ร่าง พ.ร.บ. ปัญญาประดิษฐ์ ฉบับใหม่ 2569: ธุรกิจไทยต้องเตรียมอะไรบ้าง

ร่างกฎหมายฉบับนี้คืออะไร และเดินมาถึงขั้นไหนแล้ว

สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) เผยแพร่ร่างพระราชบัญญัติปัญญาประดิษฐ์ฉบับใหม่เพื่อรับฟังความคิดเห็นสาธารณะเมื่อวันที่ 2 กรกฎาคม 2569 โดยเปิดรับความเห็นประมาณ 30 วัน นี่คือร่างที่ต่อยอดมาจากหลักการกฎหมาย AI ที่เคยเปิดรับฟังไว้ก่อนหน้า และเป็นครั้งแรกที่ตัวบทเขียนหน้าที่ของ "ผู้นำ AI ไปใช้" ไว้แยกจาก "ผู้พัฒนา AI" อย่างชัดเจน

ความสำคัญของประเด็นนี้อยู่ตรงที่ องค์กรส่วนใหญ่ในไทยไม่ได้พัฒนา AI เอง แต่ซื้อหรือสมัครใช้บริการ AI จากผู้ให้บริการรายใหญ่แล้วนำมาใช้ในงานประจำ เช่น คัดกรองใบสมัครงาน ประเมินสินเชื่อ ตรวจจับทุจริต หรือช่วยร่างเอกสาร องค์กรเหล่านี้คือ "ผู้นำไปใช้" (deployer) ซึ่งมีหน้าที่ตามร่างกฎหมายด้วย ไม่ใช่แค่ผู้พัฒนาเท่านั้น หากใครยังไม่ได้อ่านภาพรวมของทิศทางกฎหมาย AI ไทย แนะนำอ่าน กฎหมาย AI ของไทย ประกอบ

AI ถูกแบ่งเป็น 3 กลุ่มความเสี่ยง

โครงสร้างของร่างเดินตามแนวทางกำกับดูแลตามระดับความเสี่ยง (risk-based) ซึ่งเป็นแนวเดียวกับที่ใช้กันในหลายประเทศ นั่นคือ ไม่ได้ควบคุม AI ทุกตัวเท่ากัน แต่แบ่งตามผลกระทบที่อาจเกิดกับคน สาระสำคัญคือ AI ที่ใช้ในงานสำนักงานทั่วไปส่วนใหญ่จะไม่ตกอยู่ในกลุ่มความเสี่ยงสูง แต่องค์กรก็ต้องรู้ให้ได้ว่า AI ตัวไหนของตัวเองอยู่กลุ่มไหน

สำหรับผู้ให้บริการ AI ความเสี่ยงสูง ร่างกำหนดคุณลักษณะที่ระบบต้องมี ได้แก่ ทำงานได้อย่างมีประสิทธิภาพและเหมาะสมกับวัตถุประสงค์ โปร่งใสในการทำงาน อยู่ภายใต้การควบคุมของมนุษย์อย่างมีความหมาย และไม่เลือกปฏิบัติ นอกจากนี้ยังเปิดช่องให้ออกแนวปฏิบัติในการกำกับความเสี่ยงได้ถึง 13 ด้าน ตั้งแต่การบริหารความเสี่ยง การป้องกันอคติ ความมั่นคงปลอดภัยไซเบอร์ ไปจนถึงการจัดการเรื่องร้องเรียน

ผู้พัฒนา กับ ผู้นำไปใช้ หน้าที่ไม่เท่ากัน

จุดที่ธุรกิจไทยควรอ่านให้ละเอียดที่สุดคือตรงนี้ เพราะคนส่วนใหญ่เข้าใจว่ากฎหมาย AI เป็นเรื่องของบริษัทเทคโนโลยีที่สร้างโมเดล แต่ร่างฉบับนี้เขียนหน้าที่ของ "ผู้นำไปใช้" ไว้ชัดเจน และหน้าที่เหล่านั้นเป็นงานเชิงกระบวนการที่องค์กรทั่วไปต้องทำเอง ไม่ใช่สิ่งที่ผู้ให้บริการทำแทนได้

อ่านตารางนี้แล้วจะเห็นว่า สามข้อที่หนักที่สุดสำหรับองค์กรทั่วไปคือ ระบบบริหารความเสี่ยง การเก็บ log 6 เดือน และการมอบหมายผู้กำกับดูแล ทั้งสามข้อไม่ต้องซื้อซอฟต์แวร์ใหม่ก็เริ่มได้ แต่ต้องมีคนรับผิดชอบและมีเอกสารรองรับ ซึ่งเป็นงานเดียวกับที่บทความ ธรรมาภิบาล AI ในองค์กร เคยอธิบายไว้

ค่าปรับและมาตรการบังคับ

ร่างกำหนดโทษปรับทางปกครองไว้ในช่วง 1–5 ล้านบาท ขึ้นกับลักษณะของการฝ่าฝืน นอกจากค่าปรับแล้ว ยังเปิดช่องให้ขอศาลสั่งมาตรการเพิ่มเติมได้ ซึ่งในทางธุรกิจแล้วมาตรการเหล่านี้กระทบแรงกว่าตัวเงิน เพราะหมายถึงบริการหยุดชะงัก

• ปรับทางปกครอง 1–5 ล้านบาท — ต้นทุนโดยตรง และเป็นข้อมูลที่ผู้ตรวจสอบภายในกับคู่ค้าอาจขอดูในภายหลัง
• ศาลสั่งระงับการให้บริการชั่วคราว — ถ้าเป็นระบบที่ใช้ในสายงานหลัก เท่ากับกระบวนการทำงานหยุด องค์กรจึงควรมีแผนสำรองแบบไม่พึ่ง AI ไว้ตั้งแต่ต้น
• ศาลสั่งเรียกคืนผลิตภัณฑ์ — กระทบผู้พัฒนาและผู้จำหน่ายโดยตรง รวมถึงลูกค้าที่กำลังใช้งานอยู่
• ให้ผู้ให้บริการอินเทอร์เน็ตบล็อกการเข้าถึง — บริการต่างประเทศที่ไม่ปฏิบัติตามอาจเข้าถึงจากไทยไม่ได้ องค์กรที่พึ่งพาบริการนั้นได้รับผลกระทบตามไปด้วย ซึ่งเป็นเหตุผลที่ควรประเมินความเสี่ยงจากการผูกติดกับผู้ให้บริการรายเดียวไว้ล่วงหน้า

มีผลนอกราชอาณาจักร และต้องมีตัวแทนในไทย

ร่างกำหนดให้กฎหมายมีผลกับการพัฒนาหรือการนำ AI ไปใช้ที่ส่งผลกระทบต่อบุคคลในประเทศไทย แม้การกระทำนั้นจะเกิดขึ้นนอกราชอาณาจักร และกำหนดให้ผู้ให้บริการต่างประเทศต้องแต่งตั้งผู้ประสานงานหรือตัวแทนในไทย

สำหรับองค์กรที่ใช้บริการ AI จากผู้ให้บริการต่างประเทศ ประเด็นนี้แปลเป็นคำถามเชิงปฏิบัติสองข้อ คือ ผู้ให้บริการรายนั้นมีช่องทางติดต่อในไทยหรือยัง และสัญญาที่เซ็นไว้ระบุความรับผิดชอบเมื่อเกิดความเสียหายจากผลลัพธ์ของระบบไว้อย่างไร ทั้งสองข้อควรถูกใส่ไว้ในแบบประเมินผู้ขาย (vendor assessment) ตั้งแต่ตอนนี้ ไม่ต้องรอกฎหมายบังคับใช้

เช็กลิสต์ 6 ข้อที่ทำได้ทันทีระหว่างรอกฎหมาย

เนื่องจากมาตรการควบคุมความเสี่ยงจะมีผลหลังประกาศใช้ 180 วัน องค์กรจึงมีเวลาพอสมควร แต่งานที่ใช้เวลานานที่สุดคือการสำรวจว่าองค์กรใช้ AI อยู่ที่ไหนบ้าง ซึ่งควรเริ่มก่อนเพื่อน

• ทำทะเบียนการใช้ AI — ไล่ว่าแต่ละฝ่ายใช้เครื่องมือ AI อะไร ทำหน้าที่อะไร ตัดสินใจแทนคนหรือแค่ช่วยร่าง และข้อมูลอะไรถูกส่งออกไปบ้าง
• จัดกลุ่มตามความเสี่ยง — แยกให้ชัดระหว่างงานที่ AI แค่ช่วยเขียน กับงานที่ผลลัพธ์ของ AI ไปกระทบสิทธิของคน เช่น การคัดคน การให้คะแนน หรือการอนุมัติ
• กำหนดผู้รับผิดชอบ — ระบุชื่อผู้กำกับดูแลการใช้ AI ในแต่ละสายงาน ไม่ใช่ปล่อยให้เป็นหน้าที่ลอย ๆ ของฝ่ายไอที
• วางเรื่องการเก็บบันทึก — ตรวจว่าเครื่องมือที่ใช้อยู่ให้ log ย้อนหลังได้กี่เดือน และแผนที่ใช้อยู่ครอบคลุมถึงหรือไม่ ถ้าไม่ถึง 6 เดือน ต้องวางแผนสำรอง log ออกมาเก็บเอง
• เขียนขั้นตอนตรวจสอบผลลัพธ์ — กำหนดว่าใครเป็นผู้ตรวจก่อนนำผลลัพธ์จาก AI ไปใช้จริง ซึ่งเป็นเรื่องเดียวกับ การตรวจสอบข้อมูลที่ AI สร้างขึ้น ก่อนนำไปใช้ในเอกสารทางการ
• ทบทวนสัญญากับผู้ให้บริการ — ดูข้อสัญญาเรื่องการใช้ข้อมูลไปฝึกโมเดล ที่ตั้งของข้อมูล ระยะเวลาเก็บ log และช่องทางติดต่อในไทย

ระบบ ERP เกี่ยวข้องกับเรื่องนี้ตรงไหน

ต้องพูดกันตรง ๆ ก่อนว่า ERP ไม่ใช่ระบบกำกับดูแล AI และไม่มีปุ่มสำหรับ "ทำตาม พ.ร.บ. AI" ให้กดสำเร็จรูป แต่มีจุดหนึ่งที่ทับซ้อนกันชัดเจน คือร่างกฎหมายเรียกหาสิ่งที่ระบบบันทึกข้อมูลหลักขององค์กรมีอยู่แล้วโดยธรรมชาติ ได้แก่ ร่องรอยว่าใครทำอะไรกับข้อมูลใดเมื่อไร และการควบคุมว่าใครมีสิทธิเข้าถึงส่วนไหน

Saeree ERP เก็บข้อมูลหลักไว้บนฐานข้อมูลชุดเดียว มีร่องรอยการบันทึกและแก้ไขรายการ พร้อมการกำหนดสิทธิ์ผู้ใช้ที่ผู้ดูแลระบบขององค์กรทำเองได้ ทั้งการเพิ่มผู้ใช้ การตั้งผู้ใช้เป็น inactive และการกำหนดช่วงเวลาที่บัญชีใช้งานได้ (valid from–to) และเลือกติดตั้งได้ทั้งแบบ on-premise ในศูนย์ข้อมูลขององค์กรเอง หรือบนคลาวด์ ซึ่งเป็นคำตอบตรง ๆ เมื่อผู้ตรวจสอบถามว่าข้อมูลที่ AI เข้าถึงได้นั้นอยู่ที่ไหนและใครเข้าถึงได้บ้าง ส่วนความปลอดภัยของบัญชีผู้ใช้ ระบบรองรับ การยืนยันตัวตนสองชั้น (2FA) เพื่อลดความเสี่ยงจากการสวมรอย

สรุป

ร่าง พ.ร.บ. ปัญญาประดิษฐ์ ฉบับที่เผยแพร่เมื่อ 2 กรกฎาคม 2569 วางกรอบไว้ตามระดับความเสี่ยง แบ่ง AI เป็นระบบต้องห้าม ระบบความเสี่ยงสูง และระบบที่ต้องแจ้งหรือขออนุญาต พร้อมเขียนหน้าที่ของผู้นำ AI ไปใช้แยกจากผู้พัฒนาอย่างชัดเจน ซึ่งหมายความว่าองค์กรที่แค่ซื้อ AI มาใช้ก็มีภาระหน้าที่ด้วย

สามข้อที่กระทบธุรกิจทั่วไปมากที่สุดคือ ต้องมีระบบบริหารความเสี่ยงในระดับการใช้งานของตนเอง ต้องเก็บบันทึกการทำงานไว้อย่างน้อย 6 เดือน และต้องมีผู้กำกับดูแลที่ระบุตัวได้ ทั้งสามข้อเริ่มทำได้ทันทีโดยไม่ต้องรอกฎหมายบังคับใช้ และงานที่ควรเริ่มก่อนคือการทำทะเบียนว่าองค์กรใช้ AI อยู่ที่ไหนบ้าง เพราะเป็นงานที่ใช้เวลานานที่สุดและเป็นฐานของทุกอย่างที่เหลือ

"กฎหมาย AI ไม่ได้ถามว่าองค์กรใช้ AI เก่งแค่ไหน แต่ถามว่าองค์กรตอบได้ไหมว่าใครเป็นคนตัดสินใจ และมีหลักฐานอยู่ที่ไหน"

- ทีมงาน Saeree ERP

แหล่งอ้างอิง

• Mondaq — Thailand Releases New Draft Artificial Intelligence Act (2 กรกฎาคม 2569)
• ETDA — ดีอี และ ETDA เปิด (ร่าง) หลักการกฎหมาย AI เน้นคุมความเสี่ยงสูง
• Bangkok Post — ETDA unveils roadmap to strengthen AI governance
• สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA)

ตรวจสอบข้อมูลล่าสุดเมื่อ 20 กรกฎาคม 2569 — เอกสารยังอยู่ในขั้นร่างรับฟังความคิดเห็น