กฎหมาย AI ไทยฉบับแรก: คู่มือ Compliance และป้องกัน PDPA สำหรับองค์กร

ข่าวต้นเรื่อง: "รัฐบาลดัน พ.ร.บ. AI ฉบับแรกประเทศไทย คลอดกฎเหล็กคุมทุกเม็ด พ่วงการพัฒนา" (thansettakij) · ค้นหาต้นฉบับ ต่อไปนี้เป็นบทวิเคราะห์ต้นฉบับที่ AI เรียบเรียงขึ้นโดยอ้างอิงข้อเท็จจริงที่ตรวจสอบจากรายงานข่าวจริง 3 แหล่ง (ไม่ใช่การแปลหรือคัดลอกต้นฉบับ) ดูแหล่งอ้างอิงท้ายบทความ

มีรายงานว่าการผลักดันกฎหมายว่าด้วยปัญญาประดิษฐ์ฉบับแรกของไทยซึ่งมีผลบังคับใช้ตั้งแต่วันที่ 1 มีนาคม 2026 จะกำหนดกรอบการกำกับดูแลที่เข้มงวดโดยแบ่งระดับความเสี่ยงของระบบ AI ออกเป็นสามระดับ เพื่อสร้างสมดุลระหว่างการส่งเสริมนวัตกรรมและการปกป้องผลประโยชน์สาธารณะ

สำหรับทนายความและฝ่ายกฎหมาย มาตรการนี้มีความสำคัญอย่างยิ่งเนื่องจากองค์กรต้องปรับกลยุทธ์ Compliance ให้สอดคล้องกับกฎเหล็กดังกล่าว พร้อมกันนั้นต้องเฝ้าระวังความเสี่ยงจากการละเมิดพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) ที่อาจเกิดขึ้นจากกระบวนการประมวลผลข้อมูลในระบบ AI ทั้งในระดับความเสี่ยงสูงและระดับจำกัด

ทำไมตอนนี้: ประเทศไทยมีกฎหมาย AI ฉบับแรกแล้ว

ปัจจุบันประเทศไทยกำลังก้าวเข้าสู่ยุคใหม่ของการกำกับดูแลปัญญาประดิษฐ์ (AI) อย่างเป็นทางการ เมื่อรัฐบาลไทยผ่านร่างพระราชบัญญัติว่าด้วยระบบปัญญาประดิษฐ์ เพื่อสร้างกรอบกฎหมายที่สมดุลระหว่างการส่งเสริมวัตกรรมกับการจัดการความเสี่ยง โดยกฎหมายฉบับนี้มีผลบังคับใช้ในปี 2026 ซึ่งถือเป็นก้าวสำคัญในการวางรากฐานความน่าเชื่อถือของระบบนิเวศดิจิทัลไทย

รายงานจากสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) ภายใต้กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (DE) ระบุว่า ร่างกฎหมายนี้มุ่งหมายที่จะสร้างสมดุลระหว่างการกระตุ้นการพัฒนาเทคโนโลยีกับการควบคุมความเสี่ยงต่อสาธารณะ โดยเนื้อหาหลักของกฎหมายครอบคลุมการห้ามใช้ระบบ AI ที่มีความเสี่ยงไม่ยอมรับได้ (Unacceptable Risk) การกำกับดูแลระบบที่มีความเสี่ยงสูง (High-Risk) และการบังคับใช้มาตรการความโปร่งใสสำหรับเนื้อหาที่สร้างโดย AI เช่น กรณี Deepfake เพื่อปกป้องผลประโยชน์สาธารณะและความไว้วางใจของสังคม

ประเด็นหลัก: ระบบแบ่งระดับความเสี่ยงแบบ EU AI Act

หัวใจสำคัญของกฎหมาย AI ฉบับนี้คือการนำแนวทางแบบ Risk-Based Approach มาใช้ซึ่งคล้ายคลึงกับกฎระเบียบ AI Act ของสหภาพยุโรป (EU AI Act) โดยจัดแบ่งระบบ AI ออกเป็นสามระดับความเสี่ยงหลัก ได้แก่ ระดับความเสี่ยงไม่ยอมรับได้ (Unacceptable Risk) ซึ่งจะถูกห้ามใช้โดยสิ้นเชิง ระดับความเสี่ยงสูง (High-Risk) และระดับความเสี่ยงจำกัด (Limited Risk)

สำหรับระบบ AI ที่จัดอยู่ในระดับความเสี่ยงสูง เช่น การใช้งานในสาขาตุลาการ การให้สินเชื่อ หรือการจ้างงาน กฎหมายกำหนดให้ต้องผ่านการประเมินความสอดคล้อง (Conformity Assessment) ก่อนนำออกสู่ตลาด เพื่อให้มั่นใจว่าระบบมีความปลอดภัยและยุติธรรม ส่วนระบบที่มีความเสี่ยงจำกัดนั้น จะถูกกำหนดภาระหน้าที่ด้านความโปร่งใส โดยผู้ให้บริการต้องแจ้งให้ผู้ใช้ทราบอย่างชัดเจนว่ากำลังมีปฏิสัมพันธ์กับระบบ AI เพื่อป้องกันความเข้าใจผิดหรือการถูกหลอกลวง

สิ่งที่ต้องตรวจสอบ: ความเชื่อมโยงกับ PDPA

แม้ว่ากฎหมาย AI ฉบับใหม่จะสร้างกรอบการกำกับดูแลเฉพาะสำหรับเทคโนโลยีปัญญาประดิษฐ์ แต่องค์กรไทยไม่สามารถละเลยความเชื่อมโยงกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ได้ เนื่องจากกระบวนการพัฒนาและใช้งาน AI มักเกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลจำนวนมาก

ประเด็นสำคัญที่องค์กรต้องตรวจสอบคือ ความสอดคล้องระหว่างมาตรการความโปร่งใสตามกฎหมาย AI กับหลักการแจ้งให้ทราบ (Notice and Consent) ตาม PDPA โดยเฉพาะในกรณีของระบบที่มีความเสี่ยงจำกัดซึ่งต้องเปิดเผยว่าผู้ใช้กำลังโต้ตอบกับ AI องค์กรต้องพิจารณาว่าข้อความแจ้งดังกล่าวครอบคลุมและชัดเจนเพียงพอต่อข้อกำหนดของ PDPA หรือไม่ นอกจากนี้ การประเมินความเสี่ยงของระบบ High-Risk ยังต้องบูรณาการกับการประเมินผลกระทบด้านข้อมูลส่วนบุคคล (DPIA) เพื่อให้มั่นใจว่าการใช้งาน AI ไม่ละเมิดสิทธิของเจ้าของข้อมูล

กลยุทธ์ Compliance: ปรับโครงสร้างภายในองค์กร

เพื่อให้พร้อมรับมือกับกฎหมายที่มีผลบังคับใช้ในปี 2026 องค์กรควรเริ่มดำเนินการเชิงรุกโดยการจัดทำบัญชีรายการระบบ AI ทั้งหมดภายในองค์กร (AI Inventory) เพื่อจำแนกระดับความเสี่ยงตามนิยามของกฎหมายใหม่ ควบคู่ไปกับการทบทวนนโยบายความเป็นส่วนตัวและข้อตกลงการใช้ข้อมูลให้สอดคล้องกับมาตรฐานความโปร่งใสที่กฎหมาย AI กำหนด

นอกจากนี้ การเตรียมความพร้อมด้านบุคลากรและกระบวนการตรวจสอบ (Governance) เป็นสิ่งจำเป็น องค์กรควรกำหนดบทบาทความรับผิดชอบที่ชัดเจนสำหรับการดูแลระบบ AI โดยเฉพาะระบบที่มีความเสี่ยงสูง ซึ่งอาจต้องการการตรวจสอบโดยบุคคลที่สามหรือการประเมินความสอดคล้องก่อนการนำไปใช้งานจริง การเตรียมความพร้อมตั้งแต่ตอนนี้จะช่วยให้องค์กรสามารถเปลี่ยนจากภาระหน้าที่ทางกฎหมายให้เป็นโอกาสในการสร้างความได้เปรียบทางการแข่งขันผ่านความน่าเชื่อถือของระบบ AI ได้อย่างมีประสิทธิภาพ

ประเด็นหลัก: ระบบแบ่งระดับความเสี่ยงแบบ EU AI Act

กฎหมายว่าด้วยปัญญาประดิษฐ์ (AI) ฉบับแรกของประเทศไทย ซึ่งกำลังอยู่ในกระบวนการพิจารณาโดยสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) ภายใต้การผลักดันของกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม มีแนวทางสำคัญที่สอดคล้องกับมาตรฐานสากล โดยอ้างอิงจากกรอบกฎหมายของสหภาพยุโรปอย่าง EU AI Act เพื่อสร้างสมดุลระหว่างการส่งเสริมนวัตกรรมกับการจัดการความเสี่ยงต่อสาธารณะ กฎหมายฉบับนี้กำหนดให้ระบบ AI ถูกจำแนกออกเป็น 3 ระดับความรุนแรงของความเสี่ยง (Risk-based Approach) อย่างชัดเจน ได้แก่ ระดับที่ห้ามใช้ (Unacceptable Risk), ระดับความเสี่ยงสูง (High-Risk) และระดับความเสี่ยงจำกัด (Limited Risk) ซึ่งแต่ละระดับมีข้อกำหนดทางกฎหมายและภาระหน้าที่ที่แตกต่างกันอย่างสิ้นเชิง

สำหรับระบบ AI ในระดับที่ห้ามใช้ (Unacceptable Risk) กฎหมายกำหนดให้เป็นสิ่งต้องห้ามโดยเด็ดขาด เนื่องจากมีแนวโน้มที่จะก่อให้เกิดอันตรายต่อสิทธิและเสรีภาพของประชาชนหรือความปลอดภัยในชีวิตและทรัพย์สิน ตัวอย่างของระบบดังกล่าวอาจรวมถึงเทคโนโลยีที่ใช้ในการจัดอันดับความน่าเชื่อถือของสังคม (Social Scoring) โดยรัฐ หรือระบบ AI ที่ใช้ประโยชน์จากจุดอ่อนของผู้ใช้เพื่อบิดเบือนพฤติกรรม ซึ่งการนำระบบเหล่านี้ไปใช้งานหรือวางจำหน่ายในประเทศไทยจะมีความผิดทางกฎหมายทันที

ส่วนระบบ AI ในระดับความเสี่ยงสูง (High-Risk) เป็นกลุ่มที่กฎหมายควบคุมเข้มงวดที่สุด โดยครอบคลุมการใช้งานในสาขาสำคัญที่มีผลกระทบสูงต่อชีวิตและสิทธิของบุคคล เช่น ระบบที่ใช้ในกระบวนการยุติธรรม การให้สินเชื่อ การจ้างงาน และการบริหารทรัพยากรบุคคล ระบบในกลุ่มนี้ต้องผ่านการประเมินความสอดคล้อง (Conformity Assessment) ก่อนการนำออกสู่ตลาด (Market Placement) และต้องปฏิบัติตามข้อกำหนดด้านความโปร่งใส คุณภาพข้อมูล การบันทึกกิจกรรม (Logging) และความรับผิดชอบของมนุษย์ (Human Oversight) อย่างเคร่งครัด เพื่อป้องกันอคติหรือข้อผิดพลาดที่อาจส่งผลกระทบร้ายแรงต่อผู้ได้รับบริการ

ขณะที่ระบบ AI ในระดับความเสี่ยงจำกัด (Limited Risk) เป็นกลุ่มที่กฎหมายมุ่งเน้นไปที่ความโปร่งใสและการแจ้งให้ผู้ใช้ทราบ (Transparency Obligation) โดยผู้ให้บริการต้องเปิดเผยให้ผู้ใช้ทราบว่ากำลังมีปฏิสัมพันธ์กับระบบ AI ไม่ใช่กับมนุษย์ เช่น แชทบอทหรือระบบสร้างเนื้อหาอัตโนมัติ (Generative AI) ที่ต้องมีการติดป้ายกำกับหรือแจ้งให้ผู้ใช้ตระหนักถึงแหล่งที่มาของข้อมูลหรือลักษณะของเนื้อหาที่สร้างโดยเครื่อง เพื่อป้องกันความเข้าใจผิดหรือการถูกหลอกลวง โดยเฉพาะในประเด็นของ Deepfake ที่กฎหมายไทยก็ให้ความสำคัญกับการกำกับดูแลเนื้อหาที่สร้างขึ้นมาอย่างปลอมแปลงเช่นกัน

ผลกระทบเชิงปฏิบัติ: ภาระหน้าที่สำหรับองค์กรไทย

การบังคับใช้กฎหมายแบ่งระดับความเสี่ยงนี้ส่งผลกระทบโดยตรงต่อโครงสร้างการดำเนินงานขององค์กรไทย โดยเฉพาะภาคธุรกิจที่นำ AI มาใช้ในกระบวนการทางธุรกิจ องค์กรต้องดำเนินการตรวจสอบและจัดประเภท (Classification) ระบบ AI ทั้งหมดที่มีอยู่ในองค์กรว่าอยู่ในระดับความเสี่ยงใด เพื่อปฏิบัติตามข้อกำหนดให้ถูกต้อง หากเป็นระบบ High-Risk องค์กรจำเป็นต้องเตรียมเอกสารหลักฐานการประเมินความเสี่ยง ระบบการจัดการข้อมูล และกลไกการควบคุมโดยมนุษย์ให้พร้อมสำหรับการตรวจสอบจากหน่วยงานกำกับดูแล

นอกจากนี้ องค์กรยังต้องปรับกระบวนการภายใน (Internal Governance) ให้รองรับความรับผิดชอบทางกฎหมาย โดยอาจจำเป็นต้องแต่งตั้งเจ้าหน้าที่หรือทีมที่ทำหน้าที่ดูแลความสอดคล้องของระบบ AI (AI Compliance Officer) ทำงานร่วมกับทีมกฎหมายและทีมเทคโนโลยี เพื่อติดตามการเปลี่ยนแปลงของกฎระเบียบและมาตรฐานทางเทคนิคที่เกี่ยวข้องอย่างใกล้ชิด การไม่ปฏิบัติตามข้อกำหนดอาจนำไปสู่โทษทางปกครอง โทษทางแพ่ง หรือโทษทางอาญา ตามบทบัญญัติในกฎหมายว่าด้วย AI ซึ่งจะมีผลบังคับใช้ในช่วงปี 2569 (2026) ดังนั้น การเตรียมความพร้อมล่วงหน้าจึงเป็นกลยุทธ์ที่สำคัญสำหรับองค์กรไทยในการรักษาความได้เปรียบทางการแข่งขันและหลีกเลี่ยงความเสี่ยงทางกฎหมาย

ผลกระทบเชิงปฏิบัติ: ภาระหน้าที่สำหรับองค์กรไทย

การบังคับใช้กฎหมายว่าด้วยการพัฒนาและกำกับดูแลปัญญาประดิษฐ์ฉบับแรกของประเทศไทย ซึ่งกำหนดให้มีผลบังคับใช้ตั้งแต่วันที่ 1 มีนาคม 2569 ตามข้อมูลจากสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) ภายใต้กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ได้สร้างมาตรฐานใหม่ในการบริหารจัดการเทคโนโลยีสำหรับภาคธุรกิจ โดยเฉพาะอย่างยิ่งองค์กรที่นำระบบ AI ไปประยุกต์ใช้ในกระบวนการตัดสินใจที่มีผลกระทบสูงต่อสิทธิและเสรีภาพของบุคคล เช่น การคัดเลือกบุคลากรในการจ้างงาน หรือการประเมินความเสี่ยงในการอนุมัติสินเชื่อ

สำหรับองค์กรที่จัดวางระบบ AI ไว้ในหมวดหมู่ "ความเสี่ยงสูง" (High-Risk) ตามเกณฑ์การจำแนกประเภทที่คล้ายคลึงกับกรอบกฎหมาย EU AI Act ภาระหน้าที่หลักมิได้สิ้นสุดเพียงการนำระบบไปใช้งาน แต่ต้องดำเนินการเตรียมความพร้อมด้านเอกสารหลักฐานและการประเมินความสอดคล้อง (Conformity Assessment) ก่อนนำระบบออกสู่การใช้งานจริง (Put into service) อย่างเป็นทางการ กระบวนการนี้มุ่งเน้นการตรวจสอบความถูกต้องของข้อมูล การลดอคติ (Bias) ในชุดข้อมูลฝึกสอน (Training Data) รวมถึงความโปร่งใสของอัลกอริทึม เพื่อให้มั่นใจว่าระบบสามารถทำงานได้อย่างยุติธรรมและปลอดภัยต่อสาธารณะ

ข้อปฏิบัติสำคัญสำหรับองค์กร

เพื่อให้การปฏิบัติตามกฎหมายเป็นไปอย่างมีประสิทธิภาพและลดความเสี่ยงทางกฎหมาย องค์กรควรพิจารณาประเด็นสำคัญดังต่อไปนี้:

• การประเมินความสอดคล้องก่อนใช้งาน: องค์กรต้องจัดทำเอกสารทางเทคนิคและดำเนินการประเมินความสอดคล้องสำหรับระบบ AI ที่จัดอยู่ในกลุ่มความเสี่ยงสูง โดยเฉพาะในภาคบริการทางการเงินและการทรัพยากรบุคคล ซึ่งต้องตรวจสอบให้แน่ใจว่าระบบผ่านการทดสอบด้านความปลอดภัยและประสิทธิภาพก่อนนำไปใช้งานจริง
• การกำกับดูแลข้อมูลและอัลกอริทึม: ต้องมีมาตรการควบคุมคุณภาพข้อมูลที่ใช้ในการฝึกสอนและปรับแต่งโมเดล (Fine-tuning) เพื่อป้องกันความลำเอียงที่อาจนำไปสู่การเลือกปฏิบัติ รวมถึงต้องมีการบันทึกประวัติการตัดสินใจของระบบ (Decision Log) เพื่อใช้ในการตรวจสอบย้อนกลับได้
• ความโปร่งใสต่อผู้ใช้บริการ: แม้จะเป็นระบบความเสี่ยงสูง แต่ในบางกรณีอาจมีข้อกำหนดเรื่องความโปร่งใสเพิ่มเติม เช่น การเปิดเผยให้ผู้ใช้ทราบว่ากำลังมีปฏิสัมพันธ์กับระบบ AI และต้องมีการแจ้งเหตุผลเบื้องต้นหากมีการปฏิเสธการให้บริการ (เช่น การปฏิเสธสินเชื่อ) โดยไม่ละเมิดความลับทางการค้า
• การเชื่อมโยงกับ PDPA: องค์กรต้องตรวจสอบให้แน่ใจว่าการเก็บรวบรวมและประมวลผลข้อมูลส่วนบุคคลเพื่อพัฒนาหรือใช้งานระบบ AI สอดคล้องกับหลักการของ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) อย่างเคร่งครัด โดยเฉพาะในประเด็นเรื่องสิทธิของเจ้าของข้อมูลและการขอความยินยอม ซึ่งอาจมีความซับซ้อนเพิ่มขึ้นเมื่อเกี่ยวข้องกับกระบวนการอัตโนมัติ

การเตรียมความพร้อมในประเด็นเหล่านี้มิใช่เพียงการปฏิบัติตามกฎหมาย แต่ยังเป็นรากฐานสำคัญในการสร้างความน่าเชื่อถือ (Trust) ให้แก่ลูกค้าและคู่ค้า ในยุคที่เทคโนโลยี AI เข้ามาแทรกซึมอยู่ในกระบวนการธุรกิจอย่างลึกซึ้ง

สิ่งที่จะต้องตรวจสอบ: ความเชื่อมโยงกับ PDPA

สิ่งที่ต้องตรวจสอบ: ความเชื่อมโยงกับ PDPA

แม้ว่ากฎหมายว่าด้วยปัญญาประดิษฐ์ (AI Act) ของไทยจะมุ่งเน้นไปที่การบริหารจัดการความเสี่ยงของระบบและมาตรฐานทางเทคนิค แต่ในทางปฏิบัติแล้ว การนำ AI มาใช้งานในองค์กรไทยแทบจะหลีกเลี่ยงไม่ได้ที่จะต้องพิจารณาความสอดคล้องกับ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) เป็นคู่ขนานกัน เนื่องจากกระบวนการทำงานของ AI ส่วนใหญ่ล้วนอาศัย "ข้อมูลส่วนบุคคล" เป็นเชื้อเพลิงในการเรียนรู้และการตัดสินใจ การปฏิบัติตามกฎหมาย AI จึงไม่ใช่แค่การรับรองระบบว่าปลอดภัยทางเทคนิค แต่ต้องควบคู่ไปกับการตรวจสอบว่าองค์กรได้ปฏิบัติตามหลักเกณฑ์การประมวลผลข้อมูลส่วนบุคคลอย่างถูกต้องตามกฎหมาย PDPA หรือไม่ โดยเฉพาะในประเด็นที่กฎหมายทั้งสองฉบับมีจุดตัดกันชัดเจน

ประเด็นสำคัญที่องค์กรไทยต้องตรวจสอบอย่างละเอียดคือ "ความยินยอม" (Consent) และ "วัตถุประสงค์ในการประมวลผล" ตามมาตรา 22 และมาตรา 26 ของ PDPA กฎหมาย AI ฉบับใหม่อาจกำหนดให้ระบบมีความโปร่งใสหรือมีกลไกการตรวจสอบได้ แต่ไม่ได้ยกเลิกภาระหน้าที่ขององค์กรในการแจ้งวัตถุประสงค์ให้เจ้าของข้อมูลทราบล่วงหน้า หากองค์กรนำข้อมูลส่วนบุคคลมาฝึกฝนโมเดล AI หรือใช้ AI ตัดสินใจโดยไม่ได้ขอความยินยอมเฉพาะเจาะจงสำหรับวัตถุประสงค์นั้นๆ หรือแจ้งวัตถุประสงค์ที่กว้างเกินไปจนไม่สอดคล้องกับลักษณะการใช้ข้อมูลของ AI จริงๆ องค์กรอาจมีความเสี่ยงต่อการถูกปรับทางปกครองหรือถูกฟ้องร้องทางแพ่งได้ แม้ระบบ AI นั้นจะผ่านการรับรองตามมาตรฐานของกฎหมาย AI แล้วก็ตาม

นอกจากนี้ องค์กรควรพิจารณาความเชื่อมโยงในแง่ของ "สิทธิของเจ้าของข้อมูล" ที่อาจได้รับผลกระทบจากการตัดสินใจโดยอัตโนมัติ (Automated Decision Making) ซึ่งกฎหมาย PDPA ให้สิทธิในการขอคำอธิบายหรือทบทวนการตัดสินใจนั้นๆ ในขณะที่กฎหมาย AI อาจกำหนดให้ระบบมีความสามารถในการอธิบาย (Explainability) หรือมีมนุษย์คอยกำกับดูแล (Human-in-the-loop) ในระดับความเสี่ยงสูง การบูรณาการกระบวนการทั้งสองส่วนเข้าด้วยกันจึงเป็นกุญแจสำคัญ องค์กรควรทบทวนนโยบายความเป็นส่วนตัว (Privacy Policy) และกระบวนการขอความยินยอมใหม่ เพื่อให้สอดคล้องกับลักษณะการทำงานของ AI ที่อาจมีการเปลี่ยนแปลงหรืออัปเดตโมเดลอยู่ตลอดเวลา โดยต้องมั่นใจว่าเจ้าของข้อมูลได้รับทราบและยอมรับความเสี่ยงหรือผลกระทบที่อาจเกิดขึ้นจากการประมวลผลข้อมูลด้วยระบบอัตโนมัติอย่างชัดเจนและโปร่งใส

กลยุทธ์ Compliance: ปรับโครงสร้างภายในองค์กร

การบังคับใช้กฎหมายว่าด้วยระบบปัญญาประดิษฐ์ (AI Act) ของไทย ซึ่งกำหนดกรอบความรับผิดชอบชัดเจนตามระดับความเสี่ยงของระบบ ย่อมส่งผลกระทบโดยตรงต่อโครงสร้างการบริหารจัดการภายในองค์กร โดยเฉพาะในมิติของการกำกับดูแลข้อมูลและกระบวนการทำงาน (Governance) เพื่อให้เกิดความสอดคล้องกับหลักการคุ้มครองข้อมูลส่วนบุคคลตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) องค์กรจำเป็นต้องทบทวนและปรับปรุงนโยบายการใช้อัจฉริยะประดิษฐ์ (AI Policy) ให้ทันสมัยและครอบคลุม โดยไม่เพียงแต่เป็นการปฏิบัติตามกฎหมายใหม่ แต่ยังเป็นการสร้างความน่าเชื่อถือให้กับลูกค้าและคู่ค้าในห่วงโซ่อุปทาน

หัวใจสำคัญของการปรับโครงสร้างนี้คือการจัดทำ "ทะเบียนระบบปัญญาประดิษฐ์" (AI Register) หรือบัญชีรายการระบบ AI ที่องค์กรนำมาใช้งานอย่างละเอียด ซึ่งจะเป็นฐานข้อมูลกลางที่ช่วยให้องค์กรสามารถติดตามและประเมินความเสี่ยงของระบบ AI แต่ละประเภทได้ทันที โดยต้องระบุให้ชัดเจนว่าระบบใดจัดอยู่ในกลุ่มความเสี่ยงสูง (High-Risk) ที่ต้องผ่านการประเมินความสอดคล้อง (Conformity Assessment) ก่อนนำออกสู่ตลาด หรือระบบที่มีความเสี่ยงจำกัด (Limited Risk) ที่ต้องปฏิบัติตามข้อกำหนดด้านความโปร่งใส (Transparency Obligations) เช่น การแจ้งให้ผู้ใช้ทราบว่าเป็นการโต้ตอบกับระบบ AI การมีทะเบียนดังกล่าวไม่เพียงแต่เป็นไปตามข้อบังคับของกฎหมาย AI เท่านั้น แต่ยังช่วยให้องค์กรสามารถแสดงหลักฐานการปฏิบัติตามหลักการคุ้มครองข้อมูลส่วนบุคคล (Accountability) ภายใต้ PDPA ได้อย่างเป็นระบบและตรวจสอบได้

นอกจากการจัดทำทะเบียนและทบทวนนโยบายแล้ว องค์กรต้องมุ่งเน้นการพัฒนาขีดความสามารถของบุคลากรผ่านโปรแกรมการฝึกอบรม (Training) ที่เจาะจงและต่อเนื่อง พนักงานที่ทำงานกับระบบ AI หรือผู้มีส่วนได้ส่วนเสียที่เกี่ยวข้องกับกระบวนการตัดสินใจโดยใช้อัจฉริยะประดิษฐ์ จำเป็นต้องเข้าใจข้อจำกัดทางกฎหมายและจริยธรรมของการใช้งานอย่างถ่องแท้ เพื่อลดความเสี่ยงจากการละเมิดข้อมูลหรือการตัดสินใจที่อาจนำไปสู่ความเสียหายต่อชื่อเสียงขององค์กร องค์กรควรกำหนดบทบาทและหน้าที่ความรับผิดชอบที่ชัดเจนภายในทีม เช่น การแต่งตั้งผู้ดูแลความสอดคล้อง (Compliance Officer) หรือทีมกฎหมายร่วมทำงานกับทีมเทคนิค เพื่อให้มั่นใจว่าการพัฒนาและใช้งาน AI เกิดขึ้นภายใต้กรอบกฎหมายที่ปลอดภัยและยั่งยืน

คำถามที่พบบ่อย

กฎหมาย AI ไทยมีผลบังคับใช้เมื่อไหร่?

กฎหมายว่าด้วยปัญญาประดิษฐ์ของไทยจะมีผลบังคับใช้ในวันที่ 1 มีนาคม 2569 โดยหน่วยงานอย่าง ETDA มีบทบาทสำคัญในการเตรียมความพร้อมและกำกับดูแลตามกฎหมายฉบับนี้

กฎหมาย AI ไทยแบ่งระดับความเสี่ยงอย่างไร?

กฎหมายใช้แนวทางคล้าย EU AI Act โดยแบ่ง AI เป็นสามระดับ ได้แก่ ความเสี่ยงที่ยอมรับไม่ได้ ความเสี่ยงสูง และความเสี่ยงจำกัด ระบบที่มีความเสี่ยงสูงต้องผ่านการประเมินความสอดคล้องก่อนนำออกสู่ตลาด

องค์กรต้องปฏิบัติตาม PDPA อย่างไรเมื่อใช้ AI?

องค์กรต้องปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) อย่างเคร่งครัด โดยเฉพาะกรณีการใช้ AI ที่ประมวลผลข้อมูลส่วนบุคคล เพื่อป้องกันความเสี่ยงต่อการละเมิดสิทธิและรักษาความโปร่งใส

แหล่งอ้างอิง

• etda.or.th
• thansettakij.com
• enersys.co.th