บทนำ
ประเทศไทยเดินหน้าเข้าใกล้กฎหมาย AI ฉบับแรก หลัง ETDA เผยแพร่ร่างกฎหมายเมื่อ 9 กรกฎาคม 2569 และปิดรับฟังความคิดเห็นเมื่อ 14 สิงหาคมที่ผ่านมา หากผ่านกระบวนการต่อไป กฎหมายฉบับนี้จะไม่ได้กระทบเฉพาะบริษัทที่สร้าง AI แต่รวมถึงธุรกิจที่ “นำ AI มาใช้” และผู้ให้บริการจากต่างประเทศที่ระบบของตนส่งผลต่อคนในประเทศไทยด้วย
แต่คำถามที่ธุรกิจควรถามวันนี้ ไม่ใช่ “กฎหมายจะผ่านเมื่อไร?”
คำถามที่สำคัญกว่าคือ “ตอนนี้บริษัทเรากำลังใช้ AI อะไรอยู่ และถ้า AI ตัวนั้นสร้างความเสียหาย ใครจะเป็นคนรับผิด?”
“กฎหมายอาจยังไม่บังคับ แต่ความเสี่ยงของ AI เริ่มเกิดขึ้นตั้งแต่วันที่องค์กรนำมันไปใช้แล้ว”
ข้อเท็จจริง: สิ่งที่เปลี่ยนไปจากการกำกับ AI แบบเดิม
ร่างกฎหมาย AI ที่ ETDA เปิดรับฟังความคิดเห็นใช้แนวคิดสำคัญคือ กำกับตามระดับความเสี่ยง หมายความว่า AI ที่อาจสร้างผลกระทบสูงจะถูกควบคุมมากกว่าการใช้งานทั่วไป โดยกรอบที่ถูกรายงานถึงประกอบด้วย AI ที่ไม่ควรอนุญาต ระบบที่มีความเสี่ยงสูง ระบบที่อยู่ภายใต้ใบอนุญาต และระบบที่ต้องเปิดเผยข้อมูลเพื่อความโปร่งใส เช่น Deepfake, Chatbot และ Generative AI
ประเด็นที่ธุรกิจไม่ควรมองข้ามคือ ขอบเขตของกฎหมายไม่ได้หยุดอยู่แค่บริษัทไทย
แนวทางในร่างกฎหมายมีผลในลักษณะที่อาจครอบคลุมระบบ AI ที่พัฒนาหรือ ให้บริการจากต่างประเทศ หากกิจกรรมนั้นส่งผลต่อบุคคลในประเทศไทย นั่นหมายความว่าองค์กรไทยที่ซื้อบริการ AI จากผู้ให้บริการต่างประเทศอาจต้องกลับมาดูทั้งระบบและสัญญาที่ใช้อยู่ ไม่ใช่ดูเฉพาะว่าบริษัทของตนจดทะเบียนอยู่ที่ไหน
อีกจุดที่น่าสนใจคือแนวทางความรับผิดและการบังคับใช้ ร่างกฎหมายถูกวิเคราะห์ว่ามีทั้งความรับผิดร่วมและความรับผิดในระดับที่เข้มขึ้น รวมถึงอำนาจในการสั่งระงับการให้บริการ หยุดการใช้งาน เรียกคืน หรือ บล็อกระบบในประเทศไทย ขณะที่แหล่งกฎหมายล่าสุดระบุถึงโทษทางปกครองสูงสุด 5 ล้านบาท ในบางกรณีของการฝ่าฝืนร้ายแรง
“โจทย์ใหม่ของบริษัทอาจไม่ใช่ ‘เราใช้ AI หรือไม่’ แต่คือ ‘เราใช้ AI ตัวไหน กับข้อมูลอะไร และใครควบคุมความเสี่ยงของมัน’”
ขณะเดียวกัน ร่างกฎหมายยังอยู่ในขั้นตอนก่อนเป็นกฎหมายที่ใช้บังคับจริง รายละเอียดในทางปฏิบัติยังต้องพึ่งกฎหรือหลักเกณฑ์เพิ่มเติม และยังมีโอกาสเปลี่ยนแปลงระหว่างกระบวนการนิติบัญญัติ
ผลกระทบต่อธุรกิจในประเทศไทย: ปัญหาอาจเริ่มจาก “Vendor” ก่อนกฎหมาย
จุดที่ธุรกิจไทยควรรีบคิด ไม่ใช่การรีบซื้อซอฟต์แวร์ Compliance แต่คือ การรู้ก่อนว่าบริษัทกำลังใช้ AI ที่ไหนบ้าง
ลองนึกภาพบริษัทหนึ่งที่ใช้ AI ช่วยตอบลูกค้า ใช้ AI สรุปรายงานประชุม ใช้ AI คัดกรองใบสมัครงาน และให้ฝ่ายขายใช้ AI สร้างข้อเสนอให้ลูกค้า ทั้งหมดอาจไม่ได้ถูกเรียกว่า “โครงการ AI” ในองค์กรเลยด้วยซ้ำ แต่เมื่อมองรวมกัน นี่คือระบบ AI หลายจุดที่กำลังประมวลผลข้อมูลจริงของธุรกิจและลูกค้า
ปัญหาคือหลายองค์กรไม่ได้เก็บข้อมูลว่า AI แต่ละตัวมาจาก Vendor ใด ข้อมูลถูกส่งไปที่ประเทศไหน ใครสามารถเข้าถึงข้อมูลได้ มีการเก็บข้อมูลไว้นานเท่าไร และในสัญญาระบุไว้อย่างไรเมื่อ AI เกิดความเสียหาย
เรื่องนี้จะยิ่งสำคัญเมื่อร่างกฎหมายมีแนวโน้มครอบคลุมผู้ให้บริการต่างประเทศ และอาจกำหนดเงื่อนไขเฉพาะสำหรับผู้ให้บริการที่ทำงานกับหน่วยงานรัฐหรือโครงสร้างพื้นฐานสำคัญ รวมถึงประเด็นเรื่องสัญญาและการจัดเก็บข้อมูลในบางกรณี
ดังนั้น AI Governance ในทางธุรกิจอาจกำลังเปลี่ยนจากเรื่องของฝ่าย IT ไปเป็นเรื่องของ Legal + Procurement + Security + Business Owner พร้อมกัน
บริษัทที่รอให้กฎหมายมีผลก่อนจึงค่อยตรวจสอบ Vendor อาจพบว่าต้องแก้สัญญาจำนวนมากในเวลาเดียวกัน ต้องเปลี่ยนระบบบางตัว หรืออาจไม่สามารถอธิบายได้ด้วยซ้ำว่า AI ตัวใดทำงานกับข้อมูลสำคัญขององค์กรอยู่
ในทางกลับกัน บริษัทที่เริ่มทำ AI Inventory + Risk Classification ตั้งแต่ตอนนี้จะได้ฐานข้อมูลสำคัญไว้รองรับกฎหมายในภายหลัง แม้รายละเอียดของกฎหมายสุดท้ายจะเปลี่ยนไปก็ตาม
และนี่คือประเด็นที่สำคัญมาก: องค์กรไม่จำเป็นต้องรอให้กฎหมายเสร็จ 100% เพื่อเริ่มบริหารความเสี่ยง
เพราะสิ่งที่ต้องทำในระยะแรก เช่น การทำบัญชีระบบ AI การระบุเจ้าของระบบ การตรวจ Vendor การตรวจข้อมูลที่ AI เข้าถึง และการกำหนดผู้รับผิดชอบ เป็นงานด้าน Governance ที่มีประโยชน์ต่อองค์กรอยู่แล้ว ไม่ว่าข้อความสุดท้ายของกฎหมายจะออกมาอย่างไร
สิ่งที่ควรทำต่อ
1. ทำ AI Inventory
รวบรวม AI ทุกตัวที่องค์กรใช้จริง ไม่ว่าจะซื้อจาก Vendor ใช้ผ่าน SaaS หรือ พนักงานนำมาใช้เอง
2. ระบุว่า AI แต่ละตัวทำอะไรกับข้อมูลอะไร
โดยเฉพาะข้อมูลส่วนบุคคล ข้อมูลลูกค้า ข้อมูลพนักงาน ข้อมูลทางการเงิน และข้อมูลลับทางธุรกิจ
3. ตรวจสัญญากับ AI Vendor
ดูเรื่องความรับผิดเมื่อเกิดความเสียหาย การใช้ข้อมูล การเก็บข้อมูล การส่งต่อข้อมูล การแจ้งเหตุ และสิทธิขององค์กรเมื่อ Vendor เปลี่ยนระบบหรือเงื่อนไข
4. ประเมิน Risk Classification เบื้องต้น
ไม่ต้องรอให้มีแบบฟอร์มอย่างเป็นทางการ แต่ควรเริ่มแยก AI ที่มีความเสี่ยงต่ำกับ AI ที่อาจมีผลต่อสิทธิ ความปลอดภัย การจ้างงาน การให้บริการลูกค้า หรือการตัดสินใจสำคัญขององค์กร
5. ตั้งผู้รับผิดชอบ AI Governance
อย่าให้ความรับผิดชอบตกอยู่กับ IT เพียงฝ่ายเดียว ควรเชื่อม Legal, Compliance, Security, Procurement และเจ้าของกระบวนการทางธุรกิจเข้าด้วยกัน
มุมมองผู้เชี่ยวชาญ
“ผมมองว่าเรื่องนี้ไม่ใช่การรอว่ากฎหมายจะผ่านวันไหน แต่คือ วันนี้เรารู้หรือยังว่าในบริษัทเราใช้ AI อะไรอยู่ ถ้ายังตอบไม่ได้ ก็แปลว่าเรายังบริหารความเสี่ยง AI ไม่ได้เต็มที่”
อีกประโยคที่น่าสื่อสารในมุมธุรกิจคือ:
“กฎหมายยังไม่ออกไม่ได้แปลว่าองค์กรไม่ต้องเตรียมตัว เพราะตอนกฎหมายออก สิ่งที่ใช้เวลาไม่ใช่การอ่านกฎหมาย แต่คือ การ
กลับไปแก้ระบบ แก้สัญญา และระบุว่าใครบ้างที่ต้องรับผิดชอบ”— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
กฎหมาย AI จะมาเมื่อไร?
ตอนนี้ยังไม่มีวันที่มีผลบังคับใช้ที่ยืนยันได้ หลังปิดรับฟังความคิดเห็น ETDA จะพิจารณาความเห็นและหารือกับหน่วยงานที่เกี่ยวข้อง ก่อนเข้าสู่ขั้นตอนเสนอให้คณะรัฐมนตรีพิจารณาในหลักการ และจากนั้นจึงเข้าสู่กระบวนการออกกฎหมายต่อไป โดย Rajah & Tann ประเมินกรอบเวลาอย่างกว้างว่าอาจใช้ประมาณ 6–24 เดือน ขณะที่รายละเอียดจริงยังขึ้นอยู่กับกระบวนการนิติบัญญัติและกฎที่จะออกตามมา
ดังนั้น อย่าใช้ตัวเลข 6–24 เดือนเป็น “กำหนดบังคับใช้” แต่ควรมองเป็นช่วงเวลาสำหรับเตรียมความพร้อม
สำหรับธุรกิจ นั่นหมายความว่า วันนี้อาจเป็นช่วงที่ต้นทุนการเตรียมตัวต่ำที่สุด เพราะยังมีเวลาตรวจระบบและแก้สัญญาก่อนที่จะเกิดแรงกดดันจากการบังคับใช้จริง
แหล่งอ้างอิง
Baker McKenzie — Thailand: Draft AI Act – Seven Key Implications
เผยแพร่ 16 กรกฎาคม 2569 และอธิบายขอบเขตของร่างกฎหมาย การกำกับแบบ Risk-Based, Extraterritorial Reach, Data Localization, ความรับผิด และอำนาจบังคับใช้
อ่านบทความ Baker McKenzie
Rajah & Tann Asia / RT AI Toolkit — Thailand’s Proposed AI Law: Moving Towards a Risk-Based Regulatory Framework
เผยแพร่ 28 กรกฎาคม 2569 อธิบายโครงสร้าง Risk-Based และขั้นตอนหลังการรับฟังความคิดเห็น รวมถึงความไม่แน่นอนของกรอบเวลาการออกกฎหมาย
อ่านบทความ Rajah & Tann Asia
ETDA — (ร่าง) หลักการของกฎหมายว่าด้วยปัญญาประดิษฐ์
ETDA ระบุแนวทางการกำกับดูแล AI โดยมุ่งเน้นการจัดการความเสี่ยงและการสร้างสมดุลระหว่างการคุ้มครองประชาชนกับการส่งเสริมนวัตกรรม
ข้อมูลด้านกฎหมายดิจิทัลจาก ETDA
