ระบบ AI ที่มีความเสี่ยงสูง: สิ่งที่กฎหมาย AI กำหนดไว้สำหรับองค์กรของคุณ

ระบบปัญญาประดิษฐ์ที่มีความเสี่ยงสูงเป็นประเด็นสำคัญของกฎระเบียบปัญญาประดิษฐ์ของยุโรป ( ระเบียบ (EU) 2024/1689 ) ซึ่งโดยทั่วไปเรียกว่ากฎหมายปัญญาประดิษฐ์ โดยกฎหมายนี้ได้กำหนดกรอบการทำงานตามความเสี่ยงสำหรับการพัฒนา จัดหา และใช้งานระบบปัญญาประดิษฐ์ ยิ่งความเสี่ยงต่อสุขภาพ ความปลอดภัย และสิทธิขั้นพื้นฐานสูงเท่าใด ภาระผูกพันก็ยิ่งหนักขึ้นเท่านั้น

สำหรับองค์กรแล้ว การปฏิบัติตามกฎระเบียบจึงไม่ได้เริ่มต้นด้วยการร่างเอกสารทางเทคนิค แต่เริ่มต้นด้วยการจำแนกประเภทที่ถูกต้อง ขั้นแรก ต้องตรวจสอบว่าระบบ AI ใดบ้างที่ได้รับการพัฒนา ซื้อ หรือใช้งานภายในองค์กร จากนั้นประเมินว่าระบบนั้นเป็นสิ่งต้องห้ามมีความเสี่ยงสูง อยู่ภายใต้ข้อผูกพันด้านความโปร่งใส หรืออยู่นอกเหนือข้อผูกพันเฉพาะใดๆ

บทความนี้จะอธิบายว่าระบบ AI อาจจัดอยู่ในกลุ่มความเสี่ยงสูงได้เมื่อใด ผู้ให้บริการและผู้ใช้งานมีข้อผูกพันใดบ้าง และองค์กรสามารถดำเนินการใดได้บ้างในขณะนี้ นอกจากนี้ยังระบุถึงไทม์ไลน์ในปัจจุบัน หลังจากที่ได้เลื่อนการบังคับใช้ข้อผูกพันเกี่ยวกับความเสี่ยงสูงภายใต้กฎหมาย Digital Omnibus ออกไป

ระบบ AI มีความเสี่ยงสูงเมื่อใด?

การประเมินระบบ AI ที่มีความเสี่ยงสูงนั้น ดำเนินการเป็นหลักภายใต้มาตรา 6 และภาคผนวกที่ 1 และ 3 ของพระราชบัญญัติ AI โดยมีสองแนวทาง

แนวทางแรกเกี่ยวข้องกับระบบ AI ที่เป็นส่วนหนึ่งของผลิตภัณฑ์ที่อยู่ภายใต้กฎหมายผลิตภัณฑ์ของยุโรปที่ระบุไว้ในภาคผนวกที่ 1 และต้องได้รับการประเมินความสอดคล้องจากบุคคลที่สาม ตัวอย่างเช่น อุปกรณ์ทางการแพทย์ เครื่องจักร ลิฟต์ และของเล่นบางประเภท สำหรับระบบเหล่านี้ กฎหมาย AI จะต่อยอดจากขั้นตอนการประเมินความสอดคล้องที่มีอยู่เดิม

แนวทางที่สองเกี่ยวข้องกับระบบ AI ที่ใช้ในโดเมนต่างๆ ที่ระบุไว้ในภาคผนวก III ได้แก่ ไบโอเมตริกส์ โครงสร้างพื้นฐานที่สำคัญ การศึกษาและการฝึกอบรมวิชาชีพ การจ้างงานและการจัดการกำลังคน การเข้าถึงบริการสาธารณะและเอกชนที่จำเป็น การบังคับใช้กฎหมาย การย้ายถิ่นฐาน การลี้ภัยและการควบคุมชายแดน และการบริหารงานยุติธรรมและกระบวนการประชาธิปไตย การใช้งานในโดเมนดังกล่าวไม่ได้หมายความว่าระบบ AI นั้นจะถูกจัดอยู่ในกลุ่มระบบ AI ที่มีความเสี่ยงสูงเสมอไป จะต้องประเมินหน้าที่เฉพาะของระบบและเงื่อนไขของมาตรา 6 ด้วย

ข้อยกเว้นในมาตรา 6(3)

ระบบที่อยู่ในขอบเขตของภาคผนวก III ไม่ได้ถูกนับรวมเป็นระบบ AI ที่มีความเสี่ยงสูงโดยอัตโนมัติ การจัดประเภทดังกล่าวจะถูกยกเว้นหากระบบนั้นไม่ก่อให้เกิดความเสี่ยงอย่างมีนัยสำคัญต่อสุขภาพ ความปลอดภัย หรือสิทธิขั้นพื้นฐานของบุคคล และไม่ส่งผลกระทบอย่างมีนัยสำคัญต่อผลลัพธ์ของการตัดสินใจ ซึ่งอาจเป็นกรณีที่ระบบทำงานเฉพาะด้านกระบวนการที่จำกัด ปรับปรุงกิจกรรมที่มนุษย์ดำเนินการอยู่แล้ว แจ้งเตือนความเบี่ยงเบนจากการตัดสินใจของมนุษย์ก่อนหน้านี้โดยไม่แทนที่การประเมินนั้น หรือทำงานเฉพาะด้านการเตรียมการเท่านั้น

การพึ่งพาข้อยกเว้นนี้จะต้องมีเหตุผลและเอกสารประกอบอย่างรอบคอบ องค์กรจะต้องบันทึกไม่เพียงแต่ข้อสรุปเท่านั้น แต่ยังรวมถึงข้อเท็จจริงและการประเมินที่ข้อสรุปนั้นตั้งอยู่ด้วย ผู้ให้บริการที่พิจารณาว่าระบบ Annex III ไม่ได้อยู่ในกลุ่มระบบ AI ที่มีความเสี่ยงสูงจะต้องจัดทำเอกสารการประเมินนั้นก่อนที่จะนำระบบออกสู่ตลาดหรือนำไปใช้งาน และยังต้องปฏิบัติตามข้อผูกพันการลงทะเบียนในมาตรา 49(2) ด้วย

ในประเด็นหนึ่ง ข้อบังคับนี้ถือเป็นข้อบังคับเด็ดขาด มาตรา 6(3) ระบุว่า ระบบ AI ที่อ้างถึงในภาคผนวก III จะถูกนับรวมอยู่ในระบบ AI ที่มีความเสี่ยงสูงเสมอ หากระบบดังกล่าวทำการสร้างโปรไฟล์ของบุคคลธรรมดา ข้อยกเว้นไม่สามารถนำมาใช้ได้ในกรณีดังกล่าว

องค์กรของคุณมีบทบาทอย่างไร?

กฎหมาย AI Act กำหนดบทบาทต่างๆ ในห่วงโซ่นี้ไว้หลายประการ โดยมีสองบทบาทที่สำคัญสำหรับองค์กรส่วนใหญ่ ฝ่ายที่พัฒนาหรือวางจำหน่ายระบบ AI ภายใต้ชื่อหรือเครื่องหมายการค้าของตนเอง จัดเป็นผู้ให้บริการ ส่วนฝ่ายที่ใช้ระบบ AI ในการดำเนินธุรกิจของตนเองโดยไม่ได้เป็นผู้พัฒนาระบบนั้น โดยทั่วไปจะจัดเป็นผู้ใช้งาน

การแบ่งบทบาทนั้นไม่คงที่ องค์กรที่ปรับเปลี่ยนระบบที่ซื้อมาอย่างมีนัยสำคัญ จัดจำหน่ายต่อภายใต้ชื่อหรือเครื่องหมายการค้าของตนเอง หรือเปลี่ยนแปลงวัตถุประสงค์การใช้งาน อาจยังคงถูกมองว่าเป็นผู้ให้บริการและอยู่ภายใต้ภาระผูกพันที่หนักกว่า สำหรับแต่ละระบบ ให้ระบุบทบาทที่คุณรับผิดชอบและบันทึกการประเมินนั้นไว้

ภาระผูกพันหลัก

ผู้ให้บริการระบบ AI ที่มีความเสี่ยงสูงต้องปฏิบัติตามข้อผูกพันต่างๆ รวมถึงข้อผูกพันในมาตรา 8 ถึง 17, 43 และ 47 ถึง 49:

• ระบบบริหารความเสี่ยงที่ครอบคลุมตลอดวงจรชีวิต
• การกำกับดูแลข้อมูล รวมถึงการตรวจจับและแก้ไขความลำเอียงในข้อมูลที่ใช้ ซึ่งรวมถึงข้อมูลสำหรับการฝึกอบรม การตรวจสอบความถูกต้อง และการทดสอบ
• เอกสารทางเทคนิคตามภาคผนวก IV และการบันทึกเหตุการณ์
• คำแนะนำการใช้งานที่ชัดเจนสำหรับผู้ติดตั้ง
• การออกแบบที่ช่วยให้การกำกับดูแลโดยมนุษย์มีประสิทธิภาพ
• ข้อกำหนดด้านความถูกต้อง ความแข็งแกร่ง และความปลอดภัยทางไซเบอร์
• ระบบการจัดการคุณภาพ การประเมินความสอดคล้อง การประกาศความสอดคล้องของสหภาพยุโรป เครื่องหมาย CE และการลงทะเบียนในฐานข้อมูลของสหภาพยุโรป

สำหรับระบบ AI ที่มีความเสี่ยงสูงที่ใช้สำหรับการระบุตัวตนทางชีวเมตริกจากระยะไกลตามที่อ้างถึงในภาคผนวก III ข้อ 1(a) มาตรา 14(5) กำหนดข้อกำหนดเพิ่มเติมเกี่ยวกับการกำกับดูแลโดยมนุษย์: ห้ามดำเนินการหรือตัดสินใจใดๆ บนพื้นฐานของการระบุตัวตน เว้นแต่จะได้รับการตรวจสอบและยืนยันแยกต่างหากโดยบุคคลธรรมดาอย่างน้อยสองคนที่มีความสามารถ การฝึกอบรม และอำนาจที่จำเป็น หลักการนี้เรียกว่าหลักสี่ตา

ผู้ติดตั้งระบบต้องปฏิบัติตามข้อผูกพันที่เบากว่าแต่สำคัญไม่แพ้กันตามมาตรา 26 และ 27 ได้แก่ การใช้งานตามคำแนะนำ การกำกับดูแลโดยบุคลากรที่มีความสามารถ การตรวจสอบการทำงานของระบบ การรายงานความเสี่ยงและเหตุการณ์ร้ายแรง และการเก็บรักษาบันทึกข้อมูลเป็นเวลาอย่างน้อยหกเดือน พนักงานที่จะทำงานกับระบบ และบุคคลที่จะได้รับผลกระทบจากระบบ ต้องได้รับแจ้งล่วงหน้า

ผู้ให้บริการบางรายต้องดำเนินการประเมินผลกระทบต่อสิทธิขั้นพื้นฐานด้วย ซึ่งก็คือการประเมินผลกระทบต่อสิทธิขั้นพื้นฐานตามมาตรา 27 ทั้งนี้ ข้อกำหนดนี้ใช้บังคับกับหน่วยงานที่อยู่ภายใต้กฎหมายมหาชน ผู้ให้บริการสาธารณะภาคเอกชน และผู้ให้บริการที่ใช้ระบบการให้คะแนนเครดิตหรือการประเมินความเสี่ยงด้านประกันภัยในประกันชีวิตและสุขภาพ

ลำดับเหตุการณ์และสถานะปัจจุบัน

พระราชบัญญัติ AI มีผลบังคับใช้เมื่อวันที่ 1 สิงหาคม 2024 และจะทยอยบังคับใช้เป็นระยะ ในทางปฏิบัติ สิ่งสำคัญคือต้องแยกแยะความแตกต่างระหว่างข้อผูกพันที่บังคับใช้แล้ว ข้อผูกพันที่จะมีผลบังคับใช้ในอนาคต และการแก้ไขที่ประกาศไว้ซึ่งยังไม่มีผลบังคับใช้อย่างเป็นทางการ

การปฏิบัติที่ต้องห้าม (มาตรา 5): มีผลบังคับใช้ตั้งแต่วันที่ 2 กุมภาพันธ์ 2025

ความรู้ความเข้าใจเกี่ยวกับ AI (มาตรา 4): มีผลบังคับใช้ตั้งแต่วันที่ 2 กุมภาพันธ์ 2025

โมเดล AI อเนกประสงค์: สามารถใช้งานได้ตั้งแต่วันที่ 2 สิงหาคม 2025 เป็นต้นไป

ภาระผูกพันด้านความโปร่งใส (มาตรา 50): มีผลบังคับใช้ตั้งแต่วันที่ 2 สิงหาคม 2026; ไม่สามารถเลื่อนออกไปได้

ความเสี่ยงสูงตามภาคผนวก III: มีผลบังคับใช้ตั้งแต่วันที่ 2 ธันวาคม 2027 หลังจากการเลื่อนออกไป

ความเสี่ยงสูงตามภาคผนวกที่ 1: มีผลบังคับใช้ตั้งแต่วันที่ 2 สิงหาคม 2561 โดยมีระยะเวลาการเลื่อนออกไปเช่นเดียวกัน

การเลื่อนกำหนดดังกล่าวเป็นกฎหมายที่กำหนดไว้แล้ว คณะกรรมาธิการยุโรปได้นำเสนอแพ็กเกจ Digital Omnibus เมื่อวันที่ 19 พฤศจิกายน 2025 พร้อมข้อเสนอให้เลื่อนกำหนดการปฏิบัติตามข้อผูกพันสำหรับระบบ AI ที่มีความเสี่ยงสูง กฎระเบียบแก้ไขเพิ่มเติม ระเบียบ (EU) 2026/1744 ได้รับการตีพิมพ์ในวารสารทางการเมื่อวันที่ 24 กรกฎาคม 2026 และมีผลบังคับใช้เมื่อวันที่ 27 กรกฎาคม 2026

มีเพียงระบบที่มีความเสี่ยงสูงเท่านั้นที่เปลี่ยนแปลงไป ข้อผูกพันภายใต้บทที่ 3 สำหรับระบบที่จัดประเภทผ่านภาคผนวกที่ 3 จะมีผลบังคับใช้ตั้งแต่วันที่ 2 ธันวาคม 2027 และข้อผูกพันสำหรับระบบที่จัดประเภทผ่านภาคผนวกที่ 1 จะมีผลบังคับใช้ตั้งแต่วันที่ 2 สิงหาคม 2028 ส่วนข้อผูกพันอื่นๆ ยังคงใช้กำหนดวันเดิม ดังนั้นการเลื่อนออกไปจึงไม่ได้ทำให้กฎหมาย AI หยุดชะงักโดยทั่วไป

การเลื่อนกำหนดการไม่ได้เป็นไปโดยไม่มีเงื่อนไขเหมือนกับการเปลี่ยนวันที่ธรรมดา การบังคับใช้ข้อผูกพันที่มีความเสี่ยงสูงนั้นเชื่อมโยงกับความพร้อมของมาตรฐานที่สอดคล้องกันและเครื่องมือสนับสนุนที่จำเป็นในการปฏิบัติตาม และวันที่ใหม่นั้นทำหน้าที่เป็นขีดจำกัดสูงสุดของข้อตกลงนั้นมากกว่าที่จะเป็นเป้าหมายที่สามารถเลื่อนออกไปได้อีก การวางแผนโดยสมมติว่าจะมีการขยายเวลาออกไปอีกจึงไม่เหมาะสม

มีสองประเด็นที่ควรให้ความสนใจแยกกัน ประการแรก ข้อผูกพันด้านความโปร่งใสของมาตรา 50 และข้อผูกพันด้านความรู้ความเข้าใจเกี่ยวกับ AI ของมาตรา 4 ไม่ได้ถูกเลื่อนออกไป มาตรา 50 มีผลบังคับใช้ตั้งแต่วันที่ 2 สิงหาคม 2026 และมาตรา 4 มีผลบังคับใช้ตั้งแต่วันที่ 2 กุมภาพันธ์ 2025 ประการที่สอง แพ็กเกจนี้ได้เพิ่มข้อห้ามใหม่ในมาตรา 5 ซึ่งมุ่งเป้าไปที่แอปพลิเคชัน AI ที่สร้างภาพอนาจารโดยไม่ได้รับความยินยอม และสื่อลามกอนาจารเด็กที่สร้างโดย AI

สำหรับองค์กรต่างๆ นั่นหมายความว่าเดือนธันวาคม 2027 เป็นวันที่ต้องวางแผนเอกสารที่มีความเสี่ยงสูง ในขณะที่ความโปร่งใส การรู้หนังสือ และข้อผูกพันทั่วไปเป็นเรื่องของการปฏิบัติตามในปัจจุบันมากกว่าการเตรียมการล่วงหน้า

การกำกับดูแลและบทลงโทษ

ในประเทศเนเธอร์แลนด์ กฎหมายที่ใช้บังคับตามพระราชบัญญัติปัญญาประดิษฐ์ (AI Act) ยังไม่มีผลบังคับใช้ ร่างกฎหมายได้ถูกเผยแพร่เพื่อขอความคิดเห็นจากสาธารณชนเมื่อวันที่ 20 เมษายน 2026 ร่างกฎหมายนี้กำหนดให้หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์ (Autoriteit Persoonsgegevens) มีบทบาทในการกำกับดูแลในด้านที่ยังไม่มีหน่วยงานกำกับดูแลเฉพาะด้าน โดยมีหน่วยงาน AI โดยเฉพาะ และกำหนดให้หน่วยงานด้านโครงสร้างพื้นฐานดิจิทัลของเนเธอร์แลนด์ (RDI) มีบทบาทในการประสานงาน ในขณะที่หน่วยงานกำกับดูแลเฉพาะด้านยังคงดูแลในส่วนของตนเอง จนกว่ากฎหมายฉบับนี้จะผ่านและมีผลบังคับใช้ การแบ่งอำนาจที่แน่นอนและระบอบการลงโทษระดับชาติจึงยังไม่ได้รับการกำหนดอย่างชัดเจน

มาตรา 99 ของพระราชบัญญัติปัญญาประดิษฐ์ (AI Act) กำหนดโทษสูงสุดหลายระดับ โดยระดับโทษจะขึ้นอยู่กับลักษณะของการละเมิด และขึ้นอยู่กับรายได้ประจำปีทั่วโลกของบริษัทนั้นๆ ด้วย โทษสูงสุดใช้กับการละเมิดข้อห้ามในมาตรา 5 โทษระดับต่ำกว่าใช้กับการละเมิดข้อผูกพันอื่นๆ รวมถึงข้อผูกพันสำหรับผู้ให้บริการและผู้ใช้งานระบบ AI ที่มีความเสี่ยงสูง และโทษต่ำสุดใช้กับการให้ข้อมูลที่ไม่ถูกต้อง ไม่ครบถ้วน หรือทำให้เข้าใจผิดแก่หน่วยงานราชการ วิสาหกิจขนาดกลางและขนาดย่อม (SMEs) รวมถึงบริษัทสตาร์ทอัพ จะได้รับโทษที่ผ่อนปรนกว่า โทษที่แท้จริงจะถูกกำหนดโดยคำนึงถึงกฎระเบียบเกี่ยวกับการลงโทษที่ใช้บังคับและสถานการณ์ของแต่ละกรณี

แผนงานปฏิบัติจริง

• จัดทำบัญชีรายการระบบ AI ทั้งหมดที่องค์กรของคุณพัฒนา ซื้อ หรือใช้งาน
• สำหรับแต่ละระบบ ให้ระบุบทบาทของคุณ: ผู้ให้บริการ หรือ ผู้ติดตั้งใช้งาน
• กำหนดประเภทความเสี่ยงสำหรับแต่ละระบบและบันทึกการประเมินนั้น รวมถึงการพึ่งพาข้อยกเว้นในมาตรา 6(3)
• จัดตั้งระบบกำกับดูแล AI และแต่งตั้งเจ้าหน้าที่ผู้รับผิดชอบ
• ตรวจสอบให้แน่ใจว่าบุคลากรที่ทำงานกับระบบเหล่านี้มีความรู้ความเข้าใจเกี่ยวกับ AI ซึ่งเป็นข้อผูกพันที่มีอยู่แล้ว
• ดำเนินการตามมาตรการด้านความโปร่งใสภายใต้มาตรา 50 ซึ่งมีผลบังคับใช้ตั้งแต่วันที่ 2 สิงหาคม 2026
• เริ่มจัดทำเอกสารทางเทคนิค และหากจำเป็น ให้ดำเนินการประเมินผลกระทบต่อสิทธิขั้นพื้นฐานให้ทันเวลา
• ตรวจสอบสัญญาของซัพพลายเออร์เกี่ยวกับการแบ่งบทบาท การให้ข้อมูล และสิทธิ์ในการตรวจสอบ
• วางแผนจัดทำเอกสารที่มีความเสี่ยงสูงโดยกำหนดวันสิ้นสุดไว้ที่ 2 ธันวาคม 2027 สำหรับระบบในภาคผนวก III และ 2 สิงหาคม 2028 สำหรับระบบในภาคผนวก I

พระราชบัญญัติ AI กำหนดอะไรบ้างสำหรับองค์กรของคุณ

กฎหมาย AI Act ส่งผลกระทบอย่างมากต่อวิธีการที่องค์กรต่างๆ พัฒนา ซื้อ และใช้งาน AI การเลื่อนการบังคับใช้ข้อผูกพันที่มีความเสี่ยงสูงออกไปนั้นช่วยให้มีเวลาสำหรับส่วนที่หนักที่สุดของกฎระเบียบ แต่ยังคงข้อกำหนดอื่นๆ ไว้เช่นเดิม ได้แก่ ข้อห้ามในมาตรา 5 ข้อผูกพันด้านความรู้เกี่ยวกับ AI กฎสำหรับแบบจำลอง AI ทั่วไป และข้อผูกพันด้านความโปร่งใสในมาตรา 50 ซึ่งทั้งหมดนี้ยังคงมีผลบังคับใช้ในปัจจุบัน เวลาที่ได้มานั้นควรใช้ไปกับการจำแนกประเภทและการจัดทำเอกสาร เพราะเป็นขั้นตอนที่ไม่สามารถเร่งให้เสร็จในภายหลังได้ สำหรับภาพรวมที่กว้างขึ้นของกฎระเบียบ โปรดดูคู่มือฉบับสมบูรณ์เกี่ยวกับกฎหมาย AI Act ของสหภาพยุโรปของ เรา ซึ่งเสริมส่วนที่เน้นระบบ AI ที่มีความเสี่ยงสูงในบทความนี้

Law & More ช่วยให้องค์กรต่างๆ สามารถจัดทำบัญชีและจำแนกประเภทระบบ AI ของตน กำหนดบทบาทของตนในฐานะผู้ให้บริการหรือผู้ใช้งาน ตรวจสอบและร่างสัญญากับซัพพลายเออร์ AI และจัดตั้งระบบการกำกับดูแล AI หากคุณต้องการทราบว่าองค์กรของคุณมีข้อผูกพันใดบ้างในปัจจุบัน และควรให้ความสำคัญกับขั้นตอนใดเป็นอันดับแรก โปรดติดต่อเราได้เลย

คำถามที่พบบ่อย

ด้านล่างนี้คือคำตอบของคำถามที่พบบ่อยที่สุดเกี่ยวกับเรื่องนี้