นโยบายการใช้ AI ในองค์กร — ร่างที่เอาไปใช้ได้จริง ไม่ใช่คำสวย ๆ ติดผนังAn AI Use Policy Your Organisation Can Actually Apply
อัปเดตล่าสุด 2026-09-16Last updated 2026-09-16
นโยบาย AI ที่ใช้ได้จริงต้องตอบได้ว่า "ถ้ามันผิด ใครรับผิด" ถ้าตอบข้อนี้ไม่ได้ ที่เหลือเป็นแค่ถ้อยคำA workable AI policy answers one question — "if it goes wrong, who is accountable?" If it cannot answer that, everything else is just wording.
เรื่องมักเริ่มแบบนี้ ผู้บริหารอ่านข่าวเรื่อง AI มาสักชิ้น แล้วสั่งฝ่ายบุคคลว่า "ไปทำนโยบายการใช้ AI มาให้หน่อย" คนที่ถูกสั่งเปิดหาในกูเกิล เจอ template จากต่างประเทศเต็มไปด้วยหลักการสวยหรู เช่น ใช้ AI อย่างมีความรับผิดชอบ โปร่งใสและเป็นธรรม แต่ไม่มีข้อไหนสักข้อบอกว่าเวลาเกิดปัญหาจริงต้องทำยังไง ระหว่างที่นโยบายยังไม่เสร็จ ทีมขายก็ใช้ AI ร่างใบเสนอราคาอยู่แล้ว ทีมมาร์เก็ตติ้งใช้สร้างภาพโฆษณา ฝ่ายบุคคลเองก็แอบใช้สรุปเรซูเม่ผู้สมัคร ทุกคนใช้กันเงียบ ๆ โดยไม่มีใครรู้ว่าทำได้แค่ไหน และไม่มีใครกล้าถามเพราะกลัวถูกห้ามIt usually starts like this. Management reads a news story about AI and tells HR to "go write us an AI policy." Whoever gets the assignment searches online and finds a foreign template full of lofty principles — use AI responsibly, transparently, fairly — but not one clause that says what to actually do when something goes wrong. While the policy is still unwritten, sales is already using AI to draft quotes, marketing to generate ad images, and HR itself to summarise applicant resumes. Everyone is using it quietly, nobody knows exactly how far they are allowed to go, and nobody wants to ask in case the answer is a ban.
แล้ววันหนึ่งมันก็เกิดขึ้นจริง AI สรุปเรซูเม่ผิดจนพลาดผู้สมัครที่ดีที่สุดไปทั้งที่เขาสมัคร หรือพนักงานใช้ AI ช่วยร่างอีเมลแล้วกดส่งข้อมูลลูกค้าผิดคน คำถามที่ตามมาทันทีคือใครรับผิดชอบ คนที่พิมพ์คำสั่งให้ AI ทำ คนที่กดส่งโดยไม่ตรวจทาน หรือฝ่ายบุคคลที่เขียนนโยบายไว้ไม่ชัด นี่คือคำถามที่ template สวยหรูตอบไม่ได้ เพราะมันเขียนขึ้นให้ฟังดูดี ไม่ได้เขียนขึ้นให้ใช้งานจริง หน้านี้เขียนขึ้นมาเพื่อให้คำตอบที่ตรงกันข้าม คือแจกโครงร่างนโยบาย 8 ข้อที่ก๊อปไปวางในนโยบายขององค์กรคุณได้ทันที พร้อมคำอธิบายว่าทำไมแต่ละข้อถึงสำคัญThen one day it actually happens. AI misreads a résumé and the best candidate never makes it past the summary, or a staff member drafts an email with AI and sends a customer's data to the wrong person. The question that follows immediately is who is accountable — the person who typed the prompt, the person who hit send without checking, or HR for writing a vague policy. That is the question the pretty template cannot answer, because it was written to sound good, not to be used. This page does the opposite: it hands you eight ready-to-copy clauses for your own organisation's policy, with an explanation of why each one matters.
สรุปสั้นTL;DR
หน้านี้อธิบายว่านโยบายการใช้ AI ที่ใช้ได้จริงต้องมีอะไรบ้าง โดยยึดหลักความรับผิดชอบมากกว่าคำสวยหรู ไล่ความเชื่อผิด ๆ ที่พบบ่อย 5 คู่ ให้แนวทางปฏิบัติ 5 ข้อที่เริ่มได้วันนี้โดยไม่ต้องจ้างใคร และแจกโครงร่างนโยบาย 8 ข้อที่ก๊อปไปปรับใช้ได้ทันที ครอบคลุมประเภทข้อมูลต้องห้าม เครื่องมือที่อนุมัติ การตรวจทานก่อนเผยแพร่ การเปิดเผยต่อลูกค้า การตัดสินใจที่ต้องมีคน การรายงานความผิดพลาดโดยไม่โดนลงโทษ การใช้บัญชีส่วนตัว และเจ้าของนโยบาย พร้อมตารางเปรียบเทียบสามท่าที และขอบเขตที่หน้านี้ตอบแทนไม่ได้This page sets out what a workable AI policy actually needs, built on accountability rather than fine words. It walks through five common myths and the reality behind each, five practical steps you can start today without hiring anyone, and eight ready-to-copy policy clauses covering forbidden data classes, approved tools, review before publication, customer disclosure, decisions that require a human, no-blame error reporting, personal-account use, and policy ownership — plus a table comparing three governance postures and an honest account of what this page cannot answer for you.
หน้านี้เขียนให้ใครWho This Page Is For
สามคนนี้มักเป็นคนที่ต้องเกี่ยวข้องกับนโยบาย AI ในองค์กร ไม่ว่าจะเต็มใจหรือไม่ก็ตามThese three people usually end up involved in an organisation's AI policy, whether they wanted to be or not.
ฝ่ายบุคคลหรือแอดมินที่ถูกสั่งให้เขียนนโยบายHR or admin staff told to write the policy
คุณได้รับมอบหมายให้ "ไปทำนโยบาย AI มา" โดยไม่มีใครบอกว่าควรมีอะไรบ้าง หน้านี้ให้โครงร่าง 8 ข้อที่ก๊อปไปตั้งต้นได้ทันที แทนที่จะต้องแปลจาก template ต่างประเทศเองYou were handed the task of "going and writing an AI policy" with nobody telling you what belongs in it. This page gives you eight clauses to start from, instead of translating a foreign template yourself.
หัวหน้าแผนกที่ทีมใช้ AI กันเองอยู่แล้วThe department head whose team already uses it unofficially
คุณรู้อยู่แล้วว่าทีมใช้ AI ช่วยทำงานเป็นปกติ ไม่จำเป็นต้องห้าม แต่ต้องมีคำตอบว่าข้อมูลไหนพิมพ์ไม่ได้ และงานแบบไหนต้องมีคนตรวจก่อนส่งออกYou already know your team uses AI as part of daily work. You do not need to ban it — you need answers about which data may not go in, and which output needs a human check before it leaves.
ผู้บริหารที่ต้องเซ็นอนุมัติThe executive who has to sign off
คุณต้องรู้ว่าข้อไหนในนโยบายบังคับใช้ได้จริง กับข้อไหนเป็นแค่ถ้อยคำสวยงามที่ไม่มีทางตรวจสอบ ส่วนที่ 3 และ 4 ของหน้านี้เขียนขึ้นมาเพื่อคุณโดยเฉพาะYou need to know which clauses are actually enforceable and which are just decorative wording nobody can verify. Sections 3 and 4 below are written specifically for you.
นโยบาย AI ควรมีอะไรบ้างWhat should an AI policy actually contain?
คำตอบตรงไปตรงมาคือ นโยบายที่ใช้ได้จริงยึดความรับผิดชอบเป็นแกน ไม่ใช่หลักการ หลักการบอกได้แค่ว่าอยากให้เป็นแบบไหน แต่ความรับผิดชอบบอกได้ว่าเมื่อมีปัญหาจริง ใครต้องเป็นคนแก้และใครต้องเป็นคนตอบ หกข้อนี้คือสิ่งที่เราเห็นว่าทำหน้าที่นั้นได้จริงในองค์กรที่เราอบรมThe honest answer is that a workable policy is built around accountability, not principle. A principle only states what you would like to be true; accountability states who fixes it and who answers for it when something actually goes wrong. These six points are what we have seen genuinely do that job inside the organisations we train.
หกเสาหลักของนโยบายที่ใช้ได้จริงSix pillars of a workable policy
- เจ้าของงานที่ระบุตัวได้ — งานทุกชิ้นที่ใช้ AI ช่วยทำแล้วออกนอกองค์กร ต้องมีพนักงานคนหนึ่งที่ระบุชื่อได้เป็นเจ้าของเนื้อหาสุดท้าย ไม่ใช่ "ทีม" หรือ "ฝ่าย" ลอย ๆ ที่ไม่มีใครตอบแทนใครได้A named human owns every output — every AI-assisted piece of work leaving the organisation has one identifiable employee who owns the final content, not a "team" or "department" that nobody can be held to.
- จัดประเภทข้อมูลก่อนเลือกเครื่องมือ — กติกาที่ใช้ได้จริงคือกติกาว่าข้อมูลแบบไหนพิมพ์ลงไปได้ ไม่ใช่กติกาว่าเครื่องมือไหนกำลังได้รับความนิยม เพราะเครื่องมือใหม่เกิดขึ้นเร็วกว่าที่นโยบายจะตามทันเสมอClassify data before you classify tools — the only rule that stays useful is one about what data may be entered, not which tool happens to be popular, because new tools always arrive faster than a policy can track them.
- เปิดเผยในจุดที่คนทั่วไปอยากรู้ — ไม่ต้องประกาศทุกครั้งที่ร่างแรกผ่าน AI มาก่อน แต่ต้องบอกเมื่อ AI มีผลจริงต่อเนื้อหาหรือการตัดสินใจที่ส่งถึงอีกฝ่ายDisclose wherever a reasonable person would want to know — you do not need to announce every time a first draft passed through AI, but you must say so when AI genuinely shaped the content or decision reaching the other party.
- รายการสั้น ๆ ว่าการตัดสินใจแบบไหนต้องมีคนตัดสิน — ไม่ใช่รายการยาวเป็นหน้ากระดาษ แต่สั้นพอที่พนักงานทุกคนจำได้โดยไม่ต้องเปิดเอกสารA short list of decisions that require a human decider — not a page-long list, but short enough that every employee can recall it without opening a document.
- ช่องทางแจ้งความผิดพลาดโดยไม่โดนลงโทษ — เพราะนโยบายที่ลงโทษคนที่รายงานปัญหา จะได้ผลลัพธ์เป็นความเงียบ ไม่ใช่ความปลอดภัยA route to report an AI mistake without being punished — because a policy that punishes the reporter produces silence, not safety.
- วันทบทวน — เพราะข้อความใดก็ตามที่เขียนด้วยถ้อยคำเด็ดขาดเกี่ยวกับเรื่องนี้จะล้าสมัยเร็วกว่าที่คิด ทั้งเทคโนโลยีและกติกาที่เกี่ยวข้องเปลี่ยนเร็วตลอดเวลาA review date — because anything written about this topic in absolute terms goes stale faster than expected, as both the technology and the rules around it keep moving.
ถ้านโยบายของคุณตอบหกข้อนี้ได้ครบ ส่วนที่เหลือเป็นเรื่องของการจัดรูปแบบ ไม่ใช่เนื้อหาที่ขาดไม่ได้If your policy answers all six, the rest is formatting — not missing substance.
ที่คนเข้าใจผิด กับที่เป็นจริงWhat People Get Wrong, and What Is Actually True
ความเชื่อห้าข้อนี้พบบ่อยที่สุดในห้องประชุมที่กำลังถกเรื่องนโยบาย AI แต่ละข้อมีเหตุผลรองรับอยู่บ้าง ไม่ใช่ความเชื่อที่ไร้สาระ เพียงแต่พลาดตรงจุดที่สำคัญที่สุดThese five beliefs come up most often in meetings discussing an AI policy. Each has some reasoning behind it — none is a straw man — but each misses the point that matters most.
ความเชื่อ: ห้ามใช้ AI ไปเลยปลอดภัยที่สุดBelief: banning AI outright is the safest option
ความจริง คำสั่งห้ามไม่ได้ลดความอยากใช้ มันแค่ย้ายการใช้งานไปอยู่บนบัญชีส่วนตัวและมือถือส่วนตัวที่องค์กรมองไม่เห็นเลย ความเสี่ยงจริงคือการใช้แบบไม่มีใครเห็นนี่เอง ไม่ใช่การใช้ AI เอง เรื่องนี้เราอธิบายละเอียดกว่านี้ไว้แล้วใน พนักงานเอาข้อมูลบริษัทไปใส่ AI จะรั่วไหมReality: a ban does not reduce the desire to use it — it just moves usage onto personal accounts and personal phones the organisation cannot see at all. The real risk is that invisible shadow usage, not the use of AI itself. We cover this in more depth in If staff paste company data into AI, does it leak?
ความเชื่อ: นโยบายยิ่งยาวยิ่งรอบคอบBelief: a longer policy is a more thorough one
ความจริง ความยาวมักสัมพันธ์กับจำนวนคนที่ไม่ได้อ่านมันมากกว่าความรอบคอบ นโยบายที่เราเห็นว่าใช้งานได้จริงในองค์กรที่เราอบรมส่วนใหญ่ยาวไม่เกินหนึ่งหน้ากระดาษ เพราะคนที่ต้องปฏิบัติตามจำมันได้โดยไม่ต้องเปิดเอกสารทุกครั้งReality: length correlates more with how many people never read it than with how thorough it is. The policies we see actually being used across the organisations we train mostly fit on one page, because the people who must follow them can remember them without reopening the document.
ความเชื่อ: ต้องบอกลูกค้าทุกครั้งที่ใช้ AIBelief: you must tell the customer every single time AI was used
ความจริง การเปิดเผยควรอิงกับว่า AI มีอิทธิพลสำคัญต่อสิ่งที่ส่งถึงเขาหรือไม่ ไม่ใช่ว่าใช้ AI ในขั้นตอนไหนบ้าง วิธีทดสอบง่าย ๆ คือถามว่า ถ้าลูกค้ารู้ความจริงตอนนี้ เขาจะรู้สึกว่าถูกหลอกไหม ถ้าใช่ ต้องบอก ถ้าเป็นแค่ร่างอีเมลที่พนักงานอ่านทวนและแก้เองก่อนส่ง ไม่จำเป็นต้องประกาศทุกครั้งReality: disclosure should hinge on whether AI materially shaped what reached the customer, not on which step it touched. A simple test: if the customer learned the truth right now, would they feel misled? If yes, disclose. If it was only a first draft the employee reviewed and edited before sending, you do not need to announce it every time.
ความเชื่อ: AI มีอคติเพราะคนทำมันมีอคติBelief: AI is biased because the people who built it are biased
ความจริง ถูกบางส่วน อคติในข้อมูลที่ใช้ฝึกโมเดลมาจากคนจริง แต่ประเด็นเชิงปฏิบัติสำหรับองค์กรคือ อคตินั้นโผล่ออกมาในงานที่คุณใช้อยู่ ไม่ว่าที่มาจะเป็นอะไร สิ่งที่ควบคุมได้คือการตรวจผลลัพธ์ที่ AI สร้างขึ้น ไม่ใช่การไปตรวจสอบเจตนาของคนที่สร้างโมเดลReality: partly right. Bias in training data does trace back to real people. But the practical point for an organisation is that bias shows up in the outputs you use regardless of its origin — so the control that actually works is checking outcomes, not auditing the intentions behind the model.
ความเชื่อ: ซื้อเครื่องมือที่ปลอดภัยแล้วจบBelief: buy a secure tool and the problem is solved
ความจริง การตั้งค่าความปลอดภัยของเครื่องมือเป็นแค่ชั้นหนึ่ง ชั้นที่ตัดสินว่าปลอดภัยจริงหรือไม่คือใครมีสิทธิ์ทำอะไรกับผลลัพธ์ที่ได้ออกมา เครื่องมือที่ปลอดภัยที่สุดในโลกก็ป้องกันไม่ได้ ถ้าใครก็เอาผลลัพธ์ไปส่งลูกค้าโดยไม่มีใครตรวจก่อนReality: the tool's security settings are only one layer. The layer that actually decides safety is who may do what with the output. Even the most secure tool in the world cannot stop a result being sent to a customer unchecked if anyone is allowed to do that.
เริ่มวางนโยบายได้วันนี้ — 5 ขั้นตอนStart Building the Policy Today — 5 Steps
ห้าขั้นตอนนี้ทำได้เองโดยไม่ต้องจ้างใคร ใช้เวลาไม่กี่ชั่วโมงต่อสัปดาห์ ถ้าทำครบ คุณจะได้นโยบายฉบับร่างที่พร้อมให้ผู้บริหารพิจารณา ไม่ใช่แค่รายการหลักการที่ฟังดูดีThese five steps can be done in-house, without hiring anyone, in a few hours a week. Completing them gives you a draft policy ready for management to review — not just a list of principles that sound nice.
จัดข้อมูลออกเป็นสามชั้นและเขียนลงกระดาษClassify your data into three tiers and write them down
ชั้นที่ห้ามออกนอกองค์กร เช่น ข้อมูลลูกค้า ข้อมูลพนักงาน สัญญาที่ยังไม่เซ็น ชั้นที่ต้องระวัง เช่น ข้อมูลภายในที่ยังไม่ประกาศ และชั้นที่เปิดได้ เช่น เนื้อหาทั่วไปที่เผยแพร่อยู่แล้ว การเขียนสามชั้นนี้ลงกระดาษคือจุดเริ่มต้นของทุกอย่างที่ตามมาThe tier that must never leave the organisation — customer data, staff data, unsigned contracts. The tier that needs caution — internal information not yet announced. And the tier that is open — general content already public. Writing these three tiers down is the starting point for everything that follows.
ตัดสินใจว่าเครื่องมือไหนอนุมัติให้ใช้กับข้อมูลชั้นไหนDecide the approved tools for each data tier
ข้อมูลชั้นเปิดใช้เครื่องมือทั่วไปได้ ข้อมูลชั้นต้องระวังอาจจำกัดเฉพาะบัญชีแบบองค์กรที่ปิดการนำไปฝึกโมเดล ส่วนข้อมูลชั้นห้ามออก อาจต้องไม่ใช้เครื่องมือภายนอกเลยOpen-tier data can use general tools. The caution tier may be limited to corporate accounts with model training switched off. The must-never-leave tier may need no external tool at all.
ตั้งชื่อบทบาทที่รับผิดชอบต่อผลลัพธ์แต่ละประเภทName the accountable role for each kind of output
เอกสารที่ส่งลูกค้ามีเจ้าของหนึ่งคน โพสต์ที่เผยแพร่สาธารณะมีอีกคน อีเมลภายในอาจไม่ต้องมีเจ้าของเข้มงวดเท่า ระบุให้ชัดว่าประเภทไหนคู่กับบทบาทไหนA customer-facing document has one owner, a public post has another, an internal email may need a lighter rule. Map each output type to a role clearly.
เขียนรายการ "ห้ามให้เครื่องตัดสินใจคนเดียว" ร่วมกับผู้บริหารWrite the no-machine-alone list with your own management
รายการนี้ต่างกันตามอุตสาหกรรม โรงงานอาจเน้นเรื่องความปลอดภัยหน้างาน บริษัทการเงินอาจเน้นเรื่องเครดิตและราคา จึงต้องเขียนร่วมกับผู้บริหารของคุณเอง ไม่ใช่ก๊อปจากที่อื่นทั้งดุ้นThis list differs by industry — a factory weights safety on the floor, a financial firm weights credit and pricing. Write it with your own management rather than copying someone else's wholesale.
ประกาศใช้พร้อมเจ้าของและวันทบทวน ไม่ใช่แค่ส่งไฟล์ PDFPublish it with an owner and a review date, not just a circulated PDF
ส่งอีเมลแนบไฟล์แล้วจบไม่ทำให้ใครอ่าน ต้องมีคนอธิบายในที่ประชุมทีมสักครั้ง มีช่องทางถามเมื่อไม่แน่ใจ และมีวันที่ชัดเจนว่าจะกลับมาทบทวนเมื่อไหร่Emailing an attachment and stopping there does not make anyone read it. Someone needs to walk through it in a team meeting once, there needs to be a channel for questions, and there needs to be a firm date to revisit it.
โครงร่างนโยบาย 8 ข้อ ที่คัดลอกไปใช้ได้ทันที8 Policy Clauses You Can Copy Right Now
แปดข้อด้านล่างนี้เขียนให้เป็นภาษานโยบายที่ชัดเจนพอจะนำไปวางในเอกสารขององค์กรคุณได้ทันที การคัดลอกและปรับแก้ถ้อยคำให้เข้ากับองค์กรของคุณ ไม่ใช่แค่สิ่งที่ทำได้ แต่เป็นสิ่งที่เราตั้งใจให้คุณทำ สลับภาษาด้านบนเพื่อดูฉบับภาษาอังกฤษของแต่ละข้อThe eight clauses below are written as clear policy language you can drop straight into your own document. Copying them and adjusting the wording to fit your organisation is not just permitted — it is exactly what this section is for. Switch the language toggle above to see the English version of each clause.
ประเภทข้อมูลต้องห้ามForbidden data classes
"ห้ามพนักงานพิมพ์หรืออัปโหลดข้อมูลส่วนบุคคลของลูกค้า ข้อมูลทางการเงินที่ยังไม่เปิดเผยต่อสาธารณะ และข้อมูลลับทางสัญญา เข้าสู่เครื่องมือ AI ภายนอกที่องค์กรยังไม่อนุมัติ""Staff may not type or upload customer personal data, financial information not yet public, or confidential contract terms into any external AI tool the organisation has not approved."
เครื่องมือที่อนุมัติต่อประเภทข้อมูลApproved tools per data class
"แต่ละประเภทข้อมูลมีรายชื่อเครื่องมือ AI ที่อนุมัติให้ใช้ได้กำกับไว้ชัดเจน พนักงานต้องใช้เฉพาะเครื่องมือในรายชื่อนั้นกับข้อมูลประเภทนั้นเท่านั้น""Each data class carries a named list of approved AI tools, and staff may use only a tool on that list with data in that class."
การตรวจทานโดยมนุษย์ก่อนเผยแพร่Human review before publication
"งานที่ AI ช่วยจัดทำทุกชิ้นต้องผ่านการตรวจทานโดยพนักงานที่มีความรู้ในเนื้อหานั้น ก่อนถึงมือลูกค้าหรือเผยแพร่ต่อสาธารณะ ไม่มีข้อยกเว้น""Every AI-assisted piece of work must be reviewed by a staff member competent in that subject matter before it reaches a customer or the public, with no exceptions."
การเปิดเผยว่าใช้ AIDisclosure
"องค์กรจะแจ้งให้ลูกค้าหรือผู้รับสารทราบ เมื่อ AI มีอิทธิพลสำคัญต่อเนื้อหาหรือการตัดสินใจที่ส่งถึงเขา ในกรณีที่คนทั่วไปน่าจะอยากรู้หากรู้ความจริง""The organisation will disclose to a customer or recipient when AI materially shaped content or a decision reaching them, wherever a reasonable person would want to know."
การตัดสินใจที่ต้องมีมนุษย์เป็นผู้ตัดสินDecisions requiring a human decider
"การตัดสินใจต่อไปนี้ต้องมีมนุษย์เป็นผู้ตัดสินขั้นสุดท้ายเสมอ โดย AI ทำได้เพียงช่วยรวบรวมข้อมูลประกอบ ได้แก่ ผลการจ้างงานและวินัยพนักงาน การให้เครดิตหรือราคาที่กระทบบุคคลใดบุคคลหนึ่งโดยตรง เรื่องที่เกี่ยวกับความปลอดภัย และเรื่องที่มีผลทางกฎหมาย""A human must always make the final call on the following, with AI only helping gather supporting information: hiring and disciplinary outcomes, credit or pricing decisions affecting a specific individual, anything safety-related, and anything with legal effect."
รายการนี้เป็นจุดเริ่มต้นเท่านั้น ผู้บริหารขององค์กรคุณควรตัดสินใจร่วมกันว่าจะเพิ่มหรือตัดข้อไหนตามลักษณะธุรกิจThis list is only a starting point — your own management should decide together what to add or remove for your specific business.
การแจ้งความผิดพลาดโดยไม่ถูกลงโทษNo-blame reporting of AI errors
"พนักงานที่รายงานว่างานชิ้นใดมีข้อผิดพลาดจาก AI จะไม่ถูกลงโทษจากการรายงานนั้น ไม่ว่าความผิดพลาดจะหลุดออกไปแล้วหรือยังจับได้ทัน""An employee who reports that a piece of AI-assisted work contains an error will not be penalised for reporting it, whether the error already went out or was caught in time."
การใช้บัญชีส่วนตัวPersonal-account use
"ห้ามใช้บัญชี AI ส่วนตัวของพนักงานทำงานที่เกี่ยวข้องกับข้อมูลตามข้อ 1 และงานที่ทำในนามองค์กรทุกชิ้นต้องผ่านบัญชีหรือเครื่องมือที่องค์กรอนุมัติเท่านั้น""Personal AI accounts may not be used for work involving the data covered in clause 1, and any AI-assisted work done on the organisation's behalf must go through an approved account or tool."
เจ้าของนโยบายและวันทบทวนOwner and review date
"นโยบายฉบับนี้มีเจ้าของที่ระบุตัวได้หนึ่งคนเป็นผู้รับผิดชอบ และกำหนดวันทบทวนเนื้อหาทุกรอบที่แน่นอน โดยเจ้าของคนเดียวกันเป็นผู้ทบทวน""This policy has one named, accountable owner, with a fixed review date on which that same owner revisits its content."
ห้ามใช้ ปล่อยตามสะดวก หรือมีนโยบายสั้นที่บังคับใช้ได้ — ต่างกันตรงไหนBan it, leave it unmanaged, or have a short enforceable policy — what is the actual difference?
สามท่าทีนี้คือสิ่งที่เราเห็นองค์กรเลือกใช้จริง ไม่มีท่าทีไหนผิดร้อยเปอร์เซ็นต์ในทุกสถานการณ์ แต่ผลที่ตามมาต่างกันชัดเจน ตารางนี้เทียบให้เห็นก่อนคุณเลือกThese are the three postures we actually see organisations take. None is wrong in every situation, but the consequences differ sharply. This table lays them out before you choose.
| หัวข้อAspect | ห้ามใช้Ban it | ไม่มีนโยบาย ปล่อยตามสะดวกNo policy, left unmanaged | มีนโยบายสั้นที่บังคับใช้ได้A short, enforceable policy |
|---|---|---|---|
| สิ่งที่เกิดขึ้นจริงกับพนักงานWhat actually happens with staff | พนักงานย้ายไปใช้บัญชีส่วนตัวอย่างเงียบ ๆ องค์กรไม่รู้ว่าใครใช้อะไรอยู่Staff quietly move to personal accounts; the organisation loses track of who uses what | แต่ละคนใช้ตามที่ตัวเองสะดวก บางแผนกก้าวหน้า บางแผนกไม่แตะเลยเพราะกลัวผิดEveryone does whatever suits them; some teams race ahead, others avoid it entirely for fear of doing it wrong | พนักงานรู้ชัดว่าใช้อะไรได้กับข้อมูลแบบไหน และมีที่ให้ถามเมื่อไม่แน่ใจStaff know clearly what may be used with which data, and have somewhere to ask when unsure |
| ความเสี่ยงด้านข้อมูลData risk | สูงที่สุด เพราะการใช้งานยังเกิดอยู่ เพียงแต่มองไม่เห็นเลยสักจุดHighest — the usage still happens, just with zero visibility | สูง เพราะไม่มีใครรู้ว่าข้อมูลอ่อนไหวเคยถูกพิมพ์เข้าเครื่องมือไหนไปแล้วบ้างHigh — nobody knows what sensitive data has already been typed into which tool | ต่ำลงชัดเจน เพราะมีรายการข้อมูลต้องห้ามที่ทุกคนรู้ตรงกันClearly lower — there is a forbidden-data list everyone understands the same way |
| คุณภาพงานที่ออกไปQuality of output that goes out | ไม่ได้ดีขึ้น เพราะงานที่เร็วขึ้นด้วย AI ก็ยังถูกทำอยู่ เพียงแต่ทำแบบซ่อนและไม่มีใครตรวจDoes not improve — the AI-sped-up work still happens, just hidden and unchecked | ไม่แน่นอน ขึ้นกับดุลพินิจของแต่ละคนว่าตรวจทานเองมากแค่ไหนInconsistent — depends entirely on how carefully each person reviews their own work | สม่ำเสมอกว่า เพราะมีขั้นตอนตรวจทานก่อนเผยแพร่ที่บังคับใช้จริงMore consistent — there is a review-before-publication step that is actually enforced |
| ภาระในการดูแลOngoing burden to maintain | ต่ำในกระดาษ แต่จริง ๆ สูง เพราะต้องคอยไล่จับว่าใครแอบใช้Low on paper, high in reality — someone still has to chase who is secretly using it | ต่ำตอนนี้ แต่จะสูงทันทีที่เกิดปัญหาและต้องสืบว่าเกิดอะไรขึ้นLow now, but spikes the moment something goes wrong and someone must investigate | มีภาระตั้งต้นในการเขียนและอบรม แต่ลดภาระตอบคำถามซ้ำ ๆ ในระยะยาวAn upfront cost to write and train, offset by fewer repeated questions over time |
| เหมาะกับองค์กรแบบไหนBest suited to | แทบไม่มีองค์กรที่เหมาะ ยกเว้นช่วงสั้น ๆ ระหว่างรอเขียนนโยบายให้เสร็จAlmost no organisation, except briefly while a real policy is being finished | องค์กรที่เพิ่งเริ่มสำรวจว่าใครใช้ AI อยู่บ้าง ก่อนตัดสินใจขั้นต่อไปOrganisations just starting to survey who uses AI before deciding the next step | องค์กรที่มีคนใช้ AI ทำงานจริงอยู่แล้ว ไม่ว่าจะเป็นทางการหรือไม่Organisations where AI is already used for real work, official or not |
ขอบเขตของคำตอบนี้The Limits of What This Page Can Answer
หน้านี้เขียนขึ้นจากสิ่งที่เราเห็นใช้ได้จริงในองค์กรที่เราอบรม ไม่ใช่คำวินิจฉัยทางกฎหมาย มีสามข้อที่คุณควรรู้ก่อนนำไปใช้This page is written from what we have seen actually work inside the organisations we train — it is not a legal ruling. There are three things you should know before you rely on it.
นี่ไม่ใช่คำแนะนำทางกฎหมาย องค์กรที่มีความเสี่ยงด้านกฎหมายจริง เช่น อยู่ในอุตสาหกรรมการเงิน สุขภาพ หรือมีข้อมูลลูกค้าจำนวนมาก ควรให้ทนายความตรวจนโยบายของตัวเองก่อนประกาศใช้อย่างเป็นทางการThis is not legal advice. An organisation with real legal exposure — in finance, in healthcare, or holding large volumes of customer data — should have a lawyer review its own policy before it is formally adopted.
หน่วยงานกำกับดูแลเฉพาะอุตสาหกรรมอาจมีข้อกำหนดเพิ่มเติม ที่หน้านี้ไม่อาจคาดล่วงหน้าได้ทั้งหมด ถ้าธุรกิจของคุณอยู่ภายใต้การกำกับดูแลเฉพาะทาง ควรตรวจสอบข้อกำหนดของหน่วยงานนั้นเพิ่มเติมด้วยSector regulators may impose requirements this page cannot fully anticipate. If your business sits under specialised oversight, check that regulator's own requirements as well.
เราอธิบาย PDPA ซึ่งคือกฎหมายคุ้มครองข้อมูลส่วนบุคคล เฉพาะในกรอบกว้าง ๆ เท่านั้น ไม่ได้อ้างอิงมาตราใดมาตราหนึ่งโดยเฉพาะ หากมีคำถามเจาะจงเกี่ยวกับกรณีของคุณ ควรปรึกษาทนายความหรือที่ปรึกษาด้าน PDPA โดยตรงWe describe PDPA, Thailand's personal data protection law, only in general terms and do not cite any specific section. For questions specific to your case, consult a lawyer or a PDPA adviser directly.
คำถามที่พบบ่อยFAQ
องค์กรเล็ก ๆ ที่ไม่มีฝ่าย HR ต้องมีนโยบาย AI ด้วยไหมDoes a small organisation with no HR department still need an AI policy?
ต้องมี แต่ไม่ต้องเป็นทางการเท่าองค์กรใหญ่ ในทีมเล็กเจ้าของนโยบายอาจเป็นเจ้าของกิจการเอง และนโยบายอาจสั้นแค่ครึ่งหน้า สิ่งที่ขาดไม่ได้คือคำตอบต่อคำถามว่าใครรับผิดชอบเมื่อ AI ทำงานผิด กับข้อมูลอะไรห้ามพิมพ์เข้าไป ส่วนที่เหลือขยายทีหลังได้เมื่อทีมโตขึ้นYes, though it need not be as formal as a large organisation's. In a small team, the owner of the policy may be the business owner, and it may run only half a page. What cannot be missing is an answer to who is accountable when AI gets something wrong, and what data may never be typed in. The rest can expand later as the team grows.
นโยบาย AI ต้องยาวกี่หน้าถึงจะเรียกว่าครบHow many pages does an AI policy need before it counts as complete?
ไม่มีจำนวนหน้าที่ตายตัว แต่จากที่เห็นในองค์กรที่เราอบรมมา นโยบายที่ถูกใช้งานจริงมักยาวไม่เกินหนึ่งหน้ากระดาษ เพราะพนักงานจำได้และเปิดดูซ้ำได้เร็ว นโยบายที่ยาวหลายสิบหน้ามักจบลงในลิ้นชักโดยไม่มีใครอ่าน ความครบไม่ได้วัดที่ความยาว แต่วัดที่ว่าตอบคำถามสำคัญได้ครบหรือยัง เช่น ใครรับผิดชอบ ข้อมูลอะไรห้ามใช้ และใครตัดสินใจแทนเครื่องไม่ได้There is no fixed page count. From what we have seen across the organisations we train, the policies actually in use mostly run to one page, because staff can remember them and check back quickly. Policies dozens of pages long usually end up in a drawer, unread. Completeness is measured not by length but by whether it answers the questions that matter — who is accountable, what data is off-limits, and which decisions cannot be left to the machine.
ใครในองค์กรควรเป็นเจ้าของนโยบายนี้Who in the organisation should own this policy?
ควรเป็นคนที่มีอำนาจตัดสินใจจริงและอยู่ใกล้ปัญหาพอจะรู้ว่าเกิดอะไรขึ้นเมื่อมีคนทำผิดกติกา ในองค์กรขนาดกลางมักเป็นหัวหน้าฝ่ายบุคคลหรือหัวหน้าฝ่ายไอที ในองค์กรเล็กอาจเป็นเจ้าของกิจการเอง สิ่งสำคัญกว่าตำแหน่งคือต้องเป็นคนเดียวที่ระบุตัวได้ ไม่ใช่ฝ่ายบริหารลอย ๆ เพราะเวลาต้องตัดสินใจเร่งด่วนจะไม่มีใครกล้าตัดสินIt should be someone with real decision-making authority who sits close enough to the work to know what happened when the rules are broken. In a mid-sized organisation this is usually the head of HR or head of IT; in a small one it may be the owner. What matters more than the title is that it is one identifiable person, not a vague "management" — because in an urgent moment, nobody will feel authorised to decide on behalf of a title with no name attached.
พนักงานที่รายงานว่า AI ทำผิดพลาด จะโดนลงโทษไหมWill an employee who reports an AI mistake be punished for it?
ไม่ควร และนี่คือเงื่อนไขที่สำคัญที่สุดข้อหนึ่งของนโยบายที่ใช้ได้จริง ถ้าพนักงานรู้ว่ารายงานความผิดพลาดแล้วจะโดนตำหนิหรือลงโทษ เขาจะเลือกเงียบแทน ซึ่งอันตรายกว่าความผิดพลาดเดิมมาก เพราะองค์กรจะไม่มีทางรู้เลยว่าเกิดอะไรขึ้นจนกว่าจะสายเกินแก้ นโยบายที่ดีจึงต้องแยกเรื่องแจ้งความผิดพลาดออกจากเรื่องจงใจฝ่าฝืนกติกาอย่างชัดเจนNo, and this is one of the most important conditions for a policy to actually work. If an employee knows that reporting a mistake leads to a reprimand, they will choose silence instead — which is far more dangerous than the original error, because the organisation will have no way of knowing what happened until it is too late to fix. A good policy therefore draws a clear line between reporting a mistake and deliberately breaking the rules.
นโยบายนี้ต้องให้ทนายความตรวจก่อนประกาศใช้ไหมDoes this policy need a lawyer's review before it is adopted?
หน้านี้ไม่ใช่คำแนะนำทางกฎหมาย ถ้าองค์กรของคุณมีความเสี่ยงด้านกฎหมายจริง เช่น อยู่ในอุตสาหกรรมการเงิน สุขภาพ หรือมีข้อมูลลูกค้าจำนวนมาก ควรให้ทนายความตรวจนโยบายก่อนประกาศใช้อย่างเป็นทางการ สำหรับองค์กรทั่วไปที่ความเสี่ยงไม่สูงมาก การเริ่มจากโครงร่างในหน้านี้แล้วปรับใช้เองก่อนก็เป็นจุดเริ่มต้นที่สมเหตุสมผลThis page is not legal advice. If your organisation carries real legal exposure — in finance, in healthcare, or holding large volumes of customer data — have a lawyer review the policy before formal adoption. For a typical organisation without that level of exposure, starting from the clauses on this page and adapting them yourselves is a reasonable place to begin.
อ่านต่อFurther Reading
ถ้าโจทย์ของคุณเน้นที่ข้อมูลรั่วมากกว่าเรื่องความรับผิดชอบ อ่านเพิ่มที่ พนักงานเอาข้อมูลบริษัทไปใส่ AI จะรั่วไหม ซึ่งพูดถึงฝั่งที่ข้อมูลหลุดออกนอกองค์กรโดยเฉพาะ ถ้ากังวลเรื่องผลกระทบของ AI ต่อความมั่นคงในงานของพนักงาน อ่าน AI กับอนาคตงานของคุณ ถ้าเนื้อหาที่ AI ช่วยสร้างมีประเด็นเรื่องลิขสิทธิ์ อ่าน AI กับลิขสิทธิ์ในประเทศไทย และถ้าองค์กรของคุณต้องออกแบบให้พนักงานหรือลูกค้าที่มีความพิการใช้งานได้อย่างเท่าเทียม อ่าน AI กับการเข้าถึงสำหรับคนพิการIf your concern leans more toward data leaking than accountability, see If staff paste company data into AI, does it leak?, which focuses specifically on data leaving the organisation. If you are weighing AI's effect on job security, see AI and the future of your job. If the content AI helps produce raises copyright questions, see AI and copyright in Thailand. And if your organisation needs to design for staff or customers who are people with disabilities, see AI and accessibility for people with disabilities.
สำหรับผู้บริหารที่ต้องตัดสินใจเรื่องนี้ในภาพกว้างกว่าหน้านี้ เรามีคอร์ส AI for Executives ที่ปูพื้นเรื่องการกำกับดูแล AI ในองค์กรโดยเฉพาะFor executives who need to think through this at a broader level than this page covers, we run an AI for Executives course built specifically around AI governance.
ถ้าคำถามถัดไปของคุณคือกฎหมาย AI ของไทยที่กำลังจะมาจะขอดูอะไร อ่านต่อที่ เตรียมองค์กรรับกฎหมาย AI ฉบับคนไม่ใช่นักกฎหมาย และถ้าพนักงานเริ่มสร้างเครื่องมือใช้เองด้วย AI นโยบายข้อนี้ต้องขยายไปถึงเรื่องนั้นด้วย ดูที่ พนักงานสร้างแอปเองด้วย AI คุมยังไงIf your next question is what the coming Thai AI law will ask to see, continue with getting ready for the Thai AI law without a law degree; and if staff have started building their own tools with AI, this policy has to reach that too — see governing the tools staff build themselves.
เราทำงานอบรมองค์กรด้าน AI เป็นงานหลัก ถ้าอยากคุยรายละเอียดเพิ่มเติมเกี่ยวกับนโยบายของคุณเอง ติดต่อเรา ได้เสมอCorporate AI training is our core work — if you would like to talk through the specifics of your own policy, feel free to get in touch.