1. สร้างบอร์ดที่พร้อมรับมือ AI

คู่มือแนะนำให้กรรมการทุกคนมีความเข้าใจพื้นฐานเกี่ยวกับแนวคิด AI ผลกระทบทางธุรกิจ และประเด็นด้านธรรมาภิบาล ขณะเดียวกันควรมีกลุ่มกรรมการที่สามารถตั้งคำถามกับฝ่ายบริหารได้อย่างจริงจังในเรื่องกลยุทธ์ การนำไปใช้งาน การกำกับดูแลข้อมูล และการแลกเปลี่ยนระหว่างโอกาสกับความเสี่ยง

สำหรับคำถามที่ซับซ้อนด้านเทคนิค กฎระเบียบ หรือการปฏิบัติการ บอร์ดควรเข้าถึงผู้เชี่ยวชาญด้าน AI ที่มีความรู้เชิงลึกเพิ่มเติมด้วย

บททดสอบสำคัญจึงไม่ใช่การที่กรรมการพูดถึงโมเดลรุ่นล่าสุดได้ แต่คือความสามารถในการเข้าใจกรณีใช้งานขององค์กร มองเห็นสิ่งที่อาจผิดพลาด และประเมินว่าฝ่ายบริหารมีศักยภาพในการรับมือหรือไม่

2. วัดผลลัพธ์ ไม่ใช่แค่กิจกรรมด้าน AI

การลงทุนด้าน AI ควรถูกประเมินจากผลลัพธ์ทางธุรกิจที่จับต้องได้ ไม่ใช่จากตัวเลขการเริ่มใช้งานเพียงอย่างเดียว คู่มือแยกความแตกต่างระหว่าง “กิจกรรม” เช่น โครงการทดลอง ใบอนุญาตซอฟต์แวร์ การฝึกอบรม หรือการทดลองใช้ กับ “คุณค่า” เช่น การปรับปรุงกระบวนการทำงาน เวลาที่ประหยัดได้ ประสบการณ์ลูกค้า และผลกระทบต่อการดำเนินงาน

คำถามที่บอร์ดควรถาม ได้แก่

• ระบบนี้กำลังแก้ปัญหาทางธุรกิจอะไร
• ผลลัพธ์ใดควรดีขึ้น และควรดีขึ้นมากน้อยเพียงใด
• องค์กรจะวัดการเปลี่ยนแปลงนั้นอย่างไร
• มีหลักฐานเพียงพอหรือไม่ที่จะขยายจากโครงการทดลองไปสู่การใช้งานจริงในวงกว้าง
• ต้นทุนของการกำกับดูแล ความปลอดภัย การเชื่อมต่อระบบ และความล้มเหลวอยู่ที่เท่าไร

การมีโครงการทดลองจำนวนมากอาจสะท้อนว่าองค์กรสนใจ AI แต่ไม่ได้แปลว่าจะสร้างผลตอบแทนจากการลงทุนได้จริง

3. เปลี่ยนการทดลองของพนักงานให้เป็นขีดความสามารถที่มีระบบกำกับ

ในหลายองค์กร พนักงานอาจค้นพบวิธีใช้ AI ที่เป็นประโยชน์ก่อนที่บริษัทจะมีโครงการอย่างเป็นทางการ คู่มือจึงสนับสนุนให้บอร์ดและฝ่ายบริหารนำความรู้เหล่านี้มาใช้ พร้อมดึงการทดลองเข้าสู่ระบบควบคุมขององค์กร

ในทางปฏิบัติ บริษัทควรจัดทำรายการเครื่องมือที่พนักงานสร้างหรือปรับใช้ด้วย AI กำหนดว่าใครมีสิทธิใช้งานและใช้เพื่อวัตถุประสงค์ใด รวมถึงตรวจสอบให้สอดคล้องกับข้อกำหนดด้านความปลอดภัยและธรรมาภิบาลที่เกี่ยวข้อง

เป้าหมายไม่ใช่การปิดกั้นการทดลอง แต่คือการป้องกันไม่ให้ต้นแบบที่มีประโยชน์กลายเป็นระบบที่ไม่มีใครรับผิดชอบและไม่มีการสนับสนุน ทั้งที่อาจกระทบลูกค้า พนักงาน หรือข้อมูลของบริษัท

4. มองความเสี่ยงจาก AI เป็นความเสี่ยงระดับองค์กร

การกำกับดูแล AI ไม่ควรจำกัดอยู่แค่ประสิทธิภาพของโมเดล กรรมการควรพิจารณาความเสี่ยงด้านจริยธรรม ความมั่นคงปลอดภัยไซเบอร์ ข้อมูล ความปลอดภัย ความเป็นส่วนตัว และบุคลากร รวมถึงผลกระทบต่อความยืดหยุ่นในการดำเนินงานและการสร้างคุณค่าในระยะยาว

บอร์ดจึงควรทราบว่าองค์กรใช้ AI อยู่ที่ใดบ้าง มีการใช้ข้อมูลและผู้ให้บริการภายนอกรายใด ใครเป็นเจ้าของระบบแต่ละระบบ มีขั้นตอนรายงานเหตุการณ์อย่างไร และเมื่อใดควรหยุดหรือทบทวนการใช้งาน

ระดับการควบคุมควรสอดคล้องกับผลกระทบหากเกิดความผิดพลาด เครื่องมือช่วยเพิ่มประสิทธิภาพภายในที่มีผลกระทบต่ำย่อมไม่จำเป็นต้องใช้มาตรการเดียวกับระบบที่มีอิทธิพลต่อการจ้างงาน การเข้าถึงบริการของลูกค้า หรือความปลอดภัย

5. กำหนดการกำกับโดยมนุษย์และ “เส้นแดง” ที่ชัดเจน

คู่มือเรียกร้องให้บริษัทกำหนดขอบเขตการตัดสินใจอย่างชัดเจน บอร์ดควรระบุว่ากรณีใดต้องมีมนุษย์ตรวจสอบ และกรณีใดเป็น “เส้นแดง” ที่ห้ามปล่อยให้ระบบอัตโนมัติตัดสินใจเอง โดยเฉพาะการตัดสินใจที่กระทบลูกค้า พนักงาน ความปลอดภัย หรือความเป็นส่วนตัว

การมีมนุษย์อยู่ในกระบวนการจะมีความหมายก็ต่อเมื่อผู้ตรวจสอบมีข้อมูล อำนาจ และเวลามากพอที่จะตั้งคำถามหรือยกเลิกคำแนะนำของ AI ได้ หากขั้นตอนอนุมัติเป็นเพียงพิธีการ ก็อาจกลายเป็นการประทับตรารับรองผลลัพธ์จากระบบอัตโนมัติโดยไม่มีการตรวจสอบจริง

6. เพิ่มมาตรการคุ้มครองเมื่อใช้ AI ตัดสินใจเรื่องบุคลากร

การใช้ AI ในการรับสมัคร เลื่อนตำแหน่ง หรือประเมินผลงานอาจส่งผลต่อโอกาสและความเป็นอยู่ของผู้คน คู่มือจึงแนะนำให้มีการตรวจสอบโดยมนุษย์ การทดสอบอคติ และการตรวจสอบคุณภาพข้อมูล พร้อมกระบวนการที่ชัดเจนให้ผู้ได้รับผลกระทบสามารถคัดค้านหรือขอให้ทบทวนการตัดสินใจได้

สำหรับบอร์ด ประเด็นความเป็นธรรมจึงไม่ควรหยุดอยู่ที่หลักการกว้าง ๆ แต่ควรถูกแปลงเป็นคำถามด้านการกำกับดูแล เช่น มีหลักฐานอะไรที่แสดงว่าระบบทำงานตามวัตถุประสงค์ กลุ่มใดอาจเสียเปรียบ และบุคคลหนึ่งคนจะโต้แย้งผลลัพธ์ได้อย่างไร

7. ยกระดับความมั่นคงปลอดภัยไซเบอร์และความรับผิดชอบไว้ที่บอร์ด

คู่มือวาง AI ไว้ภายใต้ความรับผิดชอบที่กว้างขึ้นของการรักษาความยืดหยุ่นและความพร้อมรับมือขององค์กรในโลกดิจิทัล ข้อเสนอเหล่านี้สะท้อนความคาดหวังที่เพิ่มขึ้นว่า บอร์ดต้องกำกับดูแลความเสี่ยงจาก AI อย่างจริงจัง รวมถึงภัยคุกคามทางไซเบอร์ ไม่ใช่สมมติว่าทีมเทคนิคจะจัดการได้ทั้งหมด

กรรมการควรถามฝ่ายบริหารว่า AI ทำให้พื้นผิวการโจมตีขององค์กรเปลี่ยนไปอย่างไร ข้อมูลอ่อนไหวได้รับการปกป้องแบบใด มีการประเมินผู้ให้บริการภายนอกอย่างไร และบริษัทจะตอบสนองอย่างไรหากระบบ AI ถูกโจมตีหรือสร้างผลลัพธ์ที่เป็นอันตราย

มาตรการที่เหมาะสมอาจแตกต่างกันไปในแต่ละองค์กร แต่ความรับผิดชอบในการตั้งคำถามยังคงเป็นของบอร์ด

คำถาม 5 ข้อที่บอร์ดควรเริ่มถามทันที

การทบทวนเบื้องต้นอาจเริ่มจากคำถามต่อไปนี้

1. ขณะนี้องค์กรใช้ AI อยู่ที่ใดบ้าง รวมถึงเครื่องมือที่พนักงานสร้างขึ้นเอง
2. ระบบใดมีความสำคัญเชิงกลยุทธ์หรือมีผลกระทบสูง
3. ฝ่ายบริหารรายงานตัวชี้วัดด้านผลลัพธ์และความเสี่ยงต่อบอร์ดอย่างไร
4. กรณีใดจำเป็นต้องมีมนุษย์ตรวจสอบ และกรณีใดห้ามใช้การตัดสินใจอัตโนมัติ
5. ผู้ได้รับผลกระทบสามารถคัดค้านการตัดสินใจได้หรือไม่ และองค์กรสามารถหยุดระบบได้อย่างปลอดภัยหรือไม่

บทเรียนสำคัญจากคู่มือเล่มนี้คือ การกำกับดูแล AI อย่างรับผิดชอบไม่ใช่นโยบายที่จัดทำครั้งเดียวแล้วจบ บอร์ดต้องมีความรู้มากพอที่จะดูแลกลยุทธ์ มีหลักฐานมากพอที่จะตัดสินคุณค่าทางธุรกิจ และมีอำนาจมากพอที่จะกำหนดข้อจำกัดเมื่อความเสี่ยงสูงกว่าประโยชน์

1. สร้างบอร์ดที่พร้อมรับมือ AI

คู่มือแนะนำให้กรรมการทุกคนมีความเข้าใจพื้นฐานเกี่ยวกับแนวคิด AI ผลกระทบทางธุรกิจ และประเด็นด้านธรรมาภิบาล ขณะเดียวกันควรมีกลุ่มกรรมการที่สามารถตั้งคำถามกับฝ่ายบริหารได้อย่างจริงจังในเรื่องกลยุทธ์ การนำไปใช้งาน การกำกับดูแลข้อมูล และการแลกเปลี่ยนระหว่างโอกาสกับความเสี่ยง

สำหรับคำถามที่ซับซ้อนด้านเทคนิค กฎระเบียบ หรือการปฏิบัติการ บอร์ดควรเข้าถึงผู้เชี่ยวชาญด้าน AI ที่มีความรู้เชิงลึกเพิ่มเติมด้วย

บททดสอบสำคัญจึงไม่ใช่การที่กรรมการพูดถึงโมเดลรุ่นล่าสุดได้ แต่คือความสามารถในการเข้าใจกรณีใช้งานขององค์กร มองเห็นสิ่งที่อาจผิดพลาด และประเมินว่าฝ่ายบริหารมีศักยภาพในการรับมือหรือไม่

2. วัดผลลัพธ์ ไม่ใช่แค่กิจกรรมด้าน AI

การลงทุนด้าน AI ควรถูกประเมินจากผลลัพธ์ทางธุรกิจที่จับต้องได้ ไม่ใช่จากตัวเลขการเริ่มใช้งานเพียงอย่างเดียว คู่มือแยกความแตกต่างระหว่าง “กิจกรรม” เช่น โครงการทดลอง ใบอนุญาตซอฟต์แวร์ การฝึกอบรม หรือการทดลองใช้ กับ “คุณค่า” เช่น การปรับปรุงกระบวนการทำงาน เวลาที่ประหยัดได้ ประสบการณ์ลูกค้า และผลกระทบต่อการดำเนินงาน

คำถามที่บอร์ดควรถาม ได้แก่

• ระบบนี้กำลังแก้ปัญหาทางธุรกิจอะไร
• ผลลัพธ์ใดควรดีขึ้น และควรดีขึ้นมากน้อยเพียงใด
• องค์กรจะวัดการเปลี่ยนแปลงนั้นอย่างไร
• มีหลักฐานเพียงพอหรือไม่ที่จะขยายจากโครงการทดลองไปสู่การใช้งานจริงในวงกว้าง
• ต้นทุนของการกำกับดูแล ความปลอดภัย การเชื่อมต่อระบบ และความล้มเหลวอยู่ที่เท่าไร

การมีโครงการทดลองจำนวนมากอาจสะท้อนว่าองค์กรสนใจ AI แต่ไม่ได้แปลว่าจะสร้างผลตอบแทนจากการลงทุนได้จริง

3. เปลี่ยนการทดลองของพนักงานให้เป็นขีดความสามารถที่มีระบบกำกับ

ในหลายองค์กร พนักงานอาจค้นพบวิธีใช้ AI ที่เป็นประโยชน์ก่อนที่บริษัทจะมีโครงการอย่างเป็นทางการ คู่มือจึงสนับสนุนให้บอร์ดและฝ่ายบริหารนำความรู้เหล่านี้มาใช้ พร้อมดึงการทดลองเข้าสู่ระบบควบคุมขององค์กร

ในทางปฏิบัติ บริษัทควรจัดทำรายการเครื่องมือที่พนักงานสร้างหรือปรับใช้ด้วย AI กำหนดว่าใครมีสิทธิใช้งานและใช้เพื่อวัตถุประสงค์ใด รวมถึงตรวจสอบให้สอดคล้องกับข้อกำหนดด้านความปลอดภัยและธรรมาภิบาลที่เกี่ยวข้อง

เป้าหมายไม่ใช่การปิดกั้นการทดลอง แต่คือการป้องกันไม่ให้ต้นแบบที่มีประโยชน์กลายเป็นระบบที่ไม่มีใครรับผิดชอบและไม่มีการสนับสนุน ทั้งที่อาจกระทบลูกค้า พนักงาน หรือข้อมูลของบริษัท

4. มองความเสี่ยงจาก AI เป็นความเสี่ยงระดับองค์กร

การกำกับดูแล AI ไม่ควรจำกัดอยู่แค่ประสิทธิภาพของโมเดล กรรมการควรพิจารณาความเสี่ยงด้านจริยธรรม ความมั่นคงปลอดภัยไซเบอร์ ข้อมูล ความปลอดภัย ความเป็นส่วนตัว และบุคลากร รวมถึงผลกระทบต่อความยืดหยุ่นในการดำเนินงานและการสร้างคุณค่าในระยะยาว

บอร์ดจึงควรทราบว่าองค์กรใช้ AI อยู่ที่ใดบ้าง มีการใช้ข้อมูลและผู้ให้บริการภายนอกรายใด ใครเป็นเจ้าของระบบแต่ละระบบ มีขั้นตอนรายงานเหตุการณ์อย่างไร และเมื่อใดควรหยุดหรือทบทวนการใช้งาน

ระดับการควบคุมควรสอดคล้องกับผลกระทบหากเกิดความผิดพลาด เครื่องมือช่วยเพิ่มประสิทธิภาพภายในที่มีผลกระทบต่ำย่อมไม่จำเป็นต้องใช้มาตรการเดียวกับระบบที่มีอิทธิพลต่อการจ้างงาน การเข้าถึงบริการของลูกค้า หรือความปลอดภัย

5. กำหนดการกำกับโดยมนุษย์และ “เส้นแดง” ที่ชัดเจน

คู่มือเรียกร้องให้บริษัทกำหนดขอบเขตการตัดสินใจอย่างชัดเจน บอร์ดควรระบุว่ากรณีใดต้องมีมนุษย์ตรวจสอบ และกรณีใดเป็น “เส้นแดง” ที่ห้ามปล่อยให้ระบบอัตโนมัติตัดสินใจเอง โดยเฉพาะการตัดสินใจที่กระทบลูกค้า พนักงาน ความปลอดภัย หรือความเป็นส่วนตัว

การมีมนุษย์อยู่ในกระบวนการจะมีความหมายก็ต่อเมื่อผู้ตรวจสอบมีข้อมูล อำนาจ และเวลามากพอที่จะตั้งคำถามหรือยกเลิกคำแนะนำของ AI ได้ หากขั้นตอนอนุมัติเป็นเพียงพิธีการ ก็อาจกลายเป็นการประทับตรารับรองผลลัพธ์จากระบบอัตโนมัติโดยไม่มีการตรวจสอบจริง

6. เพิ่มมาตรการคุ้มครองเมื่อใช้ AI ตัดสินใจเรื่องบุคลากร

การใช้ AI ในการรับสมัคร เลื่อนตำแหน่ง หรือประเมินผลงานอาจส่งผลต่อโอกาสและความเป็นอยู่ของผู้คน คู่มือจึงแนะนำให้มีการตรวจสอบโดยมนุษย์ การทดสอบอคติ และการตรวจสอบคุณภาพข้อมูล พร้อมกระบวนการที่ชัดเจนให้ผู้ได้รับผลกระทบสามารถคัดค้านหรือขอให้ทบทวนการตัดสินใจได้

สำหรับบอร์ด ประเด็นความเป็นธรรมจึงไม่ควรหยุดอยู่ที่หลักการกว้าง ๆ แต่ควรถูกแปลงเป็นคำถามด้านการกำกับดูแล เช่น มีหลักฐานอะไรที่แสดงว่าระบบทำงานตามวัตถุประสงค์ กลุ่มใดอาจเสียเปรียบ และบุคคลหนึ่งคนจะโต้แย้งผลลัพธ์ได้อย่างไร

7. ยกระดับความมั่นคงปลอดภัยไซเบอร์และความรับผิดชอบไว้ที่บอร์ด

คู่มือวาง AI ไว้ภายใต้ความรับผิดชอบที่กว้างขึ้นของการรักษาความยืดหยุ่นและความพร้อมรับมือขององค์กรในโลกดิจิทัล ข้อเสนอเหล่านี้สะท้อนความคาดหวังที่เพิ่มขึ้นว่า บอร์ดต้องกำกับดูแลความเสี่ยงจาก AI อย่างจริงจัง รวมถึงภัยคุกคามทางไซเบอร์ ไม่ใช่สมมติว่าทีมเทคนิคจะจัดการได้ทั้งหมด

กรรมการควรถามฝ่ายบริหารว่า AI ทำให้พื้นผิวการโจมตีขององค์กรเปลี่ยนไปอย่างไร ข้อมูลอ่อนไหวได้รับการปกป้องแบบใด มีการประเมินผู้ให้บริการภายนอกอย่างไร และบริษัทจะตอบสนองอย่างไรหากระบบ AI ถูกโจมตีหรือสร้างผลลัพธ์ที่เป็นอันตราย

มาตรการที่เหมาะสมอาจแตกต่างกันไปในแต่ละองค์กร แต่ความรับผิดชอบในการตั้งคำถามยังคงเป็นของบอร์ด

คำถาม 5 ข้อที่บอร์ดควรเริ่มถามทันที

การทบทวนเบื้องต้นอาจเริ่มจากคำถามต่อไปนี้

1. ขณะนี้องค์กรใช้ AI อยู่ที่ใดบ้าง รวมถึงเครื่องมือที่พนักงานสร้างขึ้นเอง
2. ระบบใดมีความสำคัญเชิงกลยุทธ์หรือมีผลกระทบสูง
3. ฝ่ายบริหารรายงานตัวชี้วัดด้านผลลัพธ์และความเสี่ยงต่อบอร์ดอย่างไร
4. กรณีใดจำเป็นต้องมีมนุษย์ตรวจสอบ และกรณีใดห้ามใช้การตัดสินใจอัตโนมัติ
5. ผู้ได้รับผลกระทบสามารถคัดค้านการตัดสินใจได้หรือไม่ และองค์กรสามารถหยุดระบบได้อย่างปลอดภัยหรือไม่

บทเรียนสำคัญจากคู่มือเล่มนี้คือ การกำกับดูแล AI อย่างรับผิดชอบไม่ใช่นโยบายที่จัดทำครั้งเดียวแล้วจบ บอร์ดต้องมีความรู้มากพอที่จะดูแลกลยุทธ์ มีหลักฐานมากพอที่จะตัดสินคุณค่าทางธุรกิจ และมีอำนาจมากพอที่จะกำหนดข้อจำกัดเมื่อความเสี่ยงสูงกว่าประโยชน์