บทนำ
ถ้าคุณเปิดร้านออนไลน์แล้วใช้แชตบอตตอบลูกค้า ใช้ AI ช่วยคัดใบสมัครงาน หรือใช้ AI ทำภาพโฆษณา คุณอาจกำลังคิดว่า “ร่างกฎหมาย AI ฉบับแรกของไทยไม่เกี่ยวกับเรา เพราะเราไม่ได้สร้าง AI” และนั่นคือ ความเข้าใจผิดที่แพงที่สุดในเวลานี้ เพราะจากรายงานของ Policy Watch ไทยพีบีเอส ร่างพระราชบัญญัติว่าด้วยปัญญาประดิษฐ์ที่รัฐบาลตั้งเป้าเข้าสู่กระบวนการนิติบัญญัติภายในเดือนกันยายน 2569 นี้ แบ่งคนออกเป็นสองกลุ่ม คือ “ผู้ให้บริการ” กับ “ผู้ประยุกต์ใช้” และธุรกิจไทยส่วนใหญ่อยู่ในกลุ่มหลัง ซึ่งมีหน้าที่ตามกฎหมายด้วยเช่นกัน
ข้อเท็จจริง
กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) ร่วมกับสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) กำลังผลักดันร่างกฎหมายกลางด้าน AI ฉบับแรกของประเทศ โดยหลักคิดสำคัญไม่ใช่การ “ห้ามใช้ AI” แต่เป็นการดูแลตามระดับความเสี่ยง (Risk-based Regulation) แบบเดียวกับที่สหภาพยุโรปใช้ พูดง่ายๆ คือ AI ที่เสี่ยงน้อยก็ทำธุรกิจได้ตามปกติ ส่วน AI ที่เสี่ยงสูงจนอาจกระทบสิทธิหรือความปลอดภัยของประชาชนจึงจะถูกกำกับเข้มขึ้น
โครงสร้างการกำกับดูแลก็น่าสนใจ เพราะไม่ได้รวมศูนย์ไว้ที่หน่วยงานเดียว แต่ให้หน่วยงานกำกับในแต่ละวงการ เช่น การเงิน สาธารณสุข หรือคมนาคม ดูแล AI ในสนามของตัวเอง เพราะเข้าใจบริบทดีที่สุด โดยมีคณะกรรมการระดับชาติทำหน้าที่ชี้ขาดว่า AI ประเภทไหนควรถูกจัดเป็น “ความเสี่ยงสูง”
ในฝั่งของสิ่งที่ห้ามชัดเจน ร่างกฎหมายพูดถึงการใช้ AI เลือกปฏิบัติต่อคนอย่างไม่เป็นธรรมในวงกว้าง และ การใช้เทคนิคสื่อสารแบบแฝงเร้นเพื่อบิดเบือนการตัดสินใจของคน ส่วนเรื่อง Deepfake มีมาตรการความโปร่งใสถึง 4 ระดับ ตั้งแต่ผู้พัฒนาระบบที่ต้องทำให้เครื่องตรวจจับได้ว่าอะไรสร้างด้วย AI ผู้ใช้งานทั่วไปที่ต้องบอกให้คนรู้เมื่อเผยแพร่เนื้อหาที่ AI สร้างในกรณีเสี่ยง ไปจนถึงแพลตฟอร์มที่ต้องมีระบบตรวจจับและติดป้ายกำกับ
ขณะเดียวกันร่างกฎหมายก็มีด้านส่งเสริม ทั้ง AI Sandbox สำหรับทดลองเทคโนโลยี การจัดทำมาตรฐาน และการเปิดให้ภาคเอกชนเสนอแนวปฏิบัติกำกับดูแลตนเองให้รัฐรับรอง ส่วนหน่วยงานรัฐเองก่อนนำ AI มาให้บริการประชาชนจะต้องทำการประเมินผลกระทบด้านจริยธรรม (Ethical Impact Assessment) ก่อน และผู้ให้บริการ AI ต่างชาติที่ไม่มีที่ตั้งในไทยจะต้องตั้งผู้ประสานงานในประเทศ
ผลกระทบต่อธุรกิจในประเทศไทย
หัวใจที่ธุรกิจไทยต้องจับให้ได้คือคำว่า “ผู้ประยุกต์ใช้” (Deployer) เพราะร่างกฎหมายไม่ได้วางภาระไว้ที่ผู้พัฒนา AI เพียงฝ่ายเดียว แต่กำหนดว่าเมื่อระบบใดถูกจัดเป็น AI ความเสี่ยงสูง องค์กรที่นำระบบนั้นไปใช้จะมีหน้าที่บริหารความเสี่ยงภายในองค์กรทันที ทั้งการประเมินความเสี่ยงหรือติดตามผลกระทบ และวางมาตรการลดความเสี่ยงอย่างต่อเนื่อง แปลเป็นภาษาธุรกิจคือ บริษัทที่ซื้อซอฟต์แวร์ AI สำเร็จรูปมาใช้คัดกรองผู้สมัครงาน ประเมินสินเชื่อ หรือ คัดกรองผู้ป่วยเบื้องต้น จะอ้างไม่ได้ว่า “เราแค่ซื้อเขามาใช้ ผู้ขายต้องรับผิดชอบเอง”
จุดนี้ คือ ความแตกต่างที่หลายคนมองข้าม เพราะเมื่อพูดถึงกฎหมาย AI ธุรกิจไทยมักนึกถึงบริษัทเทคโนโลยีใหญ่ๆ ทั้งที่คนที่ต้องปรับตัวจริงคือธุรกิจขนาดกลางและเล็กที่ใช้ AI เป็นเครื่องมือประจำวัน
ข่าวดี คือโครงสร้างนี้ไม่ใช่เรื่องใหม่สำหรับคนไทย เพราะมันล้อกับ PDPA ที่แบ่งเป็นผู้ควบคุมข้อมูลกับผู้ประมวลผลข้อมูลอย่างชัดเจน องค์กรที่เคยทำ PDPA มาแล้วจะได้เปรียบทันที เพราะมีทั้งทะเบียนระบบ กระบวนการประเมินความเสี่ยง และวัฒนธรรมการทำเอกสารกำกับอยู่แล้ว สิ่งที่ต้องทำเพิ่มคือขยายจาก “ข้อมูลส่วนบุคคลไหลไปไหนบ้าง” มาเป็น “AI ตัวไหนในองค์กรกำลังตัดสินใจอะไรแทนคน”
อีกกลุ่มที่จะโดนเต็มๆ แบบไม่ทันตั้งตัวคือสายการตลาด เอเจนซี่ และครีเอเตอร์ เพราะมาตรการความโปร่งใสเรื่องเนื้อหาที่ AI สร้างจะเปลี่ยนวิธีทำงานโดยตรง จากเดิมที่ใช้ AI ทำภาพ หรือ คลิปแล้วเผยแพร่ได้เลย ต่อไปในกรณีที่เข้าเงื่อนไขความเสี่ยง จะมีหน้าที่ทำให้ผู้รับสารรู้ว่านี่คือผลงานที่ AI สร้าง ซึ่งกระทบทั้งกระบวนการผลิต การเก็บหลักฐาน และสัญญาจ้างระหว่างแบรนด์กับเอเจนซี่ที่ควรระบุความรับผิดชอบเรื่องนี้ให้ชัดตั้งแต่วันนี้
สุดท้าย บทเรียนจาก PDPA บอกเราชัดว่าองค์กรไทยมักรอจนใกล้วันบังคับใช้แล้วค่อยวิ่ง ซึ่งแพงกว่าและเจ็บกว่าการทยอยเตรียมตัวล่วงหน้าเสมอ
สิ่งที่ควรทำต่อ
- ทำบัญชีรายการ AI ในองค์กร (AI Inventory) ว่ามีเครื่องมือ AI อะไรใช้อยู่บ้าง ใครเป็นเจ้าของระบบ และแต่ละตัวถูกใช้ตัดสินใจเรื่องอะไร โดยเฉพาะเรื่องที่กระทบสิทธิของคน เช่น การจ้างงาน การให้สินเชื่อ หรือการประเมินสุขภาพ
- ระบุสถานะของตัวเองให้ชัด ว่าในแต่ละระบบ องค์กรคุณเป็น “ผู้ให้บริการ” หรือ “ผู้ประยุกต์ใช้” เพราะหน้าที่ตามกฎหมายจะต่างกัน
- ต่อยอดจากเอกสาร PDPA ที่มีอยู่แล้ว นำทะเบียนกิจกรรมประมวลผลข้อมูลและกระบวนการประเมินผลกระทบมาขยายให้ครอบคลุมการใช้ AI แทนการเริ่มใหม่จากศูนย์
- วางแนวปฏิบัติเรื่องเนื้อหาที่ AI สร้าง ตั้งแต่ตอนนี้ ทั้งการติดป้ายกำกับ การเก็บหลักฐานว่าชิ้นงานไหนใช้ AI และการระบุความรับผิดชอบในสัญญาจ้างกับเอเจนซี่หรือฟรีแลนซ์
- ติดตามความเคลื่อนไหวของหน่วยงานกำกับในวงการของคุณ เพราะร่างกฎหมายใช้แนวทางกระจายอำนาจ กติกาที่กระทบคุณจริงอาจมาจากหน่วยงานกำกับภาคส่วนของคุณเอง ไม่ใช่จากกฎหมายกลางฉบับเดียว
มุมมองผู้เชี่ยวชาญ
“ผมอยากให้ทุกคนจำประโยคเดียวสั้นๆ ครับ – คุณไม่ต้องสร้าง AI ก็มีหน้าที่ตามกฎหมาย AI ได้ ที่ผ่านมา ผมเห็นเจ้าของธุรกิจหลายคนอ่านข่าวกฎหมาย AI แล้วเลื่อนผ่าน เพราะคิดว่าเป็นเรื่องของบริษัทเทคใหญ่ๆ แต่พอเปิดร่างจริงๆ กลับพบว่าคำว่า ‘ผู้ประยุกต์ใช้’ นี่แหละ คือ ตัวคุณ ถ้าคุณเอา AI ไปใช้ตัดสินใจแทนคน คุณก็อยู่ในสมการนี้แล้ว ข่าวดี คือ ใครที่ทำ PDPA ไว้ดีอยู่แล้ว ถือว่าวิ่งไปได้ครึ่งทางแล้วครับ เพราะโครงสร้างมันคล้ายกันมาก แค่เปลี่ยนคำถามจาก ‘ข้อมูลไหลไปไหน’ เป็น ‘AI ตัวไหนกำลังตัดสินใจแทนเรา’ อย่ารอให้ประกาศในราชกิจจานุเบกษาแล้วค่อยเริ่มนะครับ”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
บทความนี้เรียบเรียงและวิเคราะห์จากรายงาน “เปิดร่างกฏหมาย AI ฉบับแรก มุ่งคุมใช้งานมีความเสี่ยงสูง” เผยแพร่โดย Policy Watch — องค์การกระจายเสียงและแพร่ภาพสาธารณะแห่งประเทศไทย (Thai PBS) อ่านต้นฉบับเต็มได้ที่: https://policywatch.thaipbs.or.th/article/government-364
ข้อมูลประกอบเพิ่มเติมจากประกาศของสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) เรื่องการเปิดรับฟังความเห็นต่อร่างหลักการกฎหมายว่าด้วยปัญญาประดิษฐ์: https://www.etda.or.th/th/pr-news/law_ai.aspx
