บทนำ
เมื่อ TH-AI Passport หรือ AiPASS เปิดให้คนไทยใช้งาน AI ระดับ Pro หลายสิบโมเดลฟรี สิ่งที่หลายคนมองเห็นคือ “คนไทยได้ใช้ AI คุณภาพสูงโดยไม่ต้องเสียเงิน” แต่สำหรับบริษัท เรื่องนี้มีอีกด้านที่สำคัญกว่า เพราะ AI ฟรีจากภาครัฐอาจถูกนำเข้ามาใช้ในงานบริษัททันที โดยไม่ผ่านการอนุมัติจากฝ่าย IT ฝ่ายกฎหมาย หรือฝ่ายคุ้มครองข้อมูลส่วนบุคคลเลย
นี่จึงไม่ใช่แค่ข่าวเปิดตัวแพลตฟอร์ม AI แต่เป็นสัญญาณใหม่ของปัญหา Shadow AI ในองค์กรไทย
เมื่อ AI อยู่ในมือพนักงาน บริษัทไม่ได้ควบคุมมันเสมอไป
ลองนึกภาพง่ายๆ
พนักงานฝ่ายขายมีไฟล์รายชื่อลูกค้า พนักงาน HR มีประวัติสมัครงาน ฝ่ายกฎหมายมีสัญญาคู่ค้า และฝ่ายการตลาดมีข้อมูลแคมเปญที่ยังไม่เปิดตัว
วันหนึ่งทุกคนพบว่า AiPASS ให้ใช้โมเดล AI ระดับสูงได้ฟรี
สิ่งที่เกิดขึ้นอาจไม่ใช่การขออนุมัติจากบริษัท แต่เป็นการเปิดระบบ แล้วถามว่า
“ช่วยสรุปไฟล์นี้ให้หน่อย”
ในมุมของพนักงาน นี่คือการเพิ่มประสิทธิภาพการทำงาน
แต่ในมุมขององค์กร นี่คือ Data Processing Activity ใหม่ที่อาจเกิดขึ้นโดยไม่มีใครตั้งใจออกแบบ
และนี่คือประเด็นที่ธุรกิจไทยควรเริ่มคิดตั้งแต่วันนี้
ข้อเท็จจริง: AiPASS ไม่ได้เป็นเพียง AI Chatbot ธรรมดา
โครงการ TH-AI Passport เปิดให้ประชาชนอายุ 15 ปีขึ้นไปเข้าถึงแพลตฟอร์ม AiPASS โดยมีโมเดล AI จากผู้ให้บริการหลายราย รวมมากกว่า 30 โมเดล และเปิดใช้งานอย่างเป็นทางการตั้งแต่วันที่ 31 สิงหาคม 2569 โดยรัฐบาลตั้งเป้าหมายผู้ใช้งานไว้ที่ 5 ล้านคน
ระบบยังมีการยืนยันตัวตน และมีรูปแบบสิทธิการใช้งานตามระดับผู้ใช้ รวมถึงหลักสูตรเพื่อพัฒนาทักษะด้าน AI
จุดที่องค์กรควรสนใจมากกว่าเรื่องจำนวนโมเดล คือ การจัดการข้อมูล
เอกสาร Privacy Notice ของ AiPASS ระบุว่าโครงการมีการเก็บและประมวลผลข้อมูลหลายประเภท รวมถึงข้อมูลการสนทนากับ AI และข้อมูลการใช้งาน อีกทั้งระบุว่า Prompt และไฟล์ที่นำไปประมวลผลกับผู้ให้บริการ AI ต่างประเทศอาจเกี่ยวข้องกับการส่งหรือโอนข้อมูลไปต่างประเทศ โดยโครงการระบุมาตรการ เช่น การทำข้อมูลให้ไม่สามารถระบุตัวบุคคลได้และการทำ Pseudonymization รวมถึงมาตรการไม่ให้ผู้ให้บริการภายนอกนำข้อมูลไปฝึกโมเดลของตนเองตามเงื่อนไขที่กำหนด
ขณะเดียวกัน ข้อกำหนดการใช้งานของ AiPASS ยังระบุว่า ข้อมูลจากการใช้งาน เช่น Prompt ไฟล์แนบ ผลลัพธ์ และข้อมูลพฤติกรรม อาจถูกนำไปใช้เพื่อวิเคราะห์ ปรับปรุง และฝึกฝนระบบของโครงการ โดยใช้มาตรการ De-identification/Anonymization ตามที่ระบุไว้ในข้อกำหนด
ดังนั้นคำว่า “ข้อมูลเก็บในประเทศไทย” ไม่ได้แปลว่า “ข้อมูลทุกชิ้นจะไม่เกี่ยวข้องกับการประมวลผลภายนอกประเทศไทย”
สองเรื่องนี้เป็นคนละขั้นตอนกัน
ผลกระทบต่อธุรกิจในประเทศไทย
นี่คือจุดที่ TH-AI Passport แตกต่างจากบริการ AI ทั่วไปอย่างมีนัยสำคัญ
ที่ผ่านมา องค์กรมักตั้งคำถามเรื่อง Shadow AI กับเครื่องมือ เช่น ChatGPT, Gemini หรือ AI SaaS ที่พนักงานสมัครใช้เอง แต่หลังจาก AiPASS เปิดใช้งาน บริษัทอาจต้องเพิ่มอีกหนึ่งหมวด คือ AI ที่มาจากแพลตฟอร์มภาครัฐ แต่ถูกนำมาใช้ในกระบวนการทำงานของเอกชน
ปัญหาไม่ได้เกิดเพราะ AiPASS “ไม่ปลอดภัย” และบทความนี้ไม่ได้สรุปเช่นนั้น ตรงกันข้าม เอกสารของโครงการระบุมาตรการด้านการคุ้มครองข้อมูลไว้หลายระดับ
แต่สำหรับบริษัท สิ่งที่สำคัญกว่าคือ ข้อมูลที่พนักงานเลือกนำเข้าไป
สมมุติว่าพนักงานนำรายงานยอดขายภายในไปให้ AI ช่วยสรุป รายงานนั้นอาจไม่มีข้อมูลส่วนบุคคลเลย บริษัทอาจยอมรับความเสี่ยงได้ แต่ถ้าเปลี่ยนเป็นฐานข้อมูลลูกค้า สัญญาที่ยังไม่เปิดเผย ข้อมูลเงินเดือน หรือเอกสารที่อยู่ภายใต้ข้อผูกพันด้านความลับ ความเสี่ยงก็เปลี่ยนทันที
เรื่องนี้จึงเชื่อมโยงทั้ง PDPA, ความลับทางการค้า, หน้าที่ตามสัญญา และนโยบายรักษาความมั่นคงปลอดภัยขององค์กร
อีกประเด็นที่ต้องระวังคือ พนักงานจำนวนมากอาจไม่รู้ว่าคำว่า “ข้อมูลบริษัท” กว้างกว่าข้อมูลส่วนบุคคล เพราะเอกสารเชิงธุรกิจบางอย่าง เช่น pricing strategy, source code, customer list, M&A information หรือ draft contract อาจไม่มีชื่อหรือเลขบัตรประชาชนเลย แต่ก็ยังมีมูลค่าทางธุรกิจสูงมาก
ดังนั้นบริษัทที่ตั้งกฎไว้เพียงว่า “ห้ามใส่ข้อมูลส่วนบุคคลลง AI” ยังไม่เพียงพอ
นโยบายที่ใช้งานได้จริงควรตอบให้ได้ว่า ข้อมูลประเภทใดห้ามส่ง, ข้อมูลประเภทใดส่งได้, ส่งได้ผ่านแพลตฟอร์มใด, ใครอนุมัติ และต้องตรวจสอบย้อนหลังอย่างไร
อีกเรื่องที่สำคัญคือ หากพนักงานใช้ AI เพื่อทำงาน บริษัทไม่ควรมองว่าเป็นเรื่องส่วนตัวของพนักงาน เพราะผลลัพธ์จาก AI อาจถูกนำไปใช้ตัดสินใจทางธุรกิจจริง เช่น การตอบลูกค้า การคัดกรองผู้สมัครงาน การจัดทำเอกสารทางกฎหมาย หรือการสร้างข้อความทางการตลาด
เมื่อ AI กลายเป็นส่วนหนึ่งของ Workflow ความรับผิดชอบก็ย้ายกลับมาที่องค์กร
พูดง่ายๆ คือ ปัญหาใหม่ของบริษัทอาจไม่ใช่ “เราจะซื้อ AI ตัวไหนดี” แต่เป็น “พนักงานของเราใช้ AI ตัวไหนอยู่บ้างแล้ว”
และนี่คือเหตุผลที่ TH-AI Passport ควรถูกมองเป็นเรื่อง AI Governance ไม่ใช่แค่เรื่อง Digital Skill
สิ่งที่ควรทำต่อ
1. ทำบัญชีรายชื่อ AI ที่พนักงานใช้อยู่จริง
อย่าดูเฉพาะเครื่องมือที่บริษัทซื้อเอง ควรตรวจรวมถึง AI ที่พนักงานสมัครใช้เองหรือใช้ผ่านโครงการภาครัฐ
2. แบ่งประเภทข้อมูลก่อนกำหนดสิทธิการใช้ AI
อย่างน้อยควรแยกข้อมูลสาธารณะ ข้อมูลภายใน ข้อมูลลับ ข้อมูลส่วนบุคคล และข้อมูลอ่อนไหวออกจากกัน
3. ออกกติกา “ห้ามป้อนอะไรลง AI” ให้ชัดเจน
อย่าเขียนเพียงว่า “ใช้ AI อย่างระมัดระวัง” แต่ควรมีตัวอย่างจริง เช่น รายชื่อลูกค้า สัญญาลับ ข้อมูลสุขภาพ ข้อมูลเงินเดือน Source Code หรือข้อมูล M&A
4. ตรวจ Privacy Notice และเงื่อนไขของแพลตฟอร์มก่อนอนุญาตให้ใช้กับงานจริง
โดยเฉพาะเรื่องการเก็บข้อมูล การใช้ Prompt/ไฟล์ การประมวลผลโดยผู้ให้บริการภายนอก การส่งข้อมูลไปต่างประเทศ และการนำข้อมูลไปใช้เพื่อปรับปรุงระบบ
5. ฝึกพนักงานให้เข้าใจว่า “AI ฟรี” ไม่เท่ากับ “ข้อมูลอะไรก็ใส่ได้”
การอบรมควรใช้ตัวอย่างจากงานจริงขององค์กร เพราะความผิดพลาดมักเกิดตอนพนักงานกำลังรีบทำงาน ไม่ใช่ตอนอ่านนโยบาย
สิ่งที่บริษัทควรจำจากเรื่องนี้
TH-AI Passport อาจเป็นข่าวดีสำหรับการยกระดับทักษะ AI ของคนไทย แต่สำหรับผู้บริหาร นี่คือการแจ้งเตือนอีกครั้งว่า AI Governance ไม่ได้อยู่เฉพาะในระบบที่บริษัทเป็นคนซื้อ
เมื่อพนักงานสามารถนำ AI เข้ามาอยู่ในกระบวนการทำงานได้เอง การควบคุมที่สำคัญที่สุดจึงไม่ใช่การห้ามใช้ AI
แต่คือการกำหนดให้ชัดว่า “ข้อมูลอะไร ใช้กับ AI ไหน ได้แค่ไหน และใครต้องรับผิดชอบ”
เพราะในโลกการทำงานยุคใหม่ บริษัทอาจไม่ได้มี AI เพียงหนึ่งระบบอีกต่อไป
อาจมี AI หลายสิบตัวอยู่ในมือของพนักงาน โดยที่ฝ่ายบริหารเพิ่งรู้ตัวเมื่อข้อมูลสำคัญหลุดเข้าไปแล้ว
แหล่งอ้างอิง
เดลินิวส์ — “เริ่มแล้ว 9 โมงเช้าวันนี้ ใช้ AI ระดับโปร ในโครงการ TH-AI Passport”
อ่านข่าวเดลินิวส์
THE STANDARD — “TH-AI Passport เปิดใช้ 31 ส.ค. เวลา 09.00 น. รวม AI Pro กว่า 14 ค่าย”
อ่านข่าว THE STANDARD
Thai PBS — ข่าวการเปิดใช้งาน TH-AI Passport
อ่านข่าว Thai PBS
AiPASS — ข้อกำหนดและเงื่อนไขการใช้งาน
อ่านข้อกำหนด AiPASS
AiPASS — ประกาศความเป็นส่วนตัว
อ่าน Privacy Notice
BDE — ข้อมูลโครงการ TH-AI Passport
อ่านข้อมูลจาก BDE
