กฎหมาย AI ไทยฉบับแรก: มาตรการเข้มงวดและแนวทาง Compliance สำหรับองค์กร

ข่าวต้นเรื่อง: "รัฐบาลดัน พ.ร.บ. AI ฉบับแรกประเทศไทย คลอดกฎเหล็กคุมทุกเม็ด พ่วงการพัฒนา" (thansettakij) · ค้นหาต้นฉบับ ต่อไปนี้เป็นบทวิเคราะห์ต้นฉบับที่ AI เรียบเรียงขึ้นโดยอ้างอิงข้อเท็จจริงที่ตรวจสอบจากรายงานข่าวจริง 3 แหล่ง (ไม่ใช่การแปลหรือคัดลอกต้นฉบับ) ดูแหล่งอ้างอิงท้ายบทความ

มีรายงานว่าการเปิดเผยร่าง พ.ร.บ. ว่าด้วยปัญญาประดิษฐ์ฉบับแรกของไทยโดยกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม และ ETDA ได้วางกรอบกำกับดูแลที่อ้างอิงแนวทาง EU AI Act โดยจำแนกความเสี่ยงและกำหนดมาตรการลงโทษที่เข้มงวด ทั้งการห้ามใช้งานและข้อผูกมัดด้านความรับผิดชอบสำหรับระบบความเสี่ยงสูง

สถานการณ์นี้บังคับให้องค์กรและทีมกฎหมายต้องเร่งปรับโครงสร้างระบบ Compliance และ Due Diligence ให้สอดคล้องกับมาตรฐานกฎหมายใหม่ รวมถึงต้องพิจารณาประเด็นทรัพย์สินทางปัญญาที่อาจมีความซับซ้อนเพิ่มขึ้นภายใต้บริบทของเทคโนโลยี AI

ทำไมตอนนี้ไทยต้องเร่งออกกฎหมาย AI

ทำไมตอนนนี้ไทยตองเรงออกกฎหมาย AI

สภาวะความไมแนนอนในดานกฏหมายเปนปจจัยหลักที่กระตุนใหกรมดิจิทัลเพื่อเศรษฐกิจและสังคม (DE) และสถาบันเอดา (ETDA) เร่งเผยแพรารางกฎหมายฉบับแรก เพื่อเติมชองวาองทางกฎหมาย (Legal Vacuum) ที่เกดขึณในปจจุบัน การไมมมีกรอบกฏหมายกลางที่ชดเจนไดสงผลกระทบตอความไมแนนอนทางธุรกิจ โดยเฉพาะในสวนของผูปฏิบัตการและผใชบริการ AI ที่ตองเผชิญกับความเสี่ยงดานความรับผิดชอบทางแพ่งและอาญาที่ไมสามารถคาดคะเนได การมีมาตรการกำกับดูแลที่ชัดเจนจึงเปนรากฐานสำคัญในการลดความเสี่งและส่งเสริมความไว้วางใจของภาคธุรกิจและประชาชน

นอกจากนี้ เปนการเตรียมความพร้อมกอนป 2026 ตามกำหนดการที่รัฐบาลวางไว ซึ่งสอดคลองกับแนวโนวมโลกที่ประเทศพัฒนาแลวเริ่มมีกฏหมายเฉพาะทางสำหรับ AI การมีกฎหมายไทยฉบับนี้ไมเพียงแต่เปนการปองกันความเสี่งจากเทคโนโลยีใหม ๆ เทานั้น แตยังเปนเครื่องมือในการยกระดับมาตรฐานการกำกับดูแลใหสอดคลองกับมาตรฐานสากล โดยไมใหประเทศไทยตกเทคโนโลยียุคใหม หรือเปนเพียงผบริโภคเทานั้น หากแตเปนผูมีบทบาทในการกำหนดกรอบการใชใชเทคโนโลยีอยางรับผิดชอบ

ประเด็นหลัก: ระบบแบ่งระดับความเสี่ยงแบบ EU AI Act

หัวใจสำคัญของร่างกฎหมายนี้คือการนำแนวทางจาก EU AI Act มาปรับใชโดยเปนหลักในแตละมิตินั่นคือ "ระบบแบงระดับความเสี่ง" (Risk-Based Approach) ซึ่งเปนกลไกที่ชวยใหการกำกับดูแลมขี้นตอนและสมเหตุสมผล โดยแบงการใช AI ออกเปน 2 กลุมหลัก คือ

1. AI ความเสี่งสูง (High-Risk AI): มุ่งเนนไปยังระบบที่สงผลกระทบตอสวัสดิภาพของมนุษยและสิทธิมนุษยชนโดยตรง เช่น ระบบในดานการแพทย การคัดเลือกบุคคลเขารับงาน การประเมินความเชื่อมันใจทางเครดิต และระบบระบุตัวตนทางชีวภาพ (Biometric Identification) สำหรับกลุมนี้ กฎหมายวางภาระหน้้าที่ใหกับผใช (User) ตองมีมาตรการปองกันที่รัดกุม
2. AI ที่ถูกห้าม (Prohibited AI): มุ่งเปาไปยังการใชเทคโนโลยีที่ละเมิดสิทธิมนุษยชนหรือความมั่นคงของรัฐ โดยไมยอมใหมีการพัฒนาหรือนำใชเลย

การแบงชนิดนี้ชวยใหองคกรสามารถประเมินความเสี่ยงของระบบ AI ที่ตนใชหรือพัฒนาขึ้นไดวาตองใหความสนใจและลงทุนในมาตรการปองกันมากนอยเพียงใด ซึ่งเปนแนวทางที่เปนธรรมและไมเปนภาระตอธุรกิจเกินความจำเปน

ผลกระทบเชิงปฏิบัติการ: ภาระหน้าที่ของผู้ใช้ AI ความเสี่ยงสูง

สำหรับการดำเนินงานในทางปฏิบัติ องคกรที่ใช้งานระบบ AI ในหมวดหมู่ "ความเสี่ยงสูง" จะตองเผชิญกับภาระหน้้าที่ (Obligations) ที่แตกตางจากการใชเทคโนโลยีทั่วไปอยางชัดเจน โดยไมสามารถมองวาเปนเพียงเครื่องมือทางเทคนิคไดอีกตอไปนี้ ภาระหลักที่ตองเตรียมการมีดังนี้

• การจัดตั้งระบบจัดการความเสี่ยง: ตองมีกลไกในการติดตามและประเมินความเสี่ยงของระบบ AI อยางตอเนื่องตลอดวงจรชีวิตของระบบ
• ความรับผิดชอบและคำอธิบาย: ตองมีระบบที่สามารถใหคำอธิบายเหตุผลของการตัดสินใจของ AI (Explainability) ได เมื่อมีผใชหรือบุคคลที่ถูกสงผลกระทบถามหา
• การรายงานเหตุขัดข้อง: มีระบบรายงานเหตุผิดปกติหรือเหตุขัดข้อง (Incident Reporting) ตอหนวยงานที่เก

ประเด็นหลัก: ระบบแบ่งระดับความเสี่ยงแบบ EU AI Act

การประกาศร่างกฎหมายว่าด้วยระบบปัญญาประดิษฐ์ (AI) ฉบับแรกของประเทศไทย โดยกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (DE) ร่วมกับสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) ถือเป็นจุดเปลี่ยนสำคัญในการวางกรอบกำกับดูแลเทคโนโลยีนี้ ซึ่งสะท้อนถึงแนวโน้มระดับโลกที่มุ่งเน้นการจัดการความเสี่ยงแทนการห้ามใช้เทคโนโลยีโดยสิ้นเชิง โดยอ้างอิงแนวทางจากกฎหมาย AI ของสหภาพยุโรป (EU AI Act) เป็นหลักสำคัญ ร่างกฎหมายดังกล่าวได้กำหนดโครงสร้างการจำแนกประเภท AI ออกเป็นสองระดับหลัก คือ "ระบบที่ห้ามใช้" (Prohibited AI) และ "ระบบที่มีความเสี่ยงสูง" (High-Risk AI) ซึ่งเป็นการออกแบบที่พยายามสร้างสมดุลระหว่างความปลอดภัยของประชาชนและการส่งเสริมการพัฒนานวัตกรรม

สำหรับระบบที่จัดอยู่ในกลุ่ม ห้ามใช้ นั้น ร่างกฎหมายระบุชัดเจนว่ารวมถึงเทคโนโลยีที่อาจส่งผลกระทบอย่างรุนแรงต่อสิทธิพื้นฐานและประชาธิปไตย เช่น ระบบการจัดอันดับหรือให้คะแนนทางสังคม (Social Scoring) ที่อาจนำไปสู่การเลือกปฏิบัติ ระบบที่ทำการหลอกลวงโดยไม่รู้ตัว (Subliminal Manipulation) เพื่อบิดเบือนพฤติกรรมของผู้บริโภค หรือระบบสร้างเนื้อหาปลอม (Deepfake) ที่มุ่งทำลายความมั่นคงของชาติและกระบวนการเลือกตั้ง การกำหนดขอบเขตนี้สะท้อนถึงความตระหนักถึงภัยคุกคามทางดิจิทัลที่อาจกัดกร่อนความไว้วางใจในสังคมและสถาบันรัฐ ซึ่งสอดคล้องกับมาตรฐานสากลที่ให้ความสำคัญกับศักดิ์ศรีและเสรีภาพของมนุษย์เหนือประสิทธิภาพทางเทคโนโลยี

ในขณะเดียวกัน กลุ่ม ระบบที่มีความเสี่ยงสูง ถูกกำหนดให้ครอบคลุมการใช้งานในภาคส่วนที่ส่งผลกระทบโดยตรงต่อชีวิตและทรัพย์สินของประชาชน รวมถึงด้านสาธารณสุข การจ้างงาน การเงิน และกระบวนการยุติธรรม เช่น ระบบวินิจฉัยโรค ระบบคัดกรองใบสมัครงาน ระบบประเมินความน่าเชื่อถือทางเครดิต ระบบระบุตัวตนทางชีวภาพ และระบบที่ใช้ในกระบวนการศาล การจำแนกประเภทนี้บังคับให้ผู้ใช้งาน (User) ต้องปฏิบัติตามมาตรการกำกับดูแลที่เข้มงวดกว่าปกติ เพื่อลดโอกาสเกิดความผิดพลาดหรืออคติที่อาจนำไปสู่ความเสียหายที่ไม่สามารถแก้ไขได้

เพื่อให้การกำกับดูแลกลุ่ม High-Risk AI มีประสิทธิภาพ ร่างกฎหมายกำหนดภาระหน้าที่หลักๆ ไว้ดังนี้:

• การประเมินและจัดการความเสี่ยง: ผู้ใช้ต้องดำเนินการประเมินความเสี่ยงอย่างต่อเนื่องตลอดวงจรชีวิตของระบบ AI และนำมาตรการมาแก้ไขหากพบช่องโหว่
• ความโปร่งใสและการเปิดเผยข้อมูล: ต้องแจ้งให้ผู้ใช้หรือบุคคลที่เกี่ยวข้องทราบอย่างชัดเจนว่ากำลังมีปฏิสัมพันธ์กับระบบ AI และต้องสามารถอธิบายเหตุผลของการตัดสินใจได้ (Explainability)
• การรายงานเหตุการณ์ผิดปกติ: มีหน้าที่รายงานกรณีที่เกิดข้อผิดพลาดหรือเหตุการณ์ไม่พึงประสงค์ต่อหน่วยงานกำกับดูแล
• การแต่งตั้งผู้แทนในประเทศไทย: สำหรับผู้พัฒนาหรือผู้ให้บริการจากต่างประเทศ จำเป็นต้องมีการแต่งตั้งผู้แทนทางกฎหมายภายในประเทศเพื่ออำนวยความสะดวกในการติดต่อและรับผิดชอบทางกฎหมาย

การนำแนวทาง EU AI Act มาปรับใช้แสดงให้เห็นว่าประเทศไทยกำลังพยายามสร้างมาตรฐานที่สอดคล้องกับสากล เพื่ออำนวยความสะดวกทางการค้าและการลงทุนข้ามพรมแดน อย่างไรก็ตาม รายละเอียดของเกณฑ์การประเมินความเสี่ยงและขั้นตอนการปฏิบัติตามกฎระเบียบ (Compliance) ยังคงต้องรอประกาศรายละเอียดเพิ่มเติมจากหน่วยงานที่เกี่ยวข้อง ซึ่งองค์กรที่เกี่ยวข้องควรติดตามความคืบหน้าของกระบวนการออกกฎหมายอย่างใกล้ชิดเพื่อเตรียมความพร้อมในการปรับตัว

ผลกระทบเชิงปฏิบัติ: ภาระหน้าที่ของผู้ใช้ AI ความเสี่ยงสูง

กฎหมาย AI ฉบับแรกของไทยที่ประกาศโดยกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (DE) และสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) ได้วางกรอบการกำกับดูแลที่เข้มงวดเป็นพิเศษสำหรับระบบ AI ที่จัดอยู่ในระดับ "ความเสี่ยงสูง" (High-Risk) ซึ่งครอบคลุมการใช้งานในภาคส่วนที่มีความอ่อนไหวต่อสิทธิส่วนบุคคลและความปลอดภัยสาธารณะ เช่น การวินิจฉัยทางการแพทย์ การคัดเลือกบุคลากร การประเมินความน่าเชื่อถือทางเครดิต ระบบระบุตัวตนทางชีวภาพ และกระบวนการทางตุลาการ การจำแนกประเภทนี้สะท้อนถึงแนวทางที่อ้างอิงจาก EU AI Act โดยมุ่งเน้นการควบคุมมิให้เทคโนโลยีส่งผลกระทบเชิงลบต่อสิทธิขั้นพื้นฐานของประชาชน ซึ่งแตกต่างจากระบบที่อนุญาตให้ผู้ใช้เป็นผู้ตัดสินใจเองโดยไม่มีข้อจำกัด

สำหรับองค์กรหรือหน่วยงานที่นำระบบ AI ระดับสูงเหล่านี้ไปใช้งาน กฎหมายกำหนดภาระหน้าที่เชิงรุก (Proactive Obligations) ที่ต้องดำเนินการก่อนการนำระบบเข้าสู่กระบวนการทำงานจริง ภาระหลักประการแรกคือการจัดตั้งและบำรุงรักษาระบบจัดการความเสี่ยง (Risk Management System) อย่างต่อเนื่อง ซึ่งไม่ใช่เพียงการตรวจสอบความถูกต้องของผลลัพธ์ แต่รวมถึงการติดตามและประเมินความเสี่ยงที่อาจเกิดขึ้นตลอดวงจรชีวิตของระบบ AI นอกจากนี้ องค์กรยังต้องปฏิบัติตามหลักการความโปร่งใส (Transparency) โดยต้องแจ้งให้ผู้ใช้หรือผู้ได้รับผลกระทบทราบอย่างชัดเจนว่ากำลังมีปฏิสัมพันธ์กับระบบ AI และต้องสามารถอธิบายเหตุผลเบื้องหลังการตัดสินใจของระบบได้ (Explainability) เพื่อป้องกันอคติหรือความผิดพลาดที่อาจนำไปสู่ความไม่เป็นธรรม

ในแง่ของโครงสร้างการบริหารและความรับผิดชอบทางกฎหมาย กฎหมายฉบับนี้ยังบังคับให้องค์กรที่ใช้งานระบบ AI ระดับสูงต้องแต่งตั้ง "ตัวแทนทางกฎหมาย" (Legal Representative) ที่มีถิ่นที่อยู่ในราชอาณาจักรไทยอย่างเคร่งครัด มาตรการนี้มีความสำคัญอย่างยิ่งต่อการบังคับใช้กฎหมาย เพราะช่วยให้หน่วยงานรัฐสามารถติดต่อสื่อสาร สั่งการ หรือเรียกเก็บข้อมูลได้โดยตรงภายในเขตอำนาจศาลของไทย ลดอุปสรรคทางกฎหมายข้ามพรมแดน และเพิ่มความรับผิดชอบให้กับผู้ให้บริการหรือผู้ใช้งาน AI ที่อาจเป็นนิติบุคคลต่างชาติ การไม่ปฏิบัติตามข้อกำหนดในการแต่งตั้งตัวแทนหรือการละเลยต่อภาระหน้าที่ในการจัดการความเสี่ยงและแจ้งข้อมูล อาจนำไปสู่การถูกดำเนินคดีทางปกครองหรือทางอาญา ตามที่ระบุไว้ในบทกำหนดโทษของร่างกฎหมาย ซึ่งถือเป็นความท้าทายสำคัญสำหรับองค์กรข้ามชาติที่ต้องการดำเนินธุรกิจในประเทศไทย

เพื่อให้สอดคล้องกับข้อกำหนดข้างต้น องค์กรควรดำเนินการตามแนวทางสำคัญดังนี้:

• จัดตั้งระบบจัดการความเสี่ยง: พัฒนากระบวนการประเมินและติดตามความเสี่ยงของระบบ AI ระดับสูงอย่างสม่ำเสมอ พร้อมมีแผนการแก้ไขเมื่อพบข้อบกพร่องหรือความเสี่ยงที่อาจส่งผลกระทบต่อสิทธิส่วนบุคคลหรือความปลอดภัยสาธารณะ
• สร้างความโปร่งใสและการอธิบายได้: ออกแบบระบบให้สามารถแจ้งให้ผู้ใช้ทราบว่าเป็นการตัดสินใจโดย AI และต้องมีกลไกที่สามารถอธิบายเหตุผลของการตัดสินใจนั้นได้อย่างชัดเจน เพื่อสร้างความเชื่อมั่นและปฏิบัติตามหลักความรับผิดชอบ
• แต่งตั้งตัวแทนทางกฎหมายในไทย: ดำเนินการแต่งตั้งบุคคลหรือนิติบุคคลที่มีถิ่นที่อยู่ภายในราชอาณาจักรไทยให้เป็นตัวแทนทางกฎหมาย เพื่ออำนวยความสะดวกในการติดต่อสื่อสารกับหน่วยงานกำกับดูแลและรับทราบคำสั่งทางกฎหมาย
• เตรียมพร้อมสำหรับการรายงานเหตุผิดปกติ: จัดทำระบบบันทึกและรายงานกรณีเกิดเหตุผิดปกติ (Incident Reporting) หรือข้อผิดพลาดของระบบต่อหน่วยงานที่เกี่ยวข้องทันที เพื่อแสดงถึงความร่วมมือและลดโทษในกรณีที่เกิดปัญหาขึ้น

สิ่งที่จะต้องตรวจสอบ: มาตรการลงโทษและข้อห้าม

ร่างกฎหมายว่าด้วยระบบปัญญาประดิษฐ์ (AI) ฉบับแรกของไทยที่เปิดเผยโดยกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (DE) และสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) ได้กำหนดกรอบการกำกับดูแลที่เข้มงวดโดยอ้างอิงแนวทางจาก EU AI Act ซึ่งแบ่งประเภทความเสี่ยงของระบบ AI ออกเป็นสองระดับหลัก คือ "ความเสี่ยงต้องห้าม" (Unacceptable Risk) และ "ความเสี่ยงสูง" (High Risk) การจำแนกประเภทนี้เป็นหัวใจสำคัญในการกำหนดขอบเขตความรับผิดชอบและบทลงโทษสำหรับองค์กรและบุคคลที่เกี่ยวข้อง

ในส่วนของความเสี่ยงต้องห้าม กฎหมายฉบับนี้ห้ามมิให้มีการพัฒนา นำเข้า หรือใช้ระบบ AI ที่เข้าข่ายเป็นการสร้างภัยคุกคามต่อสิทธิเสรีภาพและความมั่นคงของสังคมไทยอย่างชัดเจน โดยครอบคลุมถึงเทคโนโลยีที่ใช้ในการจัดอันดับหรือให้คะแนนสังคม (Social Scoring) ซึ่งอาจนำไปสู่การเลือกปฏิบัติหรือจำกัดสิทธิขั้นพื้นฐานของประชาชน นอกจากนี้ ยังมีการห้ามใช้ระบบ AI ที่ทำการหลอกลวงโดยไม่รู้ตัว (Subliminal manipulation) และโดยเฉพาะอย่างยิ่งคือเทคโนโลยี Deepfake ที่ถูกออกแบบหรือใช้เพื่อสร้างข้อมูลเท็จที่ก่อให้เกิดความเสียหายต่อสังคม หรือส่งผลต่อการเลือกตั้ง ซึ่งการกระทำดังกล่าวไม่เพียงแต่จะขัดต่อกฎหมายเฉพาะทาง แต่ยังอาจเข้าข่ายความผิดตามประมวลกฎหมายอาญาอีกด้วย

มาตรการบังคับใช้กฎหมายสำหรับกลุ่มความเสี่ยงต้องห้ามมีความรุนแรงและหลากหลาย เพื่อสร้างแรงจูงใจให้ปฏิบัติตามอย่างเคร่งครัด ผู้ฝ่าฝืนอาจต้องเผชิญกับโทษทางอาญา ทั้งจำคุกและปรับ รวมถึงมาตรการทางปกครองที่รุนแรง เช่น การยึดอุปกรณ์หรือเครื่องมือที่ใช้ในการพัฒนาหรือดำเนินการระบบ AI ที่ผิดกฎหมาย และที่สำคัญคืออำนาจในการสั่งให้ผู้ให้บริการอินเทอร์เน็ต (ISP) หรือแพลตฟอร์มออนไลน์ทำการบล็อกหรือระงับการเข้าถึงบริการดังกล่าว ซึ่งจะเป็นเครื่องมือสำคัญในการตัดวงจรการแพร่กระจายของเทคโนโลยีที่ผิดกฎหมายได้อย่างรวดเร็ว

สำหรับองค์กรที่ใช้งานหรือพัฒนา AI ในระดับความเสี่ยงสูง ซึ่งครอบคลุมถึงการใช้งานในภาคการแพทย์ การจ้างงาน การประเมินเครดิต การระบุตัวตนทางชีวภาพ และกระบวนการยุติธรรม กฎหมายไม่ได้ห้ามแต่กำหนดภาระหน้าที่เชิงป้องกัน (Compliance) ที่เข้มงวดแทน องค์กรดังกล่าวมีหน้าที่ต้องจัดตั้งระบบจัดการความเสี่ยงที่เพียงพอ แจ้งให้ผู้ใช้ทราบถึงลักษณะการทำงานของระบบ AI ให้มีความสามารถในการอธิบายเหตุผลในการตัดสินใจ (Explainability) และมีการรายงานกรณีผิดปกติ (Anomaly) รวมถึงการแต่งตั้งผู้แทนทางกฎหมายในประเทศเพื่อติดต่อประสานงานกับหน่วยงานกำกับดูแล การไม่ปฏิบัติตามภาระหน้าที่เหล่านี้ย่อมมีบทลงโทษทางปกครองและทางอาญาตามมาเช่นกัน

สรุปประเด็นสำคัญในการตรวจสอบและเตรียมความพร้อมด้าน Compliance สำหรับองค์กรไทย ได้แก่:

• ตรวจสอบประเภทของ AI: วิเคราะห์ว่าระบบ AI ที่องค์กรใช้หรือพัฒนาจัดอยู่ในกลุ่ม "ความเสี่ยงต้องห้าม" (เช่น Deepfake หลอกลวง, Social Scoring) หรือ "ความเสี่ยงสูง" (เช่น การแพทย์, การจ้างงาน) เพื่อทราบขอบเขตข้อห้ามและภาระหน้าที่ที่ถูกต้อง
• ประเมินความเสี่ยงด้านเนื้อหา: ตรวจสอบอัลกอริทึมและข้อมูลฝึกสอน (Training Data) ว่ามีส่วนที่อาจถูกตีความว่าเป็นการหลอกลวงโดยไม่รู้ตัว หรือสร้างเนื้อหาที่ส่งผลต่อความมั่นคงและสังคมหรือไม่ เพื่อหลีกเลี่ยงการเข้าข่ายห้ามใช้
• เตรียมระบบจัดการความเสี่ยง: สำหรับ AI ความเสี่ยงสูง ต้องมีเอกสารบันทึกการประเมินความเสี่ยง ระบบติดตามตรวจสอบ (Monitoring) และกลไกการอธิบายการตัดสินใจของ AI พร้อมแต่งตั้งผู้แทนทางกฎหมายในไทย
• ติดตามมาตรการบังคับใช้: ระวังบทลงโทษที่รุนแรงทั้งทางอาญาและทางปกครอง รวมถึงความเสี่ยงที่บริการจะถูกบล็อกโดย ISP หากพบว่ามีการละเมิดกฎเกณฑ์ที่กำหนดไว้ในร่างกฎหมายฉบับนี้

โอกาสทางธุรกิจ: ระบบ Sandbox เพื่อการทดสอบนวัตกรรม

การประกาศใช้กฎหมายว่าด้วยการพัฒนาและกำกับดูแลปัญญาประดิษฐ์ (AI) ฉบับแรกของประเทศไทย ถือเป็นก้าวสำคัญในการสร้างกรอบกฎหมายที่ชัดเจนสำหรับอุตสาหกรรมเทคโนโลยี โดยหนึ่งในกลไกสำคัญที่ออกแบบมาเพื่อส่งเสริมการพัฒนาเทคโนโลยีอย่างสมดุล คือ การจัดทำระบบ Sandbox หรือพื้นที่ทดสอบนวัตกรรมภายใต้การกำกับดูแลของหน่วยงานรัฐ ระบบนี้เปิดโอกาสให้ภาคเอกชนและสตาร์ทอัพสามารถนำโมเดลธุรกิจหรือเทคโนโลยี AI ที่ยังอยู่ในขั้นทดลองหรือมีความไม่ชัดเจนทางกฎหมาย มาทดสอบการใช้งานจริงในสภาพแวดล้อมที่ควบคุมได้ โดยไม่จำเป็นต้องเผชิญกับบทลงโทษทางกฎหมายทันทีหากเกิดข้อผิดพลาดหรือความเสี่ยงที่คาดไม่ถึง

สำหรับองค์กรที่มุ่งเน้นการพัฒนาผลิตภัณฑ์ AI ระบบ Sandbox ทำหน้าที่เป็นสะพานเชื่อมระหว่างนวัตกรรมกับความสอดคล้องตามกฎระเบียบ (Compliance) โดยอนุญาตให้ผู้พัฒนาได้ทดสอบประสิทธิภาพของระบบในสถานการณ์จริงร่วมกับผู้ใช้กลุ่มจำกัด หรือในสภาพแวดล้อมจำลองที่ใกล้เคียงกับความเป็นจริง ภายใต้การดูแลและคำแนะนำของหน่วยงานกำกับดูแล เช่น กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม หรือสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) ซึ่งกระบวนการนี้ไม่เพียงแต่ช่วยยืนยันความถูกต้องของเทคโนโลยี แต่ยังเป็นการสร้างหลักฐานเชิงประจักษ์ (Evidence) ที่สามารถนำไปใช้ประกอบการขอรับรองหรือขออนุญาตใช้งานในวงกว้างต่อไปได้

สิ่งสำคัญที่องค์กรต้องตระหนักคือ ระบบ Sandbox ไม่ได้เป็นเพียงพื้นที่ปลอดภัยจากการถูกฟ้องร้องหรือปรับ แต่เป็นเวทีสำหรับการเรียนรู้และปรับแก้ (Iterative Learning) องค์กรสามารถระบุช่องโหว่ด้านความปลอดภัยทางไซเบอร์ ความเป็นส่วนตัวของข้อมูล หรืออคติของอัลกอริทึม (Algorithmic Bias) ได้ตั้งแต่เนิ่นๆ ก่อนที่จะปล่อยผลิตภัณฑ์ออกสู่ตลาดอย่างเต็มรูปแบบ การมีส่วนร่วมในโครงการนี้ยังช่วยสร้างความสัมพันธ์ที่ดีกับหน่วยงานรัฐ ทำให้ได้รับทราบแนวทางการตีความกฎหมายที่ชัดเจนและทันต่อสถานการณ์ ซึ่งถือเป็นความได้เปรียบเชิงกลยุทธ์ในการแข่งขันทางธุรกิจเมื่อกฎหมายมีผลบังคับใช้อย่างเป็นทางการ

สรุปแนวทางสำคัญสำหรับการเตรียมความพร้อมผ่านระบบ Sandbox มีดังนี้:

• ระบุขอบเขตการทดสอบที่ชัดเจน: เลือกกรณีศึกษา (Use Case) ที่มีความเสี่ยงปานกลางถึงสูง แต่ยังอยู่ในเกณฑ์ที่ยอมรับได้สำหรับการทดสอบ โดยต้องกำหนดเมตริกความสำเร็จและเกณฑ์ความปลอดภัยที่ตกลงร่วมกับหน่วยงานกำกับดูแลอย่างชัดเจน
• เตรียมโครงสร้างการกำกับดูแลภายใน: แม้จะอยู่ในพื้นที่ Sandbox องค์กรควรจัดตั้งทีมกำกับดูแลภายในที่ประกอบด้วยผู้เชี่ยวชาญด้านกฎหมาย ความเป็นส่วนตัว และจริยธรรม AI เพื่อติดตามและบันทึกผลการทดสอบอย่างเป็นระบบ
• ออกแบบกลไกการรายงานและแก้ไข: มีแผนการรายงานเหตุการณ์ไม่พึงประสงค์ (Incident Reporting) และแผนการแก้ไขข้อบกพร่อง (Remediation Plan) ที่รวดเร็ว เพื่อแสดงถึงความรับผิดชอบและความเป็นมืออาชีพต่อหน่วยงานผู้กำกับดูแล
• วางแผนการเปลี่ยนผ่านสู่การผลิต: ใช้ข้อมูลและบทเรียนจาก Sandbox เป็นฐานในการพัฒนากระบวนการ Compliance ที่เข้มแข็งขึ้น เพื่อเตรียมความพร้อมสำหรับการขยายผล (Scale-up) ไปสู่การใช้งานจริงในเชิงพาณิชย์ต่อไป

สรุปแนวทางปรับตัวสำหรับทีมกฎหมายและ Compliance

สรุปรูปแบบการปฏิบัติตามกฎหมาย (Compliance Roadmap) สำหรับองค์กรไทย

ในบริบทของกฎหมาย AI ฉบับแรกของไทยที่มุ่งเน้นการควบคุมความเสี่ยงอย่างเข้มงวด องค์กรที่ใช้งานหรือพัฒนาเทคโนโลยีปัญญาประดิษฐ์จำเป็นต้องเร่งดำเนินการทบทวนและปรับปรุงกรอบนโยบายภายใน โดยเฉพาะในสองมิติหลัก ได้แก่ Data Governance และ Intellectual Property (IP) เพื่อสร้างความพร้อมก่อนที่กฎหมายจะมีผลบังคับใช้ภายในปี 2026

ประการแรก องค์กรต้องทบทวนนโยบายการจัดการข้อมูล (Data Governance) ให้สอดคล้องกับมาตรฐานใหม่ภายใต้กฎหมายนี้ โดยเฉพาะสำหรับระบบ AI ที่จัดอยู่ในกลุ่ม "ความเสี่ยงสูง" (High-Risk) ซึ่งครอบคลุมถึงการใช้งานในด้านการแพทย์ การจ้างงาน การประเมินเครดิต และระบบระบุตัวตนทางชีวภาพ กฎหมายกำหนดให้ผู้ใช้ระบบดังกล่าวมีภาระหน้าที่ต้องจัดตั้งระบบจัดการความเสี่ยง (Risk Management System) ที่เข้มงวด รวมถึงต้องรักษาความสามารถในการอธิบายผลการตัดสินใจของ AI (Explainability) เพื่อให้สามารถตรวจสอบย้อนกลับได้ นอกจากนี้ องค์กรอาจจำเป็นต้องแต่งตั้งผู้แทนทางกฎหมายในประเทศ (Local Legal Representative) เพื่อเป็นจุดติดต่อหลักกับหน่วยงานกำกับดูแล ซึ่งแตกต่างจากแนวปฏิบัติเดิมที่อาจไม่มีการระบุตัวตนผู้รับผิดชอบชัดเจนในระดับท้องถิ่น

ประการที่สอง การจัดการทรัพย์สินทางปัญญาและข้อมูลฝึกสอน (Training Data) เป็นประเด็นที่องค์กรต้องตรวจสอบอย่างละเอียด เนื่องจากกฎหมายฉบับนี้ไม่ได้เพียงแต่ควบคุมผลลัพธ์ของ AI แต่ยังกำกับดูแลกระบวนการพัฒนาด้วย องค์กรควรตรวจสอบแหล่งที่มาของข้อมูลที่ใช้ในการฝึกสอนโมเดลว่าได้รับอนุญาตอย่างถูกต้องหรือไม่ เพื่อหลีกเลี่ยงความเสี่ยงด้านลิขสิทธิ์และความเป็นส่วนตัว ซึ่งอาจเชื่อมโยงกับมาตรการลงโทษทางปกครองและอาญาหากมีการละเมิดข้อกำหนดเกี่ยวกับข้อมูลส่วนบุคคลหรือสิทธิในทรัพย์สินทางปัญญา การจัดทำบันทึกหลักฐานการตรวจสอบแหล่งข้อมูล (Data Provenance) จึงเป็นมาตรการเชิงป้องกันที่จำเป็น

เพื่อให้การเตรียมความพร้อมเป็นไปอย่างมีประสิทธิภาพและสามารถวัดผลได้ องค์กรควรดำเนินการตามขั้นตอนสำคัญดังต่อไปนี้:

• ประเมินระดับความเสี่ยงของระบบ AI: จำแนกประเภทการใช้งาน AI ภายในองค์กรว่าเข้าข่ายเป็น "AI ที่ถูกห้าม" (Prohibited) เช่น ระบบคะแนนทางสังคม หรือ "AI ความเสี่ยงสูง" หรือไม่ หากเป็นความเสี่ยงสูง ต้องเตรียมเอกสารหลักฐานการประเมินความเสี่ยงและแผนการจัดการภัยคุกคามทันที
• ปรับปรุงนโยบาย Data Governance: ตรวจสอบความสอดคล้องของนโยบายการจัดการข้อมูลกับข้อกำหนดเรื่องความโปร่งใสและการอธิบายผลการตัดสินใจ (Explainability) รวมถึงกำหนดบทบาทและหน้าที่ของผู้ดูแลข้อมูลและทีมกฎหมายให้ชัดเจน
• เตรียมความพร้อมด้านทรัพย์สินทางปัญญาและสัญญา: ทบทวนสัญญาว่าจ้างพัฒนาหรือใช้งาน AI กับคู่ค้าและซัพพลายเออร์ โดยระบุประเด็นความเป็นเจ้าของผลงาน (Ownership) และภาระความรับผิดชอบหากเกิดข้อพิพาทด้านลิขสิทธิ์หรือการละเมิดข้อมูล
• ศึกษาช่องทางการทดสอบนวัตกรรม (Sandbox): สำหรับองค์กรที่ต้องการพัฒนาโมเดลใหม่ ๆ แต่ยังไม่มั่นใจในความเสี่ยงทางกฎหมาย ควรพิจารณาเข้าร่วมโครงการ Regulatory Sandbox ที่กฎหมายเปิดโอกาสไว้ เพื่อทดสอบระบบภายใต้การกำกับดูแลของหน่วยงานรัฐก่อนการปล่อยสู่ตลาดอย่างเต็มรูปแบบ

การเตรียมความพร้อมในเชิงโครงสร้างและนโยบายเหล่านี้ ไม่เพียงแต่จะช่วยลดความเสี่ยงจากการถูกปรับหรือระงับบริการ แต่ยังเป็นการสร้างความน่าเชื่อถือ (Trustworthiness) ให้แก่ระบบ AI ขององค์กร ซึ่งเป็นปัจจัยสำคัญในการแข่งขันทางธุรกิจภายใต้กรอบกฎหมายใหม่ที่กำลังจะมาถึง

คำถามที่พบบ่อย

กฎหมาย AI ไทยจัดหมวดหมู่ความเสี่ยงอย่างไรและอะไรคือสิ่งที่ห้ามใช้?

กฎหมายอ้างอิงแนวทางจาก EU AI Act โดยแบ่ง AI เป็นสองระดับคือ 'ห้ามใช้' และ 'ความเสี่ยงสูง' ระบบห้ามใช้รวมถึงเทคโนโลยีที่สร้างผลกระทบเชิงลบต่อสังคมหรือการเลือกตั้ง ส่วนระบบความเสี่ยงสูงต้องอยู่ภายใต้การควบคุมเข้มงวดเพื่อปกป้องสิทธิพื้นฐาน

องค์กรที่ใช้งาน AI ความเสี่ยงสูงต้องปฏิบัติตามข้อกำหนดใดบ้าง?

ผู้ใช้งานต้องจัดตั้งระบบจัดการความเสี่ยง แจ้งให้ผู้ใช้ทราบ และอธิบายกระบวนการตัดสินใจของระบบได้ นอกจากนี้ยังต้องมีการรายงานกรณีผิดปกติและแต่งตั้งผู้แทนทางกฎหมายในไทย การปฏิบัติตามมาตรฐานเหล่านี้เป็นเงื่อนไขสำคัญในการดำเนินงานที่ถูกต้องตามกฎหมาย

บทลงโทษสำหรับการฝ่าฝืนกฎหมาย AI มีลักษณะอย่างไร?

การละเมิดกฎหมายอาจนำไปสู่โทษทางอาญา การปรับทางปกครอง และการยึดอุปกรณ์ที่เกี่ยวข้อง ในกรณีร้ายแรงอาจมีการสั่งปิดบริการอินเทอร์เน็ตสำหรับผู้ให้บริการที่อนุญาตให้เข้าถึงระบบ AI ที่ถูกห้ามใช้ กฎหมายนี้มีเป้าหมายเพื่อสร้างกรอบ Compliance ที่ชัดเจนสำหรับองค์กร

แหล่งอ้างอิง

• etda.or.th
• thansettakij.com
• gawao.com