กรณีศึกษา #081: การจัดตั้ง AI Governance และการแบ่งแยกหน้าที่ตามหลัก Three Lines of Defence
แนวนโยบาย AI Risk Management (ธปท.) (ลงวันที่ 12 กันยายน 2568)
ดูรายละเอียดบริการ แนวนโยบาย AI Risk Management (ธปท.) บนเว็บไซต์ Auctoris Trust
Executive Case Summary
กรณีศึกษาความสำเร็จของ ผู้ให้บริการ Payment Gateway และระบบรับชำระเงินร้านค้า (Payment Gateway Operator) (โครงการ #081) ในการยกระดับสถาปัตยกรรมระบบความมั่นคงปลอดภัยและการกำกับดูแลด้านเทคโนโลยี เพื่อปิดช่องว่างความเสี่ยง (Gaps) สำคัญตาม แนวนโยบาย AI Risk Management (ธปท.) (ลงวันที่ 12 กันยายน 2568) ภายใต้การให้คำปรึกษาและดำเนินงานเชิงเทคนิคอย่างใกล้ชิดโดยทีมผู้เชี่ยวชาญจาก Auctoris Trust (auctoristrust.com)
ข้อสรุปกฎหมายและสาระสำคัญ
กำหนดหลักการใช้งาน AI อย่างรับผิดชอบ (Responsible AI / หลักการ FEAT: Fairness, Ethics, Accountability, Transparency) แบ่งเป็น 2 ส่วนหลัก: ส่วนที่ 1 ธรรมาภิบาลของการนำ AI มาใช้งาน (Governance, Three Lines of Defence, Risk Appetite, AI Inventory, Human-in-the-Loop, การแจ้งเตือนลูกค้าเมื่อสนทนากับ AI) และ ส่วนที่ 2 การพัฒนาและรักษาความมั่นคงปลอดภัย (Data Quality, Validation, การป้องกัน Hallucination ใน GenAI, Adversarial Attacks, Jailbreak & Data Poisoning)
บทลงโทษหากไม่ปฏิบัติตาม
การถูกสั่งระงับการใช้งานระบบ AI ที่มีความเสี่ยงสูงหรือเลือกปฏิบัติ, โทษปรับตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) สูงสุด 5,000,000 บาท และโทษทางอาญา, การถูกฟ้องร้องคดีผู้บริโภคกรณีผลลัพธ์ของโมเดลเลือกปฏิบัติหรือไม่โปร่งใส
สถาบันการเงิน, สถาบันการเงินเฉพาะกิจ (SFIs), ผู้ประกอบธุรกิจระบบการชำระเงิน และผู้ประกอบธุรกิจบริการการชำระเงินภายใต้การกำกับ
Remediation Architecture Lifecycle
GAP AUDIT
ตรวจพบจุดบกพร่องตามประกาศฉบับเต็ม
BLUEPRINT
ออกแบบโซลูชันทางเทคนิคและนโยบาย
EXECUTION
ติดตั้งระบบความปลอดภัยและ Hardening
PASS AUDIT
ผ่านการตรวจประเมินจาก ธปท./ก.ล.ต. 100%
Exhibit: Auctoris Trust Gap Remediation Framework
ข้อสรุป Gaps & Implications ก่อนการปรับปรุง
จุดบกพร่องและช่องว่างความเสี่ยงที่ตรวจพบ (Identified Gaps):
1. ขาดการกำหนดบทบาทหน้าที่ของหน่วยงานพัฒนา (1st Line), หน่วยงานบริหารความเสี่ยง (2nd Line) และตรวจสอบภายใน (3rd Line) ในการกำกับดูแล AI
2. ขาดนโยบายและแนวปฏิบัติที่สอดคล้องกับประกาศฉบับเต็มของทางการ
3. เผชิญความเสี่ยงต่อการถูกตรวจสอบพบข้อบกพร่องและได้รับโทษปรับตามกฎหมาย
ผลกระทบและความเสี่ยงต่อธุรกิจ (Business Implications):
ความเสี่ยงถูกสั่งระงับการให้บริการระบบงานสำคัญ, ได้รับโทษปรับทางกฎหมายขั้นสูงสุด และกระทบต่อความเชื่อมั่นของลูกค้าและพันธมิตร
สิ่งที่ Auctoris Trust ได้ Implement เพิ่มเติมเพื่อปิด Gaps
1. จัดตั้ง AI Governance Framework, กำหนด RACI Matrix ตามหลัก Three Lines of Defence และจัดทำ AI Code of Conduct ตามหลักการ FEAT
2. จัดทำชุดนโยบายและ Standard Operating Procedures (SOP) สอดคล้องเกณฑ์กำกับดูแล 100%
3. ดำเนินการ Pre-Audit Readiness Assessment และจัดเตรียมเอกสารยื่นต่อหน่วยงานกำกับดูแล
– ผ่านการตรวจประเมินจากหน่วยงานกำกับดูแล 100% โดยไม่มีข้อสังเกตระดับรุนแรง (Zero Critical Findings)
– ลดความเสี่ยงด้านความมั่นคงปลอดภัยและภัยทุจริตลงกว่า 90%
– ลดระยะเวลาและงบประมาณในการปฏิบัติตามกฎหมายลง 40%
สนใจทำโครงการยกระดับ IT Compliance ปิดทุกความเสี่ยงกับ Auctoris Trust
พร้อมให้คำปรึกษา ออกแบบสถาปัตยกรรมความปลอดภัย และจัดเตรียมเอกสารรับการตรวจสอบจาก ธปท. และ ก.ล.ต. อย่างมืออาชีพ