Vendor due diligence คือการตรวจสอบผู้ให้บริการภายนอกก่อนให้เขาเข้าถึงข้อมูลขององค์กร คณะกรรมาธิการความเป็นส่วนตัวแคนาดา (OPC) ออกร่างแนวทางเรื่องนี้เมื่อ 10 กันยายน 2569 โดยเน้นให้ตรวจก่อนเซ็นสัญญา และมีคำถามเฉพาะสำหรับผู้ให้บริการ AI บทความนี้เหมาะกับ DPO ฝ่ายจัดซื้อ และฝ่ายไอทีของไทย อ่านแล้วจะได้รายการคำถามที่ใช้ได้ทันที
ลองนึกภาพบริษัทไทย 200 คน (ตัวอย่างสมมติ) ที่เพิ่งซื้อระบบแชตบอต AI จากผู้ให้บริการต่างประเทศ ฝ่ายจัดซื้อเลือกเพราะราคาถูก เซ็นสัญญาตามแบบฟอร์มของผู้ขาย แล้วค่อยมาถาม DPO ทีหลังว่าข้อมูลลูกค้าไปเก็บที่ไหน ร่างของแคนาดาบอกว่าลำดับนี้ผิด เพราะคำถามสำคัญต้องถามตอนที่ยังต่อรองสัญญาได้
สรุปสั้น: OPC แคนาดาออกร่างแนวทางประเมินผู้ให้บริการภายนอกภายใต้ PIPEDA เมื่อ 10 กันยายน 2569 เปิดรับความเห็นถึง 4 ธันวาคม 2569 หลักคือองค์กรยังรับผิดชอบข้อมูลที่ผู้ให้บริการประมวลผลแทน และต้องประเมินก่อนเซ็นสัญญา ผู้ให้บริการ AI ต้องตอบว่าข้อมูลฝึกมาจากไหน ไทยยังไม่มีแนวทางละเอียดแบบนี้ DPO ไทยจึงใช้ร่างนี้เป็นต้นแบบได้
Vendor due diligence ตามร่างของแคนาดาคืออะไร
Vendor due diligence ตามร่างของ OPC คือการประเมินผู้ให้บริการภายนอกก่อนทำสัญญา เพื่อให้ผลประเมินยังใช้กำหนดข้อสัญญา หรือใช้ตัดสินใจไม่จ้างได้ ร่างนี้ออกโดย Philippe Dufresne คณะกรรมาธิการความเป็นส่วนตัวแคนาดา สำหรับธุรกิจที่อยู่ภายใต้ PIPEDA และยังเป็นร่างรับฟังความเห็น ไม่ใช่แนวทางฉบับสุดท้าย
หลักที่ร่างย้ำคือ การจ้างคนอื่นประมวลผลข้อมูลไม่ได้โอนความรับผิดชอบไปด้วย องค์กรยังต้องรับผิดชอบข้อมูลที่ผู้ให้บริการเก็บหรือประมวลผลแทน
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้ออกร่าง | OPC แคนาดา (Philippe Dufresne) |
| วันที่ออกร่าง | 10 ก.ย. 2569 |
| รับความเห็นถึง | 4 ธ.ค. 2569 |
| ใช้กับ | ธุรกิจภายใต้ PIPEDA |
| จุดเน้นใหม่ | ประเมินก่อนเซ็นสัญญา และคำถามเฉพาะผู้ให้บริการ AI |
ขอบเขตการประเมินในร่างครอบคลุมแผนผังการไหลของข้อมูล รวมผู้รับจ้างช่วงและการประมวลผลข้ามประเทศ มาตรการความปลอดภัย ขั้นตอนเมื่อเกิดเหตุรั่ว การเก็บและลบข้อมูล และการติดตามหลังเริ่มใช้งาน
สำหรับผู้ให้บริการ AI ร่างให้ถามว่าข้อมูลฝึกมาจากไหน ได้มาชอบด้วยกฎหมายหรือไม่ และผู้ให้บริการเอาข้อมูลลูกค้าไปใช้เองหรือเปล่า ถ้าผู้ให้บริการอ้างว่าข้อมูล “นิรนามแล้ว” ให้ขอหลักฐานทางเทคนิค และให้วางแผนรับมือ vendor lock-in หรือกรณีผู้ให้บริการเลิกกิจการ
Vendor due diligence กระทบธุรกิจไทยอย่างไร
Vendor due diligence กระทบธุรกิจไทยเพราะ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) วางหน้าที่ผู้ควบคุมข้อมูลไว้ใกล้เคียงกับหลักของแคนาดา แต่ไทยยังไม่มีแนวทางตรวจผู้ให้บริการฉบับละเอียด ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
องค์กรไทยต้องรับผิดชอบข้อมูลที่ผู้ให้บริการประมวลผลแทนไหม
ต้องรับผิดชอบ ผู้ควบคุมข้อมูลมีหน้าที่ตาม PDPA มาตรา 37(2) ที่ต้องป้องกันไม่ให้ผู้รับข้อมูลใช้ข้อมูลผิดวัตถุประสงค์ และมาตรา 40 วางหน้าที่ของผู้ประมวลผลข้อมูลไว้ การจ้างผู้ให้บริการ SaaS หรือ AI จึงไม่ได้ทำให้องค์กรพ้นความรับผิด ตัวอย่างค่าปรับที่มาจากผู้ให้บริการภายนอกดูได้ใน 44 รัฐสหรัฐฯ ปรับ Labcorp $2.3M เพราะ vendor ทำข้อมูลรั่ว บทเรียน Vendor Governance ที่ธุรกิจไทยใช้ได้ทันที
ฝ่ายจัดซื้อไทยควรเปลี่ยนขั้นตอนอะไร
ควรย้ายจุดตรวจด้านข้อมูลมาไว้ก่อนเซ็นสัญญา ไม่ใช่หลังติดตั้งระบบแล้ว แบบประเมินผู้ให้บริการ (vendor questionnaire) ควรเป็นเงื่อนไขก่อนเปิดใบสั่งซื้อ และผล DPO ควรมีสิทธิหยุดการจัดซื้อได้ถ้าคำตอบไม่ผ่าน
หน่วยงานกำกับหลายประเทศกำลังย้ายจุดตรวจจาก “หลังเกิดเหตุ” ไปเป็น “ตอนจัดซื้อ” กรณีโรงพยาบาลที่ใช้ระบบภายนอกดูได้ใน Medyc เวชระเบียนรั่ว โปแลนด์เตรียมบังคับรับรองมาตรฐานผู้ประมวลผลข้อมูลสุขภาพ โรงพยาบาลไทยที่ใช้ HIS ภายนอกต้องระวังอะไร
ผู้ให้บริการ AI ต่างจากผู้ให้บริการ SaaS ทั่วไปอย่างไร
ต่างกันตรงที่ผู้ให้บริการ AI อาจนำข้อมูลของลูกค้าไปฝึกหรือปรับปรุงโมเดลของตัวเอง และข้อมูลฝึกของโมเดลอาจได้มาโดยไม่ชอบ องค์กรไทยจึงต้องถามเพิ่ม 2 เรื่อง คือข้อมูลฝึกมาจากไหน และข้อมูลของเราจะถูกใช้นอกงานที่จ้างหรือไม่ ประเด็นมาตรฐานที่ผู้ขายนำมาใช้อ้างอ่านต่อได้ใน CMiC ได้ ISO 42001: มาตรฐาน AI อาจกลายเป็นด่านคัด Vendor ซอฟต์แวร์ไทย
ถ้าไม่ทำ vendor due diligence จะเสี่ยงอะไร
ถ้าไม่ทำ องค์กรไทยเสี่ยง 3 เรื่อง อย่างแรก เมื่อผู้ให้บริการทำข้อมูลรั่ว องค์กรยังต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตามมาตรา 37(4) แต่ไม่มีข้อมูลพอจะแจ้ง อย่างที่สอง ข้อมูลลูกค้าอาจถูกนำไปฝึก AI โดยองค์กรไม่รู้ อย่างที่สาม ถ้าผู้ให้บริการเลิกกิจการ องค์กรอาจดึงข้อมูลคืนไม่ได้ เพราะไม่มีข้อสัญญารองรับ
DPO และฝ่ายจัดซื้อไทยควรถามผู้ให้บริการ AI อะไรบ้าง
DPO และฝ่ายจัดซื้อไทยควรถาม 5 เรื่องนี้ก่อนเซ็นสัญญา โดยใช้ร่าง vendor due diligence ของแคนาดาเป็นต้นแบบ
- 1. ข้อมูลไหลไปที่ไหนบ้าง ขอแผนผังการไหลของข้อมูล รายชื่อผู้รับจ้างช่วง และประเทศที่ประมวลผล
- 2. ข้อมูลฝึก AI มาจากไหน ถามที่มาของข้อมูลฝึกโมเดล และหลักฐานว่าได้มาชอบด้วยกฎหมาย
- 3. ข้อมูลของเราถูกใช้เองหรือไม่ ให้ระบุในสัญญาว่าผู้ให้บริการใช้ข้อมูลของเราฝึกหรือปรับปรุงโมเดลได้หรือไม่
- 4. ขอหลักฐานเมื่ออ้างว่านิรนาม ถ้าผู้ให้บริการบอกว่าทำข้อมูลให้นิรนามแล้ว ให้ขอคำอธิบายวิธีการทางเทคนิค
- 5. แผนออกและแผนเหตุรั่ว กำหนดเวลาแจ้งเหตุ การลบหรือส่งคืนข้อมูล และแผนรองรับถ้าผู้ให้บริการเลิกกิจการ
ถ้าต้องการคนช่วยทำแบบประเมินผู้ให้บริการภาษาไทย ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ ร่างของแคนาดาย้ายงาน DPO จากห้องรับมือเหตุรั่ว ไปนั่งในห้องจัดซื้อ อำนาจต่อรองขององค์กรสูงที่สุดก่อนเซ็นสัญญา และหายไปเกือบหมดหลังเซ็น จุดที่องค์กรมักพลาดคือใช้แบบฟอร์มสัญญาของผู้ขายโดยไม่ถามเรื่องข้อมูลฝึก AI ควรเช็กคำถามเหล่านี้ให้จบก่อนออกใบสั่งซื้อ
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ vendor due diligence
ร่างแนวทาง OPC แคนาดาใช้บังคับแล้วหรือยัง
ยังไม่ใช้บังคับเป็นฉบับสุดท้าย OPC ออกร่างเมื่อ 10 กันยายน 2569 และเปิดรับความเห็นถึง 4 ธันวาคม 2569 เนื้อหาจึงอาจเปลี่ยนได้หลังรับฟังความเห็น
ทำไมต้องประเมินผู้ให้บริการก่อนเซ็นสัญญา
เพราะผลประเมินจะยังใช้กำหนดข้อสัญญาหรือใช้ตัดสินใจไม่จ้างได้ ถ้าประเมินหลังเซ็น องค์กรแทบไม่มีอำนาจต่อรองให้ผู้ให้บริการแก้ไขอะไร
ไทยมีกฎหมายบังคับให้ตรวจผู้ให้บริการไหม
PDPA วางหน้าที่ผู้ควบคุมข้อมูลไว้ในมาตรา 37(2) และหน้าที่ผู้ประมวลผลในมาตรา 40 แต่ไทยยังไม่มีแนวทาง vendor due diligence ฉบับละเอียดแบบแคนาดา องค์กรไทยจึงใช้ร่างนี้เป็นต้นแบบได้
ถ้าผู้ให้บริการ AI บอกว่าข้อมูลนิรนามแล้ว ควรเชื่อไหม
ร่างของ OPC แนะนำให้ขอหลักฐานทางเทคนิค ไม่ใช่รับคำยืนยันอย่างเดียว เพราะข้อมูลที่แค่ลบชื่อออกอาจยังระบุตัวคนได้
แหล่งอ้างอิง
- Office of the Privacy Commissioner of Canada — (อ่านต้นฉบับ) — อ่านประกาศที่ OPC
- IAPP — (อ่านต้นฉบับ) — อ่านข่าวที่ IAPP
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
