ข้อห้ามเด็ดขาดของ EU AI Act คือรายการระบบ AI ใน Article 5 ที่ห้ามนำออกสู่ตลาด ห้ามเริ่มให้ใช้ และห้ามใช้ในสหภาพยุโรป ปัจจุบันมี 10 ข้อ รวมสองข้อใหม่ที่ใช้บังคับวันที่ 2 ธันวาคม 2026 บทความนี้ไล่ทีละข้อว่าธุรกิจไทยแบบไหนอาจเข้าข่าย และแบบไหนไม่เกี่ยว
- Article 5 ห้ามระบบ AI 8 แบบตั้งแต่ 2 กุมภาพันธ์ 2025 และเพิ่มข้อ (ba) กับ (bb) ที่ใช้บังคับวันที่ 2 ธันวาคม 2026
- ธุรกิจไทยเข้าข่ายเมื่ออยู่ในขอบเขต Article 2 เช่น ขายระบบเข้าตลาด EU หรือผลลัพธ์ของระบบถูกใช้ใน EU
- ข้อที่ใกล้ตัวธุรกิจไทยที่สุด: จับอารมณ์พนักงานในที่ทำงาน แยกประเภทคนจากข้อมูลชีวภาพ และแอปสร้างภาพ
- ฝ่าฝืน Article 5 ปรับได้สูงสุด 35 ล้านยูโร หรือ 7% ของยอดขายทั่วโลกของปีก่อน แล้วแต่จำนวนใดสูงกว่า
- ใช้ในไทยกับคนไทยล้วนไม่เข้า EU AI Act แต่ข้อมูลชีวภาพยังเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26
กฎหมาย AI ของสหภาพยุโรป หรือ EU AI Act (Regulation (EU) 2024/1689) แบ่งระบบ AI ตามความเสี่ยง ระบบส่วนใหญ่แค่ต้องทำเอกสาร ประเมิน หรือแจ้งผู้ใช้ แต่ Article 5 ต่างออกไป ระบบในรายการนี้ห้ามนำออกสู่ตลาด ห้ามเริ่มให้ใช้ และห้ามใช้ ทำเอกสารเพิ่มเท่าไรก็ไม่ทำให้ถูกกฎหมาย
บทความนี้ไม่ได้ซ้ำคำถามว่า EU AI Act ใช้กับบริษัทไทยเมื่อไร ซึ่งเราตอบไว้แล้วใน EU AI Act ใช้กับบริษัทไทยเมื่อไร แต่ลงรายละเอียดเฉพาะข้อห้ามทั้ง 10 ข้อ ตามฉบับรวมการแก้ไขโดย Regulation (EU) 2026/1744 ว่าแต่ละข้อห้ามอะไร และธุรกิจไทยแบบไหนต้องระวัง
Article 5 ห้ามอะไรบ้าง และเริ่มใช้เมื่อไร?
Article 5(1) เปิดด้วยประโยคสั้น ๆ แล้วตามด้วยรายการ ข้อ (a) ถึง (h) อยู่ในฉบับเดิมปี 2024 ส่วนข้อ (ba) และ (bb) ถูกเพิ่มโดย Regulation (EU) 2026/1744 หรือที่เรียกกันว่า Digital Omnibus on AI
1. The following AI practices shall be prohibited:
| ข้อ | ห้ามอะไร (สรุป) | เริ่มใช้ |
|---|---|---|
| (a) | ใช้เทคนิคแฝงเร้นหรือหลอกลวงชักจูง จนบิดเบือนการตัดสินใจและก่อความเสียหายร้ายแรง | 2 ก.พ. 2025 |
| (b) | ฉวยประโยชน์จากความเปราะบางเพราะอายุ ความพิการ หรือฐานะทางสังคมเศรษฐกิจ | 2 ก.พ. 2025 |
| (c) | ให้คะแนนทางสังคม (social scoring) จนนำไปสู่การปฏิบัติที่เป็นผลร้ายนอกบริบท หรือเกินสัดส่วน | 2 ก.พ. 2025 |
| (d) | ทำนายว่าคนจะก่ออาชญากรรมจากโปรไฟล์หรือลักษณะนิสัยเพียงอย่างเดียว | 2 ก.พ. 2025 |
| (e) | สร้างหรือขยายฐานข้อมูลจดจำใบหน้าโดยกวาดภาพจากอินเทอร์เน็ตหรือกล้องวงจรปิดแบบไม่เจาะจง | 2 ก.พ. 2025 |
| (f) | อนุมานอารมณ์ของคนในที่ทำงานและสถานศึกษา เว้นแต่เหตุผลทางการแพทย์หรือความปลอดภัย | 2 ก.พ. 2025 |
| (g) | แยกประเภทคนจากข้อมูลชีวภาพเพื่ออนุมานเชื้อชาติ ความเห็นทางการเมือง สหภาพแรงงาน ศาสนา ชีวิตทางเพศ หรือรสนิยมทางเพศ | 2 ก.พ. 2025 |
| (h) | ใช้ระบบระบุตัวตนชีวมิติทางไกลแบบเวลาจริงในที่สาธารณะเพื่อบังคับใช้กฎหมาย (มีข้อยกเว้นแคบ) | 2 ก.พ. 2025 |
| (ba) | สร้างหรือดัดแปลงภาพ วิดีโอ หรือเสียงที่สมจริง แสดงอวัยวะส่วนลับหรือกิจกรรมทางเพศของคนที่ระบุตัวได้ โดยไม่ได้รับความยินยอมโดยชัดแจ้ง | 2 ธ.ค. 2026 |
| (bb) | สร้างหรือดัดแปลงสื่อตาม Article 2 (c) และ (e) ของ Directive 2011/93/EU (สื่อล่วงละเมิดทางเพศเด็ก) | 2 ธ.ค. 2026 |
วันที่ในตารางมาจาก Article 113 ซึ่งถูกแก้โดย Regulation (EU) 2026/1744 ให้ข้อห้ามใหม่สองข้อมีวันเริ่มของตัวเอง
(a) Chapters I and II shall apply from 2 February 2025, with the exception of Article 5(1), first subparagraph, points (ba) and (bb), and Article 5(1a) and (1b) which shall apply from 2 December 2026;
ธุรกิจไทยเข้าข่ายข้อห้ามเหล่านี้ได้อย่างไร?
ต้องเข้าขอบเขตของ EU AI Act ก่อน ตาม Article 2 กรณีที่ธุรกิจไทยพบบ่อยมีสองทาง ทางแรกคือเป็นผู้ให้บริการ (provider) ที่นำระบบ AI ออกสู่ตลาดหรือเริ่มให้ใช้ในสหภาพยุโรป ทางที่สองคือเป็นผู้ให้บริการหรือผู้นำไปใช้ (deployer) ที่อยู่นอกสหภาพ แต่ผลลัพธ์ของระบบถูกใช้ในสหภาพ
ถ้าธุรกิจไทยใช้ระบบ AI ในไทยกับคนไทย และผลลัพธ์ไม่ได้ถูกใช้ในสหภาพยุโรป EU AI Act ก็ไม่เกี่ยว ข้อห้ามใน Article 5 ไม่ได้ขยายขอบเขตเกิน Article 2 วิธีไล่ดูขอบเขตทีละกรณีอยู่ใน คู่มือ EU AI Act สำหรับธุรกิจไทย
อีกข้อที่คนมักเข้าใจผิดคือคิดว่าระบบโอเพนซอร์สหลุดจากกฎหมายทั้งหมด Article 2(12) ยกเว้นให้จริง แต่ไม่ยกเว้นระบบที่เข้าข้อห้ามใน Article 5
12. This Regulation does not apply to AI systems released under free and open-source licences, unless they are placed on the market or put into service as high-risk AI systems or as an AI system that falls under Article 5 or 50.
ระบบจับอารมณ์พนักงานในคอลเซ็นเตอร์ ผิดข้อไหน?
ข้อ (f) ห้ามระบบที่อนุมานอารมณ์ของคนในที่ทำงานและสถานศึกษา ข้อนี้ใกล้ตัวธุรกิจไทยที่รับงานบริการลูกค้าหรือคอลเซ็นเตอร์ให้ลูกค้าในยุโรป และผู้พัฒนาไทยที่ขายระบบวิเคราะห์เสียงหรือใบหน้าพนักงานเข้าไปในตลาดยุโรป
(f) the placing on the market, the putting into service for this specific purpose, or the use of AI systems to infer emotions of a natural person in the areas of workplace and education institutions, except where the use of the AI system is intended to be put in place or into the market for medical or safety reasons;
คำว่าระบบจดจำอารมณ์ในกฎหมายนี้มีนิยามแคบกว่าที่คิด ต้องเป็นการอนุมานจากข้อมูลชีวภาพ เช่น ใบหน้าหรือเสียง ระบบที่วิเคราะห์ความรู้สึกจากข้อความที่ลูกค้าพิมพ์จึงไม่ใช่ประเด็นเดียวกัน
(39) ‘emotion recognition system’ means an AI system for the purpose of identifying or inferring emotions or intentions of natural persons on the basis of their biometric data;
อารัมภบทข้อ (18) ของ EU AI Act อธิบายเพิ่มว่าสภาพทางกาย เช่น ความเหนื่อยล้าของคนขับ ไม่ใช่อารมณ์ตามความหมายนี้ ส่วนลักษณะของเสียง เช่น เสียงดังขึ้นหรือกระซิบ จะเกี่ยวเมื่อถูกใช้อนุมานอารมณ์ ระบบตรวจความง่วงของคนขับรถขนส่งจึงต่างจากระบบให้คะแนนอารมณ์พนักงานรับสาย
ห้ามมิให้เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการประกาศกำหนด โดยไม่ได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคล
กล้องวิเคราะห์ลูกค้าหน้าร้าน ผิดข้อไหน?
ข้อ (g) ห้ามระบบแยกประเภทคนจากข้อมูลชีวภาพ เพื่ออนุมานเชื้อชาติ ความเห็นทางการเมือง สหภาพแรงงาน ศาสนา ชีวิตทางเพศ หรือรสนิยมทางเพศ
(g) the placing on the market, the putting into service for this specific purpose, or the use of biometric categorisation systems that categorise individually natural persons based on their biometric data to deduce or infer their race, political opinions, trade union membership, religious or philosophical beliefs, sex life or sexual orientation;
ผู้พัฒนาไทยที่ขายระบบวิเคราะห์ภาพลูกค้าให้ร้านค้าในยุโรป ต้องดูว่าระบบอนุมานลักษณะในรายการนี้หรือไม่ ระบบที่นับจำนวนคนหรือประเมินช่วงอายุคร่าว ๆ ไม่อยู่ในรายการของข้อ (g) แต่ก็อาจเข้าเกณฑ์อื่นของกฎหมาย ต้องดูทั้งฉบับ ไม่ใช่แค่ Article 5
ข้อ (e) เป็นอีกข้อที่ผู้ขายระบบจดจำใบหน้าควรตรวจ คือห้ามสร้างหรือขยายฐานข้อมูลใบหน้าด้วยการกวาดภาพจากอินเทอร์เน็ตหรือกล้องวงจรปิดแบบไม่เจาะจง ผู้ซื้อในยุโรปจะถามที่มาของชุดข้อมูล ผู้ขายไทยควรตอบได้
แอปสร้างภาพด้วย AI ต้องเตรียมอะไรก่อน 2 ธันวาคม 2026?
ข้อห้ามใหม่ (ba) มุ่งที่ระบบสร้างหรือดัดแปลงภาพ วิดีโอ หรือเสียงลามกของคนจริงที่ระบุตัวได้ โดยไม่ได้รับความยินยอม ข้อนี้ใกล้ตัวสตาร์ตอัปไทยที่ทำแอปแต่งภาพหรือสร้างภาพและเปิดให้คนในยุโรปใช้
(ba) the placing on the market, the putting into service or the use of an AI system that generates or manipulates realistic images, videos, audio or similar material of an identifiable natural person’s intimate parts, or of an identifiable natural person engaged in sexually explicit activities, without that person’s freely-given, specific, informed, unambiguous and explicit consent for that generation or manipulation;
Article 5(1a) ที่เพิ่มเข้ามาพร้อมกันแบ่งความรับผิดเป็นสองฝั่ง ฝั่งผู้ให้บริการผิดเมื่อการสร้างสื่อแบบนี้คือวัตถุประสงค์ของระบบ หรือระบบทำได้ง่ายโดยไม่มีมาตรการป้องกันที่เพียงพอ ฝั่งผู้นำไปใช้ผิดเมื่อตั้งใจใช้ระบบสร้างสื่อแบบนั้น
(b) the use of an AI system that generates or manipulates the material or performance referred to in paragraph 1, first subparagraph, points (ba) and (bb) is only prohibited where the deployer uses the system for the purpose of generating or manipulating such material or performance.
สำหรับผู้ให้บริการ คำถามสำคัญจึงอยู่ที่มาตรการกัน บันทึกของทีม AIPDPA (ไม่ใช่กฎหมาย) แนะนำให้เขียนเป็นเอกสารว่ามีการกรองคำสั่ง กรองผลลัพธ์ จำกัดการใช้ มีช่องแจ้งการใช้ผิด และมีขั้นตอนแก้ไขเมื่อพบ แล้วทดสอบกับวิธีเลี่ยงที่คาดได้ และเก็บผลทดสอบไว้
ข้อห้ามที่เหลือ เกี่ยวกับธุรกิจไทยแค่ไหน?
ข้อ (a) และ (b) เกี่ยวกับระบบที่ชักจูงคนจนเสียหาย ธุรกิจที่ควรอ่านคือเกม แอปการเงิน และอีคอมเมิร์ซที่ใช้ AI ปรับข้อเสนอรายคนให้ลูกค้าในยุโรป ข้อนี้ต้องครบทั้งการบิดเบือนพฤติกรรมอย่างมีนัยสำคัญ และความเสียหายร้ายแรงที่เกิดขึ้นหรือน่าจะเกิด การโฆษณาเชิงรุกธรรมดาจึงไม่เข้าข้อนี้โดยอัตโนมัติ
(a) the placing on the market, the putting into service or the use of an AI system that deploys subliminal techniques beyond a person’s consciousness or purposefully manipulative or deceptive techniques, with the objective, or the effect of materially distorting the behaviour of a person or a group of persons by appreciably impairing their ability to make an informed decision, thereby causing them to take a decision that they would not have otherwise taken in a manner that causes or is reasonably likely to cause that person, another person or group of persons significant harm;
ข้อ (c) เรื่องการให้คะแนนทางสังคม ไม่ได้ห้ามการให้คะแนนลูกค้าทั่วไป แต่ห้ามเมื่อคะแนนจากพฤติกรรมในบริบทหนึ่งถูกนำไปใช้ลงโทษในบริบทที่ไม่เกี่ยวกัน หรือผลร้ายเกินสัดส่วน ธุรกิจที่รวมข้อมูลพฤติกรรมข้ามหลายบริการมาจัดอันดับลูกค้าควรอ่านถ้อยคำเต็ม
(c) the placing on the market, the putting into service or the use of AI systems for the evaluation or classification of natural persons or groups of persons over a certain period of time based on their social behaviour or known, inferred or predicted personal or personality characteristics, with the social score leading to either or both of the following: (i) detrimental or unfavourable treatment of certain natural persons or groups of persons in social contexts that are unrelated to the contexts in which the data was originally generated or collected; (ii) detrimental or unfavourable treatment of certain natural persons or groups of persons that is unjustified or disproportionate to their social behaviour or its gravity;
นำระบบออกสู่ตลาดสหภาพยุโรป และอนุมานอารมณ์จากข้อมูลชีวภาพในที่ทำงาน
ถ้าผลลัพธ์ของระบบถูกใช้ในสหภาพ อาจเข้า Article 2 ถ้าใช้เฉพาะในไทยอาจไม่เข้า แต่ PDPA มาตรา 26 ยังต้องดู
ถ้าระบบสร้างภาพลามกของคนจริงได้ง่ายโดยไม่มีมาตรการกัน อาจเข้าข้อ (ba) ตาม Article 5(1a)
ใช้ในไทยกับคนในไทย และไม่ได้อนุมานลักษณะในข้อ (g) แต่ต้องทำตาม PDPA เรื่องกล้องวงจรปิด
ข้อ (d) และ (h) ใกล้ธุรกิจเอกชนไทยน้อยกว่า ข้อ (h) เป็นเรื่องการใช้ระบบระบุตัวตนแบบเวลาจริงของหน่วยงานบังคับใช้กฎหมาย ส่วนข้อ (d) มีจุดที่ผู้ขายระบบคัดกรองพนักงานควรระวัง คือระบบที่ประเมินความเสี่ยงว่าคนจะทุจริตหรือก่ออาชญากรรมจากบุคลิกภาพล้วน ๆ เรื่องระบบ AI ในงานบุคคลมีบทความแยกที่ ใช้ AI คัดใบสมัครหรือให้คะแนนพนักงาน
ถ้าฝ่าฝืน Article 5 โทษหนักแค่ไหน?
Article 5 อยู่ในโทษชั้นสูงสุดของ EU AI Act ตาม Article 99(3) ประเทศสมาชิกเป็นผู้กำหนดกติกาบังคับโทษในรายละเอียด แต่เพดานค่าปรับเขียนไว้ในตัวบทเอง
3. Non-compliance with the prohibition of the AI practices referred to in Article 5 shall be subject to administrative fines of up to EUR 35 000 000 or, if the offender is an undertaking, up to 7 % of its total worldwide annual turnover for the preceding financial year, whichever is higher.
การเรียกค่าปรับจากบริษัทที่อยู่นอกสหภาพยุโรปจะทำได้จริงแค่ไหนเป็นอีกเรื่องหนึ่ง แต่ผลที่เห็นได้เร็วกว่าค่าปรับคือลูกค้าในยุโรปจะไม่ซื้อระบบที่เสี่ยงเข้า Article 5 และจะเขียนรับรองเรื่องนี้ลงในสัญญา
ธุรกิจไทยควรเริ่มตรวจอะไรภายในเดือนนี้?
- ทำรายการระบบ AI ที่ขายหรือให้บริการแก่ลูกค้าในสหภาพยุโรป และระบบที่ผลลัพธ์ถูกส่งไปใช้ที่นั่น
- ไล่แต่ละระบบกับข้อ (a) ถึง (h) และ (ba) (bb) บันทึกเหตุผลว่าทำไมไม่เข้า
- ระบบที่ใช้ใบหน้าหรือเสียงของคน ตรวจว่าอนุมานอารมณ์ในที่ทำงานหรือสถานศึกษา หรืออนุมานลักษณะตามข้อ (g) หรือไม่
- ถ้ามีฟังก์ชันสร้างหรือแต่งภาพคน เขียนมาตรการกันและผลทดสอบให้เสร็จก่อน 2 ธันวาคม 2026
- ระบบที่ใช้เฉพาะในไทย ตรวจตาม PDPA โดยเฉพาะข้อมูลชีวภาพตามมาตรา 26
AI Risk Radar ใน AIPDPA เทียบแต่ละระบบในทะเบียนกับกฎหมายไทย NIST AI RMF ISO 42001 และ EU AI Act ในหน้าเดียว ช่วยให้เห็นว่าระบบไหนต้องดูข้อห้ามก่อน ถ้ายังไม่แน่ใจว่าจะเลือกกรอบไหนเป็นหลัก อ่าน ISO 42001 หรือ NIST AI RMF ประกอบ
คำถามที่พบบ่อย
บริษัทไทยที่ไม่มีสาขาในยุโรป ต้องสนใจ Article 5 ไหม?
ต้องสนใจถ้านำระบบ AI ออกสู่ตลาดสหภาพยุโรป หรือผลลัพธ์ของระบบถูกใช้ในสหภาพ ตาม Article 2 การไม่มีสาขาไม่ได้ทำให้พ้นขอบเขต ถ้าใช้ในไทยกับคนไทยล้วน EU AI Act ไม่เกี่ยว
แชทบอทวิเคราะห์ความรู้สึกจากข้อความลูกค้า เข้าข้อ (f) ไหม?
ข้อ (f) ว่าด้วยการอนุมานอารมณ์ในที่ทำงานและสถานศึกษา และนิยามระบบจดจำอารมณ์ใน Article 3(39) ต้องอาศัยข้อมูลชีวภาพ การวิเคราะห์ข้อความลูกค้าจึงไม่ตรงกับข้อนี้ แต่ระบบที่โต้ตอบกับคนโดยตรงยังมีหน้าที่ความโปร่งใสตาม Article 50
ข้อห้ามใหม่ (ba) และ (bb) ใช้กับแอปแต่งรูปทั่วไปไหม?
Article 5(1a) จำกัดไว้ว่าผู้ให้บริการผิดเมื่อการสร้างสื่อแบบนี้คือวัตถุประสงค์ของระบบ หรือระบบทำได้ง่ายโดยไม่มีมาตรการกันที่เพียงพอ และ Article 5(1b) ยกเว้นการดัดแปลงที่ไม่เพิ่มการเปิดเผยอวัยวะส่วนลับ แอปแต่งรูปทั่วไปที่มีมาตรการกันจริงจึงต่างจากแอปที่ตั้งใจทำเรื่องนี้
ระบบโอเพนซอร์สได้รับยกเว้นไหม?
Article 2(12) ยกเว้นระบบที่เผยแพร่ภายใต้สัญญาอนุญาตแบบเสรีและโอเพนซอร์ส แต่ไม่ยกเว้นถ้าระบบเข้าข้อห้ามใน Article 5 หรือหน้าที่ใน Article 50
ไทยมีข้อห้ามแบบ Article 5 ไหม?
ในคลังของเรายังไม่มีกฎหมายไทยที่ห้ามแนวปฏิบัติ AI เป็นรายการแบบนี้ ร่างกฎหมาย AI ของไทยยังไม่ออกเป็นกฎหมาย ดู กฎหมาย AI ไทยและร่างแก้ PDPA
ตัวบทและแหล่งอ้างอิง
- Regulation (EU) 2024/1689 (EU AI Act) ฉบับรวมการแก้ไขโดย Regulation (EU) 2026/1744 — กฎหมายสหภาพยุโรป ไม่ผูกพันในไทยโดยตรง — Article 2(12) · Article 3(39) · Article 5 · Article 99(3) · Article 113
- คู่มือประยุกต์ EU AI Act สำหรับองค์กรไทย — บันทึกของทีม AIPDPA ไม่ใช่กฎหมาย — ชั้นที่ 1 — แนวปฏิบัติต้องห้าม: Article 5
- พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 26
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)