EU เลื่อนเส้นตายกำกับ AI ให้คะแนนเครดิตไป ธ.ค. 2027 — สิ่งที่คนทำ model risk ไม่ควรเข้าใจผิด

พอมีข่าวว่า "เส้นตายกำกับ AI ถูกเลื่อน" คนทำงานส่วนใหญ่จะอ่านเป็นข่าวดีแล้วผ่อนเกียร์ทันที ในฐานะคนที่ทำงาน model validation ในแบงก์ ผมเรียนรู้มานานว่าประโยคแบบนี้คือจุดที่ต้องระวังที่สุด เพราะสิ่งที่ถูกเลื่อนคือ "วันที่ต้องส่งการบ้าน" ไม่ใช่ "ความเสี่ยงของโมเดล" และสองอย่างนี้ไม่ได้ขยับพร้อมกัน สัปดาห์นี้สหภาพยุโรปเพิ่งเลื่อนเส้นตายของ AI กลุ่มความเสี่ยงสูง ซึ่งรวม AI ที่ใช้ให้คะแนนเครดิตของเราด้วย ผมเลยอยากชวนอ่านให้ตรงว่าเลื่อนอะไร และคนทำงาน data/risk ในไทยควรตีความยังไงถึงจะไม่พลาด

1. เกิดอะไรขึ้น: Digital Omnibus เลื่อนเส้นตาย high-risk AI

เดิมทีกฎชุดที่หนักที่สุดของ EU AI Act — ส่วนที่กำกับ ระบบ AI ความเสี่ยงสูง (high-risk AI) — มีกำหนดเริ่มบังคับใช้ 2 สิงหาคม 2026 ตามที่ Pinsent Masons สรุปไว้ว่า "Currently, the rules on high-risk AI systems are due to come into effect on 2 August 2026"

ต้นเดือนพฤษภาคม 2026 สถาบันของ EU บรรลุข้อตกลงเบื้องต้นในแพ็กเกจที่เรียกว่า Digital Omnibus เพื่อเลื่อนและปรับกฎชุดนี้ให้ผ่อนลง ผลคือระบบ high-risk ที่อยู่ใน Annex III แบบยืนเดี่ยว — ซึ่ง Gibson Dunn ระบุชัดว่ารวม credit scoring ไว้ด้วย — จะเลื่อนไปเป็น 2 ธันวาคม 2027: "stand-alone Annex III systems (covering, among others, recruitment, credit scoring, law enforcement, education, and border control tools) will now need to comply by 2 December 2027" และแหล่งที่สองอย่าง Pinsent Masons ก็ยืนยันวันเดียวกันว่า "the rules applicable to stand-alone high-risk AI systems would apply from 2 December 2027"

ส่วน AI ที่ฝังอยู่ในสินค้าที่กำกับตาม Annex I (เช่น เครื่องมือแพทย์ เครื่องจักร ยานยนต์) เลื่อนออกไปไกลกว่านั้นอีกคือ 2 สิงหาคม 2028 โดยรวมแล้ว Travers Smith เรียกการเลื่อนกลุ่ม Annex III ว่าเป็น "A 16-month postponement" หรือที่ Gibson Dunn สรุปสั้น ๆ ว่าภาระของ high-risk AI "will be postponed by over a year"

ทำไมมันสำคัญกับเรา: พาดหัวว่า "เลื่อน 16 เดือน" ฟังดูเหมือนได้เวลาหายใจ แต่ในเชิงบริหารความเสี่ยง มันแค่ย้ายเส้นเดดไลน์ ไม่ได้ลดข้อกำหนดสักข้อ งานเอกสาร การทดสอบ และการกำกับที่ต้องทำ ยังเท่าเดิมทุกบรรทัด

2. ทำไม AI ให้คะแนนเครดิตถึงถูกจัดเป็น "ความเสี่ยงสูง"

ประเด็นนี้คนสายเทคโนโลยีมักมองข้าม แต่คนทำ credit risk จะเข้าใจทันที EU ไม่ได้จัด credit scoring เป็น high-risk เพราะโมเดลมันซับซ้อน แต่เพราะ ผลลัพธ์ของมันไปตัดสินว่าใครเข้าถึงสินเชื่อได้หรือไม่ได้ เป็นการตัดสินใจที่กระทบสิทธิของคนโดยตรง Travers Smith จึงจัดให้ credit scoring อยู่กลุ่มเดียวกับการประเมินความเสี่ยงและตั้งราคาประกัน: "credit checking and life and health insurance risk and pricing assessments"

พอถูกตีตราเป็น high-risk ข้อกำหนดที่ตามมาไม่ใช่เรื่องใหม่สำหรับคนทำแบงก์เลย — ระบบบริหารความเสี่ยงของโมเดล, การกำกับคุณภาพข้อมูล, เอกสารทางเทคนิค, การมีมนุษย์กำกับดูแล (human oversight), และการวัดความแม่น/ความทนทานของโมเดล ถ้าอ่านลิสต์นี้แล้วรู้สึกคุ้น นั่นเพราะมันคือสิ่งเดียวกับที่กรอบ model risk management ของแบงก์เรียกร้องมานานแล้ว

มุมคนทำ model validation: ข้อกำหนด high-risk ของ EU AI Act ส่วนใหญ่ ถอดออกมาแล้วก็คือ "การทำ model governance ที่ดี" ที่เราควรทำอยู่แล้ว กฎหมายแค่เปลี่ยนมันจาก best practice ให้กลายเป็นข้อบังคับที่มีบทลงโทษ

3. สิ่งที่ "ไม่ได้เลื่อน" ตามไปด้วย

นี่คือหัวใจที่ผมอยากให้อ่านช้า ๆ การเลื่อนเส้นตายมีขอบเขตที่แคบกว่าที่หลายคนเข้าใจ

ข้อแรก การเลื่อนของ Annex III ที่ Travers Smith อธิบายไว้ ครอบคลุมเฉพาะ "new or substantially modified high-risk AI systems" — โมเดลที่ทำงานอยู่ในโปรดักชันของคุณตอนนี้ ยังต้องถูกบริหารความเสี่ยงต่อไปตามปกติ ความรับผิดชอบไม่ได้หายไปกับเส้นตาย

ข้อสอง เหตุผลของการเลื่อนไม่ใช่ "กฎมันเกินจำเป็น" แต่เป็นเพราะเครื่องมือรองรับยังไม่พร้อม Pinsent Masons ระบุว่า "The planned delay is designed to provide more time for EU policymakers to formulate standards, tools and guidelines to help businesses meet their obligations" พูดอีกแบบคือ เขาเลื่อนเพราะมาตรฐานยังตามไม่ทัน ไม่ใช่เพราะจะผ่อนความเข้มของสาระ

ข้อสาม ความเสี่ยงจริงของโมเดล — โมเดลดริฟต์ ข้อมูลเข้าที่เพี้ยน อคติที่ซ่อนในฟีเจอร์ — ไม่มีอันไหนสนใจปฏิทินกำกับเลย มันเกิดขึ้นตามพฤติกรรมข้อมูล ไม่ใช่ตามวันบังคับใช้กฎหมาย

กฎจากงานวัดความเสี่ยง: ถ้าคุณเลื่อนงาน validation ออกไปเพราะเดดไลน์กำกับเลื่อน แปลว่าคุณกำลังทำ validation ให้ผู้กำกับ ไม่ได้ทำให้โมเดล ซึ่งกลับหัวกลับหางกับเหตุผลที่เรามีทีม MRM ตั้งแต่แรก

4. คนทำงาน data/risk ในไทยควรทำอะไรตอนนี้

แบงก์ไทยส่วนใหญ่ไม่ได้อยู่ใต้เขตอำนาจ EU โดยตรง แต่ผมมองเรื่องนี้เป็น "แม่แบบ" มากกว่า "กฎของคนอื่น" เพราะทิศทางที่ผู้กำกับทั่วโลกเดินไปมันบรรจบกัน — เอกสารกำกับโมเดล, หลักฐานการทดสอบอิสระ, มนุษย์กำกับดูแล, และการมอนิเตอร์หลังใช้งาน คือชุดเดียวกันหมด สิ่งที่ผมแนะนำให้ทำระหว่างนี้ ไม่ใช่รอเส้นตายใคร:

• ทำ inventory โมเดล AI ที่แตะการตัดสินใจเรื่องสินเชื่อ/ราคา ให้รู้ว่ามีกี่ตัว ใครเป็นเจ้าของ ตัวไหนเข้าข่าย high-risk ถ้ายึดนิยาม EU
• เก็บหลักฐานการ validate ให้เป็นระบบ ไม่ใช่รอทำตอนใกล้ audit — validation ที่ทำต่อเนื่องถูกกว่าและน่าเชื่อกว่าการเร่งทำทีเดียว
• ออกแบบจุดที่มนุษย์กำกับให้มีร่องรอยตรวจสอบได้ ใครอนุมัติ override อะไร เมื่อไหร่ เพราะ human oversight ที่พิสูจน์ไม่ได้ ก็เท่ากับไม่มี
• มอนิเตอร์ดริฟต์และคุณภาพข้อมูลเข้าอย่างสม่ำเสมอ เพราะนี่คือส่วนที่กฎหมายเลื่อนไม่ได้ช่วยอะไรคุณเลย

แนวคิด "know-your-agent" และเช็คลิสต์กำกับที่ผมเคยเขียนไว้ใน เช็คลิสต์กำกับ AI agent ในงานการเงิน กับมุมมองเรื่อง การทำ model risk management ในยุค AI ใช้ได้ตรง ๆ กับสถานการณ์นี้ และถ้าอยากเห็นว่าผู้กำกับสหรัฐเดินเรื่องนี้ต่างจาก EU ยังไง ลองอ่าน AI กับการตรวจแบงก์สหรัฐ ประกอบ

ขอย้ำให้ชัด: เนื้อหานี้เป็นการวิเคราะห์เพื่อการศึกษาโดยอ้างอิงแหล่งข่าวสาธารณะ ไม่ใช่คำแนะนำทางกฎหมายหรือการลงทุน การตีความข้อบังคับกับกิจการของคุณควรปรึกษาที่ปรึกษากฎหมายที่ดูรายละเอียดจริง

ภาพรวม

Digital Omnibus เลื่อนเส้นตายของ high-risk AI ในกลุ่ม Annex III (รวม AI ให้คะแนนเครดิต) จาก 2 สิงหาคม 2026 ไปเป็น 2 ธันวาคม 2027 และกลุ่ม Annex I ไปถึง 2 สิงหาคม 2028 แต่สิ่งที่ไม่ได้เลื่อนคือความเสี่ยงของโมเดลเอง และงานบริหารความเสี่ยงที่คนทำ data/risk ควรทำอยู่แล้ว การมองเดดไลน์นี้เป็นแม่แบบให้เตรียมตัวล่วงหน้า จะทำให้เราพร้อมกว่าคู่แข่งที่รอจนนาทีสุดท้าย ถ้าอยากเรียนวิธีวาง pipeline ตรวจงาน AI ให้ตรวจสอบได้จริงแบบคนทำแบงก์ ลองดู คอร์ส Claude Code

ที่มา

• Gibson Dunn — EU AI Act Omnibus Agreement, Postponed High-Risk Deadlines and Other Key Changes
• Travers Smith — EU agrees to delay key AI Act compliance deadlines
• Pinsent Masons (Out-Law) — Rules on 'high-risk' AI to be delayed under EU 'omnibus' deal