องค์กรที่กำลังวางระบบการใช้ AI มักถามว่า "ตอนนี้ไทยมีกฎหมาย AI หรือยัง" คำตอบสั้น ๆ คือยังไม่มีกฎหมาย AI เฉพาะที่บังคับใช้ กฎหมายที่ผูกพันอยู่แล้วคือ PDPA แต่มีทั้งร่างกฎหมาย AI และแนวทางกำกับหลายฉบับที่กำลังจะมา องค์กรที่เข้าใจว่าอะไรบังคับแล้วและอะไรยังเป็นร่างจะเตรียมตัวได้ล่วงหน้าโดยไม่ต้องตื่นตระหนกและไม่ประมาท บทความนี้สรุปภูมิทัศน์การกำกับดูแล AI ในไทยเท่าที่เป็นอยู่ และสิ่งที่องค์กรทำได้ตอนนี้
บทความนี้เป็นภาพรวมเชิงปฏิบัติเพื่อการเตรียมตัว ไม่ใช่คำแนะนำทางกฎหมาย สถานะของร่างกฎหมายเปลี่ยนได้ ควรตรวจสถานะล่าสุดและปรึกษาที่ปรึกษากฎหมายสำหรับกรณีของท่าน
อะไรบังคับใช้แล้ววันนี้
สิ่งที่มีผลผูกพันตอนนี้คือ PDPA ซึ่งคุ้มครองข้อมูลส่วนบุคคล และผูกพันทุกการใช้ AI ที่แตะข้อมูลส่วนบุคคล ไม่ว่าจะมีกฎหมาย AI เฉพาะหรือไม่ นี่คือฐานที่องค์กรต้องทำให้ครบก่อนเรื่องอื่น เพราะหน้าที่ตาม PDPA มีผลทันทีและมีบทลงโทษจริง (หน้าที่ตาม PDPA เมื่อใช้ AI ในองค์กร)
นอกจากนั้น กฎหมายที่มีอยู่เดิมอย่างกฎหมายคุ้มครองผู้บริโภค ลิขสิทธิ์ และความรับผิดตามสัญญาและละเมิด ก็ยังใช้กับผลลัพธ์จาก AI ได้เช่นกัน การไม่มีกฎหมาย AI เฉพาะจึงไม่ได้แปลว่าเป็นพื้นที่ว่างทางกฎหมาย
ร่างแนวทาง AI ของ PDPC
ช่วงต้นปี 2026 PDPC เปิดร่างแนวทางการคุ้มครองข้อมูลส่วนบุคคลสำหรับการพัฒนาและการใช้ AI ให้แสดงความเห็น ตัวร่างเน้นเฉพาะมุมข้อมูลส่วนบุคคล ยังไม่ผูกพันในตัวเอง แต่ชี้ทิศทางการบังคับใช้ PDPA กับงาน AI เช่น การมีฐานการประมวลผลสำหรับข้อมูลที่ใช้ฝึก และการให้คนทบทวนการตัดสินใจอัตโนมัติที่กระทบบุคคล (รายละเอียดอยู่ในบทความ PDPA กับการใช้ AI)
ร่าง พ.ร.บ. AI ที่กำลังมา
ฝั่งกฎหมาย AI โดยตรง ETDA เป็นเจ้าภาพหลัก โดยเปิดรับฟังความเห็นหลักการของกฎหมาย AI มาตั้งแต่กลางปี 2025 และออกร่างที่ปรับปรุงแล้วในช่วงกลางปี 2026 คาดว่าจะทยอยเข้าสู่การบังคับใช้ในช่วงราวปี 2026 ถึง 2027 (ร่างก่อนหน้าอย่างร่างพระราชกฤษฎีกาว่าด้วยการประกอบธุรกิจที่ใช้ระบบ AI ถูกรวมเข้ากับแนวทางหลักฉบับนี้แล้ว)
ลักษณะเด่นของร่างที่องค์กรควรรู้
- ใช้แนวทางแบ่งตามระดับความเสี่ยง คล้ายกับ EU AI Act คือแยก AI ที่ต้องห้าม AI เสี่ยงสูง AI ที่ต้องขออนุญาต และ AI ที่มีหน้าที่โปร่งใส เช่น การเปิดเผยเมื่อเป็น deepfake แชตบอต หรือเนื้อหาที่สร้างด้วย AI
- มีจุดเฉพาะของไทย ที่พูดถึงกันมากคือแนวคิดความรับผิดที่เข้มข้นต่อความเสียหายจาก AI การกำหนดให้ผู้ให้บริการต่างชาติมีตัวแทนในประเทศ และหน้าที่ติดป้ายเนื้อหาที่สร้างด้วย AI
- ผู้พัฒนาและผู้นำไปใช้อาจรับผิดร่วมกัน และข้อสัญญาที่ปัดความรับผิดอาจใช้ไม่ได้ผล
- มีผลข้ามพรมแดน คือครอบคลุมการพัฒนาหรือใช้ AI ที่ส่งผลต่อคนในไทยแม้การกระทำจะเกิดนอกประเทศ
เนื่องจากยังเป็นร่างและผ่านการรับฟังความเห็นหลายรอบ รายละเอียดจึงยังเปลี่ยนได้ ควรติดตามสถานะล่าสุดจาก ETDA
ผู้กำกับดูแลรายอุตสาหกรรม
นอกจากกฎหมายกลาง องค์กรในบางภาคธุรกิจยังมีผู้กำกับเฉพาะที่ออกแนวทางของตนเอง ที่ชัดที่สุดคือภาคการเงิน ซึ่งธนาคารแห่งประเทศไทยมีความคาดหวังด้านการบริหารความเสี่ยงจากการใช้ AI ที่ทำหน้าที่เป็นข้อกำหนดเฉพาะภาคอยู่แล้ว ภาคตลาดทุนและประกันภัยก็มีทิศทางคล้ายกัน องค์กรในภาคที่มีผู้กำกับจึงต้องดูแนวทางของผู้กำกับตนควบไปกับกฎหมายกลาง และควรตรวจเอกสารล่าสุดจากผู้กำกับโดยตรง
สิ่งที่องค์กรทำได้ตอนนี้
ไม่ต้องรอให้กฎหมาย AI ประกาศใช้ก่อนถึงจะเริ่มเตรียม
- ทำบัญชีว่าองค์กรใช้ AI ตรงไหนบ้าง แล้วจัดระดับความเสี่ยงของแต่ละงาน งานที่กระทบสิทธิของคนคือกลุ่มที่ต้องระวังที่สุด
- ทำตาม PDPA ให้ครบก่อน เพราะเป็นฐานของเกือบทุกข้อในร่างที่กำลังมา (โครงนโยบายการใช้ AI ในองค์กร)
- ให้คนทบทวนการตัดสินใจที่กระทบบุคคล เช่น การคัดกรองคนหรือการอนุมัติ อย่าปล่อยให้อัตโนมัติล้วน
- เปิดเผยเมื่อใช้ AI กับลูกค้าและในงานที่เผยแพร่ ให้สอดคล้องกับทิศทางเรื่องความโปร่งใส
- ตั้งคนหรือทีมที่ติดตามสถานะกฎหมาย และคุมความเสี่ยงอย่างเป็นระบบ (ความเสี่ยงจาก AI ที่องค์กรต้องคุม)
เส้นที่ต้องพึ่งที่ปรึกษา
การประเมินว่าระบบ AI ของเราเข้าข่ายเสี่ยงสูงหรือต้องขออนุญาตตามร่างกฎหมายหรือไม่ ประเด็นความรับผิด และการร่างสัญญากับผู้ให้บริการ เป็นเรื่องที่ต้องให้ที่ปรึกษากฎหมายตัดสินตามข้อเท็จจริงจริง บทความนี้ช่วยให้เห็นภาพรวมเพื่อตั้งคำถามที่ถูก แต่ไม่ใช่ข้อสรุปทางกฎหมาย
อ่านต่อ
อ่านหน้าที่ตาม PDPA เมื่อใช้ AI ซึ่งเป็นกฎหมายที่บังคับแล้ว และโครงนโยบายการใช้ AI ในองค์กร เพื่อแปลงเป็นกติกาที่ทำตามได้ ดูหลักสูตร AI Governance & Responsible AI ที่จัดในองค์กรได้ หรือดูรายละเอียดการอบรม AI ในองค์กร