AI และแพลตฟอร์มที่พร้อมให้ผู้กำกับดูแลตรวจสอบ

Digital Operational Resilience Act ใช้บังคับตั้งแต่ 17 มกราคม 2568 กับธนาคาร บริษัทประกัน บริษัทหลักทรัพย์ สถาบันการชำระเงิน และสถาบันการเงินอื่นในสหภาพยุโรป ครอบคลุมการบริหารความเสี่ยงด้าน ICT การรายงานเหตุการณ์ การทดสอบความยืดหยุ่น และการบริหารความเสี่ยงจากผู้ให้บริการ ICT ภายนอก รวมถึงข้อสัญญาสำคัญ (มาตรา 30)

AI ที่ใช้ประเมินความน่าเชื่อถือทางเครดิตของบุคคล หรือกำหนดราคาตามความเสี่ยงของประกันชีวิตและประกันสุขภาพ เป็นความเสี่ยงสูง ผู้ให้บริการและผู้ใช้งานต้องมีการบริหารความเสี่ยง ธรรมาภิบาลข้อมูล การบันทึก การกำกับดูแลโดยมนุษย์ และเอกสาร ตามกฎหมายที่แก้ไขในปี 2569 หน้าที่เหล่านี้มีผลตั้งแต่ 2 ธันวาคม 2570 กฎหมายนี้ใช้กับผู้ให้บริการและผู้ใช้งานนอกสหภาพยุโรปด้วย หากผลลัพธ์ของระบบถูกนำไปใช้ในสหภาพยุโรป

ระเบียบต่อต้านการฟอกเงิน (AMLR) แทนที่กฎระดับประเทศเรื่องการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าด้วยกฎชุดเดียวของสหภาพยุโรปตั้งแต่ 10 กรกฎาคม 2570 หน่วยงานใหม่ AMLA ประสานงานกับผู้กำกับดูแลระดับประเทศ และจะกำกับดูแลสถาบันความเสี่ยงสูงบางแห่งโดยตรง

มาตรา 22 ให้สิทธิบุคคลที่จะไม่อยู่ภายใต้การตัดสินใจที่อาศัยการประมวลผลอัตโนมัติเพียงอย่างเดียวซึ่งมีผลต่อตนอย่างมีนัยสำคัญ โดยมีข้อยกเว้นที่ต้องมีมาตรการคุ้มครอง เช่น การให้คนเข้ามาพิจารณาและสิทธิโต้แย้ง ในประเทศไทย ข้อมูลส่วนบุคคลของลูกค้าอยู่ภายใต้ PDPA ซึ่งกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม

กฎด้านการลงทุนและการจัดจำหน่ายประกันภัยของสหภาพยุโรปกำหนดให้ประเมินความเหมาะสมหรือความต้องการของลูกค้า และเก็บบันทึกคำแนะนำที่ให้ AI ที่ช่วยที่ปรึกษาจึงเป็นส่วนหนึ่งของบันทึกนั้น

PSD2 กำกับบริการชำระเงินและการเข้าถึงแบบ Open Banking ในปัจจุบัน กฎฉบับถัดไป คือ PSD3 และระเบียบบริการชำระเงิน (Payment Services Regulation) บรรลุข้อตกลงเบื้องต้นในปี 2568 และจะเพิ่มข้อกำหนดด้านการป้องกันการฉ้อโกงและประสิทธิภาพของ API หลังช่วงเปลี่ยนผ่าน