Cyberinno AI Governance for Business – ตอนที่ 2

เมื่อองค์กรเริ่มเห็นศักยภาพของ AI คำถามที่ตามมามักเป็น “เราควรเริ่มทำ AI Use Case ไหนก่อน?” แต่หากคำตอบเริ่มต้นและจบลงด้วย ROI เพียงตัวเดียว องค์กรอาจกำลังมองเห็นเฉพาะผลประโยชน์ที่วัดง่าย และยังไม่เห็นต้นทุนกับความเสี่ยงที่ซ่อนอยู่ตลอดวงจรชีวิตของระบบ

AI Strategy ที่ดีต้องตอบทั้งรายได้ ต้นทุน ความเสี่ยง และความเชื่อมั่น

ในหลายองค์กร การเลือกโครงการ AI มักเริ่มต้นจากตัวเลข เช่น ลดเวลาทำงานได้เท่าไร ลดจำนวนคนได้หรือไม่ คืนทุนภายในกี่เดือน หรือเพิ่มยอดขายได้กี่เปอร์เซ็นต์

ตัวเลขเหล่านี้สำคัญ เพราะไม่มีผู้บริหารคนใดต้องการลงทุนในโครงการที่ไม่สร้างผลลัพธ์ อย่างไรก็ตาม หากองค์กรเลือก AI Use Case จาก ROI เพียงด้านเดียว อาจกำลังมองเห็นเฉพาะผลประโยชน์ที่วัดได้ง่าย แต่ยังไม่เห็นต้นทุนและความเสี่ยงที่ซ่อนอยู่

AI บางโครงการอาจดูคุ้มค่ามากบนกระดาษ แต่เมื่อใช้งานจริงกลับต้องใช้เวลาและทรัพยากรจำนวนมากในการตรวจสอบผลลัพธ์ แก้ไขข้อมูล รับมือข้อร้องเรียน หรือจัดการผลกระทบที่ไม่เคยถูกนำมารวมไว้ใน Business Case

ในทางกลับกัน AI บางโครงการอาจไม่ได้สร้างรายได้โดยตรง แต่ช่วยลดความผิดพลาด เพิ่มความสามารถในการตรวจสอบ หรือสร้างความเชื่อมั่นให้ลูกค้าได้อย่างมีนัยสำคัญ

AI สร้างคุณค่าอะไรให้ธุรกิจ ภายใต้ความเสี่ยง ต้นทุน และความรับผิดชอบระดับใด?

AI Use Case ที่น่าสนใจ อาจไม่ใช่ AI Use Case ที่ควรทำก่อน

โครงการ A

ใช้ AI ช่วยสรุปรายงานภายในที่ไม่มีข้อมูลสำคัญ โดยพนักงานตรวจสอบผลลัพธ์ก่อนนำไปใช้

โครงการ B

ใช้ AI ประเมินลูกค้าเพื่ออนุมัติหรือปฏิเสธบริการโดยอัตโนมัติ ซึ่งผลลัพธ์อาจส่งผลต่อสิทธิ โอกาส หรือฐานะทางการเงินของบุคคล

โครงการ B อาจมีผลตอบแทนทางการเงินสูงกว่า เพราะลดขั้นตอนและรองรับธุรกรรมได้จำนวนมาก แต่ก็มีคำถามที่ต้องตอบมากกว่า เช่น

• ข้อมูลที่ใช้มีคุณภาพและเป็นตัวแทนของลูกค้าทุกกลุ่มหรือไม่?
• ระบบอาจสร้างผลลัพธ์ที่ไม่เป็นธรรมต่อคนบางกลุ่มหรือไม่?
• ลูกค้าสามารถขอคำอธิบายหรือทบทวนการตัดสินใจได้หรือไม่?
• มนุษย์มีอำนาจเปลี่ยนแปลงหรือยกเลิกผลลัพธ์ของ AI หรือไม่?
• หากระบบผิดพลาด ผลกระทบทางกฎหมาย ชื่อเสียง และความเชื่อมั่นจะรุนแรงเพียงใด?
• หากโมเดลหรือข้อมูลเปลี่ยน องค์กรจะทราบได้อย่างไรว่าคุณภาพของผลลัพธ์ลดลง?

นี่ไม่ได้หมายความว่าองค์กรไม่ควรทำโครงการ B แต่หมายความว่าโครงการที่สร้างคุณค่ามากกว่า อาจต้องการการลงทุนด้านการกำกับดูแลมากกว่าด้วย การจัดลำดับ AI Use Case จึงต้องพิจารณา ความพร้อมในการบริหารผลกระทบ ควบคู่กับมูลค่าทางการเงิน

Business Case ของ AI ต้องรวมต้นทุนที่มองไม่เห็น

ต้นทุนของ AI ไม่ได้จบลงในวันที่ซื้อ License หรือเปิดระบบใช้งาน ในความเป็นจริง องค์กรอาจต้องรับต้นทุนอีกหลายด้านตลอดวงจรชีวิตของระบบ เช่น

• การรวบรวม ทำความสะอาด และตรวจสอบคุณภาพข้อมูล
• การเชื่อมต่อ AI เข้ากับระบบและกระบวนการเดิม
• การทดสอบความถูกต้อง ความสม่ำเสมอ และข้อจำกัดของผลลัพธ์
• การฝึกอบรมพนักงานและปรับเปลี่ยนวิธีทำงาน
• การกำหนดผู้รับผิดชอบและกระบวนการอนุมัติ
• การติดตามประสิทธิภาพหลังเปิดใช้งาน
• การตรวจสอบผลกระทบต่อบุคคล ลูกค้า หรือสังคม
• การจัดการเหตุการณ์ผิดปกติและข้อร้องเรียน
• การควบคุมผู้ให้บริการภายนอก
• การทบทวนสัญญา ความเป็นส่วนตัว ลิขสิทธิ์ และข้อกำหนดทางกฎหมาย
• การเปลี่ยนหรือยุติระบบเมื่อผลลัพธ์ไม่เป็นไปตามที่ต้องการ

หากต้นทุนเหล่านี้ไม่ได้รวมอยู่ใน Business Case ตัวเลข ROI ที่ผู้บริหารเห็นอาจสูงกว่าความเป็นจริง

Chatbot อาจช่วยลดจำนวนคำถามที่เจ้าหน้าที่ต้องตอบ แต่หากองค์กรต้องใช้พนักงานตรวจสอบคำตอบ แก้ไขข้อมูล และรับเรื่องร้องเรียนเพิ่มขึ้น ประโยชน์ที่ได้รับจริงอาจน้อยกว่าที่ประเมินไว้

AI อาจลดเวลาการทำงานของพนักงานได้ แต่หากผลลัพธ์ยังต้องถูกตรวจสอบใหม่เกือบทั้งหมด เวลาที่ประหยัดได้ในขั้นตอนหนึ่งอาจถูกย้ายไปเป็นภาระในอีกขั้นตอนหนึ่งแทน

คำถามไม่ใช่เพียงว่า AI ลดงานได้เท่าไร แต่ต้องดูว่า AI เปลี่ยนงาน ย้ายงาน หรือสร้างงานใหม่ให้ใครบ้าง

มองคุณค่าของ AI ผ่าน 4 มิติ

เพื่อไม่ให้การตัดสินใจถูกจำกัดอยู่ที่ ROI เพียงอย่างเดียว ผู้บริหารควรประเมิน AI Use Case อย่างน้อยสี่มิติพร้อมกัน

1. Growth & Revenue

AI ช่วยสร้างผลิตภัณฑ์ บริการ ประสบการณ์ หรือช่องทางรายได้ใหม่ให้ลูกค้าได้อย่างไร

2. Efficiency & Cost

AI ลดเวลา งานซ้ำ ข้อผิดพลาด หรือความล่าช้าของกระบวนการตั้งแต่ต้นจนจบได้เพียงใด

3. Risk & Impact

หาก AI ทำงานผิดพลาด ใครจะได้รับผลกระทบ และผลกระทบนั้นรุนแรงหรือย้อนกลับได้เพียงใด

4. Trust & Confidence

ลูกค้า พนักงาน คู่ค้า และผู้บริหารยังเชื่อมั่นต่อการใช้ AI ขององค์กรหรือไม่

Growth & Revenue – การเติบโตและรายได้

AI อาจช่วยให้องค์กรเข้าใจตลาดได้เร็วขึ้น นำเสนอสิ่งที่ตรงกับความต้องการของลูกค้ามากขึ้น เปิดช่องทางรายได้ใหม่ หรือสร้างความแตกต่างจากคู่แข่ง แต่ควรแยกให้ชัดระหว่าง “ศักยภาพที่จะสร้างรายได้” กับ “รายได้ที่มีหลักฐานรองรับ”

Efficiency & Cost – ประสิทธิภาพและต้นทุน

การวัดประสิทธิภาพควรมองผลลัพธ์ตั้งแต่ต้นจนจบกระบวนการ ไม่ใช่วัดเพียงความเร็วของ AI ในขั้นตอนใดขั้นตอนหนึ่ง หาก AI ทำงานเร็วขึ้น แต่ทำให้คนในขั้นตอนถัดไปต้องตรวจสอบมากขึ้น องค์กรอาจยังไม่ได้รับประสิทธิภาพที่แท้จริง

Risk & Impact – ความเสี่ยงและผลกระทบ

ต้องมองทั้งการเงิน การดำเนินงาน กฎหมาย ความเป็นส่วนตัว ความมั่นคงปลอดภัย ความเป็นธรรม ชื่อเสียง และผลกระทบต่อบุคคลหรือกลุ่มที่อาจมีความเปราะบาง

Trust & Confidence – ความเชื่อมั่น

องค์กรควรตอบให้ได้ว่า AI ถูกใช้ในส่วนใด มีข้อจำกัดอย่างไร และมนุษย์มีบทบาทตรงไหน ในบางธุรกิจ ความเชื่อมั่นอาจมีมูลค่าสูงกว่าการลดต้นทุนระยะสั้น เพราะต้นทุนในการฟื้นฟูชื่อเสียงและความสัมพันธ์กับลูกค้าอาจสูงกว่าผลประโยชน์ที่ AI เคยสร้างไว้

จาก ROI สู่ Risk-adjusted Value

หลังพิจารณาต้นทุนตลอดวงจรชีวิต ความเสี่ยง และผลกระทบแล้ว โครงการนี้ยังสร้างคุณค่าที่องค์กรยอมรับได้หรือไม่?

แนวคิดนี้อาจเรียกว่า Risk-adjusted Value หรือคุณค่าที่ปรับด้วยความเสี่ยง ไม่จำเป็นต้องเริ่มจากสูตรทางการเงินที่ซับซ้อน องค์กรสามารถใช้กรอบประเมินที่เข้าใจง่ายได้

กรอบคิดสำหรับผู้บริหาร

คุณค่าที่คาดว่าจะได้รับ − ต้นทุนที่ต้องใช้จริง − ความเสี่ยงและผลกระทบที่องค์กรต้องรับ

คุณค่าที่คาดว่าจะได้รับ

• รายได้หรือโอกาสทางธุรกิจ
• ต้นทุนหรือเวลาที่ลดลง
• คุณภาพและความแม่นยำที่ดีขึ้น
• ประสบการณ์ของลูกค้าและพนักงาน
• ความสามารถใหม่ที่กระบวนการเดิมไม่สามารถทำได้

ต้นทุนที่ต้องใช้จริง

• เทคโนโลยี ข้อมูล และการเชื่อมต่อระบบ
• บุคลากร การฝึกอบรม และการปรับกระบวนการ
• การทดสอบ ติดตาม และบำรุงรักษา
• การกำกับดูแล การตรวจสอบ และการจัดทำหลักฐาน
• ค่าใช้จ่ายในการเปลี่ยนผู้ให้บริการหรือยุติระบบ

ความเสี่ยงและผลกระทบ

• โอกาสที่ระบบจะผิดพลาดหรือถูกนำไปใช้ผิดวัตถุประสงค์
• ความรุนแรงของผลกระทบหากเกิดเหตุการณ์
• จำนวนและลักษณะของผู้ที่อาจได้รับผลกระทบ
• ความสามารถขององค์กรในการตรวจพบ หยุด และแก้ไขปัญหา
• ความเสียหายที่อาจเกิดกับชื่อเสียงและความเชื่อมั่น

AI Strategy ต้องสอดคล้องกับ Risk Appetite ขององค์กร

องค์กรแต่ละแห่งยอมรับความเสี่ยงได้ไม่เท่ากัน แม้จะเป็นองค์กรเดียวกัน ระดับความเสี่ยงที่ยอมรับได้ก็อาจแตกต่างกันในแต่ละกระบวนการ

องค์กรอาจยอมให้พนักงานทดลองใช้ AI เพื่อระดมความคิดภายใต้ข้อมูลที่ไม่เป็นความลับ แต่ไม่ยอมให้ AI ส่งคำแนะนำทางกฎหมายแก่ลูกค้าโดยไม่มีผู้เชี่ยวชาญตรวจสอบ

AI Strategy ที่ชัดเจนควรกำหนดว่า

• AI แบบใดองค์กรสนับสนุนให้ทดลอง
• AI แบบใดต้องผ่านการประเมินก่อนใช้งาน
• AI แบบใดต้องมี Human Oversight
• AI แบบใดต้องได้รับอนุมัติจากผู้บริหารระดับสูง
• AI แบบใดยังไม่ควรถูกนำมาใช้ในปัจจุบัน

การกำหนด Risk Appetite ไม่ได้หมายถึงการเขียนประโยคกว้าง ๆ ว่า “องค์กรยอมรับความเสี่ยงในระดับต่ำ” แต่ต้องแปลงเป็นเกณฑ์ที่หน่วยงานธุรกิจสามารถใช้ตัดสินใจได้จริง

ISO/IEC 42001 ช่วยเชื่อมกลยุทธ์กับการลงมือทำอย่างไร?

ISO/IEC 42001:2023 กำหนดให้องค์กรพิจารณาทั้งความเสี่ยงและโอกาสที่เกี่ยวข้องกับ AI รวมถึงกำหนดวัตถุประสงค์ วางแผนการดำเนินงาน ประเมินผลกระทบ และติดตามผลลัพธ์อย่างต่อเนื่อง

ในมุมธุรกิจ AI Strategy ต้องเชื่อมอย่างน้อย 4 เรื่อง

Business Objective: ต้องการสร้างผลลัพธ์ทางธุรกิจอะไร

Responsible Owner: ใครเป็นเจ้าของผลลัพธ์และมีอำนาจตัดสินใจ

Risk and Impact: อะไรอาจผิดพลาด ใครอาจได้รับผลกระทบ และองค์กรยอมรับได้หรือไม่

Measurement and Review: จะวัดผล ติดตาม และทบทวนอย่างไรหลังใช้งานจริง

Annex B ของมาตรฐานเสนอแนวทางให้นโยบาย AI เชื่อมโยงกับกลยุทธ์ทางธุรกิจ ค่านิยม วัฒนธรรม ระดับความเสี่ยงที่องค์กรยอมรับได้ ข้อกำหนดทางกฎหมาย และผลกระทบต่อผู้มีส่วนได้ส่วนเสีย

สาระสำคัญจึงไม่ใช่การทำเอกสารให้ครบ แต่คือการทำให้การลงทุนด้าน AI สอดคล้องกับทิศทางและขีดความสามารถขององค์กร

วิธีจัดลำดับ AI Use Case แบบผู้บริหาร

องค์กรสามารถนำ AI Use Case ที่เสนอทั้งหมดมาประเมินผ่านคำถามห้ากลุ่ม

1. Strategic Fit — สอดคล้องกับกลยุทธ์หรือไม่?
   • สนับสนุนเป้าหมายทางธุรกิจเรื่องใด
   • แก้ปัญหาที่มีความสำคัญจริงหรือไม่
   • หากไม่ทำโครงการนี้ องค์กรสูญเสียโอกาสอะไร
2. Business Value — สร้างคุณค่าอะไร?
   • เพิ่มรายได้ ลดต้นทุน หรือเพิ่มคุณภาพอย่างไร
   • คุณค่าที่คาดหวังมีหลักฐานรองรับหรือเป็นเพียงสมมติฐาน
   • ใครเป็นผู้ได้รับประโยชน์ และสามารถวัดผลได้อย่างไร
3. Risk & Impact — ความเสี่ยงและผลกระทบสูงเพียงใด?
   • AI มีผลต่อสิทธิ โอกาส การเงิน สุขภาพ หรือความปลอดภัยของบุคคลหรือไม่
   • ใช้ข้อมูลส่วนบุคคล ข้อมูลสำคัญ หรือข้อมูลที่มีข้อจำกัดหรือไม่
   • หากระบบผิดพลาด องค์กรสามารถย้อนกลับหรือแก้ไขผลลัพธ์ได้หรือไม่
4. Readiness — องค์กรพร้อมหรือไม่?
   • มีข้อมูลที่มีคุณภาพเพียงพอหรือไม่
   • มีเจ้าของกระบวนการและผู้รับผิดชอบชัดเจนหรือไม่
   • มีบุคลากร เครื่องมือ และงบประมาณสำหรับดูแลระบบหลัง Go-live หรือไม่
   • สามารถกำหนด Human Oversight ที่ใช้งานได้จริงหรือไม่
5. Trust — ผลต่อความเชื่อมั่นเป็นอย่างไร?
   • ลูกค้าและพนักงานคาดหวังให้องค์กรใช้ AI ในเรื่องนี้หรือไม่
   • องค์กรสามารถอธิบายวัตถุประสงค์ ข้อจำกัด และความรับผิดชอบได้หรือไม่
   • หากการใช้ AI ถูกเปิดเผยต่อสาธารณะ องค์กรยังพร้อมยืนยันการตัดสินใจนี้หรือไม่

AI Use Case ที่ควรเริ่มก่อน ไม่จำเป็นต้องเป็นโครงการที่มีรายได้สูงที่สุด แต่อาจเป็นโครงการที่มีคุณค่าทางธุรกิจชัดเจน ความเสี่ยงอยู่ในระดับที่บริหารได้ ข้อมูลและบุคลากรพร้อม และสามารถใช้เป็นต้นแบบให้โครงการอื่นเรียนรู้ต่อได้

อย่าเริ่มจากคำถามว่า “AI ทำอะไรได้บ้าง”

การเริ่มต้นด้วยความสามารถของเทคโนโลยีมักทำให้องค์กรได้รายการ Use Case จำนวนมาก แต่ไม่แน่ชัดว่าเรื่องใดควรได้รับความสำคัญ

ธุรกิจกำลังพยายามแก้ปัญหาอะไร และ AI เป็นวิธีที่เหมาะสมจริงหรือไม่?

ไม่ใช่ทุกปัญหาต้องใช้ AI บางกระบวนการอาจแก้ได้ด้วยการปรับขั้นตอน ทำข้อมูลให้มีคุณภาพ หรือใช้ระบบอัตโนมัติแบบเดิมที่มีต้นทุนต่ำกว่า อธิบายได้ง่ายกว่า และควบคุมได้ดีกว่า

การเลือกไม่ใช้ AI ในบางกรณีจึงไม่ใช่การต่อต้านนวัตกรรม แต่เป็นการตัดสินใจลงทุนอย่างมีวินัย AI Strategy ที่ดีไม่ควรมีเป้าหมายว่าองค์กรต้องใช้ AI ให้มากที่สุด แต่ควรทำให้องค์กรใช้ AI ในเรื่องที่เหมาะสมที่สุด

5 คำถามก่อนอนุมัติ AI Use Case

1. โครงการนี้เชื่อมโยงกับเป้าหมายทางธุรกิจข้อใด? หากไม่สามารถระบุเป้าหมายหรือเจ้าของผลลัพธ์ได้อย่างชัดเจน โครงการอาจเป็นเพียงการทดลองเทคโนโลยีที่ยังไม่มี Business Case
2. ROI รวมต้นทุนตลอดวงจรชีวิตแล้วหรือยัง? ต้องรวมต้นทุนข้อมูล การเชื่อมต่อระบบ การตรวจสอบ การฝึกอบรม การกำกับดูแล การบำรุงรักษา และการยุติระบบ ไม่ใช่เพียงค่าซื้อหรือค่าพัฒนา
3. หาก AI ผิดพลาด ผลกระทบสูงสุดคืออะไร? พิจารณาทั้งความเสียหายทางการเงิน การดำเนินงาน กฎหมาย ชื่อเสียง และผลกระทบต่อบุคคล
4. องค์กรมีความพร้อมในการบริหารความเสี่ยงนั้นหรือไม่? มีผู้รับผิดชอบ ข้อมูล บุคลากร กระบวนการติดตาม และอำนาจหยุดหรือแก้ไขระบบอย่างเพียงพอหรือยัง
5. หากลูกค้าหรือสังคมรับรู้ว่าเราใช้ AI ในเรื่องนี้ เรายังพร้อมอธิบายและยืนยันการตัดสินใจหรือไม่? คำถามนี้ช่วยทดสอบทั้งความโปร่งใส ความรับผิดชอบ และความสอดคล้องกับค่านิยมขององค์กร

บทสรุป

AI Strategy ที่ดีไม่ได้เกิดจากการรวบรวม Use Case ให้ได้มากที่สุด หรือเลือกโครงการที่มีตัวเลข ROI สูงที่สุด แต่เกิดจากการเลือกใช้ AI เพื่อแก้ปัญหาทางธุรกิจที่มีความสำคัญ ภายใต้ต้นทุน ความเสี่ยง และผลกระทบที่องค์กรเข้าใจและบริหารได้

Growth & Revenue
Efficiency & Cost
Risk & Impact
Trust & Confidence

เมื่อองค์กรประเมินครบทุกด้าน AI จะไม่เป็นเพียงโครงการลดต้นทุนระยะสั้น แต่สามารถกลายเป็นขีดความสามารถทางธุรกิจที่สร้างคุณค่าได้อย่างยั่งยืน

คำถามสุดท้ายจึงไม่ใช่ “AI Use Case ไหนให้ ROI สูงที่สุด?” แต่คือ

AI Use Case ไหนสร้างคุณค่าที่เหมาะสมที่สุด เมื่อพิจารณาทั้งผลตอบแทน ความเสี่ยง ความพร้อม และความเชื่อมั่นของผู้มีส่วนได้ส่วนเสีย?

ตอนต่อไป

เมื่อ AI ตัดสินใจผิด ใครคือคนรับผิดชอบ? ทำไมการมีฝ่าย IT ดูแลระบบหรือการซื้อบริการจากผู้ให้บริการภายนอกจึงยังไม่เพียงพอ และองค์กรควรกำหนดบทบาทของ Board, Management, Business Owner, Risk, Legal, Data และ Technology อย่างไร

แหล่งอ้างอิงหลักและเครดิตภาพ

1. ISO/IEC 42001:2023 — Information technology — Artificial intelligence — Management system
2. ISO/IEC 42001:2023, Clause 4–10, AI Management System requirements
3. ISO/IEC 42001:2023, Annex B.2, Policies related to AI
4. ISO/IEC 42001:2023, Annex B.5, Assessing impacts of AI systems
5. ISO/IEC 42001:2023, Annex B.9, Responsible use of AI systems
6. ภาพเปิดบทความจาก Unsplash
7. ภาพการนำเสนอข้อมูลจาก Unsplash
8. ภาพการทำงานร่วมกันจาก Unsplash