บทนำ
ร่างแก้ไขกฎหมายคุ้มครองข้อมูลส่วนบุคคลของเกาหลีใต้ (Personal Information Protection Act) ผ่านความเห็นชอบจากคณะกรรมาธิการกิจการการเมืองเมื่อ 14 พฤษภาคม และผ่านคณะกรรมาธิการกฤษฎีกาและตุลาการเมื่อ 29 กรกฎาคมที่ผ่านมา เหลือเพียงการลงมติวาระสุดท้ายในสภาผู้แทนราษฎร ซึ่งคาดว่าจะเกิดขึ้นในช่วงกลางเดือนสิงหาคมนี้ — พูดง่ายๆ คือ อาจเกิดขึ้นได้ทุกวันนับจากนี้ ประเด็นนี้สำคัญเพราะเกาหลีใต้กำลังจะกลายเป็นหนึ่งในประเทศแรกๆ ของเอเชียที่วางกรอบทางกฎหมายชัดเจนให้ AI ใช้ข้อมูลส่วนบุคคล “ต้นฉบับ” ที่ยังระบุตัวบุคคลได้ โดยไม่ต้องขอความยินยอมใหม่ ทั้งที่เป็นการใช้เกินวัตถุประสงค์เดิมที่เคยเก็บข้อมูลไว้
ข้อเท็จจริง
หัวใจของร่างกฎหมายนี้ไม่ใช่การ “เปิดเสรี” การใช้ข้อมูล แต่เป็นการสร้างกลไกที่ให้ผู้กำกับดูแลเป็นผู้ตัดสินใจแทนกฎเกณฑ์ตายตัว ตามร่างมาตรา 28-12 ถึง 28-15 ผู้ควบคุมข้อมูลที่เก็บรวบรวมข้อมูลมาโดยชอบด้วยกฎหมายอยู่แล้ว จะสามารถนำข้อมูลนั้นไปใช้พัฒนาและปรับปรุงประสิทธิภาพของ AI ได้ แม้เป็นข้อมูลต้นฉบับที่ยังระบุตัวบุคคลได้และเกินวัตถุประสงค์เดิม แต่ต้องผ่านเงื่อนไขสี่ข้อพร้อมกัน คือ การทำ anonymization หรือ pseudonymization ต้องพิสูจน์ได้ว่า “ไม่เพียงพอ” ต่อวัตถุประสงค์ของโครงการ ต้องมีมาตรการป้องกันความเสี่ยงรองรับ วัตถุประสงค์ต้องเกี่ยวข้องกับประโยชน์สาธารณะหรือประโยชน์ต่อเจ้าของข้อมูล และความเสี่ยงต่อสิทธิของเจ้าของข้อมูลต้อง “ต่ำอย่างมีนัยสำคัญ” ที่สำคัญคือ ทุกกรณีต้องผ่านการอนุมัติเป็นรายคำขอจาก Personal Information Protection Commission (PIPC) ไม่ใช่สิทธิที่ธุรกิจใช้ได้เองโดยอัตโนมัติ
คู่ขนานกับร่างกฎหมายนี้ PIPC ยังออกแนวปฏิบัติสำหรับ Generative AI ที่วางไล่เรียงตลอดวงจรชีวิตของโครงการ ตั้งแต่การกำหนดวัตถุประสงค์ วางกลยุทธ์ พัฒนา ฝึกโมเดล ไปจนถึงการใช้งานจริงและการบริหารจัดการต่อเนื่อง โดยกำหนดให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (CPO) เป็นแกนกลางของโครงสร้างกำกับดูแลทั้งหมด พร้อมขยายขอบเขตไปถึงประเด็นใหม่ที่กฎหมายส่วนใหญ่ในเอเชียยังไม่แตะ เช่น AI agents, machine unlearning, jailbreak และ data contamination
ผลกระทบต่อธุรกิจในประเทศไทย
ประเด็นนี้ไม่ใช่แค่ “ข่าวต่างประเทศที่น่าสนใจ” แต่ชี้ช่องว่างเชิงโครงสร้างของ PDPA ไทยโดยตรง กฎหมายไทยยึดหลัก purpose limitation ตามมาตรา 21 คือห้ามใช้ข้อมูลเกินวัตถุประสงค์ที่แจ้งไว้ตอนเก็บ เว้นแต่จะมีฐานทางกฎหมายรองรับตามมาตรา 24 ซึ่งฐานที่ธุรกิจไทยมักหยิบมาใช้กับโครงการ AI คือ “ประโยชน์โดยชอบด้วยกฎหมาย” (มาตรา 24(5)) แต่ต่างจากเกาหลีใต้ตรงที่ไทยไม่มีกลไกให้ PDPC อนุมัติหรือรับรองเป็นรายกรณีก่อนใช้งาน ธุรกิจต้องประเมินความเสี่ยงและตัดสินใจเองทั้งหมด หากภายหลัง PDPC ตรวจสอบแล้วเห็นว่าการประเมินไม่รัดกุมพอ ความเสี่ยงที่ตามมาคือโทษปกครองสูงสุดถึง 5 ล้านบาท ในการกระทำผิด และหากเกี่ยวข้องกับข้อมูลอ่อนไหวอาจมีโทษทางอาญาเพิ่มเติม อีกมุมที่มักถูกมองข้ามคือความเข้าใจผิดเรื่อง pseudonymization หลายองค์กรเชื่อว่าการลบชื่อ-นามสกุลออกจากชุดข้อมูลเพียงพอต่อการใช้เทรน AI โดยไม่ต้องขอ consent ใหม่ ทั้งที่ในทางเทคนิค ข้อมูลที่ผ่าน pseudonymization ยังถือเป็นข้อมูลส่วนบุคคลตามกฎหมายไทยอยู่ดี โมเดล CPO-centric governance ของเกาหลีใต้จึงเป็นแม่แบบที่ธุรกิจไทยนำมาปรับใช้ล่วงหน้าได้ ก่อนที่ PDPC จะออกแนวปฏิบัติเฉพาะสำหรับ Generative AI ตามมาในอนาคต
สิ่งที่ควรทำต่อ
- ทำ Data Inventory แยกชุดข้อมูลที่จะป้อนหรือใช้เทรน AI ออกจากข้อมูลที่ใช้ในงานปฏิบัติการปกติ พร้อมระบุแหล่งที่มาและวัตถุประสงค์เดิมของแต่ละชุด
- จัดทำ Legitimate Interest Assessment (LIA) เป็นลายลักษณ์อักษรทุกครั้งที่จะใช้ข้อมูลส่วนบุคคลนอกวัตถุประสงค์เดิมเพื่อโครงการ AI อย่าอาศัยดุลยพินิจแบบไม่มีเอกสารรองรับ
- ทบทวนมาตรฐาน anonymization/pseudonymization ที่ใช้จริงในองค์กร ว่าเพียงพอตามหลักเทคนิคหรือยังสามารถระบุตัวบุคคลได้ทางอ้อม
- ดึง DPO หรือ CPO เข้าไปมีส่วนร่วมตั้งแต่ต้นวงจรชีวิตของโครงการ AI ไม่ใช่เข้ามาตรวจสอบตอนใกล้ปล่อยใช้งานจริง
- ติดตามท่าทีของ PDPC และ ETDA อย่างใกล้ชิด เผื่อมีแนวปฏิบัติเฉพาะสำหรับ Generative AI ออกตามมาในลักษณะเดียวกับเกาหลีใต้
ประเด็นที่อ่านแล้วต้องคิดตาม
เกาหลีใต้ไม่ได้ตอบคำถามว่า “AI ใช้ข้อมูลส่วนบุคคลได้หรือไม่” แต่ตอบว่า “ใช้ได้ภายใต้การกำกับของใคร” — และนั่นคือคำถามที่ PDPA ไทยยังไม่มีคำตอบ
ถ้าองค์กรไทยคิดว่าการลบชื่อออกจากฐานข้อมูลเพียงพอสำหรับเทรน AI โดยไม่ต้องขอ consent ใหม่ นั่นอาจเป็นความเข้าใจผิดที่มีราคาแพงที่สุดในปีนี้
มุมมองผู้เชี่ยวชาญ
“ผมมองเรื่องนี้ตรงไปตรงมาครับ — เกาหลีใต้ไม่ได้บอกว่า ‘เอาข้อมูลไปเทรน AI ได้เลยตามสบาย’ เขาบอกว่า ‘เอาไปได้ แต่ต้องผ่านการอนุมัติจาก PIPC ก่อนทุกครั้ง’ นี่คือโมเดลที่ฉลาด เพราะมันสร้างความน่าเชื่อถือให้ทั้งฝั่งธุรกิจและเจ้าของข้อมูลไปพร้อมกัน
จากประสบการณ์ที่ผมทำงานคาบเกี่ยวทั้งสายกฎหมายและสาย Tech มากว่า 20 ปี ผมเจอธุรกิจไทยจำนวนไม่น้อยที่เชื่อว่า ‘ข้อมูลที่ไม่มีชื่อ-นามสกุลแล้ว เท่ากับใช้ได้อย่างอิสระ’ ซึ่งเป็นความเข้าใจผิดที่อันตรายมาก เพราะ PDPA ของเรายังไม่มีช่องทางแบบเกาหลีให้เดินตาม
คำแนะนำของผม คือ อย่ารอให้ PDPC ไทยออกกฎตามหลังเหตุการณ์ เริ่มวาง Governance และดึง DPO เข้าโครงการ AI ตั้งแต่วันแรก เพราะวันที่กฎหมายไล่ตามเทคโนโลยีทัน มักเป็นวันเดียวกับที่ค่าปรับมาถึงหน้าประตูบริษัทพอดี”
— Phuwara Krobtaku —
LL.M., M.S. (IT), Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
- The International Association of Privacy Professionals (IAPP): Trusting the regulator, not the rules: South Korea’s AI data amendment
- Personal Information Protection Commission เกาหลีใต้ (PIPC): ประกาศแนวปฏิบัติการประมวลผลข้อมูลส่วนบุคคลเพื่อพัฒนาและใช้งาน Generative AI
