EU AI Act มีผลบังคับใช้แล้ว นี่คือสิ่งที่กฎหมายกำหนดจริง ๆ

EU AI Act กำหนดให้องค์กรที่พัฒนาหรือใช้งานระบบ AI ที่อยู่ภายใต้กฎหมายฉบับนี้ต้องจัดประเภทระบบแต่ละระบบตามระดับความเสี่ยง และปฏิบัติตามข้อกำหนดที่ผูกกับการจัดประเภทนั้น สำหรับระบบ AI ความเสี่ยงสูง หมายความว่าต้องมีระบบบริหารจัดการคุณภาพ เอกสารทางเทคนิคฉบับสมบูรณ์ การเก็บรักษาบันทึกการทำงาน (log) การประเมินความสอดคล้อง (conformity assessment) และกลไกการกำกับดูแลโดยมนุษย์ที่ถูกออกแบบไว้ในระบบตั้งแต่ก่อนวางจำหน่ายในตลาด แนวปฏิบัติที่ต้องห้ามมีผลบังคับใช้ตั้งแต่เดือนกุมภาพันธ์ 2025 ข้อกำหนดสำหรับ General Purpose AI (GPAI) เริ่มมีผลบังคับใช้ในเดือนสิงหาคม 2025 และข้อกำหนดความโปร่งใสตาม Article 50 จะมีผลบังคับใช้ตั้งแต่เดือนสิงหาคม 2026 บทลงโทษของ AI Act สูงถึง €35 million หรือ 7% ของยอดขายทั่วโลกต่อปี ซึ่งสูงกว่าเพดานของ GDPR ที่ 4% คำถามจึงไม่ใช่ว่ากฎหมาย AI ของสหภาพยุโรปนี้จะบังคับใช้กับบริษัทของคุณหรือไม่ แต่เป็นว่าระบบ AI ที่บริษัทของคุณใช้งานอยู่ในปัจจุบันสอดคล้องกับข้อกำหนดหรือไม่

ไทม์ไลน์การปฏิบัติตาม EU AI Act

EU AI Act มีผลบังคับใช้อย่างเป็นทางการตั้งแต่วันที่ 1 August 2024 โดยข้อกำหนดต่าง ๆ ทยอยมีผลบังคับใช้ตามกำหนดการสำคัญดังนี้

• 2 February 2025 - แนวปฏิบัติที่ต้องห้ามและความรู้ด้าน AI (AI Literacy): แนวปฏิบัติด้าน AI ที่ต้องห้ามกลายเป็นสิ่งผิดกฎหมายและมีผลบังคับใช้ ผู้พัฒนาระบบและผู้นำไปใช้งานต้องรับผิดชอบในการทำให้บุคลากรและผู้ที่เกี่ยวข้องกับระบบ AI ในนามของตนมีความรู้ความเข้าใจด้าน AI ในระดับที่เหมาะสม
• 2 August 2025 - General Purpose AI (GPAI): ข้อกำหนดด้านการกำกับดูแลโมเดลสำหรับผู้พัฒนา GPAI เริ่มมีผลบังคับใช้ และบทบัญญัติเรื่องบทลงโทษเริ่มมีผลใช้กับข้อกำหนดที่มีผลบังคับใช้อยู่ในขณะนั้น
• 2 August 2026 - ความโปร่งใสและการกำกับดูแลตลาด: หน้าที่ด้านความโปร่งใสตาม Article 50 มีผลบังคับใช้ ผู้ใช้งานต้องได้รับแจ้งเมื่อกำลังโต้ตอบกับ AI (เช่น แชทบอท) และเนื้อหาที่สร้างหรือดัดแปลงโดย AI ต้องมีการติดฉลากหรือเปิดเผยตามที่กฎหมายกำหนด หน่วยงานกำกับดูแลระดับประเทศเริ่มใช้อำนาจบังคับใช้กฎหมายอย่างเต็มรูปแบบกับบทบัญญัติที่มีผลบังคับใช้แล้ว
• 2 December 2027 - ระบบ AI ความเสี่ยงสูงเดี่ยวตาม Annex III: ระบบ AI ความเสี่ยงสูงภายใต้ Annex III (เครื่องมือด้านทรัพยากรบุคคลและการสรรหาบุคลากร การศึกษา การประเมินสินเชื่อ โครงสร้างพื้นฐานสำคัญ ไบโอเมตริกซ์ การบังคับใช้กฎหมาย การโยกย้ายถิ่นฐาน และกระบวนการยุติธรรม) จะต้องปฏิบัติตามข้อกำหนดฉบับเต็ม กำหนดเวลานี้ถูกเลื่อนออกไปจากเดือน August 2026 ภายหลังจากมาตรการปรับลดความซับซ้อน (Omnibus) ของสหภาพยุโรปในปี 2026
• 2 August 2028 - ระบบ AI ความเสี่ยงสูงที่ฝังอยู่ในผลิตภัณฑ์ตาม Annex I: ระบบ AI ความเสี่ยงสูงที่ฝังตัวเป็นส่วนประกอบด้านความปลอดภัยในผลิตภัณฑ์ทางกายภาพที่อยู่ภายใต้การกำกับดูแล เช่น เครื่องจักร อุปกรณ์การแพทย์ และยานพาหนะ จะต้องปฏิบัติตามข้อกำหนดฉบับเต็ม (เลื่อนจาก August 2027 ตามการแก้ไขของ Omnibus ปี 2026)

การขยายกำหนดเวลาตาม Omnibus มีผลกับกำหนดเวลาของระบบความเสี่ยงสูง (Annex III และ Annex I) เพื่อให้สอดคล้องกับมาตรฐานทางเทคนิค แต่แนวปฏิบัติที่ต้องห้าม กฎเกณฑ์ GPAI ข้อกำหนดความโปร่งใสตาม Article 50 และระบบบทลงโทษยังคงเป็นไปตามกำหนดการเดิมที่มีผลบังคับใช้อยู่

ระดับความเสี่ยงทั้งสี่ระดับและความหมายในทางปฏิบัติ

ความเสี่ยงที่ยอมรับไม่ได้ (ต้องห้ามตั้งแต่ 2 February 2025)

แนวปฏิบัติเหล่านี้ถูกห้ามโดยเด็ดขาด สำหรับบริษัทระดับกลาง ข้อห้ามที่สำคัญได้แก่

• ระบบตรวจจับอารมณ์ในสถานที่ทำงานและสถาบันการศึกษา
• AI ที่ใช้ประโยชน์จากความเปราะบางด้านอายุ ความพิการ หรือสถานะทางเศรษฐกิจและสังคมเฉพาะ เพื่อบิดเบือนพฤติกรรม
• การระบุตัวตนทางชีวมิติ (biometric) จากระยะไกลแบบเรียลไทม์ในพื้นที่สาธารณะ (ยกเว้นกรณีการบังคับใช้กฎหมายในขอบเขตที่จำกัด)
• การเก็บรวบรวมภาพใบหน้าจากอินเทอร์เน็ตหรือกล้องวงจรปิดแบบไม่เจาะจงเป้าหมาย เพื่อสร้างฐานข้อมูลจดจำใบหน้า

หากเครื่องมือติดตามพนักงาน การวิเคราะห์ข้อมูล HR หรือเครื่องมือมีส่วนร่วมกับลูกค้าของบริษัทคุณมีความสามารถเหล่านี้ เครื่องมือดังกล่าวไม่สอดคล้องกับกฎหมายของสหภาพยุโรป

ความเสี่ยงสูง (ทยอยมีผลบังคับใช้ถึงปี 2027-2028)

สำหรับบริษัทระดับกลางส่วนใหญ่ ความเสี่ยงสูงคือหมวดหมู่ที่ต้องทุ่มเทความพยายามด้านการปฏิบัติตามกฎหมายมากที่สุด ตัวอย่างที่เกี่ยวข้องได้แก่

• AI ที่ทำหน้าที่เป็นส่วนประกอบด้านความปลอดภัยในเครื่องจักร ยานพาหนะ หรืออุปกรณ์การแพทย์ (Annex I - มีผลบังคับใช้ 2 August 2028)
• AI สำหรับคัดกรองเรซูเม่ จัดอันดับผู้สมัครงาน หรือติดตามประเมินผลการทำงานของพนักงาน (Annex III - มีผลบังคับใช้ 2 December 2027)
• AI ที่ใช้ในการประเมินสินเชื่อและการประเมินความเสี่ยงประกันภัยบางประเภท (Annex III - มีผลบังคับใช้ 2 December 2027)
• AI ที่ใช้ในการดำเนินงานโครงสร้างพื้นฐานสำคัญ รวมถึงการบำรุงรักษาเชิงคาดการณ์ที่มีผลต่อความปลอดภัย (Annex III - มีผลบังคับใช้ 2 December 2027)

ความเสี่ยงจำกัด (มีผลบังคับใช้ 2 August 2026)

แชทบอทและระบบ AI ที่สร้างเนื้อหาสังเคราะห์จัดอยู่ในหมวดนี้ ข้อกำหนดหลักคือความโปร่งใสตาม Article 50 กล่าวคือผู้ใช้งานต้องได้รับแจ้งว่ากำลังโต้ตอบกับ AI และเนื้อหาที่สร้างหรือดัดแปลงโดย AI ต้องมีการติดฉลากหรือเปิดเผยตามที่ Article 50 กำหนด โดยไม่จำเป็นต้องมีการประเมินความสอดคล้องอย่างเป็นทางการ

ความเสี่ยงน้อยที่สุด

ตัวกรองสแปม วิดีโอเกม และเครื่องมือค้นหาเอกสารด้วย AI ทั่วไป ระบบเหล่านี้ไม่มีข้อผูกพันทางกฎหมายภาคบังคับภายใต้กฎหมายฉบับนี้ แม้จะมีการสนับสนุนให้ปฏิบัติตามแนวปฏิบัติโดยสมัครใจ

สิ่งที่การปฏิบัติตามข้อกำหนดของระบบ AI ความเสี่ยงสูงต้องมีจริง ๆ

หากบริษัทของคุณพัฒนาหรือใช้งานระบบ AI ความเสี่ยงสูง กฎหมายฉบับนี้กำหนดข้อกำหนดตามกฎหมายภาคบังคับก่อนที่ระบบจะออกสู่ตลาดหรือถูกนำไปใช้งานจริง ได้แก่

• ระบบบริหารจัดการคุณภาพ (Article 17) - นโยบายที่เป็นลายลักษณ์อักษรครอบคลุมการกำกับดูแลข้อมูล การออกแบบระบบ การบริหารจัดการการเปลี่ยนแปลง การติดตามหลังออกสู่ตลาด และการรายงานเหตุการณ์ผิดปกติ
• เอกสารทางเทคนิค (Article 11) - เอกสารฉบับสมบูรณ์ที่ระบุวัตถุประสงค์ของระบบ ข้อมูลที่ใช้ฝึกโมเดล สถาปัตยกรรม ตัวชี้วัดประสิทธิภาพ และข้อจำกัดที่ทราบ (อยู่ภายใต้ Article 11 และต้องเก็บรักษาไว้ 10 ปีหลังจากวางจำหน่ายในตลาดตาม Article 18)
• การเก็บรักษาบันทึกการทำงาน (Articles 12 & 26) - ผู้พัฒนาระบบต้องเปิดใช้งานความสามารถในการบันทึกข้อมูลทางเทคนิค (Article 12) ผู้นำไปใช้งานต้องเก็บรักษาบันทึกที่เกิดขึ้นโดยอัตโนมัติเป็นระยะเวลาที่เหมาะสม อย่างน้อยหกเดือน ในกรณีที่บันทึกอยู่ภายใต้การควบคุมของตนและสามารถทำได้ในทางเทคนิค เว้นแต่กฎหมายอื่นของสหภาพยุโรปหรือกฎหมายภายในประเทศจะกำหนดไว้เป็นอย่างอื่น (Article 26)
• การประเมินความสอดคล้อง (Article 43) - ต้องดำเนินการให้แล้วเสร็จก่อนที่ระบบจะวางจำหน่ายในตลาดหรือถูกนำไปใช้งาน ขึ้นอยู่กับประเภทของระบบ อาจเป็นการประเมินตนเองหรือการประเมินโดยบุคคลที่สาม
• คำประกาศความสอดคล้องของสหภาพยุโรปและเครื่องหมาย CE (Articles 47 & 48) - คำประกาศอย่างเป็นทางการและเครื่องหมาย CE ที่ระบุว่าระบบเป็นไปตามข้อกำหนดของกฎหมายฉบับนี้ก่อนวางจำหน่ายในตลาด
• การขึ้นทะเบียนในฐานข้อมูล EU AI Database (Article 49) - ต้องขึ้นทะเบียนระบบในฐานข้อมูลทางการของสหภาพยุโรปก่อนวางจำหน่ายในตลาดหรือนำไปใช้งาน
• การกำกับดูแลโดยมนุษย์ (Article 14) - ผู้พัฒนาระบบต้องออกแบบกลไกการกำกับดูแลที่มีประสิทธิภาพไว้ในตัวระบบ เพื่อให้ผู้ปฏิบัติงานเข้าใจข้อจำกัดของระบบ ป้องกันอคติจากการพึ่งพาระบบอัตโนมัติ (automation bias) และสามารถเข้าแทรกแซงหรือหยุดการทำงานของระบบได้

ผู้นำไปใช้งาน ซึ่งหมายถึงบริษัทที่ใช้ระบบ AI ความเสี่ยงสูงที่พัฒนาโดยบุคคลที่สาม ก็มีภาระหน้าที่ตามกฎหมายเช่นกัน ซึ่งรวมถึงการจัดทำการประเมินผลกระทบต่อสิทธิขั้นพื้นฐาน (Fundamental Rights Impact Assessment หรือ FRIA ตาม Article 27) สำหรับหน่วยงานภาครัฐและผู้ให้บริการที่จำเป็น การดำเนินมาตรการกำกับดูแลโดยมนุษย์ที่เหมาะสม และการเก็บรักษาบันทึกการทำงาน

การใช้ ChatGPT, Claude หรือ Gemini ในผลิตภัณฑ์ของคุณ หมายความว่าอย่างไรภายใต้กฎหมายฉบับนี้

ข้อกำหนดของ General Purpose AI (GPAI) ที่มีผลบังคับใช้ตั้งแต่เดือน August 2025 มีผลกับผู้พัฒนาโมเดล GPAI เป็นหลัก เช่น OpenAI, Anthropic, Google ไม่ใช่กับบริษัทที่ใช้ API ของโมเดลเหล่านี้เพื่อดำเนินธุรกิจตามปกติ

หากบริษัทของคุณใช้โมเดล AI ของบุคคลที่สามผ่าน API เพื่อขับเคลื่อนเวิร์กโฟลว์ภายในหรือฟีเจอร์สำหรับลูกค้า คุณคือผู้นำไปใช้งาน ขอบเขตความรับผิดชอบด้านการปฏิบัติตามกฎหมายของคุณจำกัดอยู่ที่การทำให้แน่ใจว่ากรณีการใช้งานไม่เข้าข่ายที่ต้องห้ามหรือมีความเสี่ยงสูง และปฏิบัติตามข้อกำหนดความโปร่งใสตาม Article 50

สถานะจะเปลี่ยนไปหากบริษัทของคุณสร้างและนำผลิตภัณฑ์ที่ดัดแปลงโมเดล GPAI อย่างมีนัยสำคัญออกสู่ตลาด หรือวางจำหน่ายภายใต้แบรนด์หรือเครื่องหมายการค้าของตนเองในตลาดสหภาพยุโรป ในกรณีนั้น บริษัทของคุณจะมีสถานะผู้พัฒนาระบบ ภายใต้กฎหมายฉบับนี้ และต้องรับภาระหน้าที่ตามมา ซึ่งรวมถึงเอกสารทางเทคนิค ความโปร่งใส และเมื่อระบบเข้าเกณฑ์ความเสี่ยงสูง ต้องผ่านการประเมินความสอดคล้องอย่างเต็มรูปแบบ

ขอบเขตการบังคับใช้นอกอาณาเขต (Extraterritorial Scope)

Article 2 ของกฎหมายฉบับนี้ระบุไว้อย่างชัดเจนว่ามีผลบังคับใช้กับบริษัทใด ๆ ที่วางจำหน่ายระบบ AI ในตลาดสหภาพยุโรป หรือที่ผลลัพธ์จาก AI ส่งผลกระทบต่อผู้ใช้งานที่อยู่ในสหภาพยุโรป ไม่ว่าบริษัทนั้นจะมีสำนักงานใหญ่อยู่ที่ใด หรือทีมวิศวกรอยู่ที่ใดก็ตาม

บริษัทที่มีสำนักงานใหญ่ในสหรัฐอเมริกา สหราชอาณาจักร หรือเอเชีย ที่มีทีมพัฒนาอยู่ในเวียดนาม อินเดีย หรือฟิลิปปินส์ ยังคงต้องปฏิบัติตามข้อกำหนดทั้งหมดเช่นเดียวกับบริษัทในสหภาพยุโรป หากผลิตภัณฑ์ของตนให้บริการแก่ผู้ใช้งานในสหภาพยุโรป สิ่งที่กำหนดว่ากฎหมายจะบังคับใช้หรือไม่คือสถานที่ที่ระบบ AI ถูกวางจำหน่ายหรือใช้งาน ไม่ใช่สถานที่ที่ระบบถูกพัฒนาขึ้น

บทลงโทษ

อำนาจในการบังคับใช้กฎหมายแบ่งระหว่างหน่วยงานกำกับดูแลตลาดระดับประเทศและสำนักงาน European AI Office

• แนวปฏิบัติที่ต้องห้าม: สูงสุด €35 million หรือ 7% ของยอดขายทั่วโลกต่อปี (แล้วแต่จำนวนใดสูงกว่า)
• การไม่ปฏิบัติตามข้อกำหนดของระบบ AI ความเสี่ยงสูง: สูงสุด €15 million หรือ 3% ของยอดขายทั่วโลกต่อปี
• การให้ข้อมูลที่ไม่ถูกต้องแก่หน่วยงานที่เกี่ยวข้อง: สูงสุด €7.5 million หรือ 1.5% ของยอดขายทั่วโลกต่อปี

ที่ 7% เพดานค่าปรับสูงสุดของ AI Act สูงกว่าเพดาน 4% ของ GDPR บริษัทที่อยู่นอกสหภาพยุโรปต้องเผชิญกับอัตราบทลงโทษเดียวกันทุกประการ

คำถามที่พบบ่อย

EU AI Act กำหนดให้บริษัทต้องทำอะไรบ้างในปี 2026?

ในปี 2026 องค์กรควรจัดทำบัญชีรายการและประเมินระบบ AI ที่ตนพัฒนาหรือใช้งาน บริษัทต้องปฏิบัติตามข้อกำหนดความโปร่งใสตาม Article 50 (การแจ้งผู้ใช้งานเมื่อกำลังโต้ตอบกับแชทบอท และการเปิดเผยสื่อที่สร้างโดย AI) ต้องทำให้บุคลากรมีความรู้ด้าน AI ในระดับที่เหมาะสม และต้องจัดทำแผนผังเครื่องมือความเสี่ยงสูงเทียบกับกำหนดเวลาการปฏิบัติตามกฎหมายในปี 2027 และ 2028

EU AI Act มีผลบังคับใช้กับบริษัทนอกสหภาพยุโรปหรือไม่?

ใช่ Article 2 มีผลบังคับใช้กับผู้พัฒนาระบบหรือผู้นำไปใช้งานรายใดก็ตามที่วางจำหน่ายระบบ AI ในตลาดสหภาพยุโรป หรือที่ผลลัพธ์ส่งผลกระทบต่อบุคคลในสหภาพยุโรป ไม่ว่าบริษัทจะตั้งอยู่ที่ใด บริษัทนอกสหภาพยุโรปที่จำหน่ายผลิตภัณฑ์ที่ขับเคลื่อนด้วย AI ให้แก่ลูกค้าในยุโรป ต้องปฏิบัติตามข้อกำหนดเดียวกันกับนิติบุคคลในสหภาพยุโรป

แนวปฏิบัติด้าน AI ใดบ้างที่ถูกห้ามภายใต้ EU AI Act ในขณะนี้?

ตั้งแต่เดือน February 2025 แนวปฏิบัติที่ถูกห้าม ได้แก่ การระบุตัวตนทางชีวมิติจากระยะไกลแบบเรียลไทม์ในพื้นที่สาธารณะ ระบบให้คะแนนทางสังคม (social scoring) AI ที่บิดเบือนพฤติกรรมผ่านเทคนิคแฝงเร้นหรือการใช้ประโยชน์จากความเปราะบาง ระบบตรวจจับอารมณ์ในสถานที่ทำงานและโรงเรียน และการเก็บรวบรวมภาพใบหน้าแบบไม่เจาะจงเป้าหมายเพื่อสร้างฐานข้อมูลจดจำใบหน้า

หากบริษัทใช้ ChatGPT หรือ Claude ในผลิตภัณฑ์ของตนจะเกิดอะไรขึ้น?

หากเข้าถึงผ่าน API เพื่อการดำเนินงานหรือฟีเจอร์ทั่วไป ภาระหน้าที่หลักด้าน GPAI จะตกอยู่ที่ผู้พัฒนาโมเดล (เช่น OpenAI, Anthropic) หากบริษัทดัดแปลงโมเดลอย่างมีนัยสำคัญ หรือทำการตลาดโซลูชันภายใต้แบรนด์ของตนเองในสหภาพยุโรป บริษัทนั้นจะกลายเป็นผู้พัฒนาระบบ ภายใต้กฎหมายฉบับนี้ และต้องรับภาระหน้าที่ด้านเอกสาร ความโปร่งใส และการประเมินความสอดคล้องสำหรับระบบความเสี่ยงสูง

EU AI Act มีผลบังคับใช้กับ AI ด้าน HR และการสรรหาบุคลากรเมื่อใด?

เครื่องมือด้าน HR การสรรหาบุคลากร การคัดกรองเรซูเม่ การจัดอันดับผู้สมัครงาน และการติดตามประเมินผลการทำงานของพนักงาน ถูกจัดประเภทเป็นความเสี่ยงสูงภายใต้ Annex III ภายหลังการแก้ไขการบังคับใช้ EU AI Act ที่ผ่านความเห็นชอบในปี 2026 กำหนดเวลาการบังคับใช้สำหรับระบบความเสี่ยงสูงเดี่ยวตาม Annex III คือ2 December 2027.

ความแตกต่างระหว่างผู้พัฒนาระบบและผู้นำไปใช้งานภายใต้ EU AI Act คืออะไร?

ผู้พัฒนาระบบ เป็นผู้พัฒนาระบบ AI (หรือมอบหมายให้พัฒนา) และวางจำหน่ายในตลาดภายใต้ชื่อแบรนด์ของตนเอง ส่วนผู้นำไปใช้งาน คือผู้ใช้ระบบ AI ของบุคคลที่สามภายใต้อำนาจของตนเพื่อวัตถุประสงค์ในการปฏิบัติงาน ผู้พัฒนาระบบรับผิดชอบภาระหน้าที่เชิงโครงสร้างหลัก (การบริหารจัดการคุณภาพ เอกสารทางเทคนิค การประเมินความสอดคล้อง เครื่องหมาย CE) ส่วนผู้นำไปใช้งานรับผิดชอบภาระหน้าที่เชิงปฏิบัติการ (การดำเนินมาตรการกำกับดูแลโดยมนุษย์ การเก็บรักษาบันทึกอย่างน้อยหกเดือนเมื่อสามารถทำได้ และการเปิดเผยข้อมูลด้านความโปร่งใสแก่ผู้ใช้งาน)

ขั้นตอนถัดไป

Gradion สนับสนุนบริษัทต่าง ๆ ทั่วภูมิภาค DACH และเอเชียตะวันออกเฉียงใต้ในการประเมินความเสี่ยงด้านการปฏิบัติตามกฎหมาย AI ตรวจสอบการจัดประเภทความเสี่ยง และสร้างระบบ AI ที่ตรงตามมาตรฐานระดับใช้งานจริง ติดต่อทีมของเราเพื่อเริ่มการสนทนา