บทนำ
ในช่วงเดือนที่ผ่านมา ภูมิทัศน์กฎหมาย AI ของไทยมีความเคลื่อนไหวสองด้านพร้อมกัน ด้านหนึ่งคือรายงานวิเคราะห์กฎระเบียบจาก Baker McKenzie ที่ชี้ทิศทางว่าไทยกำลังเดินไปทางกรอบ risk-based คล้ายแนวทางสากล อีกด้านคือกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมประกาศต่อเวที UN ว่าไทยพร้อมวางตัวเป็นศูนย์กลาง AI Sandbox ในภูมิภาค
เหตุผลที่ธุรกิจไทยควรอ่านเรื่องนี้ตอนนี้ ไม่ใช่เพราะต้องรอลุ้นว่ากฎหมาย AI ฉบับใหม่จะหน้าตาอย่างไร แต่เพราะทั้งสองสัญญาณนี้กำลังบอกว่า ภาระความรับผิดทางกฎหมายของธุรกิจที่ใช้ AI มีอยู่แล้ววันนี้ และกำลังจะซับซ้อนขึ้น ไม่ใช่รอวันที่กฎหมายใหม่บังคับใช้แล้วค่อยเริ่มนับหนึ่ง
เรียงตามลำดับที่ธุรกิจต้องตัดสินใจ ไม่ใช่ลำดับข่าว
กฎหมายเดิมที่ใช้บังคับกับ AI ได้อยู่แล้ววันนี้
ก่อนจะพูดถึงกฎหมายที่ยังไม่เกิด ข้อเท็จจริงสำคัญที่สุดคือกฎหมายที่มีอยู่แล้วครอบคลุมการกระทำผ่าน AI ในหลายมิติพร้อมกัน PDPA ครอบคลุมกรณีที่ระบบ AI ประมวลผลข้อมูลส่วนบุคคล ไม่ว่าจะเป็นการฝึกโมเดลหรือการใช้งานจริง กฎหมายทรัพย์สินทางปัญญาครอบคลุมประเด็นข้อมูลที่นำไปฝึกโมเดลและผลงานที่ AI สร้างขึ้น กฎหมายคุ้มครองผู้บริโภค ครอบคลุมกรณีที่ AI ให้ข้อมูลหรือคำแนะนำที่ทำให้ผู้บริโภคเข้าใจผิดจนเกิดความเสียหาย ส่วน Cybersecurity Act และ พ.ร.บ.คอมพิวเตอร์ ครอบคลุมความมั่นคงปลอดภัยของระบบที่ AI ทำงานอยู่ กล่าวอีกอย่างคือ องค์กรที่คิดว่า “ยังไม่มีกฎหมาย AI จึงยังทำอะไรกับ AI ก็ได้ก่อน” กำลังตั้งสมมติฐานที่ผิดตั้งแต่ต้น
ทิศทางกฎหมายใหม่: Hybrid และ Risk-based
สัญญาณที่สอดคล้องกันจากหลายแหล่ง คือไทยกำลังพัฒนากรอบกฎหมาย AI แบบครอบคลุมโดยเดินตามแนวทาง risk-based คือ กำหนดภาระหน้าที่ตามระดับความเสี่ยงของระบบ AI ไม่ใช่ควบคุมทุกระบบเท่ากันหมด และวางความรับผิดไว้ทั้งฝั่งผู้พัฒนาระบบ (provider) และฝั่งองค์กรที่นำระบบไปใช้งานจริง (deployer) สำหรับระบบที่จัดอยู่ในกลุ่มความเสี่ยงสูง แนวทางนี้สอดคล้องกับทิศทางที่หลายประเทศใช้อยู่ และหมายความว่าองค์กรที่ “แค่ซื้อ AI มาใช้” จะหนีความรับผิดโดยอ้างว่าตัวเองไม่ใช่ผู้พัฒนาไม่ได้อีกต่อไป
สัญญาณเชิงนโยบาย: การประกาศ Sandbox บนเวที UN
เมื่อวันที่ 7 กรกฎาคม 2569 กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมประกาศต่อเวที UN ว่าไทยพร้อมวางตัวเป็นศูนย์กลางการประยุกต์ใช้ AI อย่างมีธรรมาภิบาลในรูปแบบ Sandbox ซึ่งเป็นสัญญาณว่าภาครัฐต้องการดึงดูดการทดลองใช้งาน AI ภายใต้การกำกับดูแลของรัฐ มากกว่าจะปล่อยให้เกิดขึ้นแบบไร้การควบคุม สิ่งที่หลายฝ่ายมองข้ามคือคำว่า “sandbox” ในบริบทกำกับดูแล ไม่ได้แปลว่าธุรกิจที่เข้าร่วมจะพ้นจากภาระทางกฎหมาย แต่มักแปลว่าธุรกิจนั้นตกลงเปิดเผยข้อมูลการทำงานของระบบให้หน่วยงานกำกับตรวจสอบได้ใกล้ชิดกว่าปกติ เพื่อแลกกับพื้นที่ทดลองที่มีความชัดเจนทางกฎหมายมากขึ้น
กรอบเตรียมความพร้อมที่ผู้เชี่ยวชาญแนะนำ
สำหรับองค์กรที่ต้องตัดสินใจตอนนี้โดยไม่มีกฎหมายเฉพาะให้อ้างอิง แนวทางที่แนะนำคือเริ่มจากการสำรวจว่าองค์กรมีระบบ AI อะไรอยู่บ้าง จัดระดับความเสี่ยงของแต่ละระบบ ประเมินผลกระทบทั้งด้าน AI และด้านข้อมูลส่วนบุคคล กำหนดจุดที่มนุษย์ต้องเข้าไปทบทวนหรือแทรกแซงการตัดสินใจของ AI ได้ และเตรียมระบบบันทึกเหตุการณ์ไว้ล่วงหน้า — ประเด็นสำคัญที่สุดคือไม่ต้องรอให้ “พ.ร.บ. AI” ประกาศใช้ก่อน เพราะฐานความรับผิดจำนวนมากมีอยู่แล้วในกฎหมายปัจจุบัน
ผลกระทบต่อธุรกิจในประเทศไทย
ผลกระทบที่แท้จริงของสถานะ “hybrid regulation” ไม่ใช่แค่ “ยังไม่มีกฎหมาย AI เฉพาะ จึงยังสบายใจได้” แต่คือธุรกิจไทยกำลังเผชิญกับความเสี่ยงสองชั้นที่แยกจากกันชัดเจน ชั้นแรกคือความเสี่ยงเชิงเนื้อหา (substantive risk) ซึ่งมาจากกฎหมายเดิมที่ใช้บังคับกับ AI ได้ทันทีตามที่อธิบายไปแล้ว ชั้นที่สองคือความเสี่ยงเชิงกระบวนการ (procedural risk) ซึ่งเป็นมุมที่ยังไม่มีใครพูดถึงชัดเจน นั่นคือเมื่อเกิดเหตุจากระบบ AI หนึ่งระบบ องค์กรอาจต้องตอบคำถามจากหลายหน่วยงานกำกับพร้อมกันในเวลาเดียวกัน โดยไม่มีเจ้าภาพหลักเพียงหน่วยงานเดียวที่กำหนดขั้นตอนไว้ล่วงหน้า เหมือนประเทศที่มีกฎหมาย AI รวมศูนย์แล้ว ตัวอย่างเช่น กรณี AI ให้คำแนะนำทางการเงินที่ผิดพลาดจนลูกค้าเสียหาย อาจถูกพิจารณาพร้อมกันทั้งในฐานะประเด็นคุ้มครองผู้บริโภค ประเด็นความมั่นคงปลอดภัยไซเบอร์ และประเด็น PDPA หากมีการใช้ข้อมูลส่วนบุคคลประกอบการตัดสินใจ องค์กรที่ไม่เคยซ้อมตอบสถานการณ์แบบหลายเจ้าภาพ จะเสียเวลาช่วงวิกฤตไปกับการหาว่าใครคือผู้กำกับที่ต้องรายงานก่อน แทนที่จะแก้ปัญหาจริง
อีกประเด็นที่ธุรกิจที่กำลังพิจารณาสมัครเข้าร่วมโครงการ AI Sandbox ของรัฐควรทำความเข้าใจให้ชัดคือ การเข้าร่วม sandbox ไม่ใช่การได้รับยกเว้นความรับผิดทางกฎหมาย แต่มักมาพร้อมพันธะเปิดเผยข้อมูลการทำงานของระบบและรายงานผลต่อหน่วยงานกำกับอย่างใกล้ชิดกว่าธุรกิจทั่วไป ธุรกิจที่เข้าใจผิดว่า sandbox คือพื้นที่ปลอดภัยจากกฎหมายอาจเปิดเผยข้อมูลภายในหรือรายละเอียดโมเดลมากกว่าที่ควร โดยไม่ได้ประเมินความเสี่ยงด้านความลับทางการค้าไว้ล่วงหน้า สำหรับกลุ่มธุรกิจการเงิน ประกันภัย และ HealthTech ที่ใช้ AI ในการตัดสินใจที่กระทบสิทธิของบุคคลโดยตรง ความเสี่ยงทั้งสองชั้นนี้มีน้ำหนักสูงกว่าธุรกิจทั่วไปอย่างมีนัยสำคัญ เพราะเป็นกลุ่มที่หน่วยงานกำกับเฉพาะทางของแต่ละอุตสาหกรรมมักเข้ามาซ้อนกับกฎหมายทั่วไปอีกชั้นหนึ่งด้วย
สิ่งที่ควรทำต่อ 5 ขั้น ก่อนกฎหมาย AI จะประกาศใช้
- ทำ AI Inventory ทั่วทั้งองค์กร สำรวจว่าหน่วยงานใดใช้ระบบ AI อะไรอยู่บ้าง ทั้งที่จัดซื้ออย่างเป็นทางการและที่ทีมงานหามาใช้เอง เพื่อให้เห็นภาพรวมความเสี่ยงที่แท้จริงก่อนออกนโยบายใดๆ
- จัดระดับความเสี่ยงของแต่ละระบบ (Risk Classification) แยกระบบที่กระทบสิทธิของบุคคลโดยตรง เช่น การให้คะแนนสินเชื่อหรือคัดกรองผู้สมัครงาน ออกจากระบบที่มีความเสี่ยงต่ำ เพื่อจัดลำดับความสำคัญในการควบคุม
- ทำ Impact Assessment ทั้งด้าน AI และด้านข้อมูลส่วนบุคคล ประเมินผลกระทบที่ระบบ AI อาจมีต่อผู้ใช้งานหรือบุคคลภายนอก ควบคู่กับการประเมินตามหน้าที่ของ PDPA ที่มีอยู่แล้ว
- กำหนดจุด Human Oversight ที่ชัดเจน ระบุว่าการตัดสินใจของ AI จุดใดต้องมีมนุษย์ทบทวนหรือมีสิทธิ์ยับยั้งก่อนส่งผลกระทบถึงผู้ใช้งานจริง โดยเฉพาะระบบความเสี่ยงสูง
- เตรียมระบบบันทึกเหตุการณ์และแผนตอบสนองหลายหน่วยงาน (Incident & Audit Trail) วางแผนล่วงหน้าว่าหากเกิดเหตุจาก AI องค์กรต้องรายงานหน่วยงานใดบ้างและใครเป็นผู้ตัดสินใจ แทนที่จะมาคิดหาคำตอบตอนเกิดวิกฤต
การไม่มีกฎหมาย AI ไม่เคยแปลว่า ไม่มีความรับผิด มันแปลว่า ไม่มีใครบอกล่วงหน้าว่าความรับผิดนั้นจะมาจากทางไหน
แหล่งอ้างอิง
- Baker McKenzie, Thailand 2026: AI Regulatory Landscape for Businesses, มีนาคม 2569 — https://www.bakermckenzie.com/-/media/files/insight/publications/2026/03/thailand-2026-ai-regulatory-landscape-for-businesses.pdf
- กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (mdes.go.th), “ไชยชนก กล่าวถ้อยแถลงเวที UN ยืนยันไทยพร้อมเป็น ‘Sandbox’ ศูนย์กลางการประยุกต์ใช้ AI อย่างมีธรรมาภิบาล”, ข่าวประชาสัมพันธ์ วันที่ 7 กรกฎาคม 2569 — https://www.mdes.go.th/news/detail/11241
