EU AI Act กระทบธุรกิจไทยอย่างไร: ใครอยู่ในขอบเขต และต้องทำอะไรเมื่อไร

บริษัทรับงานเอกสาร (BPO) แห่งหนึ่งในเชียงใหม่ใช้ AI ให้คะแนนเอกสารขอสินเชื่อ แล้วส่งผลให้ธนาคารลูกค้าในยุโรป วันหนึ่งลูกค้าส่งแบบสอบถามมาว่า “ระบบของคุณจัดชั้นตาม EU AI Act แล้วหรือยัง” เจ้าของบริษัทงงว่ากฎหมายยุโรปมาเกี่ยวกับบริษัทไทยได้อย่างไร

สรุปสิ่งที่ต้องรู้

6 ประเด็นที่สำคัญที่สุดของเรื่องนี้ สรุปจากตัวบทและแนวปฏิบัติที่อ้างอิงไว้ท้ายคู่มือ อ่านแค่ส่วนนี้ก็ตัดสินใจขั้นต่อไปได้

• บริษัทไทยที่ใช้ AI ภายในประเทศล้วน ๆ กับลูกค้าไทยไม่อยู่ในขอบเขต เพราะขอบเขตผูกกับตลาด EU และผลลัพธ์ที่ถูกใช้ใน EU ไม่ใช่ที่ตั้งของบริษัท
• ข้อห้ามตาม Article 5 และหน้าที่ด้านความรู้ความเข้าใจ AI ตาม Article 4 ใช้มาตั้งแต่ 2 กุมภาพันธ์ 2025 และหน้าที่ความโปร่งใสตาม Article 50 ใช้ตั้งแต่ 2 สิงหาคม 2026
• ข้อห้ามใหม่เรื่องภาพหรือเสียงทางเพศของบุคคลที่ระบุตัวได้โดยไม่ได้รับความยินยอม และสื่อล่วงละเมิดทางเพศเด็ก มีผล 2 ธันวาคม 2026
• หน้าที่ผูกกับบทบาทต่อระบบหนึ่ง ๆ บริษัทเดียวเป็นผู้ให้บริการ (provider) ของระบบหนึ่งและผู้นำไปใช้ (deployer) ของอีกระบบได้พร้อมกัน
• Deployer กลายเป็น provider ของระบบความเสี่ยงสูงได้ตาม Article 25 ถ้าติดชื่อตัวเอง ดัดแปลงอย่างมีนัยสำคัญ หรือเปลี่ยนวัตถุประสงค์ของระบบ
• บทความนี้สรุปจากคู่มือประยุกต์ของทีม AIPDPA ไม่ใช่ตัวบท การตีความกรณีจริงควรให้ที่ปรึกษาที่รู้กฎหมายสหภาพยุโรปตรวจ

↑ กลับสารบัญ

ทำตามนี้ 7 ขั้นตอน

ทำตามลำดับ 7 ขั้นนี้ได้ทันที แต่ละขั้นเขียนให้ทีมในองค์กรไทยลงมือได้จริงโดยไม่ต้องรอที่ปรึกษา และเก็บหลักฐานไว้ให้ผู้ตรวจดูได้

1. ตอบคำถามแรก: เราอยู่ในขอบเขตไหมไล่ทางที่ Article 2(1) ไปถึงองค์กรไทย เช่น ขายหรือเปิดให้ใช้ระบบ AI ใน EU ส่งผลลัพธ์ให้ใช้ใน EU มีสาขาใน EU หรือส่งออกสินค้าที่ฝัง AI ภายใต้แบรนด์ตัวเอง แล้วถามลูกค้า EU ว่า “ผลลัพธ์ที่เราส่งให้ ถูกใช้ตัดสินเรื่องอะไรเกี่ยวกับใคร”
2. ทำทะเบียนระบบ AI ทีละระบบบันทึกชื่อระบบ วัตถุประสงค์ ผู้ใช้ ผู้ให้บริการต้นทาง และปลายทางของผลลัพธ์ เพราะทั้งการจัดบทบาทและการจัดชั้นความเสี่ยงต้องทำรายระบบ ไม่ใช่ทั้งองค์กร
3. จัดบทบาทรายระบบถามว่าระบบออกไปภายใต้ชื่อใคร ถ้าเป็นชื่อเรา แม้จ้างคนอื่นพัฒนา เราคือ provider ตาม Article 3(3) ถ้าเราเป็นผู้กำหนดว่าจะใช้ระบบกับงานไหนและกับใคร เราคือ deployer ตาม Article 3(4)
4. ตรวจข้อห้ามและหน้าที่ความโปร่งใสตรวจว่าไม่มีระบบใดเข้าข้อห้ามตาม Article 5 ซึ่งใช้บังคับแล้ว และเตรียมหน้าที่ความโปร่งใสตาม Article 50 องค์กรที่ให้บริการ AI สร้างภาพควรตรวจมาตรการป้องกันก่อนข้อห้ามใหม่มีผล 2 ธันวาคม 2026
5. จัดชั้นความเสี่ยงและวางแผนงานความเสี่ยงสูงระบบที่เข้า Annex III เช่น คัดกรองผู้สมัครงานหรือประเมินความน่าเชื่อถือทางเครดิตของบุคคล ต้องปฏิบัติตามหน้าที่ใน Chapter III ภายใน 2 ธันวาคม 2027 คู่มือของทีมแนะนำให้ถือวันที่เร็วกว่าเป็นวันวางแผนเมื่อการตีความยังไม่ชัด
6. ปิดกับดัก Article 25 ในสัญญาก่อนเปลี่ยนวัตถุประสงค์หรือปรับแต่งระบบ ให้บันทึกการเปลี่ยนในทะเบียน และในสัญญากับผู้ให้บริการต้นทาง ให้ระบุว่าระบบห้ามหรืออนุญาตให้ใช้ในงานความเสี่ยงสูง พร้อมขอข้อมูลตาม Article 25(2)(a)–(c) ไว้ล่วงหน้า
7. ทำมาตรการพัฒนาความรู้ด้าน AIArticle 4 ฉบับแก้ไขให้ดำเนินมาตรการสนับสนุนการพัฒนาความรู้ความเข้าใจด้าน AI ของบุคลากร โดยไม่ต้องรับประกันระดับความรู้ของแต่ละคน แต่ยังเป็นหน้าที่ จึงควรมีแผนอบรมและเก็บหลักฐานไว้

↑ กลับสารบัญ

บริษัทไทยต้องทำตาม EU AI Act ไหม?

ต้องทำ ถ้าเข้าทางใดทางหนึ่งใน Article 2(1) แม้ไม่มีสำนักงานใน EU EU AI Act เป็น Regulation ของสหภาพยุโรปที่ไม่มีผลเป็นกฎหมายในไทยและหน่วยงานไทยไม่มีอำนาจบังคับใช้ แต่ขอบเขตผูกกับตลาด EU และผลลัพธ์ที่ถูกใช้ใน EU ไม่ใช่สัญชาติหรือที่ตั้งของบริษัท

ทางที่องค์กรไทยมองข้ามมากที่สุดคือ Article 2(1)(c) ซึ่งครอบทั้งผู้ให้บริการและผู้นำไปใช้ในประเทศที่สาม เมื่อผลลัพธ์ที่ระบบสร้างถูกใช้ใน EU บริษัทไม่ได้ขาย AI ให้ใคร แต่ใช้ AI ทำงานในไทยแล้วส่งผลลัพธ์ไปให้คนใน EU ใช้

• Article 2(1)(a): ผู้ให้บริการที่นำระบบ AI ออกสู่ตลาดหรือเริ่มให้ใช้ใน EU ไม่ว่าตั้งอยู่ที่ใด เช่น บริษัทซอฟต์แวร์ไทยขาย SaaS คัดกรองผู้สมัครงานให้ลูกค้าในเยอรมนี
• Article 2(1)(c): ผู้ให้บริการและผู้นำไปใช้ในประเทศที่สาม เมื่อผลลัพธ์ถูกใช้ใน EU เช่น BPO ไทยที่ส่งผลให้คะแนนสินเชื่อให้ธนาคารใน EU
• Article 2(1)(b): ผู้นำไปใช้ที่มีสถานประกอบการใน EU เช่น สาขาหรือบริษัทลูกใน EU ของเครือไทย
• Article 2(1)(d)–(e): ผู้นำเข้า ผู้จัดจำหน่าย และผู้ผลิตที่ส่งสินค้าซึ่งฝังระบบ AI ภายใต้ชื่อของตน
• Article 2(1)(f): ผู้แทนที่ได้รับมอบอำนาจต้องตั้งอยู่ใน EU บริษัทไทยเป็นฝ่ายแต่งตั้ง ไม่ใช่ฝ่ายที่เป็น

↑ กลับสารบัญ

EU AI Act มีผลบังคับเมื่อไร?

EU AI Act มีผลใช้บังคับตั้งแต่ 1 สิงหาคม 2024 และทยอยใช้บังคับตาม Article 113 ซึ่ง Regulation (EU) 2026/1744 (Digital Omnibus on AI) ที่มีผล 27 กรกฎาคม 2026 แก้ตารางวันที่ใหม่ เอกสารหรือเครื่องมือตรวจที่ทำก่อนกรกฎาคม 2026 จึงยังใช้วันที่เก่า

• 2 กุมภาพันธ์ 2025: บททั่วไปรวม Article 4 และข้อห้ามตาม Article 5
• 2 สิงหาคม 2025: หน้าที่ของโมเดล AI อเนกประสงค์ ธรรมาภิบาล และบทลงโทษ
• 2 สิงหาคม 2026: วันใช้บังคับทั่วไป รวม Article 50 ความโปร่งใส
• 2 ธันวาคม 2026: ข้อห้ามใหม่ Article 5(1)(ba) และ (bb)
• 2 ธันวาคม 2027: หน้าที่ของระบบความเสี่ยงสูงตาม Annex III รวม Article 26 และ 27 ซึ่งเป็นเส้นตายหลักของ deployer
• 2 สิงหาคม 2028: หน้าที่ของระบบความเสี่ยงสูงที่เป็นส่วนของผลิตภัณฑ์ตาม Annex I

↑ กลับสารบัญ

บริษัทไทยเป็น provider หรือ deployer?

ขึ้นกับระบบ ไม่ใช่ขึ้นกับองค์กร บริษัทที่เรียกโมเดลผ่าน API แล้วสร้างแอปภายใต้ชื่อตัวเองออกขายใน EU คือผู้ให้บริการของระบบ AI นั้น และเป็นผู้ให้บริการปลายน้ำ (downstream provider) ตาม Article 3(68) ไม่ใช่ deployer

Article 25(1) กำหนด 3 กรณีที่ผู้จัดจำหน่าย ผู้นำเข้า ผู้นำไปใช้ หรือบุคคลที่สาม ถือเป็นผู้ให้บริการระบบความเสี่ยงสูงและรับหน้าที่ตาม Article 16 ทั้งหมด

• ติดชื่อหรือเครื่องหมายการค้าของตนบนระบบความเสี่ยงสูงที่ออกสู่ตลาดแล้ว เช่น ซื้อระบบประเมินเครดิตมาขายต่อใน EU ภายใต้แบรนด์ตัวเอง
• ดัดแปลงอย่างมีนัยสำคัญระบบความเสี่ยงสูงที่ออกสู่ตลาดแล้ว โดยระบบยังเป็นความเสี่ยงสูง
• เปลี่ยนวัตถุประสงค์ของระบบ AI รวมถึงระบบอเนกประสงค์ จนกลายเป็นความเสี่ยงสูง เช่น ต่อยอดแชตบอตเป็นเครื่องคัดกรองผู้สมัครงาน

↑ กลับสารบัญ

อะไรที่ไม่ทำให้พ้นจาก EU AI Act?

คำอธิบายที่ได้ยินบ่อยอย่าง “เราแค่ซื้อบริการมาใช้” “เราไม่ได้เก็บข้อมูลส่วนบุคคล” หรือ “เซิร์ฟเวอร์อยู่ในไทย” ไม่ทำให้พ้นหน้าที่ ข้อยกเว้นจริงมีเฉพาะที่ Article 2 กำหนด

• ทหาร การป้องกันประเทศ และความมั่นคงของชาติ (Article 2(3))
• ระบบที่พัฒนาและใช้เพื่อการวิจัยและพัฒนาทางวิทยาศาสตร์อย่างเดียว (Article 2(6))
• การวิจัย ทดสอบ และพัฒนาก่อนออกสู่ตลาด แต่การทดสอบในสภาพจริงไม่ได้รับยกเว้น (Article 2(8))
• บุคคลธรรมดาที่ใช้ AI ในกิจกรรมส่วนตัวที่ไม่ใช่วิชาชีพ (Article 2(10))
• ระบบโอเพนซอร์ส เว้นแต่เป็นระบบความเสี่ยงสูง หรือเข้า Article 5 หรือ 50 (Article 2(12))

↑ กลับสารบัญ

ปัญหาที่พบบ่อยและวิธีแก้

องค์กรส่วนใหญ่พลาดเรื่องนี้ใน 3 จุดเดิม ๆ ตารางด้านล่างบอกทั้งวิธีแก้ด้วยตัวเอง และวิธีที่ AIPDPA ช่วยให้เสร็จเร็วกว่าพร้อมหลักฐานครบ

↑ กลับสารบัญ

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)