กฎ AI ความเสี่ยงสูงของ EU: เส้นตาย หน้าที่ และค่าปรับที่ผู้ให้บริการต้องรู้

ประเด็นสำคัญคือ กำหนดเวลาได้ถูกเลื่อนออกไป ไม่ใช่ว่ากฎสำหรับ AI ความเสี่ยงสูงมีผลครบถ้วนแล้ว สำหรับระบบความเสี่ยงสูงแบบสแตนด์อโลนที่ระบุใน Annex III ภาระหน้าที่จะเริ่มใช้ตั้งแต่ 2 ธันวาคม 2027 ขณะที่ AI ความเสี่ยงสูงซึ่งเป็นส่วนหนึ่งของผลิตภัณฑ์ที่อยู่ภายใต้กฎหมายกำกับบางประเภท จะเริ่มใช้ในวันที่ 2 สิงหาคม 2028 18

สำหรับบริษัทที่ตั้งใจวางระบบเหล่านี้ในตลาดสหภาพยุโรป (EU) โจทย์จึงไม่ใช่เพียงรอวันบังคับใช้ แต่คือการสร้างกระบวนการที่พิสูจน์ได้ว่า ระบบมีความปลอดภัย ตรวจสอบย้อนหลังได้ และมีผู้รับผิดชอบอย่างชัดเจนก่อนเปิดตัว

AI แบบใดถูกจัดว่าเป็น “ความเสี่ยงสูง”

EU AI Act แบ่ง AI ความเสี่ยงสูงออกเป็น 2 กลุ่มหลัก ได้แก่

• ระบบ AI ที่ใช้เป็นองค์ประกอบด้านความปลอดภัยของผลิตภัณฑ์ซึ่งอยู่ภายใต้กฎหมายผลิตภัณฑ์เฉพาะของ EU และผลิตภัณฑ์นั้นต้องผ่านการประเมินความสอดคล้องโดยหน่วยงานอิสระ
• ระบบ AI ที่ใช้ในกรณีการใช้งานบางประเภทตาม Annex III โดยยังอยู่ภายใต้เงื่อนไขและข้อยกเว้นของกฎหมาย 15

การจัดประเภทนี้สำคัญอย่างยิ่ง เพราะเมื่อระบบเข้าข่ายความเสี่ยงสูง ผู้ให้บริการจะมีภาระตลอดวงจรชีวิตของผลิตภัณฑ์มากกว่าเครื่องมือ AI ทั่วไปอย่างมาก

สิ่งที่ผู้ให้บริการต้องเตรียมให้พร้อม

ก่อนนำระบบ AI ความเสี่ยงสูงออกสู่ตลาด EU ผู้ให้บริการต้องออกแบบมาตรการควบคุมให้ฝังอยู่ในกระบวนการพัฒนาผลิตภัณฑ์ ไม่ใช่ค่อยรวบรวมเอกสารเมื่อหน่วยงานกำกับดูแลเข้ามาสอบถาม

1. การบริหารความเสี่ยงและการกำกับดูแลข้อมูล

ผู้ให้บริการต้องมีมาตรการประเมินและบรรเทาความเสี่ยง รวมถึงใช้ชุดข้อมูลที่มีคุณภาพเพียงพอเพื่อลดความเสี่ยงของผลลัพธ์ที่เลือกปฏิบัติ กรอบสำหรับ AI ความเสี่ยงสูงเน้นให้ข้อมูลสำหรับการฝึก การตรวจสอบความถูกต้อง และการทดสอบ มีความเกี่ยวข้อง เป็นตัวแทนที่เหมาะสม และอยู่ภายใต้การกำกับดูแลที่ดี 115

2. เอกสารและการตรวจสอบย้อนกลับ

ระบบต้องเก็บบันทึกการทำงาน (logs) เพื่อให้ตรวจสอบย้อนกลับได้ พร้อมเอกสารทางเทคนิคโดยละเอียดที่อธิบายระบบและวัตถุประสงค์การใช้งาน หลักฐานเหล่านี้ทำให้หน่วยงานที่เกี่ยวข้องสามารถประเมินได้ว่าระบบปฏิบัติตามกฎหรือไม่ 1

3. การกำกับโดยมนุษย์และความทนทานของระบบ

กฎหมายยังกำหนดให้มีมาตรการกำกับดูแลโดยมนุษย์อย่างเหมาะสม และให้ระบบมีความแม่นยำ ความทนทาน และความมั่นคงปลอดภัยทางไซเบอร์ในระดับสูง ผู้ให้บริการต้องให้ข้อมูลที่ชัดเจนและเพียงพอแก่ผู้ใช้งานระบบ เพื่อให้ใช้ระบบได้ตรงตามวัตถุประสงค์และเข้าใจข้อจำกัดของมัน 1

4. การประเมินความสอดคล้อง การลงทะเบียน และการติดตามหลังวางตลาด

ผู้ให้บริการต้องผ่านการประเมินความสอดคล้องที่เกี่ยวข้องก่อนนำระบบออกสู่ตลาด สำหรับกรณีที่กฎหมายกำหนด ต้องลงทะเบียนระบบ ติดตามผลการทำงานหลังเปิดใช้งาน และรายงานเหตุร้ายแรง หน้าที่เหล่านี้ทำให้การปฏิบัติตามกฎหมายเป็นงานต่อเนื่อง ไม่ใช่การขออนุมัติครั้งเดียวก่อนขาย 115

เช็กลิสต์เตรียมความพร้อมก่อนถึงเส้นตาย

องค์กรที่กำลังเตรียมรับเส้นตายในปี 2027 และ 2028 ควรตอบคำถามต่อไปนี้ได้อย่างชัดเจน

1. ระบบนี้เป็น AI ความเสี่ยงสูงจริงหรือไม่? เทียบกรณีใช้งานกับหมวดใน Annex I และ Annex III
2. ใครเป็นผู้รับผิดชอบ? กำหนดเจ้าของงานด้านความปลอดภัยของผลิตภัณฑ์ กฎหมาย เอกสาร และการรับมือเหตุการณ์
3. พิสูจน์และลดความเสี่ยงได้หรือไม่? มีกระบวนการบริหารความเสี่ยงที่ทำซ้ำได้ พร้อมผลทดสอบและบันทึกการตัดสินใจ
4. การควบคุมข้อมูลอธิบายและปกป้องได้หรือไม่? บันทึกความเกี่ยวข้อง ความเป็นตัวแทน การตรวจคุณภาพ และข้อจำกัดที่ทราบของชุดข้อมูล
5. พร้อมรับการตรวจสอบหรือไม่? เก็บ logs เอกสารเทคนิค และคู่มือผู้ใช้ที่อธิบายวัตถุประสงค์กับข้อจำกัดของระบบ
6. มนุษย์กำกับดูแลได้จริงหรือไม่? ระบุให้ชัดว่าเมื่อใดบุคคลสามารถแทรกแซง ลบล้างผลลัพธ์ หรือหยุดใช้ระบบได้
7. การติดตามหลังวางตลาดทำงานได้หรือไม่? เตรียมขั้นตอนติดตามประสิทธิภาพ แก้ไขปัญหา และรายงานเหตุการณ์

ค่าปรับภายใต้ EU AI Act

EU AI Act กำหนดบทลงโทษโดยอิงทั้งจำนวนเงินยูโรและสัดส่วนของยอดขายทั่วโลกต่อปี ระดับที่รุนแรงที่สุดสำหรับการใช้ AI ที่ถูกห้าม อาจสูงถึง 35 ล้านยูโร หรือ 7% ของยอดขายทั่วโลกต่อปี ส่วนการไม่ปฏิบัติตามข้อกำหนดประเภทอื่นอาจถูกปรับสูงสุด 15 ล้านยูโร หรือ 3% ของยอดขายทั่วโลกต่อปี 3

มูลค่าค่าปรับที่สูงหมายความว่าโครงการกำกับดูแล AI ความเสี่ยงสูงไม่ควรเป็นหน้าที่ของฝ่ายกฎหมายเพียงฝ่ายเดียว ทีมผลิตภัณฑ์ ความปลอดภัยไซเบอร์ วิทยาการข้อมูล จัดซื้อ กำกับดูแล และฝ่ายปฏิบัติการ ล้วนต้องมีหลักฐานว่ามาตรการป้องกันเหล่านี้ใช้งานได้จริง

เหตุใดต้องเริ่มตอนนี้ แม้เส้นตายจะถูกเลื่อน

วันที่ใหม่ช่วยให้บริษัทมีเวลามากขึ้น แต่ไม่ได้ลดทอนความเข้มข้นของข้อกำหนด บริษัทที่รอจนใกล้สิ้นปี 2027 อาจยังต้องสร้างระบบจัดการเอกสาร ปรับวิธีพัฒนาโมเดล ติดตั้งการบันทึก logs ทดสอบกระบวนการกำกับโดยมนุษย์ และวางขั้นตอนรายงานหลังวางตลาด

แนวทางที่ใช้ได้จริงที่สุดคือมอง EU AI Act เป็นมาตรฐานการกำกับดูแลผลิตภัณฑ์: ระบุกรณีใช้ AI ความเสี่ยงสูงตั้งแต่ต้น เก็บหลักฐานไปพร้อมกับการพัฒนาระบบ และทำให้ความปลอดภัย การตรวจสอบย้อนกลับ และการควบคุมโดยมนุษย์เป็นส่วนหนึ่งของขั้นตอนก่อนเปิดตัว 115