FSB วางแนวปฏิบัติ AI 12 ข้อให้ภาคการเงินโลก — จุดที่คนทำ risk ต้องอ่านคือ 'ใช้ AI คุม AI'

เมื่อเดือนมิถุนายน 2026 Financial Stability Board (FSB) — องค์กรที่ตั้งโดย G20 เพื่อดูเสถียรภาพระบบการเงินโลก — ออกร่างแนวปฏิบัติเรื่องการใช้ AI ในภาคการเงินมาให้รับฟังความเห็น ผมในฐานะคนทำ model risk อ่านแล้วสะดุดจุดเดียวที่สำคัญกว่าจำนวนข้อ: FSB ยอมรับตรง ๆ ว่าพอ AI agent เพิ่มจำนวนขึ้น การให้คนนั่งรีวิวการตัดสินใจของมันทีละครั้ง "ไม่สเกล" อีกต่อไป และทางออกที่เสนอคือสิ่งที่ฟังดูเหมือนหนังไซไฟ — ใช้ AI คอยเฝ้า AI

1. FSB ออกร่างแนวปฏิบัติ 12 ข้อ — เป็น "ฉบับปรึกษาความเห็น"

ของชิ้นนี้ไม่ใช่กฎบังคับ แต่เป็นมาตรฐานกลางที่ผู้กำกับทั่วโลกมักหยิบไปใช้ต่อ FSB ระบุว่า "The Financial Stability Board (FSB) today published a consultation report on Sound Practices for Responsible Adoption of Artificial Intelligence (AI)." และสรุปสาระสำคัญว่า "The FSB has identified 12 sound practices to help financial institutions responsibly adopt AI." — คือวางแนวปฏิบัติที่ดี 12 ข้อให้สถาบันการเงินนำ AI มาใช้อย่างรับผิดชอบ

เนื่องจากยังเป็นร่าง จึงเปิดให้ส่งความเห็นได้ FSB กำหนดว่า "Responses should be submitted via this secure online form by 22 July 2026." และจะสรุปออกเป็นฉบับจริงภายหลัง — "The final report will be published in October 2026." แปลว่าระหว่างนี้ยังเป็นหน้าต่างที่ภาคการเงินมีสิทธิ์ออกความเห็นก่อนมันจะกลายเป็นมาตรฐานที่ผู้กำกับแต่ละประเทศหยิบไปอ้าง

ทำไมมันสำคัญกับเรา: "non-binding" วันนี้มักกลายเป็น "expected practice" ในรอบตรวจถัดไป มาตรฐาน FSB คือต้นน้ำที่ ธปท. และผู้กำกับอื่นมักนำไปปรับใช้ ใครอ่านร่างตั้งแต่ตอนนี้ก็ได้เห็นโจทย์ก่อนที่มันจะมาถึงโต๊ะตรวจของตัวเอง

2. ทำไม agentic AI ถึงเป็นโจทย์คนละชั้นกับโมเดลเดิม

ความน่ากังวลของ FSB ไม่ใช่ AI ที่แค่ทำนายหรือจัดประเภท แต่เป็น agentic AI — ที่เอกสารนิยามว่าเป็น "systems designed to autonomously perform complex and extended tasks, often making decisions and taking actions with limited human oversight" คือระบบที่ลงมือทำงานยาว ๆ ได้เอง ตัดสินใจและกระทำการโดยมีคนคุมน้อยลง

สิ่งที่เปลี่ยนเกมคือ "ความเร็ว" และ "ความเป็นอิสระ" รายงานชี้ว่า "The high levels of autonomy that AI agents may have can create or amplify certain risks, which can materialise at great speed." — ความเป็นอิสระระดับสูงของ agent สร้างหรือขยายความเสี่ยงได้ และความเสี่ยงนั้นเกิดเร็วมาก ที่หนักกว่านั้นคือ "AI agents — designed to act autonomously — might take illegal, unethical or unauthorized actions without human oversight." และเมื่อมันลงมือไปแล้ว "Overriding, redressing, or remediating these actions can be difficult or impossible for humans." — กล่าวคือ จะย้อนแก้สิ่งที่ agent ทำลงไปอาจยากหรือทำไม่ได้เลย

นี่คือความต่างจากโมเดลสถิติเดิมที่ผมคุ้นเคย โมเดลเครดิตหรือ ECL ให้ "คะแนน" แล้วมนุษย์เป็นคนตัดสินใจต่อ แต่ agent ตัดสินใจ "และลงมือ" เอง ช่องว่างระหว่างจังหวะที่มันคิดผิดกับจังหวะที่ความเสียหายเกิดขึ้นจึงแทบเป็นศูนย์

ทำไมมันสำคัญกับเรา: กรอบ model risk แบบเดิมตั้งอยู่บนสมมติฐานว่า "โมเดลแนะนำ มนุษย์ตัดสิน" พอ agent ลงมือเองได้ สมมติฐานนี้พัง การคุมจึงต้องขยับจาก "ตรวจผลลัพธ์ของโมเดล" ไปเป็น "วางขอบเขตและสวิตช์หยุดก่อนปล่อยให้มันทำงาน"

3. ของใหม่ที่สะดุดที่สุด: "ใช้ AI คุม AI"

จุดที่ผมคิดว่าคนทำ risk ต้องขีดเส้นใต้คือวิธีที่ FSB เสนอให้กำกับ agent FSB ไม่ได้บอกให้คนรีวิวทุกการตัดสินใจ เพราะยอมรับว่ามันทำไม่ได้จริงเมื่อ agent มีจำนวนมาก แนวคิดจึงเปลี่ยนเป็นสองชั้น

ชั้นแรกคือ human-in-command — มนุษย์คุมที่ระดับนโยบาย ไม่ใช่ระดับรายการ รายงานอธิบายว่าเป็น "high-level oversight of autonomy boundaries and guardrails rather than approval of individual decisions" คือกำหนด "ขอบเขตของความเป็นอิสระ" และ "ราวกันตก" (guardrails) แทนการไล่อนุมัติทีละการตัดสินใจ

ชั้นที่สองคือ AI-in-the-loop — ใช้ระบบ AI อีกตัวคอยเฝ้า โดย "AI systems alerting humans when performance metrics are breached or agent behaviour drifts from defined parameters" คือให้ AI เตือนมนุษย์เมื่อค่าชี้วัดเกินเกณฑ์ หรือพฤติกรรมของ agent เริ่ม "เบี่ยง" ออกจากกรอบที่ตั้งไว้ พูดง่าย ๆ คือเมื่อคนตามดูทุกก้าวไม่ไหว ก็ต้องมีตัวเฝ้าอัตโนมัติที่ส่งสัญญาณเตือนให้คนเข้ามาดูเฉพาะตอนที่ผิดปกติ

ทำไมมันสำคัญกับเรา: นี่ไม่ใช่ปรัชญา แต่เป็นสเปกงานจริง — ทีม risk ต้องตอบให้ได้ว่า (1) ขอบเขต autonomy ของ agent คือแค่ไหน (2) มีตัวชี้วัดอะไรที่ถ้าเกินแล้วต้องเตือน (3) ใครรับสัญญาณและกดหยุดได้ ถ้ายังไม่มีสามอย่างนี้ แปลว่าคุณกำลังปล่อย agent วิ่งโดยไม่มีเบรกที่ตรวจสอบได้

4. คนทำ data/risk การเงินควรทำอะไรตั้งแต่วันนี้

ผมไม่ได้มองข่าวนี้เป็นเรื่องไกลตัว เพราะ ธปท. เองก็ออกแนวทาง AI risk management สำหรับผู้ให้บริการการเงินไปแล้ว และมาตรฐาน FSB มักเป็นฐานอ้างอิงของผู้กำกับในประเทศ สิ่งที่ทำได้เลยโดยไม่ต้องรอฉบับจริงเดือนตุลาคม:

• ทำทะเบียน agent ให้ครบ — ไม่ใช่แค่โมเดลในทะเบียน MRM เดิม แต่รวมทุก agent ที่เริ่มลงมือทำงานจริง (ดึงข้อมูล สรุปเอกสาร ส่งคำสั่ง) ของที่ไม่อยู่ในทะเบียน = ของที่ไม่มีใครคุมขอบเขต
• เขียน autonomy boundary เป็นลายลักษณ์อักษร — agent แต่ละตัวทำอะไรได้ถึงระดับไหน วงเงิน/สิทธิ์เข้าถึงข้อมูลแค่ไหน เกินกว่านั้นต้องมีคนอนุมัติ
• ตั้ง metric สำหรับ "behaviour drift" — กำหนดล่วงหน้าว่าค่าอะไรเกินเกณฑ์แล้วต้องเตือน และออกแบบให้มีระบบเฝ้าที่ส่งสัญญาณได้จริง ไม่ใช่รอคนมาเปิดดู log
• ทดสอบ kill switch จริง — ไม่ใช่แค่มีบนกระดาษ ต้องรู้ว่าใครกดได้ กดแล้ว agent หยุดภายในกี่วินาที และงานที่ค้างจะถูกจัดการอย่างไร

ใครที่อยากเห็นภาพว่ากรอบ model risk เปลี่ยนไปอย่างไรในยุค agent ผมเคยเขียนแยกไว้ใน Model Risk ในยุค AI Agent: 3 ความเสี่ยงที่คนชอบมองข้าม และข่าวนี้ต่อตรงกับสิ่งที่เกิดในฝั่งสหรัฐ — AI กลายเป็นวาระถาวรในการตรวจแบงก์สหรัฐ — ที่ผู้ตรวจเริ่มถามเรื่องการคุม AI ทุกครั้ง ถ้าอยากได้กรอบลงมือเป็นข้อ ๆ ผมทำเช็คลิสต์ know-your-agent สำหรับกำกับ AI agent การเงินไว้ให้ใช้เป็นจุดตั้งต้น และเรื่องที่ใกล้ตัวกว่านั้นคือตอนที่ AI agent เริ่มขยับเงินจริงในแบงก์

ทำไมมันสำคัญกับเรา: งานพวกนี้ไม่ต้องรอ budget ก้อนใหญ่ — เป็นงาน governance + documentation ที่ทีมเล็กทำได้ และเป็นสิ่งแรกที่ทั้งผู้ตรวจและผู้บริหารความเสี่ยงของคุณเองจะถามหา เมื่อ FSB วางกรอบไว้แบบนี้ คำถามเหล่านี้จะไหลลงมาถึงทุกแบงก์เร็วกว่าที่คิด

ภาพรวม

ร่างแนวปฏิบัติ 12 ข้อของ FSB บอกทิศทางชัดเจน: ภาคการเงินกำลังถูกผลักให้ย้ายจาก "คุมโมเดลที่แนะนำ" ไปเป็น "คุม agent ที่ลงมือทำเอง" และเมื่อจำนวน agent มากเกินกว่าที่คนจะตามดูทุกก้าว มาตรฐานใหม่ก็ยอมรับตรง ๆ ว่าต้องใช้ AI คอยเฝ้า AI โดยมีมนุษย์คุมที่ระดับขอบเขตและราวกันตก ไม่ใช่ระดับรายการ ช่วงนี้ — ที่ยังเป็นร่างเปิดรับความเห็นถึง 22 กรกฎาคม 2026 ก่อนออกฉบับจริงตุลาคม 2026 — คือเวลาที่ทีม risk ควรใช้เตรียมทะเบียน agent, autonomy boundary, metric เฝ้าระวัง และ kill switch ให้พร้อม

ถ้าอยากให้ Claude Code ช่วยทำงาน data/risk แบบมีร่องรอยตรวจสอบได้ (audit trail) — ตั้งแต่ดึงข้อมูล ทำทะเบียนโมเดล ไปจนถึงทำรายงานที่ผู้ตรวจอ่านรู้เรื่อง — ผมรวบรวมวิธีที่ใช้จริงไว้ใน คอร์ส Claude Code

เนื้อหานี้เพื่อการศึกษาและสรุปข่าวเชิงวิเคราะห์ ไม่ใช่คำแนะนำการลงทุนหรือคำแนะนำด้านกฎหมาย/การกำกับเฉพาะกรณี

ที่มา

• FSB consults on sound practices for the responsible adoption of artificial intelligence (AI) — Financial Stability Board
• Agentic AI Risk Catches Eye of Financial Stability Board — PYMNTS
• Financial Stability Board points banks towards AI monitoring AI as human oversight reaches its limits — The Asian Banker