ตอนที่ 1: กติกาใหม่ที่สถาบันการเงินไทยต้องรู้ เมื่อโลกไปไกลกว่ากฎหมายยุโรป
บทนำการกำกับดูแล AI ภาคการเงิน
ปี ค.ศ. 2026 นับเป็นหมุดหมายสำคัญเชิงยุทธศาสตร์ของการบริหารจัดการนวัตกรรมทางการเงินระดับสากล เมื่อเทคโนโลยีปัญญาประดิษฐ์ (Artificial Intelligence: AI) ได้พัฒนาก้าวข้ามจากการเป็นเพียงเครื่องมือสนับสนุนการตัดสินใจเชิงปริมาณ ไปสู่การเป็นโครงสร้างพื้นฐานหลักที่ขับเคลื่อนระบบสถาบันการเงิน อย่างไรก็ดี การเติบโตอย่างก้าวกระโดดของแบบจำลองขั้นสูง (Frontier AI) และระบบปัญญาประดิษฐ์แบบกระทำการแทน (Agentic AI) ได้สร้างความท้าทายอย่างไม่เคยมีมาก่อนต่อสิทธิขั้นพื้นฐาน ความเป็นธรรม การบริหารความเสี่ยงด้านปฏิบัติการ และเสถียรภาพทางการเงินในระดับมหภาค
ส่งผลให้หน่วยงานกำกับดูแลระดับโลกต้องเร่งปฏิรูปและสถาปนากรอบการกำกับดูแลใหม่ที่เข้มงวด
หมุดหมายที่สำคัญที่สุดเกิดขึ้นเมื่อกฎหมายปัญญาประดิษฐ์แห่งสหภาพยุโรป (EU AI Act) มีผลบังคับใช้อย่างสมบูรณ์สำหรับระบบ AI ความเสี่ยงสูงในวันที่ 2 สิงหาคม ค.ศ. 2026 ขณะเดียวกันในฝั่งสหรัฐอเมริกา ธนาคารกลางสหรัฐฯ (Federal Reserve) สำนักงานผู้ควบคุมสกุลเงิน (OCC) และบรรษัทประกันเงินฝากแห่งสหรัฐฯ (FDIC) ได้ร่วมกันยกเลิกแนวทาง SR 11-7 ที่ใช้มานานกว่า 15 ปี
และได้ประกาศใช้แนวทางการจัดการความเสี่ยงด้านแบบจำลองฉบับปรับปรุงใหม่ SR 26-2 ในเดือนเมษายน ค.ศ. 2026 เพื่อรองรับ Generative AI และ Agentic AI โดยเฉพาะ นอกจากนี้ คณะกรรมการกำกับดูแลด้านการธนาคารแห่งบาเซิล (BCBS) ร่วมกับคณะกรรมการเสถียรภาพทางการเงิน (FSB) ยังได้ยกระดับการเฝ้าระวังความเสี่ยงไซเบอร์เชิงระบบอันเกิดจาก AI ในระดับสากล
บทความตอนที่ 1 นี้ มุ่งเน้นการวิเคราะห์เจาะลึกในสองเสาหลักแรก ได้แก่ มิติทางกฎหมายตามกรอบ
EU AI Act และมิติความรอบคอบเชิงสถาบันตามมาตรฐานของคณะกรรมการบาเซิล เพื่อชี้ให้เห็นถึงภาระหน้าที่ ผลกระทบข้ามแดน และแนวโน้มความเสี่ยงเชิงระบบที่สถาบันการเงินต้องเผชิญ
ส่วนที่ 1 การกำกับดูแล AI ภาคการเงิน : EU AI Act แห่งสหภาพยุโรป – ยุคใหม่แห่งระบบ “ความเสี่ยงสูง” ในภาคการเงิน
1.1 ไทม์ไลน์การบังคับใช้และขอบเขตอำนาจเหนือนวัตกรรมข้ามแดน (Extraterritorial Reach)
EU AI Act แห่งสหภาพยุโรป (Regulation EU 2024/1689) มีผลบังคับใช้ตามกฎหมายตั้งแต่มกราคม ค.ศ. 2024 โดยกำหนดกรอบเวลาการปฏิบัติตามกฎระเบียบเป็นระยะ (Phased Implementation) สำหรับสถาบันการเงิน วันที่ 2 สิงหาคม ค.ศ. 2026 ถือเป็นเส้นตายสำคัญ (Hard Deadline) เนื่องจากข้อผูกพันเต็มรูปแบบสำหรับระบบ AI ที่จัดอยู่ในกลุ่ม “ความเสี่ยงสูง” (High-Risk AI Systems) มีผลบังคับใช้โดยสมบูรณ์ แม้ว่าข้อกำหนดสำหรับระบบความเสี่ยงสูงบางประเภทตามภาคผนวก Annex I จะได้รับการขยายเวลาไปจนถึงวันที่ 2 ธันวาคม ค.ศ. 2027 แต่ระบบส่วนใหญ่ที่ใช้อยู่ในบริการทางการเงินและการธนาคารปฏิเสธไม่ได้ว่าต้องอยู่ภายใต้กรอบการบังคับใช้ตั้งแต่วันที่ 2 สิงหาคม ค.ศ. 2026 เป็นหลัก
ประเด็นทางกฎหมายที่สถาบันการเงินทั่วโลกต้องตระหนักคือ “ขอบเขตการบังคับใช้ข้ามแดน” (Extraterritorial Effect) ซึ่ง EU AI Act ยึดหลักการมีสถานะดำเนินงาน (Operational Presence) และสถานที่ที่ผลลัพธ์ของ AI ก่อให้เกิดผลกระทบต่อบุคคล หากสถาบันการเงินที่มีสำนักงานใหญ่ตั้งอยู่ในสหรัฐอเมริกา สหราชอาณาจักร หรือภูมิภาคเอเชียแปซิฟิก มีการประมวลผลข้อมูลหรือใช้ระบบ AI เพื่อตัดสินใจที่มีผลต่อบุคคลที่อยู่ในสหภาพยุโรป เช่น การประเมินสินเชื่อแก่ลูกค้ายุโรป หรือการรับประกันภัยข้ามแดน สถาบันการเงินนั้นมีภาระผูกพันทางกฎหมายที่ต้องปฏิบัติตามมาตรฐาน EU AI Act ทุกประการเช่นเดียวกับธนาคารที่ตั้งอยู่ในสหภาพยุโรป
1.2 กรณีการใช้งานความเสี่ยงสูงในธุรกรรมทางการเงิน (High-Risk Financial Use Cases)
ตามภาคผนวก Annex III ของ EU AI Act ได้ระบุกรณีการใช้งานระบบ AI ในภาคการเงินและประกันภัยที่จัดเป็น “ระบบความเสี่ยงสูง” ไว้อย่างชัดเจน ได้แก่
- การประเมินความน่าเชื่อถือและการให้คะแนนเครดิต (Credit Scoring & Creditworthiness Assessment): ระบบอัตโนมัติหรือกึ่งอัตโนมัติที่ใช้วิเคราะห์ข้อมูลเพื่อ
ประเมินความสามารถในการชำระหนี้ กำหนดวงเงิน หรืออนุมัติสินเชื่อบุคคลและธุรกิจขนาดเล็ก - การกำหนดราคาและการอนุมัติสินเชื่อ (Loan Pricing & Underwriting): ระบบที่ใช้ในการจัดลำดับ ประเมินความเสี่ยง และคัดกรองคำขอสินเชื่อ รวมถึงการคำนวณอัตราดอกเบี้ยเฉพาะบุคคล
- การประเมินความเสี่ยงและการรับประกันภัย (Insurance Risk Assessment & Underwriting): ระบบที่ใช้ในการประเมินความเสี่ยง การกำหนดราคาเบี้ยประกันภัย หรือการพิจารณาคุณสมบัติของผู้เอาประกันภัย ซึ่งส่งผลกระทบอย่างมีสาระสำคัญต่อสิทธิและการเข้าถึงความคุ้มครองทางการเงิน
- ระบบตรวจจับการฉ้อโกงที่มีผลกระทบต่อสิทธิ (Fraud Detection with Legal/Significant Effects): ระบบอัจฉริยะที่ใช้ในการระบุพฤติกรรมฉ้อโกง หากผลลัพธ์ของระบบนำไปสู่การอายัดบัญชี การปฏิเสธบริการ หรือกระทบต่อสิทธิทางกฎหมายของบุคคลโดยทันที
นอกจากนี้ ระบบงานสนับสนุนการปฏิบัติตามกฎระเบียบ เช่น การติดตามธุรกรรมเพื่อป้องกันการฟอกเงิน (Anti-Money Laundering: AML) การกลั่นกรองผู้ถูกคว่ำบาตร (Sanctions Screening) และกระบวนการตรวจสอบสถานะลูกค้า (KYC/CDD) ถูกจัดอยู่ในกลุ่มที่มีความเสี่ยงสูงเช่นกัน หากระบบเหล่านั้นมีผลลัพธ์ที่กระทบต่อการเข้าถึงบริการทางการเงินขั้นพื้นฐานของประชาชน
1.3 ข้อกำหนดภาระหน้าที่หลักตามกฎหมายการกำกับดูแล AI ภาคการเงิน (Compliance Obligations & Risk Governance)
สถาบันการเงินที่ครอบครองหรือใช้งานระบบ AI ความเสี่ยงสูง ต้องกำหนดให้มีกระบวนการปฏิบัติตามข้อกำหนด 5 ประการอย่างเคร่งครัด
- ระบบบริหารจัดการความเสี่ยง (Risk Management System): การสถาปนากระบวนการประเมินความเสี่ยงแบบต่อเนื่องตลอดวงจรชีวิตของระบบ (Lifecycle Risk Assessment) โดยต้องระบุและบรรเทาความเสี่ยงที่คาดการณ์ได้ต่อสุขภาพ ความปลอดภัย และสิทธิขั้นพื้นฐาน โดยเฉพาะอคติเชิงอัลกอริทึม (Algorithmic Bias) และการเลือกปฏิบัติในการอนุมัติสินเชื่อ
- ธรรมาภิบาลข้อมูลและการจัดการชุดข้อมูล (Data Governance & Data Management): ชุดข้อมูลที่ใช้ในการฝึกอบรม (Training) การทดสอบ (Testing) และการตรวจสอบความถูกต้อง (Validation) ต้องผ่านการประเมินคุณภาพในมิติความเกี่ยวข้อง ความเป็นตัวแทนที่ดี (Representativeness) ความถูกต้อง และความสมบูรณ์ พร้อมทั้งต้องมีระบบตรวจสอบและบันทึกอคติที่อาจส่งผลกระทบต่อกลุ่มคนเปราะบาง
- ความโปร่งใสและความสามารถในการอธิบาย (Explainability & Transparency): การออกแบบระบบให้มีความสามารถในการอธิบายตรรกะการตัดสินใจ (Explainable AI: XAI) ตามสัดส่วนของผลกระทบที่มีต่อลูกค้า รวมถึงการเปิดเผยข้อมูลเชิงระบบและจัดทำเอกสารทางเทคนิค (Technical Documentation) ให้พร้อมรับการตรวจสอบ
- การกำกับดูแลโดยมนุษย์ (Human Oversight): การติดตั้งกลไกการกำกับดูแลทั้งก่อนการดำเนินการ (Human-in-the-loop) และหลังการดำเนินการ (Human-on-the-loop) เพื่อให้แน่ใจว่าบุคลากรที่มีความรู้ความเข้าใจสามารถแทรกแซง ยับยั้ง หรือปฏิเสธคำตัดสินของ AI ได้ตลอดเวลา
- การบริหารจัดการความเสี่ยงจากบุคคลที่สามและ DORA (Third-Party Risk & DORA Alignment): การบริหารจัดการความเสี่ยงจากการพึ่งพาผู้ให้บริการเทคโนโลยีภายนอก (Concentration Risk) โดยต้องสอดคล้องกับกฎหมายความทนทานต่อภัยคุกคามไซเบอร์ในภาคการเงิน (Digital Operational Resilience Act: DORA) รวมถึงการจัดทำแผนความต่อเนื่องทางธุรกิจและกลยุทธ์การยกเลิกใช้บริการ (Exit Strategy)
1.4 การเทียบความสัมพันธ์เชิงนโยบายของ EBA (EBA Regulatory Mapping Analysis)
เมื่อวันที่ 21 พฤศจิกายน ค.ศ. 2025 ธนาคารกลางยุโรป (European Banking Authority: EBA) ได้เผยแพร่เอกสารสรุปข้อเท็จจริง (Factsheet) วิเคราะห์การเทียบความสัมพันธ์ระหว่าง EU AI Act และกฎระเบียบการกำกับดูแลภาคธนาคารและการชำระเงินที่มีอยู่เดิม โดยสรุปสาระสำคัญได้ว่า ไม่พบความขัดแย้งเชิงโครงสร้างที่มีนัยสำคัญระหว่างกรอบกฎหมาย AI ใหม่กับกฎหมายการธนาคารเดิม อย่างไรก็ตาม สถาบันการเงินต้องใช้ความพยายามอย่างมากในการบูรณาการระบบบริหารความเสี่ยงด้าน AI เข้ากับกรอบการบริหารความเสี่ยงตามมาตรการความรอบคอบ (Prudential Frameworks) เดิม เช่น SREP (Supervisory Review and Evaluation Process)
EBA เน้นย้ำว่า ไม่มีความจำเป็นต้องแก้ไขกฎระเบียบการธนาคารในทันที แต่จะใช้วิธีสนับสนุนการบังคับใช้ระหว่างปี 2026-2027 ผ่านการสร้างความร่วมมือระหว่างหน่วยงานกำกับดูแลระดับชาติ (NCAs) และหน่วยงานกำกับดูแลตลาด เพื่อลดความซ้ำซ้อนในการตรวจสอบ
ส่วนที่ 2 การกำกับดูแล AI ภาคการเงิน: คณะกรรมการบาเซิล – การกำกับดูแลแบบรอบคอบและการประเมินความเสี่ยง AI
2.1 บทบาทของบาเซิลและสถียรภาพทางการเงินในระดับมหภาค
คณะกรรมการกำกับดูแลด้านการธนาคารแห่งบาเซิล (Basel Committee on Banking Supervision: BCBS) มีบทบาทหลักในการกำหนดมาตรฐานการกำกับดูแลแบบรอบคอบ (Prudential Governance) ในระดับสากล ต่างจาก EU AI Act ที่มุ่งเน้นสิทธิขั้นพื้นฐานและการคุ้มครองผู้บริโภค มุมมองของบาเซิลที่มีต่อ AI มุ่งเน้นไปที่ เสถียรภาพทางการเงิน (Financial Stability), ความเสี่ยงด้านปฏิบัติการ (Operational Risk), และความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity) ของระบบธนาคารทั้งระบบ
2.2 ความเสี่ยงไซเบอร์จาก Frontier AI และผลกระทบต่อเสถียรภาพทางการเงิน
ในการประชุมคณะกรรมการบาเซิล ณ เมืองบาเซิล เมื่อวันที่ 19-20 พฤษภาคม ค.ศ. 2026 ได้มีการอภิปรายถึงผลกระทบอย่างก้าวกระโดดของแบบจำลอง AI ขั้นสูง (Frontier AI Models) ต่อโปรไฟล์ความเสี่ยงของธนาคาร คณะกรรมการฯ ข้อสังเกตว่า แม้ Frontier AI จะช่วยเสริมสร้างขีดความสามารถในการป้องกันการโจมตีทางไซเบอร์ของสถาบันการเงิน แต่ในขณะเดียวกัน ศัตรูทางไซเบอร์ (Cyber Adversaries) ก็สามารถนำ Frontier AI มาใช้สร้างการโจมตีแบบอัตโนมัติที่มีความเร็ว ขนาด และตรรกะที่ซับซ้อนเกินกว่าระบบตั้งรับแบบเดิมจะรับมือได้
ความกังวลนี้สอดคล้องกับจดหมายของคณะกรรมการเสถียรภาพทางการเงิน (Financial Stability Board: FSB) ที่ส่งถึงรัฐมนตรีว่าการกระทรวงการคลังและผู้ว่าการธนาคารกลางกลุ่ม G20 ในเดือนสิงหาคม
ค.ศ. 2026 ซึ่งยกให้ Frontier AI เป็น “ความเสี่ยงด้านเสถียรภาพทางการเงินที่เกิดขึ้นใหม่” (Emerging Financial Stability Risk) โดยระบุว่า AI กำลังเปลี่ยนแปลงตรรกะทางเศรษฐศาสตร์ของการโจมตีทาง
ไซเบอร์ (Economics of Cyberattacks) ทำให้ต้นทุนในการจู่โจมต่ำลง แต่สร้างความเสียหายเป็นวงกว้างในระดับวิกฤตเชิงระบบ (Systemic Crisis)
2.3 การยกระดับหลักการ BCBS 239 และการเฝ้าระวัง Agentic AI ในระบบธนาคาร
แม้คณะกรรมการบาเซิล (Basel Committee on Banking Supervision: BCBS) จะยังไม่ได้ออกหลักเกณฑ์กำกับดูแล AI ฉบับใหม่เป็นการเฉพาะ แต่เลือกใช้กลยุทธ์ยกระดับการบังคับใช้กรอบการบริหารความเสี่ยงที่มีอยู่เดิมอย่างเข้มข้น โดยเฉพาะ BCBS 239 (Risk Data Aggregation and Risk Reporting) ซึ่งเป็นมาตรฐานทองคำในการรับประกันความถูกต้อง ความสมบูรณ์ และความโปร่งใสของข้อมูลความเสี่ยงทั่วทั้งองค์กร การประยุกต์ BCBS 239 สู่การกำกับดูแล AI มาตรฐาน BCBS 239 ซึ่งเดิมเน้นโครงสร้างพื้นฐานข้อมูลความเสี่ยง ถูกนำมาใช้เป็นกรอบธรรมาภิบาลข้อมูล AI (AI Data Governance) เพื่อปิดช่องโหว่ทางกฎหมายและเทคนิคใน 3 มิติหลัก
- การสอบทานเส้นทางข้อมูล (Data Lineage & Traceability): กำหนดให้สถาบันการเงินต้องระบุและบันทึกที่มาของชุดข้อมูลฝึกอบรม (Training Data) ได้แบบ End-to-End เพื่อยืนยันว่าข้อมูลปราศจากอคติ (Data Bias) ไม่ถูกแทรกแซง (Data Poisoning) และสามารถย้อนรอยกระบวนการตัดสินใจของโมเดลได้เมื่อเกิดความผิดพลาด
- ความถูกต้องและความสมบูรณ์ (Accuracy & Completeness): ใช้ควบคุมคุณภาพข้อมูลนำเข้าและส่งออกของโมเดล เพื่อป้องกันปัญหาการสร้างข้อมูลเท็จ (Hallucination) โดยกำหนดให้มีกระบวนการตรวจสอบความเสี่ยงด้านโมเดล (Model Validation) ที่เข้มงวดเทียบเท่าการ
ทำรายงานทางการเงิน - ความทันเวลาและสถาปัตยกรรมเทคโนโลยี (Timeliness & Infrastructure): บังคับให้โครงสร้างพื้นฐานประมวลผลข้อมูลความเสี่ยงได้แบบ Real-time เพื่อรองรับความเร็วในการประมวลผลของ AI โมเดลใหม่ๆ
จุดเปลี่ยนสำคัญ: จาก “AI as a Tool” สู่ “AI as an Agent” รายงานการวิจัยของธนาคารเพื่อการชำระหนี้ระหว่างประเทศ (BIS) และแผนงานปี 2025 – 2026 ของคณะกรรมการบาเซิล ได้เริ่มกระบวนการสแกนความเสี่ยงเชิงรุก (Proactive Horizon Scanning) ต่อการมาถึงของ Agentic AI ซึ่งเป็นการก้าวข้ามจาก “AI ในฐานะเครื่องมือช่วยวิเคราะห์” (Passive Tool) ไปสู่ “AI ในฐานะผู้กระทำการแทนมนุษย์” (Autonomous Agent) ที่สามารถวางแผน ตัดสินใจ และอนุมัติธุรกรรมการเงินได้เองโดยอัตโนมัติ
ผลกระทบต่อกรอบความเสี่ยงและเงินกองทุน การขยายอำนาจการตัดสินใจให้ AI Agent ก่อให้เกิดความเสี่ยงเชิงระบบรูปแบบใหม่ที่ท้าทายเสถียรภาพของสถาบันการเงิน:
- ความพอเพียงของเงินกองทุน (Capital Adequacy): พฤติกรรมการตัดสินใจผิดพลาดแบบส่งต่อกันเป็นห่วงโซ่ของ AI (Cascading Autonomous Errors) หรือการเทขายสินทรัพย์พร้อมกันโดยไม่ได้ตั้งใจ (Flash Crashes) อาจสร้างความเสียหายฉับพลัน ส่งผลให้ธนาคารต้องทบทวนการคำนวณเงินกองทุนเพื่อรองรับความเสี่ยงด้านปฏิบัติการ (Operational Risk Capital) และความเสี่ยงจากโมเดล (Model Risk)
- ความทนทานด้านปฏิบัติการ (Operational Resilience): การลดลงของบทบาทมนุษย์ในการอนุมัติ (Human-in-the-Loop) ทำให้ธนาคารต้องเร่งสร้างระบบกักกันความเสี่ยง (Guardrails) และกลไกหยุดทำงานฉุกเฉิน (Circuit Breakers) เพื่อป้องกันไม่ให้การผิดพลาดของ AI Agent ส่งผลกระทบต่อความต่อเนื่องทางธุรกิจและระบบการเงินโดยรวม
