นโยบายการใช้ AI ในองค์กร: เขียนอย่างไร และควรมีหัวข้ออะไรบ้าง Writing an AI Usage Policy for Your Organization: What to Include

นโยบายการใช้ AI ในองค์กรคือเอกสารสั้น ๆ ที่บอกพนักงานว่าใช้เครื่องมือ AI ตัวไหนได้ ข้อมูลแบบไหนห้ามใส่ ต้องตรวจผลลัพธ์อย่างไร และใครคือคนที่ถามได้ นโยบายที่ใช้งานได้จริงมักยาวไม่เกินหนึ่งถึงสองหน้า แต่ตอบคำถามเหล่านี้ครบ บทความนี้ไล่ให้เห็นว่าควรมีหัวข้ออะไร เขียนอย่างไรให้คนอ่าน และนำไปใช้จริงอย่างไร

หลายองค์กรเริ่มเขียนนโยบายหลังจากพบว่าพนักงานใช้แชตบอต AI กันอยู่แล้ว บางคนใช้ช่วยร่างอีเมล บางคนวางเอกสารลูกค้าลงไปให้ช่วยสรุป ฝ่ายบริหารมักรู้ทีหลัง นโยบายจึงไม่ได้มีไว้ปิดกั้น แต่มีไว้ให้ทุกคนใช้เครื่องมือเดียวกันภายใต้กติกาที่เข้าใจตรงกัน ถ้าอยากอ่านภาพรวมการเริ่มใช้ AI ทั้งกระบวนการ ดูได้ที่ คู่มือเริ่มใช้ AI ในองค์กรอย่างปลอดภัย

ทำไมนโยบายการใช้ AI ควรเขียนก่อนที่จะมีปัญหา

เมื่อไม่มีนโยบาย พนักงานต้องตัดสินใจเองทุกครั้งว่าข้อมูลชิ้นนี้ใส่ได้หรือไม่ คนระมัดระวังก็ไม่กล้าใช้เลย คนที่รีบก็ใช้ไปโดยไม่คิด ผลที่ได้คือองค์กรเสียทั้งโอกาสและความปลอดภัยพร้อมกัน

นโยบายที่ชัดช่วยลดภาระการตัดสินใจนี้ พนักงานรู้ว่าอะไรอยู่ในเส้น อะไรเกินเส้น ฝ่ายไอทีรู้ว่าต้องดูแลเครื่องมือตัวไหน ฝ่ายกฎหมายรู้ว่าต้องตรวจเรื่องใด และเมื่อมีเหตุ องค์กรมีเอกสารที่อ้างอิงได้ว่าเคยตกลงอะไรไว้

กรอบแนวคิดสากลก็วางเรื่องนี้ไว้ที่จุดเริ่มต้นเหมือนกัน NIST AI Risk Management Framework แบ่งการจัดการความเสี่ยง AI เป็นสี่หน้าที่ คือ Govern, Map, Measure และ Manage โดย Govern ซึ่งหมายถึงการกำหนดนโยบายและการกำกับดูแล เป็นหน้าที่แรก กรอบนี้เป็นแบบสมัครใจและออกแบบให้ใช้ได้กับองค์กรหลายประเภท ส่วน Generative AI Profile ที่ NIST เผยแพร่เมื่อเดือนกรกฎาคม 2024 เป็นเอกสารประกอบที่เจาะจงเรื่อง AI เชิงสร้างสรรค์

หัวข้อที่นโยบายการใช้ AI ควรมี

ไม่มีแม่แบบเดียวที่เหมาะกับทุกที่ แต่นโยบายส่วนใหญ่ควรครอบคลุมหัวข้อต่อไปนี้

1. วัตถุประสงค์และขอบเขต

เขียนสั้น ๆ ว่านโยบายนี้มีไว้ทำไม และใช้กับใคร พนักงานประจำ ผู้รับจ้าง และคนที่เข้ามาทำงานชั่วคราวควรอยู่ในขอบเขตเดียวกัน ระบุด้วยว่าครอบคลุมเครื่องมือประเภทไหน เช่น แชตบอต AI ผู้ช่วยเขียนโค้ด ฟีเจอร์ AI ที่แฝงมากับโปรแกรมที่ใช้อยู่แล้ว และเครื่องมือแปลหรือถอดเสียง

2. เครื่องมือที่อนุญาต

ทำรายการเครื่องมือที่องค์กรอนุมัติ พร้อมระบุว่าใช้บัญชีองค์กรหรือบัญชีส่วนตัว บัญชีส่วนตัวมักควบคุมการตั้งค่าข้อมูลไม่ได้ จึงควรระบุให้ชัดว่าห้ามใช้กับงานขององค์กร และบอกขั้นตอนขออนุมัติเครื่องมือใหม่ให้สั้นพอที่คนจะทำจริง ถ้าขั้นตอนยุ่งยากเกินไป คนจะข้ามไปใช้เครื่องมือที่ไม่ได้ขออนุมัติ

3. ระดับของข้อมูล

หัวข้อนี้สำคัญที่สุด และเป็นหัวข้อที่พนักงานเปิดกลับมาดูบ่อยที่สุด ตัวอย่างการแบ่งเป็นสามระดับมีดังนี้

ปรับตัวอย่างให้ตรงกับข้อมูลจริงของแต่ละองค์กร ถ้าองค์กรมีระบบจัดชั้นความลับของข้อมูลอยู่แล้ว ให้ใช้ชื่อชั้นเดิม พนักงานจะได้ไม่ต้องเรียนรู้คำศัพท์ชุดใหม่

4. การใช้งานที่ได้รับอนุญาตและที่ไม่อนุญาต

ยกตัวอย่างงานที่ทำได้ เช่น ร่างอีเมลทั่วไป สรุปเอกสารที่ไม่เป็นความลับ ระดมความคิด และตรวจภาษา แล้วยกตัวอย่างงานที่ห้าม เช่น ใช้ AI ตัดสินเรื่องที่กระทบสิทธิของบุคคลโดยไม่มีคนตรวจ หรือสร้างเนื้อหาที่หลอกให้เข้าใจผิด NIST เองก็ระบุไว้ใน Generative AI Profile ว่าการกำหนดการใช้งานที่ยอมรับได้ และจำกัดบางการใช้งาน เป็นหนึ่งในแนวทางที่องค์กรทำได้

5. การตรวจผลลัพธ์โดยคน

AI อาจตอบผิดด้วยน้ำเสียงมั่นใจ นโยบายจึงควรบอกว่าคนที่ส่งงานต่อเป็นผู้รับผิดชอบเนื้อหา ไม่ว่าจะร่างด้วยเครื่องมือใด งานที่ออกนอกองค์กร เช่น เอกสารถึงลูกค้า หรือรายงานต่อหน่วยงานกำกับ ควรมีคนอ่านทวนก่อนเสมอ ตัวเลข ชื่อบุคคล และการอ้างอิงเป็นจุดที่ควรตรวจเป็นพิเศษ

6. ความเป็นส่วนตัวและข้อมูลส่วนบุคคล

หากงานเกี่ยวกับข้อมูลส่วนบุคคล ต้องพิจารณาฐานทางกฎหมาย วัตถุประสงค์ และการส่งข้อมูลให้ผู้ให้บริการภายนอก นโยบายไม่ต้องอธิบายกฎหมายทั้งฉบับ แต่ควรบอกชัดว่าใครเป็นผู้ติดต่อเมื่อพนักงานไม่แน่ใจ เช่น เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือฝ่ายกฎหมาย หัวข้อนี้เป็นข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการความมั่นใจควรปรึกษาที่ปรึกษากฎหมาย

7. ทรัพย์สินทางปัญญาและการเปิดเผยการใช้ AI

กำหนดว่าเมื่อใดต้องแจ้งว่าเนื้อหาผลิตด้วยความช่วยเหลือของ AI เช่น งานที่ส่งลูกค้า งานวิชาการ หรืองานที่สัญญาห้ามใช้ AI และเตือนเรื่องการนำผลลัพธ์ไปใช้โดยไม่ตรวจสอบว่าละเมิดลิขสิทธิ์หรือไม่

8. ผู้รับผิดชอบ การรายงาน และผลของการฝ่าฝืน

ระบุชื่อเจ้าของนโยบาย ช่องทางสอบถาม และช่องทางแจ้งเมื่อพบว่าตนเองใส่ข้อมูลผิดเข้าไป จุดนี้ควรเขียนให้พนักงานกล้าแจ้งโดยไม่กลัว เพราะยิ่งแจ้งเร็ว องค์กรยิ่งแก้ได้เร็ว ส่วนผลของการฝ่าฝืนให้อ้างอิงระเบียบวินัยที่มีอยู่ ไม่ต้องเขียนบทลงโทษใหม่

9. รอบการทบทวน

เครื่องมือ AI เปลี่ยนเร็ว ฟีเจอร์ใหม่ปรากฏโดยที่บางครั้งผู้ใช้ไม่ทันรู้ตัว ใส่วันที่มีผลบังคับ เลขเวอร์ชัน และกำหนดรอบทบทวน เช่น ทุกหกเดือนหรือทุกปี

เขียนอย่างไรให้คนอ่านและทำตามได้

นโยบายที่ถูกต้องครบถ้วนแต่ไม่มีใครอ่านก็ไม่ช่วยอะไร ลองใช้แนวทางเหล่านี้

• ใช้ภาษาที่พนักงานใช้ทำงานจริง หลีกเลี่ยงศัพท์กฎหมายที่ไม่จำเป็น
• ใส่ตัวอย่างที่เป็นสถานการณ์ในงานของแต่ละฝ่าย เช่น ฝ่ายขาย ฝ่ายบัญชี ฝ่ายบุคคล
• อธิบายเหตุผลของข้อห้ามหนึ่งประโยค คนทำตามข้อห้ามที่เข้าใจเหตุผลมากกว่าข้อห้ามที่ไม่รู้ที่มา
• ทำสรุปหนึ่งหน้าสำหรับติดหรือแนบในระบบภายใน แล้วเก็บฉบับเต็มไว้เป็นเอกสารอ้างอิง

นำนโยบายไปใช้ให้เกิดผลจริง

การประกาศนโยบายทางอีเมลครั้งเดียวมักไม่พอ ลำดับที่ใช้ได้ผลโดยทั่วไปเป็นดังนี้

1. ให้ผู้บริหารอนุมัติและเป็นผู้ประกาศ เพื่อให้พนักงานเห็นว่าเรื่องนี้เป็นนโยบายขององค์กรจริง
2. จัดอบรมสั้น ๆ พร้อมตัวอย่างจากงานจริง ไม่ใช่อ่านเอกสารให้ฟัง
3. เปิดช่องทางถามที่ตอบเร็ว เพราะคำถามส่วนใหญ่เกิดในช่วงสัปดาห์แรกที่เริ่มใช้
4. สำรวจว่าพนักงานใช้เครื่องมืออะไรอยู่จริง แล้วนำผลมาปรับรายการเครื่องมือที่อนุญาต
5. ทบทวนตามรอบที่กำหนด และปรับเมื่อมีเหตุการณ์หรือเครื่องมือใหม่

ในส่วนของกรอบอ้างอิง องค์กรไทยสามารถเทียบนโยบายกับเอกสารของ ETDA ซึ่งมีศูนย์ AI Governance Practice Center เผยแพร่แนวทางและเครื่องมือประเมินความพร้อม เช่น AI Readiness Assessment และแนวทางธรรมาภิบาล AI สำหรับผู้บริหาร รวมถึงเทียบกับ NIST AI RMF ที่กล่าวถึงข้างต้น การอ้างอิงกรอบเหล่านี้ไม่ใช่ข้อบังคับ แต่ช่วยให้รู้ว่ายังขาดหัวข้อใดอยู่

ข้อผิดพลาดที่พบบ่อย

• คัดลอกนโยบายขององค์กรอื่นมาทั้งฉบับ โดยไม่ปรับให้ตรงกับข้อมูลและเครื่องมือที่ใช้จริง
• เขียนยาวหลายสิบหน้า จนไม่มีใครเปิดอ่านหลังวันประกาศ
• ห้ามทุกอย่างโดยไม่เสนอทางเลือกที่ใช้ได้ ทำให้พนักงานหันไปใช้เครื่องมือส่วนตัว
• ไม่มีเจ้าของนโยบาย ทำให้ไม่มีใครตอบคำถามหรืออัปเดต
• ไม่ระบุว่าพนักงานควรทำอย่างไรเมื่อใส่ข้อมูลผิดพลาดไปแล้ว

เช็กลิสต์ก่อนประกาศใช้

• มีเจ้าของนโยบายและผู้อนุมัติที่ระบุชื่อชัดเจน
• มีรายการเครื่องมือที่อนุญาต และขั้นตอนขอเครื่องมือใหม่
• มีการแบ่งระดับข้อมูลพร้อมตัวอย่างที่ตรงกับองค์กร
• ระบุหน้าที่ตรวจผลลัพธ์ก่อนนำไปใช้ภายนอก
• มีช่องทางถามและช่องทางแจ้งเมื่อใส่ข้อมูลผิด
• ฝ่ายกฎหมายหรือผู้ดูแล PDPA ได้อ่านแล้ว
• กำหนดวันมีผลบังคับและรอบทบทวน
• วางแผนอบรมพนักงานหลังประกาศ

หมายเหตุ: เนื้อหาเกี่ยวกับ PDPA และกฎหมายในบทความนี้เป็นข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย โปรดปรึกษาที่ปรึกษากฎหมายก่อนนำไปใช้

ขั้นตอนถัดไป

ถ้าองค์กรของคุณกำลังร่างนโยบายการใช้ AI หรืออยากให้ทีมที่มองจากมุมความปลอดภัยช่วยทบทวนร่างที่มีอยู่ ดูแนวทางการนำ AI มาใช้ในองค์กรของเราได้ที่ บริการ AI Transformation หรือพูดคุยกับทีมได้ที่ หน้าติดต่อ