EU AI Act หรือกฎหมายปัญญาประดิษฐ์ของสหภาพยุโรป ควรมองเป็นกรอบกำกับดูแลด้าน compliance ตามระดับความเสี่ยง ไม่ใช่สัญญาณว่าองค์กรใช้ AI ไม่ได้อีกต่อไป สิ่งที่ต้องตอบให้ชัดคือ AI ถูกใช้ทำอะไร บริษัทมีบทบาทแบบใด และการใช้งานนั้นเข้าข่ายการใช้งานต้องห้าม โมเดลอเนกประสงค์แบบ GPAI หรือระบบ AI ความเสี่ยงสูงหรือไม่[2][
3][
5]
สิ่งที่เปลี่ยนสำหรับบริษัทในทางปฏิบัติ
คำถามหลักไม่ได้อยู่ที่ว่า “ใช้ AI ได้ไหม” แต่อยู่ที่ว่า “use case นี้ถูกจัดประเภทอย่างไร”
เครื่องมือ AI ที่ใช้สรุปข้อความภายในบริษัท ย่อมต้องประเมินต่างจากระบบที่ช่วยคัดใบสมัครงาน ประเมินผลงานพนักงาน หรือเตรียมข้อมูลเพื่อการตัดสินใจที่กระทบต่อบุคคล แหล่งข้อมูลอธิบายว่า EU AI Act ใช้วิธีบังคับใช้เป็นลำดับขั้น: เริ่มจากการใช้งาน AI ที่ต้องห้าม ต่อด้วยหน้าที่สำหรับ General-Purpose AI หรือ GPAI จากนั้นจึงเป็นหน้าที่ส่วนใหญ่ของระบบ high-risk AI และต่อไปคือบางระบบ AI ที่ฝังอยู่ในผลิตภัณฑ์ซึ่งถูกกำกับอยู่แล้ว[1][
2][
3][
5]
สำหรับผู้บริหาร ทีมกฎหมาย ทีมไอที และฝ่ายธุรกิจ คำถามตั้งต้นมี 3 ข้อ:
- Use case: AI ทำอะไร ใช้ข้อมูลแบบใด และมีอิทธิพลต่อการตัดสินใจมากแค่ไหน
- บทบาทของบริษัท: บริษัทเป็นผู้ใช้งานหรือผู้ติดตั้งใช้งานระบบ หรือ deployer เป็นผู้ให้บริการระบบ AI หรือเป็นผู้ให้บริการโมเดล GPAI[
2][
5][
8]
- ระดับความเสี่ยง: การใช้งานเข้าข่ายต้องห้าม เกี่ยวข้องกับ GPAI เป็น high-risk AI หรือเป็นการใช้งานที่อ่อนไหวน้อยกว่า[
1][
2][
3][
5]
ไทม์ไลน์สำคัญที่ควรรู้
ตารางนี้เป็นภาพรวมเพื่อการวางแผน ไม่แทนการตรวจสอบทางกฎหมายในกรณีเฉพาะของแต่ละบริษัท
| ช่วงเวลา | สิ่งที่เริ่มเกี่ยวข้อง | ความหมายสำหรับบริษัท |
|---|---|---|
| ตั้งแต่กุมภาพันธ์ 2025 | การใช้งาน AI ที่ต้องห้าม | บริษัทควรตรวจสอบก่อนว่า use case ใดเข้าข่ายต้องห้ามหรือไม่ เพราะช่วงแรกของการบังคับใช้มุ่งจัดการการใช้ AI ที่สร้างความเสียหายร้ายแรงตั้งแต่ต้น[ |
| ตั้งแต่สิงหาคม 2025 | หน้าที่สำหรับโมเดล GPAI | ผู้ให้บริการโมเดล General-Purpose AI ต้องตรวจสอบหน้าที่เฉพาะของ GPAI แหล่งข้อมูลหนึ่งระบุว่า GPAI products ที่ไม่ได้เผยแพร่ก่อนสิงหาคม 2025 ต้องปฏิบัติตามกฎใหม่ตั้งแต่สิงหาคม 2025[ |
| ตั้งแต่ 2 สิงหาคม 2026 | หน้าที่จำนวนมากของ high-risk AI | สำหรับระบบ high-risk AI ตาม Annex III กรอบ compliance เต็มรูปแบบเริ่มมีผลตั้งแต่ 2 สิงหาคม 2026 และแหล่งข้อมูลหนึ่งระบุว่านี่เป็นเส้นตายหลักสำหรับหลายบริษัท[ |
| ปี 2027/2028 แล้วแต่กฎผลิตภัณฑ์ | high-risk AI บางระบบที่ฝังในผลิตภัณฑ์ซึ่งถูกกำกับอยู่แล้ว | สำหรับ high-risk AI ที่อยู่ในผลิตภัณฑ์ที่มีกฎหมายความปลอดภัยของสหภาพยุโรปกำกับอยู่ แหล่งข้อมูลหนึ่งระบุว่ามีช่วงเปลี่ยนผ่านยาวขึ้นถึงปี 2027 และ 2028 ขึ้นอยู่กับกรอบกฎหมายของผลิตภัณฑ์นั้น[ |
หัวใจของการประเมิน: use case, บทบาท, ความเสี่ยง
1. อย่าเริ่มจากชื่อเครื่องมือ ให้เริ่มจากสิ่งที่ AI ทำจริง
ชื่อผลิตภัณฑ์หรือชื่อแพลตฟอร์มบอกได้ไม่หมดว่าบริษัทมีหน้าที่อะไร สิ่งที่สำคัญกว่าคือ AI ถูกใช้เพื่อประเมินคนหรือไม่ มีผลต่อการเข้าถึงโอกาสหรือบริการหรือไม่ ควบคุมกระบวนการที่เกี่ยวกับความปลอดภัยหรือไม่ หรือเป็นเพียงตัวช่วยทำงานภายในที่ไม่ตัดสินแทนมนุษย์
บริษัทควรตรวจ use case ในพื้นที่อ่อนไหวก่อน แหล่งข้อมูลยกตัวอย่างพื้นที่ที่อาจนำไปสู่คำถามเรื่อง high-risk AI เช่น ชีวมิติ โครงสร้างพื้นฐานสำคัญ การศึกษา การจ้างงาน และบริการสาธารณะ[3]
2. บริษัทอยู่ในบทบาทไหน
บริษัทหนึ่งอาจมีหลายบทบาทในเวลาเดียวกัน ขึ้นอยู่กับระบบ AI แต่ละตัว หากซื้อเครื่องมือ AI มาใช้ภายใน บริษัทอาจเป็นผู้ใช้งานหรือ deployer เป็นหลัก หากสร้างผลิตภัณฑ์ที่มีฟีเจอร์ AI และนำออกสู่ตลาด บริษัทอาจมีหน้าที่ในฐานะผู้ให้บริการระบบ AI และหากพัฒนา หรือทำให้โมเดล General-Purpose AI ใช้งานได้ในวงกว้าง ก็ต้องดูหน้าที่เฉพาะของผู้ให้บริการ GPAI เพิ่มเติม[2][
5][
8]
การแยกบทบาทสำคัญมาก เพราะหน้าที่ตาม EU AI Act ไม่ได้ขึ้นกับความเสี่ยงของระบบเท่านั้น แต่ยังขึ้นกับว่าบริษัทเป็นผู้ให้บริการ ผู้ใช้งาน หรือผู้ให้บริการโมเดลด้วย[2][
5][
8]
3. ระดับความเสี่ยงควรคัดกรองอย่างไร
การตรวจเบื้องต้นที่ใช้ได้จริงควรไล่เป็นขั้น:
- ตัดความเสี่ยงเรื่องการใช้งานต้องห้ามก่อน: หาก use case เข้าข่ายต้องห้าม นี่ไม่ใช่เรื่องที่รอจัดการภายหลัง แต่เป็นประเด็นเร่งด่วน[
2][
5]
- ตรวจความเกี่ยวข้องกับ GPAI: บริษัทให้บริการโมเดล GPAI เอง หรือเพียงใช้โมเดลของผู้อื่นในแอปพลิเคชันเฉพาะทาง[
3][
5]
- ตรวจความเป็น high-risk AI: use case อยู่ในพื้นที่อ่อนไหว หรือมีผลต่อการตัดสินใจเกี่ยวกับบุคคลหรือไม่[
1][
3]
- ตรวจกรอบกฎหมายของผลิตภัณฑ์: AI ถูกฝังในผลิตภัณฑ์ที่ถูกกำกับอยู่แล้วหรือไม่ เพราะบางกรณีอาจมีช่วงเปลี่ยนผ่านเฉพาะ[
1]
สิ่งที่บริษัทควรเริ่มทำตอนนี้
ทำทะเบียน AI ให้ครบก่อน
ก้าวแรกที่จับต้องได้คือการทำทะเบียน AI หรือ AI inventory อย่าบันทึกเฉพาะโครงการใหญ่ระดับองค์กร แต่ควรรวมเครื่องมือช่วยงานภายใน ฟีเจอร์ AI ใน SaaS ที่ซื้อมา ระบบอัตโนมัติ ฟีเจอร์ AI ในผลิตภัณฑ์ของบริษัท และโมเดลที่นำมาใช้ด้วย
ทะเบียน AI ที่ใช้ได้จริงควรมีอย่างน้อย:
- ชื่อเครื่องมือหรือระบบ
- วัตถุประสงค์และหน่วยงานที่ใช้งาน
- ใช้ภายในหรือให้บริการภายนอก
- ประเภทข้อมูลที่ใช้
- บุคคลหรือกลุ่มที่ได้รับผลกระทบ
- ระดับอิทธิพลของ AI ต่อการตัดสินใจ
- ผู้ให้บริการ เจ้าของระบบภายใน และทีมที่รับผิดชอบ
- การประเมินเบื้องต้นว่าเกี่ยวข้องกับการใช้งานต้องห้าม GPAI high-risk AI หรือความเสี่ยงต่ำกว่า
ทะเบียนนี้เป็นฐานให้บริษัทตรวจบทบาทและระดับความเสี่ยงของแต่ละ use case อย่างมีหลักฐานและย้อนตรวจได้[2][
3][
5]
จัดลำดับ use case ที่อ่อนไหว
ไม่ใช่ทุกระบบ AI ต้องใช้แรงเท่ากัน ระบบที่ควรยกขึ้นมาตรวจสอบก่อนคือระบบที่ประเมินบุคคล มีผลต่อการเข้าถึงโอกาสหรือบริการ หรือใช้ในพื้นที่ที่แหล่งข้อมูลระบุว่าอ่อนไหว เช่น ชีวมิติ โครงสร้างพื้นฐานสำคัญ การศึกษา การจ้างงาน และบริการสาธารณะ[3]
ในทางธุรกิจ ตัวอย่างที่มักต้องระวังคือเครื่องมือ HR การคัดกรองผู้สมัครงาน การประเมินผลงาน ระบบที่เกี่ยวข้องกับความปลอดภัย และระบบที่เตรียมข้อมูลเพื่อการตัดสินใจเกี่ยวกับบุคคล อย่างไรก็ตาม การจะสรุปว่ากรณีใดเป็น high-risk AI จริงหรือไม่ ต้องดู workflow และบทบาทของบริษัทอย่างละเอียด[1][
3]
เตรียม governance และเอกสาร
สำหรับ high-risk AI แหล่งข้อมูลระบุถึงข้อกำหนด เช่น การบริหารความเสี่ยง เอกสารทางเทคนิค และการประเมินความสอดคล้อง ส่วนหน้าที่ใดจะตกอยู่กับบริษัทของคุณ ต้องดูทั้งบทบาทและลักษณะของระบบ[8] สำหรับ high-risk AI ตาม Annex III กรอบ compliance เต็มรูปแบบเริ่มเกี่ยวข้องตั้งแต่ 2 สิงหาคม 2026[
1]
งานเตรียมการที่ควรเริ่มได้ทันที ได้แก่:
- กำหนดผู้รับผิดชอบจากฝ่ายธุรกิจ ไอที ข้อมูลส่วนบุคคล กฎหมาย และ compliance
- สร้างกระบวนการอนุมัติก่อนนำเครื่องมือ AI ใหม่มาใช้
- ขอเอกสารจากผู้ให้บริการ เช่น ข้อมูลความเสี่ยง เอกสารทางเทคนิค การอัปเดต และข้อสัญญาที่เกี่ยวข้อง
- บันทึกวัตถุประสงค์ ข้อมูลที่ใช้ ความเสี่ยง การควบคุมโดยมนุษย์ และการเปลี่ยนแปลงของระบบ
- ส่งกรณีก้ำกึ่งให้ผู้เชี่ยวชาญด้านกฎหมายประเมินตั้งแต่เนิ่น ๆ
อย่ามองข้าม AI literacy
AI literacy หรือความรู้เท่าทัน AI ไม่ได้เกี่ยวข้องเฉพาะระบบ high-risk เท่านั้น แหล่งข้อมูลหนึ่งอธิบายว่าหน้าที่ด้าน AI literacy เป็นภาระกว้างสำหรับทั้งผู้ให้บริการและ deployer ไม่ว่าระบบจะมีระดับความเสี่ยงเท่าใด แม้องค์กรที่ใช้ AI ความเสี่ยงต่ำมากก็ยังต้องคำนึงถึง AI literacy และหลีกเลี่ยงการใช้งานต้องห้าม[2]
ในทางปฏิบัติ พนักงานที่เลือก ตั้งค่า หรือใช้ AI ควรรู้ข้อจำกัดของระบบ เข้าใจความผิดพลาดที่พบได้บ่อย และรู้ว่าเมื่อใดต้องให้มนุษย์ตรวจสอบก่อนใช้ผลลัพธ์
3 กรณีที่พบบ่อยในบริษัท
กรณีที่ 1: ใช้ AI assistant ภายในเท่านั้น
สิ่งที่ต้องดูคือใช้เพื่ออะไร หากใช้ช่วยสรุปข้อความหรือค้นคว้าภายใน ความเสี่ยงอาจต่างจากการนำไปใช้ใน HR การประเมินบุคคล การให้สิทธิประโยชน์ หรือกระบวนการอ่อนไหวอื่น ๆ แต่เครื่องมือเหล่านี้ก็ควรถูกบันทึกในทะเบียน AI และแม้ความเสี่ยงต่ำกว่า ก็ยังควรมี AI literacy และกติกาการใช้งานที่ชัดเจน[2]
กรณีที่ 2: สร้าง SaaS หรือผลิตภัณฑ์ที่มีฟีเจอร์ AI
บริษัทควรตรวจว่าตนเข้าข่ายเป็นผู้ให้บริการระบบ AI หรือไม่ และฟีเจอร์ดังกล่าวอาจถูกใช้ในบริบท high-risk หรือไม่ หากเป็น high-risk AI ตั้งแต่ปี 2026 เป็นต้นไป ประเด็นอย่างการบริหารความเสี่ยง เอกสารทางเทคนิค และการประเมินความสอดคล้องจะยิ่งสำคัญ[1][
8]
กรณีที่ 3: ใช้ AI ใน recruiting, scoring หรือ customer support
การใช้ AI ในการจ้างงานควรตรวจตั้งแต่ต้น เพราะแหล่งข้อมูลระบุว่าการจ้างงานเป็นหนึ่งในพื้นที่ที่อาจเกิดคำถามเรื่อง high-risk AI[3] ส่วน scoring หรือ customer support ต้องดู workflow จริงว่า AI เพียงช่วยเจ้าหน้าที่ หรือมีบทบาทเตรียม มีอิทธิพล หรือทำการตัดสินใจเกี่ยวกับบุคคลโดยอัตโนมัติ หากไม่มีรายละเอียด workflow ก็ไม่ควรสรุประดับความเสี่ยงแบบเหมารวม
เช็กลิสต์สำหรับเริ่มดำเนินการ
- รวบรวมการใช้ AI ทั้งหมด: รวมเครื่องมือภายใน โมเดลที่ใช้ ฟีเจอร์สินค้า ระบบอัตโนมัติ และ SaaS ที่มี AI
- คัดกรอง use case: เริ่มจากการตัดความเสี่ยงเรื่องการใช้งานต้องห้าม จากนั้นตรวจความเกี่ยวข้องกับ GPAI และความเป็นไปได้ของ high-risk AI[
2][
3][
5]
- ระบุบทบาทของบริษัท: สำหรับแต่ละระบบ ให้ชัดว่าบริษัทเป็น deployer ผู้ให้บริการระบบ AI หรือผู้ให้บริการโมเดล GPAI[
2][
5][
8]
- จัดลำดับพื้นที่อ่อนไหว: ตรวจ HR ชีวมิติ โครงสร้างพื้นฐานสำคัญ การศึกษา บริการสาธารณะ และกระบวนการที่ใกล้การตัดสินใจเกี่ยวกับบุคคลก่อน[
3]
- ตรวจผู้ให้บริการ: สำหรับ AI ที่ซื้อมา ให้ถามหาเอกสาร ความเสี่ยง การอัปเดต และข้อสัญญาว่าใครรับผิดชอบเรื่องใด
- ตั้งระบบ governance: กำหนดเจ้าของระบบ ขั้นตอนอนุมัติ การฝึกอบรม และเอกสารประกอบ
- วางแผนสำหรับ high-risk AI: หากอาจเข้าข่าย Annex III ให้ใช้วันที่ 2 สิงหาคม 2026 เป็นหมุดหมายสำคัญในการเตรียมความพร้อม[
1]
- ทำ AI literacy ให้เกิดจริง: พนักงานที่เกี่ยวข้องควรเข้าใจข้อจำกัดของ AI ความเสี่ยงจากผลลัพธ์ผิดพลาด และจุดที่ต้องมีมนุษย์ตรวจสอบ[
2]
สรุป
คำถามสำคัญของ EU AI Act สำหรับบริษัทไม่ใช่ “เรายังใช้ AI ได้ไหม” แต่คือ “use case นี้คืออะไร บริษัทมีบทบาทอะไร และเส้นตายใดเกี่ยวข้อง”
ถ้าบริษัทใช้ AI ภายในไม่กี่เครื่องมือ งานอาจเริ่มจากทะเบียน AI กติกาการใช้งาน และ AI literacy ซึ่งยังเป็นเรื่องสำคัญและมีความเกี่ยวข้องตามแหล่งข้อมูล[2] แต่ถ้าใช้ AI ในพื้นที่อ่อนไหว ให้บริการผลิตภัณฑ์ AI หรือเกี่ยวข้องกับโมเดล GPAI ไม่ควรรอจนถึงปี 2026 แล้วค่อยเริ่มตรวจ เพราะเส้นตายและภาระหน้าที่บางส่วนเริ่มขยับเข้ามาแล้ว[
1][
3][
5]




