Data Center อยู่ในไทย แต่ข้อมูลอยู่ใต้อำนาจใคร?

ประเทศไทยกำลังยินดีกับการลงทุน Data Center มูลค่าหลายแสนล้านบาท แต่ก่อนที่เราจะถามว่าใช้ไฟเท่าไร ใช้น้ำเท่าไร หรือสร้าง GDP ได้เท่าไร เราควรถามคำถามที่สำคัญกว่านั้น… “ข้อมูลที่อยู่ใน Data Center เหล่านั้น อยู่ภายใต้อำนาจของประเทศไทยจริงหรือ?” เพราะในยุค AI ผู้ที่ครอบครองข้อมูล ไม่ได้เป็นเพียงผู้ครอบครองทรัพย์สิน แต่กำลังครอบครองอำนาจในการกำหนดอนาคตของประเทศ

คำถามที่ประเทศไทยต้องตอบให้ได้คือ

ข้อมูลที่ถูกเก็บอยู่ใน Data Center บนแผ่นดินไทย อยู่ภายใต้อำนาจของประเทศไทยจริงหรือไม่?

สำนักงานคณะกรรมการส่งเสริมการลงทุน หรือ BOI ระบุว่า ตลอดปี 2568 มีคำขอส่งเสริมการลงทุน Data Center รวม 36 โครงการ มูลค่ารวมกว่า 728,000 ล้านบาท และในการประชุมครั้งแรกของปี 2569 ยังได้อนุมัติโครงการ Data Center และ Data Hosting เพิ่มอีก 7 โครงการ มูลค่ารวมประมาณ 96,880 ล้านบาท (Bank of Thailand)

ตัวเลขดังกล่าวสะท้อนว่า Data Center กำลังกลายเป็นโครงสร้างพื้นฐานทางเศรษฐกิจชุดใหม่ของประเทศไทยอย่างรวดเร็ว

แต่เราต้องไม่เข้าใจผิดว่า การมีอาคาร Data Center ตั้งอยู่ในประเทศไทยจะทำให้ข้อมูลทั้งหมดภายในนั้นกลายเป็น “ข้อมูลภายใต้อธิปไตยของไทย” โดยอัตโนมัติ

 

ข้อมูลอยู่ในไทย ไม่เท่ากับข้อมูลอยู่ใต้อำนาจไทย

คำว่า Data Residency หมายถึงสถานที่ทางกายภาพที่ข้อมูลถูกจัดเก็บหรือประมวลผล เช่น เซิร์ฟเวอร์ตั้งอยู่ในกรุงเทพฯ ชลบุรี ระยอง หรือสมุทรปราการ

แต่ Data Sovereignty หมายถึงอำนาจในการกำกับ ควบคุม เข้าถึง ปกป้อง และตัดสินใจเกี่ยวกับข้อมูลนั้น ทั้งในทางกฎหมาย ทางเทคนิค และทางปฏิบัติการ

Data Center อาจตั้งอยู่ในประเทศไทย ใช้ไฟฟ้าของประเทศไทย ใช้น้ำของประเทศไทย ตั้งอยู่บนที่ดินของประเทศไทย และมีพนักงานคนไทยทำงานอยู่ภายในอาคาร

แต่ถ้าบริษัทแม่ในต่างประเทศยังควบคุมระบบบริหารจัดการส่วนกลาง หรือ Control Plane มีสิทธิผู้ดูแลระบบระดับสูง สามารถสั่งการบุคลากรในประเทศไทย เข้าถึงระบบสนับสนุนจากระยะไกล หรือเป็นผู้ถือกุญแจเข้ารหัส ข้อมูลนั้นก็อาจยังอยู่ภายใต้อำนาจของต่างประเทศมากกว่าอำนาจของไทย

พูดง่าย ๆ คือ

เครื่องอยู่ในไทย แต่กุญแจอาจอยู่ต่างประเทศ อาคารอยู่ในไทย แต่ผู้มีอำนาจสั่งเปิดประตูอาจไม่ใช่คนไทย

CLOUD Act: ตำแหน่งเซิร์ฟเวอร์ไม่ใช่เส้นแบ่งอำนาจเสมอไป

ตัวอย่างที่ชัดเจนคือกฎหมาย CLOUD Act ของสหรัฐอเมริกา ซึ่งเพิ่มเติมบทบัญญัติ 18 U.S.C. § 2713 เข้าไปในกฎหมาย Stored Communications Act

บทบัญญัตินี้กำหนดว่า ผู้ให้บริการการสื่อสารอิเล็กทรอนิกส์หรือบริการประมวลผลระยะไกลที่อยู่ภายใต้กฎหมายสหรัฐฯ ต้องเก็บรักษา สำรอง หรือเปิดเผยข้อมูลที่อยู่ใน “possession, custody, or control” ของผู้ให้บริการตามกระบวนการทางกฎหมาย โดยไม่คำนึงว่าข้อมูลนั้นจะตั้งอยู่ภายในหรือภายนอกสหรัฐอเมริกา (U.S. Code)

ประเด็นสำคัญจึงไม่ได้อยู่เพียงว่าเซิร์ฟเวอร์ตั้งอยู่ประเทศใด แต่ต้องดูว่าใครมีอำนาจครอบครอง ดูแล หรือควบคุมข้อมูลนั้น

แน่นอนว่า CLOUD Act ไม่ได้หมายความว่ารัฐบาลสหรัฐฯ สามารถเปิดดูข้อมูลทุกอย่างได้ตามใจชอบ การเข้าถึงยังต้องอาศัยฐานอำนาจและกระบวนการทางกฎหมายที่เกี่ยวข้อง และอาจมีประเด็นเรื่องความขัดแย้งกับกฎหมายต่างประเทศให้พิจารณา

แต่กฎหมายนี้พิสูจน์หลักการสำคัญข้อหนึ่งอย่างชัดเจนว่า

การย้ายข้อมูลมาเก็บในประเทศไทยเพียงอย่างเดียว ไม่เพียงพอที่จะตัดอำนาจทางกฎหมายของต่างประเทศ

นอกจากนี้ สหรัฐฯ ยังมีกลไกด้านความมั่นคงและข่าวกรองอื่น เช่น FISA Section 702 ซึ่งเกี่ยวข้องกับการรวบรวมข่าวกรองจากบุคคลที่ไม่ใช่ชาวอเมริกันและเชื่อว่าอยู่นอกสหรัฐฯ รวมถึง National Security Letters ที่ใช้ขอข้อมูลสมาชิกและข้อมูลธุรกรรมการสื่อสารบางประเภทจากผู้ให้บริการภายใต้เงื่อนไขที่กฎหมายกำหนด (U.S. Code)

ประเด็นนี้จึงไม่ใช่เรื่องสมมติ และไม่ใช่ทฤษฎีสมคบคิด แต่เป็นความเสี่ยงทางกฎหมายที่ทุกประเทศต้องนำมาประเมินเมื่อฝากข้อมูลสำคัญไว้กับผู้ให้บริการที่อยู่ภายใต้เขตอำนาจของต่างประเทศ

 

เรากำลังห่วงแต่น้ำและไฟ จนลืม “ข้อมูล”

เวลาพูดถึงการลงทุน Data Center วันนี้ ภาครัฐและสังคมมักตั้งคำถามว่าใช้ไฟกี่เมกะวัตต์ ค่า PUE เท่าไร ใช้น้ำหล่อเย็นมากเพียงใด ใช้พลังงานหมุนเวียนหรือไม่ และสร้างงานให้คนไทยได้กี่ตำแหน่ง

ทั้งหมดเป็นคำถามที่ถูกต้อง

แต่ถ้าประเทศไทยให้สิทธิประโยชน์ทางภาษี จัดสรรพื้นที่ จัดหาไฟฟ้า น้ำ ระบบสื่อสาร และโครงสร้างพื้นฐานให้แก่นักลงทุน โดยไม่ได้กำหนดเงื่อนไขเรื่องอธิปไตยเหนือข้อมูลให้ชัดเจน ประเทศไทยอาจได้รับเพียงงานก่อสร้าง ค่าเช่าที่ดิน และการจ้างงานบางส่วน ขณะที่มูลค่าทางเศรษฐกิจ อำนาจการควบคุม และองค์ความรู้ที่สำคัญที่สุดยังอยู่กับเจ้าของแพลตฟอร์มต่างประเทศ

ข้อมูลในยุค AI ไม่ใช่เพียงผลพลอยได้จากการทำธุรกรรมอีกต่อไป

ข้อมูลประชาชน ข้อมูลสุขภาพ ข้อมูลการเงิน ข้อมูลพฤติกรรม ข้อมูลโครงสร้างพื้นฐาน ข้อมูลอุตสาหกรรม และข้อมูลภาครัฐ คือวัตถุดิบสำหรับการพัฒนาโมเดล AI การวิเคราะห์เศรษฐกิจ การประเมินความเสี่ยง การกำหนดนโยบาย และการสร้างอำนาจต่อรองในอนาคต

ประเทศที่ไม่มีอำนาจควบคุมข้อมูลของตนเอง ย่อมไม่สามารถมีอธิปไตยทางดิจิทัลได้อย่างแท้จริง

 

ประเทศไทยเริ่มเดินแล้ว แต่ต้องเดินให้ไกลกว่านี้

ต้องยอมรับว่าประเทศไทยไม่ได้ละเลยประเด็นนี้ทั้งหมด

คณะกรรมการพัฒนารัฐบาลดิจิทัลได้เห็นชอบหลักการเกี่ยวกับการจำแนกประเภทข้อมูล การใช้บริการคลาวด์ที่จัดเก็บข้อมูลนอกราชอาณาจักร และมอบหมายให้กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมกำหนดผู้ให้บริการ Sovereign Cloud สำหรับข้อมูลที่มีผลกระทบสูง เช่น ข้อมูลชั้นลับมากและลับที่สุด (DGA)

สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติยังได้จัดทำมาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ เพื่อวางกรอบบริหารความเสี่ยงสำหรับผู้ใช้และผู้ให้บริการคลาวด์ (cloudsecurity.ncsa.or.th)

นี่เป็นจุดเริ่มต้นที่ดี แต่ยังไม่เพียงพอ เพราะอธิปไตยเหนือข้อมูลไม่ได้เกิดขึ้นจากการประกาศว่าเป็น Sovereign Cloud หรือการกำหนดให้ข้อมูลอยู่ในประเทศเท่านั้น

ประเทศไทยต้องตรวจสอบอย่างน้อยว่า

ใครเป็นเจ้าของและควบคุมบริษัทผู้ให้บริการ ใครควบคุม Control Plane ผู้ดูแลระบบระดับสูงอยู่ภายใต้คำสั่งของใคร กุญแจเข้ารหัสอยู่ที่ใด ระบบสำรองข้อมูลและบันทึกเหตุการณ์ถูกส่งไปประเทศใด และบริษัทแม่ต่างประเทศสามารถถูกบังคับให้เข้าถึงหรือส่งมอบข้อมูลตามกฎหมายของประเทศตนได้หรือไม่

สำหรับข้อมูลภาครัฐ ข้อมูลโครงสร้างพื้นฐานสำคัญ ข้อมูลความมั่นคง ข้อมูลสุขภาพระดับชาติ ระบบชำระเงิน หลักฐานดิจิทัล และข้อมูลที่ใช้ฝึก AI ของประเทศ รัฐต้องกำหนดให้เจ้าของข้อมูลไทยเป็นผู้ถือกุญแจเข้ารหัส ผู้ให้บริการไม่สามารถเข้าถึงข้อมูลที่ถอดรหัสแล้วได้โดยลำพัง และการเข้าถึงจากต่างประเทศทุกครั้งต้องได้รับอนุมัติ ตรวจสอบ และบันทึกไว้

 

ไม่ใช่การต่อต้านต่างชาติ แต่คือการปกป้องผลประโยชน์ของชาติ

ข้อเสนอเรื่อง Data Sovereignty ไม่ใช่การต่อต้านบริษัทอเมริกัน บริษัทจีน หรือผู้ลงทุนจากประเทศใดประเทศหนึ่ง

ผู้ให้บริการจากทุกประเทศควรถูกประเมินภายใต้หลักเกณฑ์เดียวกันว่า รัฐบาลต่างประเทศใดสามารถใช้อำนาจบังคับต่อบริษัทนั้นได้ บริษัทแม่สามารถควบคุมบริษัทลูกในประเทศไทยเพียงใด และสถาปัตยกรรมทางเทคนิคสามารถป้องกันการเข้าถึงข้อมูลโดยบุคคลภายนอกได้จริงหรือไม่

ประเทศไทยควรต้อนรับการลงทุน Data Center แต่ต้องต้อนรับด้วยความเข้าใจ ไม่ใช่ด้วยความตื่นเต้นต่อมูลค่าการลงทุนเพียงอย่างเดียว

BOI และหน่วยงานกำกับดูแลควรเพิ่มการประเมิน Foreign Jurisdiction Risk เป็นเงื่อนไขสำคัญ ควบคู่กับการประเมินไฟฟ้า น้ำ สิ่งแวดล้อม ความมั่นคงปลอดภัยไซเบอร์ การถ่ายทอดเทคโนโลยี และการพัฒนาบุคลากรไทย

เพราะท้ายที่สุดแล้ว สิ่งที่อยู่ใน Data Center ไม่ใช่เพียงเซิร์ฟเวอร์

แต่มันคือประวัติชีวิตของประชาชน ความลับทางธุรกิจ โครงสร้างพื้นฐานของประเทศ ความสามารถในการแข่งขัน และความมั่นคงในอนาคต

ประเทศไทยต้องไม่ยอมเป็นเพียงผู้จัดหาไฟฟ้า น้ำ ที่ดิน และสิทธิประโยชน์ทางภาษี เพื่อให้ต่างชาตินำข้อมูลของเราไปสร้างอำนาจทางเศรษฐกิจและเทคโนโลยี โดยที่เรายังไม่มีอำนาจเหนือข้อมูลของตนเอง

อย่าถามเพียงว่า Data Center ตั้งอยู่ที่ไหน จงถามว่าใครถือกุญแจ ใครควบคุมระบบ และข้อมูลอยู่ภายใต้อำนาจของใคร เพราะในโลกดิจิทัล ผู้ที่ควบคุมข้อมูล คือผู้ที่ควบคุมอนาคต

ประเทศไทยต้องไม่หยุดอยู่ที่การเป็น “ที่ตั้งของ Data Center” แต่ต้องก้าวไปสู่การเป็นประเทศที่มี “อธิปไตยเหนือข้อมูล” เพราะในศตวรรษที่ 21 ผู้ที่ถือกุญแจของข้อมูล คือผู้ที่ถือกุญแจของอนาคตประเทศ

 

เอกสารอ้างอิง

1. U.S. Code, Title 18, § 2713: Required Preservation and Disclosure of Communications and Records. (U.S. Code)
2. U.S. Code, Title 50, § 1881a: Procedures for Targeting Certain Persons Outside the United States Other Than United States Persons. (U.S. Code)
3. U.S. Code, Title 18, § 2709: Counterintelligence Access to Telephone Toll and Transactional Records. (U.S. Code)
4. Thailand Board of Investment: Data Center Investment Approvals and Investment Applications, 2025–2026. (Bank of Thailand)
5. สำนักงานพัฒนารัฐบาลดิจิทัล: แนวทาง Cloud First Policy การจำแนกข้อมูล และ Sovereign Cloud สำหรับข้อมูลที่มีผลกระทบสูง. (DGA)
6. สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ: มาตรฐานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ระบบคลาวด์ พ.ศ. 2567. (cloudsecurity.ncsa.or.th)