กฎหมาย AI ไทยฉบับแรก: มาตรการควบคุมความเสี่ยงและแนวทางเตรียมความพร้อมด้าน Data Provenance

ข่าวต้นเรื่อง: "รัฐบาลดัน พ.ร.บ. AI ฉบับแรกประเทศไทย คลอดกฎเหล็กคุมทุกเม็ด พ่วงการพัฒนา" (thansettakij) · ค้นหาต้นฉบับ ต่อไปนี้เป็นบทวิเคราะห์ต้นฉบับที่ AI เรียบเรียงขึ้นโดยอ้างอิงข้อเท็จจริงที่ตรวจสอบจากรายงานข่าวจริง 3 แหล่ง (ไม่ใช่การแปลหรือคัดลอกต้นฉบับ) ดูแหล่งอ้างอิงท้ายบทความ

รายงานระบุว่ารัฐบาลไทยกำลังผลักดันกฎหมายควบคุมปัญญาประดิษฐ์ฉบับแรกโดยอ้างอิงแนวทาง EU AI Act ซึ่งจัดระบบความเสี่ยงและกำหนดมาตรการลงโทษที่เข้มงวดต่อการใช้เทคโนโลยีระดับสูง การมาถึงของกฎระเบียบนี้จะสร้างความท้าทายด้านความรับผิดชอบทางกฎหมายและข้อพิพาทด้านลิขสิทธิ์ให้แก่นักกฎหมายและองค์กรที่ต้องเตรียมความพร้อมด้าน Data Provenance เพื่อหลีกเลี่ยงความเสี่ยงดังกล่าว

ทำไมต้องติดตามกฎหมาย AI ฉบับนี้ตอนนี้

ประเทศไทยกำลังก้าวสู่การเป็นผู้นำด้านกฎระเบียบ AI ในเอเชีย โดยมีเป้าหมายบังคับใช้ภายในปี 2569 ซึ่งส่งสัญญาณชัดเจนว่าองค์กรต้องเริ่มปรับตัวทันที ข้อมูลจากกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (DE) และสถาบันส่งเสริมการจัดการสารสนเทศเพื่อเศรษฐกิจและสังคม (ETDA) ยืนยันว่าร่างกฎหมาย "พระราชบัญญัติปัญญาประดิษฐ์" ได้ถูกเปิดเผยแล้ว โดยมีเป้าหมายหลักในการสร้างกรอบกฎหมายที่เอื้อต่อการพัฒนาเทคโนโลยีควบคู่ไปกับการกำกับดูแลความเสี่ยงอย่างเข้มงวด

การประกาศใช้กฎหมายฉบับนี้ไม่ใช่เพียงการปฏิบัติตามเทรนด์โลก แต่เป็นการวางรากฐานเชิงรุกเพื่อป้องกันความเสียหายที่อาจเกิดขึ้นจากการใช้เทคโนโลยีที่ก้าวล้ำเกินกว่าจริยธรรมหรือความปลอดภัย โดยประเทศไทยจะกลายเป็นประเทศที่สองในเอเชีย (รองจากเกาหลีใต้ที่มีแผนบังคับใช้ในเดือนมกราคม 2569) และลำดับที่สามของโลก (รองจากสหภาพยุโรป) ที่มีการบังคับใช้กฎหมายเฉพาะด้าน AI แบบครบวงจร การติดตามสถานการณ์ในขณะนี้จึงมีความสำคัญอย่างยิ่ง เพราะระยะเปลี่ยนผ่านจากช่วงร่างกฎหมายสู่การบังคับใช้จริง จะส่งผลโดยตรงต่อแนวทางการปฏิบัติตามกฎระเบียบ (Compliance) ของภาคธุรกิจและหน่วยงานรัฐที่ต้องเตรียมความพร้อมภายในระยะเวลาอันใกล้

เจาะลึกโครงสร้างกฎหมาย: การแบ่งระดับความเสี่ยงแบบ Risk-based Approach

หัวใจสำคัญของกฎหมาย AI ฉบับนี้คือการนำแนวทาง Risk-based Approach มาใช้ ซึ่งอ้างอิงโครงสร้างจากกฎระเบียบ AI Act ของสหภาพยุโรป (EU AI Act) โดยมีการจำแนกประเภทของระบบ AI ออกเป็นสองระดับหลัก คือ "ความเสี่ยงต้องห้าม" (Prohibited-Risk) และ "ความเสี่ยงสูง" (High-Risk) ซึ่งแต่ละระดับมีข้อกำหนดและมาตรการควบคุมที่แตกต่างกันอย่างชัดเจน

1. ระบบ AI ความเสี่ยงต้องห้าม (Prohibited-Risk): กฎหมายกำหนดให้ระบบ AI ประเภทนี้ผิดกฎหมายโดยสิ้นเชิง เนื่องจากมีผลกระทบเชิงลบต่อสิทธิมนุษยชนและความมั่นคงของชาติ ตัวอย่างที่ระบุไว้ชัดเจน ได้แก่

   • Social Scoring: ระบบที่ใช้ประเมินพฤติกรรมหรือความน่าเชื่อถือของบุคคลในลักษณะที่จำกัดสิทธิหรือโอกาสในการเข้าถึงบริการสาธารณะ
   • Subliminal Manipulation: การใช้เทคนิคที่ซ่อนเร้นหรือหลอกลวงทางจิตวิทยาเพื่อควบคุมพฤติกรรมของผู้บริโภคหรือประชาชน
   • Deepfake เพื่อการบิดเบือนข้อมูล: การใช้เทคโนโลยีสร้างสื่อปลอม (Deepfake) เพื่อแทรกแซงกระบวนการเลือกตั้ง หรือแพร่กระจายข้อมูลเท็จที่ก่อให้เกิดความเสียหายต่อความสงบเรียบร้อย
   • บทลงโทษ: การฝ่าฝืนข้อกำหนดในหมวดนี้มีความรุนแรงสูงสุด อาจนำไปสู่โทษจำคุก การปรับสูงมาก การยึดอุปกรณ์ หรือแม้แต่คำสั่งให้ผู้ให้บริการอินเทอร์เน็ต (ISP) บล็อกการเข้าถึงบริการดังกล่าว

2. ระบบ AI ความเสี่ยงสูง (High-Risk): เป็นกลุ่มระบบที่อนุญาตให้ใช้งานได้แต่ต้องอยู่ภายใต้เงื่อนไขที่เข้มงวด เนื่องจากมีผลกระทบต่อชีวิต ทรัพย์สิน หรือสิทธิขั้นพื้นฐานของประชาชน ระบบที่อยู่ในหมวดนี้ ได้แก่

   • การใช้งานในภาคสาธารณสุข เช่น การวินิจฉัยโรค
   • การบริหารทรัพยากรบุคคล เช่น ระบบคัดกรองใบสมัครงาน
   • การประเมินความน่าเชื่อถือทางการเงิน เช่น การให้คะแนนเครดิต
   • ระบบระบุตัวตนทางชีวภาพ (Biometric Identification)
   • ระบบยุติธรรมและกระบวนการทางกฎหมาย

สำหรับระบบ AI ความเสี่ยงสูง กฎหมายกำหนดภาระหน้าที่ (Obligations) ที่ผู้ใช้งานหรือผู้พัฒนาต้องปฏิบัติตามอย่างเคร่งครัด ได้แก่ การจัดทำระบบจัดการความเสี่ยง (Risk Management System) การเปิดเผยข้อมูลให้ผู้ใช้ทราบว่าเป็นการทำงานโดย AI (Transparency) การรักษาความสามารถในการอธิบายผลการตัดสินใจ (Explainability) การรายงานเหตุการณ์ผิดปกติ (Incident Reporting) และการแต่งตั้งผู้แทนทางกฎหมายในไทยเพื่อรับผิดชอบต่อการปฏิบัติตามกฎระเบียบ

ผลกระทบเชิงปฏิบัติต่อองค์กรและบทลงโทษ

การบังคับใช้กฎหมายฉบับนี้ส่งผลกระทบเชิงปฏิบัติต่อองค์กรในหลายมิติ โดยเฉพาะอย่างยิ่งองค์กรที่นำ AI ไปใช้ในกระบวนการทำงานหลักหรือมีระบบที่เข้าข่ายเป็น High-Risk AI องค์กร

เจาะลึกโครงสร้างกฎหมาย: การแบ่งระดับความเสี่ยงแบบ Risk-based Approach

กฎหมายว่าด้วยปัญญาประดิษฐ์ (AI) ฉบับแรกของประเทศไทย ซึ่งกำลังอยู่ในขั้นตอนการพิจารณา โดยกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (DE) และสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) ได้กำหนดกรอบการกำกับดูแลโดยอ้างอิงแนวทางจากกฎระเบียบของสหภาพยุโรป (EU AI Act) เป็นหลักสำคัญ โครงสร้างของกฎหมายฉบับนี้ไม่ได้มุ่งควบคุมเทคโนโลยีทุกชนิดในลักษณะเดียวกัน แต่เลือกใช้วิธีการ "Risk-based Approach" หรือการแบ่งระดับความเสี่ยง เพื่อสร้างสมดุลระหว่างการส่งเสริมนวัตกรรมและการปกป้องสิทธิประชาชน โดยจำแนกระบบ AI ออกเป็นสองกลุ่มหลัก ได้แก่ กลุ่มที่ห้ามใช้เด็ดขาด (Prohibited-Risk) และกลุ่มที่มีความเสี่ยงสูง (High-Risk) ซึ่งแต่ละกลุ่มมีมาตรการบังคับใช้ที่แตกต่างกันอย่างชัดเจน

สำหรับกลุ่ม Prohibited-Risk หรือระบบ AI ที่ถือว่ามีความเสี่ยงต่อสิทธิและเสรีภาพของประชาชนในขั้นวิกฤต กฎหมายกำหนดมาตรการห้ามใช้โดยเด็ดขาด (Zero Tolerance) ตัวอย่างของระบบที่เข้าข่ายนี้ ได้แก่ เทคโนโลยีที่ใช้สำหรับการจัดอันดับทางสังคม (Social Scoring) ที่อาจนำไปสู่การเลือกปฏิบัติ หรือการใช้เทคโนโลยี Deepfake เพื่อแทรกแซงกระบวนการเลือกตั้งและเผยแพร่ข้อมูลเท็จ ซึ่งการฝ่าฝืนคำสั่งห้ามดังกล่าวอาจนำไปสู่บทลงโทษทางอาญา การยึดอุปกรณ์ และการสั่งปิดบริการโดยผู้ให้บริการอินเทอร์เน็ต (ISP) ส่วนกลุ่ม High-Risk นั้นครอบคลุมระบบที่มีผลกระทบสูงต่อชีวิตและทรัพย์สิน เช่น ระบบวินิจฉัยทางการแพทย์ ระบบประเมินเครดิตเพื่ออนุมัติสินเชื่อ ระบบคัดเลือกบุคคลเข้าทำงาน และระบบระบุตัวตนทางชีวภาพ (Biometric Identification) แม้ระบบเหล่านี้จะได้รับอนุญาตให้ใช้งานได้ในเชิงพาณิชย์ แต่ผู้พัฒนาและผู้ใช้งานต้องปฏิบัติตามข้อกำหนดที่เข้มงวด (Strict Compliance) อย่างเคร่งครัด

เพื่อให้การกำกับดูแลกลุ่ม High-Risk มีประสิทธิภาพ กฎหมายกำหนดภาระหน้าที่ (Obligations) ที่สำคัญต่อผู้ที่เกี่ยวข้อง ซึ่งแตกต่างจากการควบคุมแบบเดิมที่อาจมองเฉพาะผลลัพธ์ แต่กฎหมายนี้มุ่งเน้นที่กระบวนการและระบบบริหารจัดการ (Governance) โดยผู้ใช้งานระบบ High-Risk มีหน้าที่ต้องจัดตั้งระบบจัดการความเสี่ยงภายใน (Risk Management System) ให้สามารถตรวจจับและแก้ไขข้อผิดพลาดหรือความลำเอียงของอัลกอริทึมได้ก่อนนำไปใช้งานจริง นอกจากนี้ยังต้องปฏิบัติตามหลักการสำคัญด้านความโปร่งใสและความเป็นธรรม เช่น การเปิดเผยให้ผู้ใช้ทราบอย่างชัดเจนว่ากำลังโต้ตอบกับระบบ AI (AI Disclosure) การรักษาความสามารถในการอธิบายเหตุผลของระบบ (Explainability) เพื่อให้มนุษย์สามารถตรวจสอบการตัดสินใจได้ และมีการรายงานเหตุการณ์ผิดปกติ (Incident Reporting) ต่อหน่วยงานกำกับดูแลทันที รวมถึงการแต่งตั้งผู้แทนทางกฎหมาย (Legal Representative) ในประเทศไทยเพื่อรับผิดชอบต่อการปฏิบัติตามกฎระเบียบ ซึ่งมาตรการเหล่านี้สะท้อนให้เห็นว่ากฎหมายไทยมุ่งสร้างมาตรฐานความน่าเชื่อถือ (Trustworthy AI) ที่สามารถตรวจสอบได้ (Auditable) และรับผิดชอบได้ (Accountable) ก่อนที่จะอนุญาตให้ระบบดังกล่าวเข้าสู่ตลาดอย่างเต็มรูปแบบ

ผลกระทบเชิงปฏิบัติต่อองค์กรและบทลงโทษ

กฎหมายฉบับนี้กำหนดกรอบการกำกับดูแลที่เข้มงวดโดยแบ่งระดับความเสี่ยงของระบบ AI ออกเป็นสองหมวดหลัก คือ "ความเสี่ยงต้องห้าม" (Prohibited-Risk) และ "ความเสี่ยงสูง" (High-Risk) ซึ่งส่งผลกระทบโดยตรงต่อกระบวนการดำเนินงานขององค์กรที่ต้องนำเทคโนโลยีดังกล่าวไปประยุกต์ใช้ โดยเฉพาะในภาคบริการสำคัญอย่างการแพทย์และการเงิน สำหรับระบบที่มีความเสี่ยงสูง เช่น การใช้ AI ในการวินิจฉัยโรค การประเมินความน่าเชื่อถือทางเครดิต หรือการคัดเลือกบุคลากร องค์กรผู้ใช้งานมีหน้าที่ต้องปฏิบัติตามมาตรฐานความโปร่งใสและจริยธรรมอย่างเคร่งครัด ได้แก่ การจัดทำระบบจัดการความเสี่ยง การเปิดเผยข้อมูลต่อผู้ใช้เกี่ยวกับลักษณะการทำงานของระบบ ความสามารถในการอธิบายเหตุผลในการตัดสินใจ (Explainability) และการแต่งตั้งผู้แทนทางกฎหมายเพื่อรับผิดชอบต่อการปฏิบัติตามกฎระเบียบ

ในทางกลับกัน ระบบ AI ที่จัดอยู่ในกลุ่มความเสี่ยงต้องห้าม เช่น การสร้างเนื้อหาปลอมเพื่อแทรกแซงกระบวนการเลือกตั้งหรือเผยแพร่ข้อมูลเท็จ (Deepfake) และการใช้เทคโนโลยีควบคุมความคิดผ่านสัญญาณใต้สำนึก (Subliminal Manipulation) ถือเป็นสิ่งต้องห้ามโดยสิ้นเชิง กฎหมายกำหนดมาตรการลงโทษที่รุนแรงสำหรับการฝ่าฝืนคำสั่งห้ามดังกล่าว เพื่อคุ้มครองสิทธิขั้นพื้นฐานและเสถียรภาพทางสังคมของประชาชน

บทลงโทษและมาตรการบังคับใช้

การไม่ปฏิบัติตามข้อกำหนดทางกฎหมายอาจนำไปสู่มาตรการทางปกครองและทางอาญาที่รุนแรง โดยมีรายละเอียดดังนี้:

• โทษทางอาญาและทางปกครอง: ผู้ที่ฝ่าฝืนคำสั่งห้ามใช้ระบบ AI ในกลุ่มความเสี่ยงต้องห้าม อาจต้องรับโทษจำคุกและปรับทางอาญา รวมถึงถูกสั่งพักหรือเพิกถอนใบอนุญาตประกอบวิชาชีพที่เกี่ยวข้อง
• มาตรการตัดการเข้าถึงบริการ: หน่วยงานรัฐมีอำนาจสั่งการให้ผู้ให้บริการอินเทอร์เน็ต (ISP) ดำเนินการบล็อกหรือปิดกั้นการเข้าถึงระบบหรือเนื้อหาที่ผิดกฎหมายทันที เพื่อป้องกันความเสียหายที่อาจเกิดขึ้นต่อสาธารณชน
• การยึดอายัดทรัพย์สิน: ในกรณีที่มีความผิดร้ายแรง เจ้าหน้าที่มีอำนาจสามารถสั่งยึดอายัดอุปกรณ์หรือฮาร์ดแวร์ที่ใช้ในการประมวลผลระบบ AI ที่ผิดกฎหมายได้
• ความรับผิดทางแพ่ง: ผู้เสียหายสามารถเรียกร้องค่าชดเชยความเสียหายจากองค์กรที่ละเมิดกฎระเบียบ โดยกฎหมายมุ่งเน้นให้เจ้าของระบบหรือผู้ใช้งานต้องรับผิดชอบต่อการกระทำของ AI ภายใต้การควบคุมของตน

องค์กรที่ดำเนินงานในภาคส่วนที่มีความอ่อนไหวสูงจึงจำเป็นต้องทบทวนนโยบายการใช้เทคโนโลยีอย่างเร่งด่วน เพื่อป้องกันความเสี่ยงทางกฎหมายและชื่อเสียงที่อาจเกิดขึ้นจากการไม่ปฏิบัติตามมาตรฐานที่กำหนดไว้ในกฎหมายฉบับนี้

ความท้าทายด้าน Data Provenance และลิขสิทธิ์

การบังคับใช้กฎหมายว่าด้วยการพัฒนาและคุ้มครองปัญญาประดิษฐ์ของไทยซึ่งนำแนวทาง Risk-based Approach มาปรับใช้ ย่อมส่งผลกระทบโดยตรงต่อกระบวนการพัฒนาโมเดล AI โดยเฉพาะในมิติของ "Data Provenance" หรือแหล่งที่มาของข้อมูล ซึ่งเป็นหัวใจสำคัญในการพิสูจน์ความชอบธรรมของข้อมูลที่ใช้ในการฝึกฝน (Training Data) องค์กรที่พัฒนาหรือใช้งาน AI โดยเฉพาะระบบที่อยู่ในกลุ่ม High-Risk เช่น การแพทย์ การเงิน หรือกระบวนการยุติธรรม จำเป็นต้องสามารถแสดงหลักฐานเชิงประจักษ์ได้ว่าข้อมูลชุดนั้นๆ มีที่มาที่ไปชัดเจน ไม่ละเมิดสิทธิ์ของบุคคลที่สาม และผ่านการตรวจสอบความถูกต้องตามมาตรฐานสากล

ความท้าทายหลักในประเด็นนี้คือการที่กฎหมายมุ่งเน้นการลดความเสี่ยงจากการใช้ข้อมูลผิดกฎหมายหรือข้อมูลที่มีข้อพิพาททางลิขสิทธิ์ หากองค์กรไม่สามารถพิสูจน์แหล่งที่มาของข้อมูลได้ อาจถูกมองว่ามีความประมาทเลินเล่อหรือจงใจละเมิดกฎหมาย ซึ่งนำไปสู่ความรับผิดทางปกครองหรือทางอาญาตามระดับความรุนแรงของความเสี่ยงที่กฎหมายกำหนด ดังนั้น การจัดทำบันทึกข้อมูล (Data Lineage) ที่ละเอียดและตรวจสอบย้อนกลับได้ จึงไม่ใช่เพียงแนวทางปฏิบัติที่ดี (Best Practice) อีกต่อไป แต่กลายเป็นข้อกำหนดเชิงบังคับที่องค์กรต้องเตรียมความพร้อมเพื่อแสดงต่อหน่วยงานกำกับดูแลเมื่อมีการตรวจสอบ

แนวทางการเตรียมความพร้อมด้าน Data Provenance

เพื่อให้สอดคล้องกับข้อกำหนดและลดความเสี่ยงทางกฎหมาย องค์กรควรพิจารณาแนวทางปฏิบัติในประเด็นสำคัญดังนี้:

• การจัดทำทะเบียนแหล่งข้อมูล (Data Inventory): ต้องมีการบันทึกแหล่งที่มาของข้อมูลทุกชุดที่ใช้ในการฝึกฝนโมเดลอย่างละเอียด ระบุวันที่ได้มา วัตถุประสงค์ในการใช้งาน และสถานะของสิทธิ์ในข้อมูล (License Status) เพื่อสร้างฐานข้อมูลกลางที่เชื่อมโยงกับโมเดล AI แต่ละตัว
• การตรวจสอบสิทธิ์และใบอนุญาต (License Compliance Check): ดำเนินการตรวจสอบสิทธิ์ในข้อมูลอย่างเคร่งครัด โดยเฉพาะข้อมูลที่มีลิขสิทธิ์หรือข้อมูลส่วนบุคคล ต้องมั่นใจว่าได้มีการขอความยินยอมหรือได้รับอนุญาตจากเจ้าของสิทธิ์อย่างถูกต้องตามกฎหมาย PDPA และกฎหมายลิขสิทธิ์ที่เกี่ยวข้องก่อนนำเข้าสู่กระบวนการเรียนรู้ของโมเดล
• ระบบติดตามและตรวจสอบย้อนกลับ (Traceability Mechanism): พัฒนาระบบเทคโนโลยีที่ช่วยให้สามารถติดตามได้ว่าข้อมูลแต่ละชิ้นส่วนมีส่วนประกอบของข้อมูลใดบ้างในโมเดลที่พัฒนาขึ้น เพื่อพร้อมสำหรับการแสดงหลักฐานเมื่อเกิดข้อพิพาทหรือเมื่อหน่วยงานรัฐร้องขอข้อมูลเพื่อการตรวจสอบ
• การประเมินความเสี่ยงด้านลิขสิทธิ์ก่อนใช้งาน: ดำเนินการประเมินความเสี่ยงทางกฎหมายก่อนนำข้อมูลชุดใหม่เข้าสู่กระบวนการฝึกฝน โดยพิจารณาจากลักษณะของข้อมูลและแหล่งที่มา หากมีข้อสงสัยว่าข้อมูลอาจละเมิดสิทธิ์ควรงดใช้งานหรือหาข้อมูลทางเลือกอื่นที่มีใบอนุญาตชัดเจนแทน

สิ่งที่ต้องตรวจสอบและเตรียมความพร้อมภายในองค์กร

การบังคับใช้กฎหมายว่าด้วยระบบปัญญาประดิษฐ์ฉบับแรกของไทยซึ่งอ้างอิงจากแนวทาง Risk-based Approach ของสหภาพยุโรป (EU AI Act) สร้างภาระหน้าที่เชิงรุก (Proactive Obligations) ให้กับองค์กรที่พัฒนาหรือใช้งานระบบ AI ระดับสูง (High-Risk AI) อย่างมีนัยสำคัญ โดยเฉพาะในมิติของการบริหารจัดการความเสี่ยงและการกำกับดูแลภายใน (Internal Governance) องค์กรต้องไม่เพียงแต่ตรวจสอบระดับความเสี่ยงของระบบเท่านั้น แต่ยังต้องจัดตั้งโครงสร้างการบริหารที่ชัดเจนเพื่อรับผิดชอบต่อผลพวงทางกฎหมายที่อาจเกิดขึ้น

ประการแรก องค์กรจำเป็นต้องติดตั้งระบบจัดการความเสี่ยง (Risk Management System) ที่ทำงานแบบวงจรต่อเนื่อง (Continuous Cycle) ตั้งแต่ขั้นตอนการออกแบบ การพัฒนา ไปจนถึงการนำไปใช้งานจริง ระบบดังกล่าวต้องสามารถระบุ ประเมิน และบรรเทาความเสี่ยงต่อความปลอดภัย สิทธิมนุษยชน หรือความมั่นคงได้ โดยต้องมีการบันทึกหลักฐานการประเมินความเสี่ยง (Risk Assessment Documentation) ไว้เป็นลายลักษณ์อักษร เพื่อใช้แสดงต่อหน่วยงานกำกับดูแลเมื่อมีการตรวจสอบ นอกจากนี้ กฎหมายยังกำหนดให้ผู้ใช้ระบบ High-Risk AI ต้องแต่งตั้งผู้แทนทางกฎหมาย (Legal Representative) ภายในประเทศหรือภูมิภาค หากผู้พัฒนาหรือผู้ให้บริการไม่มีฐานปฏิบัติการในไทย การมีผู้แทนนี้จะเป็นกลไกสำคัญในการเชื่อมโยงความรับผิดชอบและอำนวยความสะดวกในการประสานงานกับหน่วยงานรัฐ

ประการที่สอง ด้านความโปร่งใสและการเปิดเผยข้อมูล (Transparency and Disclosure) องค์กรต้องดำเนินการสื่อสารนโยบายการใช้ AI ต่อผู้ใช้ปลายทางอย่างชัดเจนและเข้าถึงได้ (Accessible) โดยต้องแจ้งให้ผู้ใช้ทราบว่ากำลังมีปฏิสัมพันธ์กับระบบ AI หรือไม่ และหากระบบนั้นมีผลกระทบต่อการตัดสินใจที่สำคัญ (เช่น การให้สินเชื่อ การจ้างงาน หรือการเข้าถึงบริการสาธารณะ) องค์กรต้องเตรียมพร้อมในการให้คำอธิบายเหตุผลของการตัดสินใจนั้นๆ (Explainability) เพื่อให้ผู้ใช้สามารถเข้าใจกลไกและสิทธิในการอุทธรณ์ได้ การละเลยจุดนี้อาจถูกตีความว่าเป็นการละเมิดสิทธิผู้บริโภคหรือหลักการธรรมาภิบาลข้อมูล

ประการที่สาม องค์กรควรทบทวนนโยบายภายในและสัญญาว่าจ้าง (Contractual Obligations) กับคู่ค้าหรือผู้พัฒนาภายนอก (Third-party Developers) ว่ามีการระบุความรับผิดชอบเรื่อง Data Provenance และมาตรฐานความปลอดภัยสอดคล้องกับกฎหมายฉบับใหม่หรือไม่ โดยเฉพาะกรณีที่ใช้โมเดล AI ที่พัฒนาโดยบุคคลที่สาม องค์กรผู้ใช้งานยังคงมีความรับผิดชอบหลัก (Primary Liability) ต่อการปฏิบัติตามข้อกำหนดด้าน High-Risk AI ดังนั้น สัญญาต้องมีการถ่ายโอนความเสี่ยงหรือกำหนดมาตรฐานการตรวจสอบย้อนกลับ (Audit Trail) ที่เข้มงวด เพื่อป้องกันช่องว่างทางกฎหมายเมื่อเกิดเหตุการณ์ไม่พึงประสงค์

สรุปแล้ว การเตรียมความพร้อมภายในองค์กรสำหรับกฎหมาย AI ฉบับนี้ ควรโฟกัสที่ 4 มิติหลักดังนี้:

1. สถาปัตยกรรมกำกับดูแล: แต่งตั้งผู้รับผิดชอบและแต่งตั้งผู้แทนทางกฎหมาย (Legal Representative) ให้ชัดเจน
2. ระบบจัดการความเสี่ยง: ติดตั้งและบำรุงรักษาระบบ Risk Management System ที่ครอบคลุมวงจรชีวิตของ AI และบันทึกหลักฐานการประเมินความเสี่ยงไว้เสมอ
3. ความโปร่งใสต่อผู้ใช้: ออกแบบอินเทอร์เฟซและนโยบายการเปิดเผยข้อมูล (Disclosure Policy) ที่แจ้งผู้ใช้ปลายทางเกี่ยวกับสถานะและผลกระทบของ AI อย่างชัดเจน
4. การบริหารสัญญาภายนอก: ทบทวนสัญญาว่าจ้างผู้พัฒนาหรือจัดหาระบบ AI เพื่อระบุความรับผิดชอบด้าน Data Provenance และมาตรฐานความปลอดภัยให้สอดคล้องกับกฎหมาย High-Risk AI

โอกาสจาก Sandbox และแนวโน้มกฎหมายในอนาคต

การเปิดพื้นที่ Sandbox หรือพื้นที่ทดสอบนวัตกรรมภายใต้การผ่อนปรนกฎระเบียบ นับเป็นกลไกสำคัญที่สะท้อนถึงความสมดุลระหว่าง "การควบคุมความเสี่ยง" และ "การส่งเสริมการพัฒนาเทคโนโลยี" ของรัฐบาลไทยในร่างกฎหมาย AI ฉบับนี้ การมีอยู่ของมาตรการดังกล่าวช่วยให้หน่วยงานรัฐและภาคเอกชนสามารถทดลองนำระบบปัญญาประดิษฐ์ (AI) ไปใช้จริงในสภาพแวดล้อมที่ควบคุมได้ โดยไม่ต้องกังวลต่อการถูกดำเนินคดีหรือปรับโทษทันทีหากเกิดข้อผิดพลาดหรือความไม่สอดคล้องกับข้อกำหนดทางกฎหมายที่ยังไม่ชัดเจนในขณะนั้น

สำหรับองค์กรธุรกิจและสตาร์ทอัพที่สนใจนำ AI มาประยุกต์ใช้ การเข้าถึง Sandbox จะช่วยลดอุปสรรคด้านความไม่แน่นอนทางกฎหมาย (Legal Uncertainty) ลงได้อย่างมีนัยสำคัญ โดยเฉพาะในประเด็นที่ซับซ้อนอย่าง Data Provenance หรือความรับผิดชอบต่อการตัดสินใจของระบบ ซึ่งในปัจจุบันยังไม่มีมาตรฐานสากลที่ตายตัว การได้ทดลองใช้งานภายใต้กรอบกำกับดูแลของหน่วยงานรัฐ เช่น กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม หรือ ETDA จะช่วยให้ผู้ประกอบการสามารถสะสมข้อมูลเชิงประจักษ์ (Empirical Evidence) และเรียนรู้ที่จะปฏิบัติตามหลักเกณฑ์ความปลอดภัยได้อย่างถูกต้อง ก่อนที่กฎหมายจะบังคับใช้อย่างเต็มรูปแบบ

นอกจากนี้ การดำเนินงานใน Sandbox ยังเป็นขั้นตอนเตรียมความพร้อมที่สำคัญต่อการปฏิบัติตามกฎหมายในอนาคต เมื่อร่างกฎหมายผ่านกระบวนการพิจารณาและประกาศบังคับใช้ ข้อมูลและบทเรียนที่ได้จากการทดสอบจะช่วยให้องค์กรสามารถปรับระบบ Governance และกระบวนการตรวจสอบภายใน (Internal Audit) ให้สอดคล้องกับข้อกำหนดของกฎหมายได้อย่างราบรื่น ลดต้นทุนในการปรับโครงสร้างองค์กรใหม่ทั้งหมด (Retrofitting) และสร้างความได้เปรียบทางการแข่งขันในตลาดที่กฎหมายเริ่มเข้ามามีบทบาทกำกับดูแลมากขึ้น

สรุปประเด็นสำคัญในการเตรียมความพร้อมผ่าน Sandbox:

• ลดความเสี่ยงทางกฎหมาย: ช่วยให้องค์กรสามารถทดสอบนวัตกรรมได้โดยไม่เผชิญบทลงโทษทันที หากพบข้อบกพร่องระหว่างระยะทดลอง
• สร้างความเข้าใจในข้อกำหนด: ช่วยให้ผู้พัฒนาและผู้ใช้ระบบเข้าใจข้อกำหนดเฉพาะ เช่น มาตรฐานความโปร่งใสและการบันทึกข้อมูล (Data Logging) ในบริบทจริง
• เตรียมความพร้อมก่อนบังคับใช้: เป็นโอกาสในการปรับกระบวนการทำงานและระบบ IT ให้สอดคล้องกับกฎหมาย AI ฉบับใหม่ ก่อนวันที่กฎหมายจะมีผลบังคับใช้เต็มรูปแบบ
• สร้างมาตรฐานภายในองค์กร: ช่วยให้องค์กรกำหนดนโยบายกำกับดูแล AI (AI Governance Policy) ที่เหมาะสมกับลักษณะธุรกิจของตนเองได้อย่างมีประสิทธิภาพ

คำถามที่พบบ่อย

กฎหมาย AI ไทยจัดประเภทความเสี่ยงของระบบอย่างไร?

กฎหมายอ้างอิงแนวทาง Risk-based Approach โดยแบ่งระบบเป็นสองระดับคือ การห้ามใช้เด็ดขาด (Prohibited-Risk) และการใช้งานภายใต้เงื่อนไขเข้มงวด (High-Risk) ระบบที่เข้าข่ายห้ามใช้ ได้แก่ การสร้างคะแนนสังคมหรือการแทรกแซงการเลือกตั้งด้วย Deepfake ส่วนระบบ High-Risk เช่น การวินิจฉัยทางการแพทย์หรือการประเมินเครดิต ต้องปฏิบัติตามมาตรการควบคุมที่เข้มงวด

ผู้ใช้งานระบบ AI ระดับสูงมีหน้าที่ต้องปฏิบัติตามอะไรบ้าง?

ผู้ใช้ระบบ High-Risk มีหน้าที่ต้องจัดตั้งระบบจัดการความเสี่ยง ดำเนินการแจ้งเตือนผู้ใช้เกี่ยวกับลักษณะการทำงานของระบบ และต้องสามารถอธิบายเหตุผลของการตัดสินใจได้ (Explainability) นอกจากนี้ยังต้องมีการรายงานเหตุการณ์ผิดปกติและแต่งตั้งผู้แทนตามกฎหมายเพื่อรับผิดชอบต่อการปฏิบัติตามข้อกำหนด

กฎหมายนี้มีมาตรการสนับสนุนนวัตกรรมหรือการทดสอบระบบอย่างไร?

กฎหมายได้กำหนดให้มีกลไก Sandbox เพื่อเปิดพื้นที่สำหรับการทดสอบนวัตกรรมภายใต้การควบคุม โดยอนุญาตให้ลดหย่อนข้อกำหนดบางประการชั่วคราวเพื่อส่งเสริมการพัฒนาเทคโนโลยี AI ในประเทศไทย โดยรัฐบาลตั้งเป้าบังคับใช้กฎหมายภายในปี 2026 เพื่อสร้างมาตรฐานที่ทันสมัย

แหล่งอ้างอิง

• etda.or.th
• thansettakij.com
• gawao.com