EU AI Act และ SME ไทย: เตรียม AI Governance ก่อนส่งออกบริการไปยุโรป

ทำไม SME ไทยต้องสนใจ EU AI Act ทั้งที่บริษัทไม่ได้ตั้งอยู่ในยุโรป?

ถ้าธุรกิจไทยขายบริการ AI ให้ลูกค้าในยุโรป ไม่ว่าจะเป็นแชตบอตบนเว็บช็อป ระบบแนะนำสินค้า หรือเครื่องมือคัดกรองพนักงาน SME กำลังอยู่ในขอบเขตของ EU AI Act โดยอัตโนมัติ กฎหมายนี้ไม่ได้บังคับเฉพาะบริษัทที่จดทะเบียนในสหภาพยุโรปเท่านั้น แต่ใช้กับผู้ให้บริการหรือผู้ใช้งานที่ทำให้ระบบ AI เข้าถึงผู้คนใน EU ไม่ว่าบริษัทแม่จะตั้งอยู่ที่ใด ดังนั้นเจ้าของธุรกิจไทยที่เปิดเว็บไซต์ขายของออนไลน์ให้ลูกค้าชาวยุโรป และใช้ AI ตอบแชตหรือวิเคราะห์พฤติกรรมผู้ซื้อ จึงมีหน้าที่ต้องปฏิบัติตามบทบัญญัติบางส่วนทันทีที่กฎหมายเริ่มมีผลบังคับใช้เป็นขั้นบันไดตั้งแต่ปี 2025 ถึง 2027

หลายคนเข้าใจว่า AI Governance เป็นเรื่องขององค์กรใหญ่ที่มีทีมกฎหมายและทีมเทคนิคจำนวนมาก แต่จริงๆ แล้วหลักการสำคัญคือการรู้ว่าระบบ AI ไหนทำงานอย่างไร ใช้ข้อมูลอะไร และใครรับผิดชอบผลลัพธ์ สำหรับ SME การเตรียมตัวล่วงหน้าช่วยลดความเสี่ยงถูกปรับหรือถูกตัดออกจากซัพพลายเชนของลูกค้ายุโรป เพราะลูกค้าธุรกิจขนาดกลางและใหญ่ใน EU เริ่มมีนโยบายตรวจสอบผู้ขายซอฟต์แวร์และบริการ AI แล้ว หากไม่มีเอกสารแสดงการปฏิบัติตาม EU AI Act โอกาสชนะประมูลหรือต่อสัญญาจะลดลงอย่างมีนัยสำคัญ

EU AI Act แบ่งความเสี่ยงแบบไหน และ AI แบบใดที่กระทบธุรกิจไทย?

EU AI Act ใช้แนวคิดการแบ่งระดับความเสี่ยงเป็นสี่ชั้น ได้แก่ prohibited practices ที่ห้ามใช้โดยเด็ดขาด, high-risk AI systems ที่ต้องปฏิบัติตามข้อกำหนดเข้มงวด, limited-risk AI systems ที่ต้องมีมาตรฐานความโปร่งใส และ minimal-risk AI systems ที่ไม่มีข้อผูกพันเพิ่มเติมมากนัก สำหรับ SME ไทยที่ทำธุรกิจส่งออกบริการดิจิทัล สิ่งที่เจอบ่อยที่สุดคือ limited-risk เช่น แชตบอตที่คุยกับลูกค้าโดยไม่บอกว่าเป็นบอท ซึ่งผิดกฎหมาย เพราะผู้ใช้ต้องรู้ว่ากำลังโต้ตอบกับ AI และสามารถขอคุยกับมนุษย์ได้

ส่วน high-risk AI นั้นมีตัวอย่างที่ตรงไปตรงมา เช่น ระบบ AI ที่ใช้คัดกรองและจัดอันดับผู้สมัครงาน ระบบให้คะแนนเครดิต หรือระบบวินิจฉัยโรค หากบริษัทไทยพัฒนา SaaS เพื่อขายให้บริษัทในยุโรปที่ใช้สรรหาพนักงาน AI เหล่านี้ต้องมีระบบบริหารความเสี่ยง ชุดข้อมูลฝึกที่ถูกต้อง มีเอกสารทางเทคนิค และมีการลงทะเบียนในฐานข้อมูลสหภาพยุโรปที่เกี่ยวข้อง ซึ่งหมายถึงภาระที่สูงขึ้นในการทำ compliance หลายฝ่ายอาจมองว่าเป็นอุปสรรคต่อการแข่งขัน แต่ถ้ามองกลับกัน SME ที่เริ่มทำ governance ก่อนจะมีเอกสารครบและสอบผ่าน due diligence ของลูกค้าได้เร็วกว่าคู่แข่งที่ยังไม่ได้เตรียมตัว

ใครคือ provider / deployer / importer และสถานะของ SME ไทยคืออะไร?

การรู้ว่าธุรกิจไทยอยู่ในบทบาทใดของ EU AI Act ช่วยกำหนดขอบเขตหน้าที่ได้ถูกต้อง “Provider” คือคนที่พัฒนาโมเดล AI หรือระบบ AI แล้ววางตลาดใน EU ไม่ว่าจะเป็นบริษัทไทยที่ขายซอฟต์แวร์ HR ให้บริษัทเยอรมัน หรือสตาร์ทอัพที่เปิด API ให้บริการวิเคราะห์ความรู้สึกจากรีวิวลูกค้าในฝรั่งเศส ส่วน “Deployer” คือคนที่นำระบบ AI ไปใช้ในกิจกรรมของตัวเอง เช่น เจ้าของร้านค้าออนไลน์ในไทยที่ใช้ AI แชตบอตคุยกับลูกค้าในเนเธอร์แลนด์ และ “Importer” คือคนที่นำเข้าผลิตภัณฑ์ AI จากประเทศนอก EU เข้าไปวางในตลาดยุโรป

สำหรับ SME ไทยส่วนใหญ่ที่ใช้เครื่องมือสำเร็จรูป เช่น ChatGPT, Claude หรือผู้ให้บริการคลาวด์รายใหญ่ บริษัทอาจอยู่ในสถานะ deployer ซึ่งภาระหลักคือการใช้งานตามเงื่อนไข transparency และมี human oversight แต่ถ้า SME นำโมเดลปลายเปิดมาปรับแต่ง fine-tune ด้วยข้อมูลของตัวเอง แล้วขายให้ลูกค้า EU สถานะจะกลายเป็น provider ทันที ทำให้ต้องรับผิดชอบเอกสารทางเทคนิค การทดสอบความปลอดภัย และการแจ้งเหตุการณ์ไม่พึงประสงค์ต่อหน่วยงานรัฐของประเทศสมาชิก EU ดังนั้นก่อนเริ่มโครงการ ควรตกลงในสัญญาให้ชัดเจนว่าใครเป็น provider ของระบบย่อยแต่ละส่วน เพื่อไม่ให้ SME ไทยแบกรับความเสี่ยงทั้งหมดเพียงลำพัง

AI chatbot และระบบ HR ของ SME ไทยผิดกฎหมาย EU AI Act หรือไม่?

แน่นอนว่าการใช้ AI ไม่ได้ผิดกฎหมาย แต่การใช้งานโดยไม่เปิดเผยและไม่มีการควบคุมอาจผิดได้ ยกตัวอย่างเช่น ร้านค้าออนไลน์ของไทยที่ขายสินค้าแฮนด์เมดผ่าน Shopify และเปิดแชตบอตตอบคำถามลูกค้าชาวยุโรป หากบอทไม่แจ้งว่าเป็น AI ก็เข้าข่ายละเมิด limited-risk requirements เพราะผู้บริโภคมีสิทธิ์รู้ว่าตนเองกำลังคุยกับเครื่องจักร ปัญหาที่เกิดจริงคือบอทให้ข้อมูลผิดเกี่ยวกับนโยบายคืนสินค้า ทำให้ลูกค้าเข้าใจผิดและฟ้องร้องร้านค้าในประเทศของตน กรณีแบบนี้ไม่ใช่แค่ความเสี่ยงเรื่องกฎหมาย AI แต่ซ้ำกับกฎหมายคุ้มครองผู้บริโภคของ EU ที่เข้มงวดอยู่แล้ว

สำหรับระบบ HR AI สถานการณ์มีน้ำหนักมากขึ้น บริษัทไทยที่มีสำนักงานในยุโรปหรือเป็น subcontractor ให้บริษัทEU ที่ใช้ระบบคัดกรองผู้สมัครอัตโนมัติ จะถูกจัดเป็น high-risk ซึ่งไม่ใช่แค่ต้องแจ้งผู้สมัครว่าใช้ AI แต่ต้องมีระบบตรวจสอบความลำเอียง และให้มนุษย์ทบทวนการตัดสินใจที่ส่งผลต่อการจ้างงาน เช่น ถ้า AI ตัดสิทธิ์ผู้สมัครหญิงวัยเจริญพันธุ์เพราะรูปแบบข้อมูลในอดีต ระบบถือว่ามีพฤติกรรมเลือกปฏิบัติ การมีมนุษย์ตรวจทานรอบสุดท้ายจึงช่วยลดความเสี่ยงทางกฎหมายและสร้างความเชื่อมั่นให้ลูกค้าว่าบริษัทให้ความสำคัญกับจริยธรรม ไม่ใช่เพียงแค่ลดต้นทุน

จะเริ่มทำ AI Inventory และ Risk Register อย่างไร?

จุดเริ่มต้นที่ไม่ต้องจ้างที่ปรึกษาแพงๆ คือการทำ AI Inventory ในรูปแบบตาราง spreadsheet โดยลิสต์ทุกระบบ AI ที่มีในองค์กร เริ่มจากระบบที่ลูกค้า EU สัมผัสโดยตรง เช่น AI อ่านอีเมลล์ แชตบอต หรือระบบแนะนำสินค้า แล้วจดรายละเอียดว่าซอฟต์แวร์มาจากผู้ขายรายใด ใช้ข้อมูลอะไรบ้าง ใครเป็นเจ้าของระบบ และใครเป็นผู้ให้บริการ ปกติแล้ว SME มักตกใจเมื่อพบว่าแท้จริงแล้วมี AI ซ่อนอยู่ในหลายซอฟต์แวร์ เช่น ระบบ CRM ที่มีฟีเจอร์วิเคราะห์อารมณ์ลูกค้า หรือโปรแกรมบัญชีที่ใช้ AI แยกหมวดค่าใช้จ่าย ซึ่งระบบเหล่านี้แม้จะ low risk แต่ก็ต้องบันทึกไว้เพื่อให้เห็นภาพความเสี่ยงโดยรวม

จากนั้นนำรายการมาจัดทำ Risk Register โดยแบ่งเป็นระดับ Minimal, Limited, High และ Prohibited ตามนิยาม EU AI Act และแมตช์กับข้อมูลส่วนบุคคลที่เกี่ยวข้อง โดยเฉพาะข้อมูลของคน EU ที่อยู่ภายใต้ GDPR ไม่ใช่แค่ PDPA ในไทย เพราะมาตรฐานการคุ้มครองข้อมูลของยุโรปเข้มงวดกว่า เช่น การประมวลผลข้อมูลอัตโนมัติเพื่อประเมินลักษณะนิสัยหรือความน่าเชื่อถือของบุคคลอาจทำให้ผู้ใช้มีสิทธิ์ขอคำอธิบายและคัดค้านได้ ดังนั้น SME ควรจดบันทึกว่าแต่ละระบบมีฐานทางกฎหมายอะไรในการประมวลผล หากพบว่าระบบ AI ใช้ข้อมูลส่วนบุคคลโดยไม่จำเป็น ควรปิดฟีเจอร์นั้นทิ้งหรือลดขอบเขตข้อมูลลง การทำเช่นนี้ช่วยลดทั้งความเสี่ยงทางกฎหมายและต้นทุนการจัดเก็บข้อมูล

Human oversight, logging และ transparency ในเชิงปฏิบัติทำอย่างไร?

หัวใจของ EU AI Act ไม่ได้บังคับให้เลิกใช้ AI แต่ให้มนุษย์ยังคงควบคุมสถานการณ์ได้ ในทางปฏิบัติสำหรับ SME ธุรกิจบริการ เช่น บริษัทรับทำบัญชีที่ใช้ AI สรุปยอดค่าใช้จ่ายลูกค้า ควรตั้ง workflow ให้พนักงานตรวจสอบผลลัพธ์ AI ก่อนส่งเอกสารให้ลูกค้าทุกครั้ง และบันทึกชื่อผู้ตรวจสอบลงในระบบ หรือในกรณีโรงงาน SME ที่ใช้ AI ตรวจจับตำหนิของชิ้นงาน ควรมีช่างเทคนิคสุ่มตรวจซ้ำเป็นระยะ เพื่อป้องกันไม่ให้ AI พลาดข้อบกพร่องที่ส่งผลต่อความปลอดภัยของผู้ใช้ปลายทาง

Logging เป็นอีกหนึ่งข้อที่ทำได้จริงโดยไม่ต้องสร้าง data platform ใหญ่โต เพียงแต่กำหนดให้ระบบ AI บันทึกการใช้งานหลัก เช่น วันที่ เวลา ข้อความนำเข้า ผลลัพธ์ และเวอร์ชันของโมเดล ซึ่งผู้ให้บริการหลายรายเช่น OpenAI หรือ Anthropic มีฟีเจอร์ dashboard ให้ดึง log อยู่แล้ว (ผู้ให้บริการระบุ / ผลจริงขึ้นกับข้อตกลงและแผนการใช้งาน) ส่วนผู้ที่พัฒนาระบบเอง ควรเพิ่มตารางบันทึกในฐานข้อมูลที่มีการล็อกสิทธิ์การเข้าถึงและเก็บอย่างน้อย 6 เดือนถึง 1 ปี ซึ่งช่วยให้ตอบคำถามลูกค้าหรือหน่วยงานรัฐได้เมื่อเกิดข้อร้องเรียน Transparency ในฝั่งผู้ใช้ควรมีป้ายหรืออีเมลแจ้งว่าเนื้อหานี้สร้างโดย AI และให้ช่องทางติดต่อมนุษย์ที่ชัดเจน เช่น ปุ่ม “คุยกับเจ้าหน้าที่” ที่เชื่อมต่อไปยังทีมบริการลูกค้าจริง

การปฏิบัติตาม EU AI Act ช่วยปิดการขายกับลูกค้ายุโรปได้จริงหรือ?

SME ไทยหลายรายมองว่าการทำ compliance เป็นต้นทุนเพิ่ม แต่ในตลาดยุโรป เอกสารด้าน AI Governance กลายเป็นเงื่อนไขการคัดเลือกผู้ขายเหมือนกับการมี ISO 27001 ที่ผ่านมา ลูกค้าองค์กรใหญ่ใน EU ที่จัดซื้อซอฟต์แวร์จะส่งแบบสอบถามประเมินความเสี่ยงด้าน AI ให้คู่ค้าตอบ หากบริษัทไทยมี AI Inventory และระบุมาตรการ human oversight ได้ชัดเจน โอกาสผ่านการคัดเลือกจะสูงกว่า คู่แข่งที่ไม่มีเอกสารอาจถูกตัดออกตั้งแต่รอบแรก ตัวอย่างจริงคือ ธุรกิจรับทำเว็บไซต์และระบบ CRM สำหรับบริษัทเดนมาร์กที่ต้องแนบหลักฐานว่า AI chatbot ที่ติดตั้งให้รองรับการแจ้งเตือนผู้ใช้และมีการบันทึก log ซึ่งทีมไทยที่เตรียมเอกสารไว้แล้วสามารถตอบกลับได้ภายในสองวัน ขณะที่คู่แข่งในประเทศอื่นยังไม่เข้าใจข้อกำหนด

นอกจากนี้ การนำ EU AI Act มาพูดคุยกับลูกค้ายังเป็นจุดขายเชิงความน่าเชื่อถือ เพราะแสดงให้เห็นว่าบริษัทไทยมีมาตรฐานเทียบเท่ายุโรป ไม่ใช่คู่ค้าราคาถูกที่พร้อมรับความเสี่ยง โดยเฉพาะ SME ที่ให้บริการทำการตลาดอัตโนมัติหรือวิเคราะห์ข้อมูลลูกค้าแบบเจาะลึก การประกาศว่าเรามี AI Governance Framework จะช่วยลดแรงเสียดทานในการตรวจสอบสิทธิ์ผู้ใช้งานและสร้างความมั่นใจให้ลูกค้าระยะยาว ทำให้ต่อรองราคาได้ดีขึ้นและลดอัตราการถูกเรียกเก็บค่าปรับตามสัญญา

สรุป: เริ่มวันนี้ก่อนโดนตรวจสอบหรือเสียเปรียบคู่แข่ง

EU AI Act ไม่ใช่ระเบิดเวลาที่จะทำให้ SME ไทยต้องปิดกิจการ แต่เป็นสัญญาณว่าตลาดยุโรปต้องการความรับผิดชอบต่อการใช้ AI มากขึ้นแน่นอน ธุรกิจที่เริ่มทำ AI Inventory และ Risk Register ตั้งแต่ตอนนี้จะได้เปรียบเพราะมีข้อมูลเพียงพอสำหรับต่อรองกับลูกค้า ปรับปรุงระบบให้ปลอดภัย และหลีกเลี่ยงการแก้ไขเร่งด่วนช่วงใกล้เส้นตาย โดยเฉพาะบริษัทที่ให้บริการ AI chatbot หรือ HR SaaS กับลูกค้ายุโรป ควรเริ่มจัดทำเอกสารแม้ว่าขนาดธุรกิจจะยังเล็ก เพราะกฎหมายมีหลักการได้สัดส่วน ความเสี่ยงของระบบยิ่งต่ำ ภาระยิ่งน้อย แต่ถ้าไม่เริ่มเลยแม้แต่น้อย ความเสี่ยงก็จะไม่หายไป

สำหรับเจ้าของ SME และผู้จัดการ IT ที่อ่านบทความนี้ สิ่งที่ทำได้สัปดาห์นี้คือเอาระบบ AI ทุกจุดที่ใช้กับลูกค้าหรือผู้ใช้ใน EU มาลงตาราง จากนั้นกำหนดระดับความเสี่ยงและคุยกับทีมกฎหมายเพื่อตรวจสอบสัญญากับผู้ขาย AI ทั้งหมด จากนั้นจัดลำดับความสำคัญปิดช่องโหว่เรื่อง transparency และ human oversight ก่อน ซึ่งใช้เงินไม่มากแต่ช่วยลดความเสี่ยงถูกปรับและถูกตัดออกจากตลาดได้จริง การเตรียมตัวเชิงรุกครั้งนี้ไม่เพียงช่วยให้รอดกฎหมาย แต่ยังเปลี่ยน EU AI Act ให้เป็นเครื่องมือสร้างความน่าเชื่อถือและต่อยอดส่งออกบริการของ SME ไทยในเวทีโลกได้อย่างยั่งยืน