การกำกับดูแลและเป้าหมายด้านความมั่นคงปลอดภัยสารสนเทศและไซเบอร์

การกำกับดูแลด้าน AI และ AI ที่มีความรับผิดชอบ (AI Governance and Responsible AI)

เนื่องจากบริษัทฯ ได้เร่งการนำปัญญาประดิษฐ์ (AI) และ Generative AI มาประยุกต์ใช้ในการดำเนินธุรกิจอย่างกว้างขวางมากขึ้น ตั้งแต่การวิเคราะห์ข้อมูลและการเพิ่มประสิทธิภาพกระบวนการผลิต ไปจนถึงการสร้างเนื้อหาและการมีส่วนร่วมกับลูกค้า เทคโนโลยีเหล่านี้นอกจากจะสร้างประโยชน์แล้ว ยังนำมาซึ่งความเสี่ยงรูปแบบใหม่ควบคู่กันไป ได้แก่ ความเสี่ยงด้านความเป็นส่วนตัวของข้อมูล อคติในอัลกอริทึม (Algorithmic Bias) ข้อมูลบิดเบือน (Misinformation) และต้นทุนด้านสิ่งแวดล้อมจากโครงสร้างพื้นฐานด้านการประมวลผล หากไม่มีการบริหารจัดการที่เหมาะสม ความเสี่ยงเหล่านี้อาจส่งผลกระทบต่อความปลอดภัยของข้อมูล ชื่อเสียงทางธุรกิจ การปฏิบัติตามกฎระเบียบ และความเชื่อมั่นของผู้มีส่วนได้เสีย

เพื่อให้สามารถรับประโยชน์จาก AI ได้อย่างมีความรับผิดชอบ บริษัทฯ ได้จัดทำนโยบายด้าน AI (AI Policy) พร้อมแนวปฏิบัติในการใช้งานที่เกี่ยวข้อง ซึ่งกำหนดหลักการที่ชัดเจน ขอบเขตที่แน่นอน และกระบวนการอนุมัติที่เป็นระบบสำหรับการใช้งานและการพัฒนา AI ทั่วทั้งองค์กร พร้อมทั้งเสริมสร้างศักยภาพของพนักงานให้สามารถใช้เครื่องมือเหล่านี้ได้อย่างปลอดภัยและมีจริยธรรม

บริษัทฯ ได้กำหนดขอบเขตที่ชัดเจนสำหรับการใช้งาน AI เพื่อให้มั่นใจว่าการนำ AI มาใช้เป็นไปอย่างมีความรับผิดชอบ มีจริยธรรม และสอดคล้องกับกฎหมายและข้อกำหนดด้านกฎระเบียบที่เกี่ยวข้อง โดย AI มีวัตถุประสงค์เพื่อสนับสนุนการสร้างนวัตกรรม เพิ่มประสิทธิภาพในการดำเนินงาน และสนับสนุนการตัดสินใจทางธุรกิจ ควบคู่ไปกับการรักษาไว้ซึ่งการกำกับดูแลโดยมนุษย์ (Human Oversight) อย่างเหมาะสม ทั้งนี้ AI ต้องไม่ถูกนำไปใช้ในลักษณะที่กระทบต่อความมั่นคงปลอดภัยของข้อมูล ความเป็นส่วนตัว สิทธิในทรัพย์สินทางปัญญา หรือข้อกำหนดทางกฎหมายและจริยธรรมที่เกี่ยวข้อง การใช้งาน AI ที่เกี่ยวข้องกับข้อมูลของบริษัทฯ ในระดับใช้งานภายใน (Internal-use) ข้อมูลลับ (Confidential) หรือข้อมูลลับมาก (Strictly Confidential) รวมถึงข้อมูลที่ต้องได้รับการอนุมัติก่อนเปิดเผย ถือเป็นการใช้งานที่มีข้อจำกัด และต้องปฏิบัติตามนโยบายด้าน AI (AI Policy) ของบริษัทฯ และแนวปฏิบัติที่เกี่ยวข้องอย่างเคร่งครัด โดยพนักงานยังคงต้องรับผิดชอบในการตรวจสอบผลลัพธ์ที่ได้จาก AI และรับผิดชอบต่อการตัดสินใจใด ๆ ที่เกิดจากการใช้ผลลัพธ์ดังกล่าว

กรอบการอนุมัติของบริษัทฯ กำหนดระดับการใช้งานไว้ ดังนี้

• การได้รับอนุญาตโดยไม่ต้องขออนุมัติ: การใช้เครื่องมือ Generative AI ภายในองค์กรหรือที่เปิดให้ใช้งานสาธารณะซึ่งได้รับการอนุมัติแล้ว สำหรับงานทั่วไปที่ไม่เกี่ยวข้องกับข้อมูลใช้งานภายใน (Internal-use) หรือข้อมูลลับของบริษัทฯ เช่น การตอบคำถาม การแปลภาษา การสร้างเนื้อหา และการจัดรูปแบบเอกสาร ทั้งนี้ต้องเป็นไปตามนโยบายด้าน AI (AI Policy) และแนวปฏิบัติที่เกี่ยวข้อง
• การได้รับอนุมัติจากหน่วยงานธุรกิจที่เกี่ยวข้อง: การนำข้อมูลของบริษัทฯ ที่จัดอยู่ในระดับข้อมูลลับ (Confidential) หรือข้อมูลที่ต้องได้รับการอนุมัติก่อนเปิดเผย ไปใช้กับเครื่องมือ Generative AI ภายในองค์กร
• การกำหนดข้อจำกัดในการใช้งาน: การใช้งานผ่านเครื่องมือ Generative AI ภายในองค์กรหรือที่เปิดให้ใช้งานสาธารณะในลักษณะที่เกี่ยวข้องกับเนื้อหาที่ไม่ถูกต้องหรือไม่เหมาะสม หรือข้อมูลลับและข้อมูลที่มีความอ่อนไหว

บริษัทฯ พัฒนาและใช้งาน AI โดยคำนึงถึงความยั่งยืนด้านสิ่งแวดล้อม รวมถึงการใช้อัลกอริทึมที่มีประสิทธิภาพด้านการประมวลผล และการจัดสรรทรัพยากรคลาวด์ตามความต้องการใช้งานจริง (Demand-based Cloud Resource Allocation) เพื่อลดปริมาณการใช้ไฟฟ้าและน้ำจากการประมวลผลของ AI ทั้งนี้ บริษัทฯ อยู่ระหว่างการขยายมาตรฐานความคาดหวังด้านสิ่งแวดล้อมในลักษณะเดียวกันนี้ไปยังบริการและโครงสร้างพื้นฐานด้าน AI ที่จัดหาโดยผู้ให้บริการภายนอก (Third Parties)

แนวปฏิบัติการใช้งาน Generative AI ของบริษัทฯ (Generative AI Usage Guideline) กำหนดให้พนักงานต้องสามารถสังเกตและรายงานเนื้อหาที่สร้างจาก AI ซึ่งมีลักษณะน่าสงสัยว่าถูกใช้เพื่อหลอกลวงหรือปลอมแปลงตัวตนของบุคคลอื่น ไม่ว่าจะเป็นวิดีโอ เสียง หรือข้อความที่ถูกดัดแปลง ทั้งนี้ กรณีการใช้งาน AI ในปัจจุบันของบริษัทฯ มุ่งเน้นสนับสนุนการดำเนินงานทางธุรกิจเท่านั้น และไม่ครอบคลุมการใช้งานในลักษณะที่เกี่ยวข้องกับพฤติกรรมชักจูงหรือบิดเบือน (Manipulative Behavior) การแสวงหาประโยชน์จากช่องโหว่ของบุคคล (Exploitation of Vulnerabilities) ระบบให้คะแนนทางสังคม (Social Scoring) หรือการสอดแนมด้วยข้อมูลชีวมิติโดยไม่ได้รับอนุญาต (Unauthorized Biometric Surveillance)

นโยบายด้าน AI (AI Policy) ของบริษัทฯ ได้รับการอนุมัติจากคณะกรรมการกำกับดูแลงานด้านดิจิทัลและเทคโนโลยีสารสนเทศกลุ่มบริษัทฯ (Digital & IT Steering Committee: DISC) ซึ่งเป็นหน่วยงานกำกับดูแลระดับกลุ่มบริษัทฯ ที่รับผิดชอบดูแลกลยุทธ์ด้านดิจิทัลและเทคโนโลยีสารสนเทศ