เมื่อระบบขึ้นคำว่า “ปิดบัญชี” คนหนึ่งอาจไม่ได้แค่เข้าแอปไม่ได้
ลองนึกภาพคนขับรถคนหนึ่งตื่นขึ้นมาแล้วพบว่าบัญชีที่ใช้ทำงานถูกระงับ ระบบบอกเพียงว่ามีความผิดปกติ แต่ไม่มีคนอธิบายว่าเกิดจากข้อมูลอะไร หรือใครเป็นคนตัดสินใจ
นี่คือเหตุผลที่คดี Uber ในเนเธอร์แลนด์น่าสนใจกว่าตัวเลขค่าปรับ €825 ล้าน หรือ 31,465 ล้านบาท เพราะประเด็นจริงอยู่ที่ เมื่อ AI มีอำนาจเปลี่ยนชีวิตคน ธุรกิจยังสามารถบอกว่า “ระบบเป็นคนตัดสิน” ไม่ได้อีกต่อไป
และสำหรับบริษัทไทย ข่าวนี้มีอีกชั้นที่สำคัญกว่า นั่นคือ กฎหมายไทยไม่ได้มีบทบัญญัติที่ตรงกับ GDPR Article 22 แบบเดียวกัน ซึ่งทำให้เรื่องนี้ไม่ควรถูกตีความง่ายๆ ว่า “ไทยมีกฎหมายเหมือนยุโรปแล้ว”
ข้อเท็จจริง
เมื่อวันที่ 21 สิงหาคม 2569 Reuters รายงานว่า หน่วยงานคุ้มครองข้อมูลของเนเธอร์แลนด์ลงโทษ Uber เป็นเงิน 825 ล้านยูโร หรือ 31,465 ล้านบาท จากการประมวลผลข้อมูลของคนขับด้วยระบบอัตโนมัติ ซึ่งหน่วยงานเห็นว่าไม่เป็นไปตามข้อกำหนดของ GDPR โดยเฉพาะเรื่องการให้ข้อมูลแก่บุคคลและการมีส่วนร่วมของมนุษย์ในการตัดสินใจ
กรณีดังกล่าวเกี่ยวข้องกับการระงับบัญชีคนขับและกระบวนการที่ใช้ข้อมูลเพื่อจัดการกับผู้ขับที่ถูกสงสัยว่าทุจริต รวมถึงกรณีที่เกี่ยวข้องกับคะแนนจากลูกค้า
Reuters รายงานว่าคดีเริ่มจากคำร้องในฝรั่งเศส แต่ถูกพิจารณาในเนเธอร์แลนด์ เนื่องจากสำนักงานใหญ่ของ Uber ในยุโรปตั้งอยู่ที่นั่น
ประเด็นทางกฎหมายที่สำคัญของยุโรปคือ GDPR Article 22 จำกัดการตัดสินใจที่เกิดจากการประมวลผลอัตโนมัติเพียงอย่างเดียว เมื่อการตัดสินใจนั้นมีผลทางกฎหมายหรือส่งผลกระทบอย่างมีนัยสำคัญต่อบุคคล และกำหนดให้มีมาตรการคุ้มครองที่เหมาะสม เช่น การให้มนุษย์เข้ามามีบทบาทและเปิดโอกาสให้บุคคลโต้แย้งการตัดสินใจได้ในกรณีที่เข้าเงื่อนไข
Uber ไม่เห็นด้วยกับคำตัดสินและระบุว่าจะอุทธรณ์ ขณะที่ค่าปรับดังกล่าวถูก Reuters ระบุว่าเป็นค่าปรับภายใต้ GDPR ที่สูงเป็นอันดับสอง รองจากค่าปรับ 1.2 พันล้านยูโรที่ Meta ได้รับในปี 2023
จุดที่ธุรกิจไทยควรหยุดแล้วเช็กตัวเอง
สิ่งที่น่าสนใจที่สุดของคดีนี้กลับไม่ใช่ตัวเลข €825 ล้าน แต่คือ เส้นแบ่งระหว่าง “AI ช่วยตัดสินใจ” กับ “AI เป็นคนตัดสินใจแทน”
ในธุรกิจจริง เส้นแบ่งนี้บางมาก
ระบบ HR อาจให้คะแนนผู้สมัครแล้วคัดคนออก ระบบธนาคารอาจให้คะแนนความเสี่ยงแล้วปฏิเสธสินเชื่อ ระบบแพลตฟอร์มอาจตรวจจับพฤติกรรมผิดปกติแล้วระงับบัญชี หรือระบบประกันอาจใช้ข้อมูลจำนวนมากเพื่อกำหนดว่าลูกค้าคนไหนควรได้รับการตรวจสอบเพิ่ม
หลายองค์กรอาจคิดว่า “ก็ยังมีพนักงานอยู่ในกระบวนการ” จึงไม่น่ามีปัญหา
แต่คำถามสำคัญกว่า คือ พนักงานคนนั้นได้ตรวจจริง หรือแค่กดอนุมัติสิ่งที่ AI ตัดสินไว้แล้ว?
ในยุโรป หลักของ GDPR Article 22 ให้ความสำคัญกับการตัดสินใจที่เกิดจากระบบอัตโนมัติและผลกระทบที่มีนัยสำคัญต่อบุคคล โดย European Commission อธิบายว่า กระบวนการควรมีช่องทางให้มนุษย์เข้ามาแทรกแซง และให้บุคคลสามารถแสดงความคิดเห็นหรือโต้แย้งการตัดสินใจได้ในกรณีที่กฎหมายกำหนด
แต่ฝั่งไทยต้องระวังการเทียบกฎหมายแบบหนึ่งต่อหนึ่ง เพราะ มาตรา 34 ของ PDPA ไทยไม่ได้เป็น “มาตรา 22 ของ GDPR ฉบับไทย” มาตรา 34 ของไทยเกี่ยวกับสิทธิในการขอให้ระงับการใช้ข้อมูลในบางสถานการณ์ เช่น ช่วงตรวจสอบความถูกต้องหรือช่วงพิจารณาประเด็นสิทธิของเจ้าของข้อมูล
ETDA เองเคยอธิบายไว้ว่า PDPA ไทยยังไม่มีบทบัญญัติที่กำกับ automated individual decision-making แบบอิสระอย่างชัดเจนเหมือน GDPR Article 22
นี่จึงเป็นจุดที่ผู้บริหารไทยควรจับตา ไม่มีบทบัญญัติที่เหมือนกัน ไม่ได้แปลว่า องค์กรควรปล่อยให้ AI ตัดสินใจเรื่องคนโดยไม่มีระบบตรวจสอบ
เพราะในเชิงธุรกิจ ความเสี่ยงยังคงอยู่ ทั้งเรื่องความถูกต้องของข้อมูล หลักการประมวลผลข้อมูล ความโปร่งใส การจัดการคำร้องของเจ้าของข้อมูล ตลอดจนข้อพิพาทด้านแรงงาน สัญญา หรือความเป็นธรรมของบริการ ขึ้นอยู่กับบริบทของแต่ละกรณี
ยิ่งองค์กรใช้ AI กับการตัดสินใจที่ “กระทบคนจริง” มากขึ้น ยิ่งควรถามให้ชัดว่า ถ้า AI ผิด ใครแก้ได้ และแก้อย่างไร
และนี่คือบทเรียนสำคัญจาก Uber
Human Review ไม่ควรเป็นแค่ชื่อใน Policy แต่ต้องเป็นขั้นตอนที่เกิดขึ้นจริง
ตัวอย่างที่บริษัทไทยควรลองถามตัวเองวันนี้
บริษัทมีระบบที่สามารถ “ปฏิเสธ”, “ระงับ”, “ลดคะแนน”, “ลดวงเงิน”, “ตัดสิทธิ์” หรือ “คัดออก” บุคคลโดยอัตโนมัติหรือไม่?
ถ้ามี คนที่ถูกตัดสินรู้หรือไม่ว่ามีระบบอัตโนมัติเข้ามาเกี่ยวข้อง?
ถ้าบุคคลบอกว่า “ข้อมูลผิด” มีคนตรวจข้อมูลต้นทางจริงหรือไม่?
และที่สำคัญที่สุด หาก AI ให้คำตอบว่า “ไม่ผ่าน” พนักงานขององค์กรมีอำนาจเปลี่ยนคำตอบนั้นจริงหรือเพียงทำตามระบบ?
คำถามเหล่านี้ไม่ใช่เรื่องของทีม IT เพียงอย่างเดียว แต่เป็นเรื่องที่ DPO, Legal, HR, Risk, Compliance และเจ้าของธุรกิจควรเข้ามาร่วมกันออกแบบ
เพราะวันที่ AI สามารถกดปุ่มแทนองค์กรได้ การกำกับ AI ก็ต้องไปไกลกว่าการเลือกเครื่องมือที่ “แม่นยำ”
สิ่งที่ควรทำต่อ
- ไล่หา “จุดตัดสินใจ” ที่ AI มีอำนาจเปลี่ยนสถานะของบุคคล เช่น อนุมัติ ปฏิเสธ ระงับ คัดออก หรือลดสิทธิ
- แยกให้ชัดว่า AI ทำหน้าที่ช่วยแนะนำ หรือเป็นตัวตัดสินจริง และบันทึกกระบวนการนั้นไว้
- กำหนด Human Review ที่ตรวจจริง พร้อมระบุว่าใครมีอำนาจแก้หรือกลับคำตัดสินของระบบ
- ตรวจว่าข้อมูลที่ AI ใช้ตัดสินมาจากไหนและแก้ไขได้อย่างไร โดยเฉพาะกรณีที่ข้อมูลผิดอาจทำให้คนเสียโอกาส
- ตรวจเส้นทางร้องเรียนและหลักฐานย้อนหลัง ว่าองค์กรสามารถอธิบายได้หรือไม่ว่า AI ตัดสินจากอะไร ใครตรวจ และเกิดอะไรขึ้นหลังจากนั้น
มุมมองผู้เชี่ยวชาญ
“สิ่งที่ผมมองว่าน่ากลัวกว่าค่าปรับ €825 ล้าน คือองค์กรอาจไม่รู้ด้วยซ้ำว่า AI ของตัวเองกำลังตัดสินใจแทนคนอยู่ตรงไหน
ถ้าระบบมีอำนาจทำให้ใครสักคนเสียรายได้ เสียสิทธิ หรือ ถูกตัดออกจากบริการ จุดนั้นไม่ควรมีแค่คำว่า ‘AI ทำงานตามระบบ’ แต่ต้องตอบให้ได้ว่า ถ้า AI ผิด คนอยู่ตรงไหนเพื่อแก้ให้ทัน
สำหรับผม นี่คือบทเรียนที่ธุรกิจไทยควรเอากลับไปเช็กวันนี้เลย ไม่ต้องรอให้มีกฎหมายลงโทษแบบยุโรปก่อน”
ในอนาคต ผมมองว่า หากประเทศไทยบังคับใช้ กฎหมาย AI คงต้องมีการแก้ไขและปรับปรุงกฎหมาย PDPA ให้ทันสมัยเหมือน GDPR Aricle 22 อย่างแน่นอน
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
NL Times — “Dutch regulator fines Uber €825 mil. for letting algorithm deactivate drivers’ accounts” เผยแพร่ 21 สิงหาคม 2569
Reuters — “Dutch regulator fines Uber $966 million for automating driver suspensions” เผยแพร่ 21 สิงหาคม 2569
European Commission — ข้อมูลเรื่องข้อจำกัดของ Automated Decision-Making ภายใต้ GDPR Article 22
ETDA — เอกสารข้อเสนอแนะเกี่ยวกับการกำกับดูแล AI และข้อมูลส่วนบุคคล ซึ่งอธิบายความแตกต่างระหว่าง GDPR Article 22 กับกฎหมายไทย
