บทนำ
ประเทศไทยกำลังขยับจากยุคที่องค์กร “ใช้ AI ก่อนแล้วค่อยคิดเรื่องกฎ” ไปสู่ยุคที่องค์กรต้องรู้ว่า AI ของตัวเองมีความเสี่ยงแค่ไหน โดย ETDA เผยแพร่ร่างกฎหมาย AI ฉบับใหม่เมื่อ 9 กรกฎาคม 2569 และเปิดรับความเห็นถึง 14 สิงหาคม 2569 ซึ่งขณะนี้พ้นช่วงรับฟังความคิดเห็นแล้ว และร่างยังอยู่ในกระบวนการพิจารณา ไม่ใช่กฎหมายที่มีผลบังคับใช้ในวันนี้
แต่สำหรับธุรกิจ ประเด็นสำคัญกว่าคำถามว่า “กฎหมายจะผ่านเมื่อไร” คือ “วันนี้เรารู้หรือยังว่า AI ที่บริษัทกำลังใช้อยู่จะไปอยู่ตรงไหนเมื่อกติกานี้มีผล”
AI กำลังเปลี่ยนจากเครื่องมือ IT เป็นเรื่องของความรับผิดชอบทางธุรกิจ
ลองนึกภาพบริษัทหนึ่งใช้ AI อยู่ 8 จุด
ฝ่ายขายใช้ AI เขียนข้อเสนอ
ฝ่าย HR ใช้ AI คัดเรซูเม่
ฝ่ายบริการลูกค้าใช้ chatbot
ฝ่ายการตลาดสร้างภาพและข้อความ
ฝ่ายกฎหมายใช้ AI อ่านสัญญา
ฝ่ายบัญชีใช้ AI วิเคราะห์เอกสาร
ฝ่ายผู้บริหารใช้ AI ช่วยประเมินข้อมูล
และพนักงานแต่ละคนก็สมัครใช้ AI ภายนอกด้วยตัวเอง
ในสายตาองค์กร นี่อาจดูเหมือนเป็น “โปรแกรมคนละตัว”
แต่ในมุมของกฎหมาย AI ทั้งหมดอาจกลายเป็นระบบที่ต้องตอบคำถามเหมือนกันว่า ใครเป็นผู้พัฒนา ใครให้บริการ ใครนำไปใช้ ข้อมูลมาจากไหน ระบบมีความเสี่ยงแค่ไหน และใครต้องรับผิดเมื่อผลลัพธ์ของ AI สร้างความเสียหาย
ร่างกฎหมายไทยใช้แนวทางจัดการตามระดับความเสี่ยง และวางกลุ่มที่อาจมีข้อห้าม กลุ่มที่อาจต้องแจ้งขึ้นทะเบียนหรือขอใบอนุญาต กลุ่ม High-Risk AI และระบบ AI อื่นที่ยังมีหน้าที่ตามกฎหมายทั่วไป โดยรายละเอียดสำคัญจำนวนมากจะไปอยู่ในกฎหมายหรือหลักเกณฑ์ลำดับรองในอนาคต
นี่ทำให้บริษัทไม่สามารถแก้ปัญหาด้วยการ “รอ checklist จากรัฐแล้วค่อยทำ” ได้ทั้งหมด
ข้อเท็จจริงที่ธุรกิจควรรู้เกี่ยวกับร่างกฎหมาย AI ไทย
ETDA เผยแพร่ร่างกฎหมายเมื่อ 9 กรกฎาคม 2569 และปิดรับฟังความคิดเห็นเมื่อ 14 สิงหาคม 2569 หลังจากนี้จึงเป็นขั้นตอนพิจารณาความเห็นและดำเนินกระบวนการทางกฎหมายต่อไป ส่วนกำหนดเวลาที่แน่นอนในการประกาศใช้ยังไม่สามารถยืนยันได้จากข้อมูลปัจจุบัน
สาระสำคัญที่ควรจับตา คือ ร่างกฎหมายไม่ได้มองเฉพาะบริษัทที่ “สร้าง AI” เท่านั้น แต่ครอบคลุมผู้พัฒนา ผู้ให้บริการ ผู้ใช้งาน และกิจกรรมบางประเภทที่เกี่ยวข้องกับการนำ AI ไปใช้งานหรือเผยแพร่เนื้อหาที่สร้างโดย AI อีกทั้งร่างมีแนวทางใช้กับกิจกรรมที่กระทบคนในประเทศไทย แม้กิจกรรมนั้นจะเกิดขึ้นนอกประเทศด้วย
อีกประเด็นที่ภาคธุรกิจควรจับตาคือ AI ที่มีความเสี่ยงสูงอาจต้องมีการควบคุมและจัดการที่เข้มข้นขึ้น ขณะที่ AI บางประเภทอาจอยู่ภายใต้การแจ้ง ขึ้นทะเบียน หรือการอนุญาตตามหลักเกณฑ์ที่จะกำหนดต่อไป
ร่างยังพูดถึงเรื่องที่ธุรกิจมักมองข้าม เช่น การทำเครื่องหมายแบบอ่านโดยเครื่องได้สำหรับเนื้อหาที่สร้าง หรือ แก้ไขด้วย AI ในกรณีที่เข้าหลักเกณฑ์ การเก็บรายงานบางประเภท การแต่งตั้งผู้ประสานงานในไทยสำหรับผู้ให้บริการ AI ความเสี่ยงสูงจากต่างประเทศ และเงื่อนไขสัญญาสำหรับบริการ AI ที่ใช้โดยหน่วยงานรัฐหรือองค์กรโครงสร้างพื้นฐานสำคัญ
ในมุมบทลงโทษ ร่างที่เผยแพร่ในปัจจุบันมีแนวคิดเรื่องค่าปรับทางปกครองสูงสุดถึง 5 ล้านบาทสำหรับการฝ่าฝืนร้ายแรง และยังเปิดทางให้เกิดความรับผิดร่วมระหว่างผู้ให้บริการและผู้ใช้งาน รวมถึงมาตรการเช่น ระงับบริการ เรียกคืนผลิตภัณฑ์ หรือหยุดการใช้งานในบางกรณี
ที่สำคัญ ปัจจุบันประเทศไทยยังไม่มี “กฎหมาย AI ฉบับเฉพาะ” ที่ใช้บังคับโดยตรงกับกิจกรรม AI ทุกประเภท ดังนั้นวันนี้องค์กรยังคงต้องพิจารณากฎหมายเดิมที่เกี่ยวข้อง เช่น PDPA กฎหมายคุ้มครองผู้บริโภค กฎหมายคอมพิวเตอร์ และกฎเฉพาะของแต่ละอุตสาหกรรมอยู่แล้ว
ผลกระทบต่อธุรกิจในประเทศไทย: ปัญหาไม่ได้อยู่ที่ “กฎหมายออกเมื่อไร” แต่อยู่ที่ “บริษัทไม่รู้ว่า AI อยู่ตรงไหน”
นี่คือจุดที่ธุรกิจไทยควรเริ่มจริงจัง
สมมติบริษัทหนึ่งซื้อ AI จากผู้ให้บริการต่างประเทศ พนักงานนำข้อมูลลูกค้าเข้าไปวิเคราะห์ และฝ่ายบริหารนำผลลัพธ์ไปใช้ประกอบการตัดสินใจ บริษัทอาจมองว่านี่เป็นเพียงการซื้อซอฟต์แวร์หนึ่งตัว แต่เมื่อมองผ่านกรอบ AI Governance จะเกิดคำถามอย่างน้อย 5 ชั้นทันที: ระบบนี้ทำอะไร ข้อมูลอะไรไหลเข้า ใครควบคุมระบบ ความผิดพลาดมีผลต่อคนอย่างไร และเมื่อเกิดปัญหาใครต้องรับผิด
ร่างกฎหมายยิ่งทำให้ประเด็นนี้สำคัญ เพราะขอบเขตไม่ได้หยุดอยู่ที่ผู้สร้างโมเดล แต่กระจายไปตามวงจรของ AI และอาจเกี่ยวข้องกับแพลตฟอร์ม ผู้ให้บริการ และผู้ใช้งานด้วย
สำหรับ SME ผลกระทบอาจไม่ได้เริ่มจากค่าปรับ แต่เริ่มจากต้นทุนการแก้ระบบ หากวันนี้ยังไม่มีทะเบียนว่าองค์กรใช้ AI ตัวไหนอยู่บ้าง เมื่อหลักเกณฑ์ใหม่ออกมา ฝ่าย IT อาจต้องไล่หาสินทรัพย์ AI ฝ่ายกฎหมายต้องตรวจสัญญา ฝ่าย PDPA ต้องตรวจการใช้ข้อมูล ฝ่าย HR ต้องตรวจการตัดสินใจที่กระทบพนักงาน และฝ่ายบริหารต้องจัดลำดับความเสี่ยงพร้อมกัน
สำหรับองค์กรขนาดใหญ่ ความเสี่ยงสูงขึ้นอีก เพราะร่างกฎหมายเปิดประเด็นเรื่องสัญญาควบคุม การถ่ายโอนข้อมูล ความมั่นคงปลอดภัย การจัดการความเสี่ยง และข้อกำหนดบางประเภทที่อาจกระทบองค์กรรัฐหรือโครงสร้างพื้นฐานสำคัญโดยตรง
ส่วนบริษัทที่ใช้บริการ AI จากต่างประเทศไม่ควรคิดว่า “ผู้ให้บริการอยู่ต่างประเทศจึงไม่เกี่ยวกับไทย” เพราะร่างกำหนดแนวทางที่มีผลกับกิจกรรมที่กระทบคนในประเทศไทย และยังมีแนวคิดให้ผู้ให้บริการ AI ความเสี่ยงสูงจากต่างประเทศต้องมีผู้ประสานงานในไทยตามหลักเกณฑ์ที่กำหนด
ดังนั้น สิ่งที่บริษัทควรทำตอนนี้ไม่ใช่การซื้อ software compliance แพงๆ แต่คือการทำให้ตอบได้ว่า “AI ของเราอยู่ตรงไหน ใครรับผิดชอบ และความเสี่ยงอยู่ตรงไหน”
นี่คือช่องว่างที่สื่อจำนวนมากพูดถึงน้อยกว่าคำถามว่า “กฎหมายผ่านหรือยัง”
สิ่งที่ควรทำต่อ
- ทำ AI Inventory อย่างน้อย 1 รายการรวมทุก AI ที่องค์กรใช้งานจริง ทั้งเครื่องมือที่บริษัทซื้อและเครื่องมือที่พนักงานสมัครใช้เอง
- ระบุในแต่ละระบบว่าใช้ข้อมูลอะไร มีข้อมูลส่วนบุคคลหรือไม่ ข้อมูลถูกส่งไปที่ใด และใครเป็นผู้รับผิดชอบ
- แบ่ง AI ตามระดับผลกระทบ เช่น ใช้ช่วยเขียนข้อความ กับ AI ที่ใช้คัดเลือกผู้สมัครหรือช่วยตัดสินใจเรื่องลูกค้า ไม่ควรถือว่าเป็นความเสี่ยงระดับเดียวกัน
- ตรวจสัญญากับผู้ให้บริการ AI โดยเฉพาะเรื่องการนำข้อมูลไปใช้ต่อ ความปลอดภัย การเก็บข้อมูล การส่งข้อมูลข้ามประเทศ และการยกเลิกบริการ
- ตั้งกระบวนการอนุมัติ AI ใหม่ก่อนนำไปใช้จริง เพื่อไม่ให้พนักงานแต่ละฝ่ายสร้าง “เงา AI” ภายในองค์กรโดยไม่มีเจ้าของหรือหลักฐานการควบคุม
มุมมองผู้เชี่ยวชาญ
“ผมมองว่าบริษัทไม่ควรรอให้กฎหมาย AI เสร็จก่อนแล้วค่อยเริ่ม เพราะวันที่กฎหมายออก สิ่งที่แก้ยากที่สุดไม่ใช่ตัว AI แต่คือกระบวนการของบริษัท ถ้าวันนี้เรายังไม่รู้ว่าใช้ AI ตัวไหน ใช้ข้อมูลอะไร และใครเป็นคนรับผิดชอบ วันนั้นจะเริ่มจากศูนย์”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
Rajah & Tann Asia — “Thailand’s Proposed AI Law: Moving Towards a Risk-Based Regulatory Framework”, เผยแพร่ 28 กรกฎาคม 2569
อ่านบทความต้นฉบับจาก Rajah & Tann Asia
สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) — ข้อมูลทิศทางการจัดทำกฎหมาย AI และ AI Governance ของประเทศไทย
Baker McKenzie — “Thailand: Draft AI Act – Seven Key Implications”, 16 กรกฎาคม 2569
Nagashima Ohno & Tsunematsu — “Thailand Takes a Significant Step Towards AI Regulation with New Draft AI Act”, สิงหาคม 2569
