สารบัญ
- AI middle-powers คืออะไร และทำไมบริษัทไทยควรสนใจ
- ข้อเท็จจริงจากงานวิจัยล่าสุด
- ปัญหาไม่ได้อยู่ที่ “มีกฎหมายหรือยัง”
- ผลกระทบต่อธุรกิจในประเทศไทย
- สิ่งที่ควรทำต่อ
- มุมมองผู้เชี่ยวชาญ
- แหล่งอ้างอิง
บทนำ
ลองนึกภาพบริษัทไทยที่ไม่ได้สร้าง AI เองเลย แต่ใช้โมเดลจากสหรัฐฯ หรือจีนในงานบริการลูกค้า วิเคราะห์เอกสาร หรือช่วยตัดสินใจทางธุรกิจ วันหนึ่งลูกค้ารายใหญ่กลับถามว่า “ระบบนี้ผ่านการประเมินความเสี่ยงอะไรมาแล้วบ้าง” คำถามนี้อาจเกิดขึ้นก่อนที่บริษัทไทยจะต้องเจอกฎหมาย AI ฉบับใหม่เสียอีก
งานวิจัยบน arXiv ที่เผยแพร่เดือนสิงหาคม 2569 สำรวจการกำกับดูแล General-Purpose AI หรือ GPAI ใน 20 เขตอำนาจ และพบจุดที่น่าสนใจกว่าการนับว่าประเทศไหนมีกฎหมายแล้ว นั่นคือ หลายประเทศเริ่มสร้างกลไกประเมิน ตรวจสอบ เฝ้าระวัง และรายงานเหตุการณ์ แต่ยังไม่ได้เชื่อมกลไกเหล่านั้นเข้ากับหน้าที่ทางกฎหมายอย่างเต็มรูปแบบ
คำถามสำหรับไทยจึงไม่ควรมีแค่ว่า “กฎหมาย AI ไทยออกเมื่อไร” แต่ควรถามว่า “ธุรกิจไทยมีระบบพิสูจน์การกำกับดูแล AI พร้อมหรือยัง”
AI middle-powers คืออะไร และทำไมบริษัทไทยควรสนใจ
คำว่า AI middle-powers ในงานวิจัย หมายถึง ประเทศที่ไม่มีผู้พัฒนาโมเดล AI ระดับแนวหน้าของโลกอยู่ภายในประเทศ แต่ยังมีอำนาจต่อทิศทาง AI เพราะเป็นตลาดสำคัญ เป็นผู้กำหนดกติกา หรือ เป็นประเทศที่มีอิทธิพลต่อการนำ AI ไปใช้จริง
งานวิจัยศึกษาประเทศและเขตอำนาจ 20 แห่ง เช่น ออสเตรเลีย บราซิล แคนาดา อินเดีย ญี่ปุ่น สิงคโปร์ เกาหลีใต้ ไต้หวัน สหราชอาณาจักร รวมถึงสหภาพยุโรป ขณะที่ ประเทศไทยไม่ได้อยู่ในชุด 20 เขตอำนาจที่งานวิจัยฉบับนี้นำมาวิเคราะห์
ตรงนี้น่าสนใจ เพราะไทยมีสถานะใกล้กับปัญหาที่งานวิจัยกำลังศึกษาในเชิงโครงสร้าง นั่นคือ บริษัทไทยจำนวนมาก “ใช้” AI ที่สร้างจากต่างประเทศ มากกว่าจะเป็นผู้สร้าง frontier model เอง ดังนั้นคำถามสำคัญของไทยจึงไม่ใช่แค่ควบคุมผู้สร้าง AI แต่คือควบคุมและบริหารความเสี่ยงของ AI ที่ถูกนำเข้ามาใช้ในองค์กร
ETDA เองกำลังผลักดันแนวทาง AI Governance สำหรับองค์กรไทยอยู่แล้ว และในปี 2569 ระบุว่าจะเร่งพัฒนาระบบประเมินผลกระทบทางจริยธรรม รวมถึงเครื่องมือทดสอบความปลอดภัยและความน่าเชื่อถือของ AI
ดังนั้นเรื่องนี้ไม่ใช่ภาพของ “อนาคตไกลตัว” แต่เป็นภาพของระบบกำกับดูแลที่กำลังก่อตัวอยู่แล้ว
ข้อเท็จจริงจากงานวิจัยล่าสุด
จุดเด่นของงานวิจัยไม่ได้อยู่ที่การรวบรวมชื่อกฎหมาย แต่ผู้วิจัยลงไปดูถึงระดับ “ข้อกำหนดแต่ละข้อ” และแบ่งการกำกับดูแล GPAI ออกเป็น 4 กลุ่ม ได้แก่ การประเมินความเสี่ยงระดับระบบ การประเมินและตรวจสอบ การห้ามพฤติกรรมบางประเภทพร้อมกลไกตรวจจับ และการรายงานเหตุการณ์ร้ายแรง
ผลที่ได้กลับน่าสนใจกว่าคำว่า “หลายประเทศมีกฎ AI”
ประมาณ 22% ของข้อกำหนดทั้งหมดในชุดข้อมูลอยู่ในกฎหมายที่มีผลผูกพัน ขณะที่ข้อกำหนดจำนวนมากยังอยู่ใน guidance, strategy หรือเครื่องมือที่ไม่ได้มีแรงบังคับทางกฎหมายโดยตรง
อีกประเด็นคือ หลายประเทศมีการสร้างหน่วยงานหรือสถาบันสำหรับประเมิน AI แล้ว แต่ไม่ได้ให้อำนาจหน่วยงานเหล่านั้นเข้าไปดำเนินการกับผลการประเมิน งานวิจัยพบว่าใน 11 เขตอำนาจที่มีหน่วยงานด้านการประเมิน มีเพียง European AI Office ที่ถูกระบุว่ามีอำนาจดำเนินการต่อจากสิ่งที่พบในการประเมิน
พูดง่าย ๆ คือ หลายประเทศเริ่มมี “คนตรวจ” แล้ว แต่ยังไม่ได้มี “อำนาจให้คนตรวจทำอะไรต่อ”
และนี่คือจุดที่งานวิจัยมองว่าสำคัญมาก
ปัญหาไม่ได้อยู่ที่ “มีกฎหมายหรือยัง”
สำหรับธุรกิจ การรอให้กฎหมาย AI มีผลบังคับเต็มรูปแบบก่อนจึงค่อยเตรียมตัว อาจเป็นวิธีคิดที่ช้าเกินไป
เหตุผลคือระบบกำกับดูแล AI ไม่ได้เดินผ่านกฎหมายเพียงช่องทางเดียว แต่ไหลผ่าน procurement, vendor assessment, internal policy, sector regulation, contract requirement และ governance framework ได้
งานวิจัยพบว่า 10 จาก 20 เขตอำนาจไม่มีข้อกำหนด GPAI ที่มีผลผูกพันและใช้บังคับอยู่ในขณะนั้นเลย ขณะที่ข้อกำหนดแบบผูกพันจำนวนมากกระจุกอยู่ใน EU และบราซิล นอกจากนี้ แม้บางประเทศจะมีข้อกำหนดจำนวนมาก แต่กลับมุ่งไปยังการใช้งานในบางภาคส่วนมากกว่าการกำกับตัวผู้พัฒนาโมเดลโดยตรง
จุดนี้ทำให้ภาพของ AI Governance เปลี่ยนไป
องค์กรไม่จำเป็นต้องเป็น “ผู้สร้างโมเดล” จึงจะถูกถามเรื่อง AI Governance ได้
องค์กรอาจเป็นเพียงผู้ซื้อ ผู้ใช้ ผู้ให้บริการ หรือคู่ค้าของบริษัทที่ใช้ AI ก็ได้
และเมื่อเริ่มมีการกำหนด requirement ในสัญญาหรือกระบวนการจัดซื้อ สิ่งที่เมื่อวานเป็นเพียง “แนวทาง” อาจกลายเป็นข้อที่บริษัทต้องตอบให้ได้ว่าองค์กรของตัวเองทำอะไรไว้แล้ว
ผลกระทบต่อธุรกิจในประเทศไทย
สำหรับธุรกิจไทย ความเสี่ยงที่สำคัญที่สุดอาจไม่ใช่ค่าปรับจากกฎหมาย AI โดยตรง แต่คือ “ต้นทุนในการพิสูจน์ว่าองค์กรควบคุม AI ได้จริง”
ลองดูบริษัทไทยที่ใช้ AI จากผู้ให้บริการต่างประเทศ บริษัทอาจไม่ได้ควบคุมโมเดล แต่ควบคุมได้ว่าใครมีสิทธิใช้ ใช้กับข้อมูลอะไร ใช้เพื่อวัตถุประสงค์ใด ใครตรวจผลลัพธ์ และเมื่อเกิดเหตุผิดปกติจะหยุดระบบอย่างไร เรื่องเหล่านี้เชื่อมโดยตรงกับ governance ขององค์กร
ปัญหาจะชัดขึ้นอีกเมื่อองค์กรทำธุรกิจกับต่างประเทศ หรืออยู่ใน supply chain ของบริษัทขนาดใหญ่ เพราะคู่ค้าอาจไม่ได้ถามเพียงว่า “ใช้ AI หรือไม่” แต่ถามว่า AI ตัวนั้นผ่านการประเมินอะไรบ้าง มี policy หรือไม่ มี AI inventory หรือไม่ มี incident response หรือไม่ และใครเป็นผู้รับผิดชอบ
สิ่งนี้สอดคล้องกับทิศทางของไทยที่ ETDA กำลังผลักดัน AI Governance ให้เป็นเรื่องที่องค์กรนำไปใช้จริง ไม่ใช่เพียงเอกสารเชิงนโยบาย โดยมีทั้ง guideline, toolkit และแนวทางประเมินความเสี่ยงก่อนนำ AI ไปใช้
สำหรับ SME ความเสี่ยงอาจมาในรูปแบบที่จับต้องได้กว่า เช่น ลูกค้ารายใหญ่ขอเอกสารรับรองการใช้ AI อย่างมีความรับผิดชอบ แต่บริษัทไม่มีระบบเก็บหลักฐาน หรือ vendor AI เปลี่ยนเงื่อนไขการให้บริการจนทีมกฎหมายต้องย้อนกลับไปตรวจข้อมูลและกระบวนการทั้งหมด
สำหรับองค์กรขนาดใหญ่ ความเสี่ยงอีกแบบคือ “ระบบแยกส่วน” ฝ่ายหนึ่งทำ AI policy ฝ่ายหนึ่งดู PDPA อีกฝ่ายดู cybersecurity และ Procurement ซื้อ AI จาก vendor โดยไม่มีเจ้าของความเสี่ยงเดียวกัน เมื่อเกิดเหตุจริง องค์กรอาจมีเอกสารจำนวนมาก แต่ไม่มีใครตอบได้ว่าใครต้องตัดสินใจ
งานวิจัยฉบับนี้จึงให้บทเรียนที่สำคัญกับไทยว่า การมีกติกาไม่สำคัญเท่ากับการเชื่อม การประเมิน → ผู้รับผิดชอบ → หลักฐาน → อำนาจตัดสินใจ → การแก้ไขเมื่อเกิดเหตุ
และนี่อาจเป็นจุดที่ธุรกิจไทยต้องเริ่มก่อนที่กฎหมายเฉพาะจะมาถึง
ไทยเองยังอยู่ในช่วงพัฒนากรอบกฎหมาย AI โดย ETDA เปิดรับฟังหลักการของกฎหมาย AI ที่มุ่งเน้นการจัดการความเสี่ยงสูง ดังนั้นองค์กรไม่ควรวางแผนโดยสมมติว่ากฎหมายอนาคตจะกำหนดทุกอย่างให้เอง
สำหรับบริษัทที่ทำตลาด EU ความสำคัญยิ่งสูงขึ้น เพราะข้อกำกับ AI ของ EU เป็นตัวอย่างที่ชัดเจนของการกำกับโมเดล GPAI โดยตรง และกำลังสร้างมาตรฐานที่คู่ค้าในห่วงโซ่ธุรกิจต้องติดตาม
ดังนั้น AI middle-powers ไม่ได้เป็นเพียงเรื่องภูมิรัฐศาสตร์หรือกฎหมายต่างประเทศ แต่เป็นสัญญาณว่าบริษัทไทยอาจต้องมี “หลักฐานความพร้อมด้าน AI” ก่อนถูกกฎหมายบังคับจริง
อ่านต่อใน Tech Law Now: ไทยยังไม่มีกฎหมาย AI แต่ Governance มาแล้ว! ธุรกิจไทยที่รอ เสี่ยงอะไร?
และสำหรับองค์กรที่ใช้ AI ในงานสำคัญ ควรดูประเด็น Vendor และ Data Governance ควบคู่กัน: TH-AI Pass เปิด 31 ส.ค. รีบเช็ก AI Governance ก่อนใช้ในธุรกิจไทย
สิ่งที่ควรทำต่อ
- ทำ AI Inventory ให้รู้ก่อนว่าองค์กรใช้ AI ตัวไหนบ้าง
ไม่ใช่เฉพาะระบบที่ IT ซื้อ แต่รวมถึง SaaS, chatbot, AI assistant และเครื่องมือที่พนักงานสมัครใช้เอง - แยกข้อมูลที่นำเข้า AI ออกจากตัวเครื่องมือ
ตรวจว่ามีข้อมูลส่วนบุคคล ข้อมูลลับ ข้อมูลลูกค้า หรือข้อมูลทางธุรกิจอะไรถูกส่งเข้าโมเดล และผู้ให้บริการนำข้อมูลไปใช้ต่ออย่างไร - กำหนดคนรับผิดชอบ AI แต่ละระบบ
ควรตอบให้ได้ว่าใครเป็น owner ใครอนุมัติ ใครประเมินความเสี่ยง และใครมีอำนาจหยุดการใช้งาน - เก็บหลักฐานการประเมิน ไม่ใช่แค่เขียน policy
เช่น risk assessment, vendor assessment, test result, monitoring record และ incident log เพราะในอนาคต “พิสูจน์ว่าเคยทำ” อาจสำคัญพอ ๆ กับ “บอกว่ามีนโยบาย” - ตรวจสัญญา AI Vendor ใหม่ตั้งแต่ตอนจัดซื้อ
ดูเรื่องการใช้ข้อมูล การเก็บ log การแจ้งเหตุ การตรวจสอบ การเปลี่ยนโมเดล และสิทธิของบริษัทเมื่อระบบมีความเสี่ยง
แนวทางนี้สอดคล้องกับทิศทาง AI Governance ของ ETDA ที่กำลังพัฒนาเครื่องมือให้องค์กรประเมินความเสี่ยงและผลกระทบก่อนจัดซื้อหรือใช้งาน AI
แหล่งอ้างอิง
ต้นฉบับงานวิจัย: arXiv — “Mapping General-Purpose AI Governance in Twenty AI Middle-Power Jurisdictions” โดย Josephine Schwab, Nathan Naidoo, Ferruccio Barazzutti, Sheryn Lee และ Caio Vieira Machado เผยแพร่ 18 สิงหาคม 2569 โดยข้อมูลที่รายงานในงานวิจัยอ้างอิงชุดข้อมูล ณ วันที่ 30 กรกฎาคม 2569 และผู้วิจัยระบุว่างานนี้เป็น working paper ที่ฐานข้อมูลยังมีการปรับปรุงต่อเนื่อง
ข้อมูลด้าน AI Governance ของไทย: ETDA / AI Governance Center ซึ่งระบุถึงแนวทางสำหรับองค์กร เครื่องมือประเมินความเสี่ยง และทิศทาง AI Governance ปี 2569
ETDA — Generative AI Governance Guideline for Organizations
ข่าว/ข้อมูลเกี่ยวกับร่างหลักการกฎหมาย AI ของไทยจาก ETDA: ETDA — ร่างหลักการของกฎหมายว่าด้วยปัญญาประดิษฐ์
Internal Links:
กฎหมาย AI ไทยใกล้แค่ไหน? บริษัทไม่เริ่มวันนี้ อาจตั้งรับไม่ทัน
ก.ล.ต. ปรับ AI Governance Framework รับ Agentic AI และ PDPA ไทย
AI Act บังคับแล้ว บริษัทไทยใช้ AI ต้องเช็ก 5 จุด ก่อนพลาดตลาด EU
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย
หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
