AI ฟรีกำลังกลายเป็นโจทย์กฎหมาย
TH-AI Pass กำลังเข้าสู่ช่วงสำคัญ ก่อนเปิดให้ใช้งานอย่างเป็นทางการในวันที่ 31 สิงหาคม 2569 หลังเปิดให้ประชาชนลงทะเบียนล่วงหน้าตั้งแต่วันที่ 19 สิงหาคม และมียอดลงทะเบียนมากกว่า 1.13 ล้านราย ณ วันที่ 21 สิงหาคม จากสิทธิ์ที่ตั้งเป้าไว้ 5 ล้านคน
แต่สิ่งที่ธุรกิจไทยควรจับตาอาจไม่ใช่แค่คำถามว่า “ข้อมูลบัตรประชาชนจะรั่วหรือไม่” เพราะกระทรวงดีอีชี้แจงว่า ระบบยืนยันตัวตนไม่ได้ส่งข้อมูลส่วนบุคคลให้เจ้าของโมเดล AI และข้อมูลผู้ใช้กับ Prompt ของโครงการถูกออกแบบให้จัดเก็บและประมวลผลในประเทศไทย
คำถามที่ใหญ่กว่าคือ ใครเป็นคนกำหนดกติกาว่าข้อมูลจะถูกใช้แบบไหน และกติกานั้นอยู่ตรงไหนในสัญญา
นี่คือสิ่งที่องค์กรไทยควรเรียนรู้จาก TH-AI Pass ก่อนซื้อหรือนำ AI มาใช้ในองค์กรตัวเอง
ข้อเท็จจริง: TH-AI Pass ใหญ่กว่าการแจก AI ฟรี
TH-AI Pass หรือ TH-AI Passport เป็นโครงการของกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมที่ตั้งเป้าเปิดโอกาสให้คนไทยจำนวนสูงสุด 5 ล้านคนเข้าถึงเครื่องมือและความรู้ด้าน AI โดยระบบรวบรวมโมเดลจากผู้พัฒนาหลายรายไว้ในแพลตฟอร์มเดียว พร้อมหลักสูตรเพื่อเพิ่มทักษะการใช้ AI
โครงการเปิดลงทะเบียนตั้งแต่ 19 สิงหาคม 2569 และมีกำหนดเปิดใช้งานเต็มรูปแบบวันที่ 31 สิงหาคม 2569 โดยใช้การยืนยันตัวตนผ่านแอปพลิเคชันทางรัฐหรือ ThaiD
ตัวเลขผู้สมัครเพิ่มขึ้นอย่างรวดเร็ว โดยวันที่ 19 สิงหาคมมีผู้ลงทะเบียนสำเร็จมากกว่า 532,000 ราย และวันที่ 21 สิงหาคมเพิ่มเป็น 1,132,469 ราย
ขณะเดียวกัน โครงการถูกตั้งคำถามเกี่ยวกับ TOR และการจัดการข้อมูล ขณะที่กระทรวงดีอียืนยันภายหลังว่าในเอกสารสัญญาและเงื่อนไขของโครงการมีการกำหนดแนวทางให้ข้อมูลส่วนบุคคลและข้อมูลพฤติกรรมการใช้งาน Generative AI ถูกเก็บและประมวลผลภายในประเทศไทย
ประเด็นนี้สำคัญ เพราะเอกสารของโครงการไม่ได้พูดเพียงเรื่อง “AI ใช้งานได้หรือไม่” แต่เข้าไปถึง วิธีที่ข้อมูลถูกจัดการตลอดกระบวนการ
และนี่เองคือบทเรียนที่ธุรกิจควรนำกลับไปดูสัญญา AI ของตัวเอง
ผลกระทบต่อธุรกิจในประเทศไทย: ปัญหาไม่ได้อยู่ที่ “AI อยู่ประเทศไหน” อย่างเดียว
ลองนึกภาพบริษัทแห่งหนึ่งซื้อระบบ AI เพื่อให้พนักงานช่วยสรุปเอกสารลูกค้า ตอนซื้อ ฝ่ายขายอาจบอกว่า AI รุ่นนี้เก่งกว่า เร็วกว่า และราคาถูกกว่า
แต่เมื่อพนักงานนำสัญญา รายชื่อผู้ติดต่อ ข้อมูลพนักงาน หรือข้อมูลลูกค้าเข้าไปในระบบ คำถามทางกฎหมายจะเปลี่ยนทันทีว่า ข้อมูลเหล่านี้ถูกส่งไปที่ใด ใครเป็นผู้ประมวลผล มีผู้ให้บริการรายอื่นอยู่ต่อจากผู้ขายอีกหรือไม่ และผู้ให้บริการสามารถนำข้อมูลไปใช้เพื่อวัตถุประสงค์อื่นได้หรือไม่
หากข้อมูลส่วนบุคคลถูกส่งหรือโอนไปต่างประเทศ มาตรา 28 ของ PDPA กำหนดหลักว่าประเทศหรือองค์กรปลายทางต้องมีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอ เว้นแต่เข้าเงื่อนไขยกเว้นตามกฎหมาย
ดังนั้น “ใช้ AI เจ้านี้ได้ไหม” จึงไม่ควรเป็นคำถามแรกของ Procurement
คำถามแรกควรเป็น “ข้อมูลของเราจะเดินทางอย่างไร”
สำหรับองค์กรขนาดใหญ่ เรื่องนี้ยิ่งสำคัญ เพราะการใช้ AI มักไม่ได้มีผู้ให้บริการเพียงรายเดียว ระบบหนึ่งอาจเชื่อมต่อโมเดลภายนอก Cloud provider, API provider และผู้รับช่วงประมวลผลอีกหลายชั้น หากไม่มีข้อสัญญาที่ชัดเจน ฝ่ายกฎหมายอาจรู้ว่ามี PDPA แต่ไม่สามารถตอบได้ว่าในทางเทคนิคข้อมูลขององค์กรอยู่ที่ไหนบ้าง
TH-AI Pass จึงเป็นกรณีศึกษาที่น่าสนใจว่า AI Governance ต้องถูกเขียนลงไปใน TOR, สัญญา และข้อกำหนดของผู้ให้บริการ ไม่ใช่เก็บไว้เป็นเพียงนโยบายภายใน
เพราะเมื่อเกิดปัญหา สิ่งที่องค์กรจะต้องหยิบขึ้นมาตรวจไม่ใช่โฆษณาของ Vendor แต่คือเอกสารที่ระบุว่า Vendor “มีสิทธิทำอะไรกับข้อมูล” และ “ห้ามทำอะไรกับข้อมูล”
สำหรับบริษัทที่ขายระบบ AI ให้ภาครัฐ ประเด็นนี้จะยิ่งเข้มข้นขึ้น เพราะข้อกำหนดใน TOR อาจกลายเป็นเงื่อนไขทางธุรกิจที่ต้องปฏิบัติตลอดอายุสัญญา ไม่ใช่เพียงข้อกำหนดตอนยื่นประมูล
พูดง่าย ๆ คือ AI Governance เริ่มตั้งแต่ขั้นตอนการจัดซื้อ ก่อนที่ผู้ใช้คนแรกจะเปิด Chatbot เสียอีก
สิ่งที่ควรทำต่อ
1. ตรวจสัญญา AI ก่อนตรวจฟีเจอร์
อย่าดูเฉพาะราคาและความสามารถของโมเดล ให้ตรวจว่าผู้ให้บริการระบุชัดหรือไม่ว่าเก็บข้อมูลอะไร ใช้เพื่ออะไร และเก็บไว้นานเท่าไร
2. ทำ Data Flow ของ AI ให้เห็นภาพ
ระบุให้ได้ว่า Prompt, ไฟล์แนบ และข้อมูลส่วนบุคคลเดินทางจากองค์กรไปยังระบบใด ประเทศใด และมีผู้ประมวลผลช่วงต่อหรือไม่
3. ตรวจเรื่องการโอนข้อมูลไปต่างประเทศ
หากมีการส่งข้อมูลออกนอกประเทศไทย ต้องประเมินฐานทางกฎหมายและเงื่อนไขที่เกี่ยวข้องกับมาตรา 28 รวมถึงเอกสารรองรับที่องค์กรมีอยู่จริง
4. เขียนข้อห้ามเรื่องการนำข้อมูลไปใช้ต่อ
สัญญาควรกำหนดเรื่องการนำข้อมูลขององค์กรไปฝึกโมเดล ใช้พัฒนาบริการ วิเคราะห์พฤติกรรม หรือเปิดเผยแก่บุคคลอื่นให้ชัดเจน
5. ให้ DPO, IT และ Procurement ตรวจร่วมกัน
AI ไม่ใช่แค่เรื่อง IT และ PDPA ไม่ใช่แค่เรื่องฝ่ายกฎหมาย การอนุมัติ AI ที่ดีต้องเห็นทั้งด้านเทคนิค ข้อมูล และข้อผูกพันในสัญญา
มุมมองผู้เชี่ยวชาญ
“อย่าดูแค่ว่า AI อยู่บริษัทไหน หรือ อยู่ประเทศไหน ให้ดูว่าข้อมูลของเรา ถูกส่งไปไหน ใครมีสิทธิแตะข้อมูล และสิ่งเหล่านั้นถูกเขียนล็อกไว้ในสัญญาหรือยัง เพราะ AI Governance ที่ดีไม่ได้เริ่มตอนเกิดปัญหา แต่มันเริ่มตั้งแต่ก่อนเซ็นสัญญา”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
Thai PBS — รายงานการเปิดลงทะเบียน TH-AI Passport และรายละเอียดโครงการ Thai PBS: TH-AI Passport เปิดลงทะเบียน 19 สิงหาคม 2569
ไทยรัฐ — รายงานยอดลงทะเบียน 1,132,469 ราย และคำชี้แจงเรื่องข้อมูลของโครงการ ไทยรัฐ: ปลัดดีอี-เลขาสดช. เคลียร์ข้อกังวล TH AI Passport
Spring News — รายงานคำชี้แจงเกี่ยวกับสัญญาแนบท้ายและข้อ 2.2 Spring News: ดีอีเคลียร์ปม TH-AI Pass
กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม — ข้อมูลทางการเกี่ยวกับการจัดการข้อมูลและโครงสร้างโครงการ [กระทรวงดีอี: TH-AI Passport] https://www.mdes.go.th
กฎหมาย PDPA มาตรา 28 / แนวทางการโอนข้อมูลไปต่างประเทศ
