บทนำ
ETDA เผยแพร่บทความเมื่อวันที่ 22 มิถุนายน 2569 ชวนมองว่า AI ได้เข้าไปมีส่วนในการตัดสินใจในชีวิตประจำวันมากกว่าที่หลายคนรู้ตัว ตั้งแต่การยืนยันตัวตนด้วยใบหน้า ระบบแนะนำสินค้าและคอนเทนต์ ไปจนถึงบริการทางการเงินและการทำงาน.
สำหรับภาคธุรกิจ ประเด็นนี้ควรถูกอ่านให้ไกลกว่าเรื่อง AI Literacy เพราะเมื่อ AI ไม่ได้แค่ “ประมวลผลข้อมูล” แต่เริ่มช่วย คัดเลือก จัดอันดับ ประเมิน ปฏิเสธ หรือกำหนดเงื่อนไขให้กับบุคคล คำถามด้าน PDPA ก็ต้องขยับจาก “มี Consent หรือยัง” ไปสู่ “ใครกำลังตัดสินใจ และมนุษย์ยังควบคุมคำตัดสินนั้นจริงหรือไม่”
AI ไม่ได้แค่รู้จักเรา แต่กำลังเลือกบางอย่างแทนเรา
ตัวอย่างของ ETDA ทำให้เห็นภาพว่า AI ทำงานอยู่หลายจุดตลอดวัน เช่น การวิเคราะห์ใบหน้าเพื่อยืนยันตัวตน การเลือกเส้นทาง การแนะนำอาหาร การตรวจจับธุรกรรมผิดปกติ การจัดลำดับเนื้อหา และการช่วยทำงาน.
สิ่งที่สำคัญสำหรับองค์กรคือ AI เหล่านี้ไม่ได้มีระดับความเสี่ยงเท่ากัน
ระบบแนะนำภาพยนตร์เรื่องต่อไปกับระบบที่จัดอันดับผู้สมัครงานอาจใช้เทคนิคคล้ายกัน แต่ผลกระทบต่อชีวิตของคนต่างกันมาก เช่นเดียวกับระบบเสนอสินค้าเมื่อเทียบกับระบบที่ให้คะแนนความเสี่ยงเพื่อประกอบการอนุมัติสินเชื่อ
ดังนั้น การถามเพียงว่า “ระบบนี้ใช้ข้อมูลส่วนบุคคลหรือไม่” อาจไม่เพียงพออีกต่อไป
องค์กรควรถามต่อเป็นลำดับว่า:
ข้อมูลอะไรเข้า AI → AI วิเคราะห์หรือสร้าง profile อะไร → output ถูกส่งให้ใคร → output นั้นมีน้ำหนักต่อการตัดสินใจเพียงใด → ผลลัพธ์กระทบสิทธิหรือโอกาสของบุคคลหรือไม่ → ใครสามารถทบทวนหรือเปลี่ยนผลของ AI ได้
แนวทางด้าน AI และ PDPA ที่อยู่ระหว่างการพัฒนาในไทยให้ความสำคัญกับการประเมินความเสี่ยงของระบบ AI โดยเฉพาะกรณีที่การตัดสินใจอัตโนมัติอาจสร้างผลทางกฎหมายหรือผลกระทบสำคัญต่อบุคคล รวมทั้งกล่าวถึง human oversight ในบริบทอย่าง credit scoring, recruitment และ performance evaluation.
อย่างไรก็ตาม องค์กรควรระวังการสื่อสารว่า PDPA ไทยมี “สิทธิไม่ถูก AI ตัดสิน” เหมือน GDPR แบบตรงตัว ขณะนี้เรื่อง human review ควรถูกมองอย่างน้อยในฐานะ กลไกสำคัญของการบริหารความเสี่ยง ความเป็นธรรม และ accountability โดยเฉพาะระบบที่มีผลกระทบสูง
จาก Consent Management สู่ Decision Governance
หลายองค์กรเริ่มต้น PDPA ด้วยการตรวจ Privacy Notice, Consent Form, Cookie Banner, ROPA หรือสัญญากับผู้ประมวลผลข้อมูล ซึ่งทั้งหมดนี้ยังจำเป็น
แต่ AI เพิ่มคำถามอีกชั้นหนึ่ง นั่นคือ องค์กรกำลังมอบ “อำนาจในการตัดสินใจ” ให้ระบบมากเพียงใด
วิธีมองที่ง่ายที่สุดคือแบ่ง AI ออกเป็น 3 ระดับ
ระดับ 1 — AI แนะนำ (Recommend)
AI ให้ข้อมูลหรือข้อเสนอ แต่คนเป็นผู้เลือกเอง เช่น ระบบแนะนำสินค้า
ระดับ 2 — AI ช่วยตัดสินใจ (Assist)
AI ให้คะแนนหรือจัดอันดับ และมนุษย์นำผลไปประกอบการตัดสิน เช่น AI ช่วย shortlist ผู้สมัคร
ระดับ 3 — AI ตัดสินใจอัตโนมัติ (Decide)
ระบบสร้างผลลัพธ์และนำไปใช้กับบุคคลโดยแทบไม่มีการพิจารณาของมนุษย์ เช่น ระบบปฏิเสธรายการหรือคัดบุคคลออกโดยอัตโนมัติ
ยิ่งระบบขยับจากระดับ 1 ไปสู่ระดับ 3 คำถามด้านกฎหมาย การกำกับดูแล ความเป็นธรรม และความสามารถในการตรวจสอบควรเข้มขึ้นตามไปด้วย
“ความเสี่ยงของ AI ไม่ได้วัดจากว่าโมเดลฉลาดแค่ไหน แต่วัดจากว่าองค์กรอนุญาตให้คำตอบของโมเดลมีอำนาจเหนือชีวิตคนมากแค่ไหน”
ผลกระทบต่อธุรกิจในประเทศไทย
สำหรับธุรกิจไทย จุดเปลี่ยนสำคัญคือ PDPA และ AI Governance กำลังเริ่มซ้อนทับกันในระดับ “กระบวนการตัดสินใจ” ไม่ใช่แค่ระดับฐานข้อมูล
ลองนึกถึงฝ่าย HR ที่ซื้อระบบคัดกรองใบสมัครจาก vendor ภายนอก หากระบบให้คะแนนผู้สมัครและ HR เพียงกดรับผลตามอันดับโดยไม่เข้าใจเกณฑ์ การเขียนใน Privacy Notice ว่าองค์กรประมวลผลข้อมูลเพื่อการสรรหาบุคลากรอาจยังไม่ตอบคำถามว่าผู้สมัครถูกประเมินอย่างไร ข้อมูลใดมีน้ำหนัก และหากระบบผิดพลาดใครเป็นผู้แก้ไข
ในธุรกิจการเงิน ปัญหาจะยิ่งชัดเมื่อ AI วิเคราะห์พฤติกรรมหรือข้อมูลหลายแหล่งเพื่อสร้าง risk score เพราะผลลัพธ์อาจมีส่วนต่อการอนุมัติ การปฏิเสธ หรือเงื่อนไขที่ลูกค้าได้รับ แนวทางที่เผยแพร่เกี่ยวกับร่าง AI Guidelines ของไทยจึงให้ความสำคัญกับ explainability, fairness, DPIA และ human oversight สำหรับกรณีที่มีผลกระทบสูง.
ธุรกิจประกันก็เผชิญคำถามคล้ายกัน หาก AI ประเมินความเสี่ยงจากประวัติสุขภาพ พฤติกรรม หรือข้อมูลอื่น การตรวจฐานกฎหมายของข้อมูลเป็นเพียงจุดเริ่มต้น องค์กรยังต้องเข้าใจว่าข้อมูลชนิดใดถูกนำไปกำหนดคะแนนและผลลัพธ์นั้นถูกใช้จริงอย่างไร
ส่วน e-Commerce และ personalization ความเสี่ยงอาจดูเบากว่า แต่ก็ไม่ควรมองข้าม เพราะ ETDA อ้างถึงกรณีที่ข้อมูลพฤติกรรมและตำแหน่งอาจสัมพันธ์กับข้อเสนอหรือราคาที่แตกต่างกันระหว่างผู้บริโภค ซึ่งทำให้ประเด็น AI เชื่อมต่อกับความโปร่งใสและความเป็นธรรมต่อผู้บริโภคด้วย.
สำหรับนายจ้าง ความเสี่ยงไม่ได้อยู่เฉพาะตอนรับคนเข้าทำงาน หาก AI ถูกใช้วิเคราะห์ productivity, attendance, sales performance หรือพฤติกรรมพนักงานแล้วคะแนนนั้นกลายเป็นเหตุผลสำคัญในการเลื่อนตำแหน่ง ลดโบนัส หรือดำเนินการทางวินัย ประเด็นจะไม่ใช่ PDPA เพียงด้านเดียว แต่อาจเชื่อมต่อไปยังความสัมพันธ์ในการจ้าง ความเป็นธรรม และความสามารถของนายจ้างในการอธิบายเหตุผลของการตัดสินใจ
ที่สำคัญ การซื้อ AI จาก vendor ไม่ได้ทำให้ความเสี่ยงหายไป องค์กรต้องรู้ว่า vendor ประมวลผลข้อมูลที่ใด ใช้ข้อมูลลูกค้าเพื่อปรับปรุงโมเดลหรือไม่ เก็บ log นานเพียงใด และองค์กรสามารถตรวจสอบย้อนหลังได้หรือไม่ แนวทางที่เผยแพร่เกี่ยวกับร่าง AI-PDPA ยังให้ความสำคัญกับการบันทึกการเปิดเผยข้อมูลแก่ AI provider, vendor due diligence และข้อกำหนดใน Data Processing Agreement.
ด้วยเหตุนี้ AI Inventory แบบเดิมที่มีเพียงชื่อระบบและเจ้าของระบบอาจไม่พอ องค์กรควรมี “AI Decision Register” เพิ่มอีกชั้นหนึ่ง เพื่อบันทึกว่าระบบใดมีส่วนในการตัดสินใจเกี่ยวกับบุคคล ผลกระทบอยู่ระดับใด และใครเป็นผู้รับผิดชอบคำตัดสินสุดท้าย
นี่คือจุดที่ PDPA, AI Governance, Consumer Protection, Employment และการบริหาร vendor เริ่มกลายเป็นเรื่องเดียวกันในเชิงปฏิบัติ
สิ่งที่ควรทำต่อ
- ทำ AI Decision Inventory — สำรวจทุกระบบที่ใช้ AI แล้วแยกว่าเป็นระบบ “แนะนำ / ช่วยตัดสินใจ / ตัดสินใจอัตโนมัติ” อย่าตรวจเฉพาะ Generative AI
- ทำ Data-to-Decision Map — ระบุข้อมูลที่ใช้ วัตถุประสงค์ การ profiling ผลลัพธ์ที่สร้าง และผลลัพธ์นั้นถูกนำไปใช้กับบุคคลอย่างไร
- กำหนด Human Review Trigger — เรื่องที่กระทบสูง เช่น ปฏิเสธสินเชื่อ คัดผู้สมัครออก ประเมินพนักงาน หรือประเมินความเสี่ยง ควรกำหนดชัดว่าเมื่อใดต้องส่งให้คนตรวจ และคนคนนั้นต้องมีอำนาจเปลี่ยนผลของ AI ได้จริง
- ตรวจ DPIA และ Vendor Contract ใหม่ — โดยเฉพาะแหล่งข้อมูล การนำข้อมูลไป train ต่อ การเก็บ log การอธิบายผลลัพธ์ การลบข้อมูล และการตรวจสอบย้อนหลัง
- สร้างช่องทางโต้แย้งที่ใช้งานได้จริง — หากบุคคลได้รับผลเสียจากระบบ ไม่ควรมีเพียงคำตอบว่า “ระบบเป็นผู้ประเมิน” แต่ต้องมีเจ้าของกระบวนการที่ตรวจสอบข้อเท็จจริงและเหตุผลได้
แหล่งอ้างอิง
- สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) — “คุณให้ AI ตัดสินใจแทนกี่ครั้งต่อวัน โดยไม่รู้ตัว? 10 สถานการณ์ในชีวิตประจำวันที่ AI แอบทำงานอยู่เงียบ ๆ”, 22 มิถุนายน 2569
https://www.etda.or.th/th/Useful-Resource/EDC_AI_decide.aspx - Tilleke & Gibbins — Thailand Seeks Feedback on Draft Data Protection Guidelines for AI, 23 February 2026. ใช้ประกอบการตรวจสอบรายละเอียดร่างแนวปฏิบัติ AI-PDPA เรื่อง DPIA, automated decision-making และ human oversight.
- Herbert Smith Freehills Kramer — AI Governance in Thailand: The PDPA isn’t waiting. Neither should you, 3 June 2026. ใช้ประกอบบริบทเรื่อง lawful basis, automated decision-making และ human review ในร่างแนวปฏิบัติ.
- THE STANDARD / KPMG Thailand — “เมื่อ AI กลายเป็นส่วนหนึ่งของการตัดสินใจ กฎหมายและการกำกับดูแลจึงไม่ใช่เรื่องปลายทาง”, 3 กรกฎาคม 2569. ใช้ประกอบการตรวจสอบว่าประเด็น AI Governance และ human-in-the-loop มีการนำเสนอในสื่อไทยแล้ว เพื่อกำหนด unique angle ของบทความนี้.
