General Counsel กับความท้าทายทางกฎหมาย และการกำกับดูแล AI

General Counsel (GC) หรือ ที่ปรึกษากฎหมายสูงสุด กับภารกิจใหม่ในการกำกับดูแล AI ที่ได้กลายเป็นประเด็นระดับยุทธศาสตร์ขององค์กรยุคใหม่ เมื่อการนำปัญญาประดิษฐ์ (Artificial Intelligence: AI) และระบบอัตโนมัติขั้นสูงมาใช้ในภาคธุรกิจอย่างแพร่หลาย ได้ก่อให้เกิดความท้าทายทางกฎหมายและการกำกับดูแลที่มิเคยปรากฏมาก่อน ท่ามกลางความท้าทายดังกล่าว บทบาทของที่ปรึกษากฎหมายสูงสุดขององค์กร (General Counsel: GC) กำลังถูกนิยามใหม่ครั้งสำคัญ จากผู้ให้คำปรึกษาทางกฎหมายในลักษณะตั้งรับ (reactive legal advisor) สู่การเป็น “ผู้ออกแบบการกำกับดูแล” (governance architect) และ “เจ้าของความเสี่ยงด้าน AI” (AI risk owner) อย่างเต็มตัว

บทความนี้มุ่งวิเคราะห์การเปลี่ยนแปลงเชิงโครงสร้างของบทบาท GC ในยุคอัลกอริทึม โดยเสนอว่าความรับผิดชอบทางกฎหมาย (legal accountability) ในยุคดิจิทัลไม่ได้ลดน้อยลงหรือถูกแทนที่ด้วยเครื่องจักร แต่กลับทวีความซับซ้อนและขยายขอบเขตออกไปอย่างกว้างขวาง ผ่านการทบทวนบรรทัดฐานทางกฎหมายใหม่ และกรอบการกำกับดูแลระหว่างประเทศ บทความนี้นำเสนอกรอบแนวคิดด้านการกำกับดูแล AI อันเป็นแบบจำลองการกำกับดูแลเชิงโครงสร้างที่ GC ควรเป็นผู้ออกแบบและดำเนินการ พร้อมทั้งวิเคราะห์ความท้าทายเชิงปฏิบัติที่ GC ต้องเผชิญ ตั้งแต่ความขัดแย้งระหว่างการส่งเสริมนวัตกรรมและการควบคุมความเสี่ยง ไปจนถึงประเด็นความสุ่มเสี่ยงต่อการสูญเสีย “สิทธิคุ้มกันทางกฎหมาย” (legal professional privilege) ในยุคที่ระบบ AI ถูกบังคับให้บันทึกข้อมูลการทำงานทุกขั้นตอน

1. ความท้าทายทางกฎหมายในยุค AI

ปัญญาประดิษฐ์ได้ก้าวข้ามจากการเป็นเทคโนโลยีทดลองในห้องปฏิบัติการ สู่การเป็นโครงสร้างพื้นฐานสำคัญที่แทรกซึมเข้าสู่กระบวนการดำเนินงานประจำวันขององค์กรธุรกิจทั่วโลก ตั้งแต่ระบบอัตโนมัติในสำนักงานหลังบ้าน (back-office automation) การวิเคราะห์ข้อมูลเพื่อประเมินสินเชื่อ การคัดเลือกบุคลากร ไปจนถึงการพัฒนาผลิตภัณฑ์และการสนับสนุนการตัดสินใจเชิงกลยุทธ์ของคณะกรรมการบริหาร การเปลี่ยนแปลงนี้เกิดขึ้นด้วยอัตราเร่งที่สูงมาก ส่งผลให้องค์กรจำนวนมากประสบภาวะ “ความไม่สมดุลด้านข้อมูล” (information asymmetry) โดยไม่อาจทราบได้อย่างครบถ้วนว่า AI ถูกนำไปประยุกต์ใช้ ณ จุดใด และอย่างไรในกระบวนการทำงานของพนักงาน

สำหรับ ที่ปรึกษากฎหมายสูงสุด (General Counsel: GC) แรงกดดันดังกล่าวทวีความรุนแรงขึ้นอย่างมีนัยสำคัญ เนื่องจาก AI มิใช่เพียงซอฟต์แวร์ประมวลผลทั่วไป แต่เป็น “ความท้าทายทางการกำกับดูแลที่แผ่ขยายไปทุกหน้าที่ขององค์กร” (a governance challenge that cuts across every corporate function) เทคโนโลยี AI มีจุดตัดร่วมกับข้อกฎหมายหลากหลายมิติ ไม่ว่าจะเป็นกฎหมายคุ้มครองข้อมูลส่วนบุคคล กฎหมายทรัพย์สินทางปัญญา กฎหมายแรงงาน กฎหมายการแข่งขันทางการค้า และกฎหมายความรับผิดในผลิตภัณฑ์ ความเสี่ยงที่เกิดจาก AI จึงไม่อาจจัดจำกัดอยู่เพียงความเสี่ยงทางเทคนิคของฝ่ายไอที หรือความเสี่ยงด้านปฏิบัติตามกฎระเบียบของฝ่าย Compliance ได้อีกต่อไป

หลักการสำคัญ “มนุษย์และองค์กร ไม่ใช่เครื่องจักร คือผู้แบกรับความรับผิดชอบทางกฎหมายและการดำเนินงาน (Legal and Operational Accountability) ต่อผลลัพธ์อันเกิดจาก AI” จากบรรทัดฐานนี้ GC จึงต้องตอบคำถามพื้นฐาน 5 ประการขององค์กรให้ได้อย่างชัดเจน

2. ใครคือผู้อนุมัติ การนำระบบ AI นั้นมาใช้งาน?
3. ข้อมูลประเภทใด ที่ระบบ AI นั้นเข้าถึงและประมวลผล?
4. ความเสียหายหรืออันตรายใด ที่อาจเกิดขึ้นจากการทำงานที่ผิดพลาดของระบบ?
5. มีกระบวนการติดตามและตรวจสอบ (Monitoring and Auditing) อย่างไร?
6. ใครคือผู้รับผิดชอบหลัก เมื่อระบบเกิดความล้มเหลวหรือก่อให้เกิดการละเมิดกฎหมาย?

2. จากที่ปรึกษาทางกฎหมายสู่ผู้ออกแบบการกำกับดูแล

2.1 วิวัฒนาการบทบาทของ GC ในยุคดิจิทัล

การปรับเปลี่ยนบทบาทของ GC ในยุค AI มิใช่ปรากฏการณ์ที่เกิดขึ้นในสุญญากาศ แต่เป็นวิวัฒนาการขั้นต่อมาของการบริหารจัดการความเสี่ยงในองค์กรยุคดิจิทัล จากผลการศึกษาของ Bloomberg Law พบว่า เทคโนโลยี AI ได้กลายเป็นตัวเร่งให้ GC ต้องขยายขอบเขตอิทธิพลและบทบาทเชิงยุทธศาสตร์ภายในองค์กรอย่างก้าวกระโดด โดยเฉพาะการเข้ามาร่วมกำหนดทิศทาง “ความฉลาดเชิงองค์กร” (institutional intelligence) เพื่อให้มั่นใจว่าการนำเทคโนโลยีมาใช้ไม่ได้สร้างรอยรั่วทางกฎหมาย

Gartner ระบุอย่างชัดเจนว่า GC คือผู้ที่ “ต้องรับผิดชอบสูงสุดต่อเหตุการณ์ความเสี่ยงทางกฎหมายที่เกี่ยวข้องกับ AI” (ultimately accountable for legal risk events related to AI) อย่างไรก็ตาม ความรับผิดชอบสูงสุดนี้มิได้หมายความว่า GC ต้องทำหน้าที่ตรวจสอบโค้ดหรืออัลกอริทึมด้วยตนเอง แต่หมายถึงการเป็นผู้กำหนดกรอบความรับผิดชอบ (accountability framework) ที่เชื่อมโยงข้ามฝ่ายงาน และกำหนดขอบเขตอำนาจตัดสินใจให้ชัดเจน GC อยู่ในตำแหน่งยุทธศาสตร์ที่เป็นเอกลักษณ์ ซึ่งสามารถ “ฝัง AI เข้าไปในกระบวนการทำงานด้วยความทะเยอทะยานคู่ขนานกับความรับผิดชอบ” โดยมองว่า AI ไม่ใช่เพียงเครื่องมือภายนอกที่นำมาซื้อขาย แต่เป็น “โดเมนทางการบริหารจัดการที่ต้องถูกหล่อหลอม” (a domain to be shaped)

2.2 ผู้ออกแบบการกำกับดูแล: บทบาทเชิงโครงสร้าง

แนวคิด “ผู้ออกแบบการกำกับดูแล” (Governance Architect) เปลี่ยนผ่าน GC จากการเป็นผู้ตรวจสอบสัญญาในขั้นตอนสุดท้าย (reactive gatekeeper) มาเป็นผู้ออกแบบเชิงรุก (proactive designer) ของระบบควบคุมภายใน ผู้เชี่ยวชาญด้านการกำกับดูแล AI เสนอว่า การกำกับดูแล AI ในองค์กรจำเป็นต้องอ้างอิงแนวคิด “การวางรากฐานการแบ่งแยกอำนาจ” (a constitutional system with separation of powers) เพื่อป้องกันไม่ให้ฝ่ายพัฒนาผลิตภัณฑ์ หรือฝ่ายไอที มีอำนาจเด็ดขาดในการปล่อยระบบใช้งานโดยปราศจากการตรวจสอบด่านถ่วงดุล ในระบบนี้ สำนักงาน GC จะทำหน้าที่เป็น “ผู้จัดระเบียบกลาง” (central organizing force) ทำหน้าที่เชื่อมโยง 5 ฝ่ายงานหลัก

• ฝ่ายไอทีและวิทยาศาสตร์ข้อมูล (IT & Data Science): พัฒนาและดูแลโครงสร้างพื้นฐานทางเทคโนโลยี
• ฝ่ายปฏิบัติตามกฎระเบียบและการตรวจสอบ (Compliance & Audit): ประเมินการปฏิบัติตามเกณฑ์มาตรฐาน
• ฝ่ายบริหารความเสี่ยง (Risk Management): วิเคราะห์ผลกระทบเชิงตัวเลขและภัยคุกคาม
• ฝ่ายทรัพยากรบุคคลและการสื่อสาร (HR & Communications): บริหารจัดการการใช้งานของพนักงานและการสื่อสารสาธารณะ
• ฝ่ายกฎหมาย (Legal Office / GC): ออกแบบกรอบข้อบังคับ สัญญา และกำกับดูแลความรับผิดชอบภาพรวม

3. ความรับผิดชอบทางกฎหมายในยุค AI: วาทกรรมและข้อเท็จจริง

3.1 วาทกรรม “AI ไร้ความรับผิดชอบ” กับความเป็นจริงทางกฎหมาย

ในแวดวงธุรกิจ มักมีความเข้าใจผิดเชิงวาทกรรมว่า “เทคโนโลยี AI มีความซับซ้อนและเปรียบเสมือนกล่องดำ (black box) ส่งผลให้ไม่มีใครสามารถรับผิดชอบต่อผลลัพธ์ที่ไม่อาจคาดเดาได้” อย่างไรก็ดี ในเชิงข้อเท็จจริงทางกฎหมาย (Legal Reality) ศาลและหน่วยงานกำกับดูแลไม่ได้ยอมรับข้ออ้างดังกล่าว

จากข้อมูลวิชาการที่เผยแพร่เน้นย้ำว่า ความรับผิดชอบด้าน AI (AI Accountability) คือระบบการควบคุมที่เปลี่ยนนโยบายบนกระดาษให้กลายเป็นการปฏิบัติจริง หากองค์กรขาดผู้รับผิดชอบทางกฎหมายที่ชัดเจน การกำกับดูแล AI จะลดทอนคุณค่าลงเหลือเพียง “กล่องกากบาทเครื่องหมายเพื่อการปฏิบัติตามกฎระเบียบ” (a compliance checkbox) ซึ่งนอกจากจะไม่ช่วยลดความเสี่ยงแล้วยังสร้างความประมาทเลินเล่อเชิงระบบอีกด้วย

3.2 ภูมิทัศน์ระเบียบข้อบังคับระหว่างประเทศ

แนวโน้มกฎหมายทั่วโลกกำลังเปลี่ยนผ่านจากการขอความร่วมมือแบบสมัครใจ (voluntary frameworks) ไปสู่การบังคับใช้กฎหมายที่มีบทลงโทษรุนแรง

ข้อสรุปที่เด่นชัดจากแนวโน้มกฎหมายสากลคือ ศาลและหน่วยงานกำกับดูแลมุ่งเน้นความรับผิดไปที่ “ผู้ใช้งานหรือผู้ปรับใช้ระบบ” (deployers) เท่าๆ กับ “ผู้พัฒนา” (providers) หากองค์กรนำ AI มาใช้งานโดยยืนยันผลลัพธ์ตามอัตโนมัติ (default acceptance) โดยไม่มีมนุษย์ประเมินอย่างแท้จริง การกำกับดูแลนั้นจะถือเป็นเพียง “พิธีการ” (procedural) ที่ไม่อาจใช้เป็นเกราะคุ้มกันความผิดทางกฎหมายได้

4. กรอบแนวคิดการกำกับดูแล AI

เพื่อแก้ปัญหา Adoption Gap และสถาปนาโครงสร้างความรับผิดชอบที่ยั่งยืน บทความนี้เสนอกรอบแนวคิด ซึ่งเป็นการแปลงหลักการทางนิติศาสตร์มาสู่การบริหารจัดการเทคโนโลยีในองค์กร

4.1 หลักการพื้นฐาน 3 ประการ

1. การแบ่งแยกอำนาจ (Separation of Powers): ควบคุมไม่ให้หน่วยงานใดหน่วยงานหนึ่งมีอำนาจเบ็ดเสร็จในการเลือก ซื้อ หรือติดตั้งระบบ AI โดยปราศจากการสอบทาน โดย GC ทำหน้าที่เป็นประธานหรือผู้ประสานงานหลักของคณะกรรมการกำกับดูแล AI (AI Governance Council)
2. การกำหนดเส้นขอบเขต (Red Lines Rules): การประกาศขอบเขตที่ห้ามก้าวข้ามอย่างชัดเจน เช่น ห้ามนำข้อมูลความลับทางการค้าหรือข้อมูลส่วนบุคคลไว้วิเคราะห์ผ่าน AI สาธารณะ (Public GenAI) โดยไม่มีการเข้ารหัส หรือห้ามใช้ AI ในการตัดสินใจชี้นำผลกระทบต่อสัญญาจ้างงานโดยไม่มีมนุษย์สอบทาน
3. ความโปร่งใสและความสามารถในการตรวจสอบ (Transparency and Auditability): ระบบ AI ที่องค์กรนำมาใช้ต้องมีกลไกที่อธิบายที่มาของการตัดสินใจได้ (Explainable AI: XAI) และต้องบันทึกประวัติการทำงาน (Logs) สำหรับการตรวจสอบย้อนหลัง

4.2 กระบวนการสร้างแผนที่ระบบ (Process Mapping Framework)

ก่อนที่ GC จะสามารถร่างนโยบายใดๆ ได้ GC จำเป็นต้อง “มองเห็นระบบทั้งหมด” (See the System) ผ่านกระบวนการทำ Process Mapping ซึ่งประยุกต์มาจากหลักการ Lean และ Six Sigma เพื่อวิเคราะห์จุดเชื่อมต่อของ AI ในองค์กร:

• สถานะปัจจุบัน (Current State): ตรวจค้นว่ามี Shadow AI (การที่พนักงานแอบใช้เครื่องมือ AI โดยไม่ได้รับอนุมัติ) อยู่ที่ใดบ้าง และ AI กำลังประมวลผลข้อมูลประเภทใด
• การวิเคราะห์ช่องว่าง (Risk & Gap Analysis): ประเมินว่าจุดใดขาดกระบวนการกลั่นกรองทางกฎหมาย ขาดการบันทึกข้อมูล หรือเสี่ยงต่อการละเมิดลิขสิทธิ์
• สถานะอนาคต (Future State): ออกแบบเวิร์กโฟลว์ใหม่ที่ฝังจุดตรวจทางกฎหมาย (Legal Checkpoints) เข้าไปในกระบวนการทำงานโดยไม่กระทบต่อความเร็วของธุรกิจ
• การตั้งคำถามเชิงยุทธศาสตร์ของ GC

GC ไม่จำเป็นต้องลงลึกในรายละเอียดทางเทคนิคทั้งหมด แต่ต้องทำหน้าที่ถามคำถามที่ถูกต้องและตรงจุด ชุดคำถามยุทธศาสตร์สำหรับ GC

• “ผลตอบแทนจากการลงทุน (ROI) ของ AI โครงการนี้ คุ้มค่ากับความเสี่ยงทางกฎหมายและค่าปรับที่อาจเกิดขึ้นหรือไม่?”
• “หากระบบ AI ทำงานผิดพลาด ใครคือผู้รับผิดชอบหลักตามสัญญา และประกันภัยความเสี่ยงครอบคลุมหรือไม่?”
• “ชุดข้อมูลที่ใช้อบรม (Training Data) มีที่มาถูกต้องตามกฎหมายลิขสิทธิ์และ PDPA/GDPR หรือไม่?”

5. แนวทางปฏิบัติสำหรับ GC ในยุค AI

5.1 การจัดระดับความเสี่ยงการใช้งาน (Usage Tiering Model)

GC ควรกำหนดระดับความเสี่ยงของการประยุกต์ใช้ AI ออกเป็นชั้นๆ เพื่อให้สามารถบริหารจัดการทรัพยากรและเวลาของทีมกฎหมายได้อย่างมีประสิทธิภาพ

เพื่อไม่ให้ฝ่ายบริหารมองว่าฝ่ายกฎหมายเป็นตัวขัดขวางธุรกิจ GC ควรสร้าง “Go/No-Go Criteria” ที่ชัดเจน เพื่อให้ฝ่ายพัฒนาธุรกิจทราบล่วงหน้าว่าโครงการลักษณะใดสามารถผ่านได้ทันที และโครงการลักษณะใดต้องได้รับการตรวจสอบทางกฎหมายอย่างเข้มงวด

5.2 การบริหารจัดการผู้ให้บริการภายนอก (Third-Party Vendor Management)

เนื่องจากองค์กรส่วนใหญ่ไม่ได้พัฒนา AI ขึ้นเองทั้งหมด แต่เป็นการจัดซื้อหรือใช้บริการซอฟต์แวร์จากภายนอก (Third-party AI tools) GC จึงต้องปรับเปลี่ยนข้อสัญญาจัดซื้อจัดจ้าง (Procurement Contracts) ใหม่ทั้งหมด

• ยกเลิกข้อจำกัดความรับผิดแบบเดิม: โมเดลสัญญาเก่าที่ผู้ขาย (Vendors) ปฏิเสธความรับผิดชอบทั้งหมด (Limitation of Liability) ไม่สามารถยอมรับได้อีกต่อไปสำหรับ AI ความเสี่ยงสูง
• การกำหนดข้อสัญญาตรวจสอบอคติ (Bias Audit Clauses): เรียกร้องให้ผู้ขายสืบค้นและแสดงหลักฐานการตรวจสอบความเอียงเอียงของอัลกอริทึมอย่างสม่ำเสมอ
• การรับประกันสิทธิ์ในข้อมูล (Data Ownership & Usage Rights): ระบุให้ชัดเจนว่าผู้ขายไม่มีสิทธิ์นำข้อมูลขององค์กรไปใช้อบรมโมเดล AI ส่วนรวมของผู้ขาย

5.3 ความเสี่ยงด้าน “สิทธิคุ้มกันทางกฎหมาย” (Legal Privilege Dilemma)

ประเด็นทางกฎหมายที่ซับซ้อนที่สุดประการหนึ่งซึ่ง GC ต้องเผชิญคือ ข้อขัดแย้งระหว่างข้อกำหนดด้านความโปร่งใสกับสิทธิคุ้มกันทางกฎหมาย

ภายใต้ EU AI Act (มาตรา 12 และ 13) หรือข้อบังคับการตรวจสอบสากล ระบบ AI ความเสี่ยงสูงต้องทำการบันทึกข้อมูลการดำเนินงาน (Audit Trails, Log files, Prompt History) อย่างละเอียด อย่างไรก็ตาม ในบริบททางกฎหมาย คำสั่ง (Prompts) ที่พนักงานหรือฝ่ายกฎหมายป้อนเข้าสู่ระบบ AI รวมถึงบันทึกการวิเคราะห์ข้อกฎหมายของระบบ อาจถูกจัดว่าเป็น “เอกสารที่ถูกเรียกเปิดเผยได้ในชั้นศาล” (Discoverable Records)

หากพนักงานฝ่ายกฎหมายใช้ AI ในการวิเคราะห์ความเสี่ยงของคดีความ บันทึกการโต้ตอบดังกล่าวอาจหลุดจากการคุ้มครองของ Legal Professional Privilege และกลายเป็นหลักฐานที่ฝ่ายตรงข้ามสามารถร้องขอต่อศาลให้เปิดเผยได้ GC จึงต้องวางแนวทางปฏิบัติที่เข้มงวด เช่น

1. จัดตั้งสภาพแวดล้อม AI ปิด (On-premise or Enterprise Private Instance) สำหรับงานกฎหมายโดยเฉพาะ
2. กำหนดนโยบายห้ามป้อนคำปรึกษาทางกฎหมายที่เป็นความลับขั้นสูงสุดลงในเครื่องมือ AI ที่ไม่มีกลไกคุ้มครอง Privilege

5.4 การสร้างวัฒนธรรมองค์กรและการยกระดับบุคลากร

GC ต้องทำหน้าที่สื่อสาร “น้ำเสียงจากผู้นำ” (Tone at the Top) ในเรื่องความรับผิดชอบด้าน AI การฝึกอบรมพนักงานไม่ควรมุ่งเน้นเพียงมิติทางเทคนิค แต่ต้องปลูกฝังจริยธรรมและความตระหนักรู้ทางกฎหมาย ให้พนักงานตระหนักว่า “ทุกข้อมูลที่ป้อนให้ AI และทุกผลลัพธ์ที่นำไปใช้ ล้วนมีผลผูกพันทางกฎหมายต่อองค์กร”