ร่างกฎหมาย AI ไทย 2026 — ธุรกิจต้องเฝ้าดูอะไร

สรุปสั้น: ย้ำให้ชัดตั้งแต่ต้น: กฎหมายที่ควบคุมการใช้ AI โดยตรงของไทย ณ ปี 2026 ยังอยู่ในระยะร่างและมาตรการเชิงนโยบาย ยังไม่มีกฎหมายฉบับเฉพาะที่บังคับใช้ครบวงจรแบบกฎหมาย AI ของสหภาพยุโรป สิ่งที่บังคับใช้จริงกับธุรกิจวันนี้คือ PDPA กับกฎหมายหมวดทั่วไปที่มีอยู่เดิม ธุรกิจที่ฉลาดที่สุดจึงไม่ใช่ฝ่ายที่รอ แต่เป็นฝ่ายที่เตรียมฐานที่จะใช้ได้ทั้งวันนี้และวันที่กฎหมายร่างมีผล บทความนี้เป็นภาพรวมเชิงข่าวสาร ไม่ใช่คำแนะนำทางกฎหมาย

ข้อความรอบตัวเรื่องกฎหมาย AI ไทยในปี 2026 ผสมกันระหว่างข้อเท็จจริง ความคาดหวัง และข่าวที่เขียนเกินจริง บางหัวข้อข่าวเขียนเหมือนกฎหมายผ่านและบังคับใช้แล้ว ทั้งที่สถานะจริงคือร่างที่อยู่ระหว่างการพิจารณาซึ่งเนื้อหาอาจแก้ได้จนถึงวันสุดท้าย บทความนี้จึงตั้งกติกาการเขียนไว้ชัดเจน: เรื่องใดยังเป็นร่าง จะบอกว่าเป็นร่าง เรื่องใดบังคับใช้จริง จะบอกว่าบังคับใช้ ไม่มีการคาดการณ์วันบังคับใช้หรือตัวเลขโทษปัญญา และกรณีรายละเอียดสำคัญให้ตรวจกับแหล่งทางการเสมอ

สถานะจริงของกฎหมาย AI ไทย ณ ปี 2026 (ภาพรวม)

ประเด็นสำคัญจากตาราง: ธุรกิจที่รอ "กฎหมาย AI" จะพลาดสองอย่างพร้อมกัน อย่างแรกคือภาระที่บังคับอยู่แล้ววันนี้ภายใต้ PDPA ซึ่งครอบคลุมทุกครั้งที่ระบบ AI รวบรวมหรือประมวลผลข้อมูลส่วนบุคคล อย่างที่สองคือโอกาสจัดโครงสร้างภายในให้พร้อมก่อนกฎหมายร่างมีผล ธุรกิจที่มีฐานเอกสารและกระบวนการอยู่แล้วจะปรับตัวในไม่กี่สัปดาห์ ธุรกิจที่เริ่มศูนย์จะใช้เวลาหลายเดือน

เทียบกับ PDPA: เพราะอะไร PDPA จึงเป็นตัวบังคับหลักวันนี้

ระบบ AI ส่วนใหญ่ที่ธุรกิจไทยใช้ — แชทบอทบริการลูกค้า ระบบคัดกรองใบสมัคร เครื่องมือวิเคราะห์พฤติกรรม — ทำงานบนข้อมูลส่วนบุคคล ทันทีที่เป็นเช่นนั้น PDPA เข้ามาบังคับทั้งชุด: ฐานทางกฎหมายของการประมวลผล การแจ้งข้อมูลให้เจ้าของข้อมูลทราบ สิทธิของเจ้าของข้อมูล และความปลอดภัยของระบบ เมื่อธุรกิจใช้บริการ AI จากผู้ให้บริการภายนอก โครงสร้างผู้ควบคุมข้อมูล–ผู้ประมวลผลข้อมูลก็ถูกเรียกใช้ด้วย ซึ่งในทางปฏิบัติแปลว่าต้องมีสัญญาประมวลผลข้อมูลกับผู้ให้บริการ โครงสัญญา DPA มีอยู่ในสัญญา DPA เทมเพลต และภาพรวมภาระ PDPA กับ AI สรุปไว้ในAI กับ PDPA

เทียบกับกรอบของสหภาพยุโรป: อ่านเพื่อเข้าใจทิศทาง ไม่ใช่เพื่อตกใจ

กฎหมาย AI ของสหภาพยุโรปเป็นกรอบที่ถูกอ้างอิงมากที่สุดในโลก หัวใจของมันคือการจัดระดับความเสี่ยงตามการใช้งาน ระบบที่เสี่ยงสูง เช่น ที่เกี่ยวข้องกับการจ้างงาน สินเชื่อ หรือสิทธิพื้นฐาน ย่อมมีภาระมากกว่าระบบทั่วไป แนวคิดนี้มีผลต่อธุรกิจไทยสองทาง ทางตรงคือกรณีให้บริการหรือมีผู้ใช้ในสหภาพยุโรป ทางอ้อมคือแนวโน้มที่กรอบร่างของไทยและประเทศเพื่อนบ้านมักอ้างอิงแนวคิดเดียวกัน ธุรกิจที่จัดระบบตามหลัก "รู้ว่าระบบไหนเสี่ยงสูง" จะรอดสองกรอบพร้อมกัน ไม่ต้องรอเห็นฉบับสุดท้ายของไทยก่อน

สิ่งที่ธุรกิจควรเตรียมตั้งแต่วันนี้

• ทำทะเบียนการใช้ AI ในองค์กร: ระบบไหนใช้ AI อะไร ประมวลผลข้อมูลอะไร ใครรับผิดชอบ นี่คือเอกสารแรกที่ทุกกรอบกำกับดูแลจะขอ
• จัดระดับความเสี่ยงตามการใช้งาน: แยกระบบที่ตัดสินใจกระทบคน เช่น การจ้างงานหรือสินเชื่อ ออกจากระบบช่วยทำงานทั่วไป แล้วให้มาตรฐานการกำกับต่างกันตามระดับ
• ตั้งผู้รับผิดชอบชัดเจน: ทุกระบบ AI ต้องมีมนุษย์ที่ชื่อและตำแหน่งชัดว่ารับผิดชอบ หลักความรับผิดชอบของมนุษย์มีอยู่ในจริยธรรมการใช้ AI ทางกฎหมาย
• ทบทวน PDPA ให้เป๊ะก่อน: ฐานการประมวลผล นโยบายความเป็นส่วนตัว และสัญญากับผู้ให้บริการ AI รายการที่ธุรกิจมักพลาดมีเช็กลิสต์ไว้ในเช็กลิสต์ PDPA สำหรับองค์กร
• เตรียมการอธิบายผลลัพธ์: เมื่อระบบ AI ปฏิเสธสินเชื่อหรือคัดคนออก ธุรกิจควรตอบได้ว่าทำไม แม้โมเดลจะซับซ้อน ต้องมีกลไกตรวจสอบและช่องทางให้คนโต้แย้ง
• เขียนนโยบายใช้ AI ภายใน: พนักงานใช้เครื่องมือ AI กับข้อมูลลูกค้าได้แค่ไหน ใครอนุมัติ อะไรห้ามป้อน นโยบายหนึ่งหน้าที่มีจริงดีกว่าแนวทางสิบหน้าที่ไม่มี

ข้อผิดพลาดที่พบในการอ่านข่าวกฎหมาย AI

ความเสี่ยงที่แท้จริงของธุรกิจหลายแห่งไม่ใช่กฎหมาย แต่คือการตัดสินใจจากข่าวที่เขียนเกินสถานะจริง สามรูปแบบที่พบบ่อย: หนึ่ง อ่านร่างแล้วสรุปว่าบังคับใช้แล้ว จึงเสียเวลาเตรียมตามรายละเอียดที่อาจถูกลบออก สอง อ่านแล้วสรุปว่ายังไม่บังคับ จึงไม่ทำอะไรเลย ทั้งที่ PDPA กับกฎหมายเดิมบังคับอยู่แล้ว สาม อ่านตัวเลขโทษในร่างแล้วนำไปเผยแพร่เหมือนข้อเท็จจริง เนื้อหาของร่างแก้ได้จนถึงวันที่ประกาศใช้จริง วิธีที่ปลอดภัยคือติดตามจากแหล่งทางการของหน่วยงานกำกับโดยตรง และให้ที่ปรึกษากฎหมายแปลเป็นภาระของธุรกิจคุณโดยเฉพาะ

มุมของผู้ให้บริการ AI และธุรกิจที่ซื้อบริการ

ถ้าคุณเป็นผู้ให้บริการ AI ให้ลูกค้าธุรกิจ แนวโน้มของทุกกรอบกำกับดูแลชี้ไปทางเดียวกัน: ความโปร่งใสว่าระบบทำอะไร ข้อมูลอะไรถูกใช้ และข้อจำกัดของระบบคืออะไร เอกสารที่อธิบายขอบเขตชัดวันนี้คือสินทรัพย์การขายพรุ่งนี้ ถ้าคุณเป็นฝ่ายซื้อบริการ AI ให้ถามผู้ขายสี่คำถามเดียวกันทุกเจ้า: ข้อมูลของเราถูกใช้ฝึกโมเดลไหม เก็บที่ไหนนานเท่าไร ระบบมีข้อจำกัดอะไรที่ต้องแจ้งผู้ใช้ และเมื่อระบบผิดพลาด ใครรับผิดชอบอะไร คำถามชุดนี้ใช้ได้ทั้งวันนี้และวันที่กรอบกำกับดูแลมีผล แนวการเลือกเครื่องมือโดยรวมอยู่ในการใช้ ChatGPT กับงานกฎหมาย และการเทียบ AI กฎหมายสำหรับทนาย

คำถามที่พบบ่อย

ตอนนี้มีกฎหมาย AI ไทยบังคับใช้แล้วหรือยัง

ยังไม่มีกฎหมายเฉพาะเรื่อง AI ที่บังคับใช้ครบวงจร สิ่งที่ปรากฏคือร่างและกรอบนโยบายที่อยู่ระหว่างการพิจารณา ธุรกิจวันนี้ต้องปฏิบัติตาม PDPA และกฎหมายหมวดทั่วไปเหมือนเดิม

ถ้ากฎหมายยังเป็นร่าง ต้องทำอะไรเลยไหม

ต้อง ทำฐานที่จำเป็นอยู่แล้ว: ทะเบียนระบบ AI การจัดระดับความเสี่ยง ผู้รับผิดชอบ และการปฏิบัติตาม PDPA ทั้งหมดนี้ใช้ได้ทันทีและจะกลายเป็นข้อบังคับเมื่อกรอบใดๆ มีผล

ร่างกฎหมายจะห้ามใช้ AI หรือไม่

แนวโน้มทั่วโลกไม่ใช่การห้ามใช้ แต่เป็นการกำกับตามระดับความเสี่ยงของการใช้งาน ระบบที่กระทบสิทธิและชีวิตคนจะมีภาระมาก ระบบช่วยทำงานทั่วไปมีภาระน้อยกว่า อย่าตีความร่างเป็นการห้ามโดยรวม

ธุรกิจเล็กต้องทำเท่าธุรกิจใหญ่ไหม

หลักความรับผิดชอบไม่แยกขนาด แต่ความเข้มข้นของมาตรการควรสมสัดส่วนกับความเสี่ยงและขนาด SME ที่ใช้ AI เพื่องานเอกสารภายในมีภาระน้อยกว่าบริษัทที่ใช้ AI คัดกรองผู้ขอสินเชื่อ จัดตามการใช้งานจริง ไม่ใช่ตามขนาดบริษัท

ใช้ AI ต่างประเทศกับข้อมูลลูกค้าไทย ผิดกฎหมายไหม

ไม่ผิดโดยตัวของมัน แต่เข้าข่ายการโอนข้อมูลส่วนบุคคลออกนอกประเทศภายใต้ PDPA ซึ่งมีเงื่อนไขของตัวเอง ควรตรวจกับผู้เชี่ยวชาญเมื่อมีการโอนข้อมูลจริงจัง

ถ้า AI ทำผิดพลาดจนมีคนเสียหาย ใครรับผิด

วันนี้ศาลพิจารณาด้วยกฎหมายเดิม เช่น ความรับผิดทางแพ่งหรือสัญญา โดยมนุษย์และองค์กรที่ใช้ระบบเป็นจุดรับผิด กฎหมายร่างในหลายกรอบพยายามกำหนดหน้าที่ความโปร่งใสเพื่อให้ระบุความรับผิดชอบได้ง่ายขึ้น แต่ยังไม่เปลี่ยนหลักรับผิดโดยตรง

ต้องแจ้งลูกค้าว่าใช้ AI หรือไม่

การแจ้งเป็นแนวปฏิบัติที่ถูกผลักดันอย่างแข็งขันในทุกกรอบ และในหลายกรณีที่ระบบกระทบสิทธิโดยตรง การแจ้งอาจกลายเป็นหน้าที่ ทำวันนี้จึงไม่มีข้อเสีย ทั้งด้านกฎหมายและความเชื่อมั่น

PDPA กับกฎหมาย AI ต่างกันอย่างไร

PDPA ควบคุมข้อมูลส่วนบุคคลไม่ว่าเทคโนโลยีใด กฎหมาย AI เฉพาะจะควบคุมระบบ AI ไม่ว่าข้อมูลประเภทใด ทั้งสองซ้อนทับกันในระบบ AI ที่ประมวลผลข้อมูลบุคคล ธุรกิจต้องทำตามทั้งคู่พร้อมกัน

ควรตั้งคณะทำงาน AI ในองค์กรเลยไหม

SME เล็กไม่จำเป็นต้องมีคณะ แต่ต้องมีคนรับผิดชอบหนึ่งคนที่มีอำนาจตัดสิน ฟังก์ชันสำคัญคือทะเบียนระบบ การอนุมัติการใช้เครื่องมือใหม่ และการทบทวนเมื่อกฎหมายเคลื่อน

เอกสารแรกที่ควรทำคืออะไร

นโยบายการใช้ AI ภายในองค์กรหนึ่งหน้า + ทะเบียนระบบ AI ที่ใช้อยู่ สองเอกสารนี้ครอบคลุมข้อถามส่วนใหญ่ที่หน่วยงานกำกับหรือลูกค้ารายใหญ่จะถาม

จะติดตามความคืบหน้าจากแหล่งไหน

ติดตามจากประกาศของหน่วยงานกำกับดูแลที่เกี่ยวข้องและระบบรับฟังความคิดเห็นของร่างกฎระเบียบโดยตรง อย่าสรุปจากหัวข้อข่าว และให้ที่ปรึกษากฎหมายสรุปผลกระทบต่อธุรกิจของคุณเมื่อมีฉบับสำคัญ

MeshLaw เกี่ยวข้องกับเรื่องนี้อย่างไร

MeshLaw เป็นเครื่องมือ AI เพื่องานกฎหมายที่ช่วยธุรกิจจัดเอกสารและตรวจสัญญา ไม่ใช่หน่วยงานกำกับดูแล แต่ช่วยให้ธุรกิจเตรียมเอกสารนโยบาย ทะเบียน และสัญญากับผู้ให้บริการได้เร็วขึ้น ใช้เริ่มต้นได้ที่ https://app.meshlaw.ai

สรุป

สถานะกฎหมาย AI ไทยในปี 2026 คือ "ร่างกำลังเดิน กฎหมายเดิมบังคับอยู่" ภาระจริงวันนี้คือ PDPA และกฎหมายหมวดทั่วไป ทิศทางที่กำลังมาคือการกำกับตามระดับความเสี่ยง ธุรกิจที่ทำทะเบียนระบบ จัดผู้รับผิดชอบ และปฏิบัติตาม PDPA อย่างจริงจังตั้งแต่วันนี้ จะไม่ต้องเร่งรีบในวันที่กฎหมายร่างมีผล กรณีที่ระบบ AI ของคุณกระทบสิทธิคนโดยตรง ให้ปรึกษาที่ปรึกษากฎหมายเป็นรายกรณี และตรวจสอบสถานะกฎหมายล่าสุดจากแหล่งทางการเสมอ