บทความ · นโยบายและความปลอดภัยข้อมูล

แนวปฏิบัติ AI Security Guidelines ของ สกมช.: ใช้กับใคร บังคับไหม ภัยที่ระบุ และแผนอบรมตามบทบาท

Treepob Tiangtrong (Champ) · ผู้ก่อตั้งและซีอีโอ TRAINIAC · 24 ตุลาคม 2026

TL;DR สกมช. เผยแพร่แนวปฏิบัติการใช้ปัญญาประดิษฐ์อย่างมั่นคงปลอดภัย (AI Security Guidelines) เมื่อ 1 ต.ค. 2025 เป็นเอกสาร 141 หน้าที่แนะนำแนวปฏิบัติที่ดี ไม่มีผลบังคับ ยกเว้นระบบ AI ในหน่วยงาน CII ที่ต้องเป็นไปตามมาตรฐานภายใต้ พ.ร.บ.ไซเบอร์ เนื้อหาครอบคลุมทุกบทบาท จัดความเสี่ยงสี่ระดับตามแนว EU AI Act ระบุภัยอย่าง Prompt Injection และ Data Poisoning จัด AI ในงาน HR เป็นความเสี่ยงสูง และแนะนำให้อบรมตามบทบาทพร้อมวัดผล บทความนี้มีตารางเอกสาร AI ของ สกมช. ภัยที่ระบุ ขั้นตอนเริ่มต้น และแม่แบบแผนอบรมตามบทบาท

สกมช. เผยแพร่ "แนวปฏิบัติการใช้ปัญญาประดิษฐ์อย่างมั่นคงปลอดภัย (AI Security Guidelines)" เมื่อ 1 ต.ค. 2025 เป็นเอกสาร 141 หน้าที่แนะนำแนวปฏิบัติที่ดีด้านความมั่นคงปลอดภัยของระบบ AI ไม่ใช่ประกาศที่มีผลบังคับ และไม่อยู่ในรายการประกาศ กมช. หรือ กกม. ของ สกมช. จุดเดียวที่ผูกกับกฎหมายคือระบบ AI ที่ใช้ในหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ต้องเป็นไปตามมาตรฐานภายใต้ พ.ร.บ.ไซเบอร์ 2562 แนวปฏิบัตินี้เขียนสำหรับทุกบทบาท ตั้งแต่ผู้บริหาร ทีมพัฒนา ฝ่ายกฎหมายและ DPO ฝ่ายไซเบอร์ ไปจนถึงพนักงานผู้ใช้ และไม่ได้จำกัดเฉพาะหน่วยงานรัฐ เนื้อหาหลักมีสามส่วน คือ การจัดระดับความเสี่ยงสี่ระดับตามแนว EU AI Act ภัยคุกคามที่เจาะจงกับ AI เช่น Prompt Injection และ Data Poisoning และการควบคุมตลอดวงจรชีวิตระบบเจ็ดระยะ แนวปฏิบัตินี้จัด AI ในงาน HR เช่น คัดกรองใบสมัครและประเมินผลงาน เป็นความเสี่ยงสูง และหัวข้อ 4.5 แนะนำให้ทำแผนอบรมตามบทบาทและประเมินความรู้หลังอบรม บทความนี้สรุปว่าเอกสารนี้ใช้กับใคร ภัยที่ระบุ และสิ่งที่องค์กรควรทำก่อน พร้อมแม่แบบแผนอบรมตามบทบาท

ข้อมูลตรวจจากเอกสารและหน้าข่าวบนเว็บไซต์ สกมช. เมื่อ 24 ต.ค. 2026 ตัวเอกสารระบุว่าจะปรับปรุงต่อเนื่อง ไม่มีเลขฉบับบนปก

เอกสาร AI ของ สกมช. มีอะไรบ้าง

เอกสารวันที่สถานะใช้กับใคร
แนวปฏิบัติการใช้ปัญญาประดิษฐ์อย่างมั่นคงปลอดภัย (AI Security Guidelines)เผยแพร่ 1 ต.ค. 2025แนวปฏิบัติที่ดี ไม่มีผลบังคับทุกองค์กร ทุกบทบาท · ระบบ AI ใน CII ต้องเป็นไปตามมาตรฐานภายใต้ พ.ร.บ.ไซเบอร์
นโยบายการใช้ Generative AI ที่ยอมรับได้ (Acceptable Use Policy)ลงนาม ก.พ. 2025 · เผยแพร่แม่แบบ 12 มี.ค. 2025นโยบายภายในของ สกมช. เอง มีแม่แบบให้องค์กรอื่นดัดแปลงบุคลากร สกมช. · องค์กรอื่นใช้เป็นตัวตั้งต้นได้
(ร่าง) คู่มือการใช้งานปัญญาประดิษฐ์สำหรับประชาชนร่าง v0.9.6 ลงวันที่ 31 ส.ค. 2026ร่าง รับฟังความเห็นถึง 9 ก.ย. 2026 · ตัวร่างระบุว่าห้ามนำไปอ้างอิงประชาชนทั่วไป
กรอบ NCF-AI สำหรับ CIIอยู่ระหว่างจัดทำยังไม่เผยแพร่หน่วยงาน CII
จากหน้ามาตรฐานและแนวทางปฏิบัติ หน้ากฎหมาย และหน้าข่าวของ สกมช. ตรวจ 24 ต.ค. 2026

แนวทาง AI ของ สคส. (ต.ค. 2026) อ้างถึงเอกสารของ สกมช. ในกรณีตัวอย่างงาน HR ว่า AI ในงาน HR มีความเสี่ยงสูง แต่ใช้ชื่อเอกสารว่า "แนวทางการดำเนินการการใช้ปัญญาประดิษฐ์อย่างมั่นคงปลอดภัย" ซึ่งไม่ตรงกับชื่อบนเอกสารของ สกมช. เวลาอ้างควรใช้ชื่อตามเอกสารของ สกมช. (แนวทาง AI ของ สคส.)

ภัยคุกคามที่แนวปฏิบัติระบุ

กลุ่มภัยที่ระบุการควบคุมตัวอย่างในแนวปฏิบัติ
ภัยที่โจมตีตัวโมเดลData Poisoning, Evasion, Model Extraction, Model Poisoning, การดึงข้อมูลฝึกกลับออกมาคุมแหล่งข้อมูลฝึก ตรวจความถูกต้องของข้อมูล และจำกัดการเรียก API
Prompt Injectionทั้งทางตรงจากผู้ใช้ และทางอ้อมผ่านเอกสารหรือเว็บที่ AI อ่านกรองข้อมูลนำเข้า บันทึกข้อมูลเข้าและออก และให้สิทธิ์เท่าที่จำเป็น
ภัยแบบเดิมที่มากับระบบ AIห่วงโซ่อุปทานของโมเดลและไลบรารี การโจมตีโครงสร้างพื้นฐาน การขโมยโมเดลป้องกันหลายชั้น ตั้งแต่ WAF การเข้ารหัส ไปจนถึงการเฝ้าระวัง
ภัยยุค Generative และ Agentic AIDeepfake เพื่อหลอกโอนเงิน การโจมตีหลายขั้นผ่านเอเจนต์ยืนยันตัวตนหลายปัจจัย และตรวจคำสั่งโอนเงินผ่านช่องทางที่สอง
สรุปจากบทที่ 2 และภาคผนวกของ AI Security Guidelines ของ สกมช.

แนวปฏิบัติจัดระดับความเสี่ยงสี่ระดับ คือ ยอมรับไม่ได้ สูง จำกัด และต่ำ ระบบความเสี่ยงสูงที่ยกตัวอย่างได้แก่ AI ในงาน HR การพิจารณาสินเชื่อ โครงสร้างพื้นฐานสำคัญ และการบังคับใช้กฎหมาย ซึ่งต้องมีการควบคุมเพิ่มรวมถึงการให้คนกำกับดูแล ความเสี่ยงด้านความปลอดภัยของ AI ในองค์กรโดยรวมดูที่ความปลอดภัยของ AI ในองค์กร

องค์กรทั่วไปควรทำอะไรก่อน

  1. กำหนดผู้รับผิดชอบ แนวปฏิบัติบทที่ 4 วางบทบาทแบบ RACI ระหว่างผู้บริหาร ทีม AI ฝ่ายกฎหมาย และฝ่ายไซเบอร์
  2. ทำรายการระบบ AI ที่ใช้อยู่ แล้วจัดระดับความเสี่ยง โดยเริ่มจากงาน HR และงานที่ตัดสินใจเรื่องลูกค้า
  3. ประกาศนโยบายการใช้ Generative AI ดัดแปลงจากแม่แบบของ สกมช. หรือแม่แบบในภาคผนวกของแนวปฏิบัติ (นโยบาย AI สำหรับองค์กรไทย)
  4. เพิ่มเหตุจาก AI เข้าแผนรับมือเหตุเดิม ภาคผนวกมีแบบฟอร์มรายงานเหตุ (แม่แบบแผนรับมือเหตุจาก AI)
  5. อบรมตามบทบาท แล้ววัดผล ตามหัวข้อ 4.5 ด้านล่าง

แม่แบบแผนอบรมตามบทบาทตามหัวข้อ 4.5

หัวข้อ 4.5 แนะนำให้มีแผนอบรมสำหรับบุคลากรทุกคน แยกหลักสูตรตามบทบาท ครอบคลุมภัยคุกคามของ AI การออกแบบที่ปลอดภัย PDPA และจริยธรรม ประเมินความรู้หลังอบรม และซ้อมรับมือเหตุ

บทบาทหัวข้อที่ควรได้วิธีวัดผล
ผู้บริหารระดับความเสี่ยงของระบบ AI ความรับผิดชอบตามกฎหมาย และการตัดสินใจเมื่อเกิดเหตุซ้อมสถานการณ์บนโต๊ะ (tabletop) หนึ่งเหตุการณ์
พนักงานผู้ใช้ข้อมูลที่ห้ามป้อน การสังเกต Prompt Injection และ deepfake และการรายงานเหตุแบบทดสอบหลังอบรม และแบบฝึกจากงานจริง
ทีมพัฒนาและ ITSecure-by-Design การจำกัดสิทธิ์ของเอเจนต์ การบันทึก log และการทดสอบเจาะระบบ AIตรวจงานจริงตามเช็กลิสต์ในภาคผนวก
ฝ่ายกฎหมายและ DPOPDPA กับระบบ AI การประเมินผลกระทบ และสัญญากับผู้ให้บริการทำ DPIA ของระบบจริงหนึ่งระบบ
แม่แบบของ TRAINIAC อิงหัวข้อ 4.5 ของ AI Security Guidelines ของ สกมช.

ฝ่ายกฎหมายเริ่มจากแม่แบบ DPIA โครงการ AI ได้ และการวางหลักสูตรพนักงานตามระดับดูที่หลักสูตรอบรม AI สำหรับพนักงาน 4 ระดับ

แหล่งอ้างอิง

อ่านต่อ

ภาพรวมกฎหมายและแนวทาง AI ของไทยดูที่กฎหมายและแนวทาง AI ของไทย หรือดูหลักสูตร AI Security สำหรับองค์กร

คำถามที่พบบ่อย

แนวปฏิบัติ AI Security Guidelines ของ สกมช. คืออะไร?
เป็นเอกสารชื่อแนวปฏิบัติการใช้ปัญญาประดิษฐ์อย่างมั่นคงปลอดภัย (AI Security Guidelines) ที่ สกมช. เผยแพร่เมื่อ 1 ต.ค. 2025 ยาว 141 หน้า แนะนำแนวปฏิบัติด้านความมั่นคงปลอดภัยของระบบ AI ตลอดวงจรชีวิต ตั้งแต่การออกแบบจนถึงการปลดระวาง สำหรับผู้บริหาร ทีมพัฒนา ฝ่ายกฎหมาย ฝ่ายไซเบอร์ และพนักงานผู้ใช้ที่มา: AI Security Guidelines · สกมช.ที่มา: ข่าวการเผยแพร่ · สกมช.
แนวปฏิบัติของ สกมช. มีผลบังคับไหม?
ไม่มีผลบังคับโดยตรง เอกสารวางตัวเป็นการแนะนำแนวปฏิบัติที่ดี และไม่อยู่ในรายการประกาศ กมช. หรือ กกม. ของ สกมช. จุดที่ผูกกับกฎหมายคือระบบ AI ที่ใช้ในหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ต้องเป็นไปตามมาตรฐานภายใต้ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562ที่มา: ประกาศ กมช. และ กกม. · สกมช.ที่มา: AI Security Guidelines · สกมช.
แนวปฏิบัติของ สกมช. ระบุภัยคุกคามอะไรบ้าง?
ระบุภัยที่โจมตีตัวโมเดล เช่น Data Poisoning, Evasion, Model Extraction และการดึงข้อมูลฝึกกลับออกมา Prompt Injection ทั้งทางตรงและทางอ้อม ภัยแบบเดิมที่มากับระบบ AI เช่น ห่วงโซ่อุปทานและการขโมยโมเดล และภัยยุค Generative และ Agentic AI เช่น Deepfake เพื่อหลอกโอนเงินและการโจมตีหลายขั้นผ่านเอเจนต์ที่มา: AI Security Guidelines · สกมช.
AI ในงาน HR เป็นความเสี่ยงสูงตามแนวปฏิบัติของ สกมช. ไหม?
ใช่ แนวปฏิบัติจัดระดับความเสี่ยงสี่ระดับตามแนว EU AI Act และยกตัวอย่าง AI ในงาน HR เช่น คัดกรองใบสมัคร ประเมินผลงาน และตัดสินใจเลิกจ้าง เป็นความเสี่ยงสูงที่ต้องมีการควบคุมเพิ่มรวมถึงการให้คนกำกับดูแล และแนวทาง AI ของ สคส. ก็อ้างถึงประเด็นนี้ในกรณีตัวอย่างงาน HRที่มา: AI Security Guidelines · สกมช.ที่มา: แนวทาง AI ของ สคส. · สคส.
สกมช. แนะนำเรื่องการอบรมพนักงานอย่างไร?
หัวข้อ 4.5 ของแนวปฏิบัติแนะนำให้มีแผนอบรมสำหรับบุคลากรทุกคน แยกหลักสูตรตามบทบาท เช่น ผู้บริหาร นักวิทยาศาสตร์ข้อมูล นักพัฒนา และผู้ใช้ทั่วไป ครอบคลุมภัยคุกคามของ AI การออกแบบที่ปลอดภัย PDPA และจริยธรรม ประเมินความรู้หลังอบรม และซ้อมรับมือเหตุที่มา: AI Security Guidelines · สกมช.
คู่มือการใช้งาน AI สำหรับประชาชนของ สกมช. ใช้อ้างอิงได้ไหม?
ยังไม่ควร ณ 24 ต.ค. 2026 คู่มือนี้ยังเป็นร่าง ฉบับ v0.9.6 ลงวันที่ 31 ส.ค. 2026 เปิดรับฟังความเห็นรอบสองถึง 9 ก.ย. 2026 และตัวร่างระบุทุกหน้าว่าห้ามนำไปอ้างอิงหรือใช้งานจริงที่มา: (ร่าง) คู่มือการใช้งานปัญญาประดิษฐ์สำหรับประชาชน · สกมช.
สกมช.ความมั่นคงปลอดภัยไซเบอร์AI Security

บทความที่เกี่ยวข้อง

บทความทั้งหมดในหัวข้อ นโยบายและความปลอดภัยข้อมูล →