สิ่งที่คณะกรรมการควรเรียกร้องจาก AI: การประเมิน การตรวจสอบ และการให้ความเชื่อมั่น

โดย Erika Fille T. Legara

ในบทความBusinessWorldฉบับก่อนหน้า ผมได้โต้แย้งว่าการกำกับดูแล AI มีขอบเขตกว้างกว่าการดูแลโครงการเทคโนโลยีเพียงไม่กี่โครงการ และปัจจุบันครอบคลุมถึงการรับรองว่าการตัดสินใจที่ขับเคลื่อนด้วย AI ทั่วทั้งองค์กรยังคงสอดคล้องกับกลยุทธ์ ความเต็มใจรับความเสี่ยง และมาตรฐานทางจริยธรรม คำถามตามมาตามธรรมชาติสำหรับคณะกรรมการคือ: นอกเหนือจากการกำหนดความคาดหวังแล้ว องค์กรจะตรวจสอบได้อย่างไรว่าระบบ AI ของตนทำงานตามที่ตั้งใจไว้จริง ๆ อย่างมีความรับผิดชอบ และอยู่ในขอบเขตที่กำหนดไว้

คำตอบอยู่ที่สามสาขาวิชาที่เกี่ยวข้องกันแต่แตกต่างกัน: การประเมินความเสี่ยงของ AI การตรวจสอบ AI และการให้ความเชื่อมั่นด้าน AI คณะกรรมการที่คุ้นเคยกับการกำกับดูแลด้านการเงินจะพบว่าตรรกะนี้เข้าใจง่าย ความท้าทายและโอกาสอยู่ที่การนำวินัยเดียวกันนี้ไปใช้กับ AI

3 แนวคิดที่แตกต่างแต่เกี่ยวข้องกัน
การระบุความหมายที่ชัดเจนของแต่ละคำจะเป็นประโยชน์ เนื่องจากมักถูกใช้แทนกันได้ทั้งที่ไม่ควรเป็นเช่นนั้น

การประเมินความเสี่ยงของ AI คือกระบวนการภายในที่องค์กรระบุ ประเมิน และจัดลำดับความสำคัญของความเสี่ยงที่เกี่ยวข้องกับระบบ AI มันตั้งคำถามว่าอะไรอาจผิดพลาดได้ มีความเป็นไปได้แค่ไหน และผลกระทบจะเป็นอย่างไร นี่คือรากฐานที่ทุกสิ่งทุกอย่างวางอยู่ หากไม่มีการประเมินความเสี่ยงที่น่าเชื่อถือ ทั้งการตรวจสอบและการให้ความเชื่อมั่นก็ไม่มีพื้นฐานที่มีความหมายให้ทำงาน ระบบ AI ที่สำคัญมีอยู่ในทุกภาคส่วน: โมเดลการให้คะแนนสินเชื่อในธนาคาร เครื่องมือคัดกรองผู้ป่วยในโรงพยาบาล เครื่องมือทำนายผลการเรียนของนักเรียนในมหาวิทยาลัย ระบบจัดลำดับความสำคัญของคดีในหน่วยงานราชการ สิ่งที่พวกเขามีร่วมกันคือผลที่ตามมา ซึ่งรวมถึงผลลัพธ์ที่ส่งผลกระทบต่อผู้คนจริงในทางที่มีความหมาย

สำหรับระบบดังกล่าว การประเมินความเสี่ยงควรเป็นระบบ มีเอกสารบันทึก และทบทวนอย่างสม่ำเสมอเมื่อโมเดลมีการพัฒนาและสภาพแวดล้อมการดำเนินงานเปลี่ยนแปลง

การตรวจสอบ AI คือการตรวจสอบอย่างอิสระว่าระบบ AI หรือกรอบการกำกับดูแลที่อยู่รอบ ๆ สอดคล้องกับมาตรฐาน นโยบาย หรือข้อกำหนดที่กำหนดไว้หรือไม่ เป็นกระบวนการที่อิงตามหลักฐานที่ดำเนินการโดยฝ่ายที่มีความเป็นอิสระอย่างเพียงพอจากผู้รับผิดชอบระบบที่อยู่ระหว่างการตรวจสอบ การตรวจสอบ AI อาจประเมินว่าแนวปฏิบัติในการจัดการ AI ขององค์กรสอดคล้องกับมาตรฐานที่ได้รับการยอมรับในระดับสากล เช่น ISO/IEC 42001 ซึ่งเป็นมาตรฐานระบบการจัดการ AI ฉบับแรกของโลกที่เผยแพร่ในปี 2023 หรือว่าโมเดลเฉพาะทำงานภายในพารามิเตอร์ที่ได้รับอนุมัติและปราศจากอคติที่ไม่ได้ตั้งใจหรือไม่ ที่สำคัญ มาตรฐานที่กำกับดูแลผู้ตรวจสอบเอง ISO/IEC 42006 ซึ่งเผยแพร่ในเดือนกรกฎาคม 2025 กำหนดความสามารถและความเข้มงวดที่จำเป็นของหน่วยงานที่ตรวจสอบและรับรองระบบการจัดการ AI อาชีพการตรวจสอบ พูดอีกนัยหนึ่ง กำลังเริ่มทำให้ความรับผิดชอบของตัวเองต่อการมีส่วนร่วมกับ AI เป็นทางการ

การให้ความเชื่อมั่นด้าน AI คือข้อสนับสนุนอย่างเป็นทางการที่มุ่งหน้าต่อผู้มีส่วนได้ส่วนเสียที่เกิดขึ้นจากกระบวนการตรวจสอบนั้น เป็นความเห็นของผู้เชี่ยวชาญที่ออกโดยฝ่ายที่มีคุณสมบัติเหมาะสมและเป็นอิสระ ซึ่งให้ความเชื่อมั่นแก่คณะกรรมการ หน่วยงานกำกับดูแล นักลงทุน และสาธารณชนว่าระบบ AI หรือกรอบการจัดการ AI เป็นไปตามมาตรฐานที่กำหนดไว้ การให้ความเชื่อมั่นคือสิ่งที่เปลี่ยนการตรวจสอบภายในให้เป็นสัญญาณภายนอกที่น่าเชื่อถือ

รากฐานของการให้ความเชื่อมั่นด้าน AI
แนวคิดเรื่องการให้ความเชื่อมั่นอย่างอิสระไม่ใช่เรื่องใหม่สำหรับคณะกรรมการ ทุกปี ผู้ตรวจสอบภายนอกตรวจสอบงบการเงินขององค์กรและออกความเห็น ข้อสรุปที่มีรากฐานจากหลักฐาน ดำเนินการภายใต้มาตรฐานที่ได้รับการยอมรับในระดับสากล และได้รับการสนับสนุนโดยความเป็นอิสระทางวิชาชีพของผู้ตรวจสอบ ความเห็นนั้นมีน้ำหนักเพราะกรอบที่กำกับดูแลเข้มงวดและมีการจัดตั้งอย่างดี ตรรกะนี้ใช้ได้ไม่ว่าอุตสาหกรรมใด ไม่ว่าองค์กรจะเป็นธนาคาร โรงพยาบาล กลุ่มบริษัท หรือสถาบันภาครัฐ การตรวจสอบทางการเงินเป็นกลไกที่คุ้นเคยและเชื่อถือได้

ตรรกะเดียวกันนี้ใช้กับ AI ในตอนนี้ เมื่อองค์กรแสดงการอ้างสิทธิ์ต่อสาธารณะหรือหน่วยงานกำกับดูแลเกี่ยวกับระบบ AI ของตน ว่าพวกเขายุติธรรม โปร่งใส สอดคล้องกับมาตรฐานที่กำหนดไว้ หรือปราศจากอคติที่สำคัญ คำถามคือ: ใครเป็นผู้ตรวจสอบการอ้างสิทธิ์นั้นอย่างอิสระ และภายใต้กรอบวิชาชีพใด

คำตอบสำหรับอาชีพบัญชีและการตรวจสอบคือ ISAE 3000 ซึ่งเป็นมาตรฐานสากลว่าด้วยงานให้ความเชื่อมั่นที่ออกโดยคณะกรรมการมาตรฐานการตรวจสอบและการให้ความเชื่อมั่นระหว่างประเทศ (IAASB) ISAE 3000 กำกับดูแลงานให้ความเชื่อมั่นในเรื่องอื่นนอกเหนือจากข้อมูลทางการเงินในอดีต ทำให้เป็นที่ตั้งตามธรรมชาติสำหรับการให้ความเชื่อมั่นด้าน AI ภายใต้มาตรฐานนี้ ผู้เชี่ยวชาญสามารถดำเนินการให้ความเชื่อมั่นในระดับสมเหตุสมผล ซึ่งเป็นมาตรฐานที่สูงกว่าที่คล้ายกับการตรวจสอบทางการเงิน หรืองานให้ความเชื่อมั่นในระดับจำกัด ซึ่งใกล้เคียงกับการทบทวนในแง่ความลึก การเลือกระดับมีความสำคัญและควรมีเจตนา ปรับให้เหมาะกับความสำคัญและความเสี่ยงของระบบ AI ที่เป็นประเด็น

ตัวอย่างร่วมสมัยที่ใกล้เคียงคือการให้ความเชื่อมั่นด้านความยั่งยืนหรือ ESG บริษัทจดทะเบียนในฟิลิปปินส์หลายแห่งกำลังว่าจ้างให้มีการให้ความเชื่อมั่นอย่างอิสระในการเปิดเผยข้อมูลด้านความยั่งยืนของพวกเขา มักอยู่ภายใต้ ISAE 3000 กลไกเหมือนกันทุกประการ: ผู้ปฏิบัติงานที่เป็นอิสระตรวจสอบชุดของการอ้างสิทธิ์เทียบกับเกณฑ์ที่กำหนดไว้และออกข้อสรุปอย่างเป็นทางการ เรื่องที่ตรวจสอบแตกต่างกัน แต่วินัยทางวิชาชีพไม่ต่างกัน

ความหมายสำหรับคณะกรรมการ
ผลกระทบเชิงปฏิบัติสามประการเกิดขึ้นจากกรอบนี้

ประการแรก คณะกรรมการควรถามว่าองค์กรของตนได้ดำเนินการประเมินความเสี่ยงของ AI อย่างเข้มงวดในระบบที่สำคัญหรือไม่ ไม่ใช่การดำเนินการครั้งเดียว แต่เป็นกระบวนการที่มีชีวิตที่ได้รับการอัปเดตเมื่อโมเดลได้รับการฝึกอบรมใหม่ กรณีการใช้งานขยายตัว และสภาพแวดล้อมด้านกฎระเบียบเปลี่ยนแปลง คุณภาพของงานตรวจสอบและให้ความเชื่อมั่นในภายหลังดีเพียงใดขึ้นอยู่กับการประเมินความเสี่ยงที่มาก่อนหน้า

ประการที่สอง คณะกรรมการควรแยกแยะระหว่างการตรวจสอบ AI ภายในและภายนอก หน่วยงานตรวจสอบภายในมีบทบาทสำคัญในการให้ความเชื่อมั่นว่าการควบคุม AI ทำงานตามที่ออกแบบไว้ อย่างไรก็ตาม คณะกรรมการควรพิจารณาด้วยว่าการตรวจสอบระบบ AI ที่สำคัญโดยบุคคลที่สามที่เป็นอิสระมีความจำเป็นหรือไม่ โดยเฉพาะอย่างยิ่งสำหรับระบบที่ส่งผลกระทบต่อลูกค้า พนักงาน หรือสาธารณชนในทางที่สำคัญ เช่นเดียวกับการตรวจสอบทางการเงิน ความเป็นอิสระเสริมสร้างความน่าเชื่อถือ

ประการที่สาม เมื่อองค์กรทำข้อผูกพันต่อสาธารณะมากขึ้นเกี่ยวกับแนวปฏิบัติ AI ของตนต่อหน่วยงานกำกับดูแล นักลงทุน และชุมชนที่พวกเขาให้บริการ คณะกรรมการควรถามว่าข้อผูกพันเหล่านั้นได้รับการสนับสนุนโดยการให้ความเชื่อมั่นที่น่าเชื่อถือหรือไม่ การยืนยันโดยไม่มีการตรวจสอบอย่างอิสระเป็นความเสี่ยงต่อชื่อเสียงที่รอการเกิดขึ้นในกรณีที่ดีที่สุด

อาชีพที่ยังคงสร้างความสามารถ
การนำเสนอภูมิทัศน์นี้โดยไม่ยอมรับข้อจำกัดในปัจจุบันจะไม่สมบูรณ์ โครงสร้างพื้นฐานสำหรับการให้ความเชื่อมั่นด้าน AI ยังคงอยู่ระหว่างการสร้าง มาตรฐานวิชาชีพกำลังเกิดขึ้น ความสามารถของผู้ตรวจสอบใน AI ที่ครอบคลุมการเรียนรู้ของเครื่อง อคติของอัลกอริทึม การกำกับดูแลข้อมูล และความโปร่งใสของโมเดล ยังไม่ได้รับการพัฒนาอย่างสม่ำเสมอทั่วทั้งวิชาชีพ ISAE 3000 ให้กรอบการให้ความเชื่อมั่น แต่วิธีการเฉพาะด้าน AI ที่อยู่ภายในยังคงเติบโต

สำหรับองค์กรที่ยังไม่พร้อมที่จะดำเนินการให้ความเชื่อมั่นอย่างเป็นทางการ นี่ไม่ใช่เหตุผลที่จะหยุดนิ่ง การประเมินอย่างมีโครงสร้างและสม่ำเสมอของระบบ AI ที่สำคัญเป็นขั้นตอนแรกที่มีความหมายและปฏิบัติได้ มันสร้างวินัย เอกสาร และนิสัยการกำกับดูแลภายในที่ความพร้อมในการให้ความเชื่อมั่นต้องการในที่สุด คณะกรรมการที่ว่าจ้างให้มีการประเมินดังกล่าวในวันนี้ แม้แต่อย่างไม่เป็นทางการ กำลังพัฒนากล้ามเนื้อสถาบันที่จะมีความสำคัญเมื่อความคาดหวังด้านกฎระเบียบเข้มงวดขึ้นและการตรวจสอบของผู้มีส่วนได้ส่วนเสียเข้มข้นขึ้น

มุมมองนี้เป็นสิ่งที่ผมได้สำรวจอย่างลึกซึ้งยิ่งขึ้นในงานวิจัยที่ผมกำลังพัฒนากับเพื่อนร่วมงานที่ตรวจสอบการกำกับดูแล AI เชิงสร้างสรรค์ในเศรษฐกิจที่กฎระเบียบยังไม่ทันเทคโนโลยี ข้อโต้แย้งหลักคือบริษัทเป็นตัวแทนทางศีลธรรมอยู่แล้วพร้อมภาระผูกพันทางจริยธรรมที่มีอยู่ต่อผู้มีส่วนได้ส่วนเสีย การรอกฎหมาย AI ที่เหมาะสมไม่จำเป็นและไม่เพียงพอสำหรับการกำกับดูแลที่มีความรับผิดชอบ ภาระผูกพันในการดำเนินการมีอยู่แล้ว สิ่งที่จำเป็นคือเจตจำนงขององค์กรในการนำไปปฏิบัติ

นี่ไม่ใช่เหตุผลสำหรับคณะกรรมการที่จะรอวาระที่กว้างขึ้น นี่เป็นเหตุผลที่จะตั้งคำถามที่มีข้อมูลในตอนนี้ ต่อผู้ตรวจสอบภายนอก หน่วยงานตรวจสอบภายใน และทีมบริหารของพวกเขา เพื่อให้เมื่อความสามารถของวิชาชีพตามทันความต้องการ องค์กรของพวกเขาพร้อมที่จะมีส่วนร่วมอย่างมีความหมาย

การตรวจสอบทางการเงินไม่ได้เกิดขึ้นอย่างสมบูรณ์ ใช้เวลาหลายทศวรรษของการกำหนดมาตรฐาน การพัฒนาวิชาชีพ และบทเรียนอันหนักหน่วงจากความล้มเหลวของบริษัทเพื่อให้การตรวจสอบอย่างอิสระกลายเป็นสถาบันที่น่าเชื่อถือในปัจจุบัน การให้ความเชื่อมั่นด้าน AI อยู่ที่จุดเปลี่ยนที่เริ่มต้นเทียบเคียงได้ คณะกรรมการที่มีส่วนร่วมกับมันในตอนนี้ ตั้งคำถามที่คมชัดยิ่งขึ้นต่อผู้ตรวจสอบของพวกเขา เรียกร้องมากกว่าการยืนยันของฝ่ายบริหาร และสร้างความสามารถภายในก่อนที่หน่วยงานกำกับดูแลจะกำหนดให้พวกเขาทำเช่นนั้น จะไม่เพียงแต่ลดการเปิดเผยของตนเองเท่านั้น พวกเขาจะช่วยกำหนดรูปแบบของความรับผิดชอบ AI ที่มีความรับผิดชอบสำหรับองค์กรฟิลิปปินส์และภูมิภาคที่กว้างขึ้น

Erika Fille T. Legara เป็นนักฟิสิกส์ นักการศึกษา และผู้ปฏิบัติงานด้านวิทยาศาสตร์ข้อมูลและ AI ที่ทำงานข้ามภาครัฐ สถาบันการศึกษา และอุตสาหกรรม เธอเป็นกรรมการผู้จัดการคนแรกและเจ้าหน้าที่ AI และข้อมูลหลักของศูนย์การศึกษาเพื่อการวิจัย AI และเป็นรองศาสตราจารย์และที่นั่ง Aboitiz ในวิทยาศาสตร์ข้อมูลที่สถาบันการจัดการเอเชีย ซึ่งเธอก่อตั้งและนำหลักสูตร MSc ในวิทยาศาสตร์ข้อมูลแห่งแรกของประเทศตั้งแต่ปี 2017 ถึง 2024 เธอดำรงตำแหน่งในคณะกรรมการบริษัท เป็นเฟลโลว์ของสถาบันกรรมการบริษัท เป็นผู้เชี่ยวชาญด้านการกำกับดูแล AI ที่ได้รับการรับรองจาก IAPP และเป็นผู้ร่วมก่อตั้ง CorteX Innovations