ช่องว่างที่ถ่างกว้างขึ้นระหว่างนโยบาย AI กับการบังคับใช้จริง

AI ไม่ได้มีกฎเกณฑ์ชุดเดียว

AI กำลังถูกนำไปใช้ในอุตสาหกรรมและแอปพลิเคชันต่าง ๆ เร็วกว่าที่นโยบายและกรอบธรรมาภิบาลซึ่งจำเป็นต่อการกำกับดูแลจะพัฒนาได้ทัน ในอดีต การใช้งาน AI ส่วนใหญ่อยู่ภายใต้กฎระเบียบด้านการคุ้มครองผู้บริโภค ความเป็นส่วนตัว และกฎระเบียบเฉพาะอุตสาหกรรมที่มีอยู่แล้ว ควบคู่กับนโยบายภายในของบริษัทเอง ขณะนี้รัฐบาลต่าง ๆ กำลังออกข้อกำหนดเฉพาะสำหรับ AI แต่ข้อกำหนดเหล่านี้ยังคงกระจัดกระจาย และมักให้แนวทางอย่างจำกัดว่าระบบควรทำงานอย่างไรในทางปฏิบัติ บริษัทต่าง ๆ จึงต้องหาทางประสานข้อกำหนดภายนอกให้สอดคล้องกับระดับความเสี่ยงที่ตนยอมรับได้ เป้าหมายของผลิตภัณฑ์ และข้อเท็จจริงในการดำเนินงาน

สหภาพยุโรปกำลังบังคับใช้ข้อกำหนดบางส่วนของ AI Act อย่างจริงจังแล้ว ขณะที่นโยบายระดับรัฐบาลกลางของสหรัฐฯ สนับสนุนกรอบระดับชาติที่ไม่เป็นภาระมากนักอย่างชัดเจน โดยคำสั่งฝ่ายบริหาร 14365มีเป้าหมายจำกัดข้อกำหนดของแต่ละรัฐที่ขัดแย้งกัน แม้รัฐต่าง ๆ จะออกมาตรการที่เกี่ยวข้องกับ AI มากกว่า 1,000 รายการในปี 2025ก็ตาม หน่วยงานเหล่านี้ต่างกำหนดเป้าหมายปลายทางที่แตกต่างกัน และบริษัทที่สร้างและนำระบบไปใช้ก็ต้องเป็นผู้รับภาระในการหาทางประสานข้อกำหนดเหล่านั้น

แต่การกำหนดข้อกำหนดด้านกฎระเบียบเป็นเพียงส่วนหนึ่งของความท้าทาย เมื่อมีการนำ AI ไปใช้กับแอปพลิเคชันและบริบทที่หลากหลายขึ้น บริษัทต่าง ๆ ต้องแปลงข้อกำหนดในภาพกว้างและนโยบายภายในให้เป็นมาตรการควบคุมการทำงานและการตัดสินใจแต่ละครั้งของ AI ไม่มีกรอบกฎระเบียบใดคาดการณ์การใช้งาน บริบท หรือการแลกเปลี่ยนระหว่างทางเลือกได้ทุกกรณี ดังนั้น องค์กรจึงต้องวางแนวทางเชื่อมโยงตั้งแต่ข้อกำหนดที่ใช้กำกับและนโยบายภายใน ไปจนถึงพฤติกรรมของระบบ ผลลัพธ์ที่วัดได้ และการตรวจสอบหรือทบทวนกรอบการบริหารความเสี่ยงด้าน AI ของ NIST มีแนวคิดในทำนองเดียวกัน โดยเน้นการวัดผลและการบริหารจัดการอย่างต่อเนื่อง แทนที่จะมองธรรมาภิบาลเป็นเพียงกิจกรรมการปฏิบัติตามข้อกำหนดที่แยกเป็นเอกเทศ ข้อกำหนดถูกส่งต่อจากระดับบนลงสู่ระดับปฏิบัติ ส่วนหลักฐานก็ไหลย้อนกลับขึ้นไป หน่วยงานกำกับดูแลและผู้บริหารอาจกำหนดผลลัพธ์ที่ต้องการ แต่ถึงอย่างนั้น องค์กรก็ต้องแสดงให้เห็นว่าระบบของตนสร้างผลลัพธ์เหล่านั้นได้จริงหรือไม่

เรื่องนี้ทำให้องค์กรที่นำระบบเหล่านี้ไปใช้ต้องรับผิดชอบในทางปฏิบัติด้านธรรมาภิบาล AI เป็นส่วนใหญ่

ธรรมาภิบาลทำได้ยากในขั้นนำไปใช้จริง

โดยทั่วไป กฎระเบียบและกรอบธรรมาภิบาลจะกำหนดหลักการ ข้อผูกพัน และผลลัพธ์ที่ต้องการ อย่างไรก็ตาม ระบบที่ใช้งานจริงต้องแปลงสิ่งเหล่านั้นให้เป็นการตัดสินใจแต่ละครั้ง และการแปลงนี้เองที่ทำให้ธรรมาภิบาลเป็นเรื่องยาก นโยบายอาจระบุให้ป้องกันการเลือกปฏิบัติ คุ้มครองผู้ใช้ สร้างความโปร่งใส หรือเปิดโอกาสให้มีการทบทวนโดยมนุษย์อย่างมีความหมาย แต่ระบบที่ทำงานจริงต้องตอบคำถามที่เฉพาะเจาะจงกว่านั้นมาก เช่น ระบบจะดำเนินการเมื่อถึงเกณฑ์ใด โดยอาศัยหลักฐานอะไรและมีความเชื่อมั่นระดับใด กรณีใดต้องให้มนุษย์ตรวจทาน ต้องบันทึกข้อมูลอะไรไว้ และจะทำอย่างไรเมื่อระบบไม่แน่ใจ

หน่วยงานกำกับดูแลคาดหวังคำตอบเหล่านั้นอยู่แล้ว FTC, DOJ, CFPB และ EEOCกล่าวร่วมกันว่าจะใช้อำนาจตามกฎหมายที่มีอยู่กำกับดูแลระบบอัตโนมัติ ซึ่งหมายความว่าในที่สุดจะมีผู้ขอให้บริษัทอธิบายว่าระบบของตนใช้หลักเกณฑ์ใดในการตัดสินใจ

ลองพิจารณาแพลตฟอร์มที่มีนโยบายชัดเจนในการต่อต้านการคุกคาม ข้อความที่มีคำหยาบคายอาจเป็นเพียงการหยอกล้ออย่างไม่มีพิษภัยระหว่างเพื่อน ขณะที่ข้อความซึ่งดูไม่มีอะไรเป็นพิเศษอาจเป็นส่วนหนึ่งของการมุ่งโจมตีผู้ใช้รายอื่นอย่างต่อเนื่อง ระบบต้องพิจารณาว่าจะใช้บริบทใดได้อย่างน่าเชื่อถือ ต้องมีหลักฐานมากเพียงใดจึงจะแทรกแซง และควรใช้มาตรการใด เช่น บล็อกข้อความ เตือนผู้ส่ง ส่งเรื่องให้มนุษย์ตรวจทาน หรือไม่ดำเนินการใด ๆ การลดเกณฑ์การตรวจจับอาจช่วยให้พบพฤติกรรมที่เป็นอันตรายได้มากขึ้น แต่ก็อาจปิดกั้นการสนทนาที่ชอบธรรมด้วย การกำหนดให้มนุษย์ตรวจทานอาจช่วยให้ตัดสินได้ดีขึ้น แต่ก็อาจทำให้การแทรกแซงล่าช้า ไม่มีการตัดสินใจข้อใดระบุไว้ในนโยบายทั่วไปที่ห้ามการคุกคาม แต่เมื่อนำมาพิจารณาร่วมกัน การตัดสินใจเหล่านี้เป็นตัวกำหนดว่านโยบายนั้นจะถูกบังคับใช้อย่างไรในทางปฏิบัติ

ไม่มีเอกสารนโยบายใดตัดสินใจเลือกทางแลกเปลี่ยนเหล่านี้ไว้ล่วงหน้า ดังนั้นใครบางคนภายในบริษัทจึงต้องตัดสินใจ บันทึกการตัดสินใจ และกลับมาทบทวนอีกครั้ง บุคคลนั้นจึงกำลังเขียนนโยบายอยู่โดยเนื้อแท้ ไม่ว่าผังองค์กรจะระบุบทบาทไว้เช่นนั้นหรือไม่ก็ตาม

สิ่งที่ AI อย่างมีความรับผิดชอบต้องมีจริง ๆ

หากผู้ที่นำระบบไปใช้เป็นผู้กำหนดนโยบายอยู่โดยเนื้อแท้ ก็ไม่อาจมอง AI อย่างมีความรับผิดชอบเป็นเพียงถ้อยแถลงเจตนารมณ์ได้ เพราะหลักการดังกล่าวต้องสะท้อนให้เห็นจากพฤติกรรมของระบบในทุก ๆ วัน นั่นหมายถึงการบริหารจัดการวิธีใช้ การวัดผล และการแก้ไข AI อย่างต่อเนื่อง ไม่ใช่เพียงอนุมัตินโยบายหรือผ่านการประเมินครั้งแรกเท่านั้น ในทางปฏิบัติมีแนวคิดสำคัญอยู่สามประการ ซึ่งแต่ละข้อเป็นผลสืบเนื่องจากการแลกเปลี่ยนระหว่างทางเลือกที่กล่าวถึงข้างต้น

• ระดับธรรมาภิบาลควรได้สัดส่วนกับผลกระทบ ระบบ AI ที่แนะนำข้อความโฆษณา อนุมัติสินเชื่อ แจ้งเตือนภัยคุกคามด้านความปลอดภัย หรือช่วยประกอบการตัดสินใจทางการแพทย์ ล้วนก่อให้เกิดความเสี่ยงที่แตกต่างกันอย่างมาก องค์กรต้องพิจารณาว่ากรณีใดควรมีมาตรการควบคุม การตรวจทาน และการกำกับดูแลที่เข้มงวดขึ้น โดยพิจารณาจากผลกระทบที่อาจเกิดขึ้น
• ความแม่นยำเพียงอย่างเดียวยังไม่เพียงพอ ข้อผิดพลาดแต่ละประเภทก่อให้เกิดต้นทุนแตกต่างกัน การจำแนกผิดว่าเนื้อหาเป็นปัญหาในการกลั่นกรองอาจปิดกั้นการแสดงความคิดเห็นที่ชอบธรรม ขณะที่ความผิดพลาดในการให้สินเชื่อ การดูแลสุขภาพ หรือความปลอดภัยอาจส่งผลร้ายแรงกว่ามาก ธรรมาภิบาลต้องคำนึงถึงผลกระทบที่การตัดสินใจมีต่อโลกจริง ไม่ใช่ดูเพียงประสิทธิภาพของโมเดล
• การประเมินและการรับฟังข้อเสนอแนะอย่างต่อเนื่องเป็นสิ่งจำเป็น การยกเลิกหรือแก้ไขผลการตัดสินใจ การอุทธรณ์ เหตุการณ์ที่เกิดขึ้นจริง กรณีชายขอบ และผลลัพธ์ที่ตามมา ล้วนควรถูกนำมาใช้ในการประเมินอย่างต่อเนื่อง

กรอบแนวทางเชิงปฏิบัติสำหรับการกำกับดูแล AI ภายในองค์กร

การนำหลักการเหล่านี้ไปปฏิบัติจำเป็นต้องฝังการกำกับดูแลไว้ในกระบวนการออกแบบ ติดตั้งใช้งาน และจัดการระบบ AI โดยมีแนวปฏิบัติสำคัญอยู่ 4 ข้อ ได้แก่

• กำหนดข้อกำหนดด้านการกำกับดูแลให้เป็นข้อกำหนดของผลิตภัณฑ์และระบบตั้งแต่เริ่มต้น การเพิ่มมาตรการควบคุมการปฏิบัติตามข้อกำหนดหลังติดตั้งใช้งานแล้วมักมีต้นทุนสูงและปรับเปลี่ยนได้ยาก การออกแบบระบบให้คำนึงถึงความเป็นส่วนตัว ความโปร่งใส ความสามารถในการตรวจสอบ และกลไกการทบทวนตั้งแต่ต้นทำได้ง่ายกว่าการปรับระบบที่มีอยู่แล้วในภายหลังมาก
• สร้างเส้นทางที่ตรวจสอบได้ตั้งแต่นโยบายไปจนถึงการตัดสินใจ องค์กรควรเชื่อมโยงข้อกำหนดที่ใช้กำกับดูแลหรือนโยบายภายในองค์กรเข้ากับมาตรการควบคุมที่นำมาใช้และการตัดสินใจที่เกิดขึ้นได้ และยังต้องมีหลักฐานที่จำเป็นสำหรับการประเมินการตัดสินใจนั้นด้วย
• กำหนดผู้รับผิดชอบและความรับผิดรับชอบให้ชัดเจน ระบุว่าใครเป็นเจ้าของนโยบาย ใครเป็นผู้กำหนดระดับความเสี่ยงที่ยอมรับได้ และใครเป็นผู้ติดตามผลการดำเนินงาน นอกจากนี้ ควรมีผู้ที่มีอำนาจเข้าแทรกแซงเมื่อระบบทำงานนอกเหนือขอบเขตที่กำหนดไว้
• สร้างโครงสร้างพื้นฐานด้านการกำกับดูแลที่ใช้ร่วมกันและปรับเปลี่ยนได้ มาตรการควบคุมข้อมูล บันทึกการตรวจสอบ นโยบายที่กำหนดค่าได้ ขั้นตอนการทบทวน และการวัดผล ควรรองรับข้อกำหนดด้านกฎระเบียบและกรณีการใช้งานที่หลากหลาย มาตรการควบคุมและเกณฑ์ต่าง ๆ ควรปรับให้เหมาะกับเขตอำนาจศาล แอปพลิเคชัน และระดับความเสี่ยงได้ เพื่อให้องค์กรตอบสนองต่อข้อกำหนดที่เปลี่ยนแปลงไปโดยไม่ต้องสร้างระบบขึ้นใหม่

การกำกับดูแลต้องใช้ได้จริงในทางปฏิบัติ

กฎระเบียบอาจกำหนดข้อผูกพันและหลักการได้ แต่บริษัทก็ยังต้องแปลงสิ่งเหล่านั้นให้เป็นระบบที่ตัดสินใจจริงในวงกว้างได้ ดังนั้น การกำกับดูแลภายในองค์กรจึงเป็นความรับผิดชอบในการดำเนินงาน ไม่ใช่เพียงการทำตามข้อกำหนด ทุกบริษัทที่นำ AI ไปใช้งานในวงกว้างกำลังกำหนดนโยบายผ่านเกณฑ์ที่ตั้งไว้ กฎการทบทวน และแนวทางการส่งต่อเรื่องไปยังผู้มีอำนาจอยู่แล้ว คำถามเดียวที่ยังเปิดอยู่คือ บริษัททำสิ่งเหล่านี้อย่างตั้งใจหรือไม่

หน่วยงานกำกับดูแลจะยังคงกำหนดผลลัพธ์ที่ต้องการต่อไป และหน่วยงานเหล่านั้นอาจเห็นไม่ตรงกันเสมอไป บริษัทจึงต้องตัดสินใจว่าจะเปลี่ยนความคาดหวังเหล่านั้นให้เป็นมาตรการควบคุมอย่างไร แล้วแสดงหลักฐานว่ามาตรการดังกล่าวได้ผล บริษัทที่สร้างความชัดเจนเรื่องผู้รับผิดชอบ มาตรการควบคุมที่วัดผลได้ ความสามารถในการตรวจสอบ และโครงสร้างพื้นฐานที่ปรับเปลี่ยนได้ตั้งแต่ตอนนี้ จะอยู่ในจุดที่พร้อมรับมือกับกฎระเบียบที่เปลี่ยนแปลงต่อไปได้ดีกว่า

ฉันเคยเห็นปัญหานี้จากหลายมุม ทั้งในสภาพแวดล้อมด้านความมั่นคงปลอดภัยไซเบอร์ การสร้างแบบจำลองความเสี่ยง และตอนนี้ในฐานะผู้ปฏิบัติงานระบบ AI ในวงกว้าง บทเรียนจากทุกด้านคล้ายกัน คือกรอบแนวทางจะใช้ได้ผลก็ต่อเมื่อแปลงเป็นการตัดสินใจที่ชัดเจน วัดผลได้ในทางปฏิบัติ และปรับปรุงได้เมื่อสถานการณ์จริงเผยให้เห็นช่องว่าง