การถกเถียงเรื่องปัญญาประดิษฐ์ (AI) ได้ก้าวไปสู่จุดที่น่าทึ่งแล้ว ระหว่างความคิดเห็นที่ว่า 'AI จะช่วยมนุษยชาติ' กับ 'AI อาจทำลายล้างมนุษยชาติ' นั้น มีการตัดสินใจนับพันครั้งเกิดขึ้นในองค์กรต่างๆ ในปัจจุบัน AI กำลังส่งผลกระทบต่อวิธีการที่บริษัทต่างๆ สรรหาบุคลากร จัดสรรเงินทุน ตรวจสอบห่วงโซ่อุปทาน จัดการข้อมูล และดำเนินงานที่ซับซ้อนมากขึ้นเรื่อยๆ
สำหรับผู้นำทางธุรกิจ คำถามเร่งด่วนอาจไม่รุนแรงนัก แต่มีประโยชน์มากกว่ามาก นั่นคือ คุณจะรู้ได้อย่างไรว่า AI ทำงานได้ตามที่คุณกล่าวอ้าง และใครเป็นผู้ตรวจสอบอิสระ?
นิยายวิทยาศาสตร์เตรียมเราให้พร้อมรับมือกับคอมพิวเตอร์ที่ทำงานผิดปกติ เครื่องจักรที่มีสติปัญญา และหุ่นยนต์ที่หันมาต่อต้านผู้สร้างของพวกมัน แต่กลับใช้เวลาน้อยกว่าในการพูดถึงความเสี่ยงที่คนธรรมดาจะเชื่อมั่นในเครื่องจักรที่ดูสมจริงมากเกินไป อย่างไรก็ตาม นั่นอาจเป็นความท้าทายที่สำคัญกว่าในขณะนี้
อุตสาหกรรมการทดสอบ การตรวจสอบ และการรับรอง (TIC) ไม่สามารถยุติข้อถกเถียงเกี่ยวกับความสัมพันธ์ของมนุษยชาติกับปัญญาประดิษฐ์ได้ แต่เราสามารถมีส่วนร่วมในสิ่งที่ปัจจุบันมีอยู่น้อยมาก นั่นคือ หลักฐาน
และในหลายๆ แง่มุม เราเคยเผชิญสถานการณ์เช่นนี้มาก่อนแล้ว
เราต้องการคนมาตรวจสอบมาโดยตลอด
สังคมไม่ได้แก้ไขทุกคำถามเกี่ยวกับเครื่องจักรไอน้ำก่อนที่เราจะเริ่มตรวจสอบหม้อไอน้ำ เมื่อทางรถไฟ โรงงาน และเครื่องจักรต่างๆ เปลี่ยนแปลงเศรษฐกิจ เราได้เรียนรู้ว่าเทคโนโลยีทรงพลังนั้นต้องการมาตรฐาน การตรวจสอบที่มีประสิทธิภาพ และที่สำคัญที่สุดคือ บุคคลที่เป็นอิสระจากเจ้าของเพื่อตรวจสอบว่าสิ่งต่างๆ เป็นไปตามที่กล่าวอ้าง หลักการนี้ยังคงอยู่รอดมาได้ในทุกการเปลี่ยนแปลงทางเทคโนโลยีครั้งสำคัญนับตั้งแต่นั้นเป็นต้นมา
ปัญญาประดิษฐ์ (AI) มีความแตกต่างในด้านความสามารถและความเร็ว แต่ปัญหาเรื่องความไว้วางใจที่อยู่เบื้องหลังนั้นกลับคุ้นเคยกันดี องค์กรต่างๆ จะบอกเรามากขึ้นเรื่อยๆ ว่า AI ของพวกเขามีความรับผิดชอบ ควบคุมได้ และมีการกำกับดูแลที่ดี คำถามคือใครจะเป็นผู้ตรวจสอบยืนยัน
เราได้เห็นตัวอย่างที่เกิดขึ้นเมื่อไม่นานมานี้ในเรื่อง ESG เมื่อความยั่งยืนกลายเป็นประเด็นสำคัญในวาระขององค์กร องค์กรต่างๆ ก็เริ่มมีความเชี่ยวชาญมากขึ้นในการวัดและจัดการความเสี่ยงด้าน ESG และอุตสาหกรรมต่างๆ เช่น อุตสาหกรรมการเงิน ก็เร่งที่จะวางตำแหน่งตัวเองให้เป็นผู้เชี่ยวชาญที่น่าเชื่อถือ (โดยพื้นฐานแล้วคือการให้การรับรองจากตลาด) แต่ความแตกต่างที่สำคัญได้ปรากฏขึ้น: การจัดการความเสี่ยง ไม่ว่าจะใช้วิธีการที่ซับซ้อนเพียงใด ก็ไม่เหมือนกับการรับประกันความเสี่ยงนั้นอย่างเป็นอิสระ เราควรระมัดระวังอย่าให้เกิดเหตุการณ์เช่นนั้นซ้ำรอยกับ AI
การตรวจสอบข้อกล่าวอ้างด้านสิ่งแวดล้อมที่เกิดขึ้นนี้ควรเป็นบทเรียนสำหรับ AI เพราะ AI เพิ่มความซับซ้อนอีกประการหนึ่ง มันสามารถสร้างนโยบาย การประเมินความเสี่ยง การตอบสนองจากซัพพลายเออร์ หรือเอกสารการปฏิบัติตามกฎระเบียบที่น่าเชื่อถือได้ในเวลาเพียงไม่กี่วินาที เมื่อต้นทุนในการสร้างข้อกล่าวอ้างที่น่าเชื่อถือได้ลดลง มูลค่าของการพิสูจน์ข้อกล่าวอ้างนั้นอย่างอิสระก็จะเพิ่มสูงขึ้น
ปัญญาประดิษฐ์ (AI) เปลี่ยนแปลงทั้งสองด้านของสมการ
จริงๆ แล้วมีคำถามเกี่ยวกับ AI สองข้อที่สำคัญสำหรับวิชาชีพของเรา ข้อแรกคือ การรับรอง AI: เราจะตรวจสอบได้อย่างอิสระได้อย่างไรว่าองค์กรต่างๆ กำลังพัฒนา ใช้งาน และกำกับดูแล AI อย่างมีความรับผิดชอบ? ข้อที่สองคือ การรับรองโดยใช้ AI: จะเกิดอะไรขึ้นเมื่อ AI กลายเป็นส่วนหนึ่งของวิธีการที่ผู้ตรวจสอบบัญชี ผู้ตรวจการณ์ และผู้เชี่ยวชาญด้านความเสี่ยงใช้ในการสรุปผล? ในท้ายที่สุดแล้ว ข้อที่สองอาจเป็นคำถามที่สำคัญกว่าในแง่ของความซื่อสัตย์สุจริต
และการรับรองความน่าเชื่อถือของ AI จะต้องก้าวไปไกลกว่าการตรวจสอบว่ามีนโยบายที่ถูกต้องอยู่หรือไม่ เช่นเดียวกับที่หน่วยงานด้านความปลอดภัยทางไซเบอร์ได้พัฒนาทีมตรวจสอบช่องโหว่ (red team)เพื่อตรวจสอบระบบอย่างจริงจังเพื่อหาจุดอ่อน การรับรองความน่าเชื่อถือของ AI ก็จำเป็นต้องมีวิธีการท้าทายแบบจำลอง ทดสอบผลลัพธ์ และตรวจสอบความปลอดภัยและความสมบูรณ์ของข้อมูลที่อยู่เบื้องหลังแบบจำลองเหล่านั้นมากขึ้นเรื่อยๆ
ปัญญาประดิษฐ์ (AI) สามารถตรวจสอบข้อมูลจำนวนมหาศาลที่ผู้ตรวจสอบบัญชีทั่วไปไม่สามารถประมวลผลได้จริง ระบุความผิดปกติในธุรกรรมนับพันรายการ และวิเคราะห์ความเสี่ยงอย่างต่อเนื่อง ซึ่งก่อนหน้านี้เคยตรวจสอบเป็นระยะๆ เราควรยอมรับและใช้ประโยชน์จากสิ่งนี้
วงการแพทย์มีตัวอย่างเปรียบเทียบที่น่าสนใจ เทคโนโลยีได้เปลี่ยนแปลงสิ่งที่แพทย์สามารถมองเห็นและเข้าใจได้ แต่เครื่องสแกน MRI ก็ไม่ได้ขจัดความจำเป็นในการตัดสินใจทางการแพทย์ออกไป AI สามารถอ่านผลการสแกนได้ แต่ก็ยังต้องมีคนรับผิดชอบในการวินิจฉัยโรคอยู่ดี
หลักการเดียวกันนี้ต้องใช้ได้กับงานตรวจสอบด้วยเช่นกัน หาก AI ร่างข้อสรุปที่ผู้ตรวจสอบบัญชีไม่ได้สรุปอย่างอิสระ รายงานอาจดูน่าเชื่อถืออย่างสมบูรณ์ แต่สิ่งสำคัญพื้นฐานได้สูญหายไปแล้ว การมี "มนุษย์เข้ามาเกี่ยวข้อง" นั้นแทบไม่มีความหมายอะไรเลย หากมนุษย์เพียงแค่รับรองสิ่งที่เครื่องจักรสร้างขึ้น AI ควรเสริมสร้างวิจารณญาณของมืออาชีพ ไม่ใช่เป็นที่หลบซ่อนความรับผิดชอบ
ตั้งแต่การตรวจสุขภาพประจำปีไปจนถึงการรับประกันอย่างต่อเนื่อง
ปัญญาประดิษฐ์ยังท้าทายสิ่งที่เป็นพื้นฐานมากกว่านั้น นั่นคือความเร็วในการดำเนินการตรวจสอบรับรอง การตรวจสอบรับรองแบบดั้งเดิมมักคล้ายกับการตรวจสุขภาพประจำปี เราตรวจสอบหลักฐาน ณ จุดเวลาหนึ่ง สรุปผล และกลับมาพบอีกครั้งตามช่วงเวลาที่ตกลงกันไว้
แต่ความเสี่ยงจาก AI ไม่ได้เกิดขึ้นตามตารางเวลานั้น โมเดลเปลี่ยนแปลง ข้อมูลเปลี่ยนแปลง แอปพลิเคชันเปลี่ยนแปลง เครื่องมือใหม่ๆ ปรากฏขึ้นภายในองค์กรแทบจะในชั่วข้ามคืน และเมื่อองค์กรต่างๆ พึ่งพาโมเดลภาษาขนาดใหญ่มากขึ้น คำถามเกี่ยวกับที่เก็บข้อมูล โมเดลใดที่ข้อมูลผ่าน และกฎใดที่ควบคุมข้อมูล จึงมีความสำคัญมากขึ้นเรื่อยๆ อธิปไตยทางข้อมูลเป็นส่วนหนึ่งของวิธีที่องค์กรและรัฐบาลคิดเกี่ยวกับการควบคุม ความยืดหยุ่น และความไว้วางใจ ซึ่งอยู่นอกเหนือขอบเขตของไอทีไปมาก
อนาคตของการตรวจสอบอาจดูไม่เหมือนการตรวจสุขภาพประจำปี แต่เหมือนเครื่องตรวจวัดการเต้นของหัวใจมากกว่า นั่นคือ สัญญาณต่อเนื่อง การวิเคราะห์อย่างชาญฉลาด และการแทรกแซงจากผู้เชี่ยวชาญในจุดที่สำคัญ นั่นเป็นโอกาสที่ยิ่งใหญ่กว่าการใช้ AI เพื่อเขียนรายงานการตรวจสอบให้เร็วขึ้น AI ไม่ควรเข้ามาแทนที่การตัดสินใจในการบริหารความเสี่ยง แต่ควรเข้ามาแทนที่งานที่ขัดขวางการตัดสินใจต่างหาก
จาก 'เชื่อใจเรา' เป็น 'พิสูจน์ให้เห็น'
การรับรองที่เป็นอิสระไม่สามารถเกิดขึ้นได้โดยปราศจากบริบท ปัญญาประดิษฐ์ (AI) ยังต้องการการกำกับดูแลที่มีประสิทธิภาพ รัฐบาลจำเป็นต้องกำหนดความคาดหวังและขอบเขตที่ชัดเจน และภาคอุตสาหกรรมควรเรียกร้องให้มีการกำหนดขอบเขตเหล่านั้น เราต้องการกฎระเบียบที่สร้างความมั่นใจให้องค์กรต่างๆ สามารถสร้างสรรค์นวัตกรรมได้ ในขณะเดียวกันก็สร้างความรับผิดชอบที่ชัดเจนเมื่อเกิดปัญหาขึ้น
นอกจากนี้ เราต้องเข้าใจให้ชัดเจนว่า กฎระเบียบ มาตรฐาน และการรับรอง ไม่ใช่สิ่งที่จะมาทดแทนกันได้ กฎระเบียบกำหนดกฎเกณฑ์ มาตรฐานช่วยให้องค์กรสร้างระบบเพื่อให้เป็นไปตามกฎเกณฑ์เหล่านั้น และการรับรองโดยอิสระจะตรวจสอบว่าระบบเหล่านั้นทำงานได้หรือไม่
นี่คือเหตุผลที่มาตรฐาน ISO/IEC 42001 มีความสำคัญ การมีนโยบาย AI หรือหลักการ AI ที่มีความรับผิดชอบจะกลายเป็นเรื่องธรรมดาในอนาคตอันใกล้ สิ่งที่จะสร้างความแตกต่างคือองค์กรสามารถแสดงให้เห็นได้หรือไม่ว่าการกำกับดูแลของตนนั้นใช้งานได้จริง
มาตรฐาน ISO/IEC 42001 มอบระบบการจัดการที่เป็นที่ยอมรับในระดับสากลสำหรับการกำกับดูแล AI ให้แก่องค์กรต่างๆ และเป็นพื้นฐานสำหรับการประเมินอิสระ เป็นการเปลี่ยนบทสนทนาจาก "เชื่อใจเราสิ เราจัดการ AI อย่างมีความรับผิดชอบ" ไปเป็น "นี่คือหลักฐาน"
ความแตกต่างนี้มีความสำคัญ การรับรองระบบการจัดการ AI ไม่ได้หมายความว่าระบบ AI ทุกระบบที่องค์กรใช้งานนั้น "ปลอดภัย" อย่างสมบูรณ์ เราต้องระบุให้ชัดเจนว่าอะไรได้รับการรับรองแล้ว และอะไรยังไม่ได้รับการรับรอง
ไม่มีใครในสายงานของเราสามารถบอกผู้นำทางธุรกิจได้ว่า AI จะช่วยหรือทำลายมนุษยชาติในท้ายที่สุด แต่เราได้ใช้เวลาหลายชั่วอายุคนทำในสิ่งที่ใช้งานได้จริงมากกว่านั้น นั่นคือการทำให้ข้อกล่าวอ้างที่สำคัญสามารถตรวจสอบได้
และในยุคที่ AI สามารถกล่าวอ้างได้อย่างน่าเชื่อถือโดยแทบไม่ต้องใช้ความพยายาม บทบาทนี้จึงยิ่งมีค่ามากขึ้น ไม่ใช่ลดลง หากองค์กรของคุณบอกว่าใช้ AI อย่างมีความรับผิดชอบ คุณพร้อมที่จะพิสูจน์หรือไม่?
