ที่ปรึกษาการกำกับดูแล AI และนโยบายการใช้ในองค์กร

For Your Business

ธุรกิจที่เหมาะสมและช่วงเวลาที่ควรเริ่ม

หากพนักงานใช้ Generative AI อยู่แล้ว แต่ละแผนกซื้อเครื่องมือเอง หรือองค์กรกำลังจะเชื่อม AI กับข้อมูลลูกค้าและกระบวนการทำงานจริง ควรเริ่มทบทวนแนวทางการใช้ แม้ไม่ได้พัฒนาโมเดลเอง ก็ต้องทราบว่าข้อมูลงานถูกส่งไปที่ใด ใครเข้าถึงได้ และผลลัพธ์จะนำไปใช้อย่างไร

เมื่อลูกค้าเริ่มสอบถามเรื่องการกำกับดูแล AI หรือพบการส่งข้อมูลผิดและเนื้อหาไม่ถูกต้องภายในองค์กร ก็เป็นจังหวะเริ่มทบทวนได้ ระยะแรกไม่จำเป็นต้องครอบคลุมทุกเครื่องมือพร้อมกัน อาจเริ่มจากการใช้งานที่ทราบและงานที่มีผลกระทบสูง แต่ต้องเพิ่มเติมทะเบียนเครื่องมืออย่างต่อเนื่อง

The Challenge

ปัญหาที่ธุรกิจพบบ่อย

หากกฎระบุเพียงว่า "ห้ามป้อนข้อมูลลับ" พนักงานอาจยังตัดสินไม่ได้ว่าใช้จดหมายโต้ตอบกับลูกค้า ใบเสนอราคา หรือบันทึกประชุมภายในได้หรือไม่ กฎจึงต้องเชื่อมกับการจัดประเภทข้อมูลขององค์กร และมีตัวอย่างสถานการณ์ทำงานที่ช่วยให้ตัดสินใจได้

กฎที่เขียนไว้อาจไม่ตรงกับการตั้งค่าระบบ เช่น กำหนดให้เข้าถึงตามหน้าที่ แต่เครื่องมือใช้บัญชีร่วมที่มีสิทธิ์สูง หรือกำหนดให้คนตรวจทาน แต่ไม่มีผู้รับผิดชอบและวิธีส่งงานกลับไปแก้ไข ผู้ดูแลนโยบายและผู้รับผิดชอบด้านเทคนิคต้องร่วมกันแก้ปัญหาเหล่านี้

ผู้ให้บริการ โมเดล และวัตถุประสงค์การใช้งานอาจเปลี่ยนไป เครื่องมือที่เคยอนุมัติอาจต้องประเมินใหม่เมื่อเพิ่มแหล่งข้อมูลหรือฟังก์ชันที่ดำเนินการกับระบบภายนอก หากไม่มีขั้นตอนแจ้งการเปลี่ยนแปลงและผู้รับผิดชอบดูแล ทะเบียนเครื่องมือจะไม่สะท้อนการใช้งานจริง

Our Approach

แนวทางและข้อกำหนดที่เกี่ยวข้อง

ใช้กรอบความเสี่ยงจัดระบบงานกำกับดูแล

แกนหลักของ NIST AI RMF ประกอบด้วยสี่หน้าที่ ได้แก่ Govern, Map, Measure และ Manage เพื่อจัดการธรรมาภิบาล ทำความเข้าใจบริบท ประเมิน และจัดการความเสี่ยง เป็นกรอบที่เลือกใช้โดยสมัครใจ ไม่ใช่กฎหมายหรือข้อกำหนดการรับรองที่บังคับทั่วไป บริการนี้เลือกงานที่ทำได้จริงตามการใช้ AI ขององค์กร ไม่ถือว่าทุกข้อเสนอเป็นหน้าที่บังคับ

สำหรับ Generative AI สามารถอ้างอิงเอกสารที่ NIST เผยแพร่ในปี 2024 ได้แก่ Generative AI Profile เพื่อทบทวนความเสี่ยงจากเนื้อหาที่สร้างขึ้นแต่ไม่น่าเชื่อถือ ความมั่นคงปลอดภัยสารสนเทศ และข้อมูล โดยเลือกมาตรการให้เหมาะกับเครื่องมือ ข้อมูล และผลกระทบจากการใช้งาน

กำหนดขอบเขตการใช้เป็นกฎที่ปฏิบัติได้

บริการนี้แนะนำให้แยกการใช้งานที่ทำได้ทันที การใช้งานที่ต้องขออนุมัติ และการใช้งานที่ห้าม พร้อมระบุเงื่อนไขข้อมูล บัญชีที่อนุญาต ผู้ตรวจทาน และผู้ติดต่อเมื่อเกิดเหตุ การจัดประเภทความเสี่ยงนี้เป็นแนวทางบริหารภายใน ไม่ใช่ระดับความเสี่ยงตามกฎหมายใดโดยเฉพาะ หากเกี่ยวข้องกับกฎหมายหรือสัญญา ต้องให้ผู้มีหน้าที่รับผิดชอบยืนยัน

ความสัมพันธ์กับ ISO/IEC 42001

ISO/IEC 42001:2023 กำหนดให้องค์กรจัดตั้ง นำไปใช้ รักษา และปรับปรุงระบบการจัดการ AI อย่างต่อเนื่อง บริการอาจเริ่มจากแนวทางการใช้หรือกระบวนการทบทวน หากต้องการนำมาตรฐานไปใช้ครบถ้วน ต้องตกลงขอบเขตระบบและแผนงานแยกต่างหาก การจัดทำนโยบายหนึ่งฉบับไม่ได้หมายถึงการมีระบบครบถ้วนหรือได้รับการรับรองจากบุคคลที่สาม

Preparation

บริษัทต้องเตรียมเอกสารอะไรบ้าง?

• เครื่องมือและการใช้งาน: เครื่องมือที่ใช้ แพ็กเกจบัญชี แผนก วัตถุประสงค์ และผู้ติดต่อที่รับผิดชอบ
• ข้อมูลและสิทธิ์การเข้าถึง: ประเภทข้อมูล วิธีการเข้าถึง ข้อจํากัดการป้อนข้อมูล และการตั้งค่าสิทธิ์ปัจจุบัน
• นโยบายและสัญญา: กฎระเบียบด้านความปลอดภัยของข้อมูลที่มีอยู่ เงื่อนไขการจัดซื้อจัดจ้าง และข้อกําหนดที่ตกลงกันกับลูกค้า
• เหตุผิดปกติและการแบ่งหน้าที่: ปัญหาที่ทราบ ผู้ตรวจทาน ผู้ติดต่อสำหรับแจ้งเหตุ และผู้รับผิดชอบดูแลรักษา

Project Planning

การประเมินเวลาและค่าใช้จ่าย

ปริมาณงานขึ้นอยู่กับจำนวนแผนกและเครื่องมือ ความครบถ้วนของเอกสารผู้ให้บริการ ผลกระทบจากการใช้ และระดับที่นำแนวทางบริหารเดิมมาใช้ต่อได้ การกำหนดหลักใช้ AI สำหรับพนักงานเพียงอย่างเดียว มีปริมาณงานต่างจากการรวมสิทธิ์ทำงานข้ามระบบ งานบริการลูกค้า และการซ้อมรับมือเหตุผิดปกติ

ควรแยกขอบเขตการออกแบบระบบการจัดการ การฝึกอบรม การทดสอบทางเทคนิค การแก้ไขระบบ ความเห็นทางกฎหมาย และการรับรองจากบุคคลที่สาม หลังจัดทำนโยบายแล้ว องค์กรยังต้องมีผู้รับผิดชอบดูแล การเปลี่ยนความสามารถของโมเดล แหล่งข้อมูล หรือเงื่อนไขบริการอาจทำให้ต้องทบทวนใหม่