บทนำ
ลองนึกภาพง่าย ๆ ว่า พนักงานคนหนึ่งกำลังทำงานตอนบ่าย แล้วเจองานที่ต้องใช้เวลาสองชั่วโมง เขาเปิด AI เพื่อช่วยสรุปเอกสาร เขียนอีเมล หรือวิเคราะห์ข้อมูลลูกค้า
วันนี้อาจเป็นเรื่องปกติ แต่ตั้งแต่ 31 สิงหาคม 2569 เป็นต้นไป การเข้าถึง AI ระดับสูงสำหรับคนไทยจำนวนมากจะง่ายขึ้นอีก เมื่อโครงการ TH-AI Passport เตรียมเปิดให้ใช้งาน โดยตั้งเป้ารองรับสูงสุด 5 ล้านสิทธิ และรวมโมเดล AI มากกว่า 30 โมเดลจากผู้พัฒนากว่า 14 ราย
คำถามสำคัญสำหรับบริษัทไทยจึงไม่ใช่ “พนักงานจะใช้ AI หรือไม่?” แต่คือ “บริษัทจะปล่อยให้พนักงานใช้ AI กับข้อมูลของบริษัทอย่างไร?”
ข้อเท็จจริงที่ธุรกิจควรรู้
โครงการ TH-AI Passport เปิดให้คนไทยอายุ 15 ปีขึ้นไปลงทะเบียนล่วงหน้า โดยการยืนยันตัวตนทำผ่านแอปพลิเคชันทางรัฐหรือ ThaiD และระบบจะเปิดใช้งานอย่างเป็นทางการในวันที่ 31 สิงหาคม 2569
โครงการกำหนดจำนวนสิทธิสูงสุด 5 ล้านคน และใช้รูปแบบที่รัฐจ่ายค่าบริการตามผู้ใช้งานจริงในระดับที่กำหนด โดยมีอัตรา 24.70 บาทต่อคนต่อเดือนตามข้อมูลที่หน่วยงานระบุ
จุดที่น่าสนใจคือ AiPASS ไม่ได้มี AI เพียงตัวเดียว แต่รวบรวมโมเดลมากกว่า 30 โมเดลจากผู้พัฒนากว่า 14 ราย เช่น GPT 5.6, Claude Opus 5, Gemini 3.1 Pro, Grok 4.3 และ Pathumma LLM รวมถึงเครื่องมือสำหรับงานภาพ งานวิจัย และงานสร้างสรรค์อื่น ๆ
นอกจากเครื่องมือ AI ยังมีหลักสูตรด้าน AI มากกว่า 96 หลักสูตร เพื่อให้ผู้ใช้งานพัฒนาทักษะและปลดล็อกการใช้งานในระดับที่สูงขึ้น
อีกประเด็นที่เกี่ยวกับองค์กรโดยตรงคือ กระทรวงดีอีระบุว่าเงื่อนไขของโครงการมีข้อกำหนดเกี่ยวกับการใช้ข้อมูล โดยระบุว่าผู้ให้บริการไม่สามารถนำข้อมูลผู้ใช้งานไปประมวลผลต่อยอดหรือเก็บไว้เพื่อใช้พัฒนาโมเดลได้ตามเงื่อนไขสัญญา
“AI ที่เข้าถึงง่ายขึ้น ไม่ได้ทำให้ความเสี่ยงขององค์กรลดลง แต่ทำให้ความเร็วของความเสี่ยงเพิ่มขึ้น”
และนี่คือจุดที่ฝ่ายกฎหมายและ DPO ควรเริ่มสนใจ
สิ่งที่เปลี่ยนสำหรับบริษัทไทย: จาก “ห้ามใช้ AI” เป็น “ใช้ AI อย่างไร”
เมื่อก่อนบริษัทอาจแก้ปัญหาด้วยการบอกพนักงานว่า
“ห้ามเอาข้อมูลบริษัทไปใส่ ChatGPT”
แต่ในโลกที่พนักงานสามารถเข้าถึง AI หลายสิบโมเดลได้ง่ายขึ้น คำสั่งแบบนี้อาจไม่เพียงพออีกต่อไป
เพราะคำถามจริงคือ ข้อมูลแบบไหนห้ามใส่ ข้อมูลแบบไหนใส่ได้ และต้องทำอย่างไรจึงจะปลอดภัย
ตัวอย่างเช่น พนักงานฝ่าย HR อาจเอาประวัติสมัครงานไปให้ AI ช่วยจัดอันดับผู้สมัคร ฝ่ายขายอาจนำรายชื่อลูกค้าไปช่วยเขียนแคมเปญ ฝ่ายกฎหมายอาจนำสัญญาที่มีข้อมูลคู่สัญญาเข้าไปให้ AI วิเคราะห์ หรือฝ่ายบริการลูกค้าอาจนำข้อความร้องเรียนที่มีชื่อและเบอร์โทรศัพท์ไปให้ AI ช่วยจัดหมวดหมู่
ทั้งหมดนี้ไม่ใช่แค่เรื่อง “ใช้ AI เก่งหรือไม่เก่ง”
แต่มันคือ กิจกรรมการประมวลผลข้อมูล
สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเองก็ให้ความสำคัญกับเรื่องฐานการประมวลผล การทำ ROPA ข้อตกลงกับผู้ประมวลผลข้อมูล และการโอนข้อมูลไปต่างประเทศในบริบท PDPA
ดังนั้น ถ้าพนักงานเอาข้อมูลส่วนบุคคลของลูกค้าเข้า AI ภายนอก บริษัทไม่ควรคิดว่า
“พนักงานเป็นคนกดส่งข้อมูล บริษัทไม่เกี่ยวข้องอะไร”
แต่ควรกลับมาถามว่า องค์กรอนุญาตกิจกรรมนี้หรือไม่ มีวัตถุประสงค์อะไร ใช้ข้อมูลเท่าที่จำเป็นหรือไม่ และผู้ให้บริการ AI มีเงื่อนไขการประมวลผลข้อมูลอย่างไร
ผลกระทบต่อธุรกิจในประเทศไทย
นี่คือส่วนที่ผมมองว่าสำคัญที่สุด
TH-AI Passport อาจช่วยลดต้นทุนการเข้าถึง AI ของประชาชน แต่สำหรับองค์กร มันอาจทำให้เกิดสถานการณ์ใหม่ที่เรียกว่า “AI Everywhere” เร็วกว่าที่หลายบริษัทเตรียมตัวไว้
พนักงานไม่จำเป็นต้องรอให้ IT จัดซื้อ AI ให้บริษัทอีกแล้ว พนักงานสามารถมีเครื่องมือ AI ระดับสูงอยู่ในมือของตัวเอง และอาจใช้มันกับงานบริษัททันที
ปัญหาคือ สิทธิการใช้ AI กับสิทธิในการใช้ข้อมูลไม่ใช่เรื่องเดียวกัน
สมมติบริษัทอนุญาตให้พนักงานใช้ AI ได้ แต่ไม่ได้กำหนดว่า “ข้อมูลลูกค้าประเภทใดห้ามนำเข้า” พนักงานก็อาจนำข้อมูลจริงเข้าไปเพื่อให้งานเสร็จเร็วขึ้นโดยไม่ได้ตั้งใจทำผิด
ในมุม PDPA สิ่งที่ต้องดูจึงไม่ใช่เพียงว่าแพลตฟอร์ม AI มี Privacy Policy หรือไม่ แต่ต้องดู เส้นทางของข้อมูลทั้งเส้น
ข้อมูลมาจากไหน → ใครเป็นคนส่ง → ส่งไปทำอะไร → ใครได้รับ → เก็บไว้นานเท่าไร → ใช้ต่อหรือไม่ → อยู่ในประเทศหรือต่างประเทศ → และเมื่อเลิกใช้แล้วข้อมูลถูกจัดการอย่างไร
สำหรับองค์กรใหญ่ เรื่องนี้ยังเชื่อมกับการบริหารผู้ให้บริการภายนอก การทำสัญญา การประเมินความเสี่ยง และการปรับ ROPA ให้สะท้อนกิจกรรม AI ที่เกิดขึ้นจริง
ส่วน SME อาจไม่ได้มี DPO หรือทีม IT ขนาดใหญ่ แต่ไม่ได้หมายความว่าไม่มีความเสี่ยง สิ่งที่ SME ทำได้ทันทีคือสร้าง AI Acceptable Use Policy แบบหน้าเดียว ให้พนักงานรู้ว่าอะไร “ใส่ได้” อะไร “ห้ามใส่” และถ้าจำเป็นต้องใช้ข้อมูลจริงต้องขออนุมัติจากใคร
ที่สำคัญที่สุดคือ อย่ารอให้เกิด Data Breach แล้วค่อยเริ่มถามว่าใครเอาข้อมูลเข้า AI
“โจทย์ของบริษัทไทยในปี 2569 ไม่ใช่การปิด AI แต่คือ การทำให้ AI ใช้งานได้โดยไม่เปิดช่องทางให้ข้อมูลของบริษัทหลุดไปภายนอก”
ในมุมธุรกิจ นี่จึงไม่ควรเป็นโครงการของฝ่าย IT เพียงฝ่ายเดียว แต่ควรเป็นงานร่วมระหว่าง ผู้บริหาร + IT + Security + Legal + DPO + HR เพราะความเสี่ยงเกิดจาก “คนใช้เครื่องมือ” ไม่ใช่แค่ตัวเครื่องมือ
มุมมองผู้เชี่ยวชาญ
“ผมมองว่า TH-AI Passport ไม่ได้น่ากลัวเพราะมี AI เยอะ แต่ต้องระวังเพราะคนในองค์กรจะมี AI อยู่ในมือเยอะขึ้นมาก ถ้าบริษัทไม่มี AI Policy วันนี้ พรุ่งนี้อาจไม่ได้รู้ด้วยซ้ำว่าข้อมูลลูกค้าของตัวเองถูกเอาไปใส่ AI ตัวไหนแล้ว”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | เนติบัณฑิต & ทนายความ
สั้น ๆ คือ อย่ารอให้พนักงานใช้ AI ผิดก่อน แล้วค่อยสร้างกฎ สิ่งที่บริษัทควรทำตอนนี้คือ กำหนดกติกาการใช้ AI ก่อนที่ AI จะกลายเป็นเครื่องมือทำงานประจำวันของทุกคน
สิ่งที่ควรทำต่อ คือ AI Policy ที่ใช้งานได้จริง
ก่อนวันที่ TH-AI Passport เปิดใช้งานจริง บริษัทควรทำอย่างน้อย 5 เรื่อง
- กำหนดข้อมูลต้องห้าม – เช่น ข้อมูลลูกค้า เลขบัตรประชาชน ข้อมูลสุขภาพ ข้อมูลพนักงาน รหัสผ่าน ความลับทางการค้า และเอกสารที่บริษัทกำหนดเป็น Confidential
- กำหนด AI ที่องค์กรอนุญาต – แยกให้ชัดว่า AI ตัวไหนใช้กับงานทั่วไปได้ และตัวไหนห้ามใช้กับข้อมูลบริษัท
- ตรวจเงื่อนไขข้อมูลของผู้ให้บริการ – ดูเรื่องการเก็บข้อมูล การนำข้อมูลไปใช้ต่อ การฝึกโมเดล และการส่งข้อมูลไปต่างประเทศ
- ปรับ ROPA / Vendor Assessment เมื่อมีการใช้ AI จริง – อย่าปล่อยให้การใช้ AI กลายเป็นกิจกรรมที่ไม่เคยปรากฏในแผนผังข้อมูลขององค์กร
- สื่อสารกับพนักงานแบบง่าย ๆ – ทำคู่มือ “AI ใช้ได้ / AI ห้ามใช้” 1 หน้า แทนการส่งนโยบายกฎหมายยาว ๆ แล้วหวังว่าทุกคนจะอ่าน
แหล่งอ้างอิง
- Thai PBS News — รายงานการเปิดลงทะเบียน TH-AI Passport และรายละเอียดการใช้งานโครงการ
อ่านข่าวต้นฉบับจาก Thai PBS - Thai PBS News — รายงานยอดลงทะเบียนวันแรกและประเด็นด้านความปลอดภัยข้อมูล/เงื่อนไขการใช้ข้อมูล
- กรุงเทพธุรกิจ — รายละเอียดการลงทะเบียนและรูปแบบการให้บริการ TH-AI Passport
- สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) — ข้อมูลเกี่ยวกับ ROPA การประมวลผลข้อมูล และการกำกับดูแลข้อมูลส่วนบุคคล
