การปฏิบัติตามข้อกำหนดด้าน AI: การกำกับดูแลระบบ AI และการใช้ AI ในงานด้านการปฏิบัติตามข้อกำหนด

การปฏิบัติตามข้อกำหนดด้าน AI มีความหมายสองประการ ได้แก่ งานต่อเนื่องเพื่อให้มั่นใจว่าระบบ AI ที่องค์กรของคุณสร้างหรือใช้งานเป็นไปตามกฎหมาย มาตรฐาน และนโยบายภายในที่เกี่ยวข้อง และการใช้ AI กับงานด้านการปฏิบัติตามข้อกำหนดที่เป็นงานประจำและมีปริมาณมาก

บทความนี้ครอบคลุมทั้งสองความหมาย ได้แก่ ความเสี่ยงที่การปฏิบัติตามข้อกำหนดด้าน AI ช่วยจัดการ กรอบการทำงานหลัก วิธีสร้างโปรแกรมการปฏิบัติตามข้อกำหนด การควบคุมสำหรับเอเจนต์ AI และจุดที่ AI ช่วยทีมด้านการปฏิบัติตามข้อกำหนดได้ แล้วปิดท้ายด้วยคำถามที่ควรถามก่อนซื้อเครื่องมือด้านการปฏิบัติตามข้อกำหนด

การปฏิบัติตามข้อกำหนดด้าน AI คืออะไร

การปฏิบัติตามข้อกำหนดด้าน AI หมายถึงสองสิ่ง ได้แก่ การทำให้ระบบ AI เป็นไปตามกฎที่กำหนดไว้ในกฎระเบียบด้าน AI และการใช้ AI ทำงานด้านการปฏิบัติตามข้อกำหนด

ในความหมายแรก การปฏิบัติตามข้อกำหนดด้าน AI ช่วยให้มั่นใจว่าระบบ AI ปฏิบัติตามกฎหมาย กฎระเบียบ มาตรฐานทางจริยธรรม และนโยบายภายในตลอดวงจรชีวิตของ AI ตั้งแต่ข้อมูลการฝึกไปจนถึงประสิทธิภาพและการใช้งาน

ตัวอย่างเช่น Local Law 144 ของนครนิวยอร์ก กำหนดให้นายจ้างที่ใช้เครื่องมือตัดสินใจด้านการจ้างงานแบบอัตโนมัติต้องให้มีการตรวจสอบอคติของเครื่องมือดังกล่าวภายในหนึ่งปีก่อนการใช้งาน เปิดเผยข้อมูลเกี่ยวกับการตรวจสอบต่อสาธารณะ และแจ้งให้พนักงานหรือผู้สมัครงานทราบ

งานด้านการปฏิบัติตามกฎระเบียบด้าน AI เป็นงานที่ต้องทำอย่างต่อเนื่อง เนื่องจากแอปพลิเคชัน AI มีการอัปเดต ข้อมูลที่แอปพลิเคชันใช้งานเปลี่ยนแปลงไป และกฎระเบียบก็พัฒนาอยู่เสมอ

ในความหมายที่สอง ทีมด้านการปฏิบัติตามข้อกำหนดใช้ AI กับงานประจำที่มีปริมาณมาก เช่น การติดตามธุรกรรม การตรวจทานเอกสาร และการติดตามการเปลี่ยนแปลงของกฎระเบียบ

ตัวอย่างเช่น สถาบันการเงินบางแห่งใช้ AI ตรวจทานธุรกรรมและลดผลบวกลวงในการแจ้งเตือนจากการติดตามธุรกรรม ก่อนที่นักวิเคราะห์จะตัดสินว่ารายการใดต้องจัดทำรายงานธุรกรรมที่น่าสงสัย

การปฏิบัติตามข้อกำหนดด้าน AI เทียบกับธรรมาภิบาล AI และการบริหารความเสี่ยงด้าน AI

คำทั้งสามนี้มีส่วนที่ทับซ้อนกันแต่ครอบคลุมเรื่องที่ต่างกัน ธรรมาภิบาลเป็นผู้กำหนดกฎ การบริหารความเสี่ยงค้นหาสิ่งที่อาจผิดพลาด และการปฏิบัติตามข้อกำหนดช่วยให้มั่นใจว่ามีการปฏิบัติตามกฎเหล่านั้น

เหตุใดการปฏิบัติตามข้อกำหนดด้าน AI จึงสำคัญ

การปฏิบัติตามข้อกำหนดด้าน AI ช่วยจำกัดความเสี่ยงที่จะถูกปรับ ปกป้องความเป็นส่วนตัวของบุคคลที่ AI ของคุณประมวลผลข้อมูล และช่วยให้องค์กรของคุณชี้แจงการใช้ระบบ AI ได้ในกรณีที่มีการตรวจสอบ

• บทลงโทษตามกฎระเบียบ: ภายใต้ EU AI Act การใช้แนวปฏิบัติด้าน AI ที่ถูกห้าม เช่น การอนุมานอารมณ์ของพนักงานในที่ทำงาน อาจมีโทษปรับสูงสุด 35 ล้านยูโรหรือ 7% ของรายได้รวมทั่วโลกต่อปี ผู้ให้บริการและผู้นำไปใช้อาจถูกปรับสูงสุด 15 ล้านยูโรหรือ 3% หากละเมิดกฎหมายนี้
• การคุ้มครองข้อมูล: ระบบ AI ที่ประมวลผลข้อมูลส่วนบุคคลอยู่ภายใต้กฎหมายคุ้มครองข้อมูล เช่น GDPR ในสหภาพยุโรป ซึ่งรวมถึงข้อมูลการฝึก พรอมต์ และเอาต์พุตที่มีข้อมูลส่วนบุคคล
• ความพร้อมรับการตรวจสอบ: บันทึกว่าคุณใช้ระบบ AI ใดบ้าง ใครเป็นผู้อนุมัติ และคุณติดตามตรวจสอบระบบเหล่านั้นอย่างไร ช่วยให้คุณชี้แจงต่อหน่วยงานกำกับดูแล ผู้ตรวจสอบ และลูกค้าได้

ความเสี่ยงหลักที่การปฏิบัติตามข้อกำหนดด้าน AI ช่วยจัดการ

การปฏิบัติตามข้อกำหนดด้าน AI ช่วยจัดการความเสี่ยงหลักห้าประการ ได้แก่ อคติของอัลกอริทึม การขาดความสามารถในการอธิบายได้ อาการหลอนในกระบวนการที่อยู่ภายใต้การกำกับดูแล ความเป็นส่วนตัวและการรั่วไหลของข้อมูล และ Shadow AI

ขยาย

ต่อไปนี้คือลักษณะที่ความเสี่ยงหลักเหล่านี้ปรากฏ และตัวอย่างการควบคุมที่ช่วยจำกัดความเสี่ยงเหล่านั้น:

• อคติของอัลกอริทึม: โมเดลทำซ้ำรูปแบบในข้อมูลการฝึกที่ทำให้บางกลุ่มเสียเปรียบ ตัวอย่างเช่น เครื่องมือสรรหาบุคลากรอาจจัดอันดับผู้สมัครให้ต่ำลงโดยอิงจากตัวแปรที่สะท้อนอายุหรือชาติพันธุ์ เช่น ปีที่สำเร็จการศึกษาหรือรหัสไปรษณีย์ การตรวจสอบอคติซึ่งเปรียบเทียบผลลัพธ์ระหว่างกลุ่มประชากรต่าง ๆ ช่วยตรวจพบรูปแบบเหล่านี้
• การขาดความสามารถในการอธิบายได้: องค์กรไม่สามารถแสดงได้ว่าโมเดลตัดสินใจอย่างไร หากผู้ให้กู้อธิบายไม่ได้ว่าเหตุใดโมเดลจึงปฏิเสธสินเชื่อ ก็จะไม่สามารถยืนยันความชอบธรรมของผลลัพธ์นั้นได้ องค์กรป้องกันปัญหานี้ได้ด้วยการบันทึกอินพุตและตรรกะการตัดสินใจของโมเดลเป็นเอกสาร และเลือกใช้โมเดลที่มีเอาต์พุตที่ตรวจสอบย้อนกลับได้
• อาการหลอนในกระบวนการที่อยู่ภายใต้การกำกับดูแล: เครื่องมือ Generative AI ระบุข้อมูลที่ไม่เป็นความจริงอย่างมั่นใจ ตัวอย่างเช่น ทนายความอาจขอให้เครื่องมือ AI หาคำพิพากษาที่สนับสนุนข้อโต้แย้ง แล้วได้รับการอ้างอิงถึงคำตัดสินของศาลที่ไม่มีอยู่จริง การกำหนดให้เอาต์พุตทุกรายการต้องมีแหล่งที่มา และให้ผู้ที่มีคุณสมบัติเหมาะสมตรวจสอบแหล่งที่มาเหล่านั้น จะช่วยตรวจจับข้อผิดพลาดดังกล่าวได้
• ความเป็นส่วนตัวและการรั่วไหลของข้อมูล: ข้อมูลที่เป็นความลับหรือข้อมูลลูกค้าไปอยู่ในเครื่องมือที่อยู่นอกการควบคุมขององค์กร ตัวอย่างเช่น พนักงานอาจวางข้อมูลลูกค้าลงในเครื่องมือ AI สาธารณะที่เก็บอินพุตไว้เพื่อฝึกโมเดลในอนาคต การใช้เฉพาะเครื่องมือที่ได้รับอนุมัติซึ่งมีข้อจำกัดตามสัญญาเกี่ยวกับการฝึกโมเดลและการเก็บรักษาข้อมูลจะช่วยลดความเสี่ยงนี้
• Shadow AI: พนักงานใช้เครื่องมือ AI ที่องค์กรไม่ได้อนุมัติหรือมองไม่เห็น ในแบบสำรวจของ Compliance Week ปี 2026 ผู้เข้าร่วม 42% รายงานว่ามีการใช้ AI โดยพนักงานที่ไม่ได้อยู่ภายใต้การจัดการ แนวทางแก้ไขที่เป็นไปได้ ได้แก่ รายการเครื่องมือที่ได้รับอนุมัติควบคู่กับกระบวนการอนุมัติเครื่องมือ AI ที่รวดเร็ว และเว็บเกตเวย์

กรอบการทำงานสำคัญสำหรับการปฏิบัติตามข้อกำหนดด้าน AI

การปฏิบัติตามข้อกำหนดด้าน AI อ้างอิงทั้งกรอบธรรมาภิบาล AI ที่มีผลผูกพันทางกฎหมาย เช่น EU AI Act และกรอบการทำงานแบบสมัครใจ เช่น NIST AI Risk Management Framework และ ISO/IEC 42001 ซึ่งช่วยให้องค์กรปฏิบัติตามกรอบที่มีผลผูกพันเหล่านั้นได้

EU AI Act

EU AI Act (Regulation (EU) 2024/1689) ใช้แนวทางที่อิงตามความเสี่ยงในการกำกับดูแล AI โดยแนวปฏิบัติบางอย่างถูกห้ามโดยสิ้นเชิง ระบบที่มีความเสี่ยงสูงอยู่ภายใต้ข้อจำกัดที่เข้มงวด ส่วนระบบอื่น ๆ มีเพียงกฎด้านความโปร่งใสแบบไม่เข้มงวด กฎหมายนี้ใช้บังคับกับผู้ให้บริการและผู้นำไปใช้ทุกแห่ง “ในกรณีที่มีการใช้เอาต์พุตที่ระบบ AI สร้างขึ้นภายในสหภาพ”

ภาระหน้าที่ภายใต้ EU AI Act ขึ้นอยู่กับบทบาทขององค์กร:

• ผู้ที่พัฒนาระบบ AI ที่มีความเสี่ยงสูงหรือนำระบบออกสู่ตลาดภายใต้ชื่อของตนเอง (ผู้ให้บริการ) ต้องดำเนินการประเมินความสอดคล้อง ติดเครื่องหมาย CE ลงทะเบียนระบบ จัดเก็บเอกสารทางเทคนิค และติดตามตรวจสอบระบบหลังการเผยแพร่
• ผู้ที่ใช้ระบบที่ผู้อื่นสร้างขึ้น (ผู้นำไปใช้) ต้องปฏิบัติตามคำแนะนำของผู้ให้บริการ มอบหมายการกำกับดูแลให้แก่บุคคลที่มี “ความสามารถ การฝึกอบรม และอำนาจที่จำเป็น” เก็บบันทึกไว้อย่างน้อยหกเดือน และแจ้งให้ผู้ปฏิบัติงานและบุคคลอื่นที่ได้รับผลกระทบจากการตัดสินใจของระบบทราบ

ขยาย

กฎหมายนี้ทยอยมีผลบังคับใช้เป็นระยะ ข้อห้ามด้านแนวปฏิบัติ ความรู้ด้าน AI และกฎสำหรับ AI อเนกประสงค์มีผลบังคับใช้มาตั้งแต่ปี 2025 ขณะที่ภาระหน้าที่สำหรับระบบที่มีความเสี่ยงสูงจะเริ่มในวันที่ 2 ธันวาคม 2027 และในวันที่ 2 สิงหาคม 2028 สำหรับ AI ที่ฝังอยู่ในผลิตภัณฑ์ซึ่งอยู่ภายใต้กฎหมายความปลอดภัยของผลิตภัณฑ์ของสหภาพยุโรป

EN 18286:2026 ว่าด้วยระบบบริหารคุณภาพเป็นมาตรฐานยุโรปฉบับแรกที่สนับสนุนกฎหมายนี้ ผู้ให้บริการที่ปฏิบัติตามมาตรฐานนี้จะได้รับการสันนิษฐานว่าเป็นไปตามข้อกำหนดด้านการบริหารคุณภาพของกฎหมาย

NIST AI Risk Management Framework

NIST AI RMF (Risk Management Framework) ซึ่งเผยแพร่ในเดือนมกราคม 2023 เป็นกรอบการทำงานแบบสมัครใจของสหรัฐฯ ที่สร้างขึ้นโดยมีฟังก์ชันหลักสี่ประการ ได้แก่ Govern (กำกับดูแล) Map (ระบุบริบท) Measure (วัดผล) และ Manage (จัดการ)

Generative AI Profile ของกรอบการทำงานนี้ ซึ่งเปิดตัวในเดือนกรกฎาคม 2024 นำกรอบการทำงานไปใช้กับความเสี่ยงของ Generative AI

ISO/IEC 42001

ISO/IEC 42001 เป็นมาตรฐานสากลสำหรับระบบการจัดการ AI ซึ่งครอบคลุมนโยบาย บทบาท และกระบวนการที่กำกับดูแลการพัฒนาและการใช้ AI อย่างมีความรับผิดชอบ การรับรองเป็นแบบสมัครใจและออกโดยหน่วยรับรองอิสระ ไม่ใช่โดย ISO เอง

ใบรับรองครอบคลุมระบบการจัดการขององค์กร ไม่ใช่ผลิตภัณฑ์ AI ใดผลิตภัณฑ์หนึ่งโดยเฉพาะ

กฎของสหรัฐฯ และกฎเฉพาะภาคส่วนที่ใช้กับ AI

สหรัฐฯ ไม่มีกฎหมาย AI ระดับรัฐบาลกลางฉบับเดียว กฎต่าง ๆ มาจากเมือง รัฐ รวมถึงกฎหมายและกฎระเบียบที่มีอยู่แล้วซึ่งใช้กับ AI

ตัวอย่างเช่น SB26-189 ของรัฐโคโลราโด ซึ่งมีผลบังคับใช้ในวันที่ 1 มกราคม 2027 กำกับดูแลเทคโนโลยีการตัดสินใจแบบอัตโนมัติ ส่วนกฎหมายความเป็นส่วนตัว เช่น California Consumer Privacy Act (CCPA) หรือ HIPAA มีผลบังคับใช้ทุกครั้งที่ AI ประมวลผลข้อมูลที่ได้รับการคุ้มครอง

วิธีสร้างโปรแกรมการปฏิบัติตามข้อกำหนดด้าน AI

การสร้างโปรแกรมการปฏิบัติตามข้อกำหนดด้าน AI มีหกขั้นตอน ได้แก่ จัดทำบัญชีรายการระบบ AI ของคุณ จัดประเภทระบบตามความเสี่ยง จับคู่การควบคุมกับกฎที่เกี่ยวข้อง มอบหมายผู้รับผิดชอบ จัดทำเอกสารสำหรับแต่ละระบบ และติดตามตรวจสอบระบบโดยมีบันทึกที่ผู้ตรวจสอบสามารถตรวจสอบได้

ขยาย

แต่ละขั้นตอนด้านล่างจะจบด้วยบันทึกที่ได้จากขั้นตอนนั้น:

1. จัดทำบัญชีรายการระบบ AI ทุกระบบ ระบุระบบที่องค์กรของคุณสร้าง ซื้อ หรือใช้งาน รวมถึงฟีเจอร์ AI ภายในซอฟต์แวร์ที่มีอยู่และเครื่องมือที่พนักงานนำมาใช้โดยไม่ได้รับอนุมัติ บันทึกว่าแต่ละระบบทำอะไร ใครใช้งาน และเกี่ยวข้องกับข้อมูลใดบ้าง
   ผลลัพธ์: บัญชีรายการระบบ AI
2. จัดประเภทกรณีการใช้งานแต่ละกรณีตามความเสี่ยง ประเมินแต่ละระบบตามอันตรายที่ระบบอาจก่อให้เกิดขึ้น โดยใช้รูปแบบการจัดระดับ เช่น ระดับความเสี่ยงของ EU AI Act ตัวอย่างเช่น เครื่องมือที่กำหนดเบี้ยประกันชีวิตถือว่ามีความเสี่ยงสูงภายใต้กฎหมายนี้ ขณะที่เครื่องมือที่สรุปการประชุมภายในไม่ถือว่ามีความเสี่ยงสูง
   ผลลัพธ์: ทะเบียนความเสี่ยง
3. จับคู่การควบคุมกับกฎที่เกี่ยวข้อง ระบุกฎหมาย มาตรฐาน และนโยบายภายในที่ใช้กับแต่ละระบบ รวมถึงการควบคุมที่ตอบสนองข้อกำหนดด้านการปฏิบัติตามแต่ละข้อ ตัวอย่างเช่น การตรวจทานโดยมนุษย์ที่บันทึกเป็นเอกสารช่วยให้เป็นไปตามข้อกำหนดด้านการกำกับดูแลโดยมนุษย์ของ EU AI Act สำหรับระบบที่มีความเสี่ยงสูง และตามที่ NIST AI RMF เรียกร้องให้มีกระบวนการกำกับดูแลโดยมนุษย์ที่บันทึกเป็นเอกสาร
   ผลลัพธ์: แผนผังการควบคุม
4. มอบหมายผู้รับผิดชอบและจุดกำกับดูแลโดยมนุษย์ กำหนดผู้รับผิดชอบสำหรับทุกระบบ และตัดสินใจว่าจะให้บุคคลตรวจทานเอาต์พุตของระบบที่จุดใด ตัวอย่างเช่น ฝ่ายกฎหมายและฝ่ายกำกับการปฏิบัติตามข้อกำหนดรับผิดชอบภาระหน้าที่ ฝ่ายความปลอดภัยรับผิดชอบการควบคุมทางเทคนิค เจ้าของธุรกิจรับผิดชอบกรณีการใช้งานของตน และผู้บริหารหนึ่งคนรับผิดชอบในภาพรวม ตรวจสอบให้แน่ใจว่าบุคลากรทั่วทั้งองค์กรรับทราบ และกำหนดช่องทางการสื่อสารที่ชัดเจน
   ผลลัพธ์: รายชื่อผู้รับผิดชอบของแต่ละระบบ
5. จัดทำเอกสารสำหรับแต่ละระบบ บันทึกวัตถุประสงค์ ข้อมูลการฝึก การทดสอบ และข้อจำกัดที่ทราบของแต่ละระบบในรูปแบบต่าง ๆ เช่น การ์ดโมเดลและการประเมินผลกระทบ ผู้ให้บริการระบบที่มีความเสี่ยงสูงต้องจัดเตรียมเอกสารทางเทคนิคตามภาคผนวก IV ของ EU AI Act ด้วย
   ผลลัพธ์: ชุดเอกสารประกอบระบบ
6. ติดตามตรวจสอบ บันทึกล็อก และเก็บหลักฐาน ออกแบบล็อกให้เป็นหลักฐานสำหรับการตรวจสอบตั้งแต่เริ่มต้น เพื่อแสดงว่าระบบทำอะไรและใครเป็นผู้ตรวจทาน EU AI Act กำหนดให้ระบบที่มีความเสี่ยงสูงบันทึกเหตุการณ์โดยอัตโนมัติตลอดอายุการใช้งาน ร่องรอยการตรวจสอบควรบันทึกข้อมูลต่อไปนี้:
   • โมเดลและเวอร์ชันที่ใช้งานอยู่
   • อินพุตและเอาต์พุต หรือกลุ่มตัวอย่างของอินพุตและเอาต์พุตที่กำหนดไว้
   • ข้อมูลที่ใช้ฝึกหรือปรับแต่งโมเดล
   • จุดตรวจทานโดยมนุษย์และผลลัพธ์ของการตรวจทาน
   • การดำเนินการที่เอเจนต์ทำและสิทธิ์ที่เอเจนต์ใช้
   • ระยะเวลาการเก็บรักษาบันทึกแต่ละรายการ

ผลลัพธ์: บันทึกการติดตามตรวจสอบและร่องรอยการตรวจสอบ

เครื่องมือเฉพาะทางด้านการปฏิบัติตามข้อกำหนดด้าน AI เช่น IBM watsonx.governance และ OneTrust AI Governance สามารถรับช่วงงานบางส่วนของโปรแกรมนี้ได้ ซึ่งรวมถึงบัญชีรายการระบบ AI การประเมินความเสี่ยงตาม EU AI Act และการจัดทำเอกสาร

วิธีอนุมัติเครื่องมือ AI ที่พนักงานใช้ได้

ก่อนอนุมัติเครื่องมือ AI ให้ตรวจสอบสี่เรื่องต่อไปนี้:

• การเข้าถึงข้อมูล: เครื่องมือสามารถอ่านไฟล์ ระบบ และฐานความรู้ที่เชื่อมต่อใดได้บ้าง และแหล่งเหล่านั้นมีข้อมูลส่วนบุคคลที่เครื่องมืออาจเปิดเผยหรือไม่
• การฝึกด้วยอินพุต: ผู้จำหน่ายใช้พรอมต์ ไฟล์ หรือเอาต์พุตเพื่อฝึกโมเดลของตนหรือไม่ และสัญญาระหว่างคุณกับผู้จำหน่ายห้ามการกระทำดังกล่าวหรือไม่
• การเก็บรักษา: ผู้จำหน่ายเก็บพรอมต์ ไฟล์ และประวัติการสนทนาไว้นานเท่าใด และคุณสามารถลดระยะเวลาดังกล่าวได้หรือไม่
• การโฮสต์และการโอนข้อมูล: ผู้จำหน่ายจัดเก็บและประมวลผลข้อมูลที่ใด รวมถึงการโอนข้อมูลออกนอกภูมิภาคของคุณ

การควบคุมด้านการปฏิบัติตามข้อกำหนดสำหรับเอเจนต์ AI

เอเจนต์ AI ต้องมีการควบคุมมากกว่าเครื่องมือแชท เนื่องจากเอเจนต์ตัดสินใจขั้นตอนต่าง ๆ ด้วยตนเองและดำเนินการผ่านเครื่องมือและสิทธิ์ที่ได้รับ การควบคุมสามประการที่ช่วยควบคุมเอเจนต์มีดังนี้:

• การเข้าถึงตามสิทธิ์ขั้นต่ำ: ให้เอเจนต์เข้าถึงเฉพาะเครื่องมือและสิทธิ์ที่งานของเอเจนต์จำเป็นต้องใช้ Excessive Agency ซึ่งเป็นกรณีที่เอเจนต์ทำได้มากกว่าที่งานกำหนด เป็นหนึ่งในความเสี่ยงด้านความปลอดภัยอันดับต้น ๆ ตาม OWASP Top 10 for LLM Applications 2026
• บันทึกทุกการดำเนินการ: บันทึกการเรียกใช้เครื่องมือแต่ละครั้ง ข้อมูลที่เข้าถึง และสิทธิ์ที่ใช้ เพื่อตรวจสอบย้อนกลับว่าเอเจนต์ทำอะไรและทำให้ใคร
• การอนุมัติโดยมนุษย์สำหรับการดำเนินการที่มีผลกระทบสูง: กำหนดให้บุคคลต้องยืนยันขั้นตอนที่ส่งข้อมูลออกนอกองค์กร โอนเงิน หรือไม่สามารถย้อนกลับได้

การใช้ AI ในงานด้านการปฏิบัติตามข้อกำหนด

ทีมด้านการปฏิบัติตามข้อกำหนดและทีมบริหารความเสี่ยงใช้ AI เพื่อติดตามตรวจสอบการควบคุม ประเมินความเสี่ยง ติดตามการเปลี่ยนแปลงของกฎระเบียบ ตรวจทานเอกสาร และคัดแยกการแจ้งเตือนเกี่ยวกับอาชญากรรมทางการเงิน

ในแบบสำรวจของ Compliance Week ปี 2026 ซึ่งสำรวจผู้นำด้านการปฏิบัติตามข้อกำหนด จริยธรรม ความเสี่ยง และการตรวจสอบจำนวน 193 คน ผู้ตอบมากกว่า 83% ระบุว่าใช้ AI และเกือบ 40% ระบุว่าบริษัทของตนได้นำ AI มาใช้ในการประเมินและติดตามความเสี่ยง

กรณีการใช้งาน AI ที่พบบ่อยในงานด้านการปฏิบัติตามข้อกำหนด ได้แก่:

• การติดตามการปฏิบัติตามข้อกำหนดอย่างต่อเนื่องและการรวบรวมหลักฐาน: AI ดำเนินการตรวจสอบและรวบรวมหลักฐานว่าการตรวจสอบเหล่านั้นได้ผล (เช่น การตรวจสอบความปลอดภัยของอุปกรณ์ในโรงงานที่เลยกำหนด)
• การประเมินและจัดลำดับความสำคัญของความเสี่ยง: AI จัดอันดับหน่วยธุรกิจหรือบุคคลภายนอกตามความเสี่ยง (เช่น ซัพพลายเออร์ที่มีความเสี่ยงใหม่ด้านการคว่ำบาตรหรือการฟ้องร้อง)
• การติดตามการเปลี่ยนแปลงของกฎระเบียบ: AI ติดตามสิ่งพิมพ์ของหน่วยงานกำกับดูแลและสรุปการเปลี่ยนแปลง (เช่น แนวทางต่อต้านการให้สินบนฉบับแก้ไขที่ลดวงเงินของขวัญในนโยบายค่าใช้จ่าย)
• การตรวจทานเอกสารและนโยบาย: AI เปรียบเทียบสัญญาและนโยบายกับข้อกำหนด (เช่น สัญญากับซัพพลายเออร์ที่ไม่มีข้อสัญญาเรื่องสิทธิ์ในการตรวจสอบ)
• การคัดกรองอาชญากรรมทางการเงิน: AI คัดแยกการแจ้งเตือนจากการติดตามธุรกรรมและการตรวจสอบลูกค้า (เช่น ชื่อที่ตรงกับรายชื่อผู้ถูกคว่ำบาตรแต่กลับกลายเป็นบุคคลอื่น)

AI ที่ใช้เพื่อการปฏิบัติตามข้อกำหนดต้องมีธรรมาภิบาลเช่นเดียวกับระบบ AI อื่น ๆ ดังที่ Financial Conduct Authority ของสหราชอาณาจักรระบุไว้ในเดือนตุลาคม 2026 ว่า “บริษัทต่าง ๆ ต้องรับผิดชอบต่อระบบ AI ที่ตนพัฒนา จัดหา และนำไปใช้ – รวมถึงเอาต์พุตและผลลัพธ์ของระบบเหล่านั้น” และเตือนไม่ให้การตรวจทานโดยมนุษย์กลายเป็น “เพียงการ ‘ติ๊กช่อง’ ให้ครบ”

ในทางปฏิบัติ เครื่องมือ AI อาจจัดการงานประจำ เช่น การรวบรวมหลักฐานหรือการแจ้งเตือนการเปลี่ยนแปลงของกฎระเบียบ แต่ไม่ควรจัดการการตัดสินใจที่มีความรับผิดชอบทางกฎหมาย เช่น การตัดสินใจว่าจะรายงานกิจกรรมที่น่าสงสัยหรือไม่ หรือจะออกแบบนโยบายอย่างไร

การควบคุมข้อมูลใน Perplexity Enterprise

Perplexity Enterprise มอบการควบคุมให้ผู้ดูแลระบบ ซึ่งครอบคลุมการฝึกโมเดลด้วยข้อมูลที่ป้อน การเข้าถึงข้อมูล และการเก็บรักษาข้อมูล:

• ไม่นำข้อมูลของคุณไปใช้ฝึกโมเดล: Perplexity ไม่เคยใช้เนื้อหาขององค์กรในการฝึกโมเดล AI ของตน และข้อตกลงกับผู้ให้บริการโมเดลภายนอกก็ห้ามไม่ให้ผู้ให้บริการเหล่านั้นนำเนื้อหาดังกล่าวไปใช้ฝึกโมเดล
• การควบคุมการเข้าถึง: SSO, SCIM และสิทธิ์ตามบทบาทจะกำหนดว่าใครสามารถอัปโหลดไฟล์และแชร์คำตอบได้
• การเก็บรักษาข้อมูลและบันทึกการตรวจสอบ: ไฟล์ที่แนบในเซสชันจะถูกลบหลังจากเจ็ดวัน องค์กรที่มีตั้งแต่ 50 ที่นั่งขึ้นไป หรือมีที่นั่ง Enterprise Max อย่างน้อยหนึ่งที่นั่ง ยังสามารถตั้งค่าการเก็บรักษาเซสชันและรับบันทึกการตรวจสอบกิจกรรมของผู้ใช้ได้อีกด้วย
• การรับรอง: Perplexity ได้รับการรับรอง SOC 2 Type II ปฏิบัติตาม GDPR และอนุญาตให้ทำงานกับข้อมูลสุขภาพที่ได้รับการคุ้มครองเฉพาะภายใต้ข้อตกลงผู้ร่วมธุรกิจ (Business Associate Agreement) ที่ลงนามแล้วเท่านั้น

หากต้องการดูการควบคุมเหล่านี้แบบทีละขั้นตอน ติดต่อทีมขายของเราเพื่อนัดหมายการสาธิตแบบเฉพาะบุคคล

คำถามที่พบบ่อย

การปฏิบัติตามข้อกำหนดด้าน AI ของสหภาพยุโรปคืออะไร

การปฏิบัติตามข้อกำหนดด้าน AI ของสหภาพยุโรปหมายถึงการปฏิบัติตามข้อผูกพันภายใต้ EU AI Act สำหรับบทบาทของคุณ (ผู้ให้บริการหรือผู้นำไปใช้งาน) และสำหรับระดับความเสี่ยงของแต่ละระบบ ข้อผูกพันเหล่านี้มีผลบังคับใช้เป็นระยะ โดยหน้าที่สำหรับระบบที่มีความเสี่ยงสูงจะเริ่มตั้งแต่วันที่ 2 ธันวาคม ค.ศ. 2027

AI ที่สอดคล้องกับ HIPAA คืออะไร

AI ที่สอดคล้องกับ HIPAA คือเครื่องมือที่ใช้งานภายใต้มาตรการคุ้มครองข้อมูลสุขภาพที่ได้รับการคุ้มครองตามที่ HIPAA กำหนด หากผู้ให้บริการจัดเก็บหรือประมวลผลข้อมูลดังกล่าว กระทรวงสาธารณสุขและบริการมนุษย์ของสหรัฐอเมริกากำหนดให้ต้องลงนามในข้อตกลงผู้ร่วมธุรกิจ (Business Associate Agreement) ก่อน

EU AI Act มีผลบังคับใช้กับบริษัทในสหรัฐอเมริกาหรือไม่

ใช่ AI Act ครอบคลุมบริษัทในสหรัฐอเมริกาที่นำระบบ AI ออกสู่ตลาดสหภาพยุโรป รวมถึงบริษัทที่มีการนำผลลัพธ์จาก AI ของตนไปใช้ในสหภาพยุโรป

AI สามารถแทนที่เจ้าหน้าที่กำกับดูแลการปฏิบัติตามข้อกำหนดได้หรือไม่

AI ไม่สามารถแทนที่เจ้าหน้าที่กำกับดูแลการปฏิบัติตามข้อกำหนดได้ องค์กรต้องรับผิดชอบต่องานของตน และเทคโนโลยี AI อาจเกิดข้อผิดพลาดได้ ดังนั้นเจ้าหน้าที่กำกับดูแลการปฏิบัติตามข้อกำหนดจึงยังคงต้องตรวจสอบอย่างละเอียดและอนุมัติผลลัพธ์จาก AI