AI Governance ไม่ควรเริ่มจากการเขียนนโยบายจำนวนมากก่อนมี use case จริง แต่ควรเริ่มจากการระบุเจ้าของ use case ความเสี่ยง ขอบเขตข้อมูล โมเดลที่อนุมัติ สิทธิ์การใช้งาน วิธีประเมิน และหลักฐานการอนุมัติ จากนั้นค่อยยกระดับ control ตามความเสี่ยงและ scale
1. Define
ระบุ owner, business purpose, data boundary, risk level และผู้ที่มีอำนาจอนุมัติ
2. Enforce
เชื่อม policy เข้ากับ identity, access, model registry, tool permission และ environment
3. Assure
มี evaluation gate ก่อน release เก็บ request/version trace และหลักฐานการอนุมัติ
4. Scale
เมื่อ use case เพิ่ม ค่อยพัฒนา portfolio view, catalogue, reporting และ governance review ที่เป็นระบบมากขึ้น
คำถามที่พบบ่อย
ต้องทำ Enterprise AI Policy ให้เสร็จก่อนเริ่ม PoC หรือไม่?
ไม่จำเป็นทุกกรณี แต่ควรมี minimum controls ที่เหมาะกับความเสี่ยงของ PoC และข้อมูลที่ใช้
Model Registry มีไว้ทำอะไร?
ใช้เก็บรายการโมเดลและเวอร์ชันที่องค์กรอนุมัติ รวมถึงข้อมูลที่จำเป็นต่อ release และ audit
Evaluation Gate คืออะไร?
จุดตรวจคุณภาพ ความปลอดภัย หรือ acceptance criteria ก่อนอนุมัติ model/application version ไป environment ถัดไป