บริหารงานภาครัฐ
ประเทศไทยกำลังอยู่ในช่วงหัวเลี้ยวหัวต่อของการกำหนด “กติกา” สำหรับเทคโนโลยีที่กำลังเปลี่ยนโลกอย่างรวดเร็ว ไม่ว่าจะเป็น ChatGPT ระบบวิเคราะห์ข้อมูล การแพทย์ การเงิน หรือรถยนต์ไร้คนขับ
คำถามสำคัญจึงไม่ใช่เพียง “จะใช้ AI อย่างไร” แต่คือ “จะกำกับ AI อย่างไร” เพื่อให้เกิดนวัตกรรมควบคู่กับการคุ้มครองสิทธิของประชาชน
กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอี) และสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) จึงได้ผลักดัน (ร่าง) พระราชบัญญัติว่าด้วยปัญญาประดิษฐ์ พ.ศ. .... ซึ่งถือเป็นกฎหมายกลางด้าน AI ฉบับแรกของประเทศไทย โดยมีเป้าหมายสำคัญในการวางระบบกำกับดูแลการใช้ AI ที่มีมาตรฐาน โปร่งใส และสอดคล้องกับแนวทางสากล
สิ่งที่แตกต่างจากแนวคิดการควบคุมเทคโนโลยีในอดีต คือ ร่างกฎหมายฉบับนี้ไม่ได้มุ่ง “ควบคุม AI ทุกประเภท” แต่เลือกกำกับเฉพาะการใช้งานที่มี “ความเสี่ยงสูง” (High-risk AI) ซึ่งอาจส่งผลกระทบต่อสิทธิ เสรีภาพ ความปลอดภัย หรือศักดิ์ศรีของประชาชน ขณะที่การใช้งานทั่วไปยังสามารถพัฒนาและแข่งขันได้ภายใต้หลักธรรมาภิบาล
จาก “ควบคุมเทคโนโลยี” สู่ “บริหารความเสี่ยง”
หัวใจสำคัญของร่างกฎหมาย คือ การเปลี่ยนแนวคิดจากการควบคุมเทคโนโลยีแบบเบ็ดเสร็จ มาเป็นการกำกับดูแลตามระดับความเสี่ยง (Risk-based Regulation)
กล่าวคือ AI แต่ละประเภทจะไม่ได้ถูกกำหนดกฎเกณฑ์เดียวกันทั้งหมด แต่จะถูกประเมินตามผลกระทบที่อาจเกิดขึ้นต่อประชาชน หากเป็นระบบที่มีความเสี่ยงต่ำ ผู้ประกอบการสามารถดำเนินธุรกิจได้ภายใต้แนวปฏิบัติทั่วไป แต่หากเป็นระบบที่มีความเสี่ยงสูง จะต้องปฏิบัติตามมาตรการกำกับดูแลที่เข้มงวดมากขึ้น
แนวทางนี้สอดคล้องกับกฎหมาย AI ของหลายประเทศ โดยเฉพาะสหภาพยุโรป ที่ใช้หลักการกำกับดูแลตามระดับความเสี่ยง เพื่อไม่ให้กฎหมายกลายเป็นอุปสรรคต่อการพัฒนาเทคโนโลยี
AI แบบใดที่อาจถูกห้ามใช้
ร่างกฎหมายกำหนดให้มีการควบคุมการใช้ AI ที่อาจสร้างผลกระทบร้ายแรงต่อสังคม เช่น
- การใช้ AI เพื่อเลือกปฏิบัติต่อบุคคลอย่างไม่เป็นธรรมจากการประมวลผลข้อมูลจำนวนมาก
- การใช้ AI เพื่อชักจูงหรือบิดเบือนการตัดสินใจของประชาชนผ่านเทคนิคการสื่อสารแบบแฝง
- การใช้งานรูปแบบอื่นที่อาจกระทบต่อสิทธิขั้นพื้นฐาน ซึ่งสามารถกำหนดเพิ่มเติมได้ในอนาคตผ่านพระราชกฤษฎีกา
นอกจากนี้ ยังเปิดช่องให้รัฐบาลสามารถกำหนดว่า AI ประเภทใดต้องอยู่ภายใต้ระบบจดแจ้ง ขึ้นทะเบียน หรือขออนุญาตก่อนให้บริการ หากพบว่ามีความเสี่ยงสูงหรือส่งผลกระทบต่อสาธารณะ
กระจายอำนาจกำกับดูแล ไม่รวมศูนย์
อีกหนึ่งจุดเด่นของร่างกฎหมาย คือ การใช้รูปแบบ Decentralized Regulation หรือการกำกับดูแลแบบกระจายอำนาจ
แทนที่จะให้หน่วยงานกลางเพียงแห่งเดียวเป็นผู้กำกับ AI ทุกประเภท ร่างกฎหมายกำหนดให้หน่วยงานกำกับในแต่ละสาขา เช่น ภาคการเงิน สาธารณสุข หรือคมนาคม ทำหน้าที่กำกับ AI ในอุตสาหกรรมของตนเอง เพราะเป็นหน่วยงานที่เข้าใจบริบทและความเสี่ยงของแต่ละภาคส่วนมากที่สุด
ขณะเดียวกัน จะมีคณะกรรมการเฉพาะด้านการขับเคลื่อนแผนด้านปัญญาประดิษฐ์แห่งชาติ ทำหน้าที่กำหนดนโยบายภาพรวมและพิจารณาว่า AI ประเภทใดควรถูกจัดเป็นระบบที่มีความเสี่ยงสูง
ผู้พัฒนาและผู้ใช้งาน AI ต้องรับผิดชอบมากขึ้น
เมื่อ AI ระบบใดถูกจัดให้เป็น “AI ความเสี่ยงสูง” ผู้ที่เกี่ยวข้องจะมีหน้าที่เพิ่มขึ้นทันที
- ผู้พัฒนาระบบ (AI Provider) ต้องออกแบบระบบให้ปลอดภัย โปร่งใส สามารถตรวจสอบได้ และมีมาตรการป้องกันการนำ AI ไปใช้ในทางที่ผิด
- ส่วนผู้ประยุกต์ใช้ AI (Deployer) ไม่ว่าจะเป็นหน่วยงานรัฐหรือเอกชน จะต้องจัดทำระบบบริหารความเสี่ยง ประเมินผลกระทบ ติดตามการทำงานของ AI และกำหนดมาตรการลดความเสี่ยงอย่างต่อเนื่อง
- ร่างกฎหมายยังเปิดโอกาสให้ภาคอุตสาหกรรมเสนอแนวปฏิบัติ มาตรฐาน หรือระบบกำกับดูแลตนเอง (Self-regulation) เพื่อให้ภาครัฐรับรองและยกระดับเป็นมาตรฐานทางกฎหมายในอนาคต
AI ของภาครัฐ ต้องผ่านการประเมินด้านจริยธรรม
สำหรับหน่วยงานของรัฐ ร่างกฎหมายกำหนดเงื่อนไขเพิ่มเติมก่อนนำ AI มาใช้ให้บริการประชาชนหรือใช้ประกอบการตัดสินใจทางปกครอง ทุกหน่วยงานจะต้องจัดทำ การประเมินผลกระทบด้านจริยธรรม (Ethical Impact Assessment) เพื่อประเมินว่าระบบ AI อาจส่งผลต่อสิทธิ ความเป็นธรรม หรือการเลือกปฏิบัติหรือไม่
นอกจากนี้ ยังจะมีฐานข้อมูลกลางที่รวบรวมการใช้งาน AI ของหน่วยงานรัฐ เพื่อให้สามารถติดตาม ตรวจสอบ และรับมือได้หากเกิดความผิดพลาดจากระบบ AI
รับมือ Deepfake ด้วยมาตรการ 4 ชั้น
หนึ่งในประเด็นสำคัญของร่างกฎหมาย คือ การรับมือกับปัญหา Deepfake และเนื้อหาที่สร้างขึ้นด้วย AI
ร่างกฎหมายกำหนดมาตรการความโปร่งใส 4 ระดับ ได้แก่
- ผู้พัฒนา AI ต้องออกแบบระบบให้สามารถตรวจสอบได้ว่าผลงานใดถูกสร้างด้วย AI และมีระบบบันทึกข้อมูล
- ผู้ใช้งานที่เผยแพร่เนื้อหาซึ่ง AI สร้างขึ้นในกรณีที่มีความเสี่ยง ต้องแจ้งให้ผู้รับสารทราบว่าเป็นเนื้อหาที่สร้างด้วย AI
- ผู้ประยุกต์ใช้ AI ในองค์กรต้องมีมาตรการบริหารความเสี่ยงเพิ่มเติม
- แพลตฟอร์มออนไลน์ต้องมีระบบตรวจจับและติดป้ายกำกับ (Labelling) สำหรับเนื้อหาที่สร้างด้วย AI หรืออยู่ระหว่างการตรวจสอบ
มาตรการเหล่านี้มีเป้าหมายลดการหลอกลวง การบิดเบือนข้อมูล และการนำ AI ไปใช้สร้างความเสียหายต่อสังคม
คุ้มครองผู้ใช้บริการ และรักษาอธิปไตยด้านข้อมูล
ร่างกฎหมายยังให้ความสำคัญกับการคุ้มครองผู้ใช้บริการในประเทศไทย โดยกำหนดหลักการเพื่อรักษาความสามารถในการกำกับดูแล AI ของประเทศ ไม่ให้ถูกจำกัดจากเงื่อนไขทางสัญญาของผู้ให้บริการต่างชาติ
ในบางกรณี คณะกรรมการอาจกำหนดให้ AI ที่มีความสำคัญต่อประเทศต้องประมวลผลข้อมูลภายในประเทศไทย รวมทั้งกำหนดให้ผู้ให้บริการ AI จากต่างประเทศที่ไม่มีสำนักงานในไทย ต้องแต่งตั้งผู้ประสานงานหรือผู้แทนทางกฎหมายในประเทศไทย เพื่อให้สามารถกำกับดูแลและบังคับใช้กฎหมายได้อย่างมีประสิทธิภาพ
ส่งเสริมนวัตกรรมควบคู่การกำกับดูแล
แม้ร่างกฎหมายจะเน้นการควบคุมความเสี่ยง แต่ก็ให้ความสำคัญกับการส่งเสริมนวัตกรรมเช่นกัน โดยกำหนดมาตรการสนับสนุนหลายด้าน ทั้งการจัดตั้ง AI Sandbox เพื่อทดสอบเทคโนโลยี การแบ่งปันข้อมูล การจัดทำมาตรฐาน การรับรองบริการที่เกี่ยวข้องกับ AI และการสนับสนุนให้ภาคเอกชนพัฒนากลไกกำกับดูแลตนเอง
แนวทางดังกล่าวสะท้อนว่า รัฐไม่ได้ต้องการจำกัดการพัฒนา AI แต่ต้องการสร้างสภาพแวดล้อมที่เอื้อต่อการเติบโตของอุตสาหกรรม ควบคู่กับการสร้างความเชื่อมั่นให้ประชาชน
จุดเริ่มต้นของกฎหมาย AI ไทย
สำหรับสาระสำคัญ ว่าด้วยปัญญาประดิษฐ์ พ.ศ. …. มีดังนี้
- หมวด 1 “บททั่วไป”
มีหลักการสำคัญ คือ การกำหนดนิยามที่สำคัญของกฎหมาย โดยเฉพาะคำว่าระบบปัญญาประดิษฐ์ ผู้ให้บริการ ผู้ประยุกต์ใช้ หน่วยงานควบคุมหรือกำกับดูแล และคณะกรรมการ ซึ่งหมายถึง คณะกรรมการเฉพาะด้านการขับเคลื่อนแผนด้านปัญญาประดิษฐ์แห่งชาติ
- หมวด 2 “การส่งเสริมการพัฒนาและการประยุกต์ใช้ปัญญาประดิษฐ์”
มีหลักการสำคัญประกอบด้วย การจัดให้มีโครงการทดสอบระบบปัญญาประดิษฐ์ การแบ่งปันข้อมูล การจัดทำมาตรฐาน การรับรองบริการที่สนับสนุนการพัฒนาหรือประยุกต์ใช้ระบบปัญญาประดิษฐ์ และการจัดทำแนวปฏิบัติที่ดีหรือกลไกการกำกับดูแลตนเองของภาคอุตสาหกรรม
- หมวด 3 “การควบคุมความเสี่ยงจากระบบปัญญาประดิษฐ์”
3.1 การกำหนดแนวทางการใช้งานระบบปัญญาประดิษฐ์ที่ต้องห้าม เช่น การใช้งานในลักษณะการเลือกปฏิบัติอย่างไม่เป็นธรรมต่อบุคคลในวงกว้างจากการประมวลผลข้อมูลจำนวนมากที่ไม่เกี่ยวข้องโดยตรงกับการพิจารณาคุณสมบัติในการเข้าถึงสิทธิขั้นพื้นฐาน หรือได้มีเทคนิคสื่อสารแบบแฝงเร้นเพื่อกระทบความสามารถในการตัดสินใจด้วยตนเองของผู้ใช้งาน อีกทั้งรองรับการกำหนดการกระทำต้องห้ามเพิ่มเติม
รวมทั้งกลไกในการตราพระราชกฤษฎีกาเพื่อกำหนดให้ระบบปัญญาประดิษฐ์ลักษณะใดหรือประเภทใด ต้องอยู่ภายใต้การกำกับก่อนการประกอบธุรกิจ ทั้งในรูปแบบจดแจ้ง ขึ้นทะเบียน หรืออนุญาต เพื่อรองรับประเด็นความเสี่ยงหรือผลกระทบสำคัญที่เกี่ยวข้องกับพฤติกรรมหรือแนวโน้มใหม่ที่เกิดจากอุตสาหกรรมปัญญาประดิษฐ์
3.2 การกำหนดแนวทางการใช้งานระบบปัญญาประดิษฐ์ที่มีความเสี่ยง
(1) กำหนดแนวทางการกำกับดูแลแบบกระจายอำนาจ (decentralized regulation) โดยให้หน่วยงานควบคุมหรือกำกับดูแลในแต่ละภาคส่วนมีบทบาทหลักในการกำกับดูแลการประยุกต์ใช้ระบบปัญญาประดิษฐ์ภายในขอบเขตอำนาจหน้าที่ของตน
ทั้งนี้ หน่วยงานดังกล่าวต้องพิจารณาความเพียงพอของกฎหมายและมาตรการกำกับดูแลที่มีอยู่ และเสนอเรื่องต่อคณะกรรมการเฉพาะด้านการขับเคลื่อนแผนด้านปัญญาประดิษฐ์แห่งชาติ เพื่อพิจารณาว่าระบบปัญญาประดิษฐ์ประเภทใดควรถูกกำหนดให้เป็น “ระบบปัญญาประดิษฐ์ที่มีความเสี่ยงสูง” และควรกำหนดมาตรการเพิ่มเติมจากกฎหมายที่มีอยู่หรือไม่
(2) เมื่อมีการกำหนดให้ระบบปัญญาประดิษฐ์ใดเป็นระบบปัญญาประดิษฐ์ที่มีความเสี่ยงสูง ผู้ประยุกต์ใช้ (deployer) ย่อมมีหน้าที่ทั่วไปในการบริหารจัดการความเสี่ยงภายในองค์กรทันที โดยเฉพาะการประเมินความเสี่ยง การติดตามผลกระทบ และการกำหนดมาตรการควบคุมหรือบรรเทาความเสี่ยงที่เหมาะสม
(3) การกำหนดหน้าที่ของผู้ให้บริการระบบปัญญาประดิษฐ์ (AI provider) และหน้าที่เฉพาะของผู้ประยุกต์ใช้ในแต่ละภาคส่วน จะอยู่ภายใต้การพิจารณาของคณะกรรมการเฉพาะด้านการขับเคลื่อนแผนด้านปัญญาประดิษฐ์แห่งชาติ เพื่อเปิดโอกาสให้หน่วยงานควบคุมหรือกำกับดูแลสามารถเสนอหน้าที่เพิ่มเติมสำหรับผู้ประยุกต์ใช้ในภาคส่วนของตน
ในกรณีที่กฎหมายเฉพาะด้านยังไม่เพียงพอต่อการจัดการความเสี่ยง รวมทั้งเป็นกลไกกลางที่เปิดให้หน่วยงานที่เกี่ยวข้องและผู้มีส่วนได้เสียร่วมพิจารณาหน้าที่ทั่วไปและหน้าที่เฉพาะของผู้ให้บริการระบบปัญญาประดิษฐ์ ซึ่งอาจให้บริการครอบคลุมหลายภาคส่วน
(4) เปิดโอกาสให้ภาคเอกชนเสนอแนวปฏิบัติ มาตรฐานอุตสาหกรรม หรือมาตรการกำกับดูแลตนเอง (self-regulation) ที่มีการใช้งานอยู่แล้วในทางปฏิบัติ เพื่อให้คณะกรรมการพิจารณารับรองหรือยกระดับเป็นมาตรการที่มีผลบังคับทางกฎหมาย ซึ่งจะช่วยส่งเสริมความเชื่อมั่นของสาธารณชนต่อการพัฒนาและการใช้ระบบปัญญาประดิษฐ์
(5) กำหนดให้ผู้ให้บริการระบบปัญญาประดิษฐ์ที่ไม่มีสถานประกอบการหรือที่ตั้งในประเทศไทยต้องแต่งตั้งผู้ประสานงานในราชอาณาจักร เพื่ออำนวยความสะดวกในการติดต่อและกำกับดูแล ทั้งนี้ สำหรับบริการบางประเภทที่มีความเสี่ยงสูงหรือมีความสำคัญเป็นพิเศษ อาจกำหนดให้ต้องแต่งตั้งผู้แทนทางกฎหมายในประเทศไทยตามหลักเกณฑ์ที่กำหนดเพิ่มเติมได้
3.3 การดูแลความเสี่ยงของระบบปัญญาประดิษฐ์ที่หน่วยงานของรัฐประยุกต์ใช้
(1) การรองรับการนำระบบปัญญาประดิษฐ์มาใช้ในบริการประชาชน ตลอดจนการดำเนินการที่มีผลในทางกฎหมาย เช่น คำสั่งต่างๆ ทั้งนี้ มีข้อพิจารณาถึงการกำหนดกรณีที่ไม่ควรประยุกต์ใช้ อาทิ กรณีที่ต้องใช้ดุลพินิจตามข้อเท็จจริงสูง
(2) การกำหนดให้หน่วยงานที่จะประยุกต์ใช้ระบบปัญญาประดิษฐ์ในบริการแก่ประชาชนต้องมีการประเมินผลกระทบทางจริยธรรม (Ethical Impact Assessment)
(3) ระบบทะเบียนเพื่อทราบว่าหน่วยงานของรัฐในประเทศได้มีการประยุกต์ใช้ระบบปัญญาประดิษฐ์ในรูปแบบใดบ้าง เพื่อรองรับกรณีที่มีความเสี่ยงหรือเหตุความผิดพลาดของระบบปัญญาประดิษฐ์
3.4 การดูแลความเสี่ยงที่เกิดจากข้อมูลสังเคราะห์ (Deepfakes หรือ AI Generated-output)
กำหนดหน้าที่ในเชิงความโปร่งใส ซึ่งประกอบด้วยมาตรการ 4 ระดับ คือ
(1) ระดับผู้ให้บริการระบบปัญญาประดิษฐ์ ที่ต้องทำให้ทุกผลลัพธ์ที่เกิดขึ้น มีส่วนประกอบที่สามารถตรวจจับได้ด้วยเครื่อง (machine-readable detection) เพื่ออำนวยความสะดวกในการตรวจสอบอัตโนมัติ ตลอดจนหน้าที่ในการบริหารจัดการความเสี่ยงไม่ให้ระบบของตนเป็นเครื่องมือในการกระทำความผิดเสียเอง และระบบการบันทึกข้อมูล
(2) ระดับผู้ใช้งานทั่วไป ที่นำผลลัพธ์ที่เกิดจากปัญญาประดิษฐ์เข้าสู่ระบบคอมพิวเตอร์ อาทิ พื้นที่แพลตฟอร์ม โดยกรณีที่ผลลัพธ์นั้นเกี่ยวข้องกับประเด็นความเสี่ยงตามที่กำหนดไว้ ผู้นั้นมีหน้าที่ในการทำการใดๆ เพื่อให้ผู้รับข้อมูบสามารถทราบได้ว่าข้อมูลนั้นเกิดจากระบบปัญญาประดิษฐ์
(3) ระดับผู้ประยุกต์ใช้ ที่มีหน้าที่เพิ่มเติมจากผู้ใช้งานทั่วไป คือ การบริหารจัดการความเสี่ยงตามเฉพาะกรณีที่กำหนดไว้
(4) หน้าที่ของแพลตฟอร์มในการจัดให้มีระบบตรวจจับผลลัพธ์ที่เกิดจากระบบปัญญาประดิษฐ์ เพื่อให้ผู้ใช้บริการได้ทราบ และกระบวนการติดป้าย (Labelling) สำหรับกรณีที่ประชาชนแจ้งและอยู่ในระหว่างการตรวจสอบ
3.5 การคุ้มครองผู้ใช้บริการในประเทศไทย
มุ่งรักษาความเป็นอิสระและความสามารถทางยุทธศาสตร์ด้านระบบปัญญาประดิษฐ์ของประเทศไม่ให้เผชิญข้อจำกัดด้านสัญญา และการกำหนดลักษณะการประยุกต์ระบบปัญญาประดิษฐ์ที่ควรต้องประมวลผลข้อมูลในประเทศ ที่อยู่ภายใต้การพิจารณาของคณะกรรมการเฉพาะด้านการขับเคลื่อนแผนด้านปัญญาประดิษฐ์แห่งชาติ
ทั้งนี้ ร่างพระราชบัญญัติว่าด้วยปัญญาประดิษฐ์ พ.ศ. …. จึงไม่ใช่เพียงกฎหมายด้านเทคโนโลยี แต่เป็นการวางโครงสร้างการกำกับดูแล AI ของประเทศไทยในระยะยาว ภายใต้หลักการสำคัญ 3 ประการ คือ การส่งเสริมนวัตกรรม การคุ้มครองสิทธิประชาชน และการกำกับดูแลตามระดับความเสี่ยง
หลังผ่านกระบวนการรับฟังความคิดเห็น ร่างกฎหมายจะถูกเสนอให้สำนักงานคณะกรรมการกฤษฎีกาตรวจพิจารณา ก่อนเข้าสู่การพิจารณาของคณะรัฐมนตรี และส่งต่อไปยังสภาผู้แทนราษฎร โดยรัฐบาลตั้งเป้าผลักดันเข้าสู่กระบวนการนิติบัญญัติภายในเดือนกันยายน 2569
หากกฎหมายฉบับนี้ประกาศใช้สำเร็จ ประเทศไทยจะมีกรอบกฎหมายกลางด้าน AI เป็นครั้งแรก ซึ่งจะเป็นทั้งเครื่องมือสร้างความเชื่อมั่นต่อการพัฒนาเทคโนโลยี และเป็นหลักประกันว่าการเติบโตของ AI จะดำเนินไปบนพื้นฐานของความโปร่งใส ความรับผิดชอบ และการเคารพสิทธิมนุษยชนในยุคดิจิทัล
เนื้อหาที่เกี่ยวข้อง;
