉพาะภาคเรื่องทะเบียนทรัพย์สินด้าน IT บุคคลภายนอก หรือความต่อเนื่อง เกณฑ์พื้นฐานที่ใช้ได้มีสองฉบับ คือ ประมวลแนวทางปฏิบัติของ สกมช. สำหรับองค์กรที่ให้บริการซึ่งถูกกำหนดเป็นบริการที่สำคัญ และพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลสำหรับข้อมูลส่วนบุคคล

ไม่ว่าองค์กรของท่านอยู่ในภาคใด ให้ใช้วิธีตรวจในหัวข้อ “เริ่มจากตรงไหน” กับเอกสารที่เกณฑ์ของท่านระบุไว้ คือเลือกกระบวนการสำคัญหนึ่งกระบวนการ บริการ AI ภายนอกหนึ่งบริการ แล้วดูว่าเอกสารใดระบุบริการนั้นไว้ หากไม่มีเกณฑ์ใดระบุเอกสารไว้ ก็ใช้วิธีตรวจเดียวกันกับเอกสารที่องค์กรจัดทำไว้อยู่แล้วตามปกติ

หลักฐานสนับสนุน: ผู้กำกับดูแลรายอื่นได้ข้อสรุปเดียวกัน

ข้อสรุปของบทนี้ที่ว่า AI มีที่ทางอยู่แล้วในเอกสารที่องค์กรจัดทำอยู่ ไม่ได้เป็นข้อสรุปของเราเพียงฝ่ายเดียว เอกสารต่อไปนี้กล่าวไว้ในทำนองเดียวกันด้วยถ้อยคำของตนเอง เรายกมาเป็นหลักฐานสนับสนุน ไม่ใช่เกณฑ์ที่ใช้บังคับกับองค์กรของท่าน

  • คปภ. แนวปฏิบัติด้าน AI สำหรับบริษัทประกันภัย (พฤศจิกายน 2568) ระบุว่าเป็นส่วนเพิ่มเติมจากประกาศและแนวปฏิบัติที่ใช้บังคับอยู่แล้ว แนวปฏิบัตินี้ขอให้บริษัทประกันภัยประเมินเป็นประจำว่าพึ่งพาผู้ให้บริการ AI ภายนอกมากเพียงใด รวมถึงความเสี่ยงจากการกระจุกตัว (1.4.2) และให้พิจารณาสามเรื่อง ได้แก่ การจัดให้มี kill switch การจัดทำและทดสอบแผนสำรอง ซึ่งรวมถึงการเปลี่ยนไปใช้ระบบอื่น และการจัดทำแผนยุติการใช้บริการ (exit plan) (1.4.3) ส่วนใหญ่ใช้ถ้อยคำ “ควร”
  • ประมวลแนวทางปฏิบัติของ สกมช. ทะเบียนทรัพย์สินที่ประมวลนี้กำหนดต้องบันทึกการขึ้นต่อกันของทรัพย์สินด้วย (21.1.1 (ฉ)) สำหรับหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ช่องข้อมูลนี้จึงใช้บันทึกบริการ AI ภายนอกที่อยู่เบื้องหลังบริการที่สำคัญได้ และการบันทึกนี้อยู่ภายใต้หน้าที่ที่มีผลผูกพัน
  • MAS สิงคโปร์ แนวปฏิบัติด้าน AI ของ MAS เปิดให้สถาบันการเงินจัดทำทะเบียน AI โดยต่อยอดจากทะเบียนที่มีอยู่แล้ว (4.6 เชิงอรรถ 23)
  • EBA สหภาพยุโรป หลังจากเทียบ EU AI Act กับกฎหมายด้านการธนาคารของสหภาพยุโรปแล้ว EBA เห็นว่ายังไม่มีความจำเป็นเร่งด่วนที่จะออกแนวทางใหม่หรือปรับแนวทางเดิมของตน เพราะกฎหมายที่มีอยู่เป็นกรอบการบริหารความเสี่ยงที่ครอบคลุมอยู่แล้ว การศึกษานี้เน้น AI ที่ใช้ประเมินความสามารถในการชำระหนี้และการให้คะแนนสินเชื่อ และ EBA ระบุไว้เองว่าผลการศึกษานี้ไม่ถือเป็นแนวทางหรือข้อคาดหวังเชิงกำกับดูแล

แหล่งอ้างอิง

เอกสารที่บทนี้อ้างถึง ตามที่ผู้กำกับดูแลแต่ละแห่งเผยแพร่ ณ วันที่เผยแพร่บทความนี้ หากถ้อยคำในบทความนี้ต่างจากต้นฉบับ ให้ยึดต้นฉบับ

  • ธนาคารแห่งประเทศไทย แนวนโยบาย เรื่อง การบริหารจัดการความเสี่ยงของการใช้งานระบบปัญญาประดิษฐ์ (ว. 5994/2568) ลงวันที่ 12 กันยายน 2568 PDF ภาษาไทย
  • ธนาคารแห่งประเทศไทย ประกาศ ที่ สกช. 5/2566 เรื่อง หลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ (Information Technology Risk) ของสถาบันการเงินและสถาบันการเงินเฉพาะกิจ พร้อมเอกสารแนบและแนวปฏิบัติแนบท้ายสองฉบับ (การบริหารความเสี่ยงด้านเทคโนโลยีสารสนเทศ และการบริหารจัดการความเสี่ยงจากบุคคลภายนอก) หนังสือเวียน ฝตท.(01) ว. 20/2566 ลงวันที่ 9 พฤศจิกายน 2566 PDF ภาษาไทย
  • สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย (คปภ.) ประกาศคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย เรื่อง หลักเกณฑ์การกำกับดูแลและบริหารจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศของบริษัทประกันชีวิต พ.ศ. 2563 มีผลใช้บังคับ 1 มกราคม 2564 PDF ภาษาไทย
  • สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย (คปภ.) แนวปฏิบัติ เรื่อง การกำกับดูแลการใช้งานปัญญาประดิษฐ์ สำหรับบริษัทประกันภัย (AI Governance Guideline) พฤศจิกายน 2568 PDF ภาษาไทย
  • คณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ ประกาศคณะกรรมการกำกับดูแลด้านความมั่นคงปลอดภัยไซเบอร์ เรื่อง ประมวลแนวทางปฏิบัติและกรอบมาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ สำหรับหน่วยงานของรัฐและหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ พ.ศ. 2564 ราชกิจจานุเบกษา 6 กันยายน 2564 PDF ภาษาไทย
  • สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ก.ล.ต.) กรอบการกำกับดูแลการใช้งานปัญญาประดิษฐ์ในภาคตลาดทุน ฉบับปรับปรุงครั้งที่ 1 (AI Governance Framework and Handbook, 1st Revised Edition) สิงหาคม 2569 PDF ภาษาไทย
  • พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 PDF ภาษาไทย
  • Monetary Authority of Singapore, Guidelines on Artificial Intelligence Risk Management, 7 ตุลาคม 2569 PDF ภาษาอังกฤษ
  • European Banking Authority, AI Act implications for the EU banking sector (เอกสารสรุปผลการเทียบ EU AI Act กับกฎหมายด้านการธนาคาร) พฤศจิกายน 2568 PDF ภาษาอังกฤษ

บทความนี้เป็นข้อมูลทั่วไปเกี่ยวกับเอกสารของผู้กำกับดูแลตามที่เผยแพร่ ณ วันที่ตรวจทานที่ระบุไว้ ไม่ใช่คำแนะนำทางกฎหมาย การกำกับดูแล หรือการปฏิบัติตามกฎเกณฑ์ และการอ่านบทความนี้ไม่ก่อให้เกิดความสัมพันธ์ระหว่างที่ปรึกษากับลูกค้า แต่ละองค์กรต้องอ่านเอกสารต้นฉบับและวินิจฉัยการนำไปใช้ร่วมกับฝ่ายกำกับดูแลการปฏิบัติตามกฎเกณฑ์และที่ปรึกษาของตน INFOZENSE ไม่รับผิดชอบต่อการตัดสินใจใด ๆ ที่อาศัยบทความนี้

ความพร้อมด้านการบริหารความเสี่ยง AI

AI ที่องค์กรใช้อยู่จริง อยู่ในทะเบียนครบแล้วหรือยัง

เลือกกระบวนการสำคัญมาหนึ่งกระบวนการ เราจะไล่ดูร่วมกันตามเกณฑ์ที่ใช้กับองค์กรของท่าน ว่าเอกสารที่องค์กรมีอยู่ฉบับใดระบุ AI ที่อยู่เบื้องหลังกระบวนการนั้นแล้ว และฉบับใดยังไม่ระบุ

คุยกับเรา →

อ่านเรื่อง ความพร้อมด้านการบริหารความเสี่ยง AI →

contact@infozense.com  |  +66-82-242-4008  |  Bangkok, Thailand