Google Spirit AI คือดีลที่ Google ตกลงจ่าย 10 ล้านดอลลาร์ให้ Spirit Airlines สายการบินสหรัฐที่ล้มละลายแล้ว เพื่อนำอีเมลราว 100 ล้านฉบับ แชตภายใน และข้อมูลพนักงานไปฝึกโมเดล AI บทความนี้เหมาะกับผู้บริหาร ฝ่ายกฎหมาย และ DPO ของบริษัทไทยที่คิดขายหรือให้ license ข้อมูลภายใน อ่านแล้วจะรู้ว่าต้องเช็กอะไรก่อนเซ็น
ลองนึกภาพบริษัทไทยขนาดกลางที่กำลังปิดกิจการ (ตัวอย่างสมมติ) แล้วมีผู้พัฒนา AI มาขอซื้อกล่องอีเมลของบริษัททั้งหมด ฟังดูเหมือนขายทรัพย์สินเก่า แต่ในอีเมลเหล่านั้นมีเงินเดือน ใบลาป่วย และเรื่องส่วนตัวของพนักงานปนอยู่ ดีล Google Spirit AI กำลังถูกตั้งคำถามด้วยเหตุผลนี้
สรุปสั้น: Google ตกลงจ่าย 10 ล้านดอลลาร์ให้ Spirit Airlines เพื่อนำอีเมลราว 100 ล้านฉบับ ข้อความ Teams ราว 500 ล้านข้อความ และข้อมูลพนักงานไปฝึก AI สมาชิกสภาคองเกรส 121 คนส่งจดหมายเรียกร้องให้ระงับ แต่จดหมายไม่ใช่กฎหมาย ในไทย ข้อมูลที่แค่ลบชื่อออกยังอาจเป็นข้อมูลส่วนบุคคลตาม PDPA บริษัทจึงต้องพิสูจน์ว่าทำให้ไม่ระบุตัวตนได้จริงก่อนขาย
Google Spirit AI คืออะไร และสภาคองเกรสเรียกร้องอะไร
Google Spirit AI คือข้อตกลงที่ Google จ่าย 10 ล้านดอลลาร์ให้ Spirit Airlines เพื่อนำข้อมูลภายในไปฝึกโมเดล AI ข้อมูลที่อยู่ในดีลได้แก่ อีเมลราว 100 ล้านฉบับ ข้อความ Microsoft Teams ราว 500 ล้านข้อความ สัญญาจ้าง บันทึกเวลาทำงาน เงินเดือน และข้อมูลภาษีของพนักงาน
สมาชิกสภาคองเกรส 121 คน นำโดย Rep. Steven Horsford และ Sen. Elizabeth Warren ส่งจดหมายถึง CEO ของทั้งสองบริษัทให้ระงับดีล จดหมายชี้ว่าการลบชื่อ อีเมล หรือตัวระบุโดยตรง ไม่ได้ทำให้ชุดข้อมูลนิรนามเสมอไป จดหมายฉบับนี้เป็นการเรียกร้องทางการเมือง ไม่ใช่กฎหมายหรือคำสั่งที่บังคับให้ระงับดีล
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้ซื้อ / ผู้ขาย | Google / Spirit Airlines (ล้มละลายแล้ว) |
| มูลค่าดีล | 10 ล้านดอลลาร์ |
| ข้อมูลที่อยู่ในดีล | อีเมลราว 100 ล้านฉบับ ข้อความ Teams ราว 500 ล้านข้อความ ข้อมูลพนักงาน |
| ผู้คัดค้าน | สมาชิกสภาคองเกรส 121 คน (จดหมายเรียกร้อง) |
| ท่าทีของ Google | ไม่ได้ต้องการข้อมูลส่วนบุคคล ให้บุคคลที่สามอิสระคัดออกก่อนส่งมอบ |
ถ้าดีลยังเดินต่อ จดหมายเรียกร้องให้ทำกระบวนการทำให้ไม่ระบุตัวตนที่ฟังเสียงอดีตพนักงาน ตัดข้อมูลพนักงานออกให้มากที่สุด จำกัดการใช้ และให้มีผู้ตรวจอิสระด้านความลับของพนักงาน ส่วน Google ยืนยันว่าข้อมูลจะถูกคัดออกหรือทำให้ไม่ระบุตัวตนโดยบุคคลที่สามอิสระก่อนส่งมอบ
Google Spirit AI กระทบธุรกิจไทยอย่างไร
Google Spirit AI กระทบธุรกิจไทยในฐานะสัญญาณว่า “ข้อมูลองค์กร” กำลังกลายเป็นสินค้าที่ขายให้ผู้พัฒนา AI ได้ แต่ข้อมูลพนักงานที่ฝังอยู่ในอีเมลทำให้คำว่า “ลบชื่อแล้ว” ป้องกันความเสี่ยงไม่ได้ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
อีเมลบริษัทที่ลบชื่อแล้ว ยังเป็นข้อมูลส่วนบุคคลตาม PDPA ไหม
อาจยังเป็น พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ไม่บังคับกับข้อมูลที่ทำให้ไม่สามารถระบุตัวตนได้จริง แต่ข้อมูลแฝงตัวตนยังเป็นข้อมูลส่วนบุคคล อีเมลที่ลบชื่อแล้วยังมีตำแหน่งงาน ลายเซ็น เนื้อหาเฉพาะเรื่อง ซึ่งประกอบกันแล้วรู้ได้ว่าเป็นใคร กรณีใกล้เคียงในยุโรปอ่านได้ใน อิตาลีปรับ IQVIA 7 ล้านยูโร ข้อมูลคนไข้ 1 ล้านราย “ไม่ใช่ข้อมูลนิรนาม” แม้ใช้รหัสแทนตัวตน ข้อมูลสุขภาพที่ลบชื่อแล้วในไทยยังอยู่ใต้ PDPA หรือไม่
ขายข้อมูลพนักงานตอนล้มละลายหรือควบรวมกิจการ ต้องมีฐานทางกฎหมายใหม่ไหม
ต้องมี การเก็บข้อมูลพนักงานไว้เพื่อบริหารงานบุคคล เป็นคนละวัตถุประสงค์กับการขายให้ผู้อื่นฝึก AI ตามหลักมาตรา 21 ของ PDPA ที่ให้ใช้ข้อมูลตามวัตถุประสงค์ที่แจ้งไว้ ถ้าจะใช้เพื่อวัตถุประสงค์ใหม่ต้องมีฐานทางกฎหมายรองรับ
ในอีเมลพนักงานมักมีข้อมูลสุขภาพ เช่น ใบรับรองแพทย์ หรือข้อมูลสหภาพแรงงาน ซึ่งเป็นข้อมูลอ่อนไหวตามมาตรา 26 ที่มีเงื่อนไขเข้มกว่าข้อมูลทั่วไป
ผู้ซื้อกิจการ (M&A) ควรใส่อะไรในสัญญาเรื่องข้อมูล
ควรใส่ข้อรับรองว่าข้อมูลที่ได้มาเก็บและใช้อย่างชอบด้วยกฎหมาย มีรายการชุดข้อมูลชัดเจน และกำหนดว่าห้ามนำไปขายหรือให้ license เพื่อฝึก AI โดยไม่ผ่านการประเมิน ผู้ขายควรมีเอกสารประเมินความเสี่ยงการระบุตัวตนซ้ำแนบไว้ด้วย
ถ้าบริษัทไทยขายข้อมูลแบบ Google Spirit AI โดยไม่เตรียม จะเสี่ยงอะไร
ถ้าไม่เตรียม บริษัทเสี่ยง 3 เรื่อง อย่างแรก ถูกอดีตพนักงานร้องเรียนต่อ สคส. ว่าใช้ข้อมูลผิดวัตถุประสงค์ อย่างที่สอง ข้อมูลอ่อนไหวที่ปนอยู่ในอีเมลทำให้ความผิดหนักขึ้น อย่างที่สาม ผู้ซื้ออาจเรียกค่าเสียหายตามสัญญา ถ้าภายหลังพบว่าข้อมูลที่ขายไม่ได้ไม่ระบุตัวตนจริง
เรื่องนี้ไม่ไกลตัว เพราะบริษัทไทยหลายแห่งกำลังถูกผู้พัฒนา AI ติดต่อขอข้อมูล การชั่งน้ำหนักระหว่างสิทธิของผู้พัฒนาโมเดลกับเจ้าของข้อมูลในประเทศอื่นดูได้ใน เกาหลีใต้เปิดทางให้ AI ใช้ข้อมูลไม่ต้องขอ Consent ไทยเสี่ยงแค่ไหน
บริษัทไทยที่คิดขายหรือให้ license ข้อมูลภายในควรทำอะไร
บริษัทไทยควรทำ 4 เรื่องก่อนเซ็นดีลขายหรือให้ license ข้อมูลภายในแก่ผู้พัฒนา AI
- 1. ทำรายการชุดข้อมูลที่จะขาย แยกว่ามีอีเมล แชต เอกสาร HR หรือข้อมูลลูกค้าปนอยู่เท่าไร
- 2. ประเมินความเสี่ยงการระบุตัวตนซ้ำ ทำเป็นเอกสาร ให้ผู้ประเมินอิสระทดสอบว่าข้อมูลประกอบกันแล้วรู้ตัวคนได้หรือไม่
- 3. คัดข้อมูลอ่อนไหวออก ตัดข้อมูลสุขภาพ สหภาพแรงงาน และข้อมูลพนักงานออกให้มากที่สุดก่อนส่งมอบ
- 4. ใส่ข้อรับรองและข้อจำกัดในสัญญา กำหนดขอบเขตการใช้ สิทธิตรวจสอบ และความรับผิดถ้าพบข้อมูลส่วนบุคคลภายหลัง
ถ้าต้องการคนช่วยทำ checklist due diligence ด้าน PDPA ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru หรือติดตามประเด็นข้อมูลส่วนบุคคลต่อได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ ดีลนี้ทำให้เห็นว่าคลังอีเมลเก่ามีราคาในตลาด AI แล้ว แต่ราคานั้นมาพร้อมข้อมูลของคนที่ไม่ได้เป็นคู่สัญญา คำว่า “ลบชื่อแล้ว” ไม่ใช่หลักฐาน หลักฐานคือเอกสารที่พิสูจน์ว่าย้อนกลับไปหาตัวคนไม่ได้ จุดที่บริษัทมักพลาดคือมองข้อมูลเป็นทรัพย์สินของบริษัทล้วน ๆ ควรเช็กก่อนว่าในนั้นมีชีวิตของพนักงานกี่คนปนอยู่
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Google Spirit AI
Google ซื้อข้อมูลอะไรจาก Spirit Airlines
ตามรายงาน ดีลมูลค่า 10 ล้านดอลลาร์ครอบคลุมอีเมลราว 100 ล้านฉบับ ข้อความ Microsoft Teams ราว 500 ล้านข้อความ สัญญาจ้าง บันทึกเวลาทำงาน เงินเดือน และข้อมูลภาษีของพนักงาน เพื่อใช้ฝึกโมเดล AI
จดหมายของสมาชิกสภาคองเกรสบังคับให้ยกเลิกดีลได้ไหม
ไม่ได้ จดหมายของสมาชิกสภาคองเกรส 121 คนเป็นการเรียกร้อง ไม่ใช่กฎหมายหรือคำสั่ง Google ยืนยันว่าไม่ได้ต้องการข้อมูลส่วนบุคคล และจะให้บุคคลที่สามอิสระคัดออกหรือทำให้ไม่ระบุตัวตนก่อนส่งมอบ
ข้อมูลที่ทำให้ไม่ระบุตัวตนแล้ว PDPA ยังใช้บังคับไหม
ถ้าทำให้ไม่สามารถระบุตัวตนได้จริง PDPA ไม่ใช้บังคับ แต่ข้อมูลแฝงตัวตนที่ยังจับคู่กลับได้ยังเป็นข้อมูลส่วนบุคคล บริษัทจึงต้องมีเอกสารประเมินความเสี่ยงการระบุตัวตนซ้ำ
บริษัทไทยขายข้อมูลพนักงานให้ผู้พัฒนา AI ได้หรือไม่
ทำได้ยาก เพราะการขายเพื่อฝึก AI เป็นวัตถุประสงค์ใหม่ที่ต้องมีฐานทางกฎหมายรองรับ และถ้ามีข้อมูลอ่อนไหวปนอยู่ต้องเข้าเงื่อนไขมาตรา 26 ทางที่ปลอดภัยกว่าคือคัดข้อมูลพนักงานออกก่อน
แหล่งอ้างอิง
- The Record — (อ่านต้นฉบับ) — อ่านข่าวที่ The Record
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
