เมื่อ AI กลายเป็นของที่ทุกคนเข้าถึงได้ คำถามสำคัญกำลังเปลี่ยน
ช่วงกลางเดือนสิงหาคม 2569 คนไทยจำนวนมากกำลังแห่ลงทะเบียน TH-AI Passport จากโครงการที่เปิดให้ประชาชนอายุ 15 ปีขึ้นไปเข้าถึงเครื่องมือ AI หลายรูปแบบ โดยระบบจะเปิดให้ใช้งานอย่างเป็นทางการในวันที่ 31 สิงหาคม 2569 และตั้งเป้ารองรับสูงสุด 5 ล้านสิทธิ์
ตัวเลขที่น่าสนใจคือ วันที่ 19 สิงหาคม มีผู้ลงทะเบียน 532,692 ราย และวันที่ 20 สิงหาคม ยอดเพิ่มเป็น 1,033,635 ราย หรือเกิน 1 ล้านคนภายในเวลาเพียง 2 วัน
แต่สำหรับคนทำงานด้านกฎหมายเทคโนโลยี ตัวเลข 1 ล้านคนอาจไม่ใช่ตัวเลขที่น่าตื่นเต้นที่สุด คำถามที่น่าสนใจกว่าคือ
เมื่อคนไทยเริ่มใช้ AI จำนวนมากขึ้น เรารู้หรือยังว่า “ข้อมูลที่คนพิมพ์เข้าไป” กำลังเดินทางไปอย่างไร?
คำถามนี้ไม่ได้จำกัดอยู่ที่ TH-AI Passport เพราะมันกำลังกลายเป็นปัญหาเดียวกับที่บริษัททั่วโลกกำลังเจอ นั่นคือ พนักงานใช้ AI เร็วกว่านโยบายขององค์กร
ข้อเท็จจริงที่ควรรู้ก่อนถกเถียงกัน
TH-AI Passport เป็นโครงการภายใต้กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เปิดให้ประชาชนไทยอายุ 15 ปีขึ้นไปลงทะเบียนและยืนยันตัวตนเพื่อเข้าใช้งาน AiPASS โดยตั้งเป้ารองรับสูงสุด 5 ล้านคน และกำหนดเปิดใช้งานอย่างเป็นทางการในวันที่ 31 สิงหาคม 2569
โครงการใช้รูปแบบ Pay Per Active User กล่าวคือ รัฐระบุว่าจะชำระค่าบริการตามจำนวนผู้ใช้งานจริงภายใต้เงื่อนไขของโครงการ ในอัตรา 24.70 บาทต่อคนต่อเดือน ไม่ได้หมายความว่าผู้ลงทะเบียนทุกคนจะถูกคิดค่าใช้จ่ายในอัตราดังกล่าวทั้งหมด
ในด้านงบประมาณ โครงการมีมูลค่าสัญญาประมาณ 1,621 ล้านบาท โดยผู้ชนะการประกวดราคาเป็นกิจการค้าร่วมทีเอช และก่อนหน้านี้มีผู้ยื่นข้อเสนอทั้งหมด 3 กลุ่ม
ส่วนข้อกังวลเรื่องข้อมูลส่วนบุคคล กลายเป็นประเด็นใหญ่หลังฝ่ายค้านออกมาตั้งข้อสังเกตเกี่ยวกับ TOR โดยกล่าวหาว่าเงื่อนไขของโครงการอาจเปิดช่องให้มีการรับรู้พฤติกรรมการใช้งาน รวมถึง Prompt ที่ประชาชนส่งเข้าสู่ระบบ
อย่างไรก็ตาม ข้อกล่าวหาดังกล่าวยังไม่ใช่ข้อยุติว่ามีการละเมิด PDPA หรือมีการนำข้อมูลไปใช้โดยมิชอบแล้ว และรัฐบาลออกมาชี้แจงในอีกด้านว่า การยืนยันตัวตนมีวัตถุประสงค์เพื่อป้องกันการลงทะเบียนซ้ำ และระบุว่าไม่ได้เชื่อมข้อมูลตัวบุคคลเข้ากับการประมวลผลคำถามในระบบแชต ขณะเดียวกันภาครัฐยืนยันว่ามีเงื่อนไขห้ามนำข้อมูลไปใช้ฝึกโมเดล AI ต่อ และออกแบบให้ข้อมูลส่วนบุคคลกับข้อมูลพฤติกรรมที่เกี่ยวข้องกับโครงการถูกจัดเก็บและประมวลผลในประเทศไทยตามเงื่อนไขที่กำหนด
ดังนั้น เรื่องที่เกิดขึ้นในเวลานี้จึงควรแยกออกเป็น 2 เรื่องชัด ๆ
เรื่องแรก: โครงการมีความคุ้มค่าและการจัดซื้อจัดจ้างเหมาะสมหรือไม่
เรื่องที่สอง: สถาปัตยกรรมข้อมูลและการควบคุม Prompt ปลอดภัยและสอดคล้องกับหลักคุ้มครองข้อมูลหรือไม่
สองเรื่องนี้เกี่ยวข้องกัน แต่ไม่ใช่เรื่องเดียวกัน
ทำไมบริษัทไทยควรสนใจ แม้ไม่ได้ใช้ TH-AI Passport
ลองนึกภาพบริษัทขนาดกลางแห่งหนึ่ง
วันหนึ่งพนักงานฝ่ายการตลาดต้องทำสรุปข้อมูลลูกค้าอย่างเร่งด่วน เขาจึงเปิด AI แล้ววางข้อความจาก CRM ลงไป พร้อมถามว่า
“ช่วยวิเคราะห์ว่าลูกค้ากลุ่มนี้มีแนวโน้มยกเลิกบริการหรือไม่”
สำหรับพนักงาน นี่อาจดูเหมือนงานธรรมดา
แต่สำหรับองค์กร คำถามต่อมาคือ
ข้อมูลที่ถูกส่งเข้า AI คือข้อมูลอะไร? ใครเป็นคนอนุญาต? ระบบเก็บหรือไม่? ส่งไปประมวลผลที่ไหน? และใครเป็นผู้รับข้อมูล?
นี่คือจุดที่ข่าว TH-AI Passport ควรทำให้ผู้บริหารไทยหยุดคิด
เพราะปัญหาไม่ได้เริ่มเมื่อมี “ข้อมูลรั่ว”
ปัญหาเริ่มตั้งแต่วันที่องค์กร ไม่รู้ว่าข้อมูลของตัวเองถูกส่งเข้า AI อะไรบ้าง
ผลกระทบต่อธุรกิจในประเทศไทย
สำหรับ SME ความเสี่ยงอาจเกิดขึ้นเร็วที่สุด เพราะหลายองค์กรไม่มีทีม AI Governance หรือ Security โดยเฉพาะ พนักงานจึงมักตัดสินใจใช้ AI ตามความสะดวก แต่ในทางธุรกิจ ข้อมูลที่ใส่ลงไปอาจเป็นข้อมูลลูกค้า ข้อมูลคู่ค้า ข้อมูลพนักงาน ข้อมูลทางการเงิน หรือเอกสารที่มีเงื่อนไขรักษาความลับ เมื่อข้อมูลถูกนำไปประมวลผลผ่านบริการ AI องค์กรควรตอบให้ได้ว่า การใช้ดังกล่าวสอดคล้องกับวัตถุประสงค์เดิมของการเก็บข้อมูลหรือไม่ มีฐานทางกฎหมายรองรับหรือไม่ และมีการแจ้งรายละเอียดที่จำเป็นแก่เจ้าของข้อมูลแล้วหรือไม่
สำหรับองค์กรขนาดใหญ่ ปัญหาจะยิ่งซับซ้อนขึ้น เพราะการใช้ AI ไม่ได้เกิดที่ฝ่ายใดฝ่ายหนึ่งอีกต่อไป ฝ่ายขายอาจใช้ AI ทำรายงาน ฝ่าย HR ใช้ AI ช่วยร่างประกาศ ฝ่ายกฎหมายใช้ AI อ่านสัญญา และฝ่ายพัฒนาใช้ AI เขียนโค้ด หากองค์กรไม่มีระบบควบคุม ผู้บริหารอาจไม่รู้ด้วยซ้ำว่าบริษัทกำลังมี “AI หลายสิบตัว” ทำงานกับข้อมูลภายในพร้อมกัน
สิ่งที่ TH-AI Passport ทำให้เห็นชัดขึ้นคือ การยืนยันตัวตนกับการคุ้มครองข้อมูลเป็นคนละเรื่องกัน การรู้ว่าใครเป็นผู้ใช้ไม่ได้แปลว่าการจัดการ Prompt หลังจากนั้นจะปลอดภัยโดยอัตโนมัติ ในทางกลับกัน การบอกว่าข้อมูลถูกเก็บในประเทศไทยก็ไม่ได้ตอบทุกคำถาม เพราะองค์กรยังต้องรู้ว่าอะไรถูกเก็บ อะไรถูกส่งออกไป ประมวลผลเพื่ออะไร เก็บนานแค่ไหน และถูกใช้ต่ออย่างไร
สำหรับธุรกิจไทย ประเด็นจึงไม่ควรหยุดที่คำว่า “PDPA ผ่านหรือไม่ผ่าน”
คำถามที่ควรถามคือ
“เราควบคุมวงจรชีวิตของข้อมูลก่อน ระหว่าง และหลังการใช้ AI ได้จริงหรือยัง?”
นี่เป็นประเด็นของ AI Governance โดยตรง และเป็นสิ่งที่องค์กรควรจัดการก่อนที่ AI จะกลายเป็นเครื่องมือประจำวันของพนักงานทั้งหมด
สิ่งที่ควรทำต่อ: องค์กรไทยควรเริ่มจาก Prompt ไม่ใช่เริ่มจาก Policy หนา ๆ
บริษัทไม่จำเป็นต้องเริ่มด้วยเอกสาร 100 หน้า ควรเริ่มจาก 5 เรื่องนี้ก่อน
- ทำบัญชีว่าองค์กรใช้ AI อะไรบ้าง ทั้ง AI ที่บริษัทอนุมัติและ AI ที่พนักงานสมัครใช้เอง
- กำหนดข้อมูลต้องห้ามสำหรับ Prompt เช่น ข้อมูลส่วนบุคคล ข้อมูลลูกค้าที่ระบุตัวบุคคลได้ ความลับทางการค้า และเอกสารภายในบางประเภท
- กำหนดระดับข้อมูลว่าอะไรใช้ AI ได้ อะไรต้องลบข้อมูลระบุตัวบุคคลก่อน และอะไรห้ามใช้โดยเด็ดขาด
- ตรวจ Privacy Notice / Terms / Data Processing Terms ของ AI ที่องค์กรใช้ โดยเฉพาะเรื่องการเก็บ Prompt การนำข้อมูลไปฝึกโมเดล การเก็บ Log และการส่งข้อมูลไปต่างประเทศ
- กำหนดผู้รับผิดชอบ AI Governance ให้ชัดเจน ไม่ปล่อยให้การใช้ AI เป็นเรื่องของพนักงานแต่ละคน
ประเด็นสำคัญคือ อย่ารอให้เกิดเหตุข้อมูลรั่วแล้วจึงเริ่มทำ
สิ่งที่ข่าวนี้กำลังบอกผู้บริหารแบบตรง ๆ
TH-AI Passport อาจประสบความสำเร็จในแง่การทำให้คนไทยเข้าถึง AI เพราะยอดลงทะเบียนทะลุ 1 ล้านคนอย่างรวดเร็ว ขณะที่ภาครัฐยังยืนยันว่าจะเดินหน้าโครงการและชี้แจงข้อกังวลด้านข้อมูลและการจัดซื้อจัดจ้างต่อไป
แต่สำหรับภาคธุรกิจ ตัวเลขสำคัญอาจไม่ใช่ 1 ล้านคน มันคือ จำนวนครั้งที่ข้อมูลจริงถูกป้อนเข้า AI เพราะทุก Prompt อาจเป็นข้อมูลธรรมดา หรืออาจเป็นข้อมูลลูกค้า อาจเป็นข้อมูลพนักงาน อาจเป็นสัญญาลับ หรืออาจเป็นสูตรธุรกิจที่คู่แข่งไม่ควรรู้ ดังนั้น โลกของ AI Governance ไม่ได้เริ่มจากคำถามว่า
“บริษัทจะใช้ AI หรือไม่?” แต่เริ่มจากคำถามว่า “ข้อมูลอะไรบ้างที่บริษัทอนุญาตให้ AI แตะได้?”
นี่คือบทเรียนที่ธุรกิจไทยควรหยิบออกมาจากข่าว TH-AI Passport มากที่สุด
มุมมองผู้เชี่ยวชาญ
“ผมมองว่าเรื่องนี้ไม่ได้อยู่ที่ว่า AI ฟรีหรือไม่ฟรี และไม่ควรรีบสรุปว่าข้อมูลจะรั่วหรือไม่รั่ว สิ่งที่เราต้องถามง่าย ๆ คือ ข้อมูลที่เราพิมพ์เข้าไปคือข้อมูลอะไร ใครเห็นได้ เก็บไว้นานแค่ไหน และเอาไปทำอะไรต่อ ถ้าองค์กรตอบคำถาม 4 ข้อนี้ไม่ได้ ผมว่าการใช้ AI ยังเร็วเกินกว่าการควบคุมขององค์กรครับ”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
Thai PBS News — รายงานการเปิดลงทะเบียน TH-AI Passport และเงื่อนไขโครงการ
อ่านต้นฉบับ Thai PBS
ไทยรัฐ — รายงานยอดลงทะเบียนทะลุ 1 ล้านรายในวันที่สอง
อ่านต้นฉบับไทยรัฐ
ไทยรัฐ — รายงานข้อกล่าวหาจากฝ่ายค้านเรื่องการจัดซื้อจัดจ้างและข้อกังวลด้านข้อมูล
อ่านต้นฉบับไทยรัฐ
มติชน — รายงานการชี้แจงและข้อสังเกตเพิ่มเติมเกี่ยวกับ TOR และการรับรู้ข้อมูลการใช้งาน
อ่านรายงานมติชน
กรุงเทพธุรกิจ / Thansettakij — รายงานคำชี้แจงจากกระทรวงดีอีเกี่ยวกับการยืนยันตัวตน การประมวลผลข้อมูล และเงื่อนไขของโครงการ
อ่านรายงาน Thansettakij
