ธนาคารและสถาบันการเงินที่ใช้ AI ต้องดูแนวนโยบายธนาคารแห่งประเทศไทย เรื่อง การบริหารจัดการความเสี่ยงของการใช้งานระบบปัญญาประดิษฐ์ ตามหนังสือ ธปท.ว.5994/2568 ลงวันที่ 12 ก.ย. 2568 ใช้กับสถาบันการเงิน สถาบันการเงินเฉพาะกิจ และผู้ประกอบธุรกิจระบบและบริการการชำระเงินภายใต้การกำกับ เอกสารนี้เป็นแนวนโยบายที่ให้ "อ้างอิงเป็นแนวทาง" ใช้คำว่า "ควร" ตลอดทั้งฉบับ ไม่มีวันมีผลบังคับและไม่มีหน้าที่รายงาน ธปท. แต่ต่อยอดจากหลักเกณฑ์ที่บังคับอยู่แล้ว ทั้งความเสี่ยงด้านเทคโนโลยีสารสนเทศ ความเสี่ยงจากบุคคลภายนอก ธรรมาภิบาลข้อมูล และการให้บริการลูกค้าอย่างเป็นธรรม เรื่องที่กระทบงานประจำมากที่สุดมีสี่ข้อ คือ แม้ใช้ Generative AI chatbot สำเร็จรูปภายในองค์กรก็อยู่ในขอบเขต การใช้ AI ของบุคคลภายนอกควรแยกข้อมูลองค์กรด้วย data boundary งานที่กระทบลูกค้าโดยตรง เช่น อนุมัติสินเชื่อ เปิดบัญชี ฝาก ถอน หรือโอนเงิน อาจพิจารณาให้คนมีส่วนร่วมหรือกำกับ และพนักงานต้องได้รับการพัฒนาทักษะให้ใช้ AI โดยไม่พึ่งพามากเกินไป ธปท. ไม่ได้แบ่ง AI เป็นระดับเสี่ยงสูงหรือต้องห้ามตามที่ธนาคารบางแห่งเสนอ แต่ให้แต่ละแห่งจัดระดับเองตามกรอบความเสี่ยงขององค์กร บทความนี้มีตารางสิ่งที่ ธปท. คาดหวัง สิ่งที่แนวนโยบายไม่ได้เขียน การเทียบกับ คปภ. และ ก.ล.ต. และเช็กลิสต์สำหรับสถาบันการเงิน
บทความนี้สรุปจากตัวเอกสารของ ธปท. คปภ. และแหล่งที่ระบุ เพื่อการวางระบบ ไม่ใช่ความเห็นทางกฎหมายหรือการตีความของผู้กำกับ
สถานะและขอบเขต
| เรื่อง | รายละเอียด |
|---|---|
| เอกสาร | แนวนโยบายธนาคารแห่งประเทศไทย เรื่อง การบริหารจัดการความเสี่ยงของการใช้งานระบบปัญญาประดิษฐ์ (Guiding Principles for Artificial Intelligence Risk Management) |
| ออกเมื่อ | หนังสือ ธปท.ว.5994/2568 ลงวันที่ 12 ก.ย. 2568 หลังรับฟังความเห็นร่าง 12–30 มิ.ย. 2568 |
| ใช้กับ | สถาบันการเงินและสถาบันการเงินเฉพาะกิจ ผู้ประกอบธุรกิจระบบการชำระเงินภายใต้การกำกับ และผู้ประกอบธุรกิจบริการการชำระเงินภายใต้การกำกับ |
| ไม่ได้ระบุในขอบเขต | บริษัทหลักทรัพย์และ บลจ. (อยู่กับ ก.ล.ต.) บริษัทประกัน (อยู่กับ คปภ.) ลีสซิ่ง เช่าซื้อ และผู้ให้สินเชื่อที่ไม่ใช่สถาบันการเงิน |
| สถานะ | แนวนโยบายให้อ้างอิงเป็นแนวทาง ใช้คำว่า ควร ไม่มีวันมีผล ไม่มีกรอบเวลา และไม่มีหน้าที่รายงาน ธปท. |
| ต่อยอดจาก | หลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ แนวปฏิบัติการบริหารความเสี่ยงด้าน IT และจากบุคคลภายนอก แนวนโยบายธรรมาภิบาลข้อมูล และหลักเกณฑ์การให้บริการลูกค้าอย่างเป็นธรรม |
| นิยาม AI | ไม่รวมระบบอัตโนมัติที่คนกำหนดขั้นตอนเอง เช่น RPA ระบบที่ทำงานเมื่อเข้าเงื่อนไข และสคริปต์อัตโนมัติ |
แนวนโยบายแบ่งความเสี่ยงเป็นสามด้าน คือ ข้อมูล (ข้อมูลเก่า ผิด หรือรั่ว) การพัฒนาโมเดล (ผลลัพธ์อธิบายไม่ได้ ลำเอียง หรือผิด) และไซเบอร์ (prompt injection, model inversion, data poisoning และ adversarial attack) และวางหลักการสี่ข้อ หนึ่งในนั้นคือผู้ให้บริการทางการเงินรับผิดชอบทั้งการทำงานของระบบ AI และการตัดสินใจที่อ้างอิงจากผลลัพธ์ของมัน
ธปท. คาดหวังอะไรบ้าง
| ส่วน | ควรทำอะไร | ความหมายต่องานจริง |
|---|---|---|
| คณะกรรมการและผู้บริหารระดับสูง | รับผิดชอบต่อการตัดสินใจและการทำงานของ AI ดูแลให้มีนโยบาย AI กำหนดบทบาทตาม three lines of defence และพัฒนาทักษะพนักงานให้ใช้ AI โดยไม่พึ่งพาผลลัพธ์มากเกินไป | การอบรมพนักงานเป็นความคาดหวังของผู้กำกับ ไม่ใช่สวัสดิการเสริม |
| นโยบายและกรอบการใช้ AI | มีนโยบายที่สอดคล้องกับกลยุทธ์และหลักการใช้ AI อย่างรับผิดชอบ และทบทวนเป็นประจำ | นโยบายต้องตามเครื่องมือที่เปลี่ยนได้ ไม่ใช่เขียนครั้งเดียว |
| ประเมินความเสี่ยง | ระบุความเสี่ยง กำหนด risk appetite ชัดเจน และติดตามต่อเนื่อง | ต้องรู้ก่อนว่าองค์กรใช้ AI ตรงไหนบ้าง |
| งานที่กระทบลูกค้าโดยตรง | อนุมัติสินเชื่อ เปิดบัญชี ฝาก ถอน หรือโอนเงิน อาจพิจารณาให้คนมีส่วนร่วมตัดสินใจ (human in the loop) หรือกำกับและหยุดได้ (human over the loop) ตามความเสี่ยง | ระดับการกำกับเป็นการตัดสินใจขององค์กร ต้องบันทึกเหตุผล |
| AI ที่คุยกับลูกค้าแทนคน | แจ้งลูกค้าให้ทราบว่าเป็นบริการด้วย AI และอาจมีทางเลือกให้ติดต่อเจ้าหน้าที่ | แชตบอตต้องบอกตัวตนตั้งแต่ต้น |
| ข้อมูล | มีเกณฑ์คุณภาพข้อมูล ตรวจก่อนนำไปฝึก ควบคุมการรั่วไหลอย่างน้อยด้วยการจำกัดสิทธิ์ masking hashing และ input sanitization และแยกข้อมูลองค์กรด้วย data boundary เมื่อใช้ Generative AI ของบุคคลภายนอก | กติกาว่าพนักงานป้อนข้อมูลอะไรลงเครื่องมือภายนอกได้ |
| โมเดล | มีตัวชี้วัดความแม่นยำ ทดสอบทั้งก่อนและหลังใช้งาน ลด hallucination ของ Generative AI เช่น ด้วย RAG หรือ prompt engineering และอธิบายผลลัพธ์ได้ | ผลจาก AI ต้องตรวจย้อนได้ว่ามาจากไหน |
| ไซเบอร์ | กรอง prompt และ response ทดสอบการโจมตีต่อเนื่อง และติดตามภัยใหม่โดยอ้างอิง OWASP และ MITRE ATLAS | ทีม security ต้องรวม AI เข้าแผนทดสอบ |
คำถามที่พบบ่อยข้อ 5 ท้ายแนวนโยบายตอบชัดว่า สถาบันการเงินที่นำระบบ AI สำเร็จรูป เช่น Generative AI chatbot มาใช้ภายในองค์กร ก็ต้องนำหลักการในส่วนที่เกี่ยวข้องมาใช้ การซื้อ Claude, Microsoft Copilot, ChatGPT หรือ Gemini ให้พนักงานจึงอยู่ในขอบเขตด้วย ไม่ใช่เฉพาะโมเดลที่ธนาคารพัฒนาเอง
สิ่งที่แนวนโยบายไม่ได้เขียน
จากการค้นทั้งฉบับ ไม่พบเรื่องต่อไปนี้ในตัวแนวนโยบาย จึงไม่ควรอ้างว่าเป็นข้อกำหนดของ ธปท.
- บัญชีรายการระบบ AI (AI inventory)
- การแจ้งเหตุหรือรายงาน ธปท. เมื่อ AI ผิดพลาด
- การแบ่งระดับ AI เป็นเสี่ยงสูงหรือต้องห้าม
- ข้อห้ามพนักงานใช้ Generative AI สาธารณะ
- ข้อสัญญาเฉพาะกับผู้ให้บริการ AI
ร่างที่เปิดรับฟังความเห็นยังเข้มกว่าฉบับจริงด้วย ร่างเขียนว่า "ควรพิจารณา" ให้คนมีส่วนร่วมในงานเชิงกลยุทธ์และงานที่โต้ตอบกับลูกค้า ฉบับจริงเปลี่ยนเป็น "อาจพิจารณา" ตามความเหมาะสม ส่วนทางเลือกให้ลูกค้าปิดหรือข้ามระบบ AI ถูกตัดออก เหลือเพียงทางเลือกติดต่อเจ้าหน้าที่ที่ "อาจมี"
ไม่ได้เขียนไม่ได้แปลว่าไม่ต้องทำ บัญชีรายการระบบ AI คือคำแนะนำของเรา เพราะองค์กรระบุความเสี่ยงตามที่แนวนโยบายคาดหวังไม่ได้ถ้าไม่รู้ว่าใช้ AI ตรงไหน
เทียบกับ คปภ. และ ก.ล.ต.
| ผู้กำกับ | เอกสาร | สถานะ | จุดที่ต่างจาก ธปท. |
|---|---|---|---|
| ธปท. | แนวนโยบาย เรื่อง การบริหารจัดการความเสี่ยงของการใช้งานระบบ AI (ก.ย. 2568) | แนวนโยบาย ใช้คำว่า ควร | ไม่แบ่งระดับความเสี่ยง ทางเลือกติดต่อเจ้าหน้าที่เป็น อาจมี |
| คปภ. | แนวปฏิบัติ เรื่อง การกำกับดูแลการใช้งานปัญญาประดิษฐ์ สำหรับบริษัทประกันภัย (เผยแพร่ พ.ย. 2568) | แนวปฏิบัติเพิ่มเติมจากประกาศที่บังคับอยู่ | ยกตัวอย่างงานเสี่ยงสูง คือ การพิจารณารับประกันภัย การกำหนดเบี้ย และการจัดการสินไหม · ผู้บริหารควรรายงานความเสี่ยงต่อคณะกรรมการอย่างน้อยปีละครั้ง · บริษัทต้องจัดให้มีทางเลือกให้ลูกค้าเปลี่ยนไปคุยกับพนักงาน |
| ก.ล.ต. | กรอบการกำกับดูแลการใช้งาน AI และ Machine Learning ในตลาดทุน (ธ.ค. 2566) | หลักการ ไม่ผูกพัน (ตาม Tilleke & Gibbins) | ใช้กับบริษัทหลักทรัพย์ บลจ. และที่ปรึกษาการลงทุน · เว็บ ก.ล.ต. เปิดไม่ได้ขณะตรวจ และมีฉบับปรับปรุง ส.ค. 2569 ที่ยังตรวจเนื้อหาไม่ได้ |
กลุ่มการเงินที่มีทั้งธนาคาร บลจ. และบริษัทประกันจึงควรวางกรอบเดียวที่ครอบคลุมเงื่อนไขที่เข้มที่สุดของแต่ละผู้กำกับ เช่น ใช้ทางเลือกติดต่อพนักงานแบบบังคับตาม คปภ. กับทุกบริษัทในกลุ่ม
เช็กลิสต์สำหรับสถาบันการเงิน
| ทำอะไร | อ้างอิง |
|---|---|
| ทำบัญชีรายการระบบ AI รวมเครื่องมือสำเร็จรูปที่พนักงานใช้ | คำแนะนำของ TRAINIAC เพื่อทำตามส่วนที่ 1 (3) และคำถามข้อ 5 |
| นำ AI เข้านโยบาย กำหนดเจ้าของตาม three lines of defence และ risk appetite | ส่วนที่ 1 (1) ถึง (3) |
| กำหนดระดับการกำกับของคนในงานที่กระทบลูกค้าโดยตรง และบันทึกเหตุผล | ส่วนที่ 1 (3.2) |
| ตั้ง data boundary และกติกาข้อมูลที่ห้ามป้อนลง Generative AI ของบุคคลภายนอก | ส่วนที่ 2 (1.3) และ PDPA |
| ทดสอบความแม่นยำและ hallucination ก่อนและหลังใช้งาน | ส่วนที่ 2 (2) |
| รวม prompt injection และการโจมตี AI เข้าแผนทดสอบความปลอดภัย | ส่วนที่ 2 (3) |
| อบรมพนักงานให้ตรวจผล AI ก่อนใช้ และรู้ขอบเขตข้อมูล | ส่วนที่ 1 (1.3) |
| แชตบอตลูกค้าบอกว่าเป็น AI และมีทางไปหาเจ้าหน้าที่ | ส่วนที่ 1 (3.3) และแนวปฏิบัติ คปภ. ข้อ 4.4.1 |
กติกาข้อมูลระดับพนักงานดูได้ที่เช็กลิสต์ก่อนวางข้อมูลลงใน AI และหน้าที่ตามกฎหมายข้อมูลส่วนบุคคลที่PDPA กับการใช้ AI ในองค์กร
งานอบรมในสถาบันการเงินที่เราสอน
| วันที่ | องค์กร | หลักสูตร |
|---|---|---|
| 22 พ.ค. 2025 | SCB | AI for Banking Operations ทีมปฏิบัติการธนาคาร |
| 12 มิ.ย. 2025 | KBank | AI for Financiers สายการเงินของธนาคาร |
| 3 ก.ค. 2025 | SCB | Microsoft Copilot สำหรับทีมไอทีของธนาคาร |
| 23 ธ.ค. 2025 | CIMB Principal | Generative AI for Finance สำหรับนักการเงินของ บลจ. |
| 31 ส.ค. และ 3 ก.ย. 2026 | LH Fund | AI for Workforce รุ่นที่ 1 และ 2 |
| 9 และ 21 ก.ย. 2026 | ธนาคารเกียรตินาคินภัทร | Claude Cowork ระดับ Advanced สองรุ่น |
ดูรูปแบบการอบรมสำหรับธนาคารที่อบรม AI สำหรับธนาคารและสถาบันการเงิน และ บลจ. ที่ตลาดทุนและกองทุน
แหล่งอ้างอิง
- แนวนโยบายธนาคารแห่งประเทศไทย เรื่อง การบริหารจัดการความเสี่ยงของการใช้งานระบบปัญญาประดิษฐ์ (ธปท.ว.5994/2568) ธนาคารแห่งประเทศไทย
- การรับฟังความคิดเห็นร่างแนวนโยบาย (12–30 มิ.ย. 2568) และสรุปผลการรับฟังความคิดเห็น ธนาคารแห่งประเทศไทย
- แนวปฏิบัติ เรื่อง การกำกับดูแลการใช้งานปัญญาประดิษฐ์ สำหรับบริษัทประกันภัย สำนักงาน คปภ.
- Thailand's AI and Machine Learning Governance Framework for Capital Markets Tilleke & Gibbins
- บันทึกงานอบรมที่มีวันที่ TRAINIAC
อ่านต่อ
ดูภาพรวมกฎหมาย AI ทั้งหมดที่กฎหมายและการกำกับดูแล AI ในไทย และAI สำหรับงานการเงินและบัญชี หรือดูหลักสูตร AI Governance & Responsible AI ที่จัดในองค์กรได้