Legitimate interest AI คือคำถามที่บริษัทไทยหลายแห่งเจออยู่เงียบ ๆ เช่น ทีมการตลาดอยากเอาแชตลูกค้าย้อนหลังสามปีไปปรับแต่งแชตบอต หรือฝ่ายไอทีอยากให้ AI เรียนรู้จากประวัติการซื้อเพื่อแนะนำสินค้า คำถามคือ ทำได้เลยไหม หรือต้องขอความยินยอมทุกคนก่อน รายงานล่าสุดของหน่วยงานคุ้มครองข้อมูลไอร์แลนด์ให้คำตอบที่บริษัทไทยเอาไปใช้ได้ทันที
สรุปสั้น: Data Protection Commission (DPC) ของไอร์แลนด์ออก AI Insights Report สรุปการกำกับผลิตภัณฑ์และบริการ AI ราว 180 รายการในช่วงปี 2564–2568 และชี้ว่าการอ้างประโยชน์โดยชอบด้วยกฎหมาย (legitimate interest) เป็นฐานในการฝึก AI คือจุดเสี่ยงหลัก เพราะ PDPA มาตรา 24(5) ยกหลักมาจาก GDPR มาตรา 6(1)(f) บริษัทไทยที่ฝึก AI ด้วยข้อมูลลูกค้าควรทำเอกสารประเมิน LIA ให้หนักแน่นตั้งแต่ตอนนี้
DPC AI Insights Report คืออะไร เกิดอะไรขึ้น
DPC AI Insights Report คือรายงานที่หน่วยงานคุ้มครองข้อมูลส่วนบุคคลของไอร์แลนด์สรุปประสบการณ์การกำกับดูแลระบบ AI ของบริษัทเทคโนโลยี เผยแพร่เมื่อวันที่ 25 กันยายน 2569 ครอบคลุมงานกำกับช่วงปี 2564–2568 ราว 180 ผลิตภัณฑ์และบริการ
DPC ระบุว่าได้ตรวจเอกสารประเมินความเสี่ยงจำนวนหลายพันหน้าจากบริษัทอย่าง Apple, Google, Meta, Microsoft, OpenAI, TikTok, X และ DeepSeek เทคโนโลยีที่ตรวจมีทั้งโมเดลภาษาขนาดใหญ่ (LLM) ระบบยืนยันอายุ ระบบจดจำใบหน้า ระบบแนะนำเนื้อหา และ AI agent
ข้อกังวลหลักที่ DPC ระบุมี 2 เรื่อง คือการใช้ legitimate interest เป็นฐานในการฝึก AI และความโปร่งใสของการประมวลผล กรณีส่วนใหญ่จบลงด้วยคำแนะนำให้บริษัทปรับแก้ แต่ DPC ย้ำว่าพร้อมใช้มาตรการเร่งด่วนถ้าจำเป็น
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| ผู้ออกรายงาน | Data Protection Commission (ไอร์แลนด์) |
| วันที่เผยแพร่ | 25 ก.ย. 2569 |
| ช่วงเวลาที่ครอบคลุม | ปี 2564–2568 (5 ปี) |
| จำนวนผลิตภัณฑ์/บริการ AI | ประมาณ 180 รายการ |
| บริษัทที่ถูกกล่าวถึง | Apple, Google, Meta, Microsoft, OpenAI, TikTok, X, DeepSeek |
| เทคโนโลยีที่ตรวจ | LLM, ยืนยันอายุ, จดจำใบหน้า, ระบบแนะนำเนื้อหา, AI agent |
| ข้อกังวลหลัก | legitimate interest ในการฝึก AI และความโปร่งใส |
| ผลส่วนใหญ่ | คำแนะนำ โดย DPC พร้อมใช้มาตรการเร่งด่วน |
Legitimate interest AI กระทบธุรกิจไทยอย่างไร
Legitimate interest AI กระทบธุรกิจไทยโดยตรง เพราะ PDPA มาตรา 24(5) ใช้หลักเดียวกับ GDPR มาตรา 6(1)(f) เกณฑ์ที่ DPC ใช้ตั้งคำถามกับบริษัทใหญ่ จึงเป็นเกณฑ์ที่ สคส. หรือศาลไทยมีแนวโน้มจะนำมาพิจารณาเช่นกัน ขณะที่ สคส. ยังไม่มีแนวปฏิบัติเฉพาะเรื่องการฝึก AI ส่วนด้านล่างเป็นการวิเคราะห์ของผู้เขียน
บริษัทไทยที่ปรับแต่งโมเดลด้วยข้อมูลลูกค้าต้องระวังอะไร
บริษัทที่นำข้อมูลลูกค้าไปฝึกหรือปรับแต่ง AI (fine-tune) ต้องระวังว่าการอ้าง legitimate interest ไม่ใช่ใบผ่านทางอัตโนมัติ ต้องมีเอกสาร LIA ที่แสดงว่าชั่งน้ำหนักจริง ไม่ใช่แค่เขียนว่า “เพื่อพัฒนาบริการ”
ตัวอย่างสมมติ: ร้านค้าออนไลน์ที่มีลูกค้าหลายแสนราย นำแชตกับลูกค้าย้อนหลังไปปรับแต่งแชตบอตให้ตอบเหมือนแอดมิน ในแชตมีทั้งชื่อ ที่อยู่ เบอร์โทร และบางครั้งมีรูปใบสั่งยาที่ลูกค้าส่งมาถามสินค้า ถ้าร้านไม่ได้แจ้งลูกค้าไว้ก่อน และไม่ได้กรองข้อมูลออก ร้านจะอธิบายได้ยากว่าประโยชน์ของร้านหนักกว่าสิทธิของลูกค้า
จุดที่ต้องระวังเพิ่มคือข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ ซึ่ง PDPA ไม่ให้ใช้ legitimate interest เป็นฐานในการประมวลผล ถ้าชุดข้อมูลที่ใช้ฝึก AI มีข้อมูลประเภทนี้ปนอยู่ ต้องกรองออกหรือหาฐานอื่นที่กฎหมายรองรับ อ่านประเด็น PDPA อื่น ๆ ได้ที่ หมวด PDPA & Privacy
บริษัทที่ใช้ AI agent กับระบบข้อมูลลูกค้าต้องเตรียมอะไร
บริษัทที่ให้ AI agent เข้าถึงระบบ CRM หรือฐานข้อมูลลูกค้าต้องเตรียมเรื่องความโปร่งใส เพราะ DPC ระบุว่า AI agent เป็นหนึ่งในเทคโนโลยีที่ตรวจ และความโปร่งใสของการประมวลผลเป็นข้อกังวลหลักอีกข้อ
พูดง่าย ๆ คือ ลูกค้าควรรู้ว่าข้อมูลของเขาถูก AI อ่านและใช้ตัดสินใจอะไรบ้าง Privacy Notice ที่เขียนกว้าง ๆ ว่า “อาจใช้เทคโนโลยีเพื่อปรับปรุงบริการ” น่าจะไม่พอในสายตาผู้กำกับที่ผ่านเอกสารมาหลายพันหน้า
บริษัทไทยที่มีลูกค้าในยุโรปควรรู้อะไร
บริษัทไทยที่ขายสินค้าหรือบริการให้คนในสหภาพยุโรปควรรู้ว่า GDPR อาจใช้บังคับกับตนได้แม้ไม่มีสาขาในยุโรป แนวของ DPC จึงไม่ใช่แค่ตัวอย่างให้ศึกษา แต่อาจเป็นเกณฑ์ที่ใช้ตรวจบริษัทไทยโดยตรง
ตัวอย่างสมมติ: บริษัทซอฟต์แวร์ไทยที่มีลูกค้าเป็นโรงแรมในยุโรป และนำข้อมูลการใช้งานของผู้ใช้ไปฝึกฟีเจอร์ AI บริษัทนี้ควรทำ LIA ฉบับเดียวที่ผ่านได้ทั้ง PDPA และ GDPR ซึ่งประหยัดกว่าการทำสองฉบับ ติดตามแนวทางกำกับดูแล AI ได้ที่ หมวด AI & Governance
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ทำอะไรเลย บริษัทที่ฝึก AI ด้วยข้อมูลลูกค้าจะไม่มีหลักฐานว่าได้ชั่งน้ำหนักสิทธิของเจ้าของข้อมูลไว้แล้ว เมื่อมีข้อร้องเรียนหรือถูกตรวจ ฐานทางกฎหมายที่อ้างอาจไม่มีน้ำหนัก ผลที่ตามมาคือต้องหยุดใช้ข้อมูลชุดนั้น ต้องฝึกโมเดลใหม่ เสี่ยงโทษปรับทางปกครองตาม PDPA และเสียความเชื่อใจของลูกค้า
บริษัทที่ฝึก AI ด้วยข้อมูลลูกค้าควรทำอะไรตอนนี้
บริษัทที่ฝึกหรือปรับแต่ง AI ด้วยข้อมูลลูกค้าควรเริ่มจากทำ LIA ให้เป็นเอกสารจริง แล้วปรับ Privacy Notice ให้บอกเรื่อง AI ชัดขึ้น เช็กลิสต์นี้ใช้เกณฑ์ที่สอดคล้องกับประเด็นที่ DPC ตั้งคำถาม
- 1. ทำบัญชีว่าข้อมูลลูกค้าชุดไหนถูกใช้ฝึก AI ระบุแหล่งที่มา ประเภทข้อมูล และมีข้อมูลอ่อนไหวปนอยู่หรือไม่
- 2. เขียน LIA สามขั้นสำหรับแต่ละโครงการ AI ตอบให้ได้ว่าวัตถุประสงค์ชอบด้วยกฎหมายไหม จำเป็นต้องใช้ข้อมูลนี้จริงไหม และชั่งน้ำหนักกับสิทธิของลูกค้าแล้วผลเป็นอย่างไร
- 3. กรองหรือแฝงข้อมูลก่อนฝึก ตัดชื่อ เบอร์โทร และข้อมูลสุขภาพออก หรือเปลี่ยนเป็นรหัสแทน เพื่อให้ผลชั่งน้ำหนักเอียงมาทางธุรกิจได้
- 4. ปรับ Privacy Notice ให้พูดถึง AI ตรง ๆ บอกว่าข้อมูลอะไรถูกใช้ฝึก AI เพื่ออะไร และลูกค้าคัดค้านได้อย่างไร
- 5. เปิดช่องทางคัดค้านที่ใช้ได้จริง ให้ลูกค้าขอไม่ให้นำข้อมูลของตนไปฝึก AI ได้ และบันทึกการดำเนินการไว้เป็นหลักฐาน
ถ้าต้องการคนช่วยทำ LIA สำหรับโครงการ AI หรือทบทวน Privacy Notice ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ผมอ่านข่าวนี้แล้วเห็นว่าแม้แต่บริษัทที่มีทีมกฎหมายใหญ่ที่สุดในโลก ก็ยังถูกตั้งคำถามเรื่อง legitimate interest ในการฝึก AI บริษัทไทยที่ยังไม่มี LIA สักหน้าจึงไม่ควรคิดว่าตัวเองรอดเพราะตัวเล็ก legitimate interest ไม่ใช่ทางลัดที่ใช้แทนความยินยอม แต่เป็นทางที่ต้องเดินพร้อมหลักฐาน เท่าที่ผมเห็น ไม่ว่ากฎของยุโรปจะผ่อนหรือเข้มขึ้นในอนาคต ผู้กำกับก็ยังอยากเห็นเอกสารประเมินที่หนักแน่นอยู่ดี เริ่มเขียนตอนนี้ถูกกว่ารอให้มีคนมาถาม
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ legitimate interest AI
Legitimate interest คืออะไร ใช้ฝึก AI ได้ไหม
Legitimate interest คือฐานทางกฎหมายที่ให้ธุรกิจใช้ข้อมูลส่วนบุคคลได้โดยไม่ต้องขอความยินยอม ถ้าประโยชน์ของธุรกิจไม่ด้อยกว่าสิทธิของเจ้าของข้อมูล ใช้ฝึก AI ได้ในบางกรณี แต่ต้องมีเอกสาร LIA ที่ชั่งน้ำหนักจริง และ DPC ชี้ว่าเป็นจุดที่ถูกตั้งคำถามมากที่สุด
PDPA มาตรา 24(5) เกี่ยวกับ GDPR อย่างไร
PDPA มาตรา 24(5) ว่าด้วยการประมวลผลที่จำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมาย ซึ่งใช้หลักเดียวกับ GDPR มาตรา 6(1)(f) แนวคิดที่ผู้กำกับในยุโรปใช้ตีความจึงนำมาใช้เป็นกรอบเตรียมเอกสารในไทยได้ ขณะที่ สคส. ยังไม่มีแนวปฏิบัติเฉพาะเรื่องการฝึก AI
LIA สำหรับการฝึก AI ต้องมีอะไรบ้าง
LIA ควรตอบ 3 ข้อ คือวัตถุประสงค์ชอบด้วยกฎหมายหรือไม่ ข้อมูลที่ใช้จำเป็นจริงหรือไม่ และเมื่อชั่งกับสิทธิและความคาดหมายของเจ้าของข้อมูลแล้วผลเป็นอย่างไร ควรระบุมาตรการลดผลกระทบ เช่น การแฝงข้อมูลและช่องทางคัดค้านด้วย
ข้อมูลสุขภาพใช้ legitimate interest ฝึก AI ได้หรือไม่
ข้อมูลสุขภาพเป็นข้อมูลอ่อนไหวตาม PDPA ซึ่งไม่ใช้ legitimate interest เป็นฐานได้ ต้องอาศัยความยินยอมโดยชัดแจ้งหรือข้อยกเว้นเฉพาะที่กฎหมายกำหนด ทางที่ปลอดภัยคือกรองข้อมูลประเภทนี้ออกก่อนนำไปฝึก AI
แหล่งอ้างอิง
- Data Protection Commission (ไอร์แลนด์) — Data Protection Commission publishes AI Insights Report — อ่านที่เว็บไซต์ Data Protection Commission
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
