AI ฟรี ไม่ได้น่ากลัวเท่าการที่องค์กร “ไม่มีใครรับผิดชอบข้อมูล”
ช่วงที่ AI กำลังถูกผลักดันให้คนไทยเข้าถึงได้ง่ายขึ้น คำถามที่องค์กรควรถามอาจไม่ใช่เพียงว่า “พนักงานใช้ AI ได้หรือไม่” แต่ควรถามให้ลึกกว่านั้นว่า “พนักงานใช้ข้อมูลของบริษัทกับ AI ได้แค่ไหน”
IT-Guides.com เผยแพร่คำแนะนำเมื่อวันที่ 22 สิงหาคม 2569 ให้ผู้ใช้ AI Pass TH/AiPASS ระวังการนำข้อมูลส่วนบุคคล ข้อมูลลับของบริษัท รหัสผ่าน API Key Source Code และเอกสารสำคัญเข้าไปประมวลผล พร้อมแนะนำให้อ่าน Privacy Notice และ Terms of Use ก่อนใช้งาน
คำแนะนำนี้ถูกต้องในระดับผู้ใช้งาน แต่สำหรับบริษัท คำถามสำคัญกว่า คือ ใครเป็นคนกำหนดว่า “อะไรส่งได้ อะไรส่งไม่ได้” และเมื่อข้อมูลถูกส่งแล้ว ใครต้องรับผิดชอบ
เรื่องนี้จริง ๆ ไม่ได้เกี่ยวกับ AI Pass TH อย่างเดียว
ลองนึกภาพบริษัทแห่งหนึ่ง พนักงานได้รับเอกสารสัญญาจากลูกค้า 30 หน้า และต้องการให้ AI ช่วยสรุป เขาอาจคิดง่าย ๆ ว่า
“ส่งเข้า AI ได้เลย จะได้ทำงานเร็วขึ้น”
แต่ในไฟล์เดียวกันนั้นอาจมีชื่อ-นามสกุลของลูกค้า เบอร์โทรศัพท์ อีเมล ลายเซ็น รายละเอียดทางการเงิน เงื่อนไขทางธุรกิจ หรือข้อมูลอื่นที่บริษัทมีหน้าที่ต้องดูแล พนักงานอาจไม่ได้มีเจตนาทำข้อมูลรั่วเลยแม้แต่น้อย
ปัญหาคือ เขาอาจกำลังนำข้อมูลของบริษัทไปสู่ระบบที่องค์กรไม่เคยอนุมัติ นี่คือจุดที่คำว่า “AI Governance” เริ่มเข้ามาเกี่ยวข้อง
AI Pass TH จึงไม่ควรถูกมองเพียงว่าเป็นเครื่องมือ AI อีกหนึ่งตัว แต่ควรถูกมองในมุมเดียวกับเครื่องมือ Cloud, SaaS หรือระบบภายนอกอื่น ๆ ที่องค์กรต้องกำหนดว่า ข้อมูลประเภทใดสามารถนำออกไปประมวลผลได้
ข้อเท็จจริงที่องค์กรควรรู้
บทความของ IT-Guides.com แนะนำให้หลีกเลี่ยงการนำข้อมูลส่วนบุคคล เช่น เลขบัตรประชาชน หนังสือเดินทาง ข้อมูลทางการเงิน ข้อมูลติดต่อ และข้อมูลสุขภาพ รวมถึงข้อมูลลับของบริษัท เช่น รายชื่อลูกค้า สัญญา Source Code API Key และข้อมูลการตั้งค่าระบบเครือข่ายเข้าสู่ AI โดยไม่จำเป็น
อีกประเด็นที่สำคัญคือ AiPASS เป็นแพลตฟอร์มที่เชื่อมต่อกับ AI หลายโมเดล ดังนั้นองค์กรไม่ควรมองเพียงว่า “ข้อมูลเข้า AiPASS” แล้วจบ แต่ควรตรวจสอบว่าข้อมูลถูกส่งต่อหรือประมวลผลโดยผู้ให้บริการใดบ้าง และมีเงื่อนไขการใช้ข้อมูลอย่างไร
ในข้อมูลทางการของโครงการ TH-AI Passport ระบุว่าโครงการมีมาตรการไม่ให้ผู้ให้บริการโมเดลนำข้อมูลผู้ใช้งานไปฝึกโมเดล และระบุหน่วยงานที่กำกับดูแลโครงการไว้ชัดเจน ขณะเดียวกัน ระบบเปิดให้ผู้ใช้ลงทะเบียนและยอมรับข้อกำหนดการใช้งาน รวมถึงนโยบายคุ้มครองข้อมูลส่วนบุคคลก่อนใช้บริการ
อย่างไรก็ตาม “ไม่นำข้อมูลไปฝึกโมเดล” ไม่ได้แปลว่า “ข้อมูลไม่มีความเสี่ยงทางกฎหมายหรือความเป็นส่วนตัว”
นี่เป็นจุดที่องค์กรต้องแยกให้ออก เพราะเรื่องที่ต้องตรวจสอบยังมีตั้งแต่ข้อมูลถูกเก็บอะไรบ้าง เก็บนานเท่าไร ใครเป็นผู้รับข้อมูล มีการส่งต่อหรือไม่ และผู้ใช้มีสิทธิในการควบคุมข้อมูลอย่างไร ซึ่งเป็นแนวคำถามที่ภาคส่วนด้านคุ้มครองผู้บริโภคก็ชี้ให้เห็นถึงความสำคัญของ DPA, DPIA และระบบตรวจสอบการเข้าถึงข้อมูลในโครงการนี้
ผลกระทบต่อธุรกิจในประเทศไทย: จุดเสี่ยงจริงอยู่ที่ “พนักงาน” ไม่ใช่แค่ตัว AI
สำหรับธุรกิจไทย สิ่งที่อันตรายที่สุดอาจไม่ใช่ AI Pass TH แต่คือการที่องค์กรมี AI ให้ใช้ แต่ไม่มี กติกาก่อนใช้
บริษัทจำนวนมากกำลังเข้าสู่ยุคที่พนักงานใช้ AI ทำงานแทบทุกอย่าง ตั้งแต่เขียนอีเมล สรุปประชุม วิเคราะห์ข้อมูล ทำ Presentation ไปจนถึงเขียน Code ปัญหาคือข้อมูลที่ใช้ในงานจริงมักไม่ใช่ข้อมูลสาธารณะ
ฝ่ายขายมีข้อมูลลูกค้า
HR มีข้อมูลพนักงาน
บัญชีมีข้อมูลเงินเดือนและธุรกรรม
ฝ่ายกฎหมายมีสัญญาและเอกสารข้อพิพาท
IT มี Source Code และ Credential
ดังนั้นคำสั่งง่ายๆ ว่า “ห้ามใส่ข้อมูลส่วนบุคคลลง AI” อาจไม่เพียงพอ เพราะพนักงานอาจไม่รู้ด้วยซ้ำว่า ข้อมูลไหนเป็นข้อมูลส่วนบุคคล ข้อมูลไหนเป็นข้อมูลลับ และข้อมูลไหนองค์กรสามารถนำไปใช้กับระบบภายนอกได้
ยิ่งไปกว่านั้น ในมุม PDPA การนำข้อมูลของลูกค้าหรือพนักงานไปวิเคราะห์ด้วย AI อาจทำให้เกิดคำถามเรื่องวัตถุประสงค์และฐานทางกฎหมายของการประมวลผล หากกิจกรรมดังกล่าวอยู่นอกขอบเขตที่องค์กรแจ้งไว้หรือไม่สอดคล้องกับวัตถุประสงค์เดิม องค์กรต้องกลับมาตรวจสอบกระบวนการประมวลผลอีกครั้ง
อีกเรื่องที่ถูกมองข้ามคือ การส่งข้อมูลไปยังผู้ให้บริการภายนอกหรือผู้ให้บริการในต่างประเทศ เพราะเมื่อ AI ทำงานผ่านหลายโมเดล คำถามไม่ได้มีเพียง “AI ตัวนี้เก็บข้อมูลหรือไม่” แต่ต้องดูว่า “ข้อมูลเดินทางผ่านใครบ้าง”
สำหรับองค์กรใหญ่ ประเด็นนี้เชื่อมต่อไปถึงการจัดทำสัญญากับผู้ประมวลผลข้อมูล การควบคุมผู้ให้บริการภายนอก การรักษาความมั่นคงปลอดภัย และเงื่อนไขเกี่ยวกับการโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ซึ่งล้วนเป็นหัวข้อที่ สคส. เองก็วางไว้เป็นองค์ประกอบสำคัญของการปฏิบัติตาม PDPA
พูดง่าย ๆ คือ พนักงานกด Send แต่ความรับผิดชอบอาจไม่ได้จบอยู่ที่พนักงาน นี่คือเหตุผลว่าทำไมองค์กรไม่ควรแก้ปัญหาด้วยการประกาศเพียงว่า “ห้ามใช้ AI กับข้อมูลสำคัญ”
สิ่งที่ต้องทำคือสร้างระบบที่ทำให้พนักงานรู้ว่า ข้อมูลแบบไหนใช้ได้ ใช้กับ AI ตัวไหนได้ และต้องลบอะไรออกก่อนส่ง นี่ต่างหากคือ AI Governance ที่ใช้งานได้จริง
สิ่งที่องค์กรควรทำต่อ
1. แบ่งข้อมูลก่อนเปิดให้ใช้ AI
อย่างน้อยควรแยกข้อมูลเป็น 4 ระดับ เช่น
Public — ส่ง AI ได้ตามนโยบาย
Internal — ต้องพิจารณาก่อน
Confidential — ห้ามส่งเข้า Public AI
Restricted — ต้องอยู่ภายในระบบที่องค์กรควบคุม
แนวทางนี้สอดคล้องกับข้อเสนอด้าน AI Acceptable Use Policy ที่ข่าวต้นทางแนะนำไว้
2. อย่าสอนพนักงานแค่ “ห้ามส่งข้อมูล”
ต้องสอนให้รู้จัก De-identification เช่น จาก “ช่วยวิเคราะห์ข้อร้องเรียนของ นาย A หมายเลขโทรศัพท์…” เปลี่ยนเป็น “ช่วยวิเคราะห์ข้อร้องเรียนของลูกค้า A” โดยเอาข้อมูลที่ระบุตัวบุคคลได้ออกก่อนส่ง
3. ตรวจว่า AI ตัวนั้นเกี่ยวข้องกับผู้ให้บริการรายใด
ก่อนให้องค์กรใช้ AI ควรถามว่า ข้อมูลถูกเก็บที่ไหน เก็บนานเท่าไร ใครเป็นผู้รับข้อมูล มีการส่งต่อไปยังผู้ให้บริการรายอื่นหรือไม่ มีการใช้ข้อมูลเพื่อวัตถุประสงค์อื่นหรือไม่
4. ตรวจ Privacy Notice และ Terms ก่อนใช้งานจริง
ไม่ควรคิดว่าเงื่อนไขที่อ่านครั้งเดียวจะเหมือนเดิมตลอดไป เพราะผู้ให้บริการ AI สามารถเปลี่ยนแปลงข้อกำหนดและนโยบายได้
5. ให้ Legal, DPO, IT และ Security ทำงานร่วมกัน
AI ไม่ใช่แค่เรื่องของฝ่าย IT
IT ดูระบบ
Security ดูความเสี่ยง
Legal/DPO ดูภาระตามกฎหมาย
Business ดูว่าการใช้ AI สร้างคุณค่าอะไร
ถ้าขาดฝ่ายใดฝ่ายหนึ่ง องค์กรอาจได้ AI ที่ใช้งานเก่ง แต่ไม่มี Governance รองรับ
มุมมองผู้เชี่ยวชาญ
“ประเด็นสำคัญไม่ใช่ AI Pass TH ใช้ได้หรือไม่ได้ครับ แต่คือ บริษัทต้องรู้ก่อนว่า ข้อมูลอะไรของเราที่ห้ามออกจากองค์กร เพราะกด Send ครั้งเดียว อาจไม่ใช่แค่เรื่อง IT แต่อาจกลายเป็นเรื่อง PDPA และความรับผิดชอบขององค์กรได้”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
IT-Guides.com — ข้อควรระวังในการใช้ AI Pass TH ใช้อย่างไรให้ปลอดภัย ข้อมูลอะไรไม่ควรป้อน เผยแพร่ 22 สิงหาคม 2569
อ่านบทความต้นฉบับจาก IT-Guides.com
ศูนย์ต่อต้านข่าวปลอม/ภาครัฐ Gnews 2026 — ข้อมูลโครงการ TH-AI Passport และ FAQ อย่างเป็นทางการ
สภาองค์กรของผู้บริโภค — ประเด็นการคุ้มครองข้อมูลส่วนบุคคลในโครงการ TH-AI Passport และข้อสังเกตเรื่อง DPA/DPIA
สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) — แนวทางด้านฐานการประมวลผล การใช้ผู้ประมวลผลข้อมูล การส่งต่อข้อมูล และการโอนข้อมูลไปต่างประเทศ
