EU AI Omnibus 2026: เลื่อนกฎ High-risk AI แล้ว องค์กรควรหยุดหรือเร่ง AI Governance?
สถานะ: บทความให้ข้อมูลทั่วไป
Key Takeaways
- Regulation (EU) 2026/1744 หรือ Digital Omnibus on AI มีผลใช้บังคับในสหภาพยุโรปตั้งแต่วันที่ 27 กรกฎาคม 2569 และกำหนดวันใช้ข้อกำหนด High-risk AI ใหม่เป็น 2 ธันวาคม 2570 สำหรับระบบตาม Annex III และ 2 สิงหาคม 2571 สำหรับระบบที่ฝังในผลิตภัณฑ์ตาม Annex I
- การเลื่อนวันใช้ข้อกำหนดบางส่วนไม่ได้หมายถึงการหยุดทำ AI Governance เพราะองค์กรยังต้องรู้ว่ามี AI อะไร ใครรับผิดชอบ ใช้ข้อมูลใด และสร้างผลกระทบต่อใคร
- ผู้ให้บริการที่เกี่ยวข้องกับสื่อสังเคราะห์ควรตรวจเส้นตายด้าน Transparency Solution วันที่ 2 ธันวาคม 2569 ซึ่งใกล้กว่ากำหนด High-risk AI
- บริษัทไทยไม่ได้อยู่ใต้ EU AI Act ทุกกรณี ต้องวิเคราะห์บทบาท ตลาด ผู้ใช้ ผลลัพธ์ของระบบ และห่วงโซ่อุปทานก่อนสรุป
- ข้อเสนอของบทความคือเปลี่ยน “Compliance Calendar” ให้เป็น “Evidence Roadmap” ซึ่งมีหลักฐาน เจ้าของ และเกณฑ์ตัดสินใจในแต่ละช่วง
บทนำ: กฎหมายเลื่อน แต่ความเสี่ยงไม่ได้หยุดตามปฏิทิน
EU AI Omnibus 2026 คืออะไร?
EU AI Omnibus 2026 คือ Regulation (EU) 2026/1744 ซึ่งแก้ไขกรอบการบังคับใช้กฎ AI ของสหภาพยุโรป โดยเลื่อนวันเริ่มใช้ข้อกำหนด High-risk AI บางประเภท ปรับมาตรการด้านความโปร่งใส Regulatory Sandbox และอำนาจกำกับดูแล แต่ไม่ได้ยกเลิกหลักการคุ้มครองความปลอดภัยและสิทธิขั้นพื้นฐานของ EU AI Act
เมื่อสหภาพยุโรปประกาศ AI Omnibus หลายองค์กรอาจอ่านข่าวเพียงว่า “กฎ High-risk AI ถูกเลื่อน” แล้วชะลอการทำทะเบียน AI การประเมินผลกระทบ หรือการจัดการข้อมูลฝึกระบบ แต่สาระของกฎหมายใหม่ละเอียดกว่านั้น
คณะกรรมาธิการยุโรประบุว่า AI Omnibus มีผลเมื่อวันที่ 27 กรกฎาคม 2569 โดยมุ่งลดภาระ ปรับกรอบเวลา เปิดโอกาสให้ทดสอบใน Regulatory Sandbox และสร้างความชัดเจนแก่ผู้พัฒนาและผู้ใช้งาน AI ในยุโรป ขณะเดียวกันยังคงมาตรการด้านความปลอดภัยและสิทธิขั้นพื้นฐานไว้ (European Commission, 27 กรกฎาคม 2569)
คำถามสำหรับผู้บริหารจึงไม่ใช่เพียง “ต้องทำเมื่อไร” แต่คือ “ระหว่างเวลาที่เพิ่มขึ้น เราจะสร้างหลักฐานอะไรให้พิสูจน์ได้ว่าระบบเหมาะสม ปลอดภัย และควบคุมได้”
AI Omnibus เปลี่ยนอะไรที่องค์กรควรรู้
1. กำหนด High-risk AI เปลี่ยนเป็นวันที่แน่นอน
กฎสำหรับ High-risk AI ตาม Annex III จะเริ่มใช้วันที่ 2 ธันวาคม 2570 ส่วน High-risk AI ที่ฝังในผลิตภัณฑ์ตาม Annex I จะเริ่มใช้วันที่ 2 สิงหาคม 2571 (European Commission; Council of the EU, 29 มิถุนายน 2569)
ข้อเท็จจริงนี้ต้องนำไปปรับ Regulatory Calendar แต่ยังไม่ควรใช้เป็นเหตุให้หยุดสำรวจระบบ เพราะองค์กรต้องใช้เวลากับการจำแนกระบบ การรวบรวมเอกสาร การทดสอบ และการทำงานร่วมกับผู้ขาย
2. เส้นตายของสื่อที่สร้างหรือดัดแปลงด้วย AIอยู่ใกล้กว่า
Council of the EU ระบุว่า ระยะผ่อนผันสำหรับผู้ให้บริการในการนำ Transparency Solution สำหรับเนื้อหาที่สร้างด้วย AI มาใช้ถูกลดจากหกเดือนเหลือสามเดือน และกำหนดวันใหม่เป็น 2 ธันวาคม 2569 นอกจากนี้ กฎหมายยังเพิ่มข้อห้ามเกี่ยวกับระบบที่สร้างเนื้อหาทางเพศหรือภาพเปลือยของบุคคลจริงโดยไม่ได้รับความยินยอม และเนื้อหาการล่วงละเมิดทางเพศเด็ก (Council of the EU)
ดังนั้นทีม Marketing, Corporate Communications, Graphic & Multimedia และผู้ให้บริการ AI ต้องแยกให้ออกว่าองค์กรอยู่ในบทบาทใด สร้างหรือเผยแพร่เนื้อหาประเภทใด และต้องเตรียมกลไกด้านความโปร่งใสอย่างไร
3. SME และ Small Mid-cap ได้แนวทางที่ได้สัดส่วนมากขึ้น
มาตรการบางส่วนที่เดิมสงวนให้ SME ถูกขยายไปยัง Small Mid-cap และการเข้าถึง Regulatory Sandbox กว้างขึ้น รวมถึงมีแผน EU-level Sandbox (European Commission) นี่เป็นโอกาสให้ธุรกิจทดสอบนวัตกรรมในสภาพแวดล้อมที่มีกำกับดูแล แต่ไม่ได้ยกเว้นความรับผิดชอบต่อข้อมูล ผู้ใช้ หรือผลกระทบ
4. อำนาจกำกับและกฎหมายรายอุตสาหกรรมยังต้องอ่านร่วมกัน
AI Omnibus ชี้แจงอำนาจของ AI Office สำหรับระบบที่อาศัย General-purpose AI Model และวางกลไกเพื่อลดความซ้ำซ้อนกับกฎหมายรายอุตสาหกรรม เช่น เครื่องมือแพทย์ ของเล่น ลิฟต์ และผลิตภัณฑ์บางประเภท (Council of the EU) องค์กรจึงต้องทำ Regulatory Mapping ตามผลิตภัณฑ์และบทบาท ไม่ควรใช้ Checklist เดียวกับทุกระบบ
จาก Compliance Calendar สู่ Evidence Roadmap
ข้อเสนอเชิงปฏิบัติของบทความคือ Framework READY-6 สำหรับใช้เวลาที่เพิ่มขึ้นให้เกิดหลักฐานจริง กรอบนี้เป็นข้อเสนอของ IDA ไม่ใช่มาตรฐานหรือข้อกำหนดของสหภาพยุโรป
R — Register: ทำทะเบียน AI ให้เห็นทั้งระบบหลักและ Shadow AI
บันทึกชื่อระบบ เจ้าของ วัตถุประสงค์ ผู้ใช้ กลุ่มผู้ได้รับผลกระทบ โมเดล ผู้ขาย แหล่งข้อมูล และประเทศที่นำผลลัพธ์ไปใช้ ระบบที่ไม่มีเจ้าของหรือไม่ทราบวัตถุประสงค์ยังไม่ควรผ่านเข้าสู่การจำแนกความเสี่ยง
E — Establish Role: ระบุบทบาทและขอบเขตตลาด
แยก Provider, Deployer, Importer, Distributor และผู้เกี่ยวข้องในห่วงโซ่อุปทาน พร้อมตรวจว่าระบบหรือผลลัพธ์ถูกวางตลาด ใช้งาน หรือมีผลในสหภาพยุโรปหรือไม่ การมีลูกค้าในยุโรปเพียงอย่างเดียวไม่เพียงพอที่จะสรุปภาระหน้าที่ทั้งหมด ต้องพิจารณาข้อเท็จจริงของแต่ละกรณี
A — Assess Classification: จำแนกระบบตามหน้าที่จริง
ประเมินว่าเข้าข่าย Prohibited Practice, High-risk, Transparency Obligation, General-purpose AI หรือกรณีอื่น พร้อมบันทึกเหตุผลและแหล่งอ้างอิง หากระบบเปลี่ยนวัตถุประสงค์ เพิ่ม Connector หรือให้ AI Agent ลงมือทำ การจำแนกเดิมต้องถูกทบทวน
D — Document Evidence: สร้างหลักฐานให้ตรวจสอบย้อนกลับได้
จัดเก็บ Data Lineage, Model/Prompt Version, Test Result, Human Oversight, Incident Log, Vendor Documentation และ Approval Record เอกสารต้องสะท้อนระบบที่ใช้งานจริง ไม่ใช่เพียง Template ที่กรอกครบ
Y — Year-plan: วาง Milestone ตามความเสี่ยงและเส้นตาย
แบ่งงานเป็นสิ่งที่ต้องทำทันที ภายใน 90 วัน ก่อน 2 ธันวาคม 2569 และก่อนวันใช้ข้อกำหนด High-risk AI แต่ละกลุ่ม ทุก Milestone ควรมี Owner, Evidence และเกณฑ์ผ่าน ไม่ควรมีเพียงสถานะสีเขียวใน Dashboard
6 — Six-way Review: ทบทวนร่วมกันหกฝ่าย
ให้ Business, Data, AI/IT, Cybersecurity, Legal/Privacy และ Communications ทบทวนระบบเดียวกันจากมุมที่ต่างกัน ระบบอาจผ่านด้านเทคนิคแต่ยังสร้างความเสี่ยงต่อสิทธิ ชื่อเสียง หรือการสื่อสารสาธารณะได้
ตัวอย่างการประยุกต์ใช้: AI คัดกรองผู้สมัครงานของบริษัทไทย
สมมติบริษัทไทยใช้ AI จัดลำดับผู้สมัคร และมีแผนให้บริษัทในเครือยุโรปใช้ระบบเดียวกัน ตัวอย่างนี้เป็นสถานการณ์จำลอง ไม่ใช่ลูกค้าหรือผลงานจริงของ IDA
ทีมงานไม่ควรเริ่มจากการถามเพียงว่า “กฎถูกเลื่อนไปถึงปี 2570 หรือไม่” แต่ควรทำตามลำดับดังนี้
- ระบุว่าระบบใช้ข้อมูลใด สร้างคะแนนอะไร และมนุษย์ใช้คะแนนตัดสินใจอย่างไร
- ตรวจบทบาทของบริษัทแม่ บริษัทในเครือ และผู้ขายโมเดลในแต่ละประเทศ
- ประเมินการเข้าข่าย High-risk และข้อกำหนดด้านข้อมูล การกำกับโดยมนุษย์ ความแม่นยำ และการบันทึกเหตุการณ์
- ทดสอบผลกระทบต่อกลุ่มผู้สมัครที่เกี่ยวข้อง รวมถึงความผิดพลาดที่ย้อนกลับได้ยาก
- ออกแบบช่องทางให้ผู้สมัครขอข้อมูล ร้องเรียน หรือขอให้มนุษย์ตรวจสอบตามข้อกำหนดที่ใช้จริง
- เก็บ Decision Record ว่าเหตุใดระบบจึงผ่าน ถูกจำกัด หรือยังไม่พร้อมใช้งาน
เวลาที่เพิ่มขึ้นจึงถูกใช้เพื่อสร้าง Baseline และหลักฐาน ไม่ใช่รอจนใกล้เส้นตายแล้วรวบรวมเอกสารย้อนหลัง
Checklist 15 ข้อสำหรับผู้บริหาร
- ☐ มี AI Inventory ที่รวมระบบจากผู้ขายและฟังก์ชัน AI ใน SaaS
- ☐ ทุกระบบมี Business Owner และ Technical Owner
- ☐ ระบุ Intended Purpose และ Prohibited Use ชัดเจน
- ☐ ระบุบทบาทในห่วงโซ่ AI และประเทศที่เกี่ยวข้อง
- ☐ มีบันทึกเหตุผลของ Risk Classification
- ☐ แยกระบบ Annex III ออกจาก AI ที่ฝังในผลิตภัณฑ์ Annex I
- ☐ ตรวจภาระด้าน Transparency สำหรับสื่อที่สร้างหรือดัดแปลงด้วย AI
- ☐ มี Data Lineage และฐานกฎหมาย/สิทธิในการใช้ข้อมูล
- ☐ ทดสอบ Accuracy, Robustness, Bias และ Failure Mode ตามบริบท
- ☐ กำหนด Human Oversight ที่มีอำนาจหยุดหรือแก้ผลลัพธ์
- ☐ เก็บ Model, Prompt, Policy และ Tool Version
- ☐ มี Incident และ Near-miss Process
- ☐ Vendor Contract กำหนดเอกสาร การแจ้งเปลี่ยนแปลง และสิทธิในการตรวจสอบ
- ☐ Regulatory Calendar มี Owner, Evidence และเกณฑ์ผ่าน
- ☐ คณะผู้บริหารเห็น Gap, Exposure และ Decision Required ไม่ใช่แค่เปอร์เซ็นต์งานเสร็จ
บทสรุป
AI Omnibus ทำให้ปฏิทินการบังคับใช้บางส่วนเปลี่ยนไป แต่ไม่ได้ทำให้คำถามเรื่องความรับผิดชอบ ข้อมูล สิทธิ และผลกระทบหายไป องค์กรที่ใช้ช่วงเวลานี้สร้างทะเบียน AI จำแนกบทบาท ทดสอบระบบ และเก็บหลักฐาน จะตัดสินใจได้ดีกว่าองค์กรที่รอ Checklist ฉบับสุดท้าย
สำหรับบริษัทไทย ประเด็นสำคัญคืออย่าสรุปว่ากฎหมาย EU ใช้หรือไม่ใช้จากที่ตั้งบริษัทเพียงอย่างเดียว การวิเคราะห์ต้องอาศัยบทบาท ตลาด วิธีใช้ และตำแหน่งของระบบในห่วงโซ่ธุรกิจ รวมถึงกฎหมายไทยและกฎหมายรายอุตสาหกรรมที่เกี่ยวข้อง
เปลี่ยน Regulatory Change ให้เป็น Executive Intelligence
IDA สามารถสนับสนุนองค์กรตั้งแต่การรวบรวม AI Inventory และ Data Lineage, การสร้าง Dashboard และ Evidence Roadmap ผ่านบริการ Data & Analytics ไปจนถึงการออกแบบ AI Workflow, Evaluation และ Governance ผ่าน AI Services
สำหรับความเสี่ยงจากสื่อสังเคราะห์หรือประเด็นสาธารณะ บริการ Digital Intelligence & Reputation, Blue Eye Social Listening และ Graphic & Multimedia สามารถช่วยติดตามสัญญาณ ตรวจบริบท วางกระบวนการตรวจสอบ และออกแบบการสื่อสารที่ตรวจสอบย้อนกลับได้ สอดคล้องกับแนวทางของ IDA ในการเปลี่ยน Data → Insight → Intelligence → Decision → Impact (IDA)
แหล่งอ้างอิง
- European Union. Regulation (EU) 2026/1744 of 8 July 2026 — Digital Omnibus on AI. ประกาศใน Official Journal วันที่ 24 กรกฎาคม 2569.
- European Commission. AI Omnibus enters into force. เผยแพร่ 27 กรกฎาคม 2569; ปรับปรุง 31 กรกฎาคม 2569.
- Council of the European Union. Artificial Intelligence: Council gives final green light to simplify and streamline rules. เผยแพร่ 29 มิถุนายน 2569; ทบทวน 30 มิถุนายน 2569.
- Council of the European Union. Artificial Intelligence: Council and Parliament agree to simplify and streamline rules. เผยแพร่ 7 พฤษภาคม 2569; ทบทวน 20 พฤษภาคม 2569.
- Intelligent Data Analytic. หน้าแรก, บริการ และ เทคโนโลยี. เข้าถึง 12 ตุลาคม 2569.
#EUAIAct #AIOMNIBUS #AIGovernance #HighRiskAI #ResponsibleAI
