EU AI Act

EU AI Act (ชื่อทางการ: Regulation (EU) 2024/1689) คือกฎหมายกำกับดูแลปัญญาประดิษฐ์แบบครอบคลุมฉบับแรกของโลก ออกโดยสหภาพยุโรป เสนอครั้งแรกเมื่อเดือนเมษายน 2021 ผ่านสภายุโรปเดือนมีนาคม 2024 และเริ่มมีผลบังคับใช้ 1 สิงหาคม 2024 หัวใจของกฎหมายคือ risk-based approach: ไม่ได้เหมารวมว่า ai ทุกตัวอันตรายเท่ากัน แต่แบ่งระบบ AI ตามระดับความเสี่ยงต่อความปลอดภัยและสิทธิของประชาชน แล้วกำหนดกติกาหนักเบาตามระดับนั้น

กฎหมายแบ่งความเสี่ยงเป็น 4 ระดับ ระดับแรก unacceptable risk คือสิ่งที่ห้ามเด็ดขาด (มีผลแล้วตั้งแต่ 2 กุมภาพันธ์ 2025) เช่น social scoring ที่ให้คะแนนพฤติกรรมประชาชน การใช้ AI อ่านอารมณ์ (emotion recognition) กับพนักงานในที่ทำงานหรือนักเรียนในโรงเรียน และการกวาดรูปใบหน้าจากอินเทอร์เน็ตมาทำฐานข้อมูลจดจำใบหน้า ระดับที่สอง high risk เช่น AI คัดคนเข้าทำงาน ประเมินผลด้านการศึกษา หรือควบคุมโครงสร้างพื้นฐานสำคัญ กลุ่มนี้ยังใช้ได้แต่มีเงื่อนไขหนัก: ต้องประเมินและลดความเสี่ยง ใช้ข้อมูลฝึกคุณภาพสูง เก็บ log ให้ตรวจย้อนได้ และมีมนุษย์กำกับดูแล (human-in-the-loop) ระดับที่สาม transparency risk: chatbot ต้องบอกให้ผู้ใช้รู้ว่ากำลังคุยกับ AI และคอนเทนต์จาก generative-ai รวมถึง deepfake ต้องทำให้ระบุได้ว่าสร้างโดย AI ระดับสุดท้าย minimal risk ซึ่งครอบคลุม AI ส่วนใหญ่ในตลาด (เช่น spam filter) ไม่มีข้อบังคับเพิ่ม นอกจากนี้ยังมีกติกาแยกสำหรับ general-purpose AI: ผู้ให้บริการ model อเนกประสงค์แบบเดียวกับที่อยู่เบื้องหลัง chatgpt ต้องโปร่งใสเรื่องข้อมูลฝึกและเคารพลิขสิทธิ์ ส่วนโมเดลที่ใช้พลังประมวลผลฝึกเกิน 10^25 FLOPs จะถูกจัดว่ามี systemic risk ต้องประเมินและลดความเสี่ยงเพิ่มเติม กติกากลุ่มนี้เริ่มใช้ 2 สิงหาคม 2025

เหตุผลที่คนทำงานนอกยุโรปต้องสนใจคือกฎหมายนี้มีผลข้ามพรมแดน (extraterritorial) แบบเดียวกับ gdpr: บริษัทนอก EU ที่ขายระบบหรือให้บริการ AI กับผู้ใช้ใน EU ก็เข้าข่ายด้วย โทษปรับขั้นสูงสุดสำหรับการฝ่าฝืนข้อห้ามคือ 35 ล้านยูโรหรือ 7% ของรายได้รวมทั่วโลก (แล้วแต่จำนวนไหนสูงกว่า) การบังคับใช้อยู่ในมือ AI Office ของ European Commission ร่วมกับหน่วยงานกำกับของแต่ละประเทศสมาชิก และภาระผูกพันยังทยอยมีผลต่อเนื่อง: บังคับใช้เต็มรูปแบบราวเดือนสิงหาคม 2026 ส่วนระบบ high risk ในภาคอ่อนไหวมีเส้นตายช่วงปลายปี 2027 ตามไทม์ไลน์ล่าสุดของ European Commission สำหรับองค์กรไทย ต่อให้ยังไม่มีลูกค้าใน EU เลย กรอบความเสี่ยง 4 ระดับนี้ก็เป็นจุดตั้งต้นที่ดีเวลาร่างนโยบายการใช้ AI ภายในองค์กร

ตัวอย่างจากบทสนทนาจริง

หัวหน้าฝ่าย HR: "บริษัทเราอยู่ไทย ทำระบบ AI คัดใบสมัครงานให้บริษัทลูกที่เยอรมนีใช้ แบบนี้ไม่ต้องสน EU AI Act หรอกใช่ไหม เพราะเราไม่ใช่บริษัทยุโรป"

ที่ปรึกษา: "ต้องสนเต็มๆ ครับ EU AI Act บังคับใช้ข้ามพรมแดนแบบเดียวกับ GDPR: ขอแค่ระบบถูกนำไปใช้กับคนใน EU ผู้พัฒนานอก EU ก็เข้าข่าย และ AI คัดใบสมัครงานถูกจัดเป็น high risk ด้วย ต้องมี human oversight เก็บ log และประเมินความเสี่ยงก่อนใช้งาน ฝ่าฝืนมีโทษปรับได้ถึงหลักสิบล้านยูโร"

ระวังสับสนกับ

• กฎหมายคุ้มครองข้อมูลส่วนบุคคล (GDPR / pdpa): กลุ่มนี้คุ้มครอง "ข้อมูล" ของบุคคล ไม่ว่าจะประมวลผลด้วยเทคโนโลยีอะไร ส่วน EU AI Act กำกับ "ตัวระบบ AI" ตามระดับความเสี่ยงของการใช้งาน องค์กรเดียวกันอาจต้องทำตามทั้งสองพร้อมกัน
• ai-governance: เป็นคำกว้าง หมายถึงแนวทางกำกับดูแลการใช้ AI ทั้งระดับองค์กรและระดับนโยบาย ส่วน EU AI Act คือตัวอย่างที่เป็นรูปธรรมที่สุดของ AI governance ฝั่งกฎหมาย มีสภาพบังคับและค่าปรับจริง
• iso-42001: เป็นมาตรฐานสากลแบบสมัครใจที่องค์กรใช้จัดระบบบริหารความเสี่ยง AI ภายใน ต่างจาก EU AI Act ที่เป็นกฎหมายบังคับตามเขตอำนาจศาลและมีบทลงโทษจริง มีมาตรฐานนี้ก็ไม่ได้แปลว่าทำตาม EU AI Act ครบถ้วนอัตโนมัติ