ทำไมการประเมินความเสี่ยง IT แบบเดิม จึงไม่ครอบคลุมผลกระทบจาก AI?

เมื่อองค์กรนำเทคโนโลยีปัญญาประดิษฐ์ (AI) เข้ามาประยุกต์ใช้ในการตัดสินใจและดำเนินงาน วงกว้างของผลกระทบไม่ได้หยุดอยู่เพียงแค่ความมั่นคงปลอดภัยของระบบคอมพิวเตอร์หรือความเสี่ยงทางธุรกิจขององค์กรเท่านั้น แต่ยังแผ่ขยายไปถึง สิทธิ ความปลอดภัย ความเป็นธรรม และวิถีชีวิตของผู้คนในสังคม

การประเมินความเสี่ยง IT ดั้งเดิมมักมุ่งเน้นไปที่การปกป้องความลับ การรักษาความถูกต้อง และความพร้อมใช้งานของข้อมูล (Confidentiality, Integrity, Availability) แต่ระบบ AI มีคุณลักษณะเฉพาะ เช่น การตัดสินใจโดยอัตโนมัติ (Automated Decision-Making) การเรียนรู้จากชุดข้อมูลขนาดใหญ่ และการขาดความโปร่งใสในกระบวนการประมวลผล ซึ่งอาจนำไปสู่ปัญหาอคติทางสถิติ (Bias) การละเมิดความเป็นส่วนตัว การสร้างข่าวปลอม หรือการลดทอนโอกาสชีวิตของบุคคลโดยไม่รู้ตัว

เพื่อแก้ปัญหานี้ มาตรฐานสากล ISO/IEC 42001:2023 จึงได้กำหนดข้อบังคับให้องค์กรต้องจัดทำ AI System Impact Assessment ตามข้อกำหนด Clause 6.1.4 และมาตรการควบคุมอ้างอิงใน Annex A.5 เพื่อให้องค์กรมีกระบวนการที่เป็นทางการในการประเมินและบริหารจัดการผลกระทบที่จะเกิดขึ้นต่อบุคคล กลุ่มบุคคล และสังคมอย่างรับผิดชอบ

เจาะลึก Checklist และกระบวนการจัดทำ AI System Impact Assessment

1. AI System Impact Assessment คืออะไร? ทำความรู้จักข้อกำหนด Clause 6.1.4

ตามนิยามและข้อกำหนดในมาตรฐาน ISO/IEC 42001 การประเมินผลกระทบของระบบ AI (AI System Impact Assessment) คือ กระบวนการที่เป็นทางการและจัดทำเป็นเอกสาร เพื่อระบุ ประเมิน และจัดการกับผลกระทบที่เป็นไปได้ซึ่งอาจเกิดขึ้นต่อ บุคคล กลุ่มบุคคล และสังคม จากการพัฒนา การส่งมอบ หรือการใช้งานระบบ AI

ข้อกำหนด Clause 6.1.4 ระบุหลักการสำคัญไว้ดังนี้:

• ครอบคลุมทุกมิติการใช้งาน: ต้องประเมินผลกระทบที่อาจเกิดจากการปรับใช้ (Deployment) วัตถุประสงค์การใช้งานที่ตั้งใจไว้ (Intended Use) และการใช้งานผิดวัตถุประสงค์ที่คาดการณ์ได้อย่างสมเหตุสมผล (Reasonably Foreseeable Misuse)
• พิจารณาบริบททางเทคนิคและสังคม: ต้องคำนึงถึงบริบททางเทคนิค บริบททางสังคม และข้อบังคับทางกฎหมายในเขตอำนาจศาลที่นำระบบ AI ไปปรับใช้
• บูรณาการเข้ากับการประเมินความเสี่ยงหลัก: ผลลัพธ์จากการประเมินผลกระทบนี้ ต้องนำไปประกอบการพิจารณาในการประเมินความเสี่ยง AI (AI Risk Assessment – Clause 6.1.2) เพื่อคัดเลือกมาตรการควบคุมความเสี่ยงที่เหมาะสม
• ประเมินอย่างสม่ำเสมอ: ต้องดำเนินการประเมินตามรอบระยะเวลาที่วางแผนไว้ หรือเมื่อมีการเปลี่ยนแปลงที่สำคัญเกี่ยวกับระบบ AI (ตามข้อกำหนด Clause 8.4)

2. เมื่อไหร่ที่ต้องจัดทำ? เงื่อนไขและปัจจัยกระตุ้นการประเมิน (Annex B.5.2)

แนวทางปฏิบัติตาม Annex B.5.2 ได้กำหนดเงื่อนไขและสถานการณ์ที่องค์กรควรจัดให้มีการทำ AI System Impact Assessment ได้แก่:

• ความสำคัญวิกฤตของวัตถุประสงค์และบริบทการใช้งาน (Criticality): เมื่อระบบ AI ถูกนำไปใช้ในงานที่มีความสำคัญสูง หรืออยู่ในบริบทที่มีความเสี่ยงต่อชีวิต สุขภาพ หรือสิทธิขั้นพื้นฐาน
• ความซับซ้อนและระดับการทำงานอัตโนมัติ (Complexity & Level of Automation): ระบบ AI มีเทคโนโลยีที่ซับซ้อนสูง หรือทำงานในรูปแบบอัตโนมัติโดยปราศจากการแทรกแซงของมนุษย์
• ความอ่อนไหวของข้อมูล (Sensitivity of Data): เมื่อระบบ AI ต้องประมวลผลข้อมูลที่มีความอ่อนไหว หรือมาจากแหล่งข้อมูลที่มีความเสี่ยงสูง
• เมื่อเกิดการเปลี่ยนแปลงอย่างมีนัยสำคัญ (Significant Changes): เกิดการเปลี่ยนแปลงสถาปัตยกรรมระบบ ข้อมูลฝึกฝน วัตถุประสงค์การใช้งาน หรือบริบทแวดล้อมอย่างมีนัยสำคัญ

3. Checklist การประเมินผลกระทบต่อบุคคลและกลุ่มบุคคล (Annex A.5.4 & B.5.4)

การประเมินผลกระทบต่อบุคคล (Individuals) และกลุ่มบุคคล (Groups of Individuals) ต้องพิจารณาทั้งผลกระทบทางตรงและทางอ้อม โดยแนวทางใน Annex B.5.4 ได้จัดทำกรอบการประเมินครอบคลุมประเด็นดังต่อไปนี้:

กรอบประเมินผลกระทบขั้นพื้นฐาน:

• สถานะทางกฎหมายและโอกาสในชีวิต (Legal Position & Life Opportunities): ระบบ AI ส่งผลกระทบต่อการได้รับอนุมัติสินเชื่อ การจ้างงาน การเข้าถึงสวัสดิการ หรือการรับบริการทางการเมืองและกฎหมายหรือไม่
• สวัสดิภาพทางร่างกายและจิตใจ (Physical & Psychological Well-being): ระบบ AI ส่งผลต่อความปลอดภัยในชีวิต สุขภาพ หรือสร้างความเครียดทางจิตใจแก่ผู้ใช้งานและผู้เกี่ยวข้องหรือไม่
• สิทธิมนุษยชนสากล (Universal Human Rights): ระบบ AI ละเมิดสิทธิเสรีภาพขั้นพื้นฐานตามหลักสิทธิมนุษยชนหรือไม่
• การคุ้มครองกลุ่มเปราะบาง (Protection of Vulnerable Groups): พิจารณาความต้องการและการคุ้มครองเป็นพิเศษสำหรับกลุ่มเปราะบาง เช่น เด็ก ผู้พิการ ผู้สูงอายุ และแรงงาน

มิติการประเมินความน่าเชื่อถือ (Trustworthiness Dimensions):

1. ความเป็นธรรม (Fairness): ระบบมีอคติหรือสร้างการเลือกปฏิบัติที่ไม่เป็นธรรมต่อกลุ่มคนใดกลุ่มคนหนึ่งหรือไม่
2. ความรับผิดชอบ (Accountability): มีผู้รับผิดชอบที่ชัดเจนต่อผลลัพธ์และการตัดสินใจของ AI หรือไม่
3. ความโปร่งใสและการอธิบายได้ (Transparency & Explainability): ผู้ใช้รับรู้หรือไม่ว่ากำลังปฏิสัมพันธ์กับ AI และสามารถอธิบายเหตุผลเบื้องหลังคำตัดสินของ AI ได้หรือไม่
4. ความมั่นคงปลอดภัยและความเป็นส่วนตัว (Security & Privacy): มีการคุ้มครองข้อมูลส่วนบุคคล (PII) และป้องกันภัยคุกคามไซเบอร์อย่างเหมาะสมหรือไม่
5. ความปลอดภัยและสุขภาพ (Safety & Health): ระบบมีโอกาสทำงานผิดพลาดจนเกิดอันตรายต่อร่างกายและสุขภาพหรือไม่
6. ผลกระทบทางการเงิน (Financial Consequences): สร้างความเสียหายหรือสูญเสียทางการเงินแก่ผู้ใช้หรือไม่
7. การเข้าถึงได้ (Accessibility): ระบบถูกออกแบบให้คนทุกกลุ่มสามารถเข้าถึงและใช้งานได้อย่างเท่าเทียมหรือไม่

4. Checklist การประเมินผลกระทบเชิงสังคม (Societal Impacts – Annex A.5.5 & B.5.5)

ผลกระทบของระบบ AI ไม่ได้จำกัดอยู่เพียงระดับบุคคล แต่ส่งผลสะท้อนในวงกว้างระดับสังคม มาตรฐาน Annex A.5.5 และ Annex B.5.5 จึงระบุประเด็นการประเมินผลกระทบเชิงสังคมใน 5 มิติหลัก ได้แก่:

[ มิติการประเมินผลกระทบเชิงสังคมของระบบ AI (Societal Impacts) ]
  ├── 1. ความยั่งยืนด้านสิ่งแวดล้อม (Environmental Sustainability)
  │    └── การใช้พลังงาน ทรัพยากรธรรมชาติ และการปล่อยก๊าซเรือนกระจกของฮาร์ดแวร์
  ├── 2. ผลกระทบทางเศรษฐกิจ (Economic Impacts)
  │    └── โอกาสการจ้างงาน การเข้าถึงบริการทางการเงิน การค้า และการแข่งขัน
  ├── 3. ภาครัฐและกระบวนการยุติธรรม (Government & Governance)
  │    └── การสร้างข่าวปลอม (Misinformation/Deepfakes) ความมั่นคง และอคติในระบบยุติธรรม
  ├── 4. สุขภาพและความปลอดภัยสาธารณะ (Public Health & Safety)
  │    └── การวินิจฉัยโรค และความปลอดภัยของระบบอัตโนมัติ (เช่น ยานยนต์ไร้คนขับ)
  └── 5. บรรทัดฐาน วัฒนธรรม และค่านิยม (Norms, Culture & Values)
       └── การสร้างความบิดเบือนทางวัฒนธรรมและความขัดแย้งในสังคม

• ความยั่งยืนด้านสิ่งแวดล้อม (Environmental Sustainability): ประเมินปริมาณการใช้พลังงานไฟฟ้า การใช้น้ำในการระบายความร้อน การปล่อยก๊าซเรือนกระจกจากการฝึกฝนโมเดลและการประมวลผล ควบคู่กับการพิจารณาว่า AI สามารถช่วยลดผลกระทบสิ่งแวดล้อมในมิติอื่นได้หรือไม่
• มิติทางเศรษฐกิจ (Economic): ประเมินผลกระทบต่อตลาดแรงงาน การเปลี่ยนผ่านทักษะอาชีพ การเข้าถึงบริการทางการเงิน และการแข่งขันทางการค้าอย่างเป็นธรรม
• มิติภาครัฐและการเมือง (Government): ประเมินความเสี่ยงจากผู้ไม่หวังดีที่อาจใช้ AI สร้างข่าวปลอม (Misinformation) ภาพหรือสื่อปลอมแปลง (Deepfakes) เพื่อบิดเบือนผลการเลือกตั้ง การสั่นคลอนความมั่นคง หรืออคติในระบบยุติธรรมทางอาญา
• สาธารณสุขและความปลอดภัย (Health & Safety): ประเมินทั้งผลดีและผลเสียจากการใช้ AI วินิจฉัยโรค หรือการใช้ AI ในระบบอัตโนมัติที่หากเกิดข้อผิดพลาดอาจนำไปสู่การบาดเจ็บหรือเสียชีวิต
• บรรทัดฐาน วัฒนธรรม และค่านิยม (Norms, Culture & Values): ประเมินว่าระบบ AI นำไปสู่การตอกย้ำอคติในอดีต (Historical Biases) หรือส่งผลกระทบต่อบรรทัดฐานและวัฒนธรรมอันดีงามของสังคมหรือไม่

5. กระบวนการจัดทำและเอกสารหลักฐานที่ต้องบันทึก (Annex A.5.3 & B.5.3)

ข้อกำหนด Annex A.5.3 กำหนดให้องค์กรต้องบันทึกผลการประเมินผลกระทบของระบบ AI ไว้เป็นเอกสารสารสนเทศ และจัดเก็บไว้ตามระยะเวลาที่กำหนด โดยเนื้อหาที่ต้องระบุลงในเอกสารรายงาน ได้แก่:

1. วัตถุประสงค์การใช้งานและการใช้ผิดวัตถุประสงค์: ระบุ Intended Use และ Reasonably Foreseeable Misuse
2. วิเคราะห์ผลกระทบเชิงบวกและเชิงลบ: บันทึกผลกระทบทั้งสองด้านต่อบุคคล กลุ่มบุคคล และสังคม
3. การคาดการณ์ความล้มเหลวและมาตรการแก้ไข: ระบุความล้มเหลวที่คาดเดาได้ (Predictable Failures) ผลกระทบ และมาตรการลดความเสี่ยงที่จัดเตรียมไว้
4. กลุ่มประชากรที่เกี่ยวข้องและความซับซ้อน: ระบุกลุ่มประชากรที่ระบบครอบคลุม และระดับความซับซ้อนของเทคโนโลยี
5. บทบาทการกำกับดูแลโดยมนุษย์ (Human Oversight): ระบุบทบาท กระบวนการ และเครื่องมือที่ให้มนุษย์เข้ามาควบคุม ตรวจสอบ หรือแทรกแซงหรือยกเลิกการตัดสินใจของ AI เพื่อป้องกันผลกระทบเชิงลบ
6. การพัฒนาทักษะบุคลากร: แผนการฝึกอบรมและยกระดับทักษะพนักงานที่เกี่ยวข้องกับระบบ AI

สรุปประเด็นสำคัญของ AI System Impact Assessment

• ประเมินครอบคลุม 3 กลุ่มเป้าหมาย: บังคับประเมินผลกระทบต่อบุคคล กลุ่มบุคคล และสังคมโดยรวม (Clause 6.1.4)
• เชื่อมโยงกับการบริหารความเสี่ยง: ผลการประเมินผลกระทบต้องนำไปป้อนเข้าสู่กระบวนการประเมินความเสี่ยง AI (Clause 6.1.2) เพื่อคัดเลือกมาตรการควบคุมความเสี่ยง
• เช็กลิสต์มิติต่าง ๆ ของบุคคล: ครอบคลุมสิทธิมนุษยชน สวัสดิภาพ ความเป็นธรรม ความโปร่งใส ความเป็นส่วนตัว และการคุ้มครองกลุ่มเปราะบาง (Annex A.5.4)
• เช็กลิสต์มิติต่าง ๆ ของสังคม: ครอบคลุมความยั่งยืนสิ่งแวดล้อม เศรษฐกิจ ข่าวปลอม/สื่อปลอมแปลง สาธารณสุข และค่านิยมทางวัฒนธรรม (Annex A.5.5)
• จัดทำเอกสารและควบคุมการจัดเก็บ: ต้องบันทึกผลการประเมิน มาตรการ Human Oversight และแผนรับมือความล้มเหลวไว้เป็นเอกสารสารสนเทศ (Annex A.5.3)

การประเมินผลกระทบคือสะพานเชื่อมระหว่างนวัตกรรมเทคโนโลยีและความไว้วางใจของสังคม

การจัดทำ AI System Impact Assessment ตามมาตรฐาน ISO/IEC 42001 (Clause 6.1.4 & Annex A.5) ไม่ใช่เพียงภาระงานด้านเอกสารเพื่อการตรวจประเมิน แต่คือกระบวนการสร้าง “ความรับผิดชอบเชิงจริยธรรมและสังคม” (Ethical & Social Accountability) ให้เกิดขึ้นจริงในองค์กร

องค์กรที่สามารถประเมินและป้องกันผลกระทบเชิงลบต่อบุคคลและสังคมได้อย่างเป็นระบบ ย่อมสามารถลดความเสี่ยงด้านกฎหมาย คดีความ และชื่อเสียง ควบคู่ไปกับการสร้างความไว้วางใจ (Trust) จากผู้บริโภค พันธมิตร และหน่วยงานกำกับดูแล ซึ่งเป็นรากฐานสำคัญที่สุดในการนำเทคโนโลยี AI มาขับเคลื่อนองค์กรให้เติบโตอย่างมั่นคงและยั่งยืน