Công ty AI Bangkok: Cách chọn qua RFP, PoC và UAT

Chọn công ty AI Bangkok chỉ dựa vào bản demo đẹp hoặc đơn giá thấp sẽ đẩy rủi ro sang giai đoạn vận hành. Doanh nghiệp cần đánh giá định nghĩa bài toán, dữ liệu tiếng Thái, tích hợp hệ thống cũ, PDPA, quản trị AI, kiểm thử nghiệm thu, quyền đối với mã nguồn và chuyển giao vận hành như một gói mua sắm thống nhất. Bài viết này hướng dẫn doanh nghiệp Nhật Bản và quốc tế tại Thái Lan đi từ sàng lọc nhà cung cấp, RFP và PoC đến FAT/UAT, SLA và quyền làm chủ hệ thống.

Kết luận: chọn công ty phát triển AI bằng bằng chứng có thể nghiệm thu và vận hành

Dự án AI không chỉ thất bại khi mô hình không chạy. Một nguyên mẫu chạy được nhưng không hiểu cách viết tắt của nhân viên Thái, suy giảm khi master ERP thay đổi, không truy nguyên được nguồn của câu trả lời, hoặc chỉ nhà cung cấp cũ mới sửa được prompt và bộ đánh giá đều là thất bại trong kinh doanh.

Quy trình lựa chọn phải trả lời năm câu hỏi:

1. Nhà cung cấp có giải thích được vấn đề kinh doanh và phương án không dùng AI không?
2. Trách nhiệm về dữ liệu, quyền, PDPA, an toàn và bảo mật có rõ không?
3. Họ có kiểm thử tái lập bằng dữ liệu tiếng Thái, Anh và Nhật đại diện cho thực tế không?
4. Họ có tích hợp an toàn với ERP, MES, tài liệu, thiết bị và quy trình phê duyệt không?
5. Sau nghiệm thu, khách hàng có thể giám sát, thay đổi, khôi phục và chuyển giao hệ thống không?

Đây là cách mua một hệ thống nghiệp vụ phải được cải tiến liên tục, không phải một thử nghiệm đơn lẻ. Nếu cần xác định phạm vi thuê ngoài trước, hãy đọc hướng dẫn thuê phát triển AI tại Thái Lan. Để lập kế hoạch thử nghiệm, xem chi phí và tiêu chí thành công của AI PoC.

Vì sao mua dịch vụ phát triển AI Thái Lan cần kỷ luật hơn

BOI Thái Lan công bố 1,47 nghìn tỷ baht trong 1.299 hồ sơ xin ưu đãi đầu tư trong nửa đầu năm 2026, tăng 37% về giá trị so với cùng kỳ. Đây là số liệu hồ sơ của danh mục đầu tư được công bố, không phải vốn đã được phê duyệt hoặc giải ngân và không phải tổng riêng cho AI. BOI cũng công bố thông tin tháng 8/2026 về dòng vốn AI và công nghệ khi Thái Lan chuẩn bị chiến lược quốc gia về bán dẫn và điện tử tiên tiến. Các thông tin này cho thấy môi trường hạ tầng tính toán, cloud và dịch vụ số đang chuyển động; chúng không chứng nhận một nhà cung cấp cụ thể.

Khi thị trường tăng trưởng, các nhãn “AI-ready”, “phát triển GenAI” hay “xây AI Agent” không cho biết năng lực về dữ liệu xuyên biên giới, đánh giá tiếng Thái, audit log, cập nhật mô hình và khôi phục sự cố. Nếu người mua không đưa ra một đặc tả chung, mỗi bên sẽ báo một phạm vi khác nhau và không thể so sánh giá, tiến độ hay accuracy.

ETDA thúc đẩy AI Governance nhằm xây dựng sử dụng AI đáng tin cậy và hỗ trợ tổ chức qua AI Governance Practice Center. ISO/IEC 42001 đưa ra yêu cầu thiết lập, vận hành và cải tiến liên tục hệ thống quản lý AI. Hai nguồn này không đảm bảo độ chính xác của sản phẩm, nhưng giúp đưa vai trò, rủi ro, hồ sơ, giám sát và cải tiến vào RFP.

Bốn nhóm công ty AI tại Bangkok nên đưa vào danh sách

Hãy phân loại theo năng lực dự án cần, thay vì chỉ theo thương hiệu.

Một bên có thể không bao phủ mọi lớp. Nếu nhóm gồm nhà thầu chính, chuyên gia AI, cloud provider và OT integrator, cần chỉ định một đầu mối sự cố và một bên chịu trách nhiệm về kết quả nghiệm thu tổng thể. Điều kiện thay subcontractor cũng phải vào hợp đồng. Không nên để khách hàng tự phân xử mọi ranh giới khi có lỗi.

Bảng điểm công ty phát triển AI: chốt trọng số trước khi đọc proposal

Đặt tiêu chí sau khi xem đề xuất dễ dẫn đến thiên vị thương hiệu và thuyết trình. Hãy thống nhất trọng số, điểm tối thiểu, điều kiện loại và hình thức bằng chứng trước khi phát RFP. Mô hình 100 điểm dưới đây là ví dụ biên tập, không phải chuẩn thị trường.

Điều kiện loại có thể gồm: dùng dữ liệu mật để huấn luyện bên ngoài khi chưa được phép; không nêu được quốc gia lưu dữ liệu; không có quy trình báo sự cố trọng yếu; quyền với deliverable không rõ; hoặc dùng chính dữ liệu tinh chỉnh để đo kết quả. Doanh nghiệp phải điều chỉnh theo phân loại thông tin và tư vấn pháp lý của mình.

Chấm bằng chứng, không chấm câu trả lời “có”. Yêu cầu mẫu đã ẩn danh, màn hình, test record, sơ đồ, runbook và phỏng vấn người thực sự thực hiện. Khả năng giải thích một thất bại tương tự, nguyên nhân và sửa chữa có thể tái lập thường có giá trị hơn số dự án lớn nhưng không được kiểm chứng.

RFP cho triển khai AI tại Thái Lan phải chuẩn hóa giả định

RFP tốt không giả vờ người mua đã thiết kế xong giải pháp. Nó đặt ra một bài toán chung, công khai hạn chế và yêu cầu mọi nhà thầu ghi rõ giả định.

Phạm vi nghiệp vụ và ngoại lệ

Nêu người dùng, địa điểm, ngôn ngữ, input, output, người duyệt, giờ vận hành, tải cao điểm và hệ thống hiện tại. Thay “tự động hóa hỏi đáp” bằng “phân loại yêu cầu bảo trì tiếng Thái và Nhật, soạn câu trả lời có nguồn tài liệu đã duyệt, và bắt buộc con người duyệt trước khi gửi”. Liệt kê việc PoC không được làm như định giá tự động, quyết định nhân sự hoặc gửi khách hàng không giám sát.

Baseline và mục tiêu

Đo thời gian xử lý, số lượng, rework, phân loại sai, dữ liệu thiếu và hàng chờ hiện tại. Nếu chưa có baseline, biến việc tạo baseline thành deliverable đầu tiên. Tránh một mục tiêu “accuracy 95%” đơn lẻ. Phân biệt lỗi nghiêm trọng và lỗi chấp nhận được; bỏ sót cảnh báo an toàn máy móc quan trọng hơn một lỗi văn phong.

Danh mục dữ liệu và điều kiện sử dụng

Ghi owner, định dạng, thời kỳ, ngôn ngữ, dữ liệu cá nhân, độ mật, vị trí, tần suất, missing value và label. Khi chưa thể giao dữ liệu thật, hãy cung cấp schema đã che tên, dải số lượng, ví dụ tổng hợp và phân loại bảo mật; buộc nhà cung cấp ghi mọi giả định.

Tích hợp và yêu cầu phi chức năng

Nêu kết nối ERP, MES, CRM, SharePoint, file, email và dữ liệu máy; cùng identity, network zone, concurrent use, audit, maintenance window, backup và recovery. Mục tiêu response và recovery phải xuất phát từ mức chịu đựng nghiệp vụ thực tế, không phải con số phổ quát không có cơ sở.

Deliverable và nghiệm thu

Ngoài source code, yêu cầu data dictionary, prompt và system prompt, evaluation data/script, model/service configuration, IaC, setting, API, runbook, incident response, đào tạo admin, license inventory và known limitation. Gán định dạng, người cập nhật và người nghiệm thu cho từng mục.

PoC phải giảm bất định Go/No-Go, không phải dàn dựng demo thành công

Lộ trình áp dụng AI cho doanh nghiệp tại Thái Lan giúp gắn PoC với production và operation. Câu “AI có làm được không?” quá rộng. Hãy kiểm tra những câu hỏi quyết định:

• Hệ thống có phân loại đúng trường hợp trọng yếu khi gặp viết tắt tiếng Thái, biến thể chính tả và mã tiếng Anh không?
• Có giới hạn câu trả lời vào tài liệu đã duyệt và từ chối khi thiếu bằng chứng không?
• Với quyền API thật, có kết nối ERP mà không tạo giao dịch trùng không?
• Có đo được latency và cấu trúc chi phí khi usage tăng không?
• Admin của khách hàng có cập nhật prompt, knowledge, threshold và rollback không?

Các gate bằng chứng của PoC

Thời lượng tùy dự án. Chuỗi sau là ví dụ quản trị, không phải lịch chuẩn của thị trường.

Tách final evaluation set khỏi dữ liệu dùng để điều chỉnh trong phát triển. Đưa vào trường hợp trọng yếu ít gặp, tiếng Thái nguyên bản, khẩu ngữ, OCR nhiễu, tài liệu cũ, nguồn mâu thuẫn và adversarial input. Với Generative AI, exact match không đủ; cần chấm nguồn căn cứ, hành vi bị cấm, độ bao phủ, khả năng từ chối và công sức sửa của con người.

NIST AI RMF Generative AI Profile là tài liệu hỗ trợ áp dụng AI RMF cho rủi ro GenAI, không phải chứng nhận hoặc xếp hạng vendor. OWASP Top 10 for LLM Applications 2025 nêu prompt injection, sensitive information disclosure, supply chain, data and model poisoning, improper output handling và excessive agency. Phải chuyển các tiêu đề này thành test case theo data flow và permission thực tế.

Kiểm thử vận hành tiếng Thái, không chỉ dịch bản demo

Giao diện tiếng Thái không chứng minh chất lượng nghiệp vụ tiếng Thái. Hồ sơ thực tế thường trộn tiếng Thái, Anh, mã sản phẩm, chữ Latin, viết tắt, mức độ trang trọng, bản chép giọng nói và lỗi OCR. Quản lý Nhật và nhân viên Thái có thể gọi cùng một lỗi bằng từ khác nhau.

Phân tầng bộ đánh giá theo nhà máy, phòng ban và ca làm liên quan. Dùng nội dung được tạo nguyên bản bằng tiếng Thái, không chỉ dịch test case tiếng Nhật. Reviewer phải hiểu cả ngôn ngữ và nghiệp vụ, vì câu đúng ngữ pháp chưa chắc dẫn tới quyết định chất lượng hoặc bảo trì đúng.

Version glossary, biểu đạt cấm, câu trả lời đã duyệt, prompt theo ngôn ngữ và bộ đánh giá. Chỉ định người cập nhật khi thay sản phẩm, quy trình, quy định hoặc tổ chức, và regression test phải chạy. “Foundation model hỗ trợ đa ngôn ngữ” chưa phải tiêu chí nghiệm thu.

AI sản xuất phải có ranh giới OT và an toàn

Khi AI ảnh hưởng thiết bị, phân loại chất lượng, hướng dẫn công việc hoặc kế hoạch sản xuất, tác động lớn hơn web thông thường. Kiến trúc phải thể hiện AI có ghi trực tiếp PLC không, con người hoặc logic xác định phê duyệt ra sao, và hệ thống chuyển sang trạng thái an toàn khi lỗi như thế nào.

Trong một số giai đoạn đầu, AI có thể là lớp tư vấn tách khỏi safety control và machine interlock. Cấu trúc phù hợp phụ thuộc risk assessment; thêm AI không tự động làm hệ thống an toàn hơn. Sau khi đổi model hoặc prompt, regression test phải bao gồm biên output, timeout, giá trị bất thường và manual fallback ngoài chất lượng mô hình.

AI & Digital Transformation Catalog của depa có thể là điểm bắt đầu tìm hiểu giải pháp tại Thái Lan. Việc được liệt kê không phải bảo đảm performance, tuân thủ pháp luật hay khuyến nghị của TOMAS TECH. Mỗi giải pháp vẫn phải qua RFP và acceptance test riêng.

Đưa quyền dữ liệu và PDPA vào hợp đồng

Một câu “tuân thủ PDPA” chưa phải biện pháp kiểm soát. Kết luận pháp lý cần chuyên gia xem xét hoạt động xử lý cụ thể, nhưng hồ sơ mua sắm tối thiểu phải nêu:

• Controller, processor và subprocessor dự kiến là ai.
• Mục đích xử lý và cách tối thiểu hóa dữ liệu.
• Quốc gia/dịch vụ lưu source, embedding, log, backup và test data.
• Thiết lập của provider có dùng input để train model không.
• Retention, deletion, xử lý backup và trả dữ liệu khi kết thúc.
• Quyền access, download, admin và audit trail.
• Cách thông báo rò rỉ, gửi nhầm, rủi ro xuyên biên giới hoặc tái định danh.

Tách ownership và license right. Xác định theo từng tài sản: dữ liệu gốc, label do khách hàng tài trợ, thư viện nền của vendor, code riêng, generic improvement, prompt, fine-tuned weight, evaluation set và output. Câu “mọi deliverable thuộc khách hàng” có thể mâu thuẫn với cloud API, OSS và component có trước.

Nghiệm thu mã nguồn, mô hình và chuyển giao vận hành ở trạng thái sử dụng được

Một Git repository chưa phải bàn giao nếu không build được, quyền production còn nằm trong tài khoản cá nhân của vendor hoặc thiếu evaluation data. Nghiệm thu phải gồm triển khai từ clean environment vào account do khách hàng kiểm soát, restore từ backup và chạy lại representative test.

Xem xét source-code escrow nếu cần, số giờ transition khi chấm dứt và phương án thay người chủ chốt. Duy trì danh mục license OSS/third party, API term và end-of-support.

Kết nối FAT, UAT và nghiệm thu bằng một hệ thống bằng chứng

FAT có thể xác nhận chức năng và tích hợp trong môi trường vendor; UAT xác nhận độ phù hợp nghiệp vụ với người dùng thật. Quan trọng hơn tên gọi là rủi ro nào được thử, ở đâu, bởi ai và bằng dữ liệu nào.

Phạm vi FAT

Đóng băng version code, model và prompt. Thử API, permission, input validation, audit log, error, timeout, retry, idempotency và backup. Mô phỏng external AI service ngừng, chậm hoặc chạm rate limit. Nếu output đi sang hệ thống khác, phải coi là untrusted input và không chạy như command, SQL hoặc markup khi chưa kiểm tra; đây là vấn đề improper output handling của OWASP.

Phạm vi UAT

Người dùng Nhật và Thái thao tác tình huống bình thường, mơ hồ, thiếu dữ liệu, bị cấm, confidence thấp và vượt quyền. Ghi nhận khả năng kiểm tra nguồn, công sức sửa, từ chối, escalation, accessibility và đào tạo, không chỉ accuracy. Human-in-the-loop không an toàn nếu màn hình khiến người duyệt không nhận ra lỗi AI có vẻ thuyết phục.

Hồ sơ nghiệm thu

Mỗi test case có precondition, input, step, expected/actual result, evidence ID, configuration version, reviewer và open issue. Thống nhất threshold trong RFP hoặc cuối PoC. Nếu hạ chuẩn sau khi thấy kết quả, phải duyệt lý do và residual risk. Không dùng điểm trung bình cao bù cho critical case bắt buộc bị trượt.

SLA phải bao gồm chất lượng AI và thay đổi, không chỉ uptime

Cloud endpoint có thể online trong khi nguồn đã cũ, phân loại tiếng Thái drift hoặc chi phí API mất kiểm soát. Hãy tách ba lớp chỉ số:

1. System: availability, latency, error, queue, integration, backup, recovery.
2. AI quality: lỗi nghiêm trọng, trả lời thiếu căn cứ, abstention, drift, chất lượng theo ngôn ngữ, rework.
3. Business: thời gian xử lý, backlog, adoption, thời gian duyệt và ảnh hưởng vận hành.

Không phải mọi chỉ số đều cần service credit. Tách guarantee trong hợp đồng, operating target và observed metric. Khi cloud/model bên ngoài gặp lỗi, cần quy định notification, degraded mode, alternate model hoặc manual process và data reconciliation, không chỉ miễn trừ trách nhiệm.

Xem model version, prompt, knowledge, retrieval setting, threshold, code và schema là configuration item. Một thay đổi câu chữ nhỏ vẫn có thể ảnh hưởng critical behavior. Lưu evaluation, approval, release, monitoring và rollback trong cùng change record.

Câu hỏi AI Governance dùng để đánh giá nhà cung cấp

Không biến ISO/IEC 42001 hoặc hướng dẫn ETDA thành ô tick chứng nhận. Hãy kiểm tra phạm vi và cách làm việc:

• AI inventory có ghi use case, model, data, owner, risk và user không?
• Ai phê duyệt hoặc dừng high-impact use case?
• Khi nào risk assessment được cập nhật trong design, release và operation?
• Model information, data record, evaluation và change được lưu thế nào?
• Ai review fairness, explainability, privacy, safety và security?
• Người dùng được thông báo về AI, giới hạn và nơi báo vấn đề thế nào?
• Harmful answer, leakage, prompt injection và excessive action được phát hiện, khống chế ra sao?
• Provider change và model retirement được theo dõi thế nào?

Nếu AI agent có thể gửi email, đặt hàng, ra lệnh thiết bị hoặc xóa file, hãy tối thiểu hóa tool và permission, đặt approval và limit cho hành động tác động cao, đồng thời audit input/output. Excessive agency của OWASP nhắc rằng không cấp nhiều chức năng, quyền hay tự chủ hơn nhu cầu thực.

So sánh giả định trước khi so tổng báo giá

Hai báo giá cùng tiêu đề có thể gồm phạm vi rất khác. Tách discovery, data preparation, labeling, translation, API, cloud, model usage, security test, training, hypercare và maintenance. Không đặt “giá thị trường” không có nguồn; yêu cầu mọi bên điền cùng lượng và giả định.

Làm rõ volume tier, tiền tệ, minimum, cancellation, prepayment, tăng giá third-party và change rate. Giá PoC không phải giá production. Cập nhật kịch bản low/base/high bằng usage đo được.

Quản trị cho doanh nghiệp Nhật triển khai AI tại Thái Lan

Một công ty Nhật tại Thái Lan thường có trụ sở Nhật, pháp nhân Thái, người dùng nhà máy, IT, pháp chế/HR và khu vực. Đưa mọi quyết định về Nhật gây chậm, nhưng quyết định toàn bộ tại Thái có thể xung đột group policy. Lập RACI tách use-case owner, data owner, technical owner, risk acceptor và budget owner.

Ngôn ngữ là một phần trách nhiệm. Không ra quyết định trọng yếu chỉ từ biên bản tiếng Nhật. Người dùng Thái phải xác nhận acceptance condition, prohibited use và incident step. Dù hợp đồng là tiếng Anh, quy trình, giao diện và đào tạo cần dùng được bằng ngôn ngữ vận hành. Xác định bản chính và trách nhiệm đồng bộ bản dịch.

Steering meeting nên xem giả định, rủi ro mở, bằng chứng, quyền dữ liệu, dự báo chi phí và điều kiện Go/No-Go, không chỉ phần trăm hoàn thành. Nếu báo cờ đỏ sớm bị phạt, vendor sẽ giấu vấn đề đến ngày nghiệm thu. Cơ chế mua sắm nên đánh giá cao công khai sớm và bằng chứng tái lập.

Checklist trước khi ký hợp đồng

• Scope, exclusion, automation level và người quyết định cuối rõ ràng.
• Người dùng, địa điểm và đánh giá Thái/Nhật/Anh đã xác định.
• Purpose, quốc gia lưu, subprocessor, training use, deletion và return có trong hợp đồng.
• Quyền với data, label, code, prompt, evaluation set và output được tách theo tài sản.
• Có non-AI baseline và định nghĩa critical error.
• Có PoC Go/No-Go gate và đường thoát nếu không lên production.
• FAT/UAT nêu environment, data, reviewer, evidence và version.
• Thử duplicate, timeout, retry, cancel và reconciliation của ERP/MES/API.
• Thử prompt injection, leakage, excessive permission và output validation.
• SLA bao gồm degraded mode, notice, restore, change và model retirement.
• Deploy được source, configuration, document và test trong customer account.
• Khi kết thúc có thể trả/xóa dữ liệu và chuyển sang provider khác.

FAQ

Nên so sánh bao nhiêu công ty AI Bangkok?

Không có số cố định. Dùng yêu cầu thông tin ban đầu để lọc capability và disqualifier, sau đó mời số lượng mà đội ngũ có thể quản lý câu hỏi và đánh giá bằng chứng đúng cách. Nên có hơn một loại nhà cung cấp và cùng giả định.

Một AI PoC tại Thái Lan có giá bao nhiêu?

Chi phí phụ thuộc dữ liệu, tích hợp, ngôn ngữ, bảo mật và phạm vi đánh giá. So sánh deliverable chi tiết, effort theo vai trò, third-party charge, volume và change rate. Demo rẻ và PoC đủ sức hỗ trợ quyết định production là hai sản phẩm khác nhau.

Giao dữ liệu mật cho công ty phát triển AI có an toàn không?

Không thể kết luận từ tên công ty. Cần tối thiểu hóa hoặc ẩn danh dữ liệu, dùng environment kiểm soát, và kiểm tra permission, vị trí, training setting, log, deletion, incident notice, subprocessor. Hãy xin tư vấn pháp lý Thái cho xử lý thực tế.

Đánh giá chất lượng AI tiếng Thái như thế nào?

Dùng bộ độc lập gồm tiếng Thái nguyên bản, tiếng Anh trộn, viết tắt, OCR nhiễu và critical case ít gặp. Reviewer tiếng Thái hiểu nghiệp vụ phải chấm độ đúng, bằng chứng, từ chối và công sức sửa.

Trụ sở Nhật hay công ty Thái nên sở hữu dự án AI?

Phân trách nhiệm theo use case, data, technology, risk và budget. Kết hợp tiêu chuẩn tập đoàn với vận hành và yêu cầu pháp lý tại Thái, đồng thời đưa người dùng địa phương vào UAT và change approval.

Có nên cho AI Agent tự động hành động ngay từ đầu?

Hãy bắt đầu với hành động tác động thấp, có thể đảo ngược, permission hạn chế, approval, limit, log và stop mechanism. Thanh toán, gửi ra ngoài, điều khiển thiết bị và xóa dữ liệu không nên có quyền tự chủ rộng nếu chưa có risk assessment và acceptance evidence.

Tổng kết: chọn đối tác để khách hàng có thể vận hành bền vững

Một công ty AI tại Bangkok cần được so sánh qua giá trị nghiệp vụ, dữ liệu tiếng Thái, integration, PDPA, AI Governance, FAT/UAT, SLA, quyền và handover, thay vì độ bóng bẩy của demo, tên model hay day rate. PoC là gate bằng chứng nhằm giảm bất định production. Nghiệm thu cuối phải chứng minh khách hàng có thể deploy, evaluate, restore và tiếp tục hệ thống dù đội ngũ ban đầu thay đổi.

TOMAS TECH có thể hỗ trợ xây dựng bảng điểm hoặc RFP ngay từ giai đoạn định nghĩa bài toán. Với dự án AI liên quan vận hành tiếng Thái, nhà máy hoặc tích hợp ERP/MES, vui lòng trao đổi qua trang liên hệ tiếng Việt của TOMAS TECH.

Tài liệu tham khảo

• Thailand BOI, Investment Applications in 1H 2026: https://osos.boi.go.th/EN/news/2430/Thailand-Secures-43-6bn-1H-2026-Investment-Surge-as-Big-Tec/
• Thailand BOI, AI and Tech Inflows: https://osos.boi.go.th/EN/news/2462/Thailand-AI-and-Tech-Inflows-Surge-as-Country-Prepares-Natio/
• ETDA, Driving Trust with AI Governance: https://www.etda.or.th/th/pr-news/aigc_Driving-Trust_AI_Governance.aspx?feed=cb66f430-5546-4dd8-b279-3827e88d154b
• ETDA, AI Governance Practice Center: https://www.etda.or.th/th/Our-Service/AIGC/index.aspx
• ISO, ISO/IEC 42001:2023: https://www.iso.org/standard/42001?browse=ics
• NIST, AI RMF Generative AI Profile: https://www.nist.gov/publications/artificial-intelligence-risk-management-framework-generative-artificial-intelligence
• depa, AI & Digital Transformation Catalog: https://www.depa.or.th/storage/app/media/file/ai-digital-transformation-catalog.pdf
• OWASP, Top 10 for LLM Applications 2025: https://genai.owasp.org/llm-top-10/