AI ในธนาคารและธุรกิจชำระเงินของไทยใช้ได้ภายใต้กรอบของแนวนโยบายธนาคารแห่งประเทศไทย (ธปท.) เรื่องการบริหารจัดการความเสี่ยงของการใช้งานระบบปัญญาประดิษฐ์ ลงวันที่ 12 กันยายน 2568 (ค.ศ. 2025) ซึ่งกำหนดแนวทางสองส่วน คือ ธรรมาภิบาลของการนำ AI มาใช้ และการพัฒนาและรักษาความมั่นคงปลอดภัยของระบบ AI โดยให้ปรับระดับการควบคุมตามความเสี่ยงของแต่ละงาน
บทความนี้สรุปแนวนโยบาย AI ธปท. รายข้อจากเอกสารฉบับที่ ธปท. เผยแพร่ แล้วแปลงเป็นสิ่งที่ทีมธุรกิจและทีมพัฒนาต้องเตรียม เลขข้อในวงเล็บอ้างอิงตามเอกสารฉบับนั้น ควรอ่านฉบับเต็มและปรึกษาฝ่ายกำกับดูแลขององค์กรก่อนตัดสินใจ
สรุปสั้น
- แนวนโยบาย ธปท. ลงวันที่ 12 กันยายน 2568 ใช้กับสถาบันการเงิน สถาบันการเงินเฉพาะกิจ และผู้ประกอบธุรกิจระบบและบริการการชำระเงินภายใต้การกำกับ (ข้อ 3)
- ระบบ AI ตามแนวนโยบายนี้ไม่รวมระบบอัตโนมัติที่มนุษย์กำหนดขั้นตอนไว้ เช่น RPA หรือสคริปต์อัตโนมัติ (ข้อ 4.1 และคำถาม-คำตอบแนบท้ายข้อ 1)
- สำหรับงานที่เกี่ยวกับการตัดสินใจเชิงกลยุทธ์ เช่น การอนุมัติสินเชื่อหรือเปิดบัญชี หรืองานที่กระทบลูกค้าโดยตรง ผู้ให้บริการทางการเงินอาจพิจารณาให้มนุษย์มีส่วนร่วมหรือกำกับดูแลตามความเสี่ยงและผลกระทบ (ข้อ 4.4 ส่วนที่ 1 (3.2))
- เมื่อใช้ AI สนทนากับลูกค้าแทนมนุษย์ ควรมีแนวทางแจ้งลูกค้าว่าเป็นบริการด้วย AI และอาจมีทางเลือกให้ติดต่อเจ้าหน้าที่ (ข้อ 4.4 ส่วนที่ 1 (3.3))
- คำถาม-คำตอบแนบท้ายระบุว่าผู้ให้บริการพิจารณานำเนื้อหาที่เกี่ยวข้องมาใช้ได้ ไม่ว่าระบบ AI จะพัฒนาเองหรือเป็นของบุคคลภายนอก เช่น Generative AI chatbot ที่ใช้ภายในองค์กร และผู้ให้บริการยังต้องปฏิบัติตามกฎหมายที่เกี่ยวข้อง เช่น กฎหมายคุ้มครองข้อมูลส่วนบุคคล (คำถาม-คำตอบแนบท้ายข้อ 4 และ 5)
แนวนโยบาย AI ธปท. ครอบคลุมอะไรบ้าง
| ส่วนของเอกสาร | สาระสำคัญ |
|---|---|
| ข้อ 2 วัตถุประสงค์ | เป็นแนวทางเพิ่มเติมจากเกณฑ์อื่นของ ธปท. เช่น การกำกับความเสี่ยงด้านเทคโนโลยีสารสนเทศ ความเสี่ยงจากบุคคลภายนอก การกำกับดูแลข้อมูล และการให้บริการลูกค้าอย่างเป็นธรรม (market conduct) |
| ข้อ 4.2 ลักษณะความเสี่ยง | ความเสี่ยงสามด้าน คือ ข้อมูล การพัฒนาโมเดล และภัยคุกคามไซเบอร์ เช่น prompt injection, model inversion, data poisoning และ adversarial attack |
| ข้อ 4.3 หลักการ | ผู้ให้บริการรับผิดชอบต่อการทำงานของ AI และการตัดสินใจที่อ้างอิงผล AI กำกับดูแลตามหลัก FEAT (fairness, ethics, accountability, transparency) บริหารความเสี่ยงตลอดวงจรชีวิตของ AI และคุ้มครองลูกค้าอย่างโปร่งใสและเป็นธรรม |
| ข้อ 4.4 ส่วนที่ 1 | ธรรมาภิบาล บทบาทคณะกรรมการและผู้บริหาร นโยบายการใช้ AI และการบริหารความเสี่ยง |
| ข้อ 4.4 ส่วนที่ 2 | การควบคุมด้านข้อมูล ด้านการพัฒนาโมเดล และด้านไซเบอร์ |
ข้อ 4.2 ยังระบุว่าผู้ให้บริการควรพิจารณาความเสี่ยงด้านอื่นตามลักษณะการใช้งาน (use case) เช่น ความเสี่ยงด้านเครดิตและด้านปฏิบัติการ
ส่วนที่ 1 – ธรรมาภิบาลและการมีส่วนร่วมของมนุษย์
ตามข้อ 4.4 ส่วนที่ 1 ผู้ให้บริการทางการเงินควร
- กำหนดบทบาทคณะกรรมการและผู้บริหารระดับสูงให้ชัด (1) รวมถึงความรับผิดชอบต่อการตัดสินใจและการดำเนินการของระบบ AI การดูแลให้มีนโยบายการใช้ AI การกำหนดบทบาทตามหลัก three lines of defence และการพัฒนาทักษะบุคลากรไม่ให้พึ่งผลลัพธ์ของ AI มากเกินไป
- มีนโยบายและกรอบการใช้ AI ที่ทบทวนเป็นประจำ (2) ให้เท่าทันเทคโนโลยีและความเสี่ยงที่เปลี่ยนไป
- ระบุความเสี่ยงและกำหนดระดับความเสี่ยงที่ยอมรับได้ (3.1) พร้อมประเมินและติดตามต่อเนื่อง
- พิจารณาการมีส่วนร่วมของมนุษย์ตามความเสี่ยง (3.2) แนวนโยบายใช้คำว่า "อาจพิจารณา" ให้มนุษย์มีส่วนร่วมในการตัดสินใจ (human in the loop คือ AI ให้คำแนะนำ แต่ทำงานหรือตัดสินใจเองไม่ได้โดยปราศจากมนุษย์) หรือกำกับดูแล (human over the loop คือ AI ทำงานอัตโนมัติ แต่มนุษย์เข้าควบคุมหรือระงับได้) ตามความเหมาะสม เชิงอรรถยกตัวอย่างงานเชิงกลยุทธ์ เช่น การอนุมัติสินเชื่อ การอนุมัติเปิดบัญชี และการอนุมัติฝาก ถอน หรือโอนเงิน
- แจ้งลูกค้าเมื่อใช้ AI สื่อสารแทนมนุษย์ (3.3) และอาจมีทางเลือกให้ลูกค้าติดต่อเจ้าหน้าที่ถ้าไม่ประสงค์จะสื่อสารกับ AI
ในทางปฏิบัติ หมายความว่าแชทบอทที่ตอบลูกค้าควรบอกตั้งแต่ต้นว่าเป็น AI และออกแบบทางไปหาเจ้าหน้าที่ไว้ ส่วนงานอนุมัติที่กระทบลูกค้าควรมีเอกสารว่าเลือกการมีส่วนร่วมของมนุษย์แบบใด เพราะอะไร
ส่วนที่ 2 – การควบคุมด้านข้อมูล โมเดล และไซเบอร์ ในภาษาทีมพัฒนา
| ข้อในแนวนโยบาย | สิ่งที่แนวนโยบายระบุ | สิ่งที่ทีมพัฒนาต้องเตรียม |
|---|---|---|
| ส่วนที่ 2 (1.1)–(1.2) | เกณฑ์ประเมินคุณภาพข้อมูล ทั้งความเป็นปัจจุบัน ความถูกต้อง ปริมาณ และความหลากหลาย | ขั้นตอนตรวจข้อมูลก่อนนำไปใช้ และบันทึกผลการตรวจ |
| ส่วนที่ 2 (1.3) | จำกัดการเข้าถึงข้อมูลของระบบ AI ปกป้องข้อมูลส่วนบุคคล เช่น data masking, hashing, input sanitization และแยกข้อมูลองค์กรเมื่อใช้ AI ของบุคคลภายนอก (data boundary) | ปิดบังข้อมูลส่วนบุคคลก่อนส่งให้โมเดล กำหนดสิทธิ์ของระบบ AI แยกจากสิทธิ์ของคน |
| ส่วนที่ 2 (2.1)–(2.2) | ตัวชี้วัดประสิทธิภาพที่ชัด ทดสอบและติดตามทั้งก่อนและหลังใช้งาน ด้วยข้อมูลชุดใหม่ ข้อมูลคลาดเคลื่อน และกรณีพิเศษ | ชุดทดสอบที่รวมกรณียาก และรายงานผลซ้ำทุกครั้งที่ปรับระบบ |
| ส่วนที่ 2 (2.3) | ลดความเสี่ยงที่ Generative AI ให้ข้อมูลเท็จ เช่น ใช้ RAG หรือ prompt engineering | ให้โมเดลตอบจากเอกสารอ้างอิง และกำหนดขอบเขตคำตอบ |
| ส่วนที่ 2 (2.4) | ทำให้ผู้เกี่ยวข้องเข้าใจและอธิบายผลได้ เช่น เอกสารอธิบายอินพุต เอาต์พุต และพารามิเตอร์ หรือให้ระบุแหล่งอ้างอิง | เอกสารออกแบบระบบ และแสดงแหล่งอ้างอิงคู่กับคำตอบ |
| ส่วนที่ 2 (3.1)–(3.3) | คัดกรองทั้งคำสั่งขาเข้าและผลลัพธ์ขาออก ทดสอบการโจมตีต่อเนื่อง อ้างอิงมาตรฐาน เช่น OWASP ML Security Top 10, OWASP Top 10 for LLM Applications และ MITRE ATLAS | prompt filtering, response filtering และแผนทดสอบการโจมตี |
RAG (Retrieval-Augmented Generation) ตามเชิงอรรถของแนวนโยบาย คือเทคนิคที่ให้โมเดลอ้างอิงฐานความรู้ที่เชื่อถือได้ภายนอกข้อมูลที่ใช้ฝึกก่อนแสดงผลลัพธ์ ดูแนวทางพัฒนาระบบลักษณะนี้ที่บริการพัฒนาระบบ RAG
บทความนี้เป็นข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมายหรือการกำกับดูแล (ข้อมูล ณ ตุลาคม 2026)
เริ่มใช้ AI ในธนาคารจากงานที่ความเสี่ยงต่ำกว่า
ตัวอย่างงานที่ใกล้เคียงคือกรณีศึกษาระบบวิเคราะห์เอกสารด้วย LLM ที่ NKKTech Global บริษัทพัฒนา AI ที่มีทีมวิศวกรในฮานอย ประเทศเวียดนาม ทำให้บริษัทฟินเทคในสหรัฐฯ (ไม่เปิดเผยชื่อตามข้อตกลง) ใช้เวลา 14 สัปดาห์ งบ USD 85,000 ผลที่เผยแพร่คือเวลาประมวลผลเอกสารลดลง 80% ความแม่นยำ 95% และประหยัดได้ USD 200,000 ต่อปี ลูกค้ารายนี้ไม่ได้อยู่ภายใต้การกำกับของ ธปท. จึงเป็นตัวอย่างประเภทงาน ไม่ใช่ตัวอย่างการปฏิบัติตามแนวนโยบายนี้
ถ้าเพิ่งเริ่ม งานภายในที่มีคนตรวจผลทุกครั้งเป็นจุดเริ่มที่ความเสี่ยงต่อลูกค้าต่ำกว่า เช่น ผู้ช่วยค้นระเบียบและคู่มือผลิตภัณฑ์ให้พนักงาน หรือการสรุปเอกสารให้เจ้าหน้าที่ งานเหล่านี้ไม่ได้ตัดสินใจแทนลูกค้า และช่วยให้องค์กรสร้างนโยบาย ชุดทดสอบ และบันทึกการทำงานตามส่วนที่ 1 และ 2 ก่อนขยายไปงานที่กระทบลูกค้า
ข้อมูลลูกค้าในโครงการ AI ยังต้องเป็นไปตามพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เช่น ข้อตกลงกับผู้ประมวลผลข้อมูลตามมาตรา 40 และหลักเกณฑ์การส่งข้อมูลไปต่างประเทศตามมาตรา 28–29 เมื่อใช้ API ของผู้ให้บริการโมเดลต่างประเทศ ดูประกาศล่าสุดที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) และอ่านรายละเอียดเรื่อง PDPA กับระบบ AI เพิ่มเติมในบทความ PDPA กับ AI
คำถามที่พบบ่อย
ธนาคารในไทยใช้ Generative AI อย่าง ChatGPT ได้ไหม? แนวนโยบาย AI ธปท. ไม่ได้ห้ามใช้ Generative AI แต่กำหนดแนวทางลดความเสี่ยงจากข้อมูลเท็จ เช่น การใช้ RAG หรือ prompt engineering (ข้อ 4.4 ส่วนที่ 2 (2.3)) และการแยกข้อมูลองค์กรเมื่อใช้ AI ของบุคคลภายนอก (ส่วนที่ 2 (1.3)) คำถาม-คำตอบแนบท้ายข้อ 5 ยังระบุว่าผู้ให้บริการพิจารณานำเนื้อหาที่เกี่ยวข้องไปใช้กับ AI ของบุคคลภายนอกได้ เช่น Generative AI chatbot แบบสำเร็จรูปที่ใช้ภายในองค์กร
แนวนโยบาย AI ของ ธปท. ใช้กับใครบ้าง? ตามข้อ 3 ใช้กับสถาบันการเงินและสถาบันการเงินเฉพาะกิจตามกฎหมายว่าด้วยธุรกิจสถาบันการเงิน และผู้ประกอบธุรกิจระบบและบริการการชำระเงินภายใต้การกำกับตามกฎหมายว่าด้วยระบบการชำระเงิน ธุรกิจการเงินอื่น เช่น ประกันภัยหรือหลักทรัพย์ อยู่ภายใต้หน่วยงานกำกับของตนเอง
แนวนโยบาย ธปท. บังคับให้คนต้องอนุมัติทุกการตัดสินใจของ AI หรือไม่? ไม่ได้กำหนดแบบนั้น ข้อ 4.4 ส่วนที่ 1 (3.2) ใช้คำว่าอาจพิจารณาให้มนุษย์มีส่วนร่วมในการตัดสินใจหรือกำกับดูแลตามความเหมาะสม โดยพิจารณาตามความเสี่ยงและผลกระทบ โดยเฉพาะงานเชิงกลยุทธ์อย่างการอนุมัติสินเชื่อ และงานที่กระทบลูกค้าโดยตรง
ขั้นตอนถัดไป
ต้องการเริ่มใช้ AI ในธนาคารให้สอดคล้องกับแนวนโยบาย ธปท. ใช่ไหม นัดคุยฟรี 30 นาทีเพื่อเลือกงานภายในที่ความเสี่ยงต่ำ แล้วรับข้อเสนอราคาคงที่สำหรับ AI Pilot ราคาเริ่มต้น USD 3,000 ที่มีชุดทดสอบและบันทึกการทำงานครบ ภายใน 3 วันทำการ
ทีมวิศวกรอาวุโสในเวียดนาม ขอบเขตงานชัดเจน และส่งข้อเสนอเป็นลายลักษณ์อักษรภายใน 3 วันทำการ
10 years of experience working with Japanese companies — two of those years based in Japan. Has run the business since 2018 (as NKKTech since 2025) with a senior-only engineering model.