AI Agent ควรตัดสินใจเองได้แค่ไหน และเมื่อใดต้องขออนุมัติ
ลองนึกถึง AI Agent ที่ช่วยฝ่ายจัดซื้อ ระบบค้นผู้ขาย เปรียบเทียบราคา ร่างใบสั่งซื้อ และอาจกดสั่งซื้อได้เอง ประโยชน์คือประหยัดเวลาทำงานหลายขั้นตอน แต่เมื่อ Agent เปลี่ยนจาก “เสนอ” เป็น “ลงมือทำ” คำถามเรื่องอำนาจและความรับผิดชอบก็เปลี่ยนไปทันที
AI Agent ต่างจากแชตบอตอย่างไร
AI Agent ในบทความนี้หมายถึงระบบ AI ที่สามารถทำงานต่อเนื่องตามเป้าหมายและเรียกใช้เครื่องมือภายนอก เช่น ฐานข้อมูล อีเมล หรือระบบจัดซื้อได้ ความสามารถดังกล่าวไม่ใช่สิทธิในการกระทำทุกอย่างที่เครื่องมือเปิดให้ใช้ องค์กรต้องแยกสิ่งที่ระบบทำได้ในเชิงเทคนิคออกจากสิ่งที่ได้รับอนุญาตให้ทำในทางธุรกิจ
แบ่งอำนาจเป็นช่วง
ในตัวอย่างฝ่ายจัดซื้อ องค์กรอาจให้ Agent อ่านราคาและจัดทำตารางเปรียบเทียบได้ ให้ร่างคำสั่งซื้อได้แต่ยังไม่ส่ง และให้ดำเนินการซื้อจริงได้เฉพาะเมื่อผ่านเงื่อนไขหรืออำนาจอนุมัติที่กำหนดล่วงหน้า ธุรกรรมมูลค่าต่ำอาจใช้การอนุมัติอัตโนมัติภายใต้เพดานที่ชัดเจน ส่วนธุรกรรมมูลค่าสูงหรือมีความเสี่ยงควรส่งให้ผู้มีอำนาจตัดสินใจ
อนุมัติการกระทำ ไม่ใช่อนุมัติแบบกว้าง ๆ
ผู้อนุมัติควรเห็นรายการสินค้า จำนวน ราคา ผู้ขาย ผู้รับเงิน และผลกระทบที่คาดหมาย หาก Agent เปลี่ยนผู้ขาย จำนวน หรือบัญชีรับเงินหลังได้รับอนุมัติ ไม่ควรใช้การอนุมัติเดิมต่อไปโดยอัตโนมัติ ระบบต้องตรวจสิทธิอีกครั้งก่อนลงมือทำและเก็บหลักฐานว่าทำอะไรจริง
ระวังคำสั่งแฝงในข้อมูลภายนอก
Agent อาจอ่านอีเมลหรือเว็บไซต์ที่มีข้อความพยายามสั่งให้ระบบทำสิ่งนอกเหนือภารกิจ เรียกว่า prompt injection หรือการแทรกคำสั่งผ่านข้อมูลที่ระบบอ่าน การมีมนุษย์ตรวจตอนท้ายเพียงอย่างเดียวอาจไม่เพียงพอ ต้องจำกัดสิทธิของเครื่องมือ แยกข้อมูลภายนอกจากคำสั่งที่เชื่อถือได้ และควบคุมการส่งข้อมูลออกด้วย
ใช้ความเสี่ยงเป็นตัวกำหนดจุดอนุมัติ
งานที่ย้อนกลับได้ง่ายและกระทบต่ำอาจให้ทำอัตโนมัติมากกว่า งานที่เปลี่ยนข้อมูลสำคัญ ผูกพันสัญญา หรือกระทบสิทธิของบุคคลควรมีมาตรการเข้มขึ้น กรอบ NIST AI RMF ช่วยให้องค์กรพิจารณาความเสี่ยงตามบริบท ส่วนมาตรา 14 ของกฎหมาย AI สหภาพยุโรปเป็นตัวอย่างข้อกำหนดด้าน Human Oversight สำหรับระบบ AI ความเสี่ยงสูงที่อยู่ในขอบเขตกฎหมาย ไม่ใช่ข้อบังคับทั่วไปของ AI Agent ทุกระบบในประเทศไทย
บทสรุป
AI Agent ควรได้รับอำนาจเท่าที่จำเป็นต่อภารกิจ พร้อมเงื่อนไขหยุด ขออนุมัติ และตรวจสอบย้อนหลังที่สอดคล้องกับผลกระทบจริง
เอกสารอ้างอิงและอ่านเพิ่มเติม
National Institute of Standards and Technology (2023). Artificial Intelligence Risk Management Framework (AI RMF 1.0). https://doi.org/10.6028/NIST.AI.100-1
Vaccaro, M., Almaatouq, A., & Malone, T. (2024). When combinations of humans and AI are useful: A systematic review and meta-analysis. Nature Human Behaviour, 8, 2293–2303. https://doi.org/10.1038/s41562-024-02024-1
European Union (2024). Regulation (EU) 2024/1689, Article 14: Human oversight. https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-14
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (สำหรับประเด็นข้อมูลส่วนบุคคลในตอนที่ 5). https://www.ratchakitcha.soc.go.th/DATA/PDF/2562/A/069/T_0052.PDF
หมายเหตุบรรณาธิการ: ตัวอย่างทั้งหมดเป็นสถานการณ์สมมติเพื่ออธิบายแนวคิด ไม่ใช่กรณีศึกษาจากงานวิจัย การอ้างกฎหมายสหภาพยุโรปเป็นการเปรียบเทียบและต้องพิจารณาขอบเขตการบังคับใช้ตามข้อเท็จจริง