กฎหมาย AI ของสหภาพยุโรป: อะไรบ้างที่บังคับใช้ในขณะนี้ และอะไรบ้างที่ถูกเลื่อนออกไป

กฎหมาย AI ของสหภาพยุโรประเบียบ (EU) 2024/1689ได้ถูกนำมาใช้เป็นขั้นตอนตั้งแต่วันที่ 1 สิงหาคม 2024 โดยข้อห้าม กฎสำหรับแบบจำลอง AI ทั่วไป และหน้าที่ด้านความโปร่งใสสำหรับแชทบอทและเนื้อหาที่สร้างโดย AI นั้นมีผลบังคับใช้แล้ว ส่วนมาตรการที่เข้มงวดที่สุดสำหรับ AI ที่มีความเสี่ยงสูงนั้น ได้ถูกเลื่อนออกไปโดย AI Omnibus เป็นวันที่ 2 ธันวาคม 2027 สำหรับระบบที่ระบุไว้ในภาคผนวก III และวันที่ 2 สิงหาคม 2028 สำหรับ AI ในผลิตภัณฑ์ที่อยู่ภายใต้การกำกับดูแล

ระเบียบ AI Omnibus, Regulation (EU) 2026/1744 ได้รับการตีพิมพ์ในวารสารทางการในเดือนกรกฎาคม 2026 และมีผลบังคับใช้แล้ว ดังนั้น วันที่เลื่อนออกไปจึงเป็นกฎหมายที่แน่นอน ไม่ใช่การคาดการณ์ในการวางแผน

พระราชบัญญัติ AI ของสหภาพยุโรปคืออะไร

กฎหมาย AI Act เป็นกฎระเบียบของสหภาพยุโรปที่อิงตามความเสี่ยง: ยิ่งระบบ AI ก่อให้เกิดความเสี่ยงสูงเท่าไร ข้อผูกพันก็ยิ่งหนักขึ้นเท่านั้น กฎหมายนี้มีผลบังคับใช้โดยตรงในเนเธอร์แลนด์ โดยไม่จำเป็นต้องมีกฎหมายของเนเธอร์แลนด์มาบังคับใช้กับกฎหลักเพิ่มเติม

กฎหมายฉบับนี้ให้คำจำกัดความของระบบปัญญาประดิษฐ์ (AI) อย่างกว้างขวาง สอดคล้องกับแนวทางขององค์การเพื่อความร่วมมือและการพัฒนาทางเศรษฐกิจ (OECD) โดยหมายถึงระบบที่ใช้เครื่องจักรซึ่งทำงานด้วยความเป็นอิสระในระดับหนึ่ง อาจปรับตัวได้หลังจากใช้งาน และจากข้อมูลที่ได้รับ จะสามารถอนุมานวิธีการสร้างผลลัพธ์ เช่น การคาดการณ์ เนื้อหา คำแนะนำ หรือการตัดสินใจที่สามารถส่งผลกระทบต่อสภาพแวดล้อมทางกายภาพหรือเสมือนจริงได้ ซอฟต์แวร์แบบง่ายๆ ที่ใช้กฎเกณฑ์และปฏิบัติตามคำสั่งที่เขียนโดยมนุษย์เท่านั้น โดยทั่วไปแล้วจะไม่อยู่ในขอบเขตของระบบ AI

องค์กรของคุณได้รับความคุ้มครองภายใต้พระราชบัญญัติปัญญาประดิษฐ์หรือไม่?

อาจเป็นไปได้ว่า หากคุณพัฒนา จำหน่าย หรือใช้งานระบบ AI ในบริบททางวิชาชีพในสหภาพยุโรป กฎหมายฉบับนี้ยังครอบคลุมถึงบริษัทนอกสหภาพยุโรปด้วย เมื่อระบบของบริษัทเหล่านั้นวางจำหน่ายในตลาดสหภาพยุโรป หรือผลผลิตจากระบบนั้นถูกนำไปใช้ในสหภาพยุโรป

ดังนั้น บริษัทจากสหรัฐอเมริกาหรือสหราชอาณาจักรที่ให้บริการลูกค้าในยุโรปจึงอาจอยู่ภายใต้ขอบเขตของกฎหมายนี้ได้ กฎหมายฉบับนี้ได้กำหนดบทบาทไว้หลายประการ โดยแต่ละบทบาทมีหน้าที่เฉพาะของตนเอง:

• ผู้ให้บริการพัฒนาระบบ AI หรือโมเดล AI อเนกประสงค์ และนำออกสู่ตลาดหรือให้บริการภายใต้ชื่อหรือเครื่องหมายการค้าของตนเอง พวกเขาจึงแบกรับภาระผูกพันที่หนักที่สุด
• ผู้ใช้งานระบบ AI จะต้องได้รับอนุญาตให้ใช้งานระบบดังกล่าวในบริบทการทำงานอย่างมืออาชีพ เช่น นายจ้างใช้เครื่องมือ AI ในการคัดกรองผู้สมัครงาน การใช้งานส่วนตัวที่ไม่เกี่ยวข้องกับงานอาชีพนั้นอยู่นอกเหนือขอบเขตหน้าที่เหล่านี้
• ผู้นำเข้าและผู้จัดจำหน่ายที่นำระบบของบุคคลที่สามเข้ามาในตลาดสหภาพยุโรป หรือทำให้ระบบดังกล่าวพร้อมใช้งานในขั้นตอนถัดไปของห่วงโซ่อุปทาน จะต้องตรวจสอบว่าผู้ให้บริการได้ปฏิบัติตามพันธะของตนแล้ว
• ผู้ผลิตผลิตภัณฑ์ และในบางกรณี ตัวแทนที่ได้รับอนุญาตจากผู้ให้บริการนอกสหภาพยุโรป อาจรับภาระผูกพันของผู้ให้บริการไว้ด้วย

บทบาทของคุณอาจเปลี่ยนแปลงได้ ผู้ติดตั้งที่แก้ไขระบบที่มีความเสี่ยงสูงอย่างมีนัยสำคัญ หรือทำการตลาดระบบนั้นภายใต้ชื่อของตนเอง จะกลายเป็นผู้ให้บริการและต้องรับผิดชอบหน้าที่ที่เข้มงวดมากขึ้น ตรวจสอบเรื่องนี้ก่อนที่คุณจะปรับแต่งระบบที่ซื้อจากผู้ขาย

กฎหมาย AI Act จัดประเภทความเสี่ยงอย่างไร?

กฎหมายฉบับนี้แบ่งระดับความเสี่ยงออกเป็นสี่ระดับ ได้แก่ การปฏิบัติที่ต้องห้าม ความเสี่ยงสูง ความเสี่ยงจำกัดพร้อมหน้าที่ด้านความโปร่งใส และความเสี่ยงต่ำ ระดับความเสี่ยงขึ้นอยู่กับวัตถุประสงค์ในการใช้งานระบบ ไม่ใช่เทคโนโลยีที่อยู่เบื้องหลัง

การปฏิบัติที่ต้องห้าม

การใช้งานบางอย่างถูกห้ามอย่างเด็ดขาดภายใต้มาตรา 5 และข้อห้ามเหล่านั้นมีผลบังคับใช้ตั้งแต่วันที่ 2 กุมภาพันธ์ 2025 ซึ่งรวมถึงเทคนิคการบิดเบือนหรือหลอกลวงที่เปลี่ยนแปลงพฤติกรรมอย่างร้ายแรงและก่อให้เกิดอันตรายอย่างมาก และการแสวงหาประโยชน์จากจุดอ่อนที่เกี่ยวข้องกับอายุ ความพิการ หรือสถานะทางเศรษฐกิจและสังคม นอกจากนี้ยังห้ามการให้คะแนนทางสังคม การเก็บรวบรวมภาพใบหน้าโดยไม่เจาะจงเพื่อสร้างฐานข้อมูลการจดจำ การจดจำอารมณ์ในที่ทำงานและในสถานศึกษา (ยกเว้นเหตุผลทางการแพทย์หรือความปลอดภัย) และการจัดหมวดหมู่ทางชีวมาตรที่อนุมานลักษณะที่ละเอียดอ่อน เช่น ศาสนาหรือรสนิยมทางเพศ

การระบุตัวตนด้วยระบบไบโอเมตริกซ์ระยะไกลแบบเรียลไทม์ในพื้นที่สาธารณะเพื่อการบังคับใช้กฎหมายนั้นเป็นสิ่งต้องห้าม ยกเว้นในกรณีพิเศษที่มีมาตรการคุ้มครอง นอกจากนี้ กฎหมาย AI Omnibus ยังเพิ่มข้อห้ามใหม่สำหรับระบบ AI ที่สร้างสื่อลามกอนาจารเด็ก หรือภาพอนาจารที่ไม่ได้รับความยินยอมจากบุคคลอื่นที่สามารถระบุตัวตนได้

มีความเสี่ยงสูง

ระบบที่มีความเสี่ยงสูงได้รับอนุญาต แต่มีการควบคุมอย่างเข้มงวด โดยแบ่งออกเป็นสองกลุ่ม ภาคผนวกที่ 1 ครอบคลุม AI ที่เป็นส่วนประกอบด้านความปลอดภัย หรือเป็นผลิตภัณฑ์ที่อยู่ภายใต้กฎหมายผลิตภัณฑ์ของสหภาพยุโรปอยู่แล้ว เช่น อุปกรณ์ทางการแพทย์ เครื่องจักร ลิฟต์ และของเล่น ภาคผนวกที่ 3 ระบุการใช้งานแบบแยกเดี่ยวในด้านที่อ่อนไหว ได้แก่ ไบโอเมตริกส์ โครงสร้างพื้นฐานที่สำคัญ การศึกษา การจ้างงานและการจัดการแรงงาน การเข้าถึงบริการสาธารณะและเอกชนที่จำเป็น เช่น สินเชื่อและการประกันภัย การบังคับใช้กฎหมาย การตรวจคนเข้าเมืองและการควบคุมชายแดน และการบริหารงานยุติธรรมและกระบวนการประชาธิปไตย

ระบบที่ระบุไว้ในภาคผนวก III จะไม่ถือว่าเป็นระบบที่มีความเสี่ยงสูง หากระบบนั้นทำหน้าที่เพียงขั้นตอนหรือการเตรียมการในขอบเขตจำกัด และไม่มีอิทธิพลอย่างมีนัยสำคัญต่อผลลัพธ์ของการตัดสินใจ ข้อยกเว้นดังกล่าวมีขอบเขตจำกัดมาก และผู้ให้บริการที่อ้างอิงถึงข้อยกเว้นนี้จะต้องจัดทำเอกสารการประเมินของตน

ความเสี่ยงจำกัด: ความโปร่งใส

ระบบบางระบบไม่ได้มีความเสี่ยงสูง แต่สามารถทำให้ผู้คนเข้าใจผิดได้ ระบบเหล่านี้มีหน้าที่ด้านความโปร่งใสภายใต้มาตรา 50 ผู้คนต้องได้รับแจ้งเมื่อพวกเขากำลังโต้ตอบกับแชทบอท เนื้อหาที่สร้างหรือดัดแปลงโดย AI ต้องได้รับการเปิดเผยและทำเครื่องหมาย และผู้คนต้องได้รับแจ้งเมื่อพวกเขาถูกเปิดเผยต่อการจดจำอารมณ์หรือการจำแนกประเภททางชีวเมตริกที่ได้รับอนุญาต

ความเสี่ยงน้อยที่สุด

ปัญญาประดิษฐ์ส่วนใหญ่ เช่น ตัวกรองสแปม ระบบแนะนำ และปัญญาประดิษฐ์ในวิดีโอเกม จัดอยู่ในประเภทนี้ พระราชบัญญัตินี้ไม่ได้กำหนดข้อผูกพันเฉพาะเจาะจงในส่วนนี้ แม้ว่าจะสนับสนุนให้มีการปฏิบัติตามหลักจรรยาบรรณโดยสมัครใจ และหน้าที่ในการให้ความรู้เกี่ยวกับปัญญาประดิษฐ์โดยทั่วไปในมาตรา 4 ยังคงมีผลบังคับใช้

ข้อผูกพันเหล่านี้จะมีผลบังคับใช้เมื่อใด?

กฎหมายฉบับนี้จะมีผลบังคับใช้เป็นระยะ ข้อห้ามต่างๆ หน้าที่ในการรู้เท่าทันปัญญาประดิษฐ์ กฎระเบียบสำหรับปัญญาประดิษฐ์เพื่อการใช้งานทั่วไป และหน้าที่ด้านความโปร่งใสได้มีผลบังคับใช้แล้ว ส่วนกฎระเบียบสำหรับปัญญาประดิษฐ์ที่มีความเสี่ยงสูงจะตามมาในเดือนธันวาคม 2027 และสิงหาคม 2028

ตั้งแต่วันที่ 2 สิงหาคม 2026 เป็นต้นไป หน้าที่ด้านความโปร่งใสจะมีผลบังคับใช้อย่างเต็มรูปแบบ เฉพาะระบบ AI ที่สร้างขึ้นเองซึ่งวางจำหน่ายในตลาดก่อนวันดังกล่าวเท่านั้นที่จะมีเวลาถึงวันที่ 2 ธันวาคม 2026 ในการติดเครื่องหมายที่เครื่องอ่านได้ เวลาที่เพิ่มขึ้นสำหรับ AI ที่มีความเสี่ยงสูงนั้นเป็นการเลื่อนออกไป ไม่ใช่การยกเว้น เนื่องจากกระบวนการจัดทำเอกสารทางเทคนิค การจัดการความเสี่ยง และการกำกับดูแลโดยมนุษย์ต้องใช้เวลาหลายเดือน

ผู้ให้บริการ ผู้ติดตั้ง และผู้นำเข้าต้องทำอะไรบ้าง?

ผู้ให้บริการระบบที่มีความเสี่ยงสูงแบกรับภาระหลักและต้องพิสูจน์ความสอดคล้องก่อนที่ระบบจะออกสู่ตลาด ผู้ติดตั้งระบบต้องใช้งานระบบอย่างถูกต้อง ควบคุมดูแล และแจ้งให้ผู้ที่เกี่ยวข้องทราบ

ผู้ให้บริการระบบที่มีความเสี่ยงสูงต้องจัดตั้งระบบการจัดการความเสี่ยงที่ครอบคลุมตลอดวงจรชีวิตของระบบ ปฏิบัติตามหลักการกำกับดูแลข้อมูล จัดทำเอกสารทางเทคนิค สร้างระบบบันทึกข้อมูลอัตโนมัติและการกำกับดูแลโดยมนุษย์ และต้องบรรลุความถูกต้อง ความแข็งแกร่ง และความปลอดภัยทางไซเบอร์ที่เหมาะสม ก่อนการเปิดตัวสู่ตลาด พวกเขาต้องดำเนินการประเมินความสอดคล้อง การประกาศความสอดคล้องของสหภาพยุโรป การติดเครื่องหมาย CE และการลงทะเบียนในฐานข้อมูลของสหภาพยุโรป และหลังจากนั้น พวกเขาจะตรวจสอบระบบและรายงานเหตุการณ์ร้ายแรง

ผู้ที่ใช้งานระบบที่มีความเสี่ยงสูงต้องใช้ระบบตามคำแนะนำของผู้ให้บริการ มอบหมายการกำกับดูแลโดยเจ้าหน้าที่ที่มีความสามารถ ตรวจสอบให้แน่ใจว่าข้อมูลที่ป้อนมีความเกี่ยวข้อง ติดตามการทำงาน และเก็บรักษาบันทึกต่างๆ หากจำเป็น ต้องแจ้งให้ผู้ที่ได้รับผลกระทบทราบ หน่วยงานภาครัฐและผู้ใช้งานภาคเอกชนบางราย เช่น ในด้านการให้คะแนนเครดิตและการกำหนดราคาประกันภัย ต้องทำการประเมินผลกระทบต่อสิทธิขั้นพื้นฐาน นายจ้างต้องแจ้งให้ลูกจ้างและตัวแทนของลูกจ้างทราบก่อนที่จะนำระบบที่มีความเสี่ยงสูงมาใช้ในสถานที่ทำงาน

หน้าที่ด้านความรู้ความเข้าใจเกี่ยวกับ AI ในมาตรา 4 นั้นใช้กับผู้ให้บริการและผู้ใช้งาน AI ทุกราย กฎหมาย AI Omnibus ได้ปรับเปลี่ยนถ้อยคำให้มีความผ่อนปรนมากขึ้น โดยระบุว่าองค์กรต้องดำเนินมาตรการเพื่อสนับสนุนให้บุคลากรมีความรู้ความเข้าใจเกี่ยวกับ AI ในระดับที่เพียงพอ อย่างไรก็ตาม ความคาดหวังที่ว่าผู้ที่ทำงานกับ AI จะเข้าใจว่า AI ทำอะไรได้บ้างและอาจทำให้เกิดข้อผิดพลาดได้ที่ใดนั้นยังคงมีอยู่

อะไรบ้างที่ใช้ได้กับโมเดล AI ทั่วไป?

ผู้ให้บริการโมเดลปัญญาประดิษฐ์ทั่วไป (GPAI) มีภาระผูกพันของตนเองมาตั้งแต่ 2 สิงหาคม 2025 แล้ว ส่วนโมเดลที่มีความเสี่ยงเชิงระบบจะต้องรับผิดชอบเพิ่มเติม

ภายใต้มาตรา 53 ถึง 55 ผู้ให้บริการ GPAI ทุกรายต้องจัดทำเอกสารทางเทคนิค เผยแพร่บทสรุปรายละเอียดที่เพียงพอเกี่ยวกับเนื้อหาที่ใช้ในการฝึกอบรม มีนโยบายในการปฏิบัติตามกฎหมายลิขสิทธิ์ของสหภาพยุโรป และให้ข้อมูลแก่บริษัทที่นำแบบจำลองไปพัฒนาต่อยอด ผู้ให้บริการแบบจำลองที่มีความเสี่ยงเชิงระบบต้องประเมินแบบจำลองของตน รวมถึงการทดสอบการโจมตี ประเมินและลดความเสี่ยงเชิงระบบ ติดตามและรายงานเหตุการณ์ร้ายแรง และสร้างความมั่นใจในความปลอดภัยทางไซเบอร์ การปฏิบัติตามหลักปฏิบัติอย่างเป็นทางการของ AI สำหรับวัตถุประสงค์ทั่วไปถือเป็นวิธีที่ได้รับการยอมรับในการแสดงให้เห็นถึงการปฏิบัติตามข้อกำหนด สำนักงาน AI ของคณะกรรมาธิการยุโรปกำกับดูแลผู้ให้บริการเหล่านี้โดยตรง

หน้าที่ด้านความโปร่งใสใดบ้างที่บังคับใช้ในปัจจุบัน?

ตั้งแต่วันที่ 2 สิงหาคม 2026 เป็นต้นไป มาตรา 50 กำหนดให้ประชาชนต้องรู้ว่าตนเองกำลังติดต่อกับปัญญาประดิษฐ์ (AI) ซึ่งรวมถึงแชทบอท เนื้อหาที่สร้างโดย AI และภาพปลอม (deepfakes) รวมถึงการจดจำอารมณ์และการจำแนกประเภททางชีวเมตริก

ผู้ให้บริการแชทบอทและตัวแทนสนทนาต้องชี้แจงให้ชัดเจนว่าผู้ใช้กำลังโต้ตอบกับเครื่องจักร เว้นแต่จะเห็นได้ชัดอยู่แล้ว ผู้ให้บริการระบบที่สร้างเสียง ภาพ วิดีโอ หรือข้อความสังเคราะห์ต้องทำเครื่องหมายผลลัพธ์ในรูปแบบที่เครื่องจักรสามารถอ่านได้ เพื่อให้สามารถตรวจจับได้ว่าเป็นสิ่งประดิษฐ์ ผู้ที่เผยแพร่ deepfake ต้องเปิดเผยว่าเนื้อหานั้นถูกสร้างหรือดัดแปลงโดยปัญญาประดิษฐ์ และผู้ที่เผยแพร่ข้อความที่สร้างโดย AI ในเรื่องที่เป็นประโยชน์ต่อสาธารณะต้องเปิดเผยเรื่องนี้ เว้นแต่จะมีบุคคลตรวจสอบและรับผิดชอบด้านบรรณาธิการ ผู้ที่เผยแพร่การจดจำอารมณ์หรือการจำแนกประเภททางชีวเมตริกที่ได้รับอนุญาตต้องแจ้งให้ผู้ที่ได้รับผลกระทบทราบ

ค่าปรับภายใต้พระราชบัญญัติ AI มีอะไรบ้าง?

ค่าปรับขึ้นอยู่กับประเภทของการละเมิดและกำหนดไว้ในมาตรา 99 สำหรับแต่ละประเภท จะใช้ค่าปรับที่สูงกว่าระหว่างจำนวนเงินคงที่และเปอร์เซ็นต์ของยอดขาย

• การกระทำที่ต้องห้าม (มาตรา 5): ไม่เกิน 35 ล้านยูโร หรือ 7% ของยอดขายประจำปีทั่วโลก แล้วแต่จำนวนใดจะสูงกว่า
• การละเมิดข้อผูกพันอื่นๆ ส่วนใหญ่ รวมถึงข้อกำหนดด้านความเสี่ยงสูงและหน้าที่ด้านความโปร่งใส: สูงสุด 15 ล้านยูโร หรือ 3% ของยอดขายประจำปีทั่วโลก
• การให้ข้อมูลที่ไม่ถูกต้อง ไม่ครบถ้วน หรือทำให้เข้าใจผิดแก่หน่วยงานหรือองค์กรที่ได้รับแจ้ง: โทษปรับสูงสุด 7.5 ล้านยูโร หรือ 1% ของยอดขายประจำปีทั่วโลก

สำหรับ SMEs และสตาร์ทอัพ ค่าปรับจะถูกจำกัดไว้ที่จำนวนที่ต่ำกว่าระหว่างจำนวนเงินคงที่และเปอร์เซ็นต์ กฎหมาย AI Omnibus ขยายการบรรเทาโทษเหล่านี้ไปยังบริษัทขนาดกลางและขนาดเล็กหลายประการ ค่าปรับไม่ใช่เครื่องมือเดียว: หน่วยงานกำกับดูแลตลาดสามารถกำหนดให้มีการแก้ไข จำกัดหรือห้ามการใช้งานระบบ และสั่งให้ถอนหรือเรียกคืนระบบได้

กฎหมาย AI Act เกี่ยวข้องกับ GDPR และ Cyberbeveiligingswet อย่างไร?

กฎหมาย AI ฉบับนี้มีผลบังคับใช้เพิ่มเติมจากกฎหมายที่มีอยู่เดิม หากระบบ AI ของคุณประมวลผลข้อมูลส่วนบุคคล GDPR จะมีผลบังคับใช้โดยสมบูรณ์ และหากคุณให้บริการที่จำเป็นหรือสำคัญ กฎหมายความปลอดภัยทางไซเบอร์ของเนเธอร์แลนด์ก็จะมีผลบังคับใช้เช่นกัน

ภายใต้ GDPR คุณต้องมีพื้นฐานทางกฎหมาย คุณต้องเคารพข้อจำกัดด้านวัตถุประสงค์และสิทธิของเจ้าของข้อมูล และโดยทั่วไปคุณต้องดำเนินการประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA) การประเมินผลกระทบด้านสิทธิขั้นพื้นฐานภายใต้พระราชบัญญัติ AI และ DPIA มีความซ้ำซ้อนกัน ดังนั้นการดำเนินการทั้งสองอย่างพร้อมกันจึงมีประสิทธิภาพมากกว่า

กฎหมายว่าด้วยความมั่นคงทางไซเบอร์ (Cyberbeveiligingswet) ซึ่งเป็นการนำเอาคำสั่ง NIS2 ของสหภาพยุโรปมาใช้ ได้มีผลบังคับใช้ในเนเธอร์แลนด์ตั้งแต่วันที่ 15 สิงหาคม 2026 โดยกฎหมายฉบับนี้เพิ่มหน้าที่ในการจัดการความเสี่ยงและการรายงานเหตุการณ์สำหรับหน่วยงานที่จำเป็นและสำคัญ ซึ่งเป็นการเสริมความแข็งแกร่งให้กับข้อกำหนดของกฎหมายว่าด้วยปัญญาประดิษฐ์ (AI Act) ในด้านความแข็งแกร่งและความปลอดภัย

ใครเป็นผู้บังคับใช้กฎหมาย AI ในเนเธอร์แลนด์?

โมเดล AI ทั่วไปอยู่ภายใต้การกำกับดูแลของสำนักงาน AI ในบรัสเซลส์ ส่วนโมเดลอื่นๆ นั้นอยู่ภายใต้การบังคับใช้ของหน่วยงานกำกับดูแลตลาดระดับชาติ ในประเทศเนเธอร์แลนด์ กฎหมายที่กำหนดหน่วยงานเหล่านั้นยังอยู่ในขั้นตอนการพิจารณาของสภานิติบัญญัติ

ในระดับสหภาพยุโรป สำนักงาน AI ของคณะกรรมาธิการยุโรปกำกับดูแลแบบจำลอง AI อเนกประสงค์โดยตรงและทำงานร่วมกับคณะกรรมการปัญญาประดิษฐ์แห่งยุโรป กฎหมาย AI Omnibus ได้ขยายขอบเขตอำนาจไปถึงระบบ AI ที่สร้างขึ้นบนแบบจำลอง GPAI ของผู้ให้บริการเอง และไปถึง AI ในแพลตฟอร์มออนไลน์ขนาดใหญ่และเครื่องมือค้นหาต่างๆ ด้วย

กฎหมาย AI Act มีผลบังคับใช้โดยตรง ดังนั้นธุรกิจต่างๆ จึงอยู่ภายใต้ส่วนที่เกี่ยวข้องอยู่แล้ว อย่างไรก็ตาม กฎหมายของเนเธอร์แลนด์ที่กำหนดหน่วยงานกำกับดูแลและอำนาจหน้าที่ยังไม่มีผลบังคับใช้ และการจัดสรรอำนาจหน้าที่ขั้นสุดท้ายอาจเปลี่ยนแปลงได้ รูปแบบที่เสนอมาจนถึงขณะนี้เป็นแบบผสมผสาน หน่วยงานกำกับดูแลภาคส่วนที่มีอยู่จะกลายเป็นหน่วยงานกำกับดูแลตลาดในสาขาของตนเอง ดังนั้น AI ในด้านการดูแลสุขภาพจึงอยู่ภายใต้หน่วยงานตรวจสอบด้านการดูแลสุขภาพ และ AI ในที่ทำงานอยู่ภายใต้หน่วยงานตรวจสอบด้านแรงงาน หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์ (Autoriteit Persoonsgegevens, AP) และหน่วยงานกำกับดูแลโครงสร้างพื้นฐานดิจิทัลของเนเธอร์แลนด์ (Rijksinspectie Digitale Infrastructuur, RDI) มีบทบาทในการประสานงาน โดย AP ทำหน้าที่เป็นหน่วยงานกำกับดูแลส่วนที่เหลือสำหรับระบบที่มีความเสี่ยงสูงซึ่งไม่มีหน่วยงานกำกับดูแลภาคส่วนที่ชัดเจน

คุณควรหลีกเลี่ยงความเข้าใจผิดอะไรบ้าง?

ความเข้าใจผิดสี่ประการนี้มักทำให้องค์กรต่างๆ ทุ่มเทความพยายามไปในที่ที่ไม่ถูกต้อง

ประการแรกคือ การลงนามของมนุษย์ไม่ได้หมายความว่าระบบนั้นจะไม่มีความเสี่ยงสูง ข้อยกเว้นสำหรับงานขั้นตอนหรือการเตรียมการที่จำกัดนั้นถูกกำหนดไว้อย่างเข้มงวด เครื่องมือที่ใช้จัดอันดับผู้สมัครงานหรือเลือกไฟล์เพื่อตรวจสอบอย่างละเอียดจะส่งผลต่อการตัดสินใจแม้ว่าจะมีคนลงนามรับรองก็ตาม การประทับตราไม่ใช่การกำกับดูแลโดยมนุษย์และไม่ได้ทำให้ระบบนั้นพ้นจากข้อกำหนดในภาคผนวก III

ประการที่สองคือ มีเพียงนักพัฒนาซอฟต์แวร์เท่านั้นที่อยู่ภายใต้การกำกับดูแล ส่วนภาระผูกพันของผู้ใช้งานนั้นเป็นเรื่องจริงและสามารถบังคับใช้ได้กับองค์กรที่ใช้ระบบ ภาระผูกพันหลายอย่าง เช่น การแจ้งให้พนักงานและตัวแทนทราบ การมอบหมายผู้กำกับดูแลที่มีความสามารถ และการเก็บรักษาบันทึกต่างๆ นั้น ไม่สามารถผลักภาระไปให้ผู้ขายได้

ประการที่สามคือ ทุกสิ่งที่ใช้งานอยู่แล้วจะได้รับการยกเว้น ภายใต้มาตรา 111 ระบบที่มีความเสี่ยงสูงที่วางจำหน่ายในตลาดก่อนที่กฎเกี่ยวกับระบบที่มีความเสี่ยงสูงจะมีผลบังคับใช้ โดยหลักการแล้วจะเข้าข่ายก็ต่อเมื่อการออกแบบมีการเปลี่ยนแปลงอย่างมีนัยสำคัญในภายหลัง ข้อยกเว้นนี้แคบกว่าที่คิด การปรับปรุง การฝึกอบรมใหม่ และการใช้งานใหม่ ถือเป็นการเปลี่ยนแปลงประเภทที่ทำให้ระบบกลับเข้าสู่ขอบเขตของกฎ ระบบที่หน่วยงานภาครัฐใช้งานจะต้องปฏิบัติตามภายในวันที่ 2 สิงหาคม 2030 ไม่ว่ากรณีใดๆ หากคุณวางแผนที่จะใช้กฎการเปลี่ยนผ่าน โปรดบันทึกการกำหนดค่าปัจจุบันไว้ในขณะนี้

ประการที่สี่คือ พระราชบัญญัติ AI จะมาแทนที่กฎหมายที่มีอยู่เดิม โดยจะอยู่เหนือกฎหมายเดิม กฎหมายคุ้มครองข้อมูล กฎหมายว่าด้วยการปฏิบัติอย่างเท่าเทียม กฎหมายคุ้มครองผู้บริโภค กฎระเบียบภาคส่วน กฎหมายแรงงาน และสิทธิของสภาแรงงาน (ondernemingsraad) ยังคงมีผลบังคับใช้อย่างเต็มที่ ในประเทศเนเธอร์แลนด์ มักจะเป็นหนึ่งในกฎหมายเหล่านั้น ไม่ใช่พระราชบัญญัติ AI เอง ที่ก่อให้เกิดข้อร้องเรียนที่เป็นรูปธรรมครั้งแรก ตัวอย่างเช่น ภายใต้มาตรา 27(1)(l) ของพระราชบัญญัติสภาแรงงาน (Wet op de ondernemingsraden) การนำระบบตรวจสอบพนักงานมาใช้จำเป็นต้องได้รับความยินยอมจากสภาแรงงาน

ในฐานะผู้ให้บริการ คุณควรตรวจสอบอะไรบ้าง?

• ไม่ว่าระบบแต่ละระบบที่คุณนำเข้าสู่ตลาดสหภาพยุโรปจะเป็นสินค้าต้องห้าม มีความเสี่ยงสูง อยู่ภายใต้มาตรา 50 หรือมีความเสี่ยงต่ำก็ตาม
• สำหรับ AI เชิงสร้างสรรค์ที่วางจำหน่ายในตลาดก่อนวันที่ 2 สิงหาคม 2026: ต้องมีการระบุเครื่องหมายที่เครื่องสามารถอ่านได้บนผลลัพธ์ภายในวันที่ 2 ธันวาคม 2026
• สำหรับระบบที่มีความเสี่ยงสูง: การจัดการความเสี่ยง การกำกับดูแลข้อมูล เอกสารทางเทคนิค การบันทึกข้อมูล และการกำกับดูแลโดยมนุษย์ ก่อนวันที่ 2 ธันวาคม 2027 (ภาคผนวก III)
• การประเมินความสอดคล้อง การประกาศความสอดคล้องของสหภาพยุโรป การติดเครื่องหมาย CE และการลงทะเบียนในฐานข้อมูลของสหภาพยุโรป
• หากคุณพัฒนาโมเดลอเนกประสงค์: เอกสารประกอบ สรุปเนื้อหาการฝึกอบรม และนโยบายลิขสิทธิ์อยู่ภายใต้มาตรา 53 ถึง 55

ในฐานะผู้ติดตั้งระบบ คุณควรตรวจสอบอะไรบ้าง?

• รายงานสรุปเกี่ยวกับระบบ AI ทุกระบบที่คุณใช้ รวมถึง AI ที่ฝังอยู่ในซอฟต์แวร์ของบุคคลที่สาม พร้อมระดับความเสี่ยงของแต่ละระบบ
• การใช้งานดังกล่าวไม่เข้าข่ายข้อห้ามตามมาตรา 5 เช่น การจดจำอารมณ์ในที่ทำงาน
• ไม่ว่าคุณจะกลายเป็นผู้ให้บริการโดยการปรับเปลี่ยนระบบอย่างมีนัยสำคัญ หรือทำการตลาดภายใต้ชื่อของคุณเองก็ตาม
• การเปิดเผยข้อมูลเกี่ยวกับแชทบอท ดีพเฟค และข้อความที่สร้างโดยปัญญาประดิษฐ์ภายใต้มาตรา 50 และมาตรการส่งเสริมความรู้ความเข้าใจเกี่ยวกับปัญญาประดิษฐ์ภายใต้มาตรา 4
• การยินยอมของสภาแรงงานภายใต้มาตรา 27(1)(l) WOR ก่อนการนำ AI ที่ตรวจสอบพนักงานมาใช้ และ DPIA ภายใต้ GDPR

เราสามารถทำอะไรให้คุณได้บ้างภายใต้พระราชบัญญัติปัญญาประดิษฐ์?

เราให้คำแนะนำแก่ผู้ให้บริการและผู้ใช้งานเกี่ยวกับการปฏิบัติตามกฎหมาย AI Act ควบคู่ไปกับ GDPR และกฎหมายแรงงานดัชนีบทความที่เกี่ยวข้องของเราเกี่ยวกับกฎหมายไอทีและกฎหมายความเป็นส่วนตัวของเนเธอร์แลนด์ได้รวบรวมบทความที่เกี่ยวข้องไว้ด้วย

• เราจำแนกระบบ AI ของคุณตามระดับความเสี่ยงและกำหนดบทบาทของคุณสำหรับแต่ละระบบ
• เราตรวจสอบสัญญาของผู้ขายเพื่อกำหนดข้อผูกพันและความรับผิดภายใต้พระราชบัญญัติปัญญาประดิษฐ์ (AI Act)
• เราจัดทำร่างประกาศความโปร่งใสตามที่กำหนดไว้ในมาตรา 50
• เราผสานการประเมินผลกระทบด้านสิทธิขั้นพื้นฐานเข้ากับการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคลภายใต้ GDPR
• เราจัดเตรียมคำขอความยินยอมจากสภาแรงงานและดำเนินการปรึกษาหารือ

สรุป

• กฎหมาย AI ของสหภาพยุโรป (ระเบียบ (EU) 2024/1689) มีผลบังคับใช้ตั้งแต่วันที่ 1 สิงหาคม 2024 และจะทยอยบังคับใช้เป็นระยะ
• ข้อห้ามต่างๆ ความรู้ด้าน AI กฎของ GPAI และหน้าที่ด้านความโปร่งใสมีผลบังคับใช้แล้ว การตรวจสอบผลลัพธ์จากระบบสร้างผลลัพธ์แบบเก่าจะต้องดำเนินการให้แล้วเสร็จภายในวันที่ 2 ธันวาคม 2026
• ระเบียบ AI Omnibus (ระเบียบ (EU) 2026/1744) ได้เลื่อนการบังคับใช้กฎเกณฑ์เกี่ยวกับความเสี่ยงสูงไปเป็นวันที่ 2 ธันวาคม 2027 (ภาคผนวก III) และวันที่ 2 สิงหาคม 2028 (ภาคผนวก I)
• ค่าปรับมีตั้งแต่ 35 ล้านยูโร หรือ 7% ของยอดขายทั่วโลก สำหรับวิสาหกิจขนาดกลางและขนาดย่อม จะใช้ค่าปรับในอัตราที่ต่ำกว่า
• กฎหมาย AI Act นี้มีผลบังคับใช้เหนือกว่า GDPR, Cyberbeveiligingswet และกฎหมายแรงงาน ดังนั้นจึงควรวางแผนการปฏิบัติตามกฎระเบียบต่างๆ ไว้ในโครงการเดียว

คำถามที่พบบ่อย