กฎหมาย AI ของสหภาพยุโรป: ระดับความเสี่ยง กำหนดเวลา และค่าปรับ

กฎหมาย AI ของสหภาพยุโรปเป็นระเบียบข้อบังคับที่จัดประเภทระบบ AI ตามระดับความเสี่ยงที่อาจก่อให้เกิด และกำหนดกฎเกณฑ์ให้สอดคล้องกับแต่ละระดับ กฎหมายนี้มีผลบังคับใช้ตั้งแต่วันที่ 1 สิงหาคม 2024 และทยอยบังคับใช้เป็นเวลาหลายปี ข้อห้าม หน้าที่ด้านการรู้เท่าทัน AI และกฎเกณฑ์สำหรับโมเดล AI วัตถุประสงค์ทั่วไป (GPAI) มีผลบังคับใช้แล้ว ส่วนกฎเกณฑ์สำหรับระบบความเสี่ยงสูงถูกเลื่อนไปเป็นเดือนธันวาคม 2027 และเดือนสิงหาคม 2028 โดยการแก้ไขที่เรียกว่า Digital Omnibus ซึ่งได้รับการรับรองในปี 2026

คู่มือนี้สะท้อนสถานการณ์ ณ เดือนตุลาคม 2026 รายละเอียดบางส่วนของกำหนดเวลาที่ปรับปรุงแล้วยังอยู่ระหว่างการชี้แจง ก่อนตัดสินใจเรื่องการปฏิบัติตามกฎ ควรตรวจสอบข้อความที่เผยแพร่ในราชกิจจานุเบกษาของสหภาพยุโรป (Official Journal) และหน้าเว็บเกี่ยวกับกฎหมาย AI ของคณะกรรมาธิการยุโรปโดยตรง

กฎหมาย AI ของสหภาพยุโรปคืออะไร

กฎหมาย AI เป็นระเบียบข้อบังคับ (regulation) ไม่ใช่คำสั่ง (directive) จึงมีผลบังคับใช้โดยตรงในทุกรัฐสมาชิก และรัฐบาลของแต่ละประเทศไม่จำเป็นต้องนำไปบัญญัติเป็นกฎหมายของตนเอง เลขอ้างอิงทางการคือ Regulation (EU) 2024/1689 และเผยแพร่ในเดือนกรกฎาคม 2024 หน่วยวิจัยของรัฐสภายุโรประบุว่ากฎหมายนี้ถูกออกแบบให้ใช้เวลาอย่างน้อยสามปีจึงจะบังคับใช้เต็มรูปแบบ

กฎหมายนี้มักถูกอธิบายว่าเป็นกรอบกฎหมาย AI ฉบับแรกที่ครอบคลุมและใช้ข้ามภาคส่วน หมายความว่าไม่ได้มุ่งควบคุมอุตสาหกรรมใดอุตสาหกรรมหนึ่งโดยเฉพาะ ระบบ AI ถูกกำกับตามระดับความเสี่ยง ส่วนโมเดลวัตถุประสงค์ทั่วไปถูกกำกับตามขีดความสามารถ ส่วนรายละเอียดทางเทคนิคมาจากแนวทางปฏิบัติ มาตรฐานที่ประสานกัน และประมวลจรรยาบรรณโดยสมัครใจ

กฎหมาย AI มีหมวดหมู่ความเสี่ยงอะไรบ้าง

ตัวบทกฎหมายกำหนดระดับความเสี่ยงของระบบ AI ไว้สี่ระดับ พร้อมแนวทางแยกต่างหากสำหรับโมเดลวัตถุประสงค์ทั่วไป สรุปด้านล่างนี้ยึดตามโครงสร้างของกฎหมาย ขอบเขตที่แน่นอนกำหนดไว้ในมาตรา 5 มาตรา 6 ภาคผนวกที่ 1 และ III และมาตรา 50

ความเสี่ยงที่ยอมรับไม่ได้ (ถูกห้าม): ครอบคลุมการให้คะแนนทางสังคม (social scoring) และ AI ที่บิดเบือนพฤติกรรมของผู้คนหรือเอาเปรียบจุดอ่อนของพวกเขา การดึงภาพใบหน้าจากอินเทอร์เน็ตโดยไม่มีเป้าหมายถูกห้าม เช่นเดียวกับการจดจำอารมณ์ในที่ทำงานและในโรงเรียน ยกเว้นบางกรณี นอกจากนี้ การจัดหมวดหมู่ข้อมูลชีวมิติบางประเภท การตำรวจเชิงคาดการณ์ที่อาศัยการสร้างโปรไฟล์เพียงอย่างเดียว และการระบุตัวตนด้วยข้อมูลชีวมิติจากระยะไกลแบบเรียลไทม์ในพื้นที่สาธารณะเพื่อการบังคับใช้กฎหมาย (ยกเว้นในกรณีจำกัดมาก) ก็ถูกห้ามเช่นกัน

ความเสี่ยงสูง: มีสองประเภท ภาคผนวก I ครอบคลุม AI ที่ทำหน้าที่เป็นส่วนประกอบด้านความปลอดภัยในผลิตภัณฑ์ที่อยู่ภายใต้กฎหมายผลิตภัณฑ์ของสหภาพยุโรปอยู่แล้ว เช่น เครื่องจักร อุปกรณ์การแพทย์ หรือของเล่น ภาคผนวก III ครอบคลุมระบบเดี่ยวที่ใช้ในด้านอ่อนไหว ได้แก่ ชีวมิติ โครงสร้างพื้นฐานวิกฤต การศึกษา การจ้างงาน บริการจำเป็น และสินเชื่อ การบังคับใช้กฎหมาย การย้ายถิ่นและการควบคุมชายแดน รวมถึงกระบวนการยุติธรรมและกระบวนการทางประชาธิปไตย

ผู้ให้บริการระบบความเสี่ยงสูงต้องจัดให้มีการบริหารความเสี่ยง การกำกับดูแลข้อมูล และเอกสารทางเทคนิค รวมทั้งต้องมีการบันทึกข้อมูล การกำกับดูแลโดยมนุษย์ และความแม่นยำและความทนทานที่เพียงพอ นอกจากนั้นยังต้องผ่านการประเมินความสอดคล้อง ติดเครื่องหมาย CE และลงทะเบียนในฐานข้อมูลของสหภาพยุโรป

ความเสี่ยงจำกัด (ความโปร่งใส มาตรา 50): ผู้คนต้องได้รับแจ้งเมื่อกำลังโต้ตอบกับแชตบอต และต้องติดป้ายกำกับดีปเฟก เนื้อหาที่สร้างโดย AI ต้องมีเครื่องหมายที่เครื่องอ่านได้ด้วย ความเสี่ยงน้อยที่สุด: เครื่องมือในชีวิตประจำวัน เช่น ตัวกรองสแปมหรือวิดีโอเกม ไม่มีภาระผูกพันใหม่

โมเดล AI วัตถุประสงค์ทั่วไป: ผู้ให้บริการ GPAI ทุกรายต้องเก็บเอกสารและมีนโยบายด้านลิขสิทธิ์ โมเดลที่ถือว่ามี "ความเสี่ยงเชิงระบบ" ต้องปฏิบัติตามหน้าที่เพิ่มเติม กฎหมายสันนิษฐานว่ามีความเสี่ยงเชิงระบบเมื่อปริมาณการคำนวณในการฝึกเกินเกณฑ์ 10^25 FLOP

กฎหมาย AI ของสหภาพยุโรปมีผลบังคับใช้เมื่อใด กำหนดการปัจจุบัน

ตามกำหนดการเดิม ข้อห้ามและหน้าที่ด้านการรู้เท่าทัน AI มีผลตั้งแต่วันที่ 2 กุมภาพันธ์ 2025 ตามด้วยกฎ GPAI บทบัญญัติด้านการกำกับดูแลและค่าปรับตั้งแต่วันที่ 2 สิงหาคม 2025 บทบัญญัติที่เหลือส่วนใหญ่ รวมถึงกฎความเสี่ยงสูงในภาคผนวก III กำหนดไว้ที่วันที่ 2 สิงหาคม 2026 ส่วนกฎความเสี่ยงสูงในภาคผนวก I กำหนดไว้ที่วันที่ 2 สิงหาคม 2027

แผนดังกล่าวมีการเปลี่ยนแปลง เมื่อวันที่ 19 พฤศจิกายน 2025 คณะกรรมาธิการเสนอ "Digital Omnibus on AI" ส่วนหนึ่งเพื่อตอบสนองต่อข้อกังวลเรื่องความซับซ้อนของกฎระเบียบที่รายงาน Draghi ปี 2024 ยกขึ้นมา รัฐสภาและสภายุโรปบรรลุข้อตกลงเบื้องต้นเมื่อวันที่ 7 พฤษภาคม 2026 รัฐสภาให้ความเห็นชอบขั้นสุดท้ายในวันที่ 16 มิถุนายน และสภายุโรปรับรองข้อความเมื่อวันที่ 29 มิถุนายน ลงนามเมื่อวันที่ 8 กรกฎาคม และมีผลบังคับใช้เมื่อเผยแพร่ในราชกิจจานุเบกษาเมื่อวันที่ 27 กรกฎาคม 2026

ภายใต้วันที่ที่ปรับใหม่ กฎความเสี่ยงสูงแบบเดี่ยวในภาคผนวก III เริ่มบังคับใช้ตั้งแต่วันที่ 2 ธันวาคม 2027 ส่วนกฎสำหรับ AI ที่ฝังอยู่ในผลิตภัณฑ์ที่มีการกำกับดูแลจะเริ่มในเดือนสิงหาคม 2028 ตามการวิเคราะห์ของ Formalize ข้อห้ามทั่วไปและกฎ GPAI ไม่ได้ถูกเลื่อนออกไป

ยังมีบางประเด็นที่ยังไม่ชัดเจน ได้แก่ วันที่แน่นอนหลัง Omnibus สำหรับหน้าที่ความโปร่งใสและการติดลายน้ำตามมาตรา 50 ว่ามีการเพิ่มข้อห้ามใหม่หรือไม่ และขอบเขตการผ่อนปรนสำหรับธุรกิจขนาดเล็กที่แน่นอน นอกจากนี้มีรายงานว่ามาตรฐานที่ประสานกันล่าช้า ควรตรวจสอบประเด็นเหล่านี้กับตัวบทอย่างเป็นทางการ

กฎหมาย AI ใช้กับใครบ้าง

ตามมาตราว่าด้วยขอบเขตของกฎหมาย กฎหมายครอบคลุมผู้ให้บริการที่นำระบบ AI เข้าสู่ตลาดสหภาพยุโรป ไม่ว่าจะตั้งอยู่ที่ใด รวมถึงผู้นำไปใช้งาน (องค์กรที่ใช้ AI) ที่ตั้งอยู่ในสหภาพยุโรป รวมถึงผู้นำเข้า ผู้จัดจำหน่าย และผู้ผลิตผลิตภัณฑ์ ผู้ให้บริการและผู้นำไปใช้งานนอกสหภาพยุโรปก็อยู่ภายใต้กฎหมายนี้เช่นกัน เมื่อผลลัพธ์ของระบบถูกนำไปใช้ภายในสหภาพยุโรป

ขอบเขตนอกอาณาเขตนี้คล้ายกับ GDPR บริษัทในตุรกี สหรัฐอเมริกา หรือประเทศอื่นใดที่ขาย AI เข้าสู่สหภาพยุโรป หรือที่ผลลัพธ์ของ AI ถูกนำไปใช้ที่นั่น อาจอยู่ภายในขอบเขตของกฎหมาย ผู้ให้บริการนอกสหภาพยุโรปของระบบความเสี่ยงสูงและโมเดล GPAI ต้องแต่งตั้งตัวแทนที่ได้รับอนุญาตในสหภาพยุโรป

การใช้งานบางประเภทถูกยกเว้น ได้แก่ การทหาร การป้องกันประเทศ และความมั่นคงของชาติ AI ที่ใช้เพื่อการวิจัยทางวิทยาศาสตร์เท่านั้น และการใช้งานส่วนตัวที่ไม่เกี่ยวกับการประกอบอาชีพ ซอฟต์แวร์ฟรีและโอเพนซอร์สส่วนใหญ่ก็อยู่นอกขอบเขตเช่นกัน ยกเว้นบางกรณี

ค่าปรับภายใต้กฎหมาย AI ของสหภาพยุโรปเป็นเท่าใด

มาตรา 99 กำหนดค่าปรับเป็นสามระดับ การฝ่าฝืนข้อห้ามอาจมีค่าปรับสูงสุด 35 ล้านยูโร หรือ 7% ของรายได้รวมทั่วโลกต่อปี แล้วแต่จำนวนใดจะสูงกว่า ภาระผูกพันอื่นของผู้ดำเนินการส่วนใหญ่มีค่าปรับสูงสุด 15 ล้านยูโร หรือ 3% การให้ข้อมูลที่ไม่ถูกต้องหรือทำให้เข้าใจผิดแก่หน่วยงานกำกับอาจถูกปรับสูงสุด 7.5 ล้านยูโร หรือ 1%

สำหรับวิสาหกิจขนาดกลางและขนาดย่อม (SME) และสตาร์ทอัพ ให้ใช้จำนวนที่ต่ำกว่าระหว่างสองค่า (มาตรา 99(6)) รายงานระบุว่า Omnibus ขยายการปฏิบัติเช่นนี้ไปยัง "small mid-caps" รัฐสมาชิกกำหนดกฎการลงโทษระดับชาติโดยละเอียด และมาตรา 99 มีผลบังคับใช้ตั้งแต่วันที่ 2 สิงหาคม 2025 ผู้ให้บริการ GPAI อาจถูกคณะกรรมาธิการปรับได้สูงสุด 15 ล้านยูโร หรือ 3%

ระดับค่าปรับที่เชื่อมโยงกับหน้าที่ที่ถูกเลื่อนจะมีผลก็ต่อเมื่อหน้าที่เหล่านั้นมีผลบังคับใช้แล้วเท่านั้น บทบัญญัติเก่าบางส่วนยังระบุว่าค่าปรับความเสี่ยงสูงเริ่มวันที่ 2 สิงหาคม 2026 ซึ่งไม่ถูกต้องอีกต่อไป

องค์กรควรทำอะไรตอนนี้

การเลื่อนกำหนดไม่ใช่เหตุผลให้หยุดเตรียมความพร้อม เพราะข้อห้าม หน้าที่ด้านการรู้เท่าทัน AI และกฎ GPAI มีผลบังคับใช้แล้ว ขั้นตอนแรกที่ควรทำคือจัดทำรายการระบบ AI ที่คุณพัฒนา จัดซื้อ หรือขาย และจับคู่แต่ละระบบกับระดับความเสี่ยง

สำหรับผู้ให้บริการความเสี่ยงสูง การจัดทำเอกสาร การกำกับดูแลข้อมูล และกระบวนการกำกับดูแลโดยมนุษย์ต้องใช้เวลา ดังนั้นเดือนธันวาคม 2027 จึงใกล้กว่าที่คิด สำหรับรายละเอียดที่เชื่อถือได้ ควรอ้างอิง EUR-Lex หน้าเว็บกฎหมาย AI ของคณะกรรมาธิการ และสำนักงาน AI มากกว่าบทสรุปจากแหล่งรอง