Cyberinno AI Governance for Business — ตอนที่ 4

ก่อนนำ AI ไปใช้ องค์กรจำนวนมากมักถามว่า “ระบบทำอะไรได้บ้าง?” และ “ผลตอบแทนคุ้มค่าหรือไม่?” แต่สำหรับ AI ที่มีบทบาทต่อการตัดสินใจ ลูกค้า หรือพนักงาน ยังมีคำถามสำคัญอีกข้อหนึ่ง: “สิ่งนี้อาจส่งผลกระทบต่อใครบ้าง และเราพร้อมรับผิดชอบต่อผลกระทบนั้นหรือไม่?”

AI Use Case ที่มี ROI ดี อาจยังไม่พร้อมอนุมัติ

AI สามารถเพิ่มความเร็ว ลดต้นทุน และช่วยให้ธุรกิจตัดสินใจได้ดีขึ้น แต่เมื่อ AI เข้าไปมีส่วนต่อการคัดกรองคน การเสนอราคา การให้บริการ การวิเคราะห์พฤติกรรม หรือการจัดลำดับความสำคัญของลูกค้า ผลลัพธ์ที่ผิดพลาดอาจไม่ได้กระทบเฉพาะตัวเลขในรายงาน

ตัวอย่างที่ผู้บริหารควรหยุดคิด

องค์กรต้องการใช้ AI ช่วยคัดกรองผู้สมัครงานเพื่อเร่งเวลาสรรหา หากระบบทำงานเร็วขึ้นจริง แต่ข้อมูลที่ใช้สะท้อนรูปแบบการจ้างงานในอดีตที่มีอคติ ระบบอาจทำให้ผู้สมัครบางกลุ่มเสียโอกาสโดยที่ไม่มีใครตั้งใจ

นี่คือเหตุผลที่การอนุมัติ AI Use Case ไม่ควรพิจารณาเพียงความสามารถของเทคโนโลยีหรือ ROI แต่ควรพิจารณา ผลกระทบที่คาดการณ์ได้ ต่อบุคคล กลุ่มบุคคล ลูกค้า พนักงาน องค์กร และสังคมด้วย

AI Impact Assessment ไม่ได้ถามเพียงว่า “ระบบทำงานได้หรือไม่” แต่ถามว่า “เมื่อระบบทำงานตามที่ออกแบบไว้ ผลลัพธ์นั้นอาจส่งผลต่อใคร และองค์กรพร้อมจัดการหรือไม่”

AI Impact Assessment คืออะไรในมุมธุรกิจ?

ไม่ใช่แบบฟอร์มเพื่อให้ผ่านการอนุมัติ

AI Impact Assessment คือกระบวนการที่ช่วยให้ผู้บริหารและทีมที่เกี่ยวข้องมองผลกระทบของ AI อย่างเป็นระบบก่อนเปิดใช้จริง เพื่อใช้ตัดสินใจว่า ควรเดินหน้า ปรับรูปแบบการใช้งาน เพิ่มมาตรการควบคุม หรือยังไม่ควรใช้ AI ในกรณีนั้น

ในทางปฏิบัติ การประเมินผลกระทบที่ดีควรทำให้ทีมตอบได้ว่า AI นี้ถูกใช้เพื่ออะไร ใครอาจได้รับผลกระทบ ผลกระทบด้านลบที่คาดการณ์ได้คืออะไร จะลดหรือรับมืออย่างไร และเมื่อใช้งานจริงจะติดตามอย่างไร

การประเมินที่ดีจึงไม่ใช่เรื่องของฝ่าย Compliance เพียงฝ่ายเดียว แต่เป็นการสนทนาระหว่าง Business Owner, Technology, Data, Risk, Legal, Operations และผู้บริหาร

4 มุมที่ต้องมองก่อนอนุมัติ AI

ผู้บริหารไม่จำเป็นต้องเริ่มจากรายการคำถามที่ซับซ้อนมาก แต่ควรทำให้ทุก Use Case ผ่านการพิจารณาอย่างน้อยสี่มุมนี้

1. Purpose & Context

AI ถูกใช้เพื่อแก้ปัญหาอะไร ใช้ในบริบทใด และมีอำนาจตัดสินใจหรือมีผลต่อกระบวนการมากเพียงใด

2. People & Stakeholders

ใครใช้ ใครได้รับผลกระทบ และกลุ่มใดอาจมีความเปราะบางหรือต้องการการคุ้มครองเป็นพิเศษ

3. Risk & Harm

หากข้อมูลหรือผลลัพธ์ผิดพลาด มีอคติ ถูกใช้ผิดวัตถุประสงค์ หรือระบบล้มเหลว ผลกระทบคืออะไร

4. Controls & Readiness

องค์กรมีข้อมูล คน กระบวนการ การกำกับโดยมนุษย์ และแผนรับมือเพียงพอหรือไม่

1. Purpose & Context — วัตถุประสงค์และบริบท

ต้องระบุให้ชัดว่า AI ช่วย “แนะนำ” หรือ “ตัดสินใจ” และผลลัพธ์ถูกนำไปใช้ในจุดใดของกระบวนการ ความเสี่ยงของ AI ที่ช่วยร่างอีเมลภายในย่อมแตกต่างจาก AI ที่ใช้คัดกรองผู้สมัครหรือกำหนดสิทธิการเข้าถึงบริการ

2. People & Stakeholders — ผู้คนและผู้มีส่วนได้ส่วนเสีย

การประเมินไม่ควรคิดเพียงผู้ใช้ระบบ แต่ควรคิดถึงผู้ที่ได้รับผลกระทบจากผลลัพธ์ของระบบด้วย เช่น ลูกค้า ผู้สมัคร พนักงาน คู่ค้า และในบางกรณีรวมถึงกลุ่มบุคคลหรือสังคมในวงกว้าง

3. Risk & Harm — ความเสี่ยงและผลกระทบด้านลบ

องค์กรควรถามว่าอะไรอาจผิดพลาดได้บ้าง ทั้งความผิดพลาดเชิงข้อมูล ความไม่เป็นธรรม การรั่วไหลของข้อมูล การขาดความโปร่งใส การให้ข้อมูลผิด การพึ่งพาระบบมากเกินไป หรือการใช้ AI นอกวัตถุประสงค์

4. Controls & Readiness — มาตรการควบคุมและความพร้อม

เมื่อเห็นผลกระทบแล้ว คำถามสำคัญคือองค์กรมีมาตรการใดรองรับ เช่น Human Oversight การทดสอบ การจำกัดขอบเขตการใช้งาน ช่องทางรับข้อร้องเรียน แผนตอบสนองเหตุการณ์ และการติดตามผลหลังเปิดใช้จริง

กรอบ AI Impact Assessment 5 ขั้นตอนที่เริ่มใช้ได้จริง

กำหนดวัตถุประสงค์และขอบเขต

ระบุ Use Case ผู้ใช้ ข้อมูลที่เกี่ยวข้อง ผลลัพธ์ที่ AI สร้าง และการตัดสินใจหรือกระบวนการที่ AI มีอิทธิพล

ระบุผู้ที่อาจได้รับผลกระทบ

คิดให้ครบทั้งผู้ใช้โดยตรง ผู้ที่ถูกประเมิน ผู้ได้รับบริการ พนักงาน ลูกค้า คู่ค้า และกลุ่มที่อาจได้รับผลกระทบทางอ้อม

วิเคราะห์เหตุการณ์และผลกระทบที่คาดการณ์ได้

พิจารณาทั้งกรณีระบบทำงานผิดพลาด และกรณีระบบทำงานตามที่ออกแบบแต่ผลลัพธ์กลับไม่เหมาะสมหรือไม่เป็นธรรมในบริบทจริง

กำหนดมาตรการลดผลกระทบ

กำหนดจุดตรวจสอบของมนุษย์ การจำกัดอำนาจตัดสินใจ การสื่อสารข้อจำกัด การทดสอบ การบันทึกหลักฐาน และแผนตอบสนองเมื่อเกิดเหตุ

ตัดสินใจ ติดตาม และทบทวน

ใช้ผลการประเมินเพื่ออนุมัติ ปรับเงื่อนไข ทดลองในขอบเขตจำกัด หรือชะลอโครงการ พร้อมทบทวนใหม่เมื่อวัตถุประสงค์ ข้อมูล เทคโนโลยี หรือระดับความอัตโนมัติเปลี่ยนไป

ผลกระทบที่ควรคิดให้เกินกว่าความเสียหายทางการเงิน

บางครั้งผลกระทบของ AI ไม่ได้เกิดในรูปของความเสียหายทางการเงินทันที แต่สามารถสะสมเป็นความไม่ไว้วางใจ ข้อร้องเรียน ความรู้สึกไม่เป็นธรรม หรือการสูญเสียโอกาสของผู้ที่ได้รับผลกระทบ

มิติผลกระทบ	คำถามที่ควรถาม	ตัวอย่างผลกระทบที่อาจเกิดขึ้น
ความเป็นธรรม	ผลลัพธ์อาจให้ประโยชน์หรือเสียเปรียบต่อคนบางกลุ่มโดยไม่ตั้งใจหรือไม่?	ผู้สมัครบางกลุ่มถูกคัดออกมากกว่าปกติ หรือได้รับข้อเสนอที่แตกต่างกันอย่างไม่มีเหตุผลรองรับ
ความโปร่งใส	ผู้ใช้รู้หรือไม่ว่ากำลังติดต่อกับ AI และเข้าใจข้อจำกัดของผลลัพธ์หรือไม่?	ลูกค้าเข้าใจผิดว่าคำตอบจาก Chatbot เป็นคำยืนยันสุดท้ายจากองค์กร
ความเป็นส่วนตัวและความมั่นคงปลอดภัย	ข้อมูลที่ใช้มีความจำเป็น เหมาะสม และได้รับการคุ้มครองเพียงพอหรือไม่?	ข้อมูลส่วนบุคคลหรือข้อมูลภายในถูกนำไปใช้เกินขอบเขตหรือเปิดเผยแก่ผู้ที่ไม่ควรเข้าถึง
ความปลอดภัยและความต่อเนื่อง	หากระบบล้มเหลวหรือให้คำแนะนำผิด กระบวนการยังทำงานต่อได้หรือไม่?	พนักงานพึ่งพาผลลัพธ์ AI มากเกินไปจนไม่สามารถดำเนินงานได้เมื่อระบบหยุดทำงาน
สิทธิและโอกาส	ผลลัพธ์ของ AI มีผลต่อสิทธิ โอกาส หรือสถานะของบุคคลหรือไม่?	บุคคลถูกปฏิเสธบริการ ถูกจัดลำดับความสำคัญต่ำ หรือไม่ได้รับโอกาสโดยไม่สามารถขอทบทวนได้
ชื่อเสียงและความเชื่อมั่น	หากวิธีใช้ AI นี้ถูกเปิดเผยต่อสาธารณะ องค์กรพร้อมอธิบายและยืนยันการตัดสินใจหรือไม่?	ลูกค้าขาดความเชื่อมั่น เพราะองค์กรไม่สามารถอธิบายว่าเหตุใด AI จึงให้ผลลัพธ์เช่นนั้น

ตัวอย่าง: AI ช่วยจัดลำดับลูกค้า ควรถามอะไรบ้าง?

Use Case

องค์กรต้องการใช้ AI จัดลำดับรายชื่อลูกค้าเพื่อให้ทีมบริการติดต่อกลุ่มที่มีแนวโน้มต้องการความช่วยเหลือก่อน

การมองเพียงประสิทธิภาพอาจทำให้เห็นว่า AI ช่วยลดเวลาค้นหาข้อมูลและทำให้ทีมติดต่อได้เร็วขึ้น แต่ AI Impact Assessment จะช่วยให้มองต่อไปว่า

• ระบบใช้ข้อมูลใด และข้อมูลนั้นทันสมัยหรือมีอคติหรือไม่
• ลูกค้ากลุ่มใดอาจถูกจัดลำดับต่ำโดยไม่เหมาะสม
• ทีมบริการยังสามารถเปลี่ยนลำดับเมื่อเห็นบริบทที่ AI ไม่รู้หรือไม่
• มีลูกค้ากลุ่มใดต้องได้รับการดูแลเป็นพิเศษโดยไม่ควรปล่อยให้ AI เป็นผู้จัดลำดับเพียงลำพังหรือไม่
• จะติดตามอย่างไรว่าระบบช่วยเพิ่มคุณภาพบริการ ไม่ใช่เพียงเพิ่มความเร็วในการปิดงาน

คำถามเหล่านี้ไม่ได้ทำให้โครงการหยุดชะงัก แต่ช่วยให้องค์กรออกแบบการใช้ AI ให้มีคุณค่ามากขึ้นและลดผลกระทบที่ไม่ตั้งใจ

ISO/IEC 42001 ช่วยให้องค์กรประเมินผลกระทบอย่างไร?

ISO/IEC 42001:2023 กำหนดให้องค์กรจัดทำกระบวนการประเมินผลกระทบของ AI ต่อบุคคล กลุ่มบุคคล และสังคม รวมถึงนำผลการประเมินไปใช้เพื่อควบคุมการออกแบบหรือการใช้งานของระบบ [1]

ในมุมผู้บริหาร นี่หมายความว่า

ก่อนอนุมัติ AI Use Case ต้องมีหลักฐานที่เพียงพอว่าองค์กรได้พิจารณาแล้วว่า AI มีวัตถุประสงค์อะไร ใครอาจได้รับผลกระทบ มีความล้มเหลวหรือการใช้งานผิดวัตถุประสงค์แบบใดที่คาดการณ์ได้ และมีมาตรการใดช่วยลดผลกระทบ

การประเมินผลกระทบไม่ใช่การทำนายอนาคตได้ทุกอย่าง แต่คือการทำให้องค์กรมองเห็นความเสี่ยงที่ควรมองเห็นก่อนตัดสินใจ และวางกลไกเพื่อเรียนรู้เมื่อสถานการณ์จริงแตกต่างจากที่คาดไว้

7 คำถามก่อนอนุมัติ AI Use Case

1. AI นี้ถูกใช้เพื่อวัตถุประสงค์อะไร และอยู่ในขั้นตอนใดของการตัดสินใจ? ต้องรู้ว่า AI ช่วยแนะนำ ช่วยจัดลำดับ หรือมีอำนาจตัดสินใจโดยอัตโนมัติ
2. ใครบ้างที่อาจได้รับผลกระทบจากผลลัพธ์ของ AI? รวมถึงผู้ใช้โดยตรง ผู้ที่ถูกประเมิน ลูกค้า พนักงาน และผู้ที่อาจได้รับผลกระทบทางอ้อม
3. อะไรอาจผิดพลาดหรือถูกนำไปใช้ผิดวัตถุประสงค์ได้บ้าง? พิจารณาทั้งข้อมูล ระบบ ผู้ใช้งาน ผู้ให้บริการ และบริบทการใช้งาน
4. ผลกระทบที่รุนแรงที่สุดคืออะไร และองค์กรยอมรับได้หรือไม่? มองให้ครอบคลุมความเป็นธรรม ความเป็นส่วนตัว ความปลอดภัย สิทธิ โอกาส และชื่อเสียง
5. มนุษย์สามารถตรวจสอบ หยุด หรือกลับคำตัดสินของ AI ได้จริงหรือไม่? ผู้กำกับดูแลต้องมีอำนาจ ข้อมูล ความรู้ และเวลาเพียงพอ
6. จะสื่อสารข้อจำกัดและรับข้อร้องเรียนจากผู้มีส่วนได้ส่วนเสียอย่างไร? ต้องมีช่องทางให้ผู้ใช้หรือผู้ได้รับผลกระทบสามารถแจ้งปัญหาได้
7. เมื่อใดที่ต้องประเมินผลกระทบใหม่? เช่น เมื่อเปลี่ยนวัตถุประสงค์ ข้อมูล เทคโนโลยี ระดับความอัตโนมัติ หรือกลุ่มผู้ใช้งาน

Impact Assessment ไม่ใช่การทำครั้งเดียวแล้วจบ

AI เปลี่ยนแปลงได้ ทั้งจากข้อมูลใหม่ โมเดลใหม่ ผู้ให้บริการใหม่ รูปแบบการใช้งานใหม่ และความคาดหวังของผู้มีส่วนได้ส่วนเสียที่เปลี่ยนไป

ควรทบทวนการประเมินผลกระทบใหม่ เมื่อมีการเปลี่ยนแปลงสำคัญ

• วัตถุประสงค์หรือบริบทการใช้งานเปลี่ยนไป
• ระดับความอัตโนมัติของระบบเพิ่มขึ้น
• เปลี่ยนข้อมูล แหล่งข้อมูล โมเดล หรือผู้ให้บริการ
• พบข้อร้องเรียน เหตุการณ์ผิดปกติ หรือผลลัพธ์ที่ไม่ได้คาดการณ์
• ขยายการใช้ไปยังลูกค้า กลุ่มผู้ใช้ หรือประเทศใหม่

การทบทวนจึงไม่ใช่ภาระเพิ่มโดยไม่จำเป็น แต่เป็นส่วนหนึ่งของการทำให้ AI ยังคงเหมาะสมกับโลกจริงที่เปลี่ยนไป

บทสรุป

ผู้บริหารไม่จำเป็นต้องเป็นผู้เชี่ยวชาญด้านโมเดล AI เพื่ออนุมัติการใช้ AI อย่างรับผิดชอบ แต่ต้องทำให้แน่ใจว่าองค์กรถามคำถามที่ถูกต้องก่อนตัดสินใจ

ก่อนอนุมัติ AI อย่าถามเพียงว่า “ทำได้ไหม” หรือ “คุ้มไหม” ให้ถามต่อว่า “ใครอาจได้รับผลกระทบ และเราพร้อมรับผิดชอบอย่างไร?”

เมื่อองค์กรนำ AI Impact Assessment มาใช้เป็นส่วนหนึ่งของการตัดสินใจ AI Use Case จะไม่ถูกประเมินเพียงในฐานะโครงการเทคโนโลยี แต่จะถูกประเมินในฐานะการตัดสินใจทางธุรกิจที่มีผลต่อผู้คนและความเชื่อมั่นระยะยาวขององค์กร

ตอนต่อไป

ข้อมูลสำหรับ AI: ทำไมไม่ใช่เรื่องของ Data Team เพียงฝ่ายเดียว? ทำความเข้าใจว่า Data Quality, Data Provenance และสิทธิการใช้ข้อมูล ส่งผลต่อคุณค่าทางธุรกิจ ความเสี่ยง และความน่าเชื่อถือของ AI อย่างไร

แหล่งอ้างอิงหลักและเครดิตภาพ

1. ISO/IEC 42001:2023 — Information technology — Artificial intelligence — Management system
2. ISO/IEC 42001:2023, Clause 6.1.4, AI system impact assessment
3. ISO/IEC 42001:2023, Annex B.5, Assessing impacts of AI systems
4. ISO/IEC 42001:2023, Annex B.8, Information for interested parties of AI systems
5. ISO/IEC 42001:2023, Annex B.9, Responsible use of AI systems
6. ภาพเปิดบทความจาก Unsplash
7. ภาพการทบทวนและตัดสินใจจาก Unsplash
8. ภาพการประชุมทีมจาก Unsplash