การกำกับดูแล AI ทั่วโลก: บทบาทของมาตรฐาน ISO 42001

หากถามถึงสถานะการกำกับดูแลปัญญาประดิษฐ์ (AI) คุณจะได้รับคำตอบที่แตกต่างกันไปในแต่ละทวีป สหภาพยุโรป (EU) มีกฎหมายที่ครอบคลุมพร้อมระบุวันที่บังคับใช้ เกาหลีใต้มีกฎหมายที่บังคับใช้แล้ว สหรัฐอเมริกา (US) ไม่มีกฎหมายระดับรัฐบาลกลาง แต่มีกฎหมายระดับรัฐที่เปลี่ยนแปลงอย่างรวดเร็ว สหราชอาณาจักร (UK) มีหลักการและหน่วยงานกำกับดูแลมากกว่ากฎหมาย AI ประเทศส่วนใหญ่ในเอเชียกำกับดูแลผ่านแนวทางปฏิบัติ กฎระเบียบทางปกครอง หรือกฎหมายที่เน้นการส่งเสริมเป็นหลัก

ข้อสรุปที่สมเหตุสมผลก็คือ การกำกับดูแล AI ระดับโลกจะต้องสร้างขึ้นทีละตลาด โดยแต่ละโครงการมีกฎระเบียบของตนเอง ในทางปฏิบัติแล้ว ระบบเหล่านี้มีความคล้ายคลึงกันมากกว่าที่พาดหัวข่าวบ่งบอก หน่วยงานกำกับดูแลแตกต่างกันในด้านกลไกมากกว่าเนื้อหา และเมื่อละเว้นกลไกทางกฎหมายแล้ว ข้อเรียกร้องเดียวกันก็จะเกิดขึ้นซ้ำๆ ในระบบหนึ่งไปยังอีกระบบหนึ่ง:

• วิธีการที่กำหนดและทำซ้ำได้ในการระบุและจัดการความเสี่ยงจากปัญญาประดิษฐ์
• ความโปร่งใสเกี่ยวกับการใช้งาน AI และเอกสารประกอบที่สนับสนุนการใช้งานนั้น
• ความรับผิดชอบที่ได้รับการระบุและการกำกับดูแลโดยมนุษย์ที่มีความหมาย
• การกำกับดูแลข้อมูลที่ AI สร้างขึ้น
• ช่องทางสำหรับการรายงานและจัดการเหตุการณ์
• ความชัดเจนเกี่ยวกับความรับผิดชอบเมื่อมีการนำ AI เข้ามาใช้หรือจัดหามาใช้

ISO 42001 ซึ่งเป็นมาตรฐานสากลที่รับรองได้ฉบับแรกสำหรับระบบการจัดการ AI ได้กำหนดรายการนี้อย่างเป็นทางการ แม้ว่าข้อกำหนดจะแตกต่างกัน แต่หลักการกำกับดูแลที่ใช้ยังคงเหมือนเดิม การสร้างระบบกำกับดูแลนั้นเพียงครั้งเดียวตามมาตรฐานที่รับรองได้ แล้วค่อยปรับเปลี่ยนในส่วนที่เกี่ยวข้อง เป็นแผนการที่ใช้งานได้จริงมากกว่าการดำเนินโครงการปฏิบัติตามข้อกำหนดในแต่ละเขตอำนาจศาล ดังนั้น บทความนี้จึงสำรวจภาพรวมโดยใช้กลไกมากกว่าการใช้แผนที่

กฎหมายที่เข้มงวดพร้อมวันสำคัญ

ขณะนี้มีกฎระเบียบด้านปัญญาประดิษฐ์ (AI) สองฉบับที่บังคับใช้แล้ว

กฎหมาย AI ของสหภาพยุโรปเป็นกฎหมายที่พัฒนามากที่สุด ข้อห้ามและหน้าที่ด้านความรู้เกี่ยวกับ AI มีผลบังคับใช้แล้ว และข้อผูกพันด้านความโปร่งใสมีผลบังคับใช้ตั้งแต่วันที่ 2 สิงหาคม 2569 ตามกฎระเบียบ Digital Omnibus ข้อผูกพันหลักเกี่ยวกับความเสี่ยงสูงจะมีผลบังคับใช้ตั้งแต่วันที่ 2 ธันวาคม 2560 โดย AI ที่มีความเสี่ยงสูงที่ฝังอยู่ในผลิตภัณฑ์ที่อยู่ภายใต้การกำกับดูแลจะมีผลบังคับใช้ในวันที่ 2 สิงหาคม 2561 บทลงโทษสำหรับการปฏิบัติที่ต้องห้ามสูงถึงร้อยละ 7 ของยอดขายรวมทั่วโลกต่อปี สิ่งที่ใบรับรอง ISO 42001 ให้ได้และไม่ได้ภายใต้กฎหมายนี้สมควรได้รับการอธิบายแยกต่างหาก และก็มีอยู่ในบทความที่เกี่ยวข้องกับบทความนี้ ซึ่งจะอธิบายข้อผูกพันแต่ละข้อโดยละเอียด กล่าวโดยสรุป: การรับรองไม่ใช่การปฏิบัติตามกฎระเบียบ แต่เป็นรากฐานด้านการกำกับดูแลที่ใช้ในการสร้างกรณีการปฏิบัติตามกฎระเบียบ

ประการที่สองคือของเกาหลีใต้ กฎหมายพื้นฐานเกี่ยวกับปัญญาประดิษฐ์ (AI Basic Act) และพระราชกฤษฎีกาบังคับใช้มีผลบังคับใช้เมื่อวันที่ 22 มกราคม 2569 โดยกำหนดหน้าที่สำหรับปัญญาประดิษฐ์ที่มีผลกระทบสูงและปัญญาประดิษฐ์เชิงสร้างสรรค์ รวมถึงการประเมินความเสี่ยง การประเมินผลกระทบ ความโปร่งใส และการติดฉลากเนื้อหาที่สร้างโดยปัญญาประดิษฐ์ กฎหมายนี้ใช้บังคับนอกประเทศสำหรับระบบที่ส่งผลกระทบต่อตลาดเกาหลี และกำหนดให้ผู้ประกอบการต่างชาติรายใหญ่ต้องแต่งตั้งตัวแทนในประเทศ กระทรวงวิทยาศาสตร์และเทคโนโลยีสารสนเทศ (MSIT) ได้กำหนดระยะเวลาผ่อนผันอย่างน้อยหนึ่งปี ซึ่งในระหว่างนั้นการตรวจสอบข้อเท็จจริงและการปรับทางปกครองจะถูกเลื่อนออกไปโดยทั่วไป ยกเว้นในกรณีที่เกิดความเสียหายร้ายแรง ข้อผูกพันต่างๆ มีผลบังคับใช้แล้วในปัจจุบัน

กฎเกณฑ์ที่ไม่หยุดนิ่ง

สหรัฐอเมริกาไม่มีกฎหมาย AI ระดับรัฐบาลกลางที่ครอบคลุม การดำเนินการของฝ่ายบริหารระดับรัฐบาลกลางกำหนดนโยบายในระดับพื้นฐาน รวมถึงคำสั่งบริหารที่ 14365 เมื่อเดือนธันวาคม 2025 ซึ่งผลักดันให้กฎหมาย AI ของรัฐบาลกลางมีอำนาจเหนือกว่ากฎหมายของรัฐ ผลกระทบของคำสั่งนี้ขึ้นอยู่กับการพิจารณาของศาล หน้าที่ผูกพันของภาคเอกชนส่วนใหญ่อยู่ในกฎหมายของรัฐ และกฎหมายของรัฐก็จะไม่เปลี่ยนแปลง ในปี 2024 โคโลราโดเป็นรัฐแรกที่ผ่านกฎหมาย AI ที่ครอบคลุม หลังจากล่าช้าไปสองครั้ง กฎหมายดังกล่าวถูกยกเลิกและแทนที่ในเดือนพฤษภาคม 2026 ก่อนที่จะมีผลบังคับใช้ กฎหมายฉบับใหม่ที่แคบกว่าจะเริ่มมีผลบังคับใช้ตั้งแต่วันที่ 1 มกราคม 2027 พระราชบัญญัติการกำกับดูแลปัญญาประดิษฐ์อย่างมีความรับผิดชอบของรัฐเท็กซัส (TRAIGA) มีผลบังคับใช้ในเดือนมกราคม 2026 ในรูปแบบที่แคบกว่าร่างเดิมมาก รัฐแคลิฟอร์เนียเองก็มีกฎหมายที่เกี่ยวข้องกับ AI มากมาย ตั้งแต่เรื่องความโปร่งใสของผู้พัฒนาเทคโนโลยีในพื้นที่ชายแดน ไปจนถึงกฎระเบียบเกี่ยวกับการตัดสินใจอัตโนมัติที่จะทยอยบังคับใช้จนถึงปี 2027 ปริมาณกฎหมายที่เกี่ยวข้องเป็นสัญญาณที่ชัดเจนที่สุดของการเปลี่ยนแปลงที่จะเกิดขึ้นอีก โดยภายในเดือนมีนาคม 2026 สมาชิกสภานิติบัญญัติของรัฐได้เสนอร่างกฎหมายที่เกี่ยวข้องกับ AI จำนวน 1,561 ฉบับ ใน 45 รัฐ

ทั้งหมดนี้ไม่ใช่เหตุผลที่จะต้องรอความชัดเจน แต่เป็นเหตุผลที่จะต้องหยุดการสร้างระบบปฏิบัติตามกฎหมายฉบับใดฉบับหนึ่งเพียงอย่างเดียว ซึ่งอาจล้าสมัยได้ภายในสมัยประชุมสภา การลงทุนที่ยั่งยืนคือระบบการกำกับดูแลที่สร้างหลักฐานตามที่กฎหมายแต่ละฉบับกำหนด (เช่น การสำรวจ การประเมินความเสี่ยงและผลกระทบ วินัยในการเปิดเผยข้อมูล การกำกับดูแลโดยมนุษย์) และปรับตัวได้ตามความเหมาะสมเมื่อกฎหมายฉบับใหม่ ๆ ออกมา

จุดอ้างอิงของสหรัฐอเมริกาคือกรอบการบริหารความเสี่ยงด้านปัญญาประดิษฐ์ (AI Risk Management Framework หรือ AI RMF) ของสถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) ซึ่งเป็นวิธีการสมัครใจที่ทีมบริหารความเสี่ยงของอเมริกาหลายแห่งใช้กันอยู่แล้ว กรอบนี้ไม่สามารถรับรองได้ และสอดคล้องกับมาตรฐาน ISO 42001 อย่างใกล้ชิด โดย NIST ได้เผยแพร่ตารางเทียบมาตรฐานระหว่างสองมาตรฐานนี้ ในทางปฏิบัติ กรอบนี้จะจัดระเบียบการทำงานด้านความเสี่ยง ส่วนมาตรฐานจะเปลี่ยนกระบวนการนั้นให้เป็นสิ่งที่ได้รับการตรวจสอบจากหน่วยงานอิสระ

หลักการ แนวทาง และกฎระเบียบการบริหาร

สหราชอาณาจักรเลือกใช้แนวทางที่ยึดหลักการ: หลักการข้ามภาคส่วนที่นำมาใช้ผ่านหน่วยงานกำกับดูแลที่มีอยู่แล้ว แทนที่จะใช้กฎหมาย AI ฉบับเดียว กฎหมาย AI ของญี่ปุ่นในปี 2025 เน้นการส่งเสริม โดยมีข้อผูกพันที่ไม่เป็นการลงโทษเป็นส่วนใหญ่ สิงคโปร์นำเสนอกรอบการกำกับดูแลที่เป็นแบบอย่างและเครื่องมือทดสอบแบบสมัครใจ จีนควบคุมผ่านมาตรการทางปกครอง รวมถึงข้อกำหนดการติดฉลากสำหรับ AI แบบสร้างสรรค์ ในทุกตลาด หน่วยงานกำกับดูแลเฉพาะภาคส่วนในด้านต่างๆ เช่น บริการทางการเงิน สุขภาพ และการจ้างงาน กำลังใช้มาตรการที่มีอยู่แล้วกับ AI โดยไม่ต้องรอให้มีกฎหมายเฉพาะด้าน AI

กฎหมายที่ไม่เป็นรูปธรรมยังคงต้องการหลักฐาน หน่วยงานกำกับดูแลที่นำหลักการมาใช้จะถามคำถามแรกเช่นเดียวกับที่กฎหมายบัญญัติไว้ คือ แสดงให้เราเห็นว่าคุณกำกับดูแลเรื่องนี้อย่างไร

ผู้ซื้อในฐานะผู้ควบคุม

สำหรับองค์กรส่วนใหญ่ หน่วยงานกำกับดูแลแรกที่ขอหลักฐานไม่ใช่รัฐบาล แต่เป็นลูกค้า ข้อกำหนดด้านการกำกับดูแล AI และแบบสอบถามการตรวจสอบสถานะกำลังแพร่หลายในกระบวนการจัดซื้อจัดจ้างขององค์กรเร็วกว่ากฎหมายใดๆ ข้อกำหนดเหล่านี้ครอบคลุมเนื้อหาที่คล้ายคลึงกันในตลาดต่างๆ และไม่มีระยะเวลาผ่อนผัน คณะกรรมการและบริษัทประกันภัยต่างก็ถามคำถามเดียวกันจากอีกทิศทางหนึ่ง การจัดซื้อจัดจ้างเป็นระบบที่มีขอบเขตครอบคลุมทั่วโลกในปัจจุบัน และเป็นสถานที่ที่ใบรับรองที่ได้รับการรับรองจะทำงานได้ดีที่สุด เพราะสามารถตอบคำถามส่วนใหญ่ในแบบสอบถามได้ด้วยหลักฐานที่ได้รับการตรวจสอบอย่างอิสระเพียงชิ้นเดียว

หลักสูตรแกนกลาง และหลักฐานการรับรองต่างๆ

ตารางด้านล่างนี้แสดงหัวข้อข้อกำหนดที่ปรากฏซ้ำๆ ในระบบต่างๆ ข้างต้น และสิ่งที่ระบบการจัดการ ISO 42001 มีส่วนช่วยในแต่ละระบบ การอ้างอิง ISO 42001 ทั้งหมดหมายถึงตัวมาตรฐานเอง

คอลัมน์ด้านขวามือคือกลไกขององค์กร ไม่ใช่การปฏิบัติตามกฎหมาย ความแตกต่างนี้เป็นหัวข้อของบทความที่เกี่ยวข้อง และใช้ได้ทั่วไป ไม่ใช่เฉพาะในยุโรปเท่านั้น

การรับรองต่างๆ มีประโยชน์และไม่มีประโยชน์อย่างไรในตลาดงานแต่ละแห่ง

ไม่มีใบรับรองใดที่ทำให้องค์กรปฏิบัติตามข้อกำหนดใดๆ ข้างต้นได้ และไม่ควรนำเสนอใบรับรองนั้นว่าเป็นเช่นนั้น สิ่งที่ใบรับรอง ISO 42001 ที่ได้รับการรับรองมอบให้คือหลักฐานที่ได้รับการตรวจสอบอย่างอิสระว่ารากฐานการกำกับดูแลมีอยู่จริงและใช้งานได้: การประเมินความเสี่ยงตามวิธีการที่กำหนด การกำหนดความรับผิดชอบ การรักษาความสามารถ การจัดการซัพพลายเออร์ การตรวจสอบและปรับปรุงระบบโดยรวม ในการมีส่วนร่วมกับหน่วยงานกำกับดูแล การจัดซื้อจัดจ้าง การตรวจสอบสถานะลูกค้า และการรับรองของคณะกรรมการ สิ่งนี้ช่วยขจัดคำถามที่มักถูกหยิบยกขึ้นมาพูดคุยกันเสมอว่า ภายใต้คำแถลงนโยบายเหล่านั้นมีอะไรรองรับอยู่บ้างหรือไม่

หลักการเรื่องเวลาเหมือนกันทุกที่ เพียงแต่เปลี่ยนวันเท่านั้น การรับรองมักใช้เวลาหกถึงสิบสองเดือน และระบบการจัดการต้องมีอยู่ก่อนการตรวจสอบ ในยุโรป วันที่กำหนดคือเดือนธันวาคม 2027 ในเกาหลี ระยะเวลาผ่อนผันสำหรับการสอบสวนและค่าปรับจะสิ้นสุดไม่เร็วกว่าเดือนมกราคม 2027 ในสหรัฐอเมริกา วันที่กำหนดคือวันที่กฎหมายฉบับใดฉบับหนึ่งมีผลบังคับใช้ก่อน หรือที่น่าจะเป็นไปได้มากกว่าคือแบบสอบถามลูกค้าฉบับถัดไป คำนวณย้อนกลับจากวันที่ที่ใช้กับคุณ และจุดเริ่มต้นจะใกล้เคียงกับปัจจุบัน ปฏิทินก็สนับสนุนข้อโต้แย้งนี้อยู่แล้ว

หลักฐานที่เดินทาง

ระบบการจัดการเดียว เส้นทางการตรวจสอบเดียว ใบรับรองเดียว เนื่องจากความต้องการพื้นฐานมีความคล้ายคลึงกันมาก หลักฐานที่สร้างขึ้นในลักษณะนี้จึงสามารถนำไปใช้ได้อย่างเท่าเทียมกันในบรัสเซลส์ ในโซล ในการสอบสวนของอัยการสูงสุดของรัฐในสหรัฐอเมริกา และในแบบสอบถามซัพพลายเออร์ LRQA เป็นหน่วยงานรับรองที่ได้รับการรับรองจาก UKAS สำหรับมาตรฐาน ISO 42001 ซึ่งหมายความว่าความสามารถและความเป็นกลางของเราได้รับการประเมินอย่างอิสระแล้ว

เอกสารเตรียมความพร้อมสำหรับมาตรฐาน ISO 42001 ของ LRQAอธิบายถึงสิ่งที่การรับรองมาตรฐานครอบคลุม สิ่งที่องค์กรของคุณต้องทำ และจุดเริ่มต้นในการรับรอง 

หากต้องการปรึกษาเกี่ยวกับการรับรองมาตรฐานการกำกับดูแล AI โปรดติดต่อทีมงาน LRQA ISO 42001 

เรียนรู้เพิ่มเติมเกี่ยวกับบริการ ISO 42001 ของเรา