บริษัทประกันภัยที่ใช้ AI ต้องดูแนวปฏิบัติ เรื่อง การกำกับดูแลการใช้งานปัญญาประดิษฐ์ สำหรับบริษัทประกันภัย (AI Governance Guideline) ที่สำนักงาน คปภ. เผยแพร่เดือนพฤศจิกายน 2568 เอกสาร 19 หน้านี้เป็นแนวปฏิบัติที่ใช้เพิ่มเติมจากประกาศที่บังคับอยู่ ไม่มีวันมีผลหรือบทลงโทษในตัว อ้างอิงกฎหมายทั้งประกันชีวิตและประกันวินาศภัย และแบ่งเป็นสี่ส่วน คือ ธรรมาภิบาล ความทนทานและความปลอดภัย ความโปร่งใสและการอธิบายได้ และความเป็นธรรมกับการคุ้มครองผู้บริโภค งานที่ คปภ. ยกเป็นการใช้ AI ความเสี่ยงสูงคือการพิจารณารับประกันภัย การกำหนดเบี้ย และการจัดการค่าสินไหม ข้อที่เขียนด้วยคำว่า "ต้อง" มีไม่กี่ข้อ ข้อที่สำคัญที่สุดคือบริษัทต้องจัดให้มีทางเลือกให้ลูกค้าเปลี่ยนจาก AI ไปใช้บริการจากพนักงาน และต้องอธิบายการตัดสินใจหรือผลลัพธ์ได้ ส่วนการให้คนมีส่วนร่วมในงานเสี่ยงสูงและการรายงานคณะกรรมการปีละครั้งเขียนว่า "ควร" บทความนี้มีตารางทุกส่วนพร้อมระดับคำ ภาคผนวกที่ใช้ได้ทันที การเทียบกับ ธปท. และเช็กลิสต์สำหรับบริษัทประกัน
บทความนี้สรุปจากตัวแนวปฏิบัติของ คปภ. เพื่อการวางระบบ ไม่ใช่การตีความของผู้กำกับ ควรตรวจกับ คปภ. หรือที่ปรึกษาของบริษัทก่อนใช้กับกรณีจริง
สถานะและขอบเขต
| เรื่อง | รายละเอียด |
|---|---|
| เอกสาร | แนวปฏิบัติ เรื่อง การกำกับดูแลการใช้งานปัญญาประดิษฐ์ สำหรับบริษัทประกันภัย (AI Governance Guideline) จัดทำโดยสายเทคโนโลยีสารสนเทศ สำนักงาน คปภ. |
| เผยแพร่ | พฤศจิกายน 2568 (19 หน้า) |
| สถานะ | แนวปฏิบัติเพิ่มเติมจากประกาศและแนวปฏิบัติที่บังคับใช้อยู่ ใช้หลักความได้สัดส่วนตามความเสี่ยง ไม่มีวันมีผลหรือบทลงโทษในตัว |
| ใช้กับ | บริษัทประกันภัย ตัวเอกสารอ้างอิงกฎหมายทั้งประกันชีวิตและประกันวินาศภัย ไม่ได้พูดถึงตัวแทนหรือนายหน้า |
| AI ที่ครอบคลุม | Machine Learning, Deep Learning และ Generative AI |
| งานความเสี่ยงสูง | การพิจารณารับประกันภัย การกำหนดเบี้ยประกันภัย และการจัดการค่าสินไหมทดแทนและผลประโยชน์ตามกรมธรรม์ |
สี่ส่วนของแนวปฏิบัติ และระดับคำ
| ส่วน | สาระสำคัญ | ระดับคำ |
|---|---|---|
| 1 ธรรมาภิบาล | คณะกรรมการต้องให้ความสำคัญ นโยบาย AI สอดคล้องกับการบริหารความเสี่ยงองค์กร แบ่งหน้าที่ตาม 3 lines of defense กระบวนการ AI ภายในตั้งแต่สร้างหรือซื้อจนติดตามผล และความรู้ด้านจริยธรรมและความเสี่ยง AI ของพนักงาน | ต้อง (ข้อ 1.1) และข้อปฏิบัติ |
| 1.3 ประเมินและรายงานความเสี่ยง | ความเสี่ยงที่ควรพิจารณาแปดด้าน รวมถึงการคุ้มครองข้อมูล อคติ ความเสี่ยงโมเดล การทำให้บางกลุ่มเอาประกันไม่ได้ การตั้งกำไรรายบุคคล และความเสี่ยงไซเบอร์ · งานเสี่ยงสูงพิจารณาให้คนมีส่วนร่วม · รายงานคณะกรรมการอย่างน้อยปีละครั้ง | ควร |
| 1.4 AI จากบุคคลภายนอก | ใช้กฎความเสี่ยง IT จากบุคคลภายนอก บริการอย่าง Generative AI ต้องกำหนดขอบเขตและข้อห้าม มี kill switch แผนสำรอง และ exit plan | ควร และข้อปฏิบัติ |
| 2 ความทนทานและความปลอดภัย | ทดสอบประสิทธิภาพและ concept drift ทดสอบตาม OWASP Top 10 for LLM เก็บ log แผนรับมือเหตุที่ครอบคลุม AI และมาตรการลด hallucination (ข้อ 2.2.7) | ควร |
| 3 ความโปร่งใสและการอธิบายได้ | บริษัทต้องอธิบายการตัดสินใจหรือผลลัพธ์ได้ และบันทึกเป็นภาษาที่เข้าใจง่าย | ต้อง |
| 4 ความเป็นธรรมและการคุ้มครองผู้บริโภค | ระวังตัวแปรแทน เช่น ที่อยู่หรืออาชีพที่แทนเพศ มีบัญชีโมเดลและ data boundary ควบคุมอคติก่อนและหลังใช้ · ข้อ 4.4.1 แจ้งลูกค้าด้วยภาษาง่ายและต้องมีทางเลือกเปลี่ยนไปคุยกับพนักงาน · บันทึกปัจจัยที่ใช้ตัดสินใจ | ต้อง (ข้อ 4.4.1) และ ควร |
ข่าวบางแห่งพาดหัวว่างานเสี่ยงสูง "ต้อง" ให้คนร่วมตัดสินใจ แต่ตัวแนวปฏิบัติเขียนว่าควรพิจารณา ให้คนมีส่วนร่วมหรือกำกับ (human in the loop หรือ human over the loop) จึงเป็นการตัดสินใจของบริษัทตามความเสี่ยง
ภาคผนวกที่ใช้ได้ทันที
- บันทึกแหล่งข้อมูล (Data Resource Documentation) 10 ช่อง เช่น แหล่งที่มา วันที่ปรับปรุง บทบาทของชุดข้อมูล วัตถุประสงค์ คุณภาพ ระยะเก็บ อคติ และการเตรียมข้อมูลรวมถึงการลบข้อมูลที่ระบุตัวบุคคล
- หัวข้อรายงานความเสี่ยง AI ต่อคณะกรรมการ 6 หัวข้อ เช่น ระดับความเสี่ยง สรุปการใช้งานทั้งพัฒนาเองและใช้ของบุคคลภายนอก แนวโน้ม และช่องว่างด้านการปฏิบัติตาม
- ตารางความเสี่ยงและมาตรการควบคุมของ AI ในงานประกันภัย ครอบคลุมผลกระทบต่อผู้เอาประกัน ต่อบริษัท การจัดการโมเดล และการนำไปใช้
เทียบกับ ธปท.
| เรื่อง | คปภ. (บริษัทประกัน) | ธปท. (สถาบันการเงิน) |
|---|---|---|
| รูปแบบเอกสาร | แนวปฏิบัติ (พ.ย. 2568) | แนวนโยบาย (ก.ย. 2568) |
| งานเสี่ยงสูง | ยกตัวอย่างไว้ชัด: รับประกัน กำหนดเบี้ย สินไหม | ไม่แบ่งระดับ ให้แต่ละแห่งจัดเอง ยกตัวอย่างงานที่กระทบลูกค้าโดยตรง |
| ทางเลือกคุยกับพนักงาน | ต้องจัดให้มี | อาจมี |
| รายงานคณะกรรมการ | ควรรายงานอย่างน้อยปีละครั้ง | คณะกรรมการรับผิดชอบ ไม่ได้กำหนดความถี่ |
| การอ้างอิง | อ้างแนวนโยบาย ธปท. กรอบ AI ของ ก.ล.ต. NIST AI RMF และ ISO/IEC 42001 | ต่อยอดจากหลักเกณฑ์ IT risk ของ ธปท. |
กลุ่มการเงินที่มีทั้งธนาคารและบริษัทประกันควรใช้เงื่อนไขที่เข้มกว่ากับทั้งกลุ่ม เช่น ทางเลือกคุยกับพนักงานแบบบังคับ (AI ในธนาคารตามแนวนโยบาย ธปท.)
เรื่องที่ควรติดตาม: Tilleke & Gibbins รายงานว่า คปภ. เปิดรับฟังความเห็นร่างแก้ไขประกาศความเสี่ยงด้าน IT ช่วง 8 พ.ค. ถึง 9 มิ.ย. 2026 ซึ่งเพิ่มเรื่องการกำกับ AI ณ วันที่ตรวจยังไม่พบประกาศฉบับจริงบนเว็บไซต์ทางการ จึงยังเป็นร่าง
เช็กลิสต์สำหรับบริษัทประกัน
| ทำอะไร | อ้างอิงแนวปฏิบัติ |
|---|---|
| ทำบัญชีโมเดลและระบบ AI รวมเครื่องมือ Generative AI ที่พนักงานใช้ | ข้อ 4.1 และ 1.4 |
| จัดงาน AI ที่เกี่ยวกับรับประกัน เบี้ย และสินไหม เป็นงานเสี่ยงสูงและกำหนดระดับการกำกับของคน | นิยาม และข้อ 1.3.1 |
| แชตบอตลูกค้าแจ้งว่าเป็น AI และมีทางไปหาพนักงาน | ข้อ 4.4.1 (ต้อง) |
| เตรียมคำอธิบายผลการตัดสินใจและบันทึกปัจจัยที่ใช้ | ส่วนที่ 3 (ต้อง) และข้อ 4.4.4 |
| กำหนดข้อห้ามการใช้ Generative AI และ kill switch กับ exit plan ของผู้ให้บริการ | ข้อ 1.4.1 และ 1.4.3 |
| อบรมพนักงานด้านจริยธรรมและความเสี่ยง AI และอบรมสายควบคุมเพิ่ม | ข้อ 1.2.2 |
| รายงานความเสี่ยง AI ต่อคณะกรรมการปีละครั้งตามหัวข้อในภาคผนวก | ข้อ 1.3.2 |
ข้อมูลลูกค้าประกันหลายประเภทเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26 เช่น ข้อมูลสุขภาพในการรับประกันและสินไหม ดูหน้าที่ที่ต้องทำที่PDPA กับการใช้ AI ในองค์กร และแม่แบบการประเมินผลกระทบที่แม่แบบ DPIA สำหรับโครงการ AI
แหล่งอ้างอิง
- แนวปฏิบัติ เรื่อง การกำกับดูแลการใช้งานปัญญาประดิษฐ์ สำหรับบริษัทประกันภัย สำนักงาน คปภ. (พ.ย. 2568)
- แนวนโยบาย ธปท. เรื่อง การบริหารจัดการความเสี่ยงของการใช้งานระบบปัญญาประดิษฐ์ ธนาคารแห่งประเทศไทย
- Thailand's insurance regulator proposes amendments to IT risk management regulations Tilleke & Gibbins
อ่านต่อ
ดูรูปแบบการอบรมสำหรับธุรกิจประกันที่อบรม AI สำหรับธุรกิจประกันภัย หรือหลักสูตร AI Governance & Responsible AI ที่จัดในองค์กรได้