แบงก์ชาติวางเกณฑ์คุม AI ในสถาบันการเงินไทย: FEAT 4 หลัก + คนต้องอยู่ในลูปอนุมัติสินเชื่อ — โจทย์ทีม model risk ปี 2026

เกณฑ์ตัวนี้ไม่ใช่เรื่องไกลตัวสำหรับผม เพราะงานประจำของผมคือ validate โมเดลความเสี่ยงในธนาคารไทยภายใต้สายตาผู้กำกับ พอธนาคารแห่งประเทศไทย (ธปท.) ออกแนวปฏิบัติการบริหารความเสี่ยง AI สำหรับผู้ให้บริการทางการเงิน มันจึงตกลงมาบนโต๊ะทำงานผมโดยตรง ข่าวส่วนใหญ่เล่าเกณฑ์นี้แบบกว้าง ๆ ว่า "ธรรมาภิบาล AI" แต่ผมอยากอ่านมันแบบคนทำ model risk จริง ๆ — ว่าอะไรในกระบวนการทำงานของสถาบันการเงินต้องเปลี่ยนบ้าง โดยเฉพาะเมื่อ AI เข้าไปแตะการอนุมัติสินเชื่อ

1. เกิดอะไรขึ้น: ธปท. วางกติกา AI ให้สถาบันการเงิน

ตามรายงานของ US-ASEAN Business Council "On September 12, the Bank of Thailand (BOT) released its AI Risk Management Guidelines for Financial Service Providers" — ธปท. ออกแนวปฏิบัติชุดนี้หลังเปิดรับฟังความเห็นร่างที่ปิดไปเมื่อ 30 มิถุนายน 2025 จุดที่ต้องเข้าใจให้ตรงคือสถานะของมัน: "The voluntary document also encourages financial services providers to notify customers of AI involvement" — เป็นเอกสารแนวทาง (voluntary) ไม่ใช่กฎหมายบังคับที่มีบทลงโทษ

แต่แกนของมันชัดเจน US-ABC สรุปว่าเกณฑ์ "outlining AI governance best practices (e.g., fairness, ethics, accountability, and transparency principles) and AI system development and security controls" — คือหลัก FEAT 4 ข้อ: เป็นธรรม (fairness), มีจริยธรรม (ethics), รับผิดชอบตรวจสอบได้ (accountability), และโปร่งใส (transparency) พร้อมมาตรฐานการพัฒนาและความปลอดภัยของระบบ

ทำไมมันสำคัญกับเรา: ในงาน model risk คำว่า "voluntary" ไม่เท่ากับ "ไม่ต้องทำ" สิ่งที่ผู้กำกับออกเป็นแนวปฏิบัติวันนี้ มักกลายเป็นเส้น baseline ที่คุณถูกถามหาในการตรวจปีถัดไป — ทีมที่รอให้มันเป็นกฎบังคับก่อนค่อยขยับ คือทีมที่จะเตรียมเอกสารไม่ทันตอนถูกเรียกดู

2. จุดที่ต่างจากเกณฑ์เดิม: มันเขียนถึง generative และ agentic AI ตรง ๆ

เกณฑ์ความเสี่ยงโมเดลรุ่นเก่ามักเขียนโดยนึกถึงโมเดลสถิติ/เครดิตเป็นหลัก แต่เกณฑ์ ธปท. ชุดนี้เขียนนิยามกว้างกว่านั้น สำนักงานกฎหมาย Tilleke & Gibbins สรุปนิยามไว้ว่า "AI systems as systems that mimic human intelligence, including machine learning, deep learning, generative AI (such as large language models), and agentic AI." — พูดง่าย ๆ คือมันครอบทั้ง LLM และ agentic AI (ระบบที่ลงมือทำงานเองได้หลายขั้น) เข้ามาในขอบเขตอย่างชัดเจน ไม่ใช่แค่โมเดลให้คะแนนเครดิตแบบเดิม

นี่คือทิศเดียวกับที่ผู้กำกับในภูมิภาคกำลังเดิน ทั้งแนวทาง AIRM ของ MAS สิงคโปร์และร่างกรอบ model risk ของ RBI อินเดียต่างระบุ AI รุ่นใหม่เข้าไปในขอบเขตกำกับ ขณะที่กรอบบางประเทศยังยกเว้น gen AI ออกไป — ช่องว่างตรงนี้คือสิ่งที่ทีมความเสี่ยงต้องอ่านให้ขาด

ทำไมมันสำคัญกับเรา: พอ agentic AI ถูกเขียนชื่อลงในเกณฑ์ตรง ๆ แปลว่าคุณจะอ้างไม่ได้แล้วว่า "มันเป็นแค่ผู้ช่วย ไม่ใช่โมเดล" ระบบที่ลงมือทำงานหลายขั้นเองต้องมี governance เท่ากับหรือมากกว่าโมเดลเครดิต เพราะขอบเขตความเสียหายเวลามันพลาดกว้างกว่า

3. หัวใจของสายเครดิต: คนต้องอยู่ในลูปการอนุมัติสินเชื่อ

บรรทัดที่ผมคิดว่าสำคัญที่สุดสำหรับคนทำสินเชื่อคือเรื่อง human oversight Tilleke ยกไว้ว่า "When AI systems are used in strategic functions or customer interactions (e.g., loan approval, account opening), human oversight must be integrated into decision-making processes." — แปลตรงตัวคือ ถ้า AI เข้าไปเกี่ยวกับ การอนุมัติสินเชื่อหรือการเปิดบัญชี ต้องมีคนกำกับอยู่ในกระบวนการตัดสินใจ ไม่ใช่ปล่อยให้ระบบตัดสินจบเอง

นี่คือหลักเดียวกับที่ผมใช้เวลา validate โมเดลเครดิตมาตลอด — โมเดลเสนอได้ แต่ต้องมีจุดที่คนทบทวนได้ อธิบายเหตุผลได้ และ override ได้เมื่อผลลัพธ์ไม่สมเหตุสมผล ถ้าอยากเข้าใจว่าทำไมกรอบคิดแบบ model risk ถึงกลายเป็นทักษะหลักของยุค AI ผมเขียนไว้ที่บริหารความเสี่ยงโมเดลในยุค AI

ทำไมมันสำคัญกับเรา: "คนอยู่ในลูป" จะกลายเป็นพิธีถ้าคนกดผ่านโดยไม่เข้าใจว่าโมเดลคิดยังไง หัวใจจริงไม่ใช่การมีปุ่มให้คนกด แต่คือการทำให้ผลของ AI อธิบายย้อนกลับได้ จนคนที่กำกับตัดสินใจได้อย่างมีความหมาย ไม่ใช่แค่เซ็นรับรอง

4. คุม AI ทั้ง lifecycle และต้องแจ้งลูกค้า — ไม่ใช่แค่ตอน deploy

เกณฑ์ไม่ได้มองแค่ตอนเอาโมเดลขึ้นใช้ Tilleke สรุปว่า "Risk management should encompass the entire AI lifecycle, from establishing risk appetite to implementing continuous risk assessment and control measures tailored to specific use cases." — คือต้องคุมตั้งแต่ตั้ง risk appetite ก่อนเริ่ม ไปจนถึงการประเมินและควบคุมความเสี่ยงต่อเนื่องตลอดอายุการใช้งาน ปรับตามแต่ละ use case ไม่ใช่ทำเอกสารครั้งเดียวจบ

อีกด้านคือสิทธิลูกค้า Tilleke ระบุว่า "In customer interactions with AI systems, customers should be notified and have options to disable or bypass AI features." — ลูกค้าควรได้รับแจ้งเมื่อมี AI เข้ามาเกี่ยว และมีทางเลือกที่จะปิดหรือข้ามฟีเจอร์ AI ได้

ทำไมมันสำคัญกับเรา: "คุมทั้ง lifecycle" คือคำที่คนทำ model validation คุ้นที่สุด เพราะโมเดลไม่ได้เสี่ยงแค่วันขึ้นระบบ มันเสี่ยงตอน data เปลี่ยน ตอนพฤติกรรมลูกค้าเปลี่ยน ตอนไม่มีใครดูแล การมี continuous monitoring จึงไม่ใช่ภาระเอกสาร แต่คือสิ่งที่กันโมเดลไม่ให้ค่อย ๆ เพี้ยนโดยไม่มีใครรู้

5. ทิศปี 2026: กติกาการเงินบังคับใช้แล้ว และ AI Governance Center กำลังมา

ภาพใหญ่ของปีนี้คือกฎด้านการเงินไม่ได้เป็นเรื่องอนาคตอีกต่อไป Thailand Business News (มีนาคม 2026) ระบุว่ากติกาเฉพาะภาคส่วนครอบคลุม "financial services, addressing algorithmic decision-making, risk modelling, and customer-facing AI in banking and fintech." — ครอบทั้งการตัดสินใจด้วยอัลกอริทึม การทำโมเดลความเสี่ยง และ AI ที่คุยกับลูกค้าในแบงก์และฟินเทค

ส่วนกรอบระดับชาติกำลังตามมา "a comprehensive national AI framework currently in development, with enactment projected within the next few years." และจะมีเจ้าภาพกำกับโดยเฉพาะ "Oversight of this framework will fall to a newly created body: the AI Governance Center." ฝั่งประกันภัยก็ขยับคู่ขนาน — AppMan (กรกฎาคม 2026) ระบุว่า "the OIC has introduced AI governance guidelines to balance innovation with consumer protection." คือ คปภ. ออกแนวทางธรรมาภิบาล AI ของตัวเองเช่นกัน

ทำไมมันสำคัญกับเรา: ทิศทางชัดว่าเพดานกำกับกำลังขยับจาก "แนะนำ" ไป "คาดหวังให้ทำ" การเริ่มวางเอกสาร governance, ตั้ง baseline การวัดผล และทำ audit trail ตั้งแต่ตอนที่ยังเป็น voluntary คือการลงทุนที่ถูกกว่ามาก เทียบกับการมาเร่งทำตอนมันกลายเป็นข้อบังคับ

ภาพรวม

ธปท. วางกติกา AI สำหรับสถาบันการเงินที่ครอบทั้ง generative และ agentic AI, ยึดหลัก FEAT 4 ข้อ, บังคับให้มีคนกำกับเมื่อ AI แตะการอนุมัติสินเชื่อ, และให้คุมความเสี่ยงตลอด lifecycle พร้อมแจ้งสิทธิลูกค้า — ตอนนี้ยังเป็นแนวปฏิบัติ แต่ทิศปี 2026 คือกำลังกลายเป็นมาตรฐานที่ถูกคาดหวัง คนที่ได้เปรียบไม่ใช่คนที่มี AI เยอะสุด แต่คือคนที่ทำให้ AI ของตัวเองอธิบายได้ ตรวจได้ และมีคนรับผิดชอบชัดเจน

สำหรับคนทำสาย data/risk การเงินในไทย นี่คือพื้นที่ที่พวกเรามีของ เพราะทักษะวางกรอบวัดผล ตั้ง baseline และตรวจว่าโมเดลสร้างคุณค่าจริงหรือแค่ดูดี คือทักษะเดียวกับที่เราใช้กำกับ AI ให้ผ่านเกณฑ์นี้ ถ้าอยากได้ระบบเอา AI มาช่วยงานการเงินแบบวัดผลได้และคุมได้ ผมรวบรวมวิธีทำไว้ในคอร์ส Claude Code

เนื้อหานี้เพื่อการศึกษาและสรุปข่าวพร้อมอ้างอิง ไม่ใช่คำแนะนำทางกฎหมายหรือการลงทุน โปรดอ้างอิงเอกสารต้นฉบับของ ธปท. เมื่อต้องปฏิบัติตามจริง

ที่มา

• Thailand Drafts AI Risk Management Guidelines for Financial Service Providers — Tilleke & Gibbins
• Thailand Issues New AI Guidance for Financial Services — US-ASEAN Business Council
• Thailand Navigates a New AI Era: What Businesses Must Know in 2026 — Thailand Business News
• AI Governance Guidelines in Thailand (BOT & OIC 2026) — AppMan