เมื่อกฎหมายยังอยู่ระหว่างทาง แต่ธุรกิจต้องเดินต่อ
ในช่วงกลางปี 2569 ภาพใหญ่ของการกำกับเทคโนโลยีไทยเริ่มเปลี่ยนไปอย่างชัดเจน จากเดิมที่เรามักถามว่า “รัฐบาลจะออกกฎหมายอะไร” กลายเป็นคำถามใหม่ว่า “องค์กรต้องปรับอะไรแล้วบ้าง”
บทวิเคราะห์ของ Tech For Good Institute ซึ่งเผยแพร่เมื่อวันที่ 19 สิงหาคม 2569 มองว่าไทยเริ่มเปลี่ยนจากการวางนโยบายด้าน AI, Cybersecurity และเศรษฐกิจดิจิทัล ไปสู่การนำกลไกเหล่านั้นมาใช้จริง ขณะที่กฎหมายสำคัญบางฉบับยังอยู่ในขั้นร่างหรือรับฟังความคิดเห็น
แต่สำหรับธุรกิจ สิ่งที่น่าสนใจกว่าคือ ไทยอาจไม่ได้เดินเข้าสู่ยุค AI Governance เมื่อ พ.ร.บ. AI ประกาศใช้เท่านั้น เพราะการกำกับดูแลเริ่มเกิดขึ้นก่อนหน้านั้นแล้ว
ข้อเท็จจริง: ประเทศไทยกำลังสร้างระบบกำกับเทคโนโลยีทีละชั้น
ร่างกฎหมาย AI ที่ ETDA เปิดรับฟังความคิดเห็นตั้งแต่วันที่ 9 กรกฎาคม ถึง 14 สิงหาคม 2569 ถือเป็นก้าวสำคัญ เพราะเสนอให้การกำกับ AI เปลี่ยนจากแนวทางและกลไกเชิงนโยบาย ไปสู่กรอบกฎหมายที่มีการแบ่งระดับความเสี่ยง รวมถึงข้อกำหนดเกี่ยวกับ AI ที่มีความเสี่ยงสูง การเปิดเผยเนื้อหาที่สร้างโดย AI และกลไกกำกับดูแลในระดับประเทศ
อย่างไรก็ตาม ณ วันที่ 25 สิงหาคม 2569 การรับฟังความคิดเห็นได้สิ้นสุดลงแล้ว และร่างดังกล่าวยังไม่ใช่กฎหมายที่มีผลใช้บังคับ ธุรกิจจึงไม่ควรตีความว่าหน้าที่ตามร่างทั้งหมดกลายเป็นข้อบังคับทันที
สิ่งที่เกิดขึ้นจริงและน่าสนใจกว่า คือ ในเวลาเดียวกันภาครัฐกำลังสร้างเครื่องมือที่ช่วยให้องค์กร “จัดการ AI” ได้ก่อนกฎหมายฉบับใหญ่จะเสร็จ เช่น AI EIA Playbook & Toolkits และการทำ AI Red Teaming ซึ่งถูกนำเสนอใน AI Governance Week 2026 เพื่อผลักดันให้การประเมินความเสี่ยงของ AI เกิดขึ้นในทางปฏิบัติ
ด้านข้อมูลส่วนบุคคลก็มีการขยับจากหลักการไปสู่กลไกใช้งานจริง โดย PDPC ออกหลักเกณฑ์เกี่ยวกับ Binding Corporate Rules (BCR) สำหรับกลุ่มบริษัทที่ต้องโอนข้อมูลส่วนบุคคลข้ามประเทศ ซึ่งประกาศในเดือนกุมภาพันธ์ 2569 และกำหนดกระบวนการให้ธุรกิจยื่นขอการรับรองได้
ฝั่ง Digital Platform ก็เช่นกัน ไทยมีแนวทางของคณะกรรมการการแข่งขันทางการค้าที่เริ่มใช้ตั้งแต่เดือนมีนาคม 2569 โดยพิจารณาพฤติกรรมอย่างการตั้งราคาต่ำกว่าทุน การให้สิทธิพิเศษแก่สินค้าของตัวเอง การจัดอันดับร้านค้า และการนำข้อมูลของคู่ค้าไปใช้
ส่วน Digital Finance ไทยก็ขยับจากขั้น “อนุมัติ” มาสู่ขั้น “เปิดให้บริการ” โดยธนาคารแห่งประเทศไทยระบุว่าผู้ได้รับความเห็นชอบจัดตั้ง Virtual Bank จำนวน 3 รายมีกรอบเวลาเตรียมความพร้อมก่อนเริ่มดำเนินธุรกิจ
ภาพทั้งหมดจึงมีจุดร่วมเดียวกัน
ประเทศไทยกำลังสร้างกติกา เครื่องมือ และกลไกบังคับใช้ไปพร้อมกับการพัฒนาเทคโนโลยี ไม่ได้รอให้กฎหมายฉบับเดียวเสร็จก่อน
ผลกระทบต่อธุรกิจในประเทศไทย
นี่คือจุดที่ธุรกิจไทยควรให้ความสนใจมากที่สุด เพราะคำว่า “กฎหมายยังไม่เสร็จ” อาจทำให้ผู้บริหารเข้าใจผิดว่า “ยังไม่ต้องทำอะไร”
ความจริงคือองค์กรจำนวนมากมีหน้าที่หรือความเสี่ยงจากกฎหมายเดิมอยู่แล้ว เช่น PDPA, กฎหมายคุ้มครองผู้บริโภค, กฎหมายภาคการเงิน, Cybersecurity และกฎเฉพาะของแต่ละอุตสาหกรรม เมื่อองค์กรนำ AI เข้ามา AI จึงไม่ได้ทำให้กฎหมายเดิมหายไป แต่กลับทำให้กฎหมายหลายชุดมาเกี่ยวข้องกับกระบวนการเดียวกันมากขึ้น
ลองนึกภาพง่าย ๆ บริษัทหนึ่งใช้ AI ช่วยคัดกรองผู้สมัครงาน ใช้ระบบสร้างข้อความการตลาด ใช้ AI วิเคราะห์ลูกค้า และส่งข้อมูลบางส่วนไปประมวลผลกับผู้ให้บริการ Cloud ต่างประเทศ
ต่อให้ พ.ร.บ. AI ยังไม่ผ่าน บริษัทนี้ก็ยังต้องถามว่า ข้อมูลที่ส่งเข้า AI เป็นข้อมูลส่วนบุคคลหรือไม่ ใครเป็นผู้ประมวลผลข้อมูล ข้อมูลถูกส่งออกนอกประเทศหรือไม่ สัญญากับ Vendor ครอบคลุมเรื่องใดบ้าง และผลลัพธ์จาก AI ถูกนำไปใช้ตัดสินใจต่อบุคคลหรือไม่
เมื่อร่าง AI Act เดินหน้าต่อ สิ่งที่บริษัทต้องทำก็จะไม่ใช่การ “เริ่มจากศูนย์” แต่คือการนำระบบที่มีอยู่มาเติมส่วนที่เกี่ยวกับความเสี่ยง AI ให้ละเอียดขึ้น
ดังนั้น ผลกระทบทางธุรกิจที่สำคัญที่สุดอาจไม่ใช่ค่าปรับในวันหนึ่งวันใด แต่คือ ต้นทุนในการปรับองค์กรย้อนหลัง
บริษัทที่ไม่มีทะเบียนการใช้ AI ไม่มีเจ้าของ Use Case ไม่มีการประเมินความเสี่ยง และไม่มีหลักเกณฑ์เลือก Vendor อาจต้องใช้เงินและเวลามากกว่าบริษัทที่เริ่มจัดระบบไว้ตั้งแต่ตอนนี้
ในทางกลับกัน บริษัทที่ทำ AI Governance ตั้งแต่วันนี้จะได้ประโยชน์สองทาง คือ ลดความเสี่ยงจากกฎหมายที่ใช้อยู่แล้ว และพร้อมรับกฎใหม่โดยไม่ต้องรื้อระบบทั้งหมดในภายหลัง
นี่จึงเป็นเรื่องของ Business Readiness มากกว่า Legal Compliance เพียงอย่างเดียว
สิ่งที่ควรทำต่อ
1. ทำบัญชี AI ที่องค์กรใช้อยู่
ไม่ว่าจะเป็น ChatGPT, Copilot, AI ฝ่าย HR, AI วิเคราะห์ลูกค้า หรือระบบ AI ที่ Vendor ให้บริการ ควรรู้ว่าแต่ละระบบใช้ทำอะไร ใครเป็นเจ้าของ และเกี่ยวข้องกับข้อมูลประเภทใด
2. แยก AI ตามระดับความเสี่ยง
อย่าปฏิบัติต่อ AI ทุกตัวเหมือนกัน ระบบช่วยเขียนอีเมลกับระบบที่ใช้ประกอบการตัดสินใจเกี่ยวกับลูกค้า พนักงาน หรือสินเชื่อมีความเสี่ยงไม่เท่ากัน
3. ตรวจ Vendor และสัญญาให้ละเอียดขึ้น
ถามให้ชัดว่า AI ประมวลผลข้อมูลที่ไหน มีการนำข้อมูลไปฝึกโมเดลหรือไม่ มีมาตรการรักษาความปลอดภัยอะไร และข้อมูลถูกส่งไปประเทศใด
4. เชื่อม AI Governance เข้ากับ PDPA
อย่าแยกทีม AI กับทีม Privacy ออกจากกันโดยสิ้นเชิง เพราะหลาย Use Case ใช้ข้อมูลส่วนบุคคลเป็นวัตถุดิบเดียวกัน
5. ทำระบบไว้ก่อนกฎหมายเสร็จ
ไม่จำเป็นต้องรอ พ.ร.บ. AI ประกาศใช้จึงค่อยเริ่มทำ Governance โดยเฉพาะองค์กรขนาดกลางและใหญ่ที่มี AI หลายระบบ เพราะการจัดระเบียบข้อมูลและกระบวนการต้องใช้เวลา
มุมมองผู้เชี่ยวชาญ
“ผมมองว่าความผิดพลาดที่ธุรกิจไทยไม่ควรทำ คือ รอให้กฎหมาย AI ออกก่อนแล้วค่อยเริ่ม Governance เพราะตอนนั้นสิ่งที่ต้องแก้อาจไม่ใช่แค่เอกสาร แต่เป็นทั้งระบบ วิธีทำงาน และสัญญากับ Vendor”
“ตอนนี้บริษัทไม่จำเป็นต้องเดาว่ากฎหมายสุดท้ายจะเขียนออกมาอย่างไรทุกมาตรา แต่ควรเริ่มจากคำถามง่าย ๆ ก่อนว่า เราใช้ AI อะไร ใช้ข้อมูลอะไร ใครรับผิดชอบ และถ้า AI ตัดสินใจพลาด เราอธิบายให้ลูกค้าหรือหน่วยงานกำกับได้หรือไม่”
“พูดง่าย ๆ คือ อย่ารอให้กฎหมายมาบังคับให้บริษัทเราต้องเตรียมเพร้อม เพราะวันที่กฎหมายมาถึง อาจใหญ่เกินกว่าที่บริษัทจะจัดการทุกอย่างได้ทัน”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
ต้นทาง: Tech For Good Institute — Governance Meets Reality: Thailand Tech Governance at Mid-2026 เผยแพร่ 19 สิงหาคม 2569
อ่านบทความต้นฉบับจาก Tech For Good Institute
แหล่งอ้างอิงเพิ่มเติม: ETDA — AI Governance Week 2026
แหล่งอ้างอิงเพิ่มเติม: Bank of Thailand — Virtual Bank
แหล่งอ้างอิงเพิ่มเติม: Norton Rose Fulbright — Thailand BCR framework
แหล่งอ้างอิงเพิ่มเติม: Baker McKenzie — Thailand Draft AI Act
