DEFA อาเซียน คือความตกลงกรอบเศรษฐกิจดิจิทัลอาเซียน (ASEAN Digital Economy Framework Agreement) ที่เจรจาเสร็จเมื่อ 31 พฤษภาคม 2569 (ค.ศ. 2026) และตั้งเป้าลงนามที่การประชุมสุดยอดอาเซียนครั้งที่ 49 ที่กรุงมะนิลา กลางเดือนพฤศจิกายน 2569 โดยตั้งเป้าให้สัตยาบันภายใน 180 วัน บทความนี้เหมาะกับฝ่ายกฎหมาย DPO และผู้บริหาร e-commerce ฟินเทค และ SaaS ไทย อ่านแล้วจะรู้ว่าต้องเตรียมอะไรก่อนตัวบทผูกพัน
ลองนึกภาพบริษัทฟินเทคไทย 80 คน (ตัวอย่างสมมติ) ที่รับชำระเงินให้ร้านค้าในไทย เวียดนาม และฟิลิปปินส์ เก็บข้อมูลลูกค้าบนคลาวด์ต่างประเทศ และใช้ AI ตรวจธุรกรรมผิดปกติ วันที่ข่าวลงนาม DEFA ออกมา บอร์ดถามคำถามเดียว “สัญญาโอนข้อมูลที่เรามีอยู่ ยังใช้ได้ไหม” ถ้าฝ่ายกฎหมายไม่มีแผนอ่านตัวบท คำตอบจะช้ากว่าคู่แข่งหลายเดือน
สรุปสั้น: DEFA อาเซียนเป็นข้อตกลงดิจิทัลระดับภูมิภาคที่ครอบคลุมข้อมูลข้ามพรมแดน การชำระเงินดิจิทัล ไซเบอร์ digital ID และเรื่องใหม่อย่าง AI กับการคุ้มครองซอร์สโค้ด กำหนดลงนามกลางพฤศจิกายน 2569 (วันแน่ชัดยังไม่ยืนยัน) ข้อบท AI ฉบับละเอียดยังไม่เปิดเผย ธุรกิจไทยที่ส่งข้อมูลข้ามแดนควรทำแผนที่ข้อมูลและทบทวนสัญญาโอนข้อมูลตาม PDPA มาตรา 28–29 ก่อนไทยให้สัตยาบัน
DEFA อาเซียน คืออะไร และจะลงนามเมื่อไร
DEFA อาเซียน เป็นข้อตกลงที่สมาชิกอาเซียนทั้งหมดเจรจาร่วมกัน เพื่อวางกติกากลางของการค้าดิจิทัลในภูมิภาค ขอบเขตครอบคลุมการค้าดิจิทัล การไหลของข้อมูลข้ามพรมแดนที่เชื่อถือได้ (trusted cross-border data flows) การชำระเงินดิจิทัล ธุรกรรมอิเล็กทรอนิกส์ การคุ้มครองผู้บริโภคออนไลน์ ไซเบอร์ และ digital ID
สำนักงานกฎหมาย Allen & Gledhill ระบุว่าข้อตกลงนี้มีเรื่องใหม่ เช่น AI ฟินเทค และการคุ้มครองซอร์สโค้ด (source code protection) แต่ข้อบทเรื่อง AI ฉบับละเอียดยังไม่เปิดเผยต่อสาธารณะ ตอนนี้จึงยังบอกไม่ได้ว่าข้อบท AI จะผูกพันประเทศสมาชิกแค่ไหน
| วันที่ | เหตุการณ์ | สถานะข้อมูล |
|---|---|---|
| 31 พ.ค. 2569 | เจรจา DEFA เสร็จ | ตามรายงาน Allen & Gledhill |
| 4 พ.ย. 2569 | เลขาธิการอาเซียนย้ำ ASEAN Guide on AI Governance and Ethics, ASEAN Responsible AI Roadmap และ ASEAN AI Safety Network | The Manila Times รายงาน 5 พ.ย. 2569 |
| 15–17 หรือ 16–18 พ.ย. 2569 | ลงนามที่ประชุมสุดยอดอาเซียนครั้งที่ 49 กรุงมะนิลา | วันแน่ชัดยังไม่ยืนยัน แหล่งข่าวไม่ตรงกัน |
| ภายใน 180 วันหลังลงนาม | เป้าให้สัตยาบัน (ถ้าลงนามกลาง พ.ย. จะครบราว พ.ค. 2570 ตามการคำนวณของผู้เขียน) | ตามคำพูดรัฐมนตรีประสานงานด้านเศรษฐกิจอินโดนีเซียที่ ANTARA อ้าง ยังไม่ใช่กำหนดในตัวบท |
ทิศทางที่อาเซียนเลือกเชื่อมกติกาของแต่ละประเทศเข้าหากัน เคยสรุปไว้ใน ASEAN เลือก Interoperability ไทยควรวาง AI Governance อย่างไร DEFA อาเซียนคือขั้นที่ทิศทางนั้นกลายเป็นข้อตกลงที่ลงนามจริง
DEFA อาเซียน กระทบธุรกิจไทยอย่างไร
DEFA อาเซียนกระทบธุรกิจไทยที่ขายหรือส่งข้อมูลข้ามแดนในอาเซียนโดยตรง เพราะไทยต้องลงนามและให้สัตยาบัน โดยมีกระทรวงพาณิชย์และกระทรวงดิจิทัลฯ/ETDA เป็นหน่วยงานหลัก กลุ่มที่โดนก่อนคือ e-commerce ฟินเทค payment SaaS และผู้ให้บริการคลาวด์และ AI ส่วนนี้เป็นการวิเคราะห์ของผู้เขียนจากขอบเขตที่เปิดเผยแล้ว
e-commerce และ SaaS ที่ส่งข้อมูลลูกค้าข้ามประเทศต้องดูอะไร
e-commerce และ SaaS ต้องดูบทข้อมูลข้ามพรมแดนก่อนบทอื่น ถ้าข้อบทนี้ผูกพันจริง จะกระทบการตีความ PDPA มาตรา 28–29 เรื่องการส่งข้อมูลส่วนบุคคลไปต่างประเทศ ร้านค้าออนไลน์ที่ใช้ระบบหลังบ้านในสิงคโปร์ หรือ SaaS ที่มีลูกค้าในหลายประเทศ ควรรู้ว่าข้อมูลของตัวเองไหลไปไหนบ้างก่อนตัวบทออก
จุดที่น่าจับตาคือแรงดึงสองทาง DEFA มุ่งให้ข้อมูลไหลข้ามแดนได้อย่างเชื่อถือได้ ขณะที่ไทยมีร่างกฎหมายที่เคยถูกวิจารณ์ว่าบังคับเก็บข้อมูลในประเทศ รายละเอียดอยู่ใน ร่าง พ.ร.บ. โครงสร้างพื้นฐานดิจิทัล บังคับเก็บข้อมูลคนไทยในประเทศ ธุรกิจที่ใช้คลาวด์ต่างประเทศต้องเตรียมอะไร สองทิศทางนี้ต้องถูกจัดให้ลงรอยกันตอนไทยให้สัตยาบัน
ฟินเทคและ payment ไทยได้หรือเสียอะไรจาก DEFA
ฟินเทคและ payment ไทยอาจได้ตลาดที่กติกาคาดเดาได้มากขึ้น เพราะ DEFA ครอบคลุมทั้งการชำระเงินดิจิทัล ธุรกรรมอิเล็กทรอนิกส์ และ digital ID ในข้อตกลงเดียว แต่ฟินเทคก็ต้องจ่ายค่าปรับตัว ทั้งการทบทวนสัญญากับพันธมิตรต่างประเทศ และการพิสูจน์มาตรการไซเบอร์ที่อาจถูกยกระดับตามข้อตกลง
ผู้พัฒนา AI และคลาวด์ต้องกังวลเรื่องซอร์สโค้ดหรือไม่
ผู้พัฒนา AI และคลาวด์ควรติดตาม แต่ยังไม่ต้องตกใจ บทคุ้มครองซอร์สโค้ดในข้อตกลงการค้าโดยทั่วไปเป็นประโยชน์กับผู้ขายซอฟต์แวร์ เพราะจำกัดไม่ให้รัฐบังคับเปิดโค้ด ส่วนข้อบท AI ยังไม่เปิดเผย ทางที่ปลอดภัยคือทำบัญชีระบบ AI ที่ขายข้ามแดนไว้ก่อน แนวคิดเรื่องจุดเปลี่ยนของกฎ AI ในภูมิภาคอื่นอยู่ใน AI Governance ไทย: จุดเปลี่ยนที่ธุรกิจต้องจับตา หลัง EU AI Act
เทียบกับกฎหมายไทย: DEFA อาเซียน ต่างจาก PDPA และกฎไทยอย่างไร
DEFA อาเซียนเป็นสนธิสัญญาระหว่างรัฐ ไม่ได้ใช้บังคับกับบริษัทโดยตรง แต่เมื่อไทยให้สัตยาบัน กฎหมายไทยต้องไม่ขัดกับข้อบท ตารางนี้เทียบขอบเขตที่เปิดเผยแล้วกับกฎไทยที่มีอยู่
| ประเด็น | DEFA (ตามที่เปิดเผย) | กฎหมายไทยตอนนี้ |
|---|---|---|
| ข้อมูลข้ามพรมแดน | มุ่งให้ข้อมูลไหลข้ามแดนได้อย่างเชื่อถือได้ | PDPA ม.28–29 วางเงื่อนไขการส่งข้อมูลส่วนบุคคลไปต่างประเทศ |
| ความปลอดภัยไซเบอร์ | มีบทไซเบอร์ | PDPA ม.37(1) มาตรการรักษาความมั่นคงปลอดภัย และ ม.37(4) แจ้งเหตุภายใน 72 ชม. |
| AI | มีเรื่อง AI แต่ข้อบทละเอียดยังไม่เปิดเผย | ยังไม่มีกฎหมาย AI เฉพาะ มีร่าง พ.ร.บ. AI ที่ยังไม่ผ่าน |
| ซอร์สโค้ด | มีการคุ้มครองซอร์สโค้ด | ไม่มีบทเฉพาะ ใช้กฎหมายลิขสิทธิ์และสัญญาเป็นหลัก |
| ผู้บริโภคออนไลน์ | ครอบคลุมการคุ้มครองผู้บริโภคออนไลน์ | ใช้กฎหมายธุรกรรมทางอิเล็กทรอนิกส์และกฎหมายคุ้มครองผู้บริโภคที่มีอยู่ |
ช่องว่างที่ใหญ่ที่สุดของไทยคือเรื่อง AI ร่าง พ.ร.บ. AI ไทยต้องเขียนให้ไม่ขัดกับข้อบท AI ของ DEFA ทั้งที่ข้อบทนั้นยังไม่เปิดเผย ความเสี่ยงอีกจุดคือการตีความ PDPA มาตรา 28–29 ที่อาจต้องปรับเมื่อมีพันธกรณีระดับภูมิภาคเรื่องข้อมูลไหลข้ามแดน
ถ้าไม่เตรียมรับ DEFA อาเซียน ธุรกิจไทยเสี่ยงอะไร
ถ้าไม่เตรียม ธุรกิจเสี่ยง 3 เรื่อง เรื่องแรก สัญญาโอนข้อมูลที่ใช้อยู่อาจต้องแก้พร้อมกันหลายฉบับในเวลาสั้น เมื่อไทยให้สัตยาบันและกฎไทยถูกปรับตาม เรื่องที่สอง ทีมที่ไม่รู้ว่าข้อมูลของตัวเองไหลไปประเทศไหน จะตอบคำถามของ สคส. หรือคู่ค้าไม่ได้
เรื่องที่สาม คือเสียจังหวะทางธุรกิจ คู่แข่งที่อ่านตัวบท DEFA อาเซียนก่อน จะรู้ก่อนว่าตลาดไหนเปิดง่ายขึ้น และเสนอบริการข้ามแดนได้ก่อน
ฝ่ายกฎหมายและ DPO ควรทำอะไรก่อนไทยให้สัตยาบัน DEFA อาเซียน
ฝ่ายกฎหมายและ DPO ของ e-commerce ฟินเทค และ SaaS ควรทำ 5 เรื่องนี้ตามลำดับเวลา โดยเริ่มได้ทันทีโดยไม่ต้องรอตัวบท
- 1. ฝ่ายกฎหมายตั้งคนรับผิดชอบติดตามตัวบท มอบหมายภายในสัปดาห์ที่ลงนาม (15–18 พ.ย. 2569) ให้ดึงตัวบท DEFA จากช่องทางทางการทันทีที่เผยแพร่ แล้วสรุปบทข้อมูลข้ามพรมแดน ซอร์สโค้ด และ AI ให้ผู้บริหาร
- 2. DPO ทำแผนที่ข้อมูลข้ามแดน ภายใน ธ.ค. 2569 ระบุว่าข้อมูลลูกค้าไปประเทศไหน ผู้รับเป็นใคร ใช้ฐาน PDPA มาตรา 28 หรือ 29 และอัปเดตบันทึกรายการ (RoPA) ตามมาตรา 39
- 3. ฝ่ายจัดซื้อและฝ่ายกฎหมายทบทวนสัญญาโอนข้อมูล ภายในไตรมาสแรกปี 2570 เทียบสัญญากับผู้ให้บริการคลาวด์และพันธมิตรต่างประเทศกับบทข้อมูลข้ามพรมแดนของ DEFA
- 4. CTO ทำบัญชีระบบ AI ที่ใช้หรือขายข้ามแดน ระบุผู้พัฒนา ประเทศที่ให้บริการ และข้อสัญญาเรื่องการเปิดเผยซอร์สโค้ด เพื่อพร้อมเทียบเมื่อข้อบท AI เปิดเผย
- 5. ผู้บริหารตั้งจุดทบทวนก่อนครบกรอบ 180 วัน นัดประชุมทบทวนราวเม.ย. 2570 ก่อนกรอบให้สัตยาบันครบ (ถ้าลงนามกลาง พ.ย. 2569) ติดตามว่ากฎไทยฉบับไหนต้องแก้
ถ้าต้องการวางระบบข้อมูลข้ามแดนและ AI ให้พร้อมทั้งสองเรื่อง ดูได้ที่ บริการวางระบบ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ผมมองว่า DEFA อาเซียนคือครั้งแรกที่เรื่อง AI ถูกเขียนลงในข้อตกลงดิจิทัลระดับภูมิภาคที่ผูกพันทางกฎหมาย ร่าง พ.ร.บ. AI ไทยจึงต้องเขียนโดยมองตัวบทนี้ด้วย ใครรอให้กฎหมายไทยแก้เสร็จก่อนค่อยขยับ จะเจอเส้นตายของสนธิสัญญาก่อนเส้นตายของกฎหมายไทยเสมอ จุดที่องค์กรมักพลาดคือไม่มีแผนที่ข้อมูลข้ามแดน เลยประเมินผลกระทบไม่ได้ ควรเริ่มจากแผนที่ข้อมูลก่อน แล้วค่อยอ่านตัวบท
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
ประวัติผู้เขียน · นโยบายบรรณาธิการ
คำถามที่พบบ่อยเกี่ยวกับ DEFA อาเซียน
DEFA อาเซียนจะลงนามวันไหน
DEFA อาเซียนตั้งเป้าลงนามที่การประชุมสุดยอดอาเซียนครั้งที่ 49 ที่กรุงมะนิลา กลางเดือนพฤศจิกายน 2569 The Manila Times ระบุ 16–18 พฤศจิกายน แต่บางแหล่งระบุ 15–17 พฤศจิกายน วันแน่ชัดจึงยังไม่ยืนยัน
DEFA มีผลบังคับกับบริษัทไทยทันทีหลังลงนามหรือไม่
ไม่ทันที DEFA เป็นข้อตกลงระหว่างรัฐ ไทยต้องให้สัตยาบันก่อน ซึ่งตามที่ ANTARA อ้างรัฐมนตรีอินโดนีเซีย สมาชิกตั้งเป้าภายใน 180 วันหลังลงนาม ผลต่อบริษัทจะมาผ่านการปรับกฎหมายไทย
DEFA มีเรื่อง AI อะไรบ้าง
Allen & Gledhill ระบุว่า DEFA มีเรื่องใหม่ เช่น AI ฟินเทค และการคุ้มครองซอร์สโค้ด แต่ข้อบทเรื่อง AI ฉบับละเอียดยังไม่เปิดเผย จึงยังสรุปเนื้อหาข้อบทไม่ได้
ใครในไทยต้องเตรียมรับ DEFA ก่อน
กลุ่มที่ควรเตรียมก่อนคือ e-commerce ฟินเทค payment SaaS และผู้ให้บริการคลาวด์และ AI ที่ขายหรือส่งข้อมูลข้ามแดนในอาเซียน โดยเริ่มจากทำแผนที่ข้อมูลและทบทวนสัญญาโอนข้อมูลตาม PDPA มาตรา 28–29
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- ใช้อีเมลและไดรฟ์บนคลาวด์ ข้อมูลไปต่างประเทศเมื่อไร — ก่อนทำแผนที่ข้อมูลข้ามแดนตามบท DEFA ต้องแยกให้ได้ก่อนว่าการใช้คลาวด์แบบไหนนับเป็นการส่งข้อมูลไปต่างประเทศตาม PDPA (aipdpa.com)
แหล่งอ้างอิง
- The Manila Times — (อ่านต้นฉบับ) — อ่านข่าวที่ The Manila Times
- Allen & Gledhill — (อ่านต้นฉบับ) — อ่านบทวิเคราะห์ที่ Allen & Gledhill
- ANTARA — คำพูดรัฐมนตรีประสานงานด้านเศรษฐกิจอินโดนีเซียเรื่องเป้าให้สัตยาบัน 180 วัน (อ้างตามรายงาน)
- The Manila Times — รายงานคำกล่าวของเลขาธิการอาเซียน 5 พ.ย. 2569 (อ้างตามรายงาน)
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
