เปิดคู่มือ AI–PDPA ชี้ 5 เรื่ององค์กรต้องรู้ก่อนใช้ข้อมูล

รายงานข่าวจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หรือ สคส. ระบุว่า สคส. ได้เปิดตัวคู่มือ “แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ (Artificial Intelligence)” เพื่อให้องค์กร ผู้พัฒนา และผู้ใช้งาน AI มีแนวทางนำเทคโนโลยีมาใช้ให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA ลดความเสี่ยงในการละเมิดกฎหมายและคุ้มครองสิทธิของเจ้าของข้อมูล

คู่มือฉบับนี้จัดทำโดย สคส. ร่วมกับสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ และออกโดยคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล อาศัยอำนาจตามมาตรา 16 (3) ของกฎหมาย PDPA โดยอธิบายหลักกฎหมายควบคู่กับกระบวนการทำงานของ AI ตั้งแต่การวางแผน เตรียมข้อมูล ฝึกโมเดล นำไปใช้งาน จนถึงการยุติการใช้งานระบบ

เนื้อหาครอบคลุม AI วิเคราะห์ข้อมูล หรือ Analytic AI, AI สร้างเนื้อหา หรือ Generative AI และ Agentic AI ซึ่งสามารถดำเนินงานหลายขั้นตอนตามเป้าหมายที่กำหนด พร้อมสรุปสาระสำคัญที่องค์กรควรพิจารณาไว้ 5 เรื่อง

Prompt และผลลัพธ์อาจเป็นข้อมูลส่วนบุคคล

เรื่องแรกคือ การทำความเข้าใจว่าข้อมูลส่วนบุคคลในระบบ AI มีหลายรูปแบบ ไม่ได้จำกัดอยู่เฉพาะชื่อ หมายเลขโทรศัพท์ หรือข้อมูลลูกค้าในฐานข้อมูล

คำสั่งที่ป้อนเข้าสู่ระบบ หรือ Prompt บันทึกการใช้งาน หรือ Log ข้อมูลที่แปลงเป็นเวกเตอร์ หรือ Embedding รวมถึงผลลัพธ์ที่ AI สร้างขึ้น อาจเป็นข้อมูลส่วนบุคคลตามกฎหมาย หากยังสามารถระบุตัวบุคคลได้ทั้งทางตรงหรือทางอ้อม

องค์กรจึงต้องตรวจสอบข้อมูลตลอดกระบวนการทำงานของระบบ ทั้งข้อมูลนำเข้า ข้อมูลที่จัดเก็บระหว่างใช้งาน และผลลัพธ์ที่ส่งออก ไม่ใช่พิจารณาเฉพาะฐานข้อมูลต้นทางเท่านั้น

คู่มือยังระบุว่า โมเดลที่ฝึกด้วยข้อมูลส่วนบุคคลไม่ได้ถือเป็นข้อมูลนิรนามโดยอัตโนมัติ เว้นแต่จะพิสูจน์ได้ตามเกณฑ์ที่กำหนด การแปลงข้อมูลหรือการนำข้อมูลไปฝึกโมเดลจึงไม่ได้ทำให้หน้าที่ในการคุ้มครองข้อมูลส่วนบุคคลสิ้นสุดลงทันที

แยกบทบาทองค์กร ตรวจเงื่อนไขผู้ให้บริการ

เรื่องที่สองคือ การระบุสถานะทางกฎหมายของผู้เกี่ยวข้องในแต่ละกิจกรรมให้ชัดเจนว่าเป็นผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ประมวลผลข้อมูลส่วนบุคคล เนื่องจากแต่ละสถานะมีหน้าที่แตกต่างกัน

การพิจารณาต้องดูว่าใครมีอำนาจตัดสินใจเกี่ยวกับวัตถุประสงค์และวิธีการประมวลผลข้อมูล ไม่ใช่อาศัยเพียงชื่อเรียกบทบาททางเทคนิคหรือข้อความระบุสถานะในสัญญา

กรณีที่ต้องระวังคือ ผู้ให้บริการ AI นำข้อมูลของลูกค้าไปฝึกโมเดลเพื่อวัตถุประสงค์ของตนเอง ซึ่งอาจทำให้ผู้ให้บริการมีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลอีกรายหนึ่ง โดยต้องพิจารณาจากข้อเท็จจริงของกิจกรรมนั้น

สำหรับองค์กรที่ใช้บริการ AI จากภายนอก คู่มือให้ความสำคัญกับการตรวจสอบสัญญาและเงื่อนไขการใช้ข้อมูล โดยเฉพาะการนำข้อมูลไปฝึกโมเดล ขอบเขตการเข้าถึงข้อมูล และการส่งหรือโอนข้อมูลไปต่างประเทศ เพื่อกำหนดความรับผิดชอบของแต่ละฝ่ายให้ชัดเจน

เลือกฐานกฎหมายให้ตรงกับประเภทข้อมูล

เรื่องที่สามคือ ฐานทางกฎหมายในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล คู่มือแนะนำให้องค์กรพิจารณาฐานกฎหมายที่เหมาะสมให้ครบถ้วนก่อนเลือกใช้ความยินยอม เพราะการพึ่งพาความยินยอมเพียงอย่างเดียวอาจสร้างปัญหาในการดำเนินงานเมื่อเจ้าของข้อมูลถอนความยินยอม

การพิจารณาต้องแยกระหว่างข้อมูลส่วนบุคคลทั่วไปตามมาตรา 24 และข้อมูลส่วนบุคคลอ่อนไหวตามมาตรา 26 หากไม่เข้าเงื่อนไขยกเว้นตามกฎหมาย ต้องขอความยินยอมจากเจ้าของข้อมูล โดยข้อมูลอ่อนไหวต้องพิจารณาเงื่อนไขเรื่องความยินยอมโดยชัดแจ้งตามมาตรา 26

กรณีใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย คู่มือแนะนำให้จัดทำการประเมินประโยชน์โดยชอบด้วยกฎหมาย หรือ Legitimate Interest Assessment: LIA เพื่อพิจารณาความจำเป็นและผลกระทบต่อสิทธิของเจ้าของข้อมูล ทั้งนี้ ฐานดังกล่าวไม่ใช่ข้อยกเว้นสำหรับการใช้ข้อมูลส่วนบุคคลอ่อนไหว ซึ่งต้องพิจารณาตามมาตรา 26 แยกต่างหาก

ขณะเดียวกัน การนำข้อมูลเดิมมาใช้ฝึก AI ต้องตรวจสอบว่าสอดคล้องกับวัตถุประสงค์ที่แจ้งไว้หรือไม่ หากเป็นการใช้เพื่อวัตถุประสงค์ใหม่ ต้องดำเนินการตามเงื่อนไขของกฎหมาย ไม่ใช่ถือว่าข้อมูลที่องค์กรมีอยู่แล้วสามารถนำไปฝึกโมเดลได้ทุกกรณี

อีกหลักที่ต้องพิจารณาควบคู่กันคือ การใช้ข้อมูลเท่าที่จำเป็นต่อวัตถุประสงค์ เพื่อลดการเก็บและประมวลผลข้อมูลส่วนบุคคลเกินความจำเป็น

ประเมินผลกระทบก่อนเริ่มโครงการ

เรื่องที่สี่คือ การบริหารความเสี่ยงก่อนเริ่มโครงการ AI โดยพิจารณาว่าการทำงานของระบบอาจกระทบต่อเจ้าของข้อมูลอย่างไร และต้องมีมาตรการป้องกันในจุดใดบ้าง

คู่มือแนะนำให้ประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล หรือ Data Protection Impact Assessment: DPIA ก่อนเริ่มโครงการที่อาจกระทบสิทธิของเจ้าของข้อมูล โดยเฉพาะการใช้ AI ตัดสินใจอัตโนมัติที่ก่อให้เกิดผลทางกฎหมายหรือผลกระทบอย่างมีนัยสำคัญ และการใช้ข้อมูลส่วนบุคคลอ่อนไหวฝึกโมเดล

มาตรการที่เสนอครอบคลุมการควบคุมข้อมูลนำเข้าและผลลัพธ์ การจำกัดสิทธิและขอบเขตการทำงานของ AI Agent รวมถึงการบันทึกประวัติการทำงานเพื่อรองรับการตรวจสอบย้อนหลัง

ในระดับผู้บริหาร คู่มือเสนอให้ตรวจสอบก่อนอนุมัติโครงการว่า องค์กรกำหนดสถานะและฐานกฎหมายไว้ชัดเจนแล้วหรือไม่ มีการประเมินความเสี่ยงเพียงพอหรือยัง และมีมนุษย์กำกับดูแลในจุดที่ระบบอาจกระทบสิทธิของบุคคลหรือไม่ โดยผู้กำกับดูแลต้องมีอำนาจทบทวนและเปลี่ยนแปลงผลการตัดสินใจของ AI ได้จริง

นอกจากนี้ องค์กรควรเตรียมช่องทางรับคำขอใช้สิทธิของเจ้าของข้อมูล และแผนรับมือเหตุละเมิดข้อมูลส่วนบุคคลให้พร้อมก่อนนำระบบไปใช้งาน

ลบข้อมูลในฐานความรู้ ไม่เท่ากับลบออกจากโมเดล

เรื่องที่ห้าคือ การรองรับสิทธิของเจ้าของข้อมูลส่วนบุคคลตามเงื่อนไขของกฎหมาย แม้ระบบ AI จะมีความซับซ้อนหรือมีข้อจำกัดทางเทคนิค แต่ข้อจำกัดดังกล่าวไม่ได้ยกเว้นหน้าที่ตามกฎหมาย

คู่มือแนะนำให้องค์กรออกแบบระบบให้รองรับการจัดการข้อมูลตั้งแต่ต้น โดยแยกให้ชัดระหว่างข้อมูลในฐานความรู้ที่ระบบเรียกใช้ กับข้อมูลที่ถูกนำไปฝึกจนเป็นส่วนหนึ่งของตัวโมเดล

สำหรับระบบ RAG ซึ่งให้ AI ค้นข้อมูลประกอบการตอบ องค์กรสามารถจัดการข้อมูลหรือดัชนีที่เกี่ยวข้องในฐานความรู้ เพื่อป้องกันไม่ให้ระบบเรียกข้อมูลนั้นมาใช้ประกอบคำตอบ อย่างไรก็ตาม การดำเนินการในส่วนนี้ไม่ได้หมายความว่าข้อมูลที่อาจฝังอยู่ในตัวโมเดลถูกลบออกไปด้วย

ส่วนการลบข้อมูลที่อยู่ในตัวโมเดล หรือ Machine Unlearning มีความท้าทายทางเทคนิคมากกว่า คู่มือจึงเสนอให้พิจารณามาตรการทดแทนที่มีประสิทธิภาพ เช่น การกรองผลลัพธ์ หรือ Output Filtering ระหว่างรอการปรับปรุงโมเดล โดยต้องดำเนินการให้สอดคล้องกับหลักเกณฑ์การลบหรือทำลายข้อมูล

การกรองผลลัพธ์เพียงอย่างเดียวจึงไม่ได้หมายความว่าข้อมูลถูกลบออกจากโมเดลอย่างถาวร องค์กรยังต้องพิจารณาว่ามาตรการที่ใช้สามารถรองรับคำขอและหน้าที่ตามกฎหมายได้เพียงใด

แนวทางเบื้องต้น ไม่ใช่ข้อบังคับใหม่

คู่มือฉบับนี้เป็นคำแนะนำเบื้องต้นสำหรับผู้ควบคุมข้อมูลส่วนบุคคลและผู้เกี่ยวข้องในการนำไปปรับใช้ ไม่มีสภาพบังคับตามกฎหมาย ไม่มีผลผูกพันในการพิจารณาความผิด และไม่ถือเป็นการตีความหรือวินิจฉัยชี้ขาดปัญหาจากการบังคับใช้กฎหมาย

องค์กรจึงต้องใช้คู่มือประกอบกับกฎหมาย PDPA กฎหมายลำดับรอง และแนวทางอื่นที่เกี่ยวข้อง โดยหน้าที่ตามกฎหมายยังคงต้องปฏิบัติให้ครบถ้วน

ท้ายคู่มือมีรายการตรวจสอบสำหรับการพัฒนา AI ในภาคผนวก ก. และการใช้งาน AI ในภาคผนวก ข. เพื่อให้องค์กรประเมินความพร้อมของตนเอง ทั้งด้านข้อมูล ฐานกฎหมาย ผู้รับผิดชอบ มาตรการรักษาความปลอดภัย และการตอบสนองต่อสิทธิของเจ้าของข้อมูลส่วนบุคคล