แนวทาง PDPA กับ AI คือเอกสารที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) จัดทำร่วมกับ ETDA ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลในการพัฒนาและใช้ AI ตามที่ฐานเศรษฐกิจและ MLex รายงาน แนวทางนี้ระบุว่า Prompt และผลลัพธ์ของ AI อาจเป็นข้อมูลส่วนบุคคล บทความนี้เหมาะกับ DPO ฝ่ายกฎหมาย และองค์กรที่ใช้ AI กับข้อมูลลูกค้าหรือพนักงาน
ลองนึกภาพพนักงานฝ่ายบริการลูกค้าที่วางรายชื่อ เบอร์โทร และประวัติการร้องเรียนของลูกค้าลงในแชตบอต AI เพื่อให้ช่วยร่างอีเมลตอบกลับ (ตัวอย่างสมมติ) ข้อความที่พิมพ์ลงไปและคำตอบที่ได้มา อาจเป็นข้อมูลส่วนบุคคลทั้งคู่ ตามแนวทางที่ สคส. ออกมา
สรุปสั้น: ตามรายงานของฐานเศรษฐกิจและ MLex สคส. ออกแนวทาง PDPA กับ AI ซึ่งระบุว่า Prompt log embeddings และผลลัพธ์ที่ AI สร้างอาจเป็นข้อมูลส่วนบุคคล ห้ามพึ่งความยินยอมอย่างเดียว และแนะนำทำ DPIA สำหรับโครงการเสี่ยงสูง แนวทางไม่มีผลบังคับตามกฎหมายโดยตรง แต่เป็นสัญญาณว่า สคส. จะมองอะไรเมื่อตรวจสอบ ผู้เขียนยังไม่พบเอกสารต้นฉบับบนเว็บ สคส. ข้อมูลทั้งหมดจึงอ้างตามสื่อ
แนวทาง PDPA กับ AI ของ สคส. คืออะไร เกิดอะไรขึ้น
แนวทาง PDPA กับ AI ของ สคส. คือเอกสารชื่อ “การคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้เทคโนโลยีปัญญาประดิษฐ์” ตามรายงานจัดทำร่วมกับ ETDA ตามมาตรา 16(3) ของ PDPA และครอบคลุมวงจรชีวิต AI ตั้งแต่วางแผน ฝึกโมเดล ใช้งาน จนเลิกใช้ ฐานเศรษฐกิจรายงานเมื่อ 13 ตุลาคม 2569 ส่วน MLex ระบุว่าออกเมื่อ 12 ตุลาคม 2569
ผู้เขียนค้นเอกสารต้นฉบับบนเว็บ สคส. ขณะเขียนยังไม่พบ จึงอ้างเฉพาะสิ่งที่สื่อรายงาน ไม่อ้างเลขข้อของแนวทางเอง สาระที่รายงานตรงกันมี 5 เรื่อง
| ประเด็น | สิ่งที่ตามรายงานระบุ |
|---|---|
| ข้อมูลที่อาจเป็นข้อมูลส่วนบุคคล | Prompt log การใช้งาน embeddings และผลลัพธ์ที่ AI สร้าง ถ้าระบุตัวบุคคลได้ทางตรงหรือทางอ้อม |
| การฝึกโมเดล | ฝึกด้วยข้อมูลส่วนบุคคลไม่ทำให้โมเดลเป็นข้อมูลนิรนามโดยอัตโนมัติ |
| ฐานทางกฎหมาย | ห้ามพึ่งความยินยอมอย่างเดียว ประโยชน์โดยชอบด้วยกฎหมายต้องทำ LIA และใช้กับข้อมูลอ่อนไหวไม่ได้ |
| DPIA | แนะนำทำสำหรับโครงการเสี่ยงสูง เช่น การตัดสินใจอัตโนมัติที่มีผลสำคัญ |
| ภาคผนวก | เช็กลิสต์ 2 ฉบับ ฉบับพัฒนา AI และฉบับใช้ AI |
ตามรายงาน แนวทางยังแยกเรื่องการลบข้อมูล ลบออกจากฐานความรู้ที่ระบบ RAG ดึงมาใช้ ไม่เท่ากับลบออกจากโมเดล และ machine unlearning ยังทำได้ยาก ส่วนสถานะ แนวทางไม่มีผลบังคับตามกฎหมายโดยตรง
แนวทาง PDPA กับ AI กระทบองค์กรไทยอย่างไร
แนวทาง PDPA กับ AI กระทบองค์กรไทยที่ใช้ AI กับข้อมูลลูกค้าหรือพนักงานทันที ในแง่ที่เป็นสัญญาณว่า สคส. จะอ่าน PDPA อย่างไรเมื่อตรวจสอบหรือพิจารณาลงโทษ แม้ไม่ผูกพันเป็นกฎหมาย ส่วนนี้เป็นการวิเคราะห์ของผู้เขียนจากสิ่งที่สื่อรายงาน
องค์กรที่ใช้ ChatGPT หรือ Copilot กับข้อมูลลูกค้าต้องทบทวนอะไร
ต้องทบทวนว่าข้อมูลที่พนักงานพิมพ์ลงไปเป็นข้อมูลส่วนบุคคลหรือไม่ และองค์กรมีฐานทางกฎหมายรองรับหรือไม่ ถ้า Prompt ระบุตัวลูกค้าได้ การใช้เครื่องมือ AI ก็เป็นการประมวลผลข้อมูลส่วนบุคคลที่ต้องมีฐานกฎหมาย เช่น ความยินยอมตามมาตรา 19 หรือประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24(5) ซึ่งตามรายงาน ห้ามพึ่งความยินยอมอย่างเดียว เพราะถอนความยินยอมแล้วกระทบการทำงาน ส่วนข้อมูลอ่อนไหวตามมาตรา 26 ต้องมีเงื่อนไขแยก
ผู้ให้บริการ AI ที่ฝึกโมเดลจากข้อมูลลูกค้าอาจเป็นผู้ควบคุมข้อมูลเองหรือไม่
อาจเป็นได้ และเป็นจุดที่คนมองข้ามมากที่สุด ถ้าผู้ให้บริการใช้ข้อมูลของลูกค้าไปฝึกโมเดลของตนเอง เขาอาจเปลี่ยนจากผู้ประมวลผลมาเป็นผู้ควบคุมข้อมูลในส่วนนั้น ซึ่งเปลี่ยนความรับผิดทั้งห่วงโซ่
นี่เป็นข้อวิเคราะห์ของผู้เขียน ไม่ใช่ข้อความที่ สคส. ยืนยันเป็นการเฉพาะ
หลักว่าสัญญาไหนต้องมีข้อตกลงประมวลผลข้อมูล (DPA) อธิบายไว้ใน ทำสัญญาแล้วมีข้อมูลส่วนบุคคลเกี่ยวข้อง ต้องทำข้อตกลงประมวลผลข้อมูล (DPA) เมื่อไร
ฝ่ายกฎหมายและ DPO ต้องแก้สัญญาตรงไหน
ต้องเพิ่มข้อกำหนดห้ามนำข้อมูลไปฝึกโมเดล และข้อกำหนดการลบข้อมูล สัญญาส่วนใหญ่เขียนเรื่องลบข้อมูลจากระบบ แต่ยังไม่เขียนว่าถ้าข้อมูลอยู่ในโมเดลแล้วจะทำอย่างไร เมื่อ machine unlearning ยังทำได้ยาก สัญญาควรกำหนดทางเลือก เช่น ห้ามใช้ข้อมูลฝึกตั้งแต่ต้น และแจ้งก่อนเปลี่ยนนโยบาย
คนทั่วไปได้รับผลอย่างไร
เจ้าของข้อมูลมีสิทธิตามกรอบ PDPA เดิม คำขอลบข้อมูลที่ส่งถึงองค์กรที่ใช้ AI อาจซับซ้อนขึ้นเมื่อข้อมูลอยู่ในฐานความรู้หรือ log ของระบบ ประเด็นเรื่องข้อมูลที่ agent จำไว้ดูเพิ่มได้ใน AI Agent จำข้อมูลเก่งเกินไป เสี่ยง PDPA? CNIL เตือนธุรกิจไทย และบทบาท DPO กับ AI ดูใน AI Agent จัดการ PDPA ไทย: จุดเปลี่ยน DPO ที่ธุรกิจต้องจับตา ก่อนเกม Compliance เปลี่ยน
ถ้าไม่ทบทวนการใช้ AI ตามแนวทาง PDPA กับ AI จะเสี่ยงอะไร
ถ้าไม่ทบทวน องค์กรเสี่ยงถูกตั้งคำถามจาก สคส. เรื่องฐานกฎหมายและมาตรการคุ้มครองข้อมูลที่ใช้กับ AI แม้แนวทางไม่ผูกพัน แต่เป็นสิ่งที่ สคส. อาจใช้ตีความ PDPA ในการตรวจสอบ ผลคือต้องอธิบายย้อนหลังโดยไม่มีเอกสารรองรับ ภาพรวมว่าธุรกิจไทยควรเตรียมอะไรก่อนมีกฎหมาย AI ดูได้ใน ไทยยังไม่มีกฎหมาย AI แต่ AI Governance มาแล้ว: ธุรกิจที่รอเสี่ยงอะไร
เสี่ยงอีกเรื่องคือสัญญาผู้ให้บริการ AI ที่เงียบเรื่องการฝึกโมเดล ถ้าข้อมูลลูกค้าถูกนำไปฝึกโดยไม่มีข้อตกลง องค์กรอาจต้องรับผิดชอบต่อเจ้าของข้อมูลโดยแก้ไขอะไรไม่ได้แล้ว
DPO และฝ่ายกฎหมายควรทำอะไรตอนนี้
DPO และฝ่ายกฎหมายควรทำ 5 เรื่อง เพื่อแปลงแนวทาง PDPA กับ AI เป็นการทำงานจริงในองค์กร
- 1. ทำทะเบียนระบบ AI ที่แตะข้อมูลส่วนบุคคล ระบุว่าใช้เครื่องมืออะไร กับข้อมูลกลุ่มใด และใครเป็นเจ้าของ
- 2. ตรวจบทบาทผู้ควบคุมและผู้ประมวลผลในสัญญาผู้ให้บริการ AI ดูว่าผู้ให้บริการใช้ข้อมูลของเราฝึกโมเดลของเขาหรือไม่
- 3. เขียนข้อกำหนดห้ามนำข้อมูลไปฝึกโมเดล รวมถึงการลบข้อมูลและการแจ้งก่อนเปลี่ยนนโยบาย
- 4. เตรียม DPIA และ LIA ทำสำหรับโครงการเสี่ยงสูง เช่น การตัดสินใจอัตโนมัติ และกำหนดให้คนตรวจมีอำนาจกลับผลได้จริง
- 5. ปรับกระบวนการตอบคำขอลบข้อมูล ให้ครอบคลุม log ฐานความรู้ และบันทึกการทำงานของ AI agent
ถ้าต้องการคนช่วยวางชุดเอกสารนี้ ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ แนวทางที่ไม่มีผลบังคับ มักถูกใช้เป็นไม้บรรทัดตอนตรวจจริง ถ้า Prompt ของพนักงานคือข้อมูลส่วนบุคคล ปุ่ม Enter ทุกครั้งก็คือการประมวลผลข้อมูล จุดที่องค์กรมักพลาดคือซื้อเครื่องมือ AI โดยไม่ถามว่าผู้ให้บริการเอาข้อมูลไปฝึกโมเดลของเขาไหม ควรไล่สัญญาเรื่องนี้ก่อนไล่เรื่องอื่น
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับแนวทาง PDPA กับ AI
Prompt ที่พิมพ์ลงในแชตบอต AI เป็นข้อมูลส่วนบุคคลหรือไม่
อาจเป็น ตามที่สื่อรายงานว่าแนวทางของ สคส. ระบุ Prompt log embeddings และผลลัพธ์ที่ AI สร้าง อาจเป็นข้อมูลส่วนบุคคล ถ้าระบุตัวบุคคลได้ทางตรงหรือทางอ้อม
แนวทาง PDPA กับ AI ของ สคส. มีผลบังคับตามกฎหมายหรือไม่
ตามรายงาน ไม่มีผลบังคับตามกฎหมายโดยตรง แต่เป็นเอกสารของ สคส. เอง และเป็นสัญญาณว่า สคส. จะมองอะไรเมื่อองค์กรใช้ AI ผู้เขียนยังไม่พบเอกสารต้นฉบับบนเว็บ สคส. จึงควรตรวจกับต้นฉบับก่อนอ้างเป็นทางการ
องค์กรควรใช้ความยินยอมเป็นฐานกฎหมายเดียวสำหรับ AI หรือไม่
ไม่ควร ตามรายงานแนวทางระบุให้ห้ามพึ่งความยินยอมอย่างเดียว เพราะถอนความยินยอมแล้วกระทบการทำงานของระบบ ส่วนประโยชน์โดยชอบด้วยกฎหมายต้องทำ LIA และใช้กับข้อมูลอ่อนไหวไม่ได้
ลบข้อมูลออกจากฐานความรู้ RAG เท่ากับลบออกจากโมเดลหรือไม่
ไม่เท่ากัน ตามรายงาน การลบออกจากฐานความรู้ที่ RAG ดึงมาใช้ ไม่ได้ลบข้อมูลออกจากโมเดล และ machine unlearning ยังทำได้ยาก สัญญากับผู้ให้บริการจึงควรกำหนดเรื่องนี้ไว้ตั้งแต่ต้น
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- คู่มือ: กำหนดระยะเก็บและลบทำลายข้อมูลส่วนบุคคลอย่างไรให้ถูกต้องตาม PDPA? — ขั้นตอนกำหนดระยะเก็บและลบข้อมูล ใช้ต่อยอดเรื่องคำขอลบข้อมูลที่ข้อมูลอยู่ใน log และฐานความรู้ของ AI (aipdpa.com)
- กฎหมาย AI ไทยและร่างแก้ PDPA ยังไม่ออก แต่เตรียมอะไรได้แล้ว — สรุปสิ่งที่องค์กรเตรียมได้ระหว่างที่กฎหมาย AI ไทยและร่างแก้ PDPA ยังไม่ออก (aipdpa.com)
แหล่งอ้างอิง
- ฐานเศรษฐกิจ — (อ่านต้นฉบับ) — อ่านข่าวที่ฐานเศรษฐกิจ
- MLex — (อ่านต้นฉบับ) — อ่านข่าวที่ MLex
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
