ใครเป็นคนตัดสินว่า AI อันตรายเกินไป?

AI ตัวใหม่ที่ปล่อยออกมาแต่ละตัว ไม่มีหน่วยงานกลางไหนเซ็นรับรองว่า “ปลอดภัยพอ” เหมือนอย. อนุมัติยา จริงๆ แล้วคนตัดสินคือบริษัทเจ้าของโมเดลเอง ผ่าน internal safety team ที่ตั้งเกณฑ์ขึ้นมาเอง แล้วก็ตรวจสอบตัวเอง

นี่คือจุดที่ชวนสงสัย เพราะบริษัทมีแรงจูงใจสองทางที่ขัดกัน — ปล่อยเร็วเพื่อแข่งตลาด กับ กันไว้ก่อนเพื่อลดความเสี่ยง เวลาสองอย่างนี้ชนกัน ฝั่งไหนจะชนะไม่มีใครรู้แน่จนกว่าจะเกิดเหตุ

หน่วยงานรัฐพยายามเข้ามามีบทบาทมากขึ้น ผ่าน framework อย่าง EU AI Act หรือ executive order ในสหรัฐฯ แต่ปัญหาคือกฎหมายตามเทคโนโลยีไม่ทัน — โมเดลใหม่ออกทุกไม่กี่เดือน ขณะที่กฎหมายใช้เวลาเป็นปีกว่าจะร่างเสร็จ

ส่วนสถาบันตรวจสอบอิสระที่ควรเป็นกรรมการกลาง ก็มักพึ่งพาเงินทุนหรือ access จากบริษัทเดียวกันที่ตัวเองต้องตรวจสอบอยู่ดี

เบื้องหลังภาพที่สรุปสนามอำนาจนี้ในสายตาเดียว

ภาพนี้ไม่ได้ใส่มาเพื่อความสวยงามครับ แต่ตั้งใจให้เห็นว่าวงจรตัดสินใจมันวนเป็นลูป — ห้องแล็บเป็นคนปล่อยโมเดล หน่วยงานกำกับตามหลังเป็นปี ส่วนผู้ตรวจสอบอิสระก็ดันอยู่ใต้ร่มเงาเดียวกับคนที่ตัวเองต้องเช็ค

จุดที่น่าสนใจคือลูกศรในผังแทบไม่มีทางออก ทุกฝ่ายชี้กลับเข้าหากันหมด ไม่มีจุดใดที่พูดได้เต็มปากว่า “ที่นี่คือคนตัดสินสุดท้าย” นี่แหละคือปัญหาที่บทความนี้กำลังจะเจาะลึกต่อไป

วันที่โมเดลตัวหนึ่งถูกดึงออกจากตลาดกลางดึก

จำได้ไหมตอนที่ฟีเจอร์สร้างภาพของค่ายใหญ่โดนพักใช้ชั่วข้ามคืน เพราะผลลัพธ์ที่ออกมาผิดเพี้ยนจนเป็นข่าว หรือกรณีโมเดล open-weight ที่ถูกทีมความปลอดภัยภายในเตือนก่อนปล่อยจริง แต่สุดท้ายก็ยังหลุดออกสู่สาธารณะอยู่ดี

สิ่งที่น่าคิดคือ การ “ดึงออก” แต่ละครั้งไม่ได้มาจากคำสั่งศาลหรือหน่วยงานรัฐ แต่มาจากทีมภายในบริษัทเองที่ตัดสินใจกดปุ่มหยุด บางทีก็เพราะกระแสโซเชียล บางทีก็เพราะรายงานภายในที่ไม่มีใครเห็นรายละเอียด

คำถามที่ค้างคาคือ ใครอนุมัติให้ปล่อยตั้งแต่แรก แล้วใครมีอำนาจพอจะบอกว่า “พอแค่นี้” — ถ้าคนตัดสินใจทั้งสองจุดเป็นทีมเดียวกัน เกณฑ์ที่ใช้ก็ยังเป็นกล่องดำที่คนนอกมองไม่เห็นอยู่ดี

แล้วอำนาจตัดสินใจจริงๆ อยู่ตรงไหนของระบบนี้

ลองแยกเป็น 3 ชั้นดู ชั้นแรกคือห้องแล็บเอง — พวกเขาประเมินความเสี่ยงของโมเดลตัวเอง ตั้งเกณฑ์เอง แล้วก็ตัดสินใจปล่อยเอง นี่คืออำนาจสูงสุดในทางปฏิบัติ เพราะไม่มีใครเห็นข้อมูลดิบก่อนพวกเขา

ชั้นสองคือหน่วยงานรัฐ ซึ่งมีอำนาจ “บังคับ” ตามกฎหมายจริง แต่กว่ากฎจะออกมาทันเทคโนโลยีที่เปลี่ยนทุกไตรมาสก็มักช้ากว่าเสมอ

ชั้นสามคือสถาบันตรวจสอบอิสระ (third-party evaluator) ที่ทำหน้าที่คล้ายผู้ตรวจสอบบัญชี — เข้าไปทดสอบโมเดลแล้วเขียนรายงาน แต่ส่วนใหญ่มีอำนาจแค่ “แนะนำ” ไม่มีอำนาจ “สั่งหยุด”

ผลคือคนที่มีข้อมูลเยอะสุด (ห้องแล็บ) มักเป็นคนเดียวที่มีอำนาจสั่งหยุดจริง ส่วนคนที่ควรมีอำนาจตามหลักการ (รัฐ, ผู้ตรวจสอบอิสระ) กลับมีแค่เสียงประกอบ

จากยุคขอความร่วมมือ สู่ยุคที่เริ่มมีกฎบังคับ

ย้อนไปยุค GPT-2 (2019) โลกยังเล่นกับ “staged release” — ค่อยๆ ปล่อยโมเดลทีละขั้น แล้วดูผลตอบรับ ทั้งหมดนี้อยู่บนความสมัครใจของแล็บเอง ไม่มีใครบังคับได้จริง

ตอนนี้ต่างออกไป EU AI Act เริ่มมีผลบังคับใช้จริงแล้ว ไม่ใช่แค่ guideline ให้อ่านเล่นๆ อีกต่อไป

สิ่งที่เปลี่ยนคือมี “กลไก” เกิดขึ้นจริง แม้จะยังไม่ครอบคลุมทุกประเทศก็ตาม

เมื่อกลไกเหล่านี้เจอเข้ากับชีวิตจริง

ลองนึกภาพทีม IT บริษัทไทยจะ deploy chatbot ให้ลูกค้า สิ่งแรกที่ควรเช็คคือ model card — เอกสารที่บอกว่าโมเดลถูกเทรนด้วยข้อมูลอะไร มีข้อจำกัดตรงไหน เคย fail เรื่องอะไรบ้าง ถ้าไม่มีเอกสารนี้ = เสี่ยงเอาของที่ไม่รู้จักไปให้คนใช้จริง

อีกเคสคือสตาร์ทอัพเลือกโมเดล open-weight ตัวใหม่มาต่อยอด ตรงนี้ red-teaming (ให้ทีมภายนอกลองแหกกฎโมเดลก่อนปล่อยจริง) สำคัญมาก เพราะ open-weight แก้ไขเองไม่ได้ง่ายๆ หลังปล่อยไปแล้ว

ส่วน staged release แบบค่อยๆ ปล่อยให้กลุ่มเล็กก่อน คือสิ่งที่ปกป้องพ่อแม่ที่กังวลลูกคุยกับแชทบอท เพราะเจอปัญหาได้ไวก่อนขยายวงกว้าง — ถ้าไม่มีอำนาจเรียกคืนรองรับด้วย ต่อให้เจอปัญหาก็หยุดไม่ทัน

เทียบกันชัดๆ ใครกำกับ AI แบบไหน

ตอนนี้โลกใช้ 3 แนวทางคู่ขนานกัน ไม่มีมาตรฐานกลางแบบเดียว

EU AI Act บังคับตามกฎหมายจริง แบ่งระดับความเสี่ยงชัดเจน มีบทลงโทษ แต่กระบวนการออกกฎช้า ตามเทคโนโลยีไม่ทัน สหรัฐฯ ใช้ NIST AI RMF เป็นกรอบแนะนำ บวก executive order ที่เปลี่ยนได้ทุกสมัยประธานาธิบดี ผสมกฎหมายรัฐที่ไม่ตรงกัน — ยืดหยุ่นกว่าแต่ไม่มีฟันจริง

ส่วนแนวทางกำกับตัวเองของบริษัท อย่าง RSP หรือ Preparedness Framework เร็วที่สุดเพราะบริษัทออกกฎเองได้ทันที ปรับตามโมเดลใหม่ได้ไว แต่ช่องโหว่คือไม่มีใครบังคับให้ทำตามจริง ถ้าบริษัทอยากข้ามขั้นตอนก็ทำได้

ข้อดีข้อเสียของระบบที่ไม่มีใครมีอำนาจเบ็ดเสร็จ

พอไม่มีใครถืออำนาจตัดสินใจคนเดียว ระบบก็กลายเป็นการถ่วงดุลกันไปมา — รัฐบาลออกกฎ บริษัทตั้งมาตรฐานเอง นักวิจัยคอยตรวจสอบ แต่ละฝ่ายเบรกกันไม่ให้ใครเกินเลย

ข้อดีคือไม่มีจุดเดียวที่ผิดพลาดแล้วพังทั้งระบบ (single point of failure) ถ้าฝ่ายหนึ่งพลาด อีกฝ่ายยังคอยจับตาอยู่

แต่ข้อเสียก็ชัดเจนไม่แพ้กัน การตัดสินใจช้าเพราะต้องรอความเห็นตรงกันหลายฝ่าย และเกิดช่องว่างที่ไม่มีใครรับผิดชอบเต็มๆ พอเกิดปัญหาข้ามพรมแดนแบบ AI ที่ไม่รู้ผิดใคร กฎแต่ละประเทศ แต่ละบริษัทก็ขัดกันเอง ทำให้บางเรื่องหลุดรอดไปได้เพราะไม่มีเจ้าภาพชัดเจน

ผลข้างเคียงของการอ้าง “ผ่านตรวจสอบแล้ว” ที่มักถูกมองข้าม

กฎ compliance ที่ออกแบบมาเพื่อคุมบริษัทยักษ์ใหญ่ พอบังคับใช้จริงกลับทับสตาร์ทอัพเล็กหนักกว่า เพราะทีมกฎหมาย/audit คือต้นทุนคงที่ที่บริษัทใหญ่รับไหวสบายกว่ามาก นี่คือความเสี่ยง regulatory capture แบบเนียนๆ — กฎที่อ้างว่าปกป้องผู้บริโภค กลับกลายเป็นกำแพงกันคู่แข่งรายใหม่ไม่ให้โผล่มา

อีกเรื่องคือความล่าช้า ประเทศที่ไม่ได้อยู่ในวงเจรจาหลัก รวมถึงไทยและเอเชียตะวันออกเฉียงใต้ มักได้ฟีเจอร์ AI ใหม่ช้ากว่า เพราะบริษัทเลือก rollout ในตลาดที่กฎชัดเจนก่อน

ที่อันตรายสุดคือภาพลวงตา “ผ่านการตรวจสอบแล้ว = ปลอดภัย 100%” ป้าย certified ทำให้คนใช้งานการ์ดตก ทั้งที่การตรวจสอบส่วนใหญ่เป็นแค่ snapshot ณ เวลาหนึ่ง ไม่ได้รับประกันพฤติกรรมโมเดลในทุกสถานการณ์ที่ตามมา

สิ่งที่ควรจับตาต่อจากนี้ ไม่ใช่แค่รอดูว่าใครจะเป็นคนตัดสิน

สำหรับ dev และผู้ประกอบการไทย สัญญาณที่ควรติดตามจริงๆ มี 3 อย่าง: กำหนดบังคับใช้จริงของ EU AI Act (เพราะ platform ใหญ่มักปรับ policy ตามเกณฑ์นี้ทั่วโลก ไม่ใช่แค่ยุโรป), รายงานประเมินจาก AI Safety Institute ต่างๆ ที่เริ่มออกมาเรื่อยๆ, และท่าทีของอาเซียนต่อกรอบกำกับ AI ข้ามพรมแดน ซึ่งยังไม่มีความชัดเจนเท่าไหร่

สามอย่างนี้แหละที่จะกำหนดว่าฟีเจอร์ AI ตัวไหนจะมาถึงมือเราเร็วหรือช้า และมาแบบมีข้อจำกัดอะไรบ้าง

คำถามที่น่าคิดต่อคือ ถ้าวันหนึ่งมาตรฐาน “ปลอดภัยพอ” ของแต่ละภูมิภาคเริ่มขัดกันเอง ธุรกิจไทยที่ build บน AI platform ต่างชาติจะวางแผนรับมือความไม่แน่นอนนี้ยังไง?