EU AI Act 2 ส.ค. 2026: ของที่บังคับจริงคือความโปร่งใส ไม่ใช่ high-risk

วันที่ 2 สิงหาคม 2026 คือเส้นตายที่ถูกพูดถึงมาสองปีว่าเป็นวันที่ EU AI Act บังคับใช้เต็มรูปแบบ แต่สิ่งที่จะเกิดขึ้นจริงในวันพรุ่งนี้ต่างจากที่หลายคนเตรียมรับไว้ เพราะกฎหมายชื่อ Digital Omnibus on AI ซึ่ง มีผลบังคับใช้ไปแล้วเมื่อ 27 กรกฎาคม 2026 เลื่อนกฎชุด high-risk ออกไปเป็น 2 ธันวาคม 2027 และ 2 สิงหาคม 2028 ส่วนข้อที่ ไม่ถูกเลื่อนแม้แต่วันเดียว คือ มาตรา 50 เรื่องความโปร่งใส คือหน้าที่บอกผู้ใช้ว่ากำลังคุยกับ AI และหน้าที่ทำเครื่องหมายเนื้อหาที่ AI สร้าง

ความสำคัญกับคนอ่านที่อยู่ไทยอยู่ที่คำเดียวคือ ขอบเขต กฎนี้ไม่ผูกกับที่ตั้งของบริษัท แต่ผูกกับว่าระบบหรือผลลัพธ์ของระบบไปถึงคนใน EU หรือไม่ ถ้าเว็บของคุณมีแชทบอทที่ลูกค้ายุโรปคุยได้ หรือคุณขายซอฟต์แวร์ที่มีฟีเจอร์ AI ให้ลูกค้าใน EU งานนี้อยู่บนโต๊ะคุณด้วย

สรุปสั้น ๆ: Digital Omnibus on AI (Regulation (EU) 2026/1744) ลงประกาศใน Official Journal เมื่อ 24 ก.ค. 2026 และ มีผล 27 ก.ค. 2026 · เลื่อนกฎ high-risk แบบระบบเดี่ยวไป 2 ธ.ค. 2027 และแบบที่ฝังในสินค้าที่มีกฎหมายเฉพาะอยู่แล้วไป 2 ส.ค. 2028 · มาตรา 50 (ความโปร่งใส) ยังบังคับ 2 ส.ค. 2026 ตามเดิม มีแค่ข้อทำเครื่องหมายเนื้อหา (50(2)) ที่ผ่อนผันให้ระบบซึ่งวางตลาดก่อน 2 ส.ค. 2026 ไปทำให้ครบภายใน 2 ธ.ค. 2026 · โทษของการฝ่าฝืนมาตรา 50 อยู่ชั้น 15 ล้านยูโร หรือ 3% ของรายได้ทั่วโลก แล้วแต่จำนวนใดสูงกว่า (SME และสตาร์ตอัปใช้จำนวนที่ต่ำกว่า) · บังคับกับผู้ให้บริการนอก EU ด้วยถ้าระบบหรือผลลัพธ์ไปถึงผู้ใช้ใน EU

ไทม์ไลน์ที่เพิ่งถูกเขียนใหม่เมื่อสัปดาห์ที่แล้ว

AI Act ตัวจริงประกาศใช้ปี 2024 แล้วทยอยบังคับเป็นระยะ เดือนกุมภาพันธ์ 2025 เริ่มที่ข้อห้ามสำหรับการใช้ AI ที่ยอมรับไม่ได้ เดือนสิงหาคม 2025 เริ่มที่โครงสร้างการกำกับดูแลและหน้าที่ของผู้ให้บริการโมเดลอเนกประสงค์ (GPAI) และเดือนสิงหาคม 2026 ถูกกำหนดให้เป็นวันที่ทุกอย่างที่เหลือมีผล รวมถึงชุดหน้าที่ของระบบ high-risk ที่หนักที่สุด (การประเมินความสอดคล้อง เอกสารทางเทคนิค เครื่องหมาย CE และการขึ้นทะเบียนในฐานข้อมูลของ EU)

ปีนี้ยุโรปเปลี่ยนแผนนั้น ลำดับเหตุการณ์ที่เกิดขึ้นจริงคือรัฐสภายุโรปรับร่างเมื่อ 16 มิถุนายน 2026 คณะมนตรีไฟเขียวรอบสุดท้าย 29 มิถุนายน ลงนาม 8 กรกฎาคม ประกาศใน Official Journal 24 กรกฎาคม และ มีผลบังคับใช้ 27 กรกฎาคม 2026 สาระสำคัญที่สุดคือการเลื่อนกำหนดของ high-risk

• ระบบ high-risk แบบยืนเดี่ยว (ตามภาคผนวก III เช่นระบบคัดกรองผู้สมัครงาน ระบบให้คะแนนสินเชื่อ ระบบด้านการศึกษา) เลื่อนไป 2 ธันวาคม 2027
• ระบบ high-risk ที่ฝังเป็นส่วนความปลอดภัยของสินค้าที่มีกฎหมายเฉพาะกำกับอยู่แล้ว (ภาคผนวก I) เลื่อนไป 2 สิงหาคม 2028

ของอื่นที่มาพร้อมกันในกฎหมายฉบับเดียวกันและควรรู้ไว้

• ขยายอำนาจของ AI Office ให้ดูแลโมเดลอเนกประสงค์และระบบ AI ที่ฝังอยู่ในแพลตฟอร์มออนไลน์ขนาดใหญ่กับเครื่องมือค้นหาได้มากขึ้น
• ลดภาระเอกสาร ทั้งการขึ้นทะเบียนในฐานข้อมูลของ EU และหน้าที่ด้าน AI literacy ที่ขยับไปเป็นภารกิจส่งเสริมของภาครัฐมากขึ้น
• ขยายสิทธิประโยชน์ของ SME ให้ครอบคลุมบริษัทขนาดกลางเล็ก (small mid-cap) ซึ่งเดิมได้เฉพาะกิจการที่เล็กกว่านั้น
• เพิ่มข้อห้ามใหม่ เรื่องการสร้างภาพโป๊เปลือยโดยไม่ได้รับความยินยอมและเนื้อหาล่วงละเมิดเด็ก และเปิดช่องให้ประมวลผลข้อมูลพิเศษเพื่อตรวจหาอคติของโมเดลได้
• ขยาย regulatory sandbox ขึ้นเป็นระดับ EU ให้ทดสอบระบบได้กว้างกว่าเดิม

มาตรา 50 บังคับอะไรจริง ๆ

นี่คือส่วนที่ต้องอ่านให้ละเอียด เพราะเป็นของที่มีผลตั้งแต่พรุ่งนี้ คณะกรรมาธิการยุโรปแบ่งหน้าที่ตามมาตรา 50 ไว้ 5 กลุ่ม โดยแยกว่าใครรับผิดชอบ ระหว่าง provider (คนพัฒนาหรือวางระบบเข้าสู่ตลาด) กับ deployer (คนนำระบบไปใช้ในทางวิชาชีพ)

1. บอกให้รู้ว่ากำลังคุยกับ AI (หน้าที่ของ provider) ใช้กับระบบที่ออกแบบมาให้โต้ตอบกับคนโดยตรง เว้นแต่ เห็นได้ชัดอยู่แล้ว
2. ทำเครื่องหมายเนื้อหาที่สร้างหรือดัดแปลงด้วย AI ในรูปแบบที่เครื่องอ่านได้ (หน้าที่ของ provider) ครอบคลุมทั้งเสียง ภาพ วิดีโอ และข้อความ
3. แจ้งคนที่ถูกระบบอ่านอารมณ์หรือจัดหมวดด้วยข้อมูลชีวมิติ ว่ามีระบบนี้ทำงานอยู่ (หน้าที่ของ deployer)
4. ติดป้าย deepfake ให้เห็นตั้งแต่ครั้งแรกที่คนเจอ (หน้าที่ของ deployer) ยกเว้นงานที่เห็นชัดว่าเป็นงานศิลปะ งานสร้างสรรค์ งานเสียดสี หรือเรื่องแต่ง ซึ่งเปิดเผยได้ในแบบที่ไม่ขัดขวางการเสพงาน
5. ติดป้ายข้อความที่ AI สร้างและเผยแพร่เพื่อแจ้งข้อมูลสาธารณะ (เช่นเรื่องการเมือง กระบวนการยุติธรรม สุขภาพ) เว้นแต่มีคนตรวจทานและมีผู้รับผิดชอบทางบรรณาธิการ

ข้อยกเว้นที่คนมักเข้าใจผิดคือคำว่า “เห็นได้ชัดว่าเป็น AI” ซึ่งถูกตีความอย่างแคบ มาตรฐานที่ใช้วัดคือคนทั่วไปที่ได้รับข้อมูลพอสมควรจะรู้ทันทีหรือไม่ ไม่ใช่ความเห็นของทีมที่สร้างระบบเอง ส่วนข้อยกเว้นอื่นได้แก่ระบบที่ไม่ได้คุยกับคนโดยตรง (ทำงานหลังบ้านหรือคุยกันระหว่างเครื่อง) และฟังก์ชันช่วยแก้ไขงานทั่วไปแบบผู้ช่วยพิมพ์

จุดที่ต้องแยกให้ออกคือ เครื่องหมายที่เครื่องอ่านได้ไม่นับเป็นการเปิดเผยต่อคน การฝัง metadata หรือลายน้ำดิจิทัลเป็นหน้าที่ตามข้อ 2 ของ provider ขณะที่ป้ายที่คนเห็นได้เป็นหน้าที่ตามข้อ 4 และ 5 ของ deployer สองอย่างนี้ต้องทำทั้งคู่ในเคสที่เข้าเงื่อนไขทั้งสอง

ช่วงผ่อนผันเดียวที่มี คือข้อทำเครื่องหมายตามมาตรา 50(2) สำหรับระบบที่วางตลาดไปก่อนวันที่ 2 สิงหาคม 2026 ผู้ให้บริการมีเวลาถึง 2 ธันวาคม 2026 ที่จะทำให้ครบ ส่วนหน้าที่ข้ออื่นเริ่มพร้อมกันวันที่ 2 สิงหาคม

เครื่องมือช่วยที่ EU เตรียมไว้มีสองชิ้น คือ แนวทางปฏิบัติเรื่องความโปร่งใสของเนื้อหาที่ AI สร้าง ซึ่งอธิบายเกณฑ์และคำนิยาม และ Code of Practice ภาคสมัครใจ สำหรับคนที่อยากมีความแน่นอนทางกฎหมายมากขึ้นว่าวิธีทำเครื่องหมายและติดป้ายของตัวเองเข้าเกณฑ์

โทษปรับ และใครอยู่ในขอบเขต

โทษของ AI Act แบ่งเป็นสามชั้น การใช้ AI ที่ต้องห้ามอยู่ชั้นสูงสุดที่ 35 ล้านยูโรหรือ 7% ของรายได้รวมทั่วโลกต่อปี การให้ข้อมูลเท็จกับหน่วยงานอยู่ชั้น 7.5 ล้านยูโรหรือ 1% ส่วน หน้าที่ตามมาตรา 50 อยู่ชั้นกลางที่ 15 ล้านยูโรหรือ 3% ของรายได้ทั่วโลก แล้วแต่จำนวนใดสูงกว่า จุดที่เป็นข่าวดีสำหรับกิจการเล็กคือ SME และสตาร์ตอัปให้ใช้จำนวนที่ต่ำกว่า ระหว่างสองค่านั้น ไม่ใช่ค่าที่สูงกว่าเหมือนบริษัทใหญ่

เรื่องขอบเขตคือคำถามที่คนไทยถามบ่อยที่สุดและคำตอบตรงไปตรงมา กฎนี้มีผลนอกอาณาเขต บริษัทที่ตั้งอยู่นอก EU อยู่ในขอบเขตด้วยถ้าระบบหรือผลลัพธ์ของระบบไปถึงคนใน EU ดังนั้นสิ่งที่ต้องดูไม่ใช่ว่าจดทะเบียนที่ไหน แต่คือ ใครคือผู้ใช้ปลายทาง และ เราอยู่ในฐานะ provider หรือ deployer ของระบบนั้น ซึ่งบางครั้งบริษัทเดียวเป็นทั้งสองฐานะในระบบต่างกัน

วิเคราะห์: เรื่องนี้กระทบใครและต้องทำอะไร

กระทบผู้ใช้และนักพัฒนาทั่วไปยังไง

ในทางปฏิบัติงานที่ต้องทำก่อน 2 สิงหาคมสำหรับคนส่วนใหญ่ เล็กกว่าที่ชื่อกฎหมายทำให้กลัว ถ้าคุณมีแชทบอทบนเว็บหรือในแอป งานคือทำให้ผู้ใช้รู้ตั้งแต่ต้นว่าเป็น AI (ข้อความแรกที่บอทพูด บวกป้ายที่เห็นในหน้าจอ) และห้ามออกแบบให้บอทอ้างว่าเป็นพนักงานคนจริง ถ้าคุณเป็นคนทำเครื่องมือที่ผลิตภาพ เสียง หรือวิดีโอ งานจะหนักขึ้นอีกชั้นเพราะต้องมีการทำเครื่องหมายที่เครื่องอ่านได้ ซึ่งเป็นงานวิศวกรรมจริง (ฝัง metadata ตามมาตรฐานอย่าง C2PA หรือลายน้ำในสัญญาณ) ไม่ใช่งานที่ฝ่ายกฎหมายเขียนประกาศแล้วจบ

กับดักที่พบบ่อยคือ ท่อทำงานของเราเองลบเครื่องหมายทิ้ง เช่นการครอปภาพ แปลงไฟล์ หรืออัปโหลดผ่านระบบที่ตัด metadata ออกเพื่อลดขนาด ถ้าใช้เครื่องมือของผู้ให้บริการรายใหญ่ที่ใส่เครื่องหมายมาให้แล้ว หน้าที่ของเราคืออย่าทำให้มันหาย

กระทบคนไทยและองค์กรไทยโดยเฉพาะ

กลุ่มที่โดนตรงและมักไม่รู้ตัวคือ ธุรกิจไทยที่มีผู้ใช้ในยุโรปโดยไม่ได้ตั้งใจเจาะยุโรป เช่นซอฟต์แวร์แบบสมัครสมาชิกที่ใครสมัครก็ได้ ธุรกิจท่องเที่ยวและโรงแรมที่มีลูกค้ายุโรปคุยกับบอทตอบแชท เกมและแอปที่เปิดให้โหลดทั่วโลก และงานรับจ้างพัฒนาระบบ AI ให้ลูกค้าใน EU ซึ่งในสัญญาบ่อยครั้งทำให้ผู้รับจ้างกลายเป็น provider ในสายตากฎหมาย อีกกลุ่มคือ สายคอนเทนต์และการตลาดที่ใช้ AI ทำภาพหรือเสียง แล้วเผยแพร่เข้าตลาด EU

สิ่งที่ควรเข้าใจให้ชัดคือ AI Act ไม่ใช่ PDPA เวอร์ชันยุโรป PDPA ของไทยคุมการเก็บและใช้ข้อมูลส่วนบุคคล ส่วน AI Act คุมตัวระบบ AI และหน้าที่เปิดเผยข้อมูลของระบบนั้น สองฉบับทำงานคู่กันและไม่แทนกัน ระบบที่ผ่าน PDPA แล้วยังต้องทำเรื่องป้ายและเครื่องหมายตามมาตรา 50 อยู่ ถ้าผู้ใช้อยู่ใน EU

มุมที่มองข้ามไม่ได้คือ แรงกดดันจะมาถึงเราทางสัญญาก่อนทางกฎหมาย สิ่งที่เกิดขึ้นทุกครั้งที่ยุโรปออกกฎแบบนี้คือลูกค้าองค์กรใน EU จะเริ่มส่งแบบสอบถามและข้อสัญญามาให้คู่ค้ารับประกันว่าตัวเองทำตามกฎแล้ว บริษัทไทยที่ตอบคำถามชุดนี้ได้เร็วและมีเอกสารพร้อมจะได้เปรียบในการขายทันที ส่วนบริษัทที่ตอบไม่ได้จะเสียดีลโดยไม่มีใครบอกเหตุผล เรื่องนี้มาถึงเร็วกว่าการบังคับใช้กฎหมายกับบริษัทนอก EU เสมอ

ควรเตรียมหรือปรับตัวอะไร

• ทำบัญชีระบบ AI ที่เกี่ยวข้องก่อน แยกให้ชัดว่าระบบไหนคุยกับคนโดยตรง ระบบไหนผลิตเนื้อหา และในแต่ละระบบเราเป็น provider หรือ deployer เพราะหน้าที่ต่างกันตามฐานะ
• เช็คว่าผู้ใช้ใน EU มีจริงไหม ดูจากข้อมูลการใช้งานจริง ไม่ใช่จากความตั้งใจทางการตลาด ถ้ามีก็อยู่ในขอบเขต
• แชทบอทให้เปิดเผยตั้งแต่ข้อความแรกและมีป้ายค้างอยู่ในหน้าจอ เก็บภาพหน้าจอไว้เป็นหลักฐานว่าเปิดเผยตั้งแต่วันไหน
• เนื้อหาที่ AI สร้าง ให้เปิดการฝังเครื่องหมายของเครื่องมือที่ใช้ แล้วไล่ตรวจว่าท่อทำงานของเราไม่ตัด metadata ทิ้งกลางทาง
• งาน deepfake และเสียงโคลนต้องมีป้ายที่คนเห็น ไม่ใช่แค่ metadata ที่ซ่อนอยู่
• ถ้าเผยแพร่ข้อความที่ AI เขียนในเรื่องสาธารณะ ให้มีคนตรวจและมีผู้รับผิดชอบทางบรรณาธิการ แล้วเขียนกระบวนการนี้เป็นเอกสาร เพราะมันคือเงื่อนไขของข้อยกเว้น
• เช็ควันวางตลาดของระบบเดิม ระบบที่อยู่ในตลาดก่อน 2 สิงหาคม 2026 ใช้ช่วงผ่อนผันเรื่องเครื่องหมายได้ถึง 2 ธันวาคม 2026 ระบบที่เพิ่งปล่อยหลังจากนั้นไม่ได้
• คุยกับผู้ให้บริการโมเดลและแพลตฟอร์มให้ชัดว่าใครทำเครื่องหมาย แล้วเขียนลงสัญญา อย่าปล่อยให้เป็นความเข้าใจกันเอง
• อย่ารีบลงทุนชุดเอกสาร high-risk เต็มรูปแบบตอนนี้ แต่อย่าทิ้งเรื่องนี้ ถ้าระบบของคุณเข้าข่ายภาคผนวก III (คัดคนเข้าทำงาน ให้คะแนนสินเชื่อ ระบบการศึกษา) เส้นตาย 2 ธันวาคม 2027 ยังมาถึงเร็วกว่าที่คิด และงานเก็บหลักฐานคุณภาพข้อมูลกับการทดสอบอคติเป็นงานที่ทำย้อนหลังไม่ได้

ภาพรวมของเรื่องนี้คือยุโรปยอมถอยเรื่องเวลาแต่ไม่ถอยเรื่องหลักการ ของที่ยากและแพงถูกเลื่อนออกไปหนึ่งปีกว่า ส่วนของที่ถูกกว่าและกระทบคนวงกว้างที่สุดคือ หน้าที่บอกความจริงว่าอะไรเป็น AI ยังเดินตามกำหนดเดิม ซึ่งอ่านอีกแบบก็คือยุโรปกำลังบอกว่าเรื่องที่ประนีประนอมไม่ได้คือการหลอกให้คนคิดว่าคุยกับคนหรือดูของจริงอยู่ สำหรับองค์กรไทย งานที่คุ้มที่สุดในสัปดาห์นี้ไม่ใช่การจ้างที่ปรึกษา แต่คือการเปิดดูว่าบอทและคอนเทนต์ AI ของตัวเองบอกความจริงกับผู้ใช้ครบหรือยัง ส่วนเรื่องการเตรียมทีมและกระบวนการให้รับมือของแบบนี้ได้ในระยะยาว อ่านต่อได้ที่บทความ เตรียมทีมให้พร้อมสำหรับยุค AI