สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย (คปภ.) ได้เผยแพร่ "แนวปฏิบัติ เรื่อง การกำกับดูแลการใช้งานปัญญาประดิษฐ์ สำหรับบริษัทประกันภัย (AI Governance Guideline)" เมื่อเดือนพฤศจิกายน พ.ศ. 2568 แนวปฏิบัตินี้เป็นแนวทางบริหารจัดการความเสี่ยงรูปแบบใหม่จากการใช้ AI ซึ่งเพิ่มเติมจากประกาศและแนวปฏิบัติที่ใช้บังคับอยู่ในปัจจุบัน โดยมุ่งให้บริษัทใช้ AI อย่างมีความรับผิดชอบ เป็นธรรม และไม่เป็นอุปสรรคต่อการเข้าถึงการประกันภัยของประชาชน
คปภ. ส่งเสริมการใช้นวัตกรรม ควบคู่กับการคุ้มครองผู้บริโภค (Consumer Protection) และความมั่นคงทางการเงินของบริษัทประกันภัย (Prudential Soundness)
ใช้กับใคร และใช้อย่างไร
แนวปฏิบัติฉบับนี้ใช้กับบริษัทประกันภัย และครอบคลุมการใช้ AI ทุกรูปแบบ ทั้ง Machine Learning, Deep Learning และ Generative AI ไม่ว่าบริษัทจะพัฒนาระบบเอง หรือใช้บริการจากบุคคลภายนอกด้านเทคโนโลยีสารสนเทศ
แนวปฏิบัติยึดหลักการกำกับดูแลตามระดับความเสี่ยง (Risk-Based Proportionality) ซึ่งปรับตามลักษณะธุรกิจและความซับซ้อนของเทคโนโลยี โดยเน้นงานที่มีปฏิสัมพันธ์กับลูกค้าและงานที่มีความเสี่ยงสูง "การใช้งาน AI ที่มีความเสี่ยงสูง" หมายถึงการใช้ในกระบวนการที่มีนัยสำคัญต่อความมั่นคงปลอดภัยของบริษัท รวมถึงการใช้กับข้อมูลส่วนบุคคลและงานที่มีปฏิสัมพันธ์กับลูกค้า เช่น การพิจารณารับประกันภัย การกำหนดเบี้ยประกันภัย และการจัดการค่าสินไหมทดแทน
หลักจริยธรรมในการใช้งาน AI (AI Ethics) ตามแนวปฏิบัติ ได้แก่ ความรับผิดชอบ (Accountability) ความเป็นธรรม (Fairness) และความโปร่งใสและความสามารถในการอธิบาย (Transparency and Explainability)
สาระสำคัญ 4 ส่วน
- 01การกำกับดูแลการใช้งาน AI (AI Governance)
- 02ความทนทานและการรักษาความมั่นคงปลอดภัยระบบ AI (Robustness and AI Security)
- 03ความโปร่งใสและความสามารถในการอธิบาย (Transparency and Explainability)
- 04ความเป็นธรรมและการคุ้มครองผู้บริโภค (Fairness and Consumer Protection)
ส่วนที่ 1: โครงสร้างการกำกับดูแลและการบริหารความเสี่ยง
คณะกรรมการบริษัท ต้องกำกับดูแลการใช้ AI อย่างมีความรับผิดชอบ และมอบหมายให้คณะกรรมการชุดย่อยดำเนินการแทนได้ คณะกรรมการต้องจัดให้มีนโยบายกำกับดูแลการใช้งาน AI และการบริหารความเสี่ยงที่สอดคล้องกับกรอบ Enterprise Risk Management (ERM) และกำหนดหน้าที่ความรับผิดชอบตลอดวงจรชีวิตของ AI ตามหลัก 3 Lines of Defense
ผู้บริหาร ต้องกำหนดกระบวนการหรือแนวปฏิบัติการใช้งาน AI ภายในบริษัท ครอบคลุมตั้งแต่การออกแบบและพัฒนา การเลือกผู้ให้บริการ การทดสอบ การบริหารจัดการข้อมูล การประเมินความเสี่ยง การอนุมัติ ไปจนถึงการติดตามผลลัพธ์ ผู้บริหารยังต้องส่งเสริมความรู้เรื่องจริยธรรมและความเสี่ยงของ AI ให้บุคลากรทุกระดับ ส่วนหน่วยงานควบคุม (Control Function) ได้แก่ งานบริหารความเสี่ยง งานดูแลการปฏิบัติตามกฎหมาย งานคณิตศาสตร์ประกันภัย และงานตรวจสอบภายใน ควรได้รับการอบรมให้ปฏิบัติหน้าที่ได้ตามบทบาท
การบริหารความเสี่ยง ให้ประเมินความเสี่ยงตามลักษณะการใช้งาน โดยเฉพาะความเสี่ยงด้านพฤติกรรมทางการตลาด (Market Conduct) และความมั่นคงทางการเงิน (Prudential Risk) ตัวอย่างความเสี่ยงที่แนวปฏิบัติระบุ ได้แก่
- การปกป้องข้อมูลและความมั่นคงปลอดภัย เมื่อ AI ประมวลผลข้อมูลส่วนบุคคลหรือข้อมูลทางการเงิน
- ผลลัพธ์ที่มีอคติ (Bias Outcome) และความเสี่ยงของโมเดลและการอธิบายผลลัพธ์ (Model Risk/Explainability)
- การไม่สามารถเข้าถึงการประกันภัย (Uninsurability) และการปรับแต่งอัตรากำไรส่วนบุคคล (Personalising Profit Margins)
- การละเมิดทรัพย์สินทางปัญญา ความเสี่ยงไซเบอร์ และการกระจุกตัวของผู้ให้บริการ (Concentration Risk)
สำหรับงานความเสี่ยงสูง บริษัทควรให้มนุษย์มีส่วนร่วมในการตัดสินใจ (Human in the loop / Human over the loop) และผู้บริหารควรรายงานผลการบริหารความเสี่ยงต่อคณะกรรมการบริหารความเสี่ยงและคณะกรรมการบริษัทอย่างน้อยปีละ 1 ครั้ง
การใช้บริการ AI จากภายนอก เช่น Generative AI บริษัทควรกำหนดขอบเขตการใช้งาน รวมถึงสิ่งที่ควรและไม่ควรทำ ประเมินระดับการพึ่งพาผู้ให้บริการอย่างสม่ำเสมอ และพิจารณามาตรการเพิ่มเติม เช่น ระบบสำรอง กลไกหยุดการทำงานทันที (Kill Switch) แผนฉุกเฉิน (Contingency Plan) และแผนการสิ้นสุดการใช้บริการ (Exit Plan)
ส่วนที่ 2: ความทนทานและความมั่นคงปลอดภัยของระบบ AI
- ประเมินประสิทธิภาพของ AI อย่างสม่ำเสมอ เช่น Sensitivity Analysis, Adversarial Testing และการตรวจจับ Concept Drift
- ออกแบบให้ปลอดภัยตั้งแต่ต้น (Secure by Design) และแก้ไขช่องโหว่ก่อนใช้งานจริง
- ทดสอบความมั่นคงปลอดภัยและบริหารจัดการช่องโหว่ โดยอ้างอิงมาตรฐานสากล เช่น OWASP Top 10 for LLM Applications และ OWASP Machine Learning Security Top 10 รวมถึงทดสอบการโจมตีอย่าง Data Poisoning
- บันทึกเหตุการณ์ (Log) ให้ตรวจสอบย้อนหลังได้ สำหรับระบบความเสี่ยงสูง ควรบันทึกกิจกรรมของผู้ใช้งาน กิจกรรมของโมเดล และกิจกรรมด้านความมั่นคงปลอดภัยไซเบอร์และข้อมูลส่วนบุคคล
- จัดให้มีการสำรองข้อมูลและการกู้คืน และปรับแผนรับมือภัยคุกคามไซเบอร์ (CIRP) ให้ครอบคลุมเหตุการณ์ที่เกี่ยวกับ AI
- แบ่งแยกสภาพแวดล้อมของระบบ AI ตามระดับความเสี่ยง
- มีมาตรการลดความเสี่ยงจากข้อมูลที่ไม่เป็นความจริง (Hallucination) ของ Generative AI
แนวปฏิบัติที่ InfraLab แนะนำ: แนวปฏิบัติไม่ได้ระบุ Prompt Injection ไว้โดยตรง แต่เราแนะนำให้รวมการทดสอบ Prompt Injection และการป้องกันข้อมูลส่วนบุคคลรั่วไหลผ่าน Prompt ไว้ในการทดสอบความมั่นคงปลอดภัยของระบบ LLM ทุกระบบ
ส่วนที่ 3: ความโปร่งใสและความสามารถในการอธิบาย
บริษัทต้องอธิบายการตัดสินใจหรือผลลัพธ์ของ AI ได้ โดยเฉพาะกรณีที่กระทบผู้บริโภค ความมั่นคงทางการเงิน หรือข้อกำหนดทางกฎหมาย ถ้าระบบซับซ้อนจนอธิบายได้ยาก ควรมีมาตรการเพิ่มเติม เช่น แสดงลำดับความคิดของ AI (Chain of Thought) ให้มนุษย์กำกับดูแล หรือเลือกใช้โมเดลที่ซับซ้อนน้อยลง
บริษัทควรบันทึกข้อสรุป ความสัมพันธ์เชิงเหตุผล และข้อจำกัดของระบบ ใช้ภาษาที่ผู้ใช้เข้าใจง่าย และมีกลไก Fail-Safe หรือให้มนุษย์เข้าแทรกแซงได้เมื่อข้อมูลผิดปกติ
ส่วนที่ 4: ความเป็นธรรมและการคุ้มครองผู้บริโภค
- การบริหารจัดการข้อมูล: กำหนดคุณภาพของชุดข้อมูล Training, Validation และ Testing ใช้แหล่งข้อมูลที่น่าเชื่อถือ จัดกลุ่มข้อมูลตามระดับความสำคัญ แยกข้อมูลบริษัทออกจากข้อมูลสาธารณะ (Data Boundary) จัดทำคลังที่รวบรวมโมเดลที่ใช้ภายในบริษัท และจัดทำเอกสารแหล่งที่มาของข้อมูล
- อคติของโมเดล: ควบคุมและประเมินประสิทธิภาพของโมเดลทั้งก่อนและหลังใช้งาน
- การติดตามผลลัพธ์: มี Feedback Loop เพื่อตรวจสอบและปรับปรุงต่อเนื่อง และพิจารณายุติหรือเปลี่ยนโมเดลเมื่อไม่บรรลุเป้าหมาย
- การแจ้งว่าเป็น AI: เมื่อใช้ AI ในงานที่ปฏิสัมพันธ์กับลูกค้าโดยตรง ต้องแจ้งให้ลูกค้าทราบด้วยข้อความที่เข้าใจง่าย ไม่คลุมเครือ และต้องมีทางเลือกให้เปลี่ยนไปคุยกับพนักงานแทนได้
- สิทธิของลูกค้า: มีช่องทางรายงานข้อผิดพลาด ให้ลูกค้าแก้ไขข้อมูลของตนได้ และสำหรับงานความเสี่ยงสูงหรือการจัดการเรื่องร้องเรียน ควรอธิบายปัจจัยสำคัญที่มีผลต่อการตัดสินใจ (Determinative Factors)
- การคิดเบี้ยแบบละเอียด: การคิดเบี้ยแบบ Granular Risk-Based Pricing ต้องตั้งอยู่บนความเป็นธรรม เช่น ออกแบบโมเดลให้เป็นธรรมตั้งแต่ต้น (Fairness by Design) และเปิดช่องทางให้ลูกค้าขอคำอธิบายหรือขอให้มนุษย์ตรวจสอบได้
เชื่อมโยงสู่การปฏิบัติ: แนวทางที่ InfraLab แนะนำ
- ความตระหนักรู้: แนวปฏิบัติกำหนดให้ส่งเสริมความรู้ด้านจริยธรรมและความเสี่ยงของ AI แก่บุคลากรทุกระดับ เราแนะนำให้ทำเป็นหลักสูตรประจำปีและวัดผลได้
- ทะเบียนการใช้ AI: แนวปฏิบัติกำหนดคลังรวบรวมโมเดลและการรายงานการใช้ AI ที่มีนัยสำคัญ เราแนะนำให้ขยายเป็นทะเบียน AI ที่ระบุว่าใครใช้ AI ตัวใด กับข้อมูลประเภทใด รวมถึงเครื่องมือ Generative AI ที่พนักงานใช้
- นโยบายที่ชัดเจน: นโยบายกำกับดูแลการใช้งาน AI และข้อกำหนดสิ่งที่ควรและไม่ควรทำ ควรสื่อสารให้พนักงานทุกคนเข้าใจตรงกัน
- การติดป้ายเนื้อหาที่สร้างโดย AI: แนวปฏิบัติกำหนดให้แจ้งเมื่อใช้ AI ปฏิสัมพันธ์กับลูกค้า เราแนะนำให้ระบุเนื้อหาที่สร้างโดย AI อย่างชัดเจนด้วย ทั้งในเอกสารภายในและภายนอก
แนวปฏิบัตินี้ไม่ได้ระบุวันมีผลบังคับใช้หรือบทลงโทษไว้ในเอกสาร บริษัทควรติดตามประกาศและแนวปฏิบัติที่เกี่ยวข้องของ คปภ. ประกอบกัน
InfraLab กับ AI Governance สำหรับธุรกิจประกันภัย
InfraLab มีความเชี่ยวชาญทั้งด้านการนำ AI มาประยุกต์ใช้ในองค์กร และด้าน AI Governance เราให้คำปรึกษาและออกแบบระบบตั้งแต่การวิเคราะห์ช่องว่างเทียบกับแนวปฏิบัติของ คปภ. การจัดทำทะเบียน AI นโยบาย และกรอบการบริหารความเสี่ยง ไปจนถึงการออกแบบโครงสร้างพื้นฐาน AI ที่มีการแบ่งแยกสภาพแวดล้อม การบันทึกล็อก การเฝ้าระวัง และกลไก Kill Switch เพื่อให้บริษัทใช้ AI ได้อย่างปลอดภัย โปร่งใส และพร้อมรับการตรวจสอบ
ดาวน์โหลดแนวปฏิบัติฉบับเต็มได้จากแบบฟอร์มด้านข้าง หรือติดต่อทีมงานของเราเพื่อหารือแนวทางสำหรับองค์กรของคุณ