ปัญญาประดิษฐ์ กำลังกลายเป็นส่วนหนึ่งของการดำเนินธุรกิจในชีวิตประจำวันของประเทศไทยอย่างรวดเร็ว ปัจจุบัน บริษัทต่าง ๆ นำ AI มาใช้ในรูปแบบต่าง ๆ เช่น แชตบอต ระบบสรรหาบุคลากรอัตโนมัติ เครื่องมือวิเคราะห์ข้อมูลลูกค้า ระบบประมวลผลเอกสาร และแพลตฟอร์ม Generative AI เพื่อเพิ่มประสิทธิภาพในการทำงานและสนับสนุนการตัดสินใจ อย่างไรก็ตาม เทคโนโลยีเหล่านี้มักเกี่ยวข้องกับการเก็บรวบรวม การใช้ หรือการเปิดเผยข้อมูลส่วนบุคคล ซึ่งก่อให้เกิดประเด็นสำคัญด้านกฎหมายและการปฏิบัติตามข้อกำหนดที่เกี่ยวข้อง
ในเดือนตุลาคม 2569 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย PDPC ได้ออกแนวทางฉบับใหม่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในการพัฒนาและการใช้งานปัญญาประดิษฐ์ โดยแนวทางดังกล่าวได้รับการประกาศในราชกิจจานุเบกษาเมื่อวันที่ 2 พฤศจิกายน 2569 ซึ่งให้คำแนะนำเชิงปฏิบัติเกี่ยวกับการนำพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย (PDPA) มาใช้กับวงจรการทำงานทั้งหมดของ AI ตั้งแต่การเก็บรวบรวมข้อมูล การฝึกฝนโมเดล ไปจนถึงการนำระบบไปใช้งานและการดำเนินงานอย่างต่อเนื่อง
สำหรับธุรกิจที่นำเทคโนโลยี AI มาใช้ การทำความเข้าใจแนวทางดังกล่าวถือเป็นก้าวสำคัญในการส่งเสริมนวัตกรรมอย่างมีความรับผิดชอบและสร้างมาตรการคุ้มครองข้อมูลส่วนบุคคลที่มีประสิทธิภาพ
ทำความเข้าใจแนวทางใหม่ของ PDPC เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในการใช้ AI ในประเทศไทย
แนวทางฉบับใหม่ของ PDPC อธิบายถึงวิธีที่องค์กรควรนำหลักการคุ้มครองข้อมูลส่วนบุคคลที่มีอยู่แล้วมาปรับใช้ในการพัฒนาหรือใช้งานระบบปัญญาประดิษฐ์
แทนที่จะเป็นการออกกฎหมาย AI ฉบับใหม่แยกต่างหาก แนวทางดังกล่าวมุ่งอธิบายความเชื่อมโยงระหว่างข้อกำหนดที่มีอยู่ภายใต้ PDPA กับเทคโนโลยี AI ซึ่งครอบคลุมถึง:
- ระบบ Generative AI และโมเดลภาษาขนาดใหญ่ (Large Language Models)
- การวิเคราะห์ข้อมูลและการจัดทำโปรไฟล์บุคคลโดยอัตโนมัติ
- แพลตฟอร์มบริการลูกค้าที่ขับเคลื่อนด้วย AI
- เครื่องมือสรรหาบุคลากรและบริหารจัดการพนักงาน
- ระบบสนับสนุนการตัดสินใจโดยอัตโนมัติ
- AI Agent ที่สามารถดำเนินงานต่าง ๆ ได้โดยต้องอาศัยการแทรกแซงจากมนุษย์อย่างจำกัด
แนวทางดังกล่าวครอบคลุมขั้นตอนต่าง ๆ ของการพัฒนาและการใช้งาน AI ตั้งแต่การวางแผน การเตรียมข้อมูล การฝึกฝนโมเดล การทดสอบ การนำระบบไปใช้งาน ไปจนถึงการยุติการใช้งานระบบ
สิ่งสำคัญคือ แนวทางดังกล่าวมีลักษณะเป็นคำแนะนำ ไม่ใช่กฎหมายที่มีผลผูกพันทางกฎหมายโดยตรง ธุรกิจจึงต้องแยกแยะระหว่างหน้าที่ตามกฎหมายที่กำหนดไว้ใน PDPA กับแนวปฏิบัติเพิ่มเติมที่ PDPC แนะนำ
ข้อมูลส่วนบุคคลอาจปรากฏอยู่ในคำสั่ง ผลลัพธ์ และข้อมูลฝึกฝนของ AI
ประเด็นสำคัญประการหนึ่งคือ ข้อมูลส่วนบุคคลอาจปรากฏอยู่ในส่วนต่าง ๆ ของระบบ AI ได้หลายรูปแบบ ไม่ใช่เฉพาะในชุดข้อมูลต้นฉบับที่ใช้สำหรับการฝึกฝนโมเดลเท่านั้น
ตัวอย่างเช่น พนักงานอาจป้อนชื่อ อีเมล หมายเลขโทรศัพท์ ข้อมูลทางการเงินของลูกค้า หรือเอกสารภายในบริษัทลงในผู้ช่วย AI
ทั้งนี้ ขึ้นอยู่กับลักษณะและบริบทของการประมวลผล ข้อมูลที่อยู่ในคำสั่ง (Prompts) บันทึกการใช้งานระบบ (System Logs) คำตอบที่ AI สร้างขึ้น และข้อมูลในรูปแบบทางเทคนิค เช่น Embeddings อาจถือเป็นข้อมูลส่วนบุคคลภายใต้ PDPA ได้ หากสามารถระบุตัวบุคคลได้โดยตรงหรือโดยอ้อม
สถานการณ์ดังกล่าวอาจสร้างความเสี่ยงด้านการปฏิบัติตามกฎหมาย เมื่อธุรกิจใช้เครื่องมือ AI ที่เปิดให้บริการแก่สาธารณะโดยไม่เข้าใจว่าข้อมูลที่ส่งเข้าไปจะถูกจัดเก็บ ประมวลผล หรือนำกลับไปใช้ในลักษณะใด
ดังนั้น องค์กรควรกำหนดกฎระเบียบภายในให้ชัดเจนเกี่ยวกับประเภทของข้อมูลที่พนักงานสามารถแบ่งปันผ่านแพลตฟอร์ม AI ได้
ใครเป็นผู้รับผิดชอบ: นักพัฒนา AI ผู้ให้บริการ หรือภาคธุรกิจ?
ระบบ AI มักเกี่ยวข้องกับองค์กรหลายฝ่าย ธุรกิจอาจซื้อบริการ AI จากผู้ให้บริการภายนอก นำระบบดังกล่าวมาเชื่อมต่อกับเว็บไซต์ของตน และใช้เพื่อประมวลผลข้อมูลของลูกค้า
การกำหนดหน้าที่และความรับผิดชอบของแต่ละฝ่ายจึงเป็นสิ่งสำคัญ
ภายใต้ PDPA ของประเทศไทย องค์กรอาจมีสถานะเป็น:
ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controllers)
ผู้ควบคุมข้อมูลส่วนบุคคลเป็นผู้กำหนดวัตถุประสงค์และวิธีการในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ดังนั้น บริษัทที่ตัดสินใจนำข้อมูลลูกค้ามาใช้ในบริการที่ขับเคลื่อนด้วย AI อาจมีหน้าที่รับผิดชอบต่อกิจกรรมการประมวลผลข้อมูลที่เกี่ยวข้อง
ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processors)
ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลในนามของผู้ควบคุมข้อมูลส่วนบุคคล และปฏิบัติตามคำสั่งของผู้ควบคุมข้อมูลดังกล่าว
ผู้ให้บริการ AI (AI Service Providers)
ผู้ให้บริการ AI อาจมีสถานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลเมื่อให้บริการตามคำสั่งของลูกค้า อย่างไรก็ตาม หากผู้ให้บริการนำข้อมูลลูกค้าไปใช้โดยอิสระเพื่อวัตถุประสงค์อื่น เช่น การฝึกฝนโมเดล AI ของตนเอง ผู้ให้บริการอาจมีหน้าที่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลแยกต่างหากสำหรับการประมวลผลดังกล่าว
ธุรกิจไม่ควรสันนิษฐานว่าการว่าจ้างบุคคลภายนอกให้ดำเนินงานด้าน AI จะทำให้ความรับผิดชอบทางกฎหมายของตนถูกโอนไปยังผู้ให้บริการเทคโนโลยีโดยอัตโนมัติ
การฝึกฝน AI และการใช้ข้อมูลส่วนบุคคลอย่างถูกต้องตามกฎหมาย
การพัฒนา AI มักต้องอาศัยชุดข้อมูลจำนวนมากเพื่อใช้ในการฝึกฝน ทดสอบ และปรับปรุงประสิทธิภาพของโมเดล
อย่างไรก็ตาม การที่ข้อมูลส่วนบุคคลสามารถเข้าถึงได้ ไม่ได้หมายความว่าข้อมูลดังกล่าวจะสามารถนำไปใช้ฝึกฝน AI ได้อย่างอิสระโดยไม่มีข้อจำกัด
ภายใต้ PDPA องค์กรต้องระบุฐานทางกฎหมายที่เหมาะสมสำหรับการประมวลผลข้อมูลส่วนบุคคล ซึ่งอาจรวมถึงความยินยอม ความจำเป็นในการปฏิบัติตามสัญญา หน้าที่ตามกฎหมาย หรือประโยชน์โดยชอบด้วยกฎหมาย ทั้งนี้ขึ้นอยู่กับสถานการณ์ที่เกี่ยวข้อง
แนวทางใหม่ของ PDPC ยังกล่าวถึงการใช้ข้อมูลส่วนบุคคลที่สามารถเข้าถึงได้โดยสาธารณะเพื่อการฝึกฝน AI ด้วย
ในบางกรณี ข้อมูลที่เปิดเผยต่อสาธารณะอาจสามารถนำมาประมวลผลโดยอาศัยฐานประโยชน์โดยชอบด้วยกฎหมายได้ อย่างไรก็ตาม องค์กรควรประเมินแหล่งที่มาของข้อมูล วัตถุประสงค์ในการเก็บรวบรวม ความจำเป็น ความได้สัดส่วน และสิทธิของบุคคลที่ได้รับผลกระทบ
ธุรกิจควรให้ความสำคัญเป็นพิเศษกับข้อมูลส่วนบุคคลที่มีความอ่อนไหว ซึ่งอยู่ภายใต้ข้อกำหนดเพิ่มเติมตามมาตรา 26 ของ PDPA
กลยุทธ์การฝึกฝน AI อย่างมีความรับผิดชอบควรประกอบด้วยการบันทึกและจัดทำเอกสารเกี่ยวกับแหล่งที่มาของข้อมูล ฐานทางกฎหมาย ระยะเวลาการเก็บรักษา และมาตรการคุ้มครองข้อมูลที่เหมาะสม
การใช้แพลตฟอร์ม AI ของบุคคลที่สามและบริการจากต่างประเทศ
โซลูชัน AI จำนวนมากพึ่งพาโครงสร้างพื้นฐานคลาวด์ระหว่างประเทศ API ภายนอก และผู้ให้บริการที่ตั้งอยู่ภายนอกประเทศไทย
เมื่อมีการโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ หรือเปิดโอกาสให้องค์กรในต่างประเทศสามารถเข้าถึงข้อมูลได้ ธุรกิจจำเป็นต้องพิจารณาข้อกำหนดเกี่ยวกับการโอนข้อมูลส่วนบุคคลไปยังต่างประเทศตามมาตรา 28 และมาตรา 29 ของ PDPA ตามความเหมาะสมกับกรณี
องค์กรควรตรวจสอบประเด็นต่อไปนี้:
- สถานที่จัดเก็บและประมวลผลข้อมูลส่วนบุคคล
- ผู้ให้บริการในต่างประเทศหรือผู้รับจ้างช่วงสามารถเข้าถึงข้อมูลได้หรือไม่
- ข้อมูลส่วนบุคคลถูกนำกลับไปใช้เพื่อวัตถุประสงค์อื่นโดยอิสระหรือไม่
- มีมาตรการคุ้มครองตามสัญญาใดบ้าง
- จำเป็นต้องใช้กลไกทางกฎหมายสำหรับการโอนข้อมูลส่วนบุคคลข้ามประเทศหรือไม่
สัญญาการให้บริการ AI ควรกำหนดหน้าที่ความรับผิดชอบในการประมวลผลข้อมูล การรักษาความลับ มาตรการรักษาความปลอดภัย ระยะเวลาการเก็บรักษา การลบข้อมูล และขอบเขตการใช้ข้อมูลลูกค้าไว้อย่างชัดเจน
การเลือกใช้ผู้ให้บริการ AI ที่มีความน่าเชื่อถือเป็นสิ่งสำคัญ แต่ไม่สามารถทดแทนความจำเป็นในการจัดให้มีมาตรการคุ้มครองทางกฎหมายและสัญญาที่เหมาะสมได้
การบริหารความเสี่ยงจาก AI ด้วยมาตรการรักษาความปลอดภัยและการกำกับดูแลโดยมนุษย์
ระบบ AI อาจก่อให้เกิดความเสี่ยงที่กระบวนการคุ้มครองข้อมูลส่วนบุคคลแบบดั้งเดิมไม่สามารถจัดการได้อย่างครอบคลุม
ตัวอย่างเช่น แพลตฟอร์ม AI สำหรับการสรรหาบุคลากรอาจวิเคราะห์ข้อมูลของผู้สมัครงาน ขณะที่ระบบบริการลูกค้าอัตโนมัติอาจสร้างคำตอบโดยอ้างอิงจากข้อมูลส่วนบุคคลที่จัดเก็บไว้
หากระบบเหล่านี้สร้างผลลัพธ์ที่ไม่ถูกต้อง ไม่เหมาะสม หรือมีลักษณะเลือกปฏิบัติ ทั้งบุคคลที่ได้รับผลกระทบและธุรกิจอาจเผชิญกับผลกระทบในทางปฏิบัติและทางกฎหมาย
แนวทางของ PDPC แนะนำให้มีมาตรการป้องกันความเสี่ยงหลายประการ โดยเฉพาะอย่างยิ่งสำหรับการใช้งาน AI ที่มีความเสี่ยงสูง ได้แก่:
- การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้องกับ AI ตามความเหมาะสม
- การนำมาตรการรักษาความมั่นคงปลอดภัยทางเทคนิคและมาตรการด้านองค์กรที่เหมาะสมมาใช้
- การจัดทำและเก็บรักษาบันทึกกิจกรรมการประมวลผลข้อมูลที่เกี่ยวข้อง
- การกำหนดให้มีการกำกับดูแลโดยมนุษย์อย่างเหมาะสม
- การทดสอบระบบ AI เพื่อค้นหาความเสี่ยงและช่องโหว่ที่อาจเกิดขึ้น
- การทบทวนสิทธิ์ในการเข้าถึงข้อมูลและแนวปฏิบัติในการเก็บรักษาข้อมูล
- การติดตามตรวจสอบระบบภายหลังการนำไปใช้งาน
มาตรการเหล่านี้ควรมีความเหมาะสมและได้สัดส่วนกับลักษณะของระบบ AI ประเภทข้อมูลที่เกี่ยวข้อง และผลกระทบที่อาจเกิดขึ้นต่อบุคคล
ธุรกิจ ควรตระหนักด้วยว่า มาตรการป้องกันความเสี่ยงที่แนะนำในแนวทางดังกล่าวไม่ได้ถือเป็นหน้าที่ตามกฎหมายที่แยกต่างหากโดยอัตโนมัติ แต่หน้าที่ทางกฎหมายของแต่ละองค์กรต้องได้รับการประเมินตามบทบัญญัติที่เกี่ยวข้องของ PDPA
จะเกิดอะไรขึ้นเมื่อบุคคลร้องขอเข้าถึงหรือลบข้อมูลส่วนบุคคล?
บุคคลมีสิทธิเกี่ยวกับข้อมูลส่วนบุคคลของตนภายใต้ PDPA ของประเทศไทย ซึ่งรวมถึงสิทธิในการเข้าถึง แก้ไข ลบ และคัดค้านการประมวลผลข้อมูลบางประเภทตามเงื่อนไขที่กฎหมายกำหนด
เทคโนโลยี AI อาจทำให้การดำเนินการตามคำร้องขอเหล่านี้มีความซับซ้อนมากขึ้น
ตัวอย่างเช่น ข้อมูลส่วนบุคคลอาจถูกจัดเก็บไว้ในคำสั่งสนทนา ประวัติการสนทนา บันทึกการใช้งานระบบ ชุดข้อมูล หรือองค์ประกอบทางเทคนิคอื่น ๆ
การลบข้อมูลลูกค้าต้นฉบับอาจไม่ได้ทำให้สำเนาหรือข้อมูลที่อยู่ในรูปแบบอื่นทั้งหมดถูกลบออกจากระบบที่เกี่ยวข้องกับ AI โดยอัตโนมัติ
ดังนั้น องค์กรควรทำความเข้าใจว่าผู้ให้บริการ AI มีวิธีจัดการข้อมูลส่วนบุคคลอย่างไร และระบบที่ใช้งานสามารถรองรับคำร้องขอเกี่ยวกับการเข้าถึง การแก้ไข หรือการลบข้อมูลได้หรือไม่
ธุรกิจควรกำหนดขั้นตอนการทำงานเพื่อระบุแหล่งจัดเก็บข้อมูลส่วนบุคคล ประสานงานกับผู้ให้บริการที่เกี่ยวข้อง และตอบสนองต่อคำร้องขอของเจ้าของข้อมูลภายในระยะเวลาและตามข้อกำหนดของกฎหมายที่ใช้บังคับ
เช็กลิสต์การปฏิบัติตามข้อกำหนดด้าน AI สำหรับธุรกิจในประเทศไทย
บริษัทที่ดำเนินธุรกิจในประเทศไทยควรทบทวนแนวทางการใช้ AI ที่มีอยู่ในปัจจุบัน และตรวจสอบว่ามีช่องว่างหรือข้อบกพร่องในกระบวนการคุ้มครองข้อมูลส่วนบุคคลหรือไม่
เช็กลิสต์ต่อไปนี้เป็นจุดเริ่มต้นที่มีประโยชน์สำหรับการประเมินความพร้อมขององค์กร:
- ระบุระบบ AI ที่ใช้งาน: จัดทำรายการ เครื่องมือ AI ที่พนักงาน แผนกต่าง ๆ และผู้ให้บริการภายนอกนำมาใช้
- ทบทวนข้อมูลส่วนบุคคล: ตรวจสอบว่าระบบแต่ละประเภทมีการเก็บรวบรวม รับข้อมูล สร้าง หรือจัดเก็บข้อมูลส่วนบุคคลประเภทใดบ้าง
- กำหนดฐานทางกฎหมาย: ยืนยันว่าการประมวลผลข้อมูลส่วนบุคคลมีฐานทางกฎหมายที่เหมาะสมภายใต้ PDPA
- ตรวจสอบผู้ให้บริการ AI: ทบทวนสัญญาการให้บริการ นโยบายความเป็นส่วนตัว แนวทางการเก็บรักษาข้อมูล และข้อตกลงเกี่ยวกับการฝึกฝนโมเดล
- ประเมินการโอนข้อมูลไปต่างประเทศ: ตรวจสอบการเข้าถึง การจัดเก็บ และการประมวลผลข้อมูลในต่างประเทศ
- เสริมสร้างความปลอดภัย: ใช้มาตรการควบคุมการเข้าถึง การรักษาความลับ และมาตรการป้องกันทางเทคนิคที่เหมาะสม
- กำหนดนโยบายภายในองค์กร: ระบุให้ชัดเจนว่าพนักงานสามารถใช้เครื่องมือ AI ใดได้บ้าง และข้อมูลประเภทใดที่ห้ามนำเข้าสู่ระบบ
- เตรียมพร้อมสำหรับคำร้องขอของเจ้าของข้อมูล: จัดให้มีขั้นตอนในการค้นหาและจัดการข้อมูลส่วนบุคคลที่เกี่ยวข้องกับระบบ AI
- ติดตามประสิทธิภาพของ AI: ตรวจสอบระบบเป็นระยะและจัดการกับความเสี่ยงใหม่ ๆ ที่ตรวจพบ
- จัดทำเอกสารการปฏิบัติตามกฎหมาย: เก็บรักษาบันทึกการตัดสินใจ การประเมิน และมาตรการคุ้มครองข้อมูลที่เกี่ยวข้องอย่างเหมาะสม
การดำเนินการตามขั้นตอนเหล่านี้จะช่วยให้ธุรกิจสามารถนำเทคโนโลยี AI มาใช้ได้อย่างมีประสิทธิภาพ พร้อมกับรักษามาตรฐานการจัดการข้อมูลส่วนบุคคลอย่างมีความรับผิดชอบ
บทสรุป: การนำ AI มาใช้อย่างมีความรับผิดชอบต้องควบคู่กับการคุ้มครองข้อมูลส่วนบุคคลอย่างมีประสิทธิภาพ
ปัญญาประดิษฐ์สร้างโอกาสทางธุรกิจมากมายในประเทศไทย ตั้งแต่การยกระดับประสบการณ์ของลูกค้าไปจนถึงการเพิ่มประสิทธิภาพการดำเนินงานภายในองค์กร อย่างไรก็ตาม องค์กรต้องเข้าใจว่าการนำ AI มาใช้ไม่ได้ทำให้หน้าที่ความรับผิดชอบที่มีอยู่ภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคลสิ้นสุดลง
แนวทางใหม่ของ PDPC ถือเป็นข้อมูลอ้างอิงที่สำคัญในการทำความเข้าใจว่าควรนำ PDPA มาปรับใช้กับเทคโนโลยี AI สมัยใหม่อย่างไร นอกจากนี้ ยังช่วยกระตุ้นให้ธุรกิจให้ความสำคัญกับการเก็บรวบรวมข้อมูล การฝึกฝนโมเดล ผู้ให้บริการภายนอก การโอนข้อมูลไปต่างประเทศ และสิทธิของเจ้าของข้อมูลมากยิ่งขึ้น
บริษัทที่เริ่มทบทวนแนวทางการใช้ AI ตั้งแต่วันนี้จะสามารถระบุความเสี่ยงด้านการปฏิบัติตามกฎหมาย ปรับปรุงระบบกำกับดูแลภายในองค์กร และสร้างความเชื่อมั่นให้แก่ลูกค้า พนักงาน และพันธมิตรทางธุรกิจได้ดียิ่งขึ้น
ที่ PimLegal เราให้ความสำคัญกับความเข้าใจในความสัมพันธ์ระหว่างเทคโนโลยี การดำเนินธุรกิจ และกฎหมายไทย เพื่อช่วยให้องค์กรสามารถรับมือกับภูมิทัศน์ทางดิจิทัลที่เปลี่ยนแปลงอยู่ตลอดเวลาได้อย่างมั่นใจ