บนเวที Techsauce Global Summit 2026 งานประชุมด้านเทคโนโลยีและธุรกิจระดับนานาชาติ ในปีนี้ หนึ่งในสาระสำคัญ คือ การเผชิญกับความท้าทายจากเทคโนโลยี AI เพราะวันนี้ AI ไม่ได้เป็นเพียงเทคโนโลยีใหม่ที่องค์กรกำลังทดลองใช้ แต่กำลังแทรกอยู่ในวิธีการทำงานและการดำเนินธุรกิจแทบทุกส่วน อาจกำลังถูกใช้โดยพนักงาน ใช้ในการพัฒนาโมเดลและแอปพลิเคชัน รวมถึงนำไปให้บริการลูกค้าโดยตรง
ชัชวัฒน์ อัศวรักวงศ์ Vice Chairman & Group Chief Information Security Officer, KASIKORN Business-Technology Group หรือ KBTG เป็นองค์กรด้านเทคโนโลยีของธนาคารกสิกรไทย กล่าวว่า การเปลี่ยนแปลงของ Generative AI ได้ทำให้ทั้งโลก วิธีการใช้ชีวิต และวิธีการดำเนินธุรกิจเปลี่ยนไป ขณะเดียวกัน การนำ AI เข้ามาใช้อย่างแพร่หลายก็ทำให้องค์กรต้องหันกลับมาตั้งคำถามถึงความน่าเชื่อถือ ความเสี่ยง มาตรฐาน และแนวทางการกำกับดูแลอย่างจริงจัง
“เราควรเปลี่ยนคำถามที่เรามักจะคิดกันปกติว่า ‘เราจะรับ AI เข้ามาใช้ให้เร็วขึ้นได้อย่างไร’ ตอนนี้คำถามเปลี่ยนไปเป็น ‘เราจะรับ AI มาใช้อย่างปลอดภัยและรับผิดชอบได้อย่างไร’ เพราะ AI อยู่ทุกหนทุกแห่งแล้ว”
สำหรับ KBTG การเปลี่ยนแปลงที่เกิดขึ้น ทำให้ AI ในองค์กรไม่ใช่เพียงโครงการริเริ่มด้านเทคโนโลยี แต่กลายเป็นเรื่องที่ต้องพูดคุยกันในเชิงธุรกิจ การพัฒนา หรือติดตั้งระบบเพียงอย่างเดียวจึงไม่ใช่คำตอบ หากการนำ AI มาใช้ไม่สามารถสร้างประโยชน์หรือผลตอบแทนให้กับธุรกิจได้
ขณะที่กรณีการใช้งานที่เหมาะสมก็สามารถทำให้ AI กลายเป็นขีดความสามารถในการแข่งขันขององค์กรได้เช่นกัน เพราะทุกวันนี้ AI ถูกนำมาใช้ในชีวิตประจำวันและการทำงานอย่างแพร่หลาย ตั้งแต่การสรุปข้อมูล การสร้างสไลด์ การสร้างแคมเปญการตลาด การทำงานอัตโนมัติ ไปจนถึงการวิเคราะห์ข้อมูล ฝ่ายบริหารเองก็เริ่มผลักดันให้พนักงานนำ AI เข้ามาช่วยเพิ่มผลิตภาพ ขณะที่ในภาคธุรกิจ หลายองค์กรได้นำ AI ไปใช้กับงานบริการลูกค้าเพื่อเพิ่มประสิทธิภาพและทำให้กระบวนการทำงานเป็นระบบอัตโนมัติมากขึ้น
“เมื่อ AI ถูกนำไปใช้งานในวงกว้าง ความท้าทายที่ตามมาคือองค์กรจะรู้ได้อย่างไรว่า AI ให้คำตอบที่ถูกต้องและแม่นยำ ข้อมูลที่ป้อนเข้าสู่ระบบได้รับการปกป้องอย่างเหมาะสมหรือไม่ และข้อมูลที่มีความละเอียดอ่อนจะไม่ถูกนำไปใช้เพื่อวัตถุประสงค์อื่น นอกจากนี้ ยังมีคำถามเกี่ยวกับการที่พนักงานนำข้อมูลขององค์กรเข้าไปใช้กับ AI ตลอดจนประเด็นเรื่องทรัพย์สินทางปัญญาและลิขสิทธิ์ของผลลัพธ์ที่นำไปใช้ในเชิงธุรกิจ”
อีกหนึ่งความเสี่ยงสำคัญคือ Hallucination หรือการที่ AI สร้างข้อมูลที่ไม่ถูกต้องขึ้นมา หากองค์กรนำข้อมูลดังกล่าวไปใช้ต่อ ไม่ว่าจะเป็นการส่งต่อให้ลูกค้า ผู้บริหาร หรือใช้เป็นพื้นฐานในการตัดสินใจ ความผิดพลาดก็อาจขยายผลออกไปได้ ดังนั้น การใช้งานหรือพัฒนาแอปพลิเคชันจึงต้องมีการจัดการและควบคุมอย่างเหมาะสมตั้งแต่ต้นทาง
“ถ้า AI ไม่เข้าใจ หรือให้ข้อมูลที่สร้างขึ้นมาเอง หรือให้ข้อมูลที่ไม่ถูกต้อง นั่นคือสิ่งที่ต้องพิจารณาว่าเป็นความเสี่ยงครั้งใหญ่ในการนำไปใช้งาน สมมติว่าทีมวิเคราะห์นำข้อมูลไปวิเคราะห์แล้วส่งต่อให้ลูกค้า จะเกิดอะไรขึ้นถ้าลูกค้านำผลการคำนวณที่ผิดพลาดของ AI ไปใช้”
ในมิติของข้อมูล การใช้งาน Public AI และ Enterprise AI ก็มีระดับการควบคุมและการปกป้องข้อมูลที่แตกต่างกัน ขณะที่องค์กรยังต้องคำนึงถึงการควบคุมการเข้าถึงจากอุปกรณ์ของพนักงาน รวมถึงความเสี่ยงจากการละเมิดกฎระเบียบที่อาจเกิดขึ้นจากการทำงานโดยไร้การควบคุม โดยเฉพาะเมื่อการใช้งานกำลังก้าวจาก Generative AI ไปสู่ AI Agents ที่สามารถสั่งงานหรือตัดสินใจทำภารกิจข้ามระบบได้ด้วยตัวเอง
เมื่อการใช้งาน AI มีความซับซ้อนมากขึ้น อีกโจทย์หนึ่งขององค์กรคือจะเริ่มต้นจากจุดใด และควรใช้มาตรฐานหรือเฟรมเวิร์กใดเป็นแนวทาง ชัชวัฒน์ ชี้ว่า ประเด็นสำคัญไม่ได้อยู่เพียงที่ความสามารถของ AI แต่รวมถึงความสามารถในการอธิบายและตรวจสอบย้อนกลับได้ เพื่อให้เมื่อเกิดเหตุการณ์ขึ้น องค์กรสามารถสืบย้อนดูได้ว่า AI ทำอะไร และผลลัพธ์ที่เกิดขึ้นมาจากกระบวนการใด
แนวทางดังกล่าวสามารถอ้างอิงได้จากเฟรมเวิร์กด้าน AI Governance ในระดับโลก รวมถึง Model AI Governance Framework ของสิงคโปร์ ขณะที่ในประเทศไทยก็มีหน่วยงานและแนวทางที่เกี่ยวข้อง เช่น ETDA และ NCSA ซึ่งองค์กรสามารถใช้เป็นจุดเริ่มต้นในการวางกรอบการกำกับดูแลให้เหมาะสมกับบริบทของตนเอง
การนำแนวคิดมาสู่การปฏิบัติจริงของ KBank และ KBTG เริ่มต้นจากการใช้มาตรการควบคุมความปลอดภัย (Security Control) นี่คือคำถามที่คุณต้องถาม ข้อแรกคือ 'อะไรที่ควรอนุญาตและไม่ควรอนุญาตให้พนักงานของเราเข้าถึง' พนักงานทุกคนควรเข้าถึงเรื่อง AI จากเครื่องคอมพิวเตอร์องค์กรได้ทั้งหมดเลยหรือไม่ หรือควรพิจารณาจำกัดสิทธิ์ (Privilege) ว่าพนักงานคนไหนควรเข้าถึง หรือเฉพาะพนักงานที่ได้รับอนุญาตเฉพาะบุคคลเท่านั้น ข้อสุดท้าย หากอนุญาตให้พนักงานใช้งาน อุปกรณ์คอมพิวเตอร์ต้องได้รับการปกป้องด้วยระบบฮาร์ดแวร์และการป้องกันภัยคุกคาม (Hardware Protection / Endpoint Protection) ซึ่งเป็นแพ็กเกจการดูแล
“เรายังต้องมีแนวทางบอกพนักงานว่าสิ่งใดทำได้ (Do) และสิ่งใดห้ามทำ (Don't) ตัวอย่างแนวทางปฏิบัติจริงของเราคือ การใช้ AI เข้ามาช่วยงาน คุณรู้ไหมว่าความรับผิดชอบและความปลอดภัยคืออะไร เราจำเป็นต้องมีสิ่งเหล่านี้ และกฎเหล็กข้อแรกคือ ไม่อนุญาตให้ใช้หากไม่รู้จักแหล่งที่มา และข้อต่อมาคือ ไม่อนุญาตให้พนักงานใช้อีเมลองค์กรไปลงทะเบียนเพื่อใช้ระบบ Public AI เพราะเมื่อพนักงานลงทะเบียนและอัปโหลดข้อมูลเข้าไป AI จะจดจำข้อมูลนั้นทันที ดังนั้นจึงไม่อนุญาตให้นำงานขององค์กรไปใส่ระบบ”
ชัชวัฒน์ ย้ำถึงแนวปฏิบัติที่ต้องมีสำหรับการพิจารณาแอปพลิเคชัน (application) โดยเริ่มตั้งแต่ขั้นตอนรับความต้องการ (Requirement) จากผู้ใช้งาน เพราะหากเปิดสิทธิ์ให้ทุกคนทำตามใจชอบก็อาจจะไม่เป็นระเบียบ ดังนั้นความต้องการที่ฝ่ายธุรกิจจะนำไปใช้ ต้องมั่นใจว่าจะ 'ใช้เฉพาะชุดข้อมูลที่ได้รับอนุมัติแล้วเท่านั้น' (Use Only Approved Data) และต้องระบุเหตุผลว่าใช้ทำไม ทำอะไร และมีเงื่อนไขอย่างไร จำเป็นต้องมีขั้นตอนการตรวจสอบเพื่อให้แน่ใจว่าระบบนั้นปลอดภัย และมีคน (Human-in-the-loop) เป็นคนอนุมัติ หรือตัดสินใจขั้นสุดท้ายก่อนนำระบบขึ้นใช้งานจริง (Production) และขั้นตอนสำคัญถัดมาคือการเฝ้าระวัง (Monitoring)
“หลังจากที่ระบบเปิดใช้งานแล้ว ต้องตรวจสอบทั้งตัวโมเดล AI, ตัวระบบ และผลลัพธ์ที่เกิดขึ้น เพราะบางครั้ง AI ก็เปลี่ยนไป จึงต้องมีการประเมินผลอย่างต่อเนื่องในกระบวนการต่างๆ ก่อนขึ้นระบบและหลังขึ้นระบบ เพื่อดูว่าโมเดล AI ของเราทำงานได้อย่างมีประสิทธิภาพหรือไม่ และมีการปกป้องข้อมูลเป็นอย่างดี รวมถึงการตรวจจับเหตุการณ์ผิดปกติ (Incident Monitoring) จำนวนปัญหาที่เกิดขึ้น เพื่อทำหน้าที่ป้องกันและพัฒนาให้ดียิ่งขึ้น” ชัชวัฒน์ กล่าว
อย่างไรก็ตาม การเดินหน้าเข้าสู่ยุค AI สำหรับ KBTG ไม่ได้หมายถึงการเร่งนำเทคโนโลยีเข้ามาใช้เพียงอย่างเดียว แต่ต้องดำเนินควบคู่ไปกับการตระหนักถึงความเสี่ยงและการสร้างรากฐานของ Responsible AI เพื่อให้การใช้งาน AI มีความปลอดภัย มีความน่าเชื่อถือ และสามารถนำไปใช้ในองค์กรได้อย่างมั่นคงในระยะยาว