แชตบอต AI ส่งข้อมูลโฆษณาคือปัญหาที่นักวิจัยพบว่าแชตบอตยอดนิยมฝังบริการติดตามของบุคคลที่สาม และบางตัวยังเชื่อมต่อระบบโฆษณาแม้ผู้ใช้กดปฏิเสธคุกกี้แล้ว บทความนี้เหมาะกับเจ้าของเว็บที่ฝังแชตบอต ทีมการตลาด และ DPO อ่านแล้วจะรู้ว่าต้องเช็กจุดไหนตาม PDPA
ลองนึกภาพพนักงานโรงพยาบาลเอกชนที่พิมพ์อาการคนไข้ลงแชตบอตเพื่อให้ช่วยสรุป หรือคนทั่วไปที่ปรึกษาเรื่องหนี้บัตรเครดิตกับ AI ตอนเที่ยงคืน ข้อความพวกนี้เป็นเรื่องส่วนตัวที่สุด และงานวิจัยล่าสุดชี้ว่าท่อข้อมูลรอบแชตบอตอาจส่งต่อไปยังระบบโฆษณาได้
สรุปสั้น: งานวิจัยของ IMDEA Networks พบว่าแชตบอต AI ยอดนิยมทั้ง 9 ตัวฝังบริการโฆษณาหรือการติดตามจากบุคคลที่สาม 6 ตัวเปิดเผยข้อความที่ผู้ใช้พิมพ์ให้บุคคลที่สามเป็นประจำ และ 6 ตัวยังเชื่อม Google Ads แม้ผู้ใช้ปฏิเสธคุกกี้ องค์กรไทยควรตรวจแชตบอตบนเว็บของตัวเองว่ายิงแท็กโฆษณาก่อนได้ความยินยอมหรือไม่ และตั้งนโยบายห้ามใส่ข้อมูลลูกค้าในแชตบอตสาธารณะ
งานวิจัยแชตบอต AI ส่งข้อมูลโฆษณาพบอะไร
งานวิจัยพบว่าแชตบอต AI ส่งข้อมูลโฆษณาให้บุคคลที่สามได้หลายทาง ทีมวิจัยจาก IMDEA Networks ในมาดริด นำโดย Narseo Vallina-Rodriguez ศึกษาแชตบอตยอดนิยม 9 ตัว ในงานชื่อ “Prompt like a Butterfly, Sting like a Tracker” ตามรายงานของ EUobserver
ผลที่สำคัญคือทั้ง 9 ตัวฝังบริการโฆษณาหรือการติดตามอย่างน้อย 1 บริการ 6 ตัวยังเชื่อม Google Ads แม้ผู้ใช้ปฏิเสธคุกกี้ที่ไม่จำเป็น และ Mistral ไม่เปิดให้ผู้ใช้เลือกปฏิเสธเลย ต้นทางไม่ได้ชี้ชัดว่า 6 ตัวนั้นคือแชตบอตตัวใดบ้าง จึงไม่ควรสรุปเป็นรายผลิตภัณฑ์
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้วิจัย | IMDEA Networks (มาดริด) นำโดย Narseo Vallina-Rodriguez |
| กลุ่มตัวอย่าง | แชตบอตยอดนิยม 9 ตัว |
| ฝังตัวติดตามบุคคลที่สาม | ทั้ง 9 ตัว อย่างน้อย 1 บริการ |
| เชื่อม Google Ads แม้ปฏิเสธคุกกี้ | 6 ใน 9 ตัว |
| หน่วยงานที่เกี่ยวข้อง | AEPD สเปนขอให้ EDPB ทบทวนผลเบื้องต้น (เผยแพร่ พ.ค. 2026) |
ประเด็นกฎหมายที่นักวิจัยยกขึ้นคือ GDPR และ ePrivacy Directive ซึ่งกำหนดให้ต้องได้รับความยินยอมก่อนใช้คุกกี้ที่ไม่จำเป็น
แชตบอต AI ส่งข้อมูลโฆษณา กระทบธุรกิจไทยอย่างไร
แชตบอต AI ส่งข้อมูลโฆษณากระทบธุรกิจไทยสองทาง ทางแรกคือเว็บหรือแอปไทยที่ฝังแชตบอตหรือเครื่องมือเดียวกัน ทางที่สองคือพนักงานที่เอาข้อมูลลูกค้าไปพิมพ์ในแชตบอตสาธารณะ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
เว็บไทยที่ฝังแชตบอตต้องระวังอะไรตาม PDPA
เว็บไทยที่ฝังแชตบอตต้องระวังเรื่องความยินยอมตาม PDPA มาตรา 19 ถ้าแบนเนอร์คุกกี้มีปุ่มปฏิเสธ แต่แชตบอตยังยิงแท็กโฆษณาอยู่ ความยินยอมนั้นก็เป็นแค่ฉากหน้า ลูกค้ากดปฏิเสธแล้วแต่ข้อมูลยังไหลออก
ตัวอย่างสมมติ: ร้านขายประกันออนไลน์ฝังแชตบอตตอบคำถามลูกค้า ลูกค้าพิมพ์ว่าเป็นเบาหวาน ถ้าแชตบอตส่งข้อความหรือข้อมูลการใช้งานต่อให้ระบบโฆษณา ร้านอาจกลายเป็นผู้ควบคุมข้อมูลที่ปล่อยข้อมูลสุขภาพซึ่งเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26
พนักงานที่ใช้แชตบอตสาธารณะสร้างความเสี่ยงแบบไหน
พนักงานที่ใช้แชตบอตสาธารณะกับข้อมูลลูกค้าสร้างความเสี่ยงที่องค์กรมองไม่เห็น เพราะข้อความไม่ได้ไปถึงแค่ผู้ให้บริการ AI แต่อาจไปถึงบุคคลที่สามผ่านตัวติดตาม องค์กรจึงควบคุมไม่ได้ว่าข้อมูลไปจบที่ไหน แนวคิดคล้ายกันกับกรณีแอปที่ส่งข้อมูลให้บริษัทโฆษณา ดูได้ใน งานวิจัยพบแอปรถยนต์ 28 จาก 30 แอปส่งข้อมูลให้บริษัทโฆษณา ค่ายรถ ดีลเลอร์ และประกันในไทยต้องตรวจแอป connected car ของตัวเองอย่างไร
ทำไมเรื่องคุกกี้กลายเป็นเรื่อง AI governance
เรื่องคุกกี้กลายเป็นเรื่อง AI governance เพราะความเสี่ยงของ AI ไม่ได้อยู่แค่ในตัวโมเดล แต่อยู่ที่ท่อข้อมูลโฆษณารอบ ๆ โมเดลด้วย ทีมที่ดูแล consent management กับทีมที่ดูแล AI มักแยกกัน ข่าวนี้บอกว่าต้องคุยกัน กติกาแชตบอตในต่างประเทศก็เริ่มขยับ ดูตัวอย่างได้ใน โคโลราโดเปิดรับฟังร่างกฎ ADMT และความปลอดภัยแชตบอตถึง 26 ต.ค. AI ที่ปฏิเสธลูกค้าต้องบอกเหตุผล ธุรกิจไทยที่ใช้ AI อนุมัติต้องเตรียมอะไร
ถ้าองค์กรไทยไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ทำอะไรเลย องค์กรไทยเสี่ยงถูกร้องเรียนว่าเก็บและส่งข้อมูลโดยไม่มีความยินยอมที่แท้จริง และถ้าข้อมูลที่หลุดเป็นข้อมูลสุขภาพหรือการเงิน ความเสียหายต่อชื่อเสียงจะหนักกว่าตัวเงิน ความเสี่ยงอีกข้อคือไม่รู้เลยว่าพนักงานส่งข้อมูลลูกค้าไปที่ไหนบ้าง
องค์กรไทยควรเช็กแชตบอต AI อย่างไรตาม PDPA
องค์กรไทยควรเช็ก 4 จุดนี้ เพราะครอบคลุมทั้งแชตบอตที่เราฝังเองและแชตบอตที่พนักงานใช้ และทำได้โดยไม่ต้องรอผลการทบทวนของ EDPB
- 1. ทดสอบปุ่มปฏิเสธคุกกี้ เปิดเว็บแล้วกดปฏิเสธ จากนั้นใช้แชตบอต แล้วดูว่ามีแท็กโฆษณายิงออกไปหรือไม่
- 2. ทำรายการตัวติดตามในแชตบอต ขอรายชื่อบริการบุคคลที่สามจากผู้ขายแชตบอต และใส่ไว้ใน Privacy Notice
- 3. ตั้งนโยบายใช้แชตบอตสาธารณะ ห้ามพิมพ์ข้อมูลลูกค้า ข้อมูลสุขภาพ และข้อมูลการเงินลงแชตบอตที่องค์กรไม่ได้ทำสัญญา
- 4. แยกข้อมูลอ่อนไหวออกจากแชตบอต ถ้าธุรกิจต้องคุยเรื่องสุขภาพหรือการเงิน ให้ส่งต่อไปช่องทางที่ไม่มีตัวติดตามโฆษณา
ถ้าต้องการคนช่วยตรวจคุกกี้และนโยบายใช้ AI ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และติดตามเรื่องคล้ายกันได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
คนพิมพ์กับแชตบอตเหมือนคุยกับเพื่อนสนิท แต่ไม่รู้ว่าในห้องมีคนอื่นนั่งฟังอยู่ด้วย ปุ่มปฏิเสธคุกกี้ที่ไม่มีผลจริง แย่กว่าไม่มีปุ่มเลย เพราะมันทำให้คนเชื่อว่าปลอดภัย จุดที่องค์กรมักพลาดคือคิดว่าแบนเนอร์คุกกี้จบที่หน้าเว็บ ควรเช็กว่าเครื่องมือที่ฝังเพิ่มทีหลัง เช่น แชตบอต ทำตามการเลือกของลูกค้าด้วยหรือไม่
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับแชตบอต AI ส่งข้อมูลโฆษณา
แชตบอต AI ตัวไหนส่งข้อมูลให้ Google Ads
ต้นทางระบุว่า 6 ใน 9 ตัวยังเชื่อม Google Ads แม้ผู้ใช้ปฏิเสธคุกกี้ แต่ไม่ได้ชี้ชัดว่าเป็นตัวใดบ้าง ที่ระบุชื่อชัดคือ Mistral ไม่เปิดให้ผู้ใช้เลือกปฏิเสธเลย
กดปฏิเสธคุกกี้แล้วข้อมูลปลอดภัยไหม
ไม่เสมอไป งานวิจัยพบว่าแชตบอตบางตัวยังเชื่อมต่อระบบโฆษณาแม้ผู้ใช้ปฏิเสธคุกกี้ที่ไม่จำเป็น จึงไม่ควรพิมพ์ข้อมูลสุขภาพหรือการเงินลงแชตบอตสาธารณะ
PDPA เกี่ยวกับแชตบอตบนเว็บอย่างไร
ถ้าแชตบอตบนเว็บส่งข้อมูลให้บุคคลที่สามเพื่อโฆษณา เจ้าของเว็บต้องมีฐานทางกฎหมาย ซึ่งโดยทั่วไปคือความยินยอมตาม PDPA มาตรา 19 และถ้าเป็นข้อมูลสุขภาพจะเข้ามาตรา 26 ที่เข้มกว่า
หน่วยงานยุโรปทำอะไรกับงานวิจัยนี้แล้ว
หน่วยงานคุ้มครองข้อมูลของสเปน (AEPD) ขอให้ EDPB ทบทวนผลเบื้องต้นร่วมกับหน่วยงานยุโรปอื่น ผลการทบทวนยังไม่ออก
แหล่งอ้างอิง
- EUobserver — AI chatbots turn users’ most intimate data into a potential goldmine for advertisers, researchers warn — อ่านข่าวที่ EUobserver
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
