คำถามแรกของบอร์ดควรเป็น “AI จะช่วยปรับปรุงผลลัพธ์อะไร”

คู่มือแนะนำให้บอร์ดประเมินการลงทุนด้าน AI จากผลลัพธ์ที่องค์กรคาดว่าจะได้รับ ไม่ใช่จากความน่าตื่นเต้นของเทคโนโลยี ตัวชี้วัดอาจเกี่ยวข้องกับรายได้ ผลิตภาพ คุณภาพบริการ คุณภาพการตัดสินใจ การลดความเสี่ยง หรือความยืดหยุ่นในการดำเนินงาน สิ่งสำคัญคือต้องกำหนดผลลัพธ์ให้ชัดก่อนอนุมัติการลงทุน และติดตามภายหลังว่าผลลัพธ์นั้นเกิดขึ้นจริงหรือไม่

การเปิดตัวโครงการทดลองหลายโครงการ การซื้อใบอนุญาตซอฟต์แวร์จำนวนมาก หรือการอบรมพนักงานจำนวนมาก อาจสะท้อนว่าองค์กรกำลังลงมือทำ แต่ยังไม่ใช่หลักฐานว่า AI สร้างคุณค่าได้จริง บอร์ดควรขอให้ฝ่ายบริหารรายงานผลลัพธ์ที่เกิดขึ้น ต้นทุน ข้อจำกัด และความเสี่ยงควบคู่ไปกับตัวเลขการใช้งาน

แนวทางนี้ช่วยป้องกันความล้มเหลวสองด้าน ได้แก่ การอนุมัติโครงการทดลองที่กระจัดกระจายโดยไม่มีทางขยายผล และการชะลอการใช้ AI ที่มีประโยชน์เพราะไม่มีใครกำหนดความหมายของคำว่า “สำเร็จ” ไว้ตั้งแต่ต้น คู่มือจึงเน้นการเชื่อมกลยุทธ์ การคัดเลือกกรณีใช้งาน และผลตอบแทนจากการลงทุนเข้ากับเป้าหมายโดยรวมขององค์กร

นำการทดลองใช้ AI ของพนักงานเข้าสู่ระบบกำกับดูแล

พนักงานอาจใช้เครื่องมือ AI หรือสร้างขั้นตอนการทำงานของตนเองอยู่แล้วโดยไม่ผ่านโครงการอย่างเป็นทางการ คำตอบที่คู่มือเสนอไม่ใช่การเพิกเฉยต่อกิจกรรมเหล่านี้ แต่คือการเปลี่ยนการทดลองที่มีประโยชน์ให้เป็นขีดความสามารถขององค์กรที่บริหารจัดการได้

บอร์ดควรคาดหวังให้ฝ่ายบริหารรู้ว่าองค์กรกำลังใช้เครื่องมือใด กับกรณีใช้งานแบบไหน ใครเป็นเจ้าของเครื่องมือหรือกระบวนการนั้น ข้อมูลใดถูกนำไปใช้ และมีมาตรการควบคุมอะไรบ้าง คู่มือระบุถึงความสำคัญของการจัดทำเอกสารเกี่ยวกับเครื่องมือที่สร้างด้วย AI การวางธรรมาภิบาลในการใช้งาน และการทำให้เป็นไปตามข้อกำหนดด้านความปลอดภัย

ในทางปฏิบัติ องค์กรควรมีกติกากลางเกี่ยวกับเครื่องมือที่ได้รับอนุมัติ ข้อมูลอ่อนไหว ความรับผิดชอบ การติดตามตรวจสอบ และขั้นตอนการยกระดับปัญหา ขณะเดียวกันก็ควรยอมรับและพัฒนาทักษะ AI ที่พนักงานมีอยู่แล้ว ไม่ใช่มองว่าการนำ AI มาใช้ต้องเป็นคำสั่งจากผู้บริหารลงมาเพียงทางเดียว

กลยุทธ์ที่ไม่มีแผนพัฒนาทักษะ ไม่มีผู้รับผิดชอบ และไม่มีวินัยในการดำเนินงาน ย่อมมีโอกาสน้อยที่จะเปลี่ยนจากการทดลองไปสู่การใช้งานจริงในวงกว้างได้อย่างมั่นคง

ทำให้ทั้งบอร์ดมีความรู้ AI มากพอจะตั้งคำถามกับฝ่ายบริหาร

คู่มือมองว่าความรู้ความเข้าใจด้าน AI หรือ AI literacy เป็นสมรรถนะของบอร์ด กรรมการทุกคนไม่จำเป็นต้องเป็นวิศวกรแมชชีนเลิร์นนิง แต่บอร์ดโดยรวมควรเข้าใจว่า AI อาจเปลี่ยนแปลงอุตสาหกรรม รูปแบบการดำเนินงาน การแข่งขัน การตัดสินใจ และความเสี่ยงขององค์กรอย่างไร

กรรมการหลายคนควรมีความสามารถเพียงพอที่จะตรวจสอบสมมติฐานของฝ่ายบริหาร คำกล่าวอ้างเรื่องคุณค่า แผนธุรกิจ และการประเมินความเสี่ยง นอกจากนี้ บอร์ดควรเข้าถึงบุคคลอย่างน้อยหนึ่งคน ไม่ว่าจะเป็นกรรมการ ที่ปรึกษา หรือสมาชิกคณะกรรมการชุดย่อย ซึ่งมีความรู้เชิงเทคนิคมากพอจะตั้งคำถามเกี่ยวกับระบบ ข้อมูล การทดสอบ และมาตรการควบคุม

นี่เป็นมาตรฐานที่สูงกว่าการมอบหมายเรื่อง AI ให้คณะกรรมการเทคโนโลยีแล้วรอรับรายงานเป็นครั้งคราว เพราะแนวทางดังกล่าวทำให้ AI กลายเป็นส่วนหนึ่งของการกำกับดูแลเชิงกลยุทธ์และหน้าที่ความรับผิดชอบของบอร์ด ขณะเดียวกันก็ยังเปิดทางให้ใช้ผู้เชี่ยวชาญเมื่อคำถามทางเทคนิคเกินกว่าความเชี่ยวชาญของกรรมการ

กำหนดสิทธิ์ในการตัดสินใจก่อนนำระบบไปใช้งาน

ธรรมาภิบาล AI จะเกิดขึ้นจริงได้เมื่อองค์กรกำหนดชัดเจนว่าใครมีสิทธิ์อนุมัติ ใช้งาน ติดตามตรวจสอบ และสั่งหยุดระบบ AI บอร์ดควรกำหนดขอบเขตการตัดสินใจตามระดับความเสี่ยง แบ่งอย่างน้อยเป็นสามประเภท ได้แก่

• เรื่องที่ฝ่ายบริหารตัดสินใจได้ภายใต้กรอบที่อนุมัติไว้
• เรื่องที่ต้องส่งต่อให้บอร์ดหรือคณะกรรมการพิจารณา
• เรื่องที่ AI ห้ามตัดสินใจโดยอัตโนมัติ

ยิ่งผลกระทบจากความผิดพลาดสูง มาตรการควบคุมก็ต้องเข้มงวดขึ้น โดยเฉพาะการใช้ AI ในการสรรหา เลื่อนตำแหน่ง เลิกจ้าง และประเมินผลงาน บอร์ดควรวาง “เส้นแดง” ที่ชัดเจนเรื่องการทบทวนโดยมนุษย์และผู้ตัดสินใจที่ต้องรับผิดชอบ เพราะผลลัพธ์จาก AI ไม่ควรกลายเป็นคำตัดสินอัตโนมัติที่ไม่มีใครตรวจสอบเกี่ยวกับชีวิตการทำงานของบุคคล

หลักการนี้สอดคล้องกับความคาดหวังด้านธรรมาภิบาลที่ว่า AI ควรสนับสนุน ไม่ใช่แอบเข้ามาแทนที่ วิจารณญาณของมนุษย์ ก่อนระบบจะเริ่มทำงานจริง องค์กรควรตอบให้ได้ว่าใครเป็นเจ้าของระบบ ระดับใดต้องได้รับอนุมัติ จุดใดต้องมีมนุษย์กำกับ และหากเกิดปัญหาจะสั่งหยุดระบบอย่างไร

ตรวจสอบความเป็นธรรม คุณภาพข้อมูล และสิทธิ์ในการโต้แย้ง

การอนุมัติระบบ AI ที่มีความรับผิดชอบไม่ควรพิจารณาเพียงว่าโมเดลทำงานได้ดีโดยเฉลี่ยหรือไม่ บอร์ดควรถามว่าองค์กรตรวจสอบคุณภาพข้อมูลอย่างไร มีการบันทึกข้อจำกัดของระบบหรือไม่ ตรวจหาความลำเอียงอย่างไร และติดตามประสิทธิภาพหลังนำไปใช้งานหรือไม่

หากระบบ AI ส่งผลกระทบอย่างมีนัยสำคัญต่อบุคคล ผู้ที่ได้รับผลกระทบควรมีช่องทางที่มีความหมายในการทำความเข้าใจเหตุผลของผลลัพธ์ โต้แย้งการตัดสินใจ และขอให้มนุษย์ทบทวนใหม่ คำอธิบายไม่จำเป็นต้องเปิดเผยรายละเอียดทางเทคนิคที่เป็นความลับทางธุรกิจทั้งหมด แต่ต้องเพียงพอสำหรับการตรวจสอบความรับผิดชอบและการอุทธรณ์

เอกสารด้านธรรมาภิบาลองค์กรของสิงคโปร์ก็เน้นความจำเป็นของการตัดสินใจด้วย AI ที่โปร่งใสและตรวจสอบได้ รวมถึงการคำนึงถึงมาตรฐานด้านกฎระเบียบและจริยธรรม หน้าที่ของบอร์ดคือทำให้หลักการเหล่านี้กลายเป็นกระบวนการที่มีเอกสาร ผู้รับผิดชอบ และหลักฐานประกอบ ไม่ใช่เพียงคำประกาศกว้าง ๆ ว่าองค์กรใช้ AI อย่างรับผิดชอบ

มอง AI เป็นส่วนหนึ่งของความยืดหยุ่นทางไซเบอร์และการดำเนินงาน

AI ทำให้เกิดโจทย์ด้านความปลอดภัยสองด้านพร้อมกัน องค์กรต้องเตรียมรับมือฟิชชิง วิศวกรรมสังคม การฉ้อโกง การโจมตีแบบอัตโนมัติ และการค้นหาช่องโหว่ที่ทำได้รวดเร็วขึ้นด้วย AI ขณะเดียวกันก็ต้องปกป้องระบบ AI เองจากการรั่วไหลของข้อมูล การโจมตีแบบ prompt injection การดัดแปลงโมเดล และจุดอ่อนที่เกิดจากผู้ให้บริการหรือบุคคลภายนอก

ด้วยเหตุนี้ บอร์ดควรทำให้ความเสี่ยงจาก AI ปรากฏอยู่ในรายงานความยืดหยุ่นทางไซเบอร์ งานตรวจสอบและให้ความเชื่อมั่น รวมถึงแผนรับมือเหตุการณ์ ไม่ควรแยกเรื่องเหล่านี้ไว้ในฝ่ายเทคโนโลยีเพียงลำพัง คำถามสำคัญได้แก่ ใครมีสิทธิ์ปิดระบบ วิธีรายงานเหตุการณ์เป็นอย่างไร จะสืบสวนข้อมูลและการตัดสินใจที่ได้รับผลกระทบอย่างไร และองค์กรจะฟื้นตัวได้อย่างไรหากบริการ AI ใช้งานไม่ได้หรือถูกเจาะระบบ

แนวทางนี้ต่อยอดจากความคาดหวังเดิมของบอร์ดด้านความยืดหยุ่นทางไซเบอร์และการบริหารความเสี่ยง โดย SID เองก็ระบุว่าความยืดหยุ่นควรถูกฝังไว้ในกลยุทธ์องค์กร ไม่ใช่เป็นภารกิจทางเทคนิคเพียงอย่างเดียว

ระบบที่มีผลกระทบสูงต้องใช้มาตรฐานที่เข้มงวดกว่า

ผลเสียจากความล้มเหลวของ AI แตกต่างกันไปตามกรณีใช้งาน เครื่องมือเพิ่มผลิตภาพภายในที่มีความเสี่ยงต่ำไม่ควรถูกกำกับด้วยมาตรฐานเดียวกับระบบที่สนับสนุนบริการสำคัญ โครงสร้างพื้นฐานสำคัญ หรือการดำเนินงานที่หากเกิดเหตุขัดข้องแล้วจะมีผลกระทบในวงกว้าง

สำหรับระบบประเภทหลัง บอร์ดควรคาดหวังข้อกำหนดที่เข้มงวดขึ้นด้านความยืดหยุ่น ความปลอดภัย การทดสอบ การติดตามตรวจสอบ การยกระดับปัญหา และการกู้คืนระบบ เหตุผลคือความเสียหายจากการล้มเหลวหรือการถูกโจมตีอาจไม่ได้จำกัดอยู่ที่การเงินหรือชื่อเสียงขององค์กร แต่อาจกระทบต่อบริการสำคัญและการดำเนินงานในวงกว้างด้วย

แนวทางแบบอิงความเสี่ยงจึงไม่ปฏิบัติต่อแอปพลิเคชัน AI ทุกประเภทเหมือนกัน แต่กำหนดระดับอำนาจและมาตรการควบคุมให้สอดคล้องกับผลกระทบที่อาจเกิดขึ้นจากความล้มเหลว

แดชบอร์ด AI ที่บอร์ดควรใช้ติดตาม

ข้อเสนอในคู่มือสามารถนำไปจัดทำเป็นทะเบียนหรือแดชบอร์ดระดับบอร์ดได้ โดยทุกกรณีใช้งาน AI ที่มีนัยสำคัญควรระบุข้อมูลต่อไปนี้

1. เจ้าของระบบ ผู้รับผิดชอบระบบและผลลัพธ์ที่เกิดขึ้น
2. ผลลัพธ์ทางธุรกิจที่ต้องการ รวมถึงวิธีวัดความสำเร็จ
3. สิทธิ์ในการตัดสินใจ และเกณฑ์ที่ต้องส่งต่อให้ผู้มีอำนาจสูงขึ้น
4. แหล่งข้อมูลและกติกาการจัดการข้อมูล ที่เกี่ยวข้อง
5. ระดับความเสี่ยง และเหตุผลที่จัดระบบไว้ในระดับนั้น
6. มาตรการควบคุม รวมถึงการตรวจสอบความปลอดภัย ความเป็นธรรม และคุณภาพข้อมูล
7. จุดที่ต้องมีมนุษย์กำกับ และผู้รับผิดชอบการตัดสินใจขั้นสุดท้าย
8. ผลการทดสอบและติดตามตรวจสอบ รวมถึงข้อจำกัดที่ทราบแล้ว
9. เหตุการณ์ร้องเรียนหรือการอุทธรณ์ และวิธีแก้ไข
10. วันที่ทบทวนครั้งถัดไป หรือเงื่อนไขที่ทำให้ต้องประเมินระบบใหม่

โครงสร้างนี้ช่วยเชื่อมการสร้างคุณค่ากับการบริหารความเสี่ยงไว้ในข้อมูลชุดเดียว และเปิดโอกาสให้กรรมการตรวจสอบหลักฐานได้จริง แทนการพึ่งพาคำกล่าวกว้าง ๆ ว่าองค์กรกำลัง “ใช้ AI อย่างมีความรับผิดชอบ”

บทสรุปสำหรับกรรมการบริษัท

คู่มือของ SID ไม่ได้มองว่าการนำ AI มาใช้กับการกำกับดูแล AI เป็นทางเลือกที่ต้องเลือกอย่างใดอย่างหนึ่ง แต่เรียกร้องให้บอร์ดเดินหน้ากับการใช้งานที่มีประโยชน์ด้วยวินัยแบบเดียวกับการลงทุนเชิงกลยุทธ์ที่มีนัยสำคัญอื่น ๆ ได้แก่ กำหนดคุณค่าให้ชัด มอบหมายความรับผิดชอบ เข้าใจความเสี่ยง ทดสอบมาตรการควบคุม และทบทวนผลลัพธ์อย่างต่อเนื่อง

สำหรับกรรมการ สิ่งที่ควรทำทันทีคือบรรจุ AI ไว้ในวาระการประชุมบอร์ดอย่างสม่ำเสมอ ทบทวนกรณีใช้งานที่มีนัยสำคัญ และค้นหาช่องว่างด้านความรู้ AI ผู้รับผิดชอบ สิทธิ์ในการตัดสินใจ การกำกับโดยมนุษย์ การทดสอบ และความยืดหยุ่นในการดำเนินงาน

กลยุทธ์ AI ที่แข็งแกร่งที่สุดไม่ใช่กลยุทธ์ที่มีกิจกรรมมากที่สุด แต่คือกลยุทธ์ที่บอร์ดสามารถอธิบาย วัดผล และกำกับดูแลได้

คำถามแรกของบอร์ดควรเป็น “AI จะช่วยปรับปรุงผลลัพธ์อะไร”

คู่มือแนะนำให้บอร์ดประเมินการลงทุนด้าน AI จากผลลัพธ์ที่องค์กรคาดว่าจะได้รับ ไม่ใช่จากความน่าตื่นเต้นของเทคโนโลยี ตัวชี้วัดอาจเกี่ยวข้องกับรายได้ ผลิตภาพ คุณภาพบริการ คุณภาพการตัดสินใจ การลดความเสี่ยง หรือความยืดหยุ่นในการดำเนินงาน สิ่งสำคัญคือต้องกำหนดผลลัพธ์ให้ชัดก่อนอนุมัติการลงทุน และติดตามภายหลังว่าผลลัพธ์นั้นเกิดขึ้นจริงหรือไม่

การเปิดตัวโครงการทดลองหลายโครงการ การซื้อใบอนุญาตซอฟต์แวร์จำนวนมาก หรือการอบรมพนักงานจำนวนมาก อาจสะท้อนว่าองค์กรกำลังลงมือทำ แต่ยังไม่ใช่หลักฐานว่า AI สร้างคุณค่าได้จริง บอร์ดควรขอให้ฝ่ายบริหารรายงานผลลัพธ์ที่เกิดขึ้น ต้นทุน ข้อจำกัด และความเสี่ยงควบคู่ไปกับตัวเลขการใช้งาน

แนวทางนี้ช่วยป้องกันความล้มเหลวสองด้าน ได้แก่ การอนุมัติโครงการทดลองที่กระจัดกระจายโดยไม่มีทางขยายผล และการชะลอการใช้ AI ที่มีประโยชน์เพราะไม่มีใครกำหนดความหมายของคำว่า “สำเร็จ” ไว้ตั้งแต่ต้น คู่มือจึงเน้นการเชื่อมกลยุทธ์ การคัดเลือกกรณีใช้งาน และผลตอบแทนจากการลงทุนเข้ากับเป้าหมายโดยรวมขององค์กร

นำการทดลองใช้ AI ของพนักงานเข้าสู่ระบบกำกับดูแล

พนักงานอาจใช้เครื่องมือ AI หรือสร้างขั้นตอนการทำงานของตนเองอยู่แล้วโดยไม่ผ่านโครงการอย่างเป็นทางการ คำตอบที่คู่มือเสนอไม่ใช่การเพิกเฉยต่อกิจกรรมเหล่านี้ แต่คือการเปลี่ยนการทดลองที่มีประโยชน์ให้เป็นขีดความสามารถขององค์กรที่บริหารจัดการได้

บอร์ดควรคาดหวังให้ฝ่ายบริหารรู้ว่าองค์กรกำลังใช้เครื่องมือใด กับกรณีใช้งานแบบไหน ใครเป็นเจ้าของเครื่องมือหรือกระบวนการนั้น ข้อมูลใดถูกนำไปใช้ และมีมาตรการควบคุมอะไรบ้าง คู่มือระบุถึงความสำคัญของการจัดทำเอกสารเกี่ยวกับเครื่องมือที่สร้างด้วย AI การวางธรรมาภิบาลในการใช้งาน และการทำให้เป็นไปตามข้อกำหนดด้านความปลอดภัย

ในทางปฏิบัติ องค์กรควรมีกติกากลางเกี่ยวกับเครื่องมือที่ได้รับอนุมัติ ข้อมูลอ่อนไหว ความรับผิดชอบ การติดตามตรวจสอบ และขั้นตอนการยกระดับปัญหา ขณะเดียวกันก็ควรยอมรับและพัฒนาทักษะ AI ที่พนักงานมีอยู่แล้ว ไม่ใช่มองว่าการนำ AI มาใช้ต้องเป็นคำสั่งจากผู้บริหารลงมาเพียงทางเดียว

กลยุทธ์ที่ไม่มีแผนพัฒนาทักษะ ไม่มีผู้รับผิดชอบ และไม่มีวินัยในการดำเนินงาน ย่อมมีโอกาสน้อยที่จะเปลี่ยนจากการทดลองไปสู่การใช้งานจริงในวงกว้างได้อย่างมั่นคง

ทำให้ทั้งบอร์ดมีความรู้ AI มากพอจะตั้งคำถามกับฝ่ายบริหาร

คู่มือมองว่าความรู้ความเข้าใจด้าน AI หรือ AI literacy เป็นสมรรถนะของบอร์ด กรรมการทุกคนไม่จำเป็นต้องเป็นวิศวกรแมชชีนเลิร์นนิง แต่บอร์ดโดยรวมควรเข้าใจว่า AI อาจเปลี่ยนแปลงอุตสาหกรรม รูปแบบการดำเนินงาน การแข่งขัน การตัดสินใจ และความเสี่ยงขององค์กรอย่างไร

กรรมการหลายคนควรมีความสามารถเพียงพอที่จะตรวจสอบสมมติฐานของฝ่ายบริหาร คำกล่าวอ้างเรื่องคุณค่า แผนธุรกิจ และการประเมินความเสี่ยง นอกจากนี้ บอร์ดควรเข้าถึงบุคคลอย่างน้อยหนึ่งคน ไม่ว่าจะเป็นกรรมการ ที่ปรึกษา หรือสมาชิกคณะกรรมการชุดย่อย ซึ่งมีความรู้เชิงเทคนิคมากพอจะตั้งคำถามเกี่ยวกับระบบ ข้อมูล การทดสอบ และมาตรการควบคุม

นี่เป็นมาตรฐานที่สูงกว่าการมอบหมายเรื่อง AI ให้คณะกรรมการเทคโนโลยีแล้วรอรับรายงานเป็นครั้งคราว เพราะแนวทางดังกล่าวทำให้ AI กลายเป็นส่วนหนึ่งของการกำกับดูแลเชิงกลยุทธ์และหน้าที่ความรับผิดชอบของบอร์ด ขณะเดียวกันก็ยังเปิดทางให้ใช้ผู้เชี่ยวชาญเมื่อคำถามทางเทคนิคเกินกว่าความเชี่ยวชาญของกรรมการ

กำหนดสิทธิ์ในการตัดสินใจก่อนนำระบบไปใช้งาน

ธรรมาภิบาล AI จะเกิดขึ้นจริงได้เมื่อองค์กรกำหนดชัดเจนว่าใครมีสิทธิ์อนุมัติ ใช้งาน ติดตามตรวจสอบ และสั่งหยุดระบบ AI บอร์ดควรกำหนดขอบเขตการตัดสินใจตามระดับความเสี่ยง แบ่งอย่างน้อยเป็นสามประเภท ได้แก่

• เรื่องที่ฝ่ายบริหารตัดสินใจได้ภายใต้กรอบที่อนุมัติไว้
• เรื่องที่ต้องส่งต่อให้บอร์ดหรือคณะกรรมการพิจารณา
• เรื่องที่ AI ห้ามตัดสินใจโดยอัตโนมัติ

ยิ่งผลกระทบจากความผิดพลาดสูง มาตรการควบคุมก็ต้องเข้มงวดขึ้น โดยเฉพาะการใช้ AI ในการสรรหา เลื่อนตำแหน่ง เลิกจ้าง และประเมินผลงาน บอร์ดควรวาง “เส้นแดง” ที่ชัดเจนเรื่องการทบทวนโดยมนุษย์และผู้ตัดสินใจที่ต้องรับผิดชอบ เพราะผลลัพธ์จาก AI ไม่ควรกลายเป็นคำตัดสินอัตโนมัติที่ไม่มีใครตรวจสอบเกี่ยวกับชีวิตการทำงานของบุคคล

หลักการนี้สอดคล้องกับความคาดหวังด้านธรรมาภิบาลที่ว่า AI ควรสนับสนุน ไม่ใช่แอบเข้ามาแทนที่ วิจารณญาณของมนุษย์ ก่อนระบบจะเริ่มทำงานจริง องค์กรควรตอบให้ได้ว่าใครเป็นเจ้าของระบบ ระดับใดต้องได้รับอนุมัติ จุดใดต้องมีมนุษย์กำกับ และหากเกิดปัญหาจะสั่งหยุดระบบอย่างไร

ตรวจสอบความเป็นธรรม คุณภาพข้อมูล และสิทธิ์ในการโต้แย้ง

การอนุมัติระบบ AI ที่มีความรับผิดชอบไม่ควรพิจารณาเพียงว่าโมเดลทำงานได้ดีโดยเฉลี่ยหรือไม่ บอร์ดควรถามว่าองค์กรตรวจสอบคุณภาพข้อมูลอย่างไร มีการบันทึกข้อจำกัดของระบบหรือไม่ ตรวจหาความลำเอียงอย่างไร และติดตามประสิทธิภาพหลังนำไปใช้งานหรือไม่

หากระบบ AI ส่งผลกระทบอย่างมีนัยสำคัญต่อบุคคล ผู้ที่ได้รับผลกระทบควรมีช่องทางที่มีความหมายในการทำความเข้าใจเหตุผลของผลลัพธ์ โต้แย้งการตัดสินใจ และขอให้มนุษย์ทบทวนใหม่ คำอธิบายไม่จำเป็นต้องเปิดเผยรายละเอียดทางเทคนิคที่เป็นความลับทางธุรกิจทั้งหมด แต่ต้องเพียงพอสำหรับการตรวจสอบความรับผิดชอบและการอุทธรณ์

เอกสารด้านธรรมาภิบาลองค์กรของสิงคโปร์ก็เน้นความจำเป็นของการตัดสินใจด้วย AI ที่โปร่งใสและตรวจสอบได้ รวมถึงการคำนึงถึงมาตรฐานด้านกฎระเบียบและจริยธรรม หน้าที่ของบอร์ดคือทำให้หลักการเหล่านี้กลายเป็นกระบวนการที่มีเอกสาร ผู้รับผิดชอบ และหลักฐานประกอบ ไม่ใช่เพียงคำประกาศกว้าง ๆ ว่าองค์กรใช้ AI อย่างรับผิดชอบ

มอง AI เป็นส่วนหนึ่งของความยืดหยุ่นทางไซเบอร์และการดำเนินงาน

AI ทำให้เกิดโจทย์ด้านความปลอดภัยสองด้านพร้อมกัน องค์กรต้องเตรียมรับมือฟิชชิง วิศวกรรมสังคม การฉ้อโกง การโจมตีแบบอัตโนมัติ และการค้นหาช่องโหว่ที่ทำได้รวดเร็วขึ้นด้วย AI ขณะเดียวกันก็ต้องปกป้องระบบ AI เองจากการรั่วไหลของข้อมูล การโจมตีแบบ prompt injection การดัดแปลงโมเดล และจุดอ่อนที่เกิดจากผู้ให้บริการหรือบุคคลภายนอก

ด้วยเหตุนี้ บอร์ดควรทำให้ความเสี่ยงจาก AI ปรากฏอยู่ในรายงานความยืดหยุ่นทางไซเบอร์ งานตรวจสอบและให้ความเชื่อมั่น รวมถึงแผนรับมือเหตุการณ์ ไม่ควรแยกเรื่องเหล่านี้ไว้ในฝ่ายเทคโนโลยีเพียงลำพัง คำถามสำคัญได้แก่ ใครมีสิทธิ์ปิดระบบ วิธีรายงานเหตุการณ์เป็นอย่างไร จะสืบสวนข้อมูลและการตัดสินใจที่ได้รับผลกระทบอย่างไร และองค์กรจะฟื้นตัวได้อย่างไรหากบริการ AI ใช้งานไม่ได้หรือถูกเจาะระบบ

แนวทางนี้ต่อยอดจากความคาดหวังเดิมของบอร์ดด้านความยืดหยุ่นทางไซเบอร์และการบริหารความเสี่ยง โดย SID เองก็ระบุว่าความยืดหยุ่นควรถูกฝังไว้ในกลยุทธ์องค์กร ไม่ใช่เป็นภารกิจทางเทคนิคเพียงอย่างเดียว

ระบบที่มีผลกระทบสูงต้องใช้มาตรฐานที่เข้มงวดกว่า

ผลเสียจากความล้มเหลวของ AI แตกต่างกันไปตามกรณีใช้งาน เครื่องมือเพิ่มผลิตภาพภายในที่มีความเสี่ยงต่ำไม่ควรถูกกำกับด้วยมาตรฐานเดียวกับระบบที่สนับสนุนบริการสำคัญ โครงสร้างพื้นฐานสำคัญ หรือการดำเนินงานที่หากเกิดเหตุขัดข้องแล้วจะมีผลกระทบในวงกว้าง

สำหรับระบบประเภทหลัง บอร์ดควรคาดหวังข้อกำหนดที่เข้มงวดขึ้นด้านความยืดหยุ่น ความปลอดภัย การทดสอบ การติดตามตรวจสอบ การยกระดับปัญหา และการกู้คืนระบบ เหตุผลคือความเสียหายจากการล้มเหลวหรือการถูกโจมตีอาจไม่ได้จำกัดอยู่ที่การเงินหรือชื่อเสียงขององค์กร แต่อาจกระทบต่อบริการสำคัญและการดำเนินงานในวงกว้างด้วย

แนวทางแบบอิงความเสี่ยงจึงไม่ปฏิบัติต่อแอปพลิเคชัน AI ทุกประเภทเหมือนกัน แต่กำหนดระดับอำนาจและมาตรการควบคุมให้สอดคล้องกับผลกระทบที่อาจเกิดขึ้นจากความล้มเหลว

แดชบอร์ด AI ที่บอร์ดควรใช้ติดตาม

ข้อเสนอในคู่มือสามารถนำไปจัดทำเป็นทะเบียนหรือแดชบอร์ดระดับบอร์ดได้ โดยทุกกรณีใช้งาน AI ที่มีนัยสำคัญควรระบุข้อมูลต่อไปนี้

1. เจ้าของระบบ ผู้รับผิดชอบระบบและผลลัพธ์ที่เกิดขึ้น
2. ผลลัพธ์ทางธุรกิจที่ต้องการ รวมถึงวิธีวัดความสำเร็จ
3. สิทธิ์ในการตัดสินใจ และเกณฑ์ที่ต้องส่งต่อให้ผู้มีอำนาจสูงขึ้น
4. แหล่งข้อมูลและกติกาการจัดการข้อมูล ที่เกี่ยวข้อง
5. ระดับความเสี่ยง และเหตุผลที่จัดระบบไว้ในระดับนั้น
6. มาตรการควบคุม รวมถึงการตรวจสอบความปลอดภัย ความเป็นธรรม และคุณภาพข้อมูล
7. จุดที่ต้องมีมนุษย์กำกับ และผู้รับผิดชอบการตัดสินใจขั้นสุดท้าย
8. ผลการทดสอบและติดตามตรวจสอบ รวมถึงข้อจำกัดที่ทราบแล้ว
9. เหตุการณ์ร้องเรียนหรือการอุทธรณ์ และวิธีแก้ไข
10. วันที่ทบทวนครั้งถัดไป หรือเงื่อนไขที่ทำให้ต้องประเมินระบบใหม่

โครงสร้างนี้ช่วยเชื่อมการสร้างคุณค่ากับการบริหารความเสี่ยงไว้ในข้อมูลชุดเดียว และเปิดโอกาสให้กรรมการตรวจสอบหลักฐานได้จริง แทนการพึ่งพาคำกล่าวกว้าง ๆ ว่าองค์กรกำลัง “ใช้ AI อย่างมีความรับผิดชอบ”

บทสรุปสำหรับกรรมการบริษัท

คู่มือของ SID ไม่ได้มองว่าการนำ AI มาใช้กับการกำกับดูแล AI เป็นทางเลือกที่ต้องเลือกอย่างใดอย่างหนึ่ง แต่เรียกร้องให้บอร์ดเดินหน้ากับการใช้งานที่มีประโยชน์ด้วยวินัยแบบเดียวกับการลงทุนเชิงกลยุทธ์ที่มีนัยสำคัญอื่น ๆ ได้แก่ กำหนดคุณค่าให้ชัด มอบหมายความรับผิดชอบ เข้าใจความเสี่ยง ทดสอบมาตรการควบคุม และทบทวนผลลัพธ์อย่างต่อเนื่อง

สำหรับกรรมการ สิ่งที่ควรทำทันทีคือบรรจุ AI ไว้ในวาระการประชุมบอร์ดอย่างสม่ำเสมอ ทบทวนกรณีใช้งานที่มีนัยสำคัญ และค้นหาช่องว่างด้านความรู้ AI ผู้รับผิดชอบ สิทธิ์ในการตัดสินใจ การกำกับโดยมนุษย์ การทดสอบ และความยืดหยุ่นในการดำเนินงาน

กลยุทธ์ AI ที่แข็งแกร่งที่สุดไม่ใช่กลยุทธ์ที่มีกิจกรรมมากที่สุด แต่คือกลยุทธ์ที่บอร์ดสามารถอธิบาย วัดผล และกำกับดูแลได้