กฎหมาย AI ทั่วโลกกำลังไปทางไหน และธุรกิจไทยควรเตรียมตัวอย่างไร

แนวคิดร่วมที่หลายประเทศใช้: ดูตามระดับความเสี่ยง

แทนที่จะห้ามหรืออนุญาต AI ทั้งหมดเหมือนกันหมด หลายประเทศใช้หลักว่ายิ่งผลกระทบต่อสิทธิ์ ความปลอดภัย หรือโอกาสของคนมาก ยิ่งต้องมีมาตรการเข้มขึ้น ตัวอย่างเช่น AI ที่แนะนำเพลงมีความเสี่ยงต่ำ ส่วน AI ที่ช่วยตัดสินใจเรื่องสินเชื่อหรือการจ้างงานมีผลต่อชีวิตคนโดยตรง จึงควรถูกตรวจสอบมากกว่า

หลักคิดนี้ช่วยให้ธุรกิจจัดลำดับความสำคัญได้ง่าย ไม่ต้องทำเอกสารหนักกับทุกฟีเจอร์ แต่ให้ใช้แรงกับจุดที่ผลกระทบสูงจริง ๆ

EU AI Act พื้นฐานที่ควรรู้

สหภาพยุโรปมีกฎหมาย AI ฉบับกลางที่เรียกว่า EU AI Act ซึ่งแบ่งระบบ AI ตามความเสี่ยงเป็นหลายระดับ ระดับที่ยอมรับไม่ได้ถูกห้าม ระดับความเสี่ยงสูงต้องมีการบริหารความเสี่ยง เอกสารทางเทคนิค ข้อมูลที่มีคุณภาพ และการกำกับดูแลโดยคน ระดับที่มีความเสี่ยงจำกัดมักต้องแจ้งให้ผู้ใช้รู้ว่ากำลังคุยกับ AI และส่วนที่ความเสี่ยงต่ำแทบไม่มีข้อบังคับเพิ่ม

กฎหมายนี้อาจเกี่ยวกับธุรกิจไทยได้ เช่น ถ้าคุณให้บริการหรือส่งผลิตภัณฑ์ที่ใช้ AI ให้ลูกค้าในยุโรป รายละเอียดและกำหนดการบังคับใช้เป็นเรื่องที่ควรตรวจสอบจากแหล่งทางการหรือที่ปรึกษากฎหมายเป็นระยะ เพราะมีการทยอยบังคับใช้ตามหมวด

• ความเสี่ยงที่ยอมรับไม่ได้: ห้ามใช้
• ความเสี่ยงสูง: ต้องมีเอกสาร การทดสอบ และคนกำกับ
• ความเสี่ยงจำกัด: ต้องมีความโปร่งใส เช่น แจ้งว่าเป็น AI
• ความเสี่ยงต่ำ: ใช้ได้โดยมีข้อบังคับน้อย

แนวทางรายอุตสาหกรรม และกรอบที่ทำตามโดยสมัครใจ

ไม่ใช่ทุกประเทศที่มีกฎหมาย AI ฉบับเดียว บางประเทศให้หน่วยงานกำกับของแต่ละอุตสาหกรรม เช่น การเงิน สุขภาพ หรือการโฆษณา ออกแนวทางของตัวเอง โดยใช้กฎหมายเดิมที่มีอยู่ เช่น กฎหมายคุ้มครองผู้บริโภคหรือข้อมูลส่วนบุคคลมาบังคับกับ AI ด้วย ธุรกิจที่อยู่ในอุตสาหกรรมที่มีผู้กำกับดูแลอยู่แล้วจึงควรดูแนวทางของหน่วยงานนั้นก่อน

ควบคู่กันมีกรอบสมัครใจที่ได้รับความนิยม เช่น กรอบบริหารความเสี่ยง AI ของหน่วยงานด้านมาตรฐานในสหรัฐฯ และมาตรฐานสากลเรื่องระบบบริหารจัดการ AI แม้ไม่ใช่ข้อบังคับ แต่ช่วยให้ธุรกิจมีโครงสร้างในการจัดการ และตอบคำถามจากลูกค้าองค์กรหรือคู่ค้าได้ดีขึ้น

กฎจะเปลี่ยนได้เสมอ แต่ทีมที่จดบันทึกการตัดสินใจของตัวเองไว้ จะปรับตัวได้เร็วกว่า

ธุรกิจไทยควรเริ่มจากเอกสารและบัญชีรายการ AI

ขั้นแรกที่ทำได้ทันทีคือทำรายการว่าองค์กรใช้ AI ที่ไหนบ้าง ทั้งที่ทีมพัฒนาเองและเครื่องมือที่พนักงานใช้ เช่น แชตบอท ระบบคัดกรองใบสมัคร หรือเครื่องมือเขียนข้อความ แต่ละรายการให้จดวัตถุประสงค์ ผู้รับผิดชอบ ข้อมูลที่ใช้ ผู้ให้บริการโมเดล และความเสี่ยงที่ประเมินไว้

เอกสารเหล่านี้ไม่ต้องหรูหรา ไฟล์ตารางที่อัปเดตสม่ำเสมอก็เริ่มได้ แต่เมื่อมีคนถามว่าระบบนี้ทำงานอย่างไรและใครรับผิดชอบ คุณจะตอบได้ทันที ซึ่งเป็นสิ่งที่ทั้งผู้กำกับดูแลและลูกค้าองค์กรมักอยากเห็น

เรื่องข้อมูล: PDPA ยังเป็นฐานสำคัญ

ในประเทศไทย กฎหมายที่เกี่ยวกับ AI อย่างตรงที่สุดในทางปฏิบัติตอนนี้ยังเป็น PDPA เพราะ AI ส่วนใหญ่ใช้ข้อมูลส่วนบุคคล ควรทบทวนว่าคุณเก็บข้อมูลอะไรไปป้อนระบบ มีฐานทางกฎหมายหรือความยินยอมหรือไม่ แจ้งวัตถุประสงค์ชัดเจนไหม และส่งข้อมูลให้ผู้ให้บริการภายนอกหรือข้ามประเทศภายใต้เงื่อนไขที่เหมาะสมหรือเปล่า

นอกจากนี้ควรดูที่มาของข้อมูลที่ใช้ปรับหรือทดสอบโมเดล และมีกระบวนการรับคำขอจากเจ้าของข้อมูล เช่น ขอลบหรือขอแก้ไข ซึ่งต้องออกแบบให้ใช้ได้จริงกับระบบ AI ของคุณด้วย

การกำกับดูแลโดยคน และการติดตามกฎ

ทุกกรอบที่กล่าวมาเน้นตรงกันว่าการตัดสินใจที่กระทบคนมากควรมีคนตรวจสอบได้ ให้กำหนดว่าใครมีอำนาจยกเลิกหรือแก้ผลลัพธ์ของ AI ผู้ใช้ปลายทางมีช่องทางโต้แย้งหรือขอให้คนตรวจซ้ำได้อย่างไร และเก็บ log เพื่อย้อนดูเหตุผลได้

สุดท้าย กฎเรื่อง AI ยังเปลี่ยนเร็ว ให้มอบหมายคนหนึ่งคนติดตามประกาศจากหน่วยงานที่เกี่ยวข้องในไทยและตลาดที่คุณขายของ และทบทวนบัญชีรายการ AI อย่างน้อยปีละครั้ง