ISO/IEC 42001:2023 คือมาตรฐานระบบบริหารจัดการ AI (AI management system หรือ AIMS) ที่ ISO เผยแพร่เมื่อ 18 ธ.ค. 2023 ใช้ได้กับองค์กรทุกขนาดที่พัฒนา ให้บริการ หรือใช้ AI โครงสร้างเป็นข้อ 4 ถึง 10 แบบเดียวกับ ISO/IEC 27001 จึงต่อยอดจากระบบความปลอดภัยสารสนเทศเดิมได้ และมีมาตรการควบคุมใน Annex A ให้เลือกใช้ 38 ข้อ การขอรับรองเป็นแบบสมัครใจ ISO ไม่ได้ออกใบรับรองเอง ผู้ออกคือหน่วยรับรองอิสระ ซึ่งในไทยมี SGS, LRQA และ TÜV NORD ที่ให้บริการตรวจรับรอง ไทยมีมาตรฐานเทียบเคียงคือ มตช. 42001-2567 ประกาศในราชกิจจานุเบกษาเมื่อ 17 ก.ค. 2567 และมีองค์กรไทยประกาศว่าได้รับรองแล้วอย่างน้อยสามแห่ง ข้อที่ต้องรู้ก่อนตัดสินใจคือ ใบรับรอง ISO/IEC 42001 ไม่ได้ทำให้องค์กรปฏิบัติตาม EU AI Act หรือ PDPA โดยอัตโนมัติ มันคือระบบที่ช่วยให้ทำตามได้อย่างเป็นระบบ บทความนี้มีตารางโครงสร้างมาตรฐาน เกณฑ์ว่าองค์กรแบบไหนควรทำ ขั้นตอนเริ่มต้น หน่วยรับรองในไทย และองค์กรไทยที่ได้รับรองแล้ว
ISO/IEC 42001 คืออะไร
มาตรฐานนี้กำหนดข้อกำหนดสำหรับการจัดตั้ง นำไปใช้ รักษา และปรับปรุงระบบบริหารจัดการ AI อย่างต่อเนื่อง ทำงานตามวงจร Plan-Do-Check-Act แบบเดียวกับมาตรฐานระบบบริหารอื่นของ ISO สิ่งที่มันไม่ใช่คือมาตรฐานทางเทคนิคของตัวโมเดล และไม่ได้แทนกฎหมาย ISO ระบุเองว่ามาตรฐานนี้ไม่ได้แทนที่กฎหมายหรือข้อบังคับ
มาตรฐานที่เกี่ยวข้องที่ควรรู้
- ISO/IEC 23894 เป็นแนวทางการบริหารความเสี่ยง AI ใช้ประกอบ แต่ไม่ใช่มาตรฐานที่ตรวจรับรองได้
- ISO/IEC 42006:2025 (ก.ค. 2025) กำหนดข้อกำหนดสำหรับหน่วยรับรองที่ตรวจ AIMS ใช้กับผู้ตรวจ ไม่ใช่กับองค์กรที่ขอรับรอง
- ISO/IEC 27001 โครงสร้างข้อ 4–10 ร่วมกัน องค์กรที่มี 27001 อยู่แล้วจึงรวมระบบได้
โครงสร้างของมาตรฐาน
| ข้อ | เรื่อง | สิ่งที่องค์กรต้องมี |
|---|---|---|
| 4 | บริบทขององค์กร | ขอบเขตของระบบ และบทบาทขององค์กรต่อ AI ทั้งในฐานะผู้พัฒนา ผู้ให้บริการ หรือผู้ใช้ |
| 5 | ภาวะผู้นำ | นโยบาย AI และความรับผิดชอบของผู้บริหาร |
| 6 | การวางแผน | การประเมินความเสี่ยงและวัตถุประสงค์ของระบบ |
| 7 | การสนับสนุน | ทรัพยากร ความสามารถของบุคลากร ความตระหนัก การสื่อสาร และเอกสาร |
| 8 | การดำเนินงาน | การประเมินความเสี่ยงและการประเมินผลกระทบของระบบ AI |
| 9 | การประเมินผล | การติดตาม ตรวจประเมินภายใน และทบทวนโดยผู้บริหาร |
| 10 | การปรับปรุง | การแก้ไขสิ่งที่ไม่เป็นไปตามข้อกำหนดและการปรับปรุงต่อเนื่อง |
| Annex A | มาตรการควบคุม | 38 ข้อให้เลือกใช้ตามความเสี่ยง เช่น นโยบาย AI วงจรชีวิตระบบ ข้อมูล และบุคคลภายนอก |
ข้อ 7 เรื่องความสามารถและความตระหนักของบุคลากรคือจุดที่การอบรมเข้ามาเกี่ยวข้องโดยตรง ระบบบริหารแบบ ISO ต้องกำหนดว่าคนในแต่ละบทบาทต้องมีความสามารถอะไร ทำให้มีผ่านการศึกษา การอบรม หรือประสบการณ์ และเก็บหลักฐานไว้ให้ผู้ตรวจดู
องค์กรแบบไหนควรทำ
| สถานการณ์ | ควรทำไหม | เหตุผล |
|---|---|---|
| ขายระบบหรือบริการที่มี AI ให้ลูกค้าองค์กรหรือลูกค้าต่างประเทศ | ควรพิจารณาเป็นอันดับแรก | ลูกค้าเริ่มถามหาหลักฐานการกำกับดูแล AI ในการจัดซื้อ |
| มี ISO/IEC 27001 อยู่แล้ว และใช้ AI กับข้อมูลลูกค้า | ควรพิจารณา | ต่อยอดระบบเดิมได้ ต้นทุนเพิ่มน้อยกว่าเริ่มใหม่ |
| อยู่ในภาคที่มีผู้กำกับ เช่น ธนาคารหรือประกัน | ใช้เป็นกรอบได้ แม้ไม่ขอรับรอง | ช่วยจัดระบบให้ตอบแนวนโยบายของผู้กำกับ |
| ใช้เครื่องมือ AI สำเร็จรูปกับงานภายในอย่างเดียว | ยังไม่จำเป็นต้องขอรับรอง | เริ่มจากนโยบาย การอบรม และกติกาข้อมูลก่อน |
ถ้ายังไม่พร้อมขอรับรอง ให้เริ่มจากนโยบายการใช้ AI และความเสี่ยงจาก AI ที่องค์กรต้องคุม ซึ่งเป็นฐานเดียวกัน
เริ่มอย่างไร
- กำหนดขอบเขต ระบบ AI ใดบ้างที่อยู่ในระบบบริหาร และองค์กรมีบทบาทเป็นผู้พัฒนา ผู้ให้บริการ หรือผู้ใช้
- ทำบัญชีระบบ AI และประเมินความเสี่ยง รวมถึงการประเมินผลกระทบต่อบุคคล ใช้ร่วมกับ DPIA ตาม PDPA ได้ (แม่แบบ DPIA สำหรับโครงการ AI)
- เลือกมาตรการควบคุมใน Annex A ที่ตรงกับความเสี่ยง และบันทึกเหตุผลของข้อที่ไม่ใช้
- กำหนดความสามารถของแต่ละบทบาทและอบรม พร้อมเก็บหลักฐาน
- ตรวจประเมินภายในและทบทวนโดยผู้บริหาร ก่อนเชิญหน่วยรับรองเข้าตรวจ
หน่วยรับรองและมาตรฐานไทย
| เรื่อง | รายละเอียด |
|---|---|
| มาตรฐานไทย | มตช. 42001-2567 เทคโนโลยีสารสนเทศ - ปัญญาประดิษฐ์ - ระบบการจัดการ ราชกิจจานุเบกษา 17 ก.ค. 2567 (เป็น มตช. ไม่ใช่ มอก.) จำหน่ายที่ร้านมาตรฐานของ สมอ. |
| หน่วยรับรองที่มีบริการในไทย | SGS ประเทศไทย, LRQA ประเทศไทย และ TÜV NORD ประเทศไทย ให้บริการตรวจรับรอง · BSI ประเทศไทย มีบริการอบรมและตรวจประเมินก่อนรับรอง |
| องค์กรไทยที่ประกาศว่าได้รับรอง | ที-เน็ต (ได้รับรอง 9 ต.ค. 2568) · ACIS Professional Center (ประกาศ 18 ธ.ค. 2568) · เวคิน ประเทศไทย (SGS ประกาศ 4 มี.ค. 2569) |
ISO/IEC 42001 กับกฎหมาย
- EU AI Act: LRQA ระบุว่า ISO/IEC 42001 เพียงอย่างเดียวไม่ได้ทำให้องค์กรปฏิบัติตาม EU AI Act และไม่ได้ให้ข้อสันนิษฐานว่าปฏิบัติตาม แต่ส่วนเรื่องความสามารถและการอบรมช่วยสนับสนุนหน้าที่ AI literacy ตามมาตรา 4 (EU AI Act มาตรา 4 กับบริษัทไทย)
- PDPA และแนวทาง AI ของ สคส.: ระบบบริหารช่วยให้มีบัญชีระบบ การประเมินความเสี่ยง และหลักฐาน ซึ่งเป็นสิ่งที่แนวทางของ สคส. แนะนำอยู่แล้ว (PDPA กับการใช้ AI)
- ผู้กำกับภาคการเงิน: แนวปฏิบัติ AI ของ คปภ. อ้างถึง ISO/IEC 42001 ในรายการอ้างอิง (AI ในธนาคารตามแนวนโยบาย ธปท.)
แหล่งอ้างอิง
- ISO/IEC 42001:2023 Artificial intelligence — Management system และ ISO/IEC 42006 ISO
- ISO/IEC 42001 explained ISO
- มตช. 42001-2567 สำนักงานมาตรฐานผลิตภัณฑ์อุตสาหกรรม
- ISO/IEC 42001 AI controls implementation BSI (มาตรการ 38 ข้อ)
- ISO/IEC 42001 certification SGS ประเทศไทย · LRQA ประเทศไทย · TÜV NORD ประเทศไทย
- ประกาศรับรอง ที-เน็ต อุทยานวิทยาศาสตร์ประเทศไทย · ACIS Professional Center · SGS มอบใบรับรองให้เวคิน
- What ISO 42001 does and does not get you under the EU AI Act LRQA
อ่านต่อ
ดูหลักสูตร AI Governance & Responsible AI ที่จัดในองค์กรได้ สำหรับทีมที่ต้องวางนโยบายและระบบ หรือดูรายละเอียดการอบรม AI ในองค์กร