AI Governance
for IT Leaders

ส่วนที่ 1 — มาตรฐานและกรอบสากล

• ISO/IEC 42001 — Artificial Intelligence Management System
• ISO/IEC 38507 — Governance Implications of the Use of AI by Organizations
• ISO/IEC 23894 — Artificial Intelligence Risk Management
• ISO/IEC 42005 — AI System Impact Assessment
• NIST AI Risk Management Framework: Govern, Map, Measure และ Manage
• ความสัมพันธ์ระหว่าง Governance, Management, Risk และ Technical Controls
• แต่ละมาตรฐานตอบโจทย์ใครและใช้ในระดับใดขององค์กร
• แนวทางเลือกจุดเริ่มต้นสำหรับองค์กรที่ยังไม่มี AI Governance

ส่วนที่ 2 — บริบทประเทศไทย

• ภาพรวมแนวทาง AI Governance และหลักจริยธรรม AI ของ ETDA
• หลักจริยธรรม AI ของประเทศไทย
• แนวทางกำกับดูแลแบบ Risk-based Approach
• สถานะและทิศทางการกำกับดูแล AI ในประเทศไทย โดยแยกกฎหมายที่มีผลบังคับ ร่างกฎหมาย และ Soft Law
• ความเชื่อมโยงกับ PDPA, Cybersecurity และ Sector Regulation
• ภาพรวมความเชื่อมโยงระหว่างแนวทางประเทศไทยกับ ISO, NIST และการกำกับดูแลแบบ Risk-based

ขอบเขตความรับผิดชอบและจุดวางการควบคุม

• ความแตกต่างระหว่าง Traditional AI, Generative AI และ Agentic AI
• AI ที่ให้คำแนะนำกับ AI ที่สามารถดำเนินการ มีความเสี่ยงต่างกันอย่างไร
• ความเสี่ยงเมื่อ AI เข้าถึงข้อมูลภายในองค์กร
• ความเสี่ยงเมื่อ AI เชื่อมต่อ API, Database, Cloud และระบบ IT
• การแยก Model, Application Harness, Data/Knowledge และ Integration/MCP เพื่อระบุขอบเขตความรับผิดชอบ
• Application Harness as a Governance Control Layer: จุดวาง Policy Enforcement, Access Control, Human Approval, Logging และ Evaluation

ความเสี่ยงที่ต้องกำกับ

• ความเสี่ยงจาก Tool Calling และ Model Context Protocol
• Hallucination และการใช้ผลลัพธ์ที่ไม่มีหลักฐานรองรับ
• Data Leakage และการเปิดเผยข้อมูลผ่าน Prompt หรือ Tool
• Prompt Injection และคำสั่งที่ไม่พึงประสงค์
• Excessive Agency และการให้อำนาจ AI มากเกินความจำเป็น
• Third-party Model และ Vendor Risk
• Shadow AI และการใช้เครื่องมือ AI โดยไม่ได้รับอนุมัติ
• ความแตกต่างระหว่าง Prototype, Pilot และ Production AI
• ความสำคัญของ Logging, Traceability และ Evidence
• ความเสี่ยงจากการตรวจเพียง Final Outcome โดยไม่ตรวจสอบกระบวนการทำงาน

กรณีศึกษาและกิจกรรม

• AI Service Desk จำแนกและดำเนินการกับ Ticket
• AI ช่วยวิเคราะห์ Cybersecurity Incident
• AI Agent เชื่อมต่อ Database และระบบองค์กร
• AI ช่วย Network Operations และ Infrastructure Troubleshooting

การจัดทำ Inventory และจำแนกความเสี่ยง

• เหตุผลที่องค์กรต้องมี AI Use Case Inventory
• ข้อมูลขั้นต่ำที่ควรบันทึกสำหรับ AI แต่ละระบบ
• การระบุ Business Owner, System Owner, Model Provider และผู้รับผิดชอบความเสี่ยง
• วัตถุประสงค์ ขอบเขต ผู้ใช้งาน และผู้ได้รับผลกระทบ
• ประเภทข้อมูลและระดับความอ่อนไหว
• ระบบภายนอกและเครื่องมือที่ AI สามารถเข้าถึง
• ระดับ Autonomy ของ AI
• ความสามารถในการเปลี่ยนแปลงข้อมูลหรือระบบจริง
• ความรุนแรงและโอกาสเกิดความเสียหาย
• Human Oversight และจุดอนุมัติ
• การจำแนกระดับ Low, Medium และ High Risk
• หลักการทำ AI System Impact Assessment

คำถามหลักสำหรับประเมินความเสี่ยง

• AI เกี่ยวข้องกับระบบหรือบริการสำคัญหรือไม่
• AI ใช้ข้อมูลส่วนบุคคลหรือข้อมูลอ่อนไหวหรือไม่
• AI มีผลต่อสิทธิ โอกาส หรือการตัดสินใจเกี่ยวกับบุคคลหรือไม่
• AI สามารถเรียก Tool หรือดำเนินการกับระบบจริงหรือไม่
• หาก AI ผิดพลาด ผลกระทบสามารถย้อนกลับได้หรือไม่
• มีมนุษย์ตรวจสอบก่อนหรือหลังการดำเนินการหรือไม่
• สามารถตรวจสอบ Input, Output, Tool Call และ Tool Result ย้อนหลังได้หรือไม่

องค์ประกอบของนโยบาย

• Purpose and Objectives
• Scope and Applicability
• Definitions
• Governance Principles
• Roles and Responsibilities
• AI Use Case Registration and Classification
• Risk and Impact Assessment
• Data, Model and Tool Governance
• Human Oversight and Approval
• Security and Access Control
• Testing, Evaluation and Acceptance Criteria
• Monitoring, Evidence and Incident Handling
• Third-party and Procurement Requirements
• Review and Continuous Improvement

Policy Design Workshop

• กำหนดขอบเขตและวัตถุประสงค์ของนโยบาย
• จัดทำโครงสร้างนโยบายสำหรับองค์กร
• กำหนดผู้รับผิดชอบในแต่ละส่วนของนโยบาย
• กำหนดผู้มีอำนาจอนุมัติ AI Use Case
• กำหนดข้อยกเว้นและกระบวนการขออนุมัติ
• ร่าง AI Governance Vision Statement