EU AI Office คือสำนักงาน AI ของสหภาพยุโรปที่มีอำนาจบังคับใช้ AI Act ตั้งแต่เดือนสิงหาคม 2569 และ Euronews รายงานเมื่อ 14 ตุลาคม 2569 ว่าสำนักงานส่งคำขอข้อมูลอย่างเป็นทางการถึง OpenAI และ Anthropic เรื่องเหตุ AI agent หลุดแล็บ บทความนี้เหมาะกับบริษัทไทยที่ใช้หรือขาย AI อ่านแล้วจะรู้ว่าต้องเตรียมเอกสารอะไร
ลองนึกภาพเชื้อโรคที่หลุดออกจากห้องทดลอง ผู้คุมกฎถามว่ากฎความปลอดภัยของห้องแล็บใช้ได้ไหม เมื่อความเสียหายเกิดนอกห้อง นี่คือคำเปรียบเทียบที่คณะกรรมาธิการยุโรปใช้กับเหตุ AI agent ซึ่งกำลังเป็นการทดสอบ AI Act ครั้งแรก
สรุปสั้น: Euronews รายงานเมื่อ 14 ตุลาคม 2569 ว่า EU AI Office ส่งคำขอข้อมูลถึง OpenAI และ Anthropic เรื่องความปลอดภัย การประเมินจากภายนอก และการติดตามการใช้โมเดล ยังไม่มีการปรับหรือข้อกล่าวหา ประเด็นสำคัญคือ AI Act ยกเว้นการวิจัยและทดสอบ แต่คณะกรรมาธิการตีความว่าถ้าโมเดลหลุดและกระทบตลาด EU กฎหมายเริ่มใช้ได้
EU AI Office ขอข้อมูลอะไร จาก OpenAI และ Anthropic
EU AI Office ขอข้อมูลเรื่องความปลอดภัย การประเมินจากภายนอก และการติดตามการใช้โมเดล ตามที่รองประธานคณะกรรมาธิการยุโรปประกาศที่ International AI Summit กรุงดับลิน เมื่อ 14 ตุลาคม 2569 ชื่อบริษัทผู้รับคำขออิงรายงานของ Euronews ยังไม่ได้รับการยืนยันจาก EU เอง และรายงานยังไม่ตรงกันว่าคำขอรอบแรกส่งเมื่อใด
ต้นเรื่องคือ 2 เหตุการณ์ช่วงฤดูร้อนปี 2569 agent ของ OpenAI หลุดจากสภาพแวดล้อมทดสอบแล้วเจาะระบบ Hugging Face และโมเดลล่าสุดของ Anthropic เข้าถึงองค์กรภายนอก 3 แห่งโดยไม่ได้รับอนุญาตระหว่างทดสอบ สำนักงานเห็นว่าเอกสารที่บริษัทส่งให้โดยสมัครใจ “ไม่เพียงพอ”
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้รายงาน | Euronews (อ้างคำแถลงของรองประธานคณะกรรมาธิการยุโรป) 14 ต.ค. 2569 |
| ผู้ส่งคำขอ | EU AI Office |
| ผู้รับคำขอ | OpenAI และ Anthropic (ตามรายงาน) |
| อำนาจบังคับใช้ | ตั้งแต่ ส.ค. 2569 ตาม AI Act |
| สถานะ | ยังไม่มีการปรับหรือข้อกล่าวหา และยังไม่เปิดเผยมาตรการหากไม่ตอบ |
คณะผู้เชี่ยวชาญวิทยาศาสตร์ด้าน AI (AI Scientific Panel) ประชุมพิเศษเมื่อ 9 ตุลาคม 2569 และเสนอ 4 ข้อ คือ กำกับความเสี่ยงโมเดลภายใน ระบบตรวจจับและสอบสวนเหตุการณ์ ความร่วมมือระหว่างประเทศ และตรวจเข้มวิธีฝึกที่ทำให้ติดตามพฤติกรรมโมเดลยาก ส่วนเหตุต้นเรื่องฝั่งสหรัฐอ่านเพิ่มได้ใน LASST ฟ้อง OpenAI กรณี agent ราว 700 ตัวเข้าระบบ Hugging Face ถ้า AI agent ขององค์กรไปเจาะระบบคนอื่น ใครต้องรับผิดตาม พ.ร.บ.คอมพิวเตอร์ไทย
AI Act ใช้กับโมเดลที่หลุดจากการทดสอบได้ไหม
ยังไม่มีคำตอบแน่ชัด เพราะข้อถกเถียงคือ AI Act ยกเว้นงานวิจัยและทดสอบ ทนายความจากสำนักงาน William Fry ให้ความเห็นว่ากฎหมาย “ไม่ใช้กับการพัฒนาและทดสอบ” แต่คณะกรรมาธิการตีความว่าถ้าโมเดลหลุดและกระทบตลาด EU กฎหมายเริ่มใช้ได้
ถ้าคณะกรรมาธิการชนะข้อโต้แย้ง ขอบเขตความรับผิดของผู้พัฒนา AI จะกว้างกว่าที่ตลาดคาด ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน ยังไม่ใช่ผลที่เกิดขึ้นแล้ว
EU AI Office กระทบธุรกิจไทยอย่างไร
EU AI Office กระทบธุรกิจไทยในฐานะห่วงโซ่เดียวกัน เพราะบริษัทไทยที่ใช้ API ของ OpenAI หรือ Anthropic หรือนำโมเดล AI ไปให้บริการในตลาด EU อาจถูกถามเอกสารความปลอดภัยต่อ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
บริษัทไทยที่ขาย AI ให้ลูกค้า EU ต้องเตรียมอะไร
ต้องเตรียมเอกสารความปลอดภัยและผลประเมินจากภายนอกไว้ล่วงหน้า เพราะเมื่อถูกขอจะไม่มีเวลาเขียนใหม่ ขอบเขตว่าใครอยู่ในกรอบ AI Act และต้องทำอะไรเมื่อไรสรุปไว้ใน คู่มือ: EU AI Act กระทบธุรกิจไทยอย่างไร: ใครอยู่ในขอบเขต และต้องทำอะไรเมื่อไร ส่วนมาตรา 50 เรื่องการติดป้าย AI อ่านต่อได้ใน AI Act บังคับแล้ว บริษัทไทยใช้ AI ต้องเช็ก 5 จุด ก่อนพลาดตลาด EU
องค์กรไทยที่ใช้ AI agent กับระบบจริงต้องตอบอะไรได้
ต้องตอบได้ว่ามีการจำกัดสิทธิ์ของ agent บันทึกพฤติกรรม และมีจุดหยุดฉุกเฉินหรือไม่ เพราะเหตุที่ EU ถามเกี่ยวกับ agent ที่ออกนอกขอบเขต คำถามเดียวกันจะถูกถามกับลูกค้าที่ใช้ agent ในระบบจริง ประเด็นสัญญาผู้ให้บริการ AI ที่ต้องมีสรุปไว้ใน OpenAI แจ้งเตือนองค์กรกว่า 100 แห่งว่า AI agent ทำงานล้ำเส้น ธุรกิจไทยต้องเช็กอะไรทันที และสัญญาผู้ให้บริการ AI ต้องมีข้อไหน
ร่าง พ.ร.บ. AI ไทยเกี่ยวกับเรื่องนี้อย่างไร
ตามการวิเคราะห์ของผู้เขียน ร่าง พ.ร.บ. AI ไทย (ฉบับรับฟังความเห็นเมื่อ ก.ค. 2569) ใช้แนวความเสี่ยงและความรับผิดคล้ายกับ EU ผลการตีความของ EU จึงอาจถูกหน่วยงานไทยอ้างอิง เช่น ETDA และ กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ตอนที่ร่างกฎหมายไทยพัฒนาต่อ
ถ้าไม่ทำอะไรเลย องค์กรไทยเสี่ยงอะไร
ถ้าไม่ทำอะไร องค์กรอาจถูกลูกค้า EU ขอเอกสารความปลอดภัยของ AI แล้วตอบไม่ได้ เสียสัญญา หรือเสียความน่าเชื่อถือกับคู่ค้า ส่วนองค์กรที่แค่ใช้ AI ก็เสี่ยงที่ผู้ขายถูกตรวจแล้วมีผลกระทบต่อบริการ โดยองค์กรไม่รู้ล่วงหน้า
อีกเรื่องคือไม่มีทะเบียน agent และบันทึกการทำงาน เมื่อเกิดเหตุจะไม่มีหลักฐานว่าองค์กรวางขอบเขตไว้แล้ว
บริษัทที่ใช้หรือขาย AI agent ควรทำอะไรตอนนี้
บริษัทที่ใช้หรือขาย AI agent ควรทำ 4 เรื่องเพื่อรับมือแรงกดดันจาก EU AI Office ก่อนถูกถาม
- 1. ตรวจรายงานเหตุและสิทธิ์ของ agent จากซัพพลายเออร์ AI ขอดูรายงานเหตุการณ์ความปลอดภัยและขอบเขตสิทธิ์ที่ตรวจสอบได้
- 2. เพิ่มข้อสัญญาแจ้งเหตุ AI หลุดควบคุม ให้ผู้ให้บริการแจ้งภายในกำหนด เมื่อโมเดลทำสิ่งนอกขอบเขตที่กระทบระบบหรือข้อมูลของบริษัท
- 3. ทำทะเบียนความเสี่ยง AI agent ตามกรอบ ISO 42001 จดว่าใช้ agent ตัวไหน เข้าระบบอะไร และมีจุดหยุดฉุกเฉินหรือไม่
- 4. เตรียมชุดเอกสารความปลอดภัยสำหรับลูกค้า EU รวมผลประเมินจากภายนอก บันทึกการทำงาน และขั้นตอนสอบสวนเหตุ
ถ้าต้องการคนช่วยวางชุดเอกสารนี้ ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ นี่เป็นการทดสอบครั้งแรกว่า AI Act ครอบคลุม “ความเสียหายจากโมเดลที่หลุดจากการทดสอบ” หรือไม่ ถ้าห้องแล็บถูกตีความว่าไม่มีกำแพงเมื่อเชื้อออกไปนอกห้อง ผู้พัฒนา AI ทุกรายต้องคิดใหม่ว่าการทดสอบ “ภายใน” ปลอดภัยแค่ไหน จุดที่องค์กรมักพลาดคือคิดว่าเรื่องนี้เป็นปัญหาของบริษัทใหญ่เท่านั้น ทั้งที่เอกสารที่ลูกค้า EU ขอจะไหลมาถึงผู้ใช้และผู้ขายต่อ ควรเริ่มจากทะเบียน agent ก่อน
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ EU AI Office
EU AI Office ปรับ OpenAI หรือ Anthropic แล้วหรือยัง
ยังไม่มี ตามรายงานของ Euronews ยังไม่มีการปรับหรือข้อกล่าวหา และยังไม่เปิดเผยว่าจะใช้มาตรการใดหากบริษัทไม่ตอบคำขอ
ทำไม EU AI Office มองว่าเอกสารของบริษัทไม่เพียงพอ
ตามรายงาน สำนักงานเห็นว่าเอกสารที่บริษัทส่งให้โดยสมัครใจ “ไม่เพียงพอ” จึงส่งคำขออย่างเป็นทางการ ต่อเรื่องความปลอดภัย การประเมินจากภายนอก และการติดตามการใช้โมเดล
AI Act ยกเว้นงานวิจัยและทดสอบจริงหรือไม่
ทนายความที่ Euronews อ้างเห็นว่า AI Act ไม่ใช้กับการพัฒนาและทดสอบ แต่คณะกรรมาธิการตีความว่าถ้าโมเดลหลุดและกระทบตลาด EU กฎหมายเริ่มใช้ได้ ประเด็นนี้ยังไม่มีคำตอบสุดท้าย
บริษัทไทยต้องกังวลเรื่อง EU AI Office หรือไม่
ต้องติดตามถ้าใช้ API ของผู้ให้บริการที่ถูกขอข้อมูล หรือนำโมเดล AI ไปให้บริการในตลาด EU เพราะอาจถูกลูกค้าขอเอกสารความปลอดภัยเพิ่มตามห่วงโซ่เดียวกัน
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- ISO 42001 กับ NIST AI RMF องค์กรไทยควรเริ่มอันไหนก่อน — ช่วยเลือกกรอบมาตรฐานสำหรับทะเบียนความเสี่ยง AI agent ที่ลูกค้าต่างประเทศมักขอดู (aipdpa.com)
แหล่งอ้างอิง
- Euronews — (อ่านต้นฉบับ) — อ่านข่าวที่ Euronews
- European Commission (Digital Strategy) — (อ่านต้นฉบับ) — อ่านประกาศที่ digital-strategy.ec.europa.eu
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
