EU AI Act ใช้กับบริษัทไทยเฉพาะกรณีที่ Article 2(1) ครอบถึง คือนำระบบ AI ออกสู่ตลาด EU หรือผลลัพธ์ถูกใช้ใน EU ส่วนใช้ AI กับลูกค้าในไทยล้วน ๆ ไม่เกี่ยว เหมาะกับผู้บริหารและฝ่ายกฎหมาย ได้เกณฑ์ตรวจขอบเขต และวันที่หน้าที่ระบบเสี่ยงสูงเลื่อนไป 2 ธันวาคม 2027
- EU AI Act ไม่ผูกพันในไทยโดยตรง จะไปถึงบริษัทไทยเฉพาะกรณีใน Article 2(1) ซึ่งไม่ได้ดูว่าบริษัทจดทะเบียนที่ไหน
- ทางที่คนมองข้ามคือ Article 2(1)(c): ใช้ AI ทำงานในไทย แต่ผลลัพธ์ถูกใช้ใน EU ก็อยู่ในขอบเขตได้
- หน้าที่ผูกกับบทบาทรายระบบ ผู้นำไปใช้กลายเป็นผู้ให้บริการได้ ถ้าติดชื่อตัวเองหรือเปลี่ยนวัตถุประสงค์จนเป็นความเสี่ยงสูง (Article 25)
- ข้อห้ามตาม Article 5 ใช้แล้วตั้งแต่ 2 ก.พ. 2025 ส่วนหน้าที่ระบบเสี่ยงสูงตาม Annex III เลื่อนเป็น 2 ธ.ค. 2027
- ตัวบทในคลังเป็นฉบับรวมที่ทีมรวมเอง ไม่ใช่ฉบับรวมทางการของ EUR-Lex ข้อความที่ถือว่าถูกต้องคือ Official Journal
สมมติว่ามีบริษัทไทยสองแห่ง แห่งแรกขายระบบคัดกรองใบสมัครงานให้ลูกค้าในเยอรมนี แห่งที่สองเป็นร้านค้าออนไลน์ที่ใช้แชตบอตตอบลูกค้าคนไทย ทั้งคู่อาจใช้โมเดล AI ตัวเดียวกันด้วยซ้ำ แต่มีเพียงแห่งแรกที่ต้องเปิด EU AI Act อ่านอย่างจริงจัง
ตัวตัดสินไม่ใช่เทคโนโลยี และไม่ใช่ที่ตั้งของบริษัท แต่คือระบบหรือผลลัพธ์ของมันไปถูกใช้ที่ไหน บทความนี้อ่านจากตัวบท Regulation (EU) 2024/1689 ฉบับรวมการแก้ไขโดย Regulation (EU) 2026/1744 ที่อยู่ในคลังของ AIPDPA ตัวบทเป็นภาษาอังกฤษ เราจึงยกภาษาอังกฤษมาคำต่อคำแล้วอธิบายเป็นไทย
บริษัทไทยเข้าขอบเขต EU AI Act เมื่อไร?
เข้าขอบเขตเมื่อบริษัทเป็นผู้ให้บริการที่เอาระบบ AI ไปขายหรือเปิดให้ใช้ในตลาด EU หรือเมื่อผลลัพธ์ที่ระบบ AI ของบริษัทสร้าง ถูกนำไปใช้ใน EU สองกรณีนี้อยู่ใน Article 2(1) ข้อ (a) และข้อ (c)
(a) providers placing on the market or putting into service AI systems or placing on the market general-purpose AI models in the Union, irrespective of whether those providers are established or located within the Union or in a third country;
วลีที่ต้องจำคือ “irrespective of whether those providers are established or located within the Union or in a third country” หมายความว่ากฎหมายไม่สนใจว่าผู้ให้บริการตั้งอยู่ใน EU หรือประเทศอื่น ถ้าเอาระบบเข้าตลาด EU ก็อยู่ในขอบเขต บริษัทไทยที่ขาย SaaS ให้ลูกค้ายุโรป จึงอ้างไม่ได้ว่าไม่มีสำนักงานที่นั่น
(c) providers and deployers of AI systems that have their place of establishment or are located in a third country, where the output produced by the AI system is used in the Union;
ข้อ (c) คือข้อที่บริษัทไทยมองข้ามบ่อยที่สุด บริษัทไม่ได้ขาย AI ให้ใคร แค่ใช้ AI ทำงานในไทยแล้วส่งผลงานไปให้ลูกค้าใน EU ใช้ คู่มือของทีมยกตัวอย่าง BPO ไทยที่ใช้ AI ให้คะแนนเอกสารสินเชื่อแล้วส่งผลให้ธนาคารใน EU คำถามที่ควรถามลูกค้ายุโรปตรง ๆ คือ ผลที่เราส่งไป เขาเอาไปตัดสินเรื่องอะไรของใคร
บริษัทไทยที่ใช้ AI ภายในประเทศล้วน ๆ กับลูกค้าไทย ไม่อยู่ในขอบเขต
สถานการณ์สมมติข้างล่างช่วยให้เห็นว่าเส้นแบ่งอยู่ตรงไหน ทุกข้อเป็นตัวอย่างประกอบ ไม่ใช่คดีจริง
เป็นผู้ให้บริการที่นำระบบเข้าตลาด EU ตาม Article 2(1)(a) และระบบคัดกรองผู้สมัครอยู่ใน Annex III ข้อ 4 เรื่องการจ้างงาน
ผลลัพธ์ถูกใช้ใน EU ตาม Article 2(1)(c) และการประเมินความน่าเชื่อถือทางเครดิตของบุคคลอยู่ใน Annex III ข้อ 5(b)
ผู้นำไปใช้ที่ตั้งอยู่ใน EU เข้า Article 2(1)(b) หน่วยงานใน EU คือ deployer ส่วนบริษัทแม่ในไทยต้องดูแยกตามบทบาท
ไม่ได้นำระบบเข้าตลาด EU และผลลัพธ์ไม่ได้ถูกใช้ใน EU แต่ยังต้องทำตาม PDPA กับข้อมูลลูกค้า
Article 2(8) ยกเว้นการวิจัย ทดสอบ และพัฒนาก่อนออกสู่ตลาด แต่การทดสอบในสภาพการใช้งานจริงไม่ได้รับยกเว้น
สามข้ออ้างที่ไม่ใช่ข้อยกเว้น
- “เราแค่ซื้อบริการมาใช้” ไม่ทำให้พ้นหน้าที่ของผู้นำไปใช้
- “เราไม่ได้เก็บข้อมูลส่วนบุคคล” ไม่ทำให้พ้น Article 5 หรือ Annex III เพราะ EU AI Act กำกับระบบ ไม่ได้กำกับข้อมูล
- “เซิร์ฟเวอร์อยู่ในไทย” ไม่เกี่ยวเลย ถ้าผลลัพธ์ถูกใช้ใน EU
สามข้อนี้คู่มือของทีมรวบรวมจากความเข้าใจผิดที่เจอบ่อย เป็นความเห็นของทีมที่อ่านจาก Article 2 ไม่ใช่ถ้อยคำในตัวบท
เราเป็นผู้ให้บริการ หรือผู้นำไปใช้?
ต้องตอบเป็นรายระบบ ไม่ใช่ตอบทีเดียวทั้งบริษัท บริษัทเดียวกันเป็นผู้ให้บริการของระบบหนึ่ง และเป็นผู้นำไปใช้ของอีกระบบได้พร้อมกัน และหน้าที่ของสองบทบาทนี้ต่างกันมาก
(4) ‘deployer’ means a natural or legal person, public authority, agency or other body using an AI system under its authority except where the AI system is used in the course of a personal non-professional activity;
บริษัทไทยส่วนใหญ่อยู่ในฐานะผู้นำไปใช้ (deployer) คือใช้ระบบภายใต้อำนาจของตน ส่วนผู้ให้บริการ (provider) ตาม Article 3(3) คือผู้ที่พัฒนาระบบเองหรือให้คนอื่นพัฒนาให้ แล้วนำออกสู่ตลาดหรือเริ่มให้ใช้ภายใต้ชื่อหรือเครื่องหมายการค้าของตน ไม่ว่าจะคิดเงินหรือให้ใช้ฟรี
กับดักอยู่ที่ Article 25 เพราะผู้นำไปใช้กลายเป็นผู้ให้บริการได้โดยไม่ทันรู้ตัว และต้องรับหน้าที่ของผู้ให้บริการตาม Article 16 ทั้งหมด
(c) they modify the intended purpose of an AI system, including a general-purpose AI system, which has not been classified as high-risk and has already been placed on the market or put into service in such a way that the AI system concerned becomes a high-risk AI system in accordance with Article 6.
ตัวอย่างที่คู่มือของทีมเตือนไว้ คือบริษัทไทยเอาโมเดล AI อเนกประสงค์มาต่อยอดเป็นเครื่องมือคัดกรองผู้สมัครงานให้ลูกค้ายุโรป แล้วยังเข้าใจว่าตัวเองเป็นแค่ผู้ใช้ Article 25(1) ยังมีอีกสองกรณี คือติดชื่อหรือเครื่องหมายการค้าของตนบนระบบความเสี่ยงสูงที่ออกสู่ตลาดแล้ว และดัดแปลงระบบความเสี่ยงสูงอย่างมีนัยสำคัญ
ถ้าบริษัทไทยเป็นผู้ให้บริการระบบความเสี่ยงสูง Article 22(1) กำหนดให้แต่งตั้งผู้แทนที่ได้รับมอบอำนาจซึ่งตั้งอยู่ใน EU เป็นหนังสือ ก่อนเปิดให้ระบบมีจำหน่ายในตลาด EU บทบาทผู้แทนต้องอยู่ใน EU บริษัทไทยจึงเป็นฝ่ายแต่งตั้ง ไม่ใช่ฝ่ายรับเป็นผู้แทน
ระบบของเราอยู่ชั้นไหน?
ให้ถามทีละชั้นจากหนักไปเบา และหยุดที่ชั้นแรกที่ระบบเข้าข่าย
- ข้อห้าม (Article 5) เช่น AI ที่ใช้เทคนิคแฝงหรือหลอกลวงจนบิดเบือนการตัดสินใจและก่อความเสียหายสำคัญ การให้คะแนนทางสังคม การอนุมานอารมณ์ของคนในที่ทำงานและสถานศึกษา (ยกเว้นเหตุทางการแพทย์หรือความปลอดภัย) และการสร้างฐานข้อมูลจดจำใบหน้าด้วยการกวาดภาพจากอินเทอร์เน็ตหรือกล้องวงจรปิดแบบไม่เจาะจง
- ความเสี่ยงสูง (Article 6 กับ Annex III) มีแปดด้าน ได้แก่ ชีวมิติ โครงสร้างพื้นฐานสำคัญ การศึกษา การจ้างงาน การเข้าถึงบริการจำเป็น เช่น สินเชื่อ และประกันชีวิตหรือสุขภาพ การบังคับใช้กฎหมาย การเข้าเมือง และกระบวนการยุติธรรม
- หน้าที่ความโปร่งใส (Article 50) เช่น แชตบอตต้องให้คนรู้ว่ากำลังคุยกับ AI และผู้ใช้ระบบที่สร้าง deepfake ต้องเปิดเผยว่าเนื้อหาถูกสร้างหรือดัดแปลง
- ชั้นที่เหลือ ไม่มีหน้าที่เฉพาะตามชั้น แต่ Article 4 เรื่องความรู้ความเข้าใจ AI ยังใช้กับทั้งผู้ให้บริการและผู้นำไปใช้
Article 6(3) เปิดช่องว่าระบบใน Annex III ไม่ถือเป็นความเสี่ยงสูง ถ้าไม่ก่อความเสี่ยงสำคัญต่อสุขภาพ ความปลอดภัย หรือสิทธิขั้นพื้นฐาน เช่น ระบบที่ทำงานขั้นตอนแคบ ๆ หรือทำงานเตรียมการ แต่วรรคท้ายของ Article 6(3) ปิดช่องนี้สำหรับระบบที่ประเมินตัวบุคคล
Notwithstanding the first subparagraph, an AI system referred to in Annex III shall always be considered to be high-risk where the AI system performs profiling of natural persons.
ระบบที่ทำโปรไฟล์บุคคล เช่น ให้คะแนนผู้สมัครงานหรือลูกค้าสินเชื่อ จึงอ้างข้อยกเว้นของ Article 6(3) ไม่ได้ ส่วนผู้ให้บริการที่เห็นว่าระบบใน Annex III ของตนไม่เสี่ยงสูง ต้องทำเอกสารการประเมินไว้ก่อนนำออกสู่ตลาดตาม Article 6(4)
ชั้นความโปร่งใสกระทบบริษัทไทยที่ทำแชตบอตหรือแอปสร้างภาพให้คนใน EU ใช้มากที่สุด หน้าที่แรกตกกับผู้ออกแบบระบบ
Providers shall ensure that AI systems intended to interact directly with natural persons are designed and developed in such a way that the natural persons concerned are informed that they are interacting with an AI system, unless this is obvious from the point of view of a natural person who is reasonably well-informed, observant and circumspect, taking into account the circumstances and the context of use.
ส่วน Article 50(4) ให้ผู้นำไปใช้ระบบที่สร้างหรือดัดแปลงภาพ เสียง หรือวิดีโอที่เป็น deepfake เปิดเผยว่าเนื้อหานั้นถูกสร้างหรือดัดแปลง และ Article 50(5) ให้แจ้งอย่างชัดเจนอย่างช้าในตอนที่คนโต้ตอบหรือเห็นเนื้อหาเป็นครั้งแรก
ต้องพร้อมเมื่อไร หลังการแก้ไขปี 2026?
ตารางวันที่ของปี 2024 ใช้ไม่ได้แล้ว Regulation (EU) 2026/1744 ซึ่งเรียกกันว่า Digital Omnibus on AI ลง Official Journal วันที่ 24 กรกฎาคม 2026 มีผล 27 กรกฎาคม 2026 และแก้ Article 113 จนกำหนดวันเปลี่ยนไปมาก ไฟล์ตัวบทในคลังของเรารวมการแก้ไขนี้ไว้แล้ว
- 2 ก.พ. 2025Chapter I และ II ใช้บังคับ ได้แก่ บททั่วไปรวม Article 4 และข้อห้ามตาม Article 5 ข้อ (a) ถึง (h)Article 113 (a)
- 2 ส.ค. 2025หมวดโมเดล AI อเนกประสงค์ (Chapter V) ธรรมาภิบาล (Chapter VII) และบทลงโทษ (Chapter XII) ยกเว้น Article 101Article 113 (b)
- 27 ก.ค. 2026Regulation (EU) 2026/1744 มีผล และ Articles 102 ถึง 110 ใช้บังคับArticle 113 (d)
- 2 ส.ค. 2026วันใช้บังคับทั่วไป รวม Article 50 เรื่องความโปร่งใสArticle 113 วรรคสอง
- 2 ธ.ค. 2026ข้อห้ามใหม่ Article 5(1)(ba) และ (bb) เรื่องสื่อทางเพศของบุคคลที่ระบุตัวได้โดยไม่ได้รับความยินยอม และสื่อล่วงละเมิดทางเพศเด็กArticle 113 (a)
- 2 ธ.ค. 2027หน้าที่ของระบบความเสี่ยงสูงตาม Article 6(2) และ Annex III (Chapter III Sections 1 ถึง 3 รวม Article 26)Article 113 (c)(i)
- 2 ส.ค. 2028หน้าที่ของระบบความเสี่ยงสูงที่เป็นผลิตภัณฑ์ตาม Article 6(1) และ Annex IArticle 113 (c)(ii)
(i) 2 December 2027 as regards AI systems classified as high-risk pursuant to Article 6(2) and Annex III; and
ถ้าอยู่ในขอบเขตแล้วทำผิด จะเจออะไร?
Article 99 ให้รัฐสมาชิกออกกฎเรื่องบทลงโทษเอง แต่วางเพดานค่าปรับทางปกครองไว้ในตัว Regulation และให้คำนึงถึงประโยชน์และความอยู่รอดทางเศรษฐกิจของ SME เวลาลงโทษ เพดานสูงสุดอยู่ที่การฝ่าฝืนข้อห้าม
Non-compliance with the prohibition of the AI practices referred to in Article 5 shall be subject to administrative fines of up to EUR 35 000 000 or, if the offender is an undertaking, up to 7 % of its total worldwide annual turnover for the preceding financial year, whichever is higher.
การไม่ทำตามหน้าที่ของผู้นำไปใช้ตาม Article 26 และหน้าที่ความโปร่งใสตาม Article 50 อยู่ในอีกขั้นหนึ่งตาม Article 99(4) เพดาน 15 ล้านยูโร หรือ 3% ของรายได้ทั่วโลกทั้งปี แล้วแต่ค่าใดสูงกว่า ตัวเลขเหล่านี้เป็นเพดานสูงสุด ไม่ใช่อัตราที่ต้องจ่ายทุกกรณี
EU AI Act กับ PDPA คิดเหมือนกันตรงไหน?
เรื่องขอบเขตนอกพรมแดนคิดคล้ายกันมาก PDPA ของไทยก็ไม่ได้ดูแค่ว่าบริษัทตั้งอยู่ที่ไหน แต่ตามไปถึงผู้ควบคุมข้อมูลในต่างประเทศที่ทำกิจกรรมกับคนในไทยด้วย
ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอยู่นอกราชอาณาจักร พระราชบัญญัตินี้ให้ใช้บังคับแก่การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลซึ่งอยู่ในราชอาณาจักรโดยการดำเนินกิจกรรมของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลดังกล่าว เมื่อเป็นกิจกรรม ดังต่อไปนี้
แต่สองกฎหมายนี้ถามคนละคำถาม PDPA ถามว่าข้อมูลส่วนบุคคลถูกเก็บ ใช้ เปิดเผยอย่างชอบด้วยกฎหมายหรือไม่ EU AI Act ถามว่าระบบ AI ตัวนั้นอยู่ชั้นไหน และใครในห่วงโซ่ต้องทำอะไร ระบบที่ประมวลผลข้อมูลคนไทยและส่งผลไปใช้ใน EU จึงอาจต้องตอบทั้งสองฉบับพร้อมกัน
| เรื่อง | PDPA (ไทย) | EU AI Act |
|---|---|---|
| กำกับอะไร | การเก็บรวบรวม ใช้ เปิดเผยข้อมูลส่วนบุคคล | ระบบ AI และโมเดล AI อเนกประสงค์ ตามบทบาทและชั้นความเสี่ยง |
| ไปถึงผู้อยู่นอกพื้นที่เมื่อ | เสนอสินค้าหรือบริการ หรือเฝ้าติดตามพฤติกรรมคนในไทย (มาตรา 5 วรรคสอง) | นำระบบเข้าตลาด EU หรือผลลัพธ์ถูกใช้ใน EU (Article 2(1)) |
| ไม่มีข้อมูลส่วนบุคคลเลย | ไม่อยู่ในขอบเขต | ยังเข้าข่ายได้ ถ้าเป็นข้อห้ามตาม Article 5 หรืออยู่ใน Annex III |
| ผู้แทนในพื้นที่ | ตัวแทนในราชอาณาจักร ตามมาตรา 37 (5) | ผู้แทนที่ได้รับมอบอำนาจใน EU ตาม Article 22 สำหรับระบบความเสี่ยงสูง |
| ข้อมูลอ่อนไหวเพื่อตรวจอคติ | ต้องมีฐานตามมาตรา 26 | Article 4a ให้ทำได้ภายใต้เงื่อนไข แต่ไม่ได้สร้างฐานตาม PDPA ให้ (บันทึกของทีม) |
| การแจ้งเหตุ | เหตุละเมิดข้อมูลส่วนบุคคล แจ้ง สคส. ภายใน 72 ชั่วโมงเท่าที่ทำได้ (มาตรา 37 (4)) | ผู้นำไปใช้ที่พบเหตุร้ายแรงต้องแจ้งผู้ให้บริการก่อน แล้วแจ้งหน่วยงานกำกับตลาด (Article 26(5)) |
บริษัทไทยควรเริ่มจากตรงไหน?
เริ่มจากรู้ก่อนว่ามีระบบอะไร แล้วค่อยถามเรื่องขอบเขต บันทึกของทีมเรื่อง Digital Omnibus สรุปบทเรียนไว้ว่า ให้วางแผนบนหน้าที่ที่ไม่เปลี่ยน ไม่ใช่บนวันที่ เพราะวันที่ถูกเลื่อนได้ แต่งานแกนอย่างทะเบียนระบบ การกำกับดูแล การประเมินผลกระทบ log และการแจ้งคนที่ได้รับผล ยังเหมือนเดิม
- ทำทะเบียนระบบ AI แล้วถามทีละระบบว่า ตัวระบบหรือผลลัพธ์ไปถึง EU หรือไม่
- ระบุบทบาทรายระบบ และเช็กว่ามีการติดชื่อตัวเอง ดัดแปลง หรือเปลี่ยนวัตถุประสงค์ตาม Article 25 หรือไม่
- จัดชั้นตามลำดับ Article 5 → Annex III → Article 50 แล้วจดเหตุผลไว้
- ถ้าเป็นผู้ให้บริการระบบความเสี่ยงสูง เตรียมแต่งตั้งผู้แทนใน EU ตาม Article 22 และวางแผนให้เสร็จก่อน 2 ธันวาคม 2027
- จัดมาตรการด้านความรู้ความเข้าใจ AI ให้พนักงานที่ใช้ระบบ ตาม Article 4 ซึ่งใช้บังคับอยู่แล้ว
- ถามลูกค้ายุโรปว่าเอาผลลัพธ์ของเราไปตัดสินเรื่องอะไร แล้วเขียนหน้าที่ของแต่ละฝ่ายลงสัญญา
- เมื่อแบบประเมินบอกว่าอยู่ในขอบเขต ให้ที่ปรึกษากฎหมาย EU ตีความประเด็นที่ตัวบทยังไม่ชัด
ในระบบ AIPDPA ทะเบียนระบบ AI ใช้คู่กับ AI Risk Radar ที่เทียบแต่ละระบบกับ EU AI Act กฎหมายไทย NIST AI RMF และ ISO 42001 ทะเบียนเดียวจึงตอบได้หลายกรอบ ถึงอย่างนั้น คะแนนความเสี่ยงในทะเบียนไม่ใช่การจัดชั้นตามกฎหมาย EU การตัดสินชั้นยังต้องให้คนในองค์กรยืนยันพร้อมเหตุผล
ถ้าต้องการฉบับสั้นไว้ส่งต่อผู้บริหาร อ่าน EU AI Act กระทบธุรกิจไทยอย่างไร บริษัทที่ใช้ AI ในงานบุคคลดู AI คัดใบสมัครและประเมินพนักงาน และถ้าอยากรู้ว่ากฎหมาย AI ของไทยเองไปถึงไหน อ่าน กฎหมาย AI ไทยและร่างแก้ PDPA
คำถามที่พบบ่อย
บริษัทไทยที่ไม่มีสาขาใน EU ต้องทำตาม EU AI Act ไหม?
ต้องทำถ้าเข้ากรณีใน Article 2(1) เช่น เป็นผู้ให้บริการที่นำระบบ AI เข้าตลาด EU ซึ่งข้อ (a) เขียนว่าไม่ว่าผู้ให้บริการจะตั้งอยู่ที่ใด หรือผลลัพธ์ของระบบถูกใช้ใน EU ตามข้อ (c) ถ้าไม่เข้ากรณีใดเลย กฎหมายนี้ไม่ผูกพันบริษัท
บริษัทไทยที่ให้พนักงานใช้ ChatGPT เข้า EU AI Act ไหม?
ถ้าใช้ในไทยและผลลัพธ์ไม่ได้ถูกใช้ใน EU คู่มือของทีมเห็นว่าอยู่นอกขอบเขต แต่ PDPA ยังใช้กับข้อมูลส่วนบุคคลที่พนักงานป้อนเข้าไป ดู พนักงานแปะข้อมูลลูกค้าลง ChatGPT
หน้าที่ของระบบความเสี่ยงสูงใช้บังคับเมื่อไร?
ตาม Article 113 ที่แก้โดย Regulation (EU) 2026/1744 ระบบตาม Annex III ใช้วันที่ 2 ธันวาคม 2027 และระบบที่เป็นผลิตภัณฑ์ตาม Annex I ใช้วันที่ 2 สิงหาคม 2028 ส่วนข้อห้ามตาม Article 5 ใช้มาตั้งแต่ 2 กุมภาพันธ์ 2025
ได้ใบรับรอง ISO/IEC 42001 แล้ว ถือว่าทำตาม EU AI Act ครบไหม?
ไม่ครบ คู่มือของทีมชี้ว่าการรับรอง ISO ไม่ใช่การตรวจประเมินความสอดคล้องตาม Article 43 แต่ระบบบริหารจัดการตาม ISO/IEC 42001 ช่วยให้มีหลักฐานหลายอย่างที่ EU AI Act ต้องการ
Article 4 เรื่องความรู้ความเข้าใจ AI ถูกยกเลิกแล้วหรือยัง?
ยังไม่ถูกยกเลิก ฉบับแก้ไขเปลี่ยนเป็นหน้าที่ให้ผู้ให้บริการและผู้นำไปใช้ดำเนินมาตรการสนับสนุนการพัฒนาความรู้ของบุคลากร และเขียนชัดว่าไม่ต้องรับประกันระดับความรู้ของบุคคลใด
ตัวบทและแหล่งอ้างอิง
- Regulation (EU) 2024/1689 (EU AI Act) ฉบับรวมการแก้ไขโดย Regulation (EU) 2026/1744 — กฎหมายสหภาพยุโรป ไม่ผูกพันในไทย — Article 2(1) · Article 3(4) · Article 6(3) · Article 25(1) · Article 50(1) · Article 99(3) · Article 113
- คู่มือประยุกต์ EU AI Act สำหรับองค์กรไทย (บันทึกของทีม AIPDPA ไม่ใช่กฎหมาย) — ห้าทางที่ EU AI Act ไปถึงองค์กรไทย · ตารางวันที่ · ข้อผิดพลาดที่เจอบ่อย
- สรุปเอกสารรอบนอกและกรณีศึกษา EU AI Act (บันทึกของทีม AIPDPA ไม่ใช่กฎหมาย) — กรณีที่ 1 — Digital Omnibus on AI
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 5 วรรคสอง
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)