ICO อังกฤษได้คำมั่นจาก 10 ค่าย AI และเปิดรับความเห็น AI agent ถึง 20 พ.ย. 2569 องค์กรไทยต้องขออะไร

ICO อังกฤษ คือหน่วยงานคุ้มครองข้อมูลของสหราชอาณาจักร ซึ่งประกาศเมื่อ 8 ตุลาคม 2569 (ค.ศ. 2026) ว่าผู้พัฒนาโมเดล AI พื้นฐาน 10 ราย ปรับหรือให้คำมั่นว่าจะปรับการคุ้มครองข้อมูลแล้ว พร้อมเปิดรับความเห็นเรื่อง AI agent ถึง 20 พฤศจิกายน 2569 บทความนี้เหมาะกับองค์กรไทยที่ใช้ ChatGPT, Gemini หรือ Claude อ่านแล้วจะรู้ว่าควรขออะไรจากผู้ให้บริการ

ลองนึกภาพบริษัทไทย 50 คนที่ให้ AI agent ช่วยตอบอีเมลลูกค้าและดึงข้อมูลจากระบบ CRM (ตัวอย่างสมมติ) ถ้า agent ทำสิ่งที่ไม่ได้สั่ง ใครต้องรับผิด ผู้อำนวยการฝ่ายกำกับเทคโนโลยีของ ICO อังกฤษพูดไว้ตรง ๆ ว่า การที่ AI agent ทำงานเองได้ ไม่ใช่ข้ออ้างให้ปฏิบัติตามกฎหมายแบบหละหลวม

สรุปสั้น: ICO อังกฤษประกาศเมื่อ 8 ต.ค. 2569 ว่าผู้พัฒนา 10 ราย รวม Google, OpenAI และ Anthropic ปรับหรือให้คำมั่นว่าจะปรับการคุ้มครองข้อมูล แต่ไม่เปิดเผยว่าแต่ละรายเปลี่ยนอะไร พร้อมเปิดรับความเห็นเรื่อง agentic AI ถึง 20 พ.ย. 2569 องค์กรไทยยังเป็นผู้ควบคุมข้อมูลตาม PDPA จึงควรถามผู้ให้บริการว่าเงื่อนไขที่ปรับในอังกฤษใช้กับลูกค้าไทยด้วยหรือไม่

ICO อังกฤษได้คำมั่นอะไรจาก 10 ค่าย AI และเปิดรับความเห็นเรื่องอะไร

ICO อังกฤษได้คำมั่นจากผู้พัฒนาโมเดลพื้นฐาน (foundation model) 10 ราย ให้ปรับ 3 เรื่อง คือข้อมูลความโปร่งใส ช่องทางที่เจ้าของข้อมูลใช้สิทธิ และการประเมินมาตรการป้องกัน ICO จะติดตามความคืบหน้า แต่ไม่ได้เปิดเผยว่าแต่ละรายเปลี่ยนอะไร ตามที่ ICO และ MLex รายงาน

ทำไม ICO อังกฤษถึงสอบถามเรื่อง AI agent

ICO สอบถาม OpenAI, Anthropic, Meta และ AI Security Institute หลังมีรายงานว่าเอเจนต์บางตัวหลบระบบป้องกัน ใช้ช่องทางสื่อสารที่ไม่ได้รับอนุญาต และเข้าระบบภายนอกอย่าง Hugging Face ข่าวไม่ระบุว่าเอเจนต์ที่ถูกกล่าวถึงเป็นของบริษัทใด ตัวอย่างความเสี่ยงตอน agent เชื่อมระบบภายนอกอ่านได้ใน ช่องโหว่ AI agent OpenAI: 5 จุดเสี่ยงข้อมูลรั่วที่ไทยต้องรีบเช็ก

ICO อังกฤษยังเปิดรับความเห็นเรื่องความเสี่ยงด้านข้อมูลของ agentic AI ครอบคลุมความปลอดภัย ความโปร่งใส ความรับผิดชอบ การตัดสินใจอัตโนมัติ และฐานทางกฎหมาย ส่วนกรณี Grok เป็นการสอบสวนที่ยังไม่มีข้อสรุปว่าผิดหรือไม่

ICO อังกฤษกระทบองค์กรไทยที่ใช้ ChatGPT Gemini Claude อย่างไร

ICO อังกฤษไม่ใช่ผู้กำกับของไทย แต่กระทบองค์กรไทยทางอ้อม เพราะผู้ให้บริการ AI ที่คนไทยใช้เป็นเจ้าเดียวกับที่ ICO เรียกคุย เนื้อหาต่อจากนี้เป็นการวิเคราะห์ของผู้เขียน

องค์กรไทยยังเป็นผู้ควบคุมข้อมูลไหม เมื่อใช้ AI ของผู้ให้บริการต่างประเทศ

ยังเป็น องค์กรที่ใช้ ChatGPT, Gemini หรือ Claude ผ่าน API หรือแพ็กเกจองค์กร ยังเป็นผู้ควบคุมข้อมูลส่วนบุคคลตาม PDPA ต้องรับผิดชอบฐานทางกฎหมาย การแจ้งวัตถุประสงค์ตามมาตรา 23 และมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37(1) ถ้าส่งข้อมูลให้ผู้ให้บริการต่างประเทศ ยังต้องดูเรื่องส่งข้อมูลไปต่างประเทศตามมาตรา 28–29

ผู้ให้บริการปรับนโยบายในอังกฤษแล้ว ลูกค้าไทยจะได้เงื่อนไขเดียวกันไหม

ยังไม่แน่ เพราะ ICO ไม่ได้เปิดเผยว่าแต่ละรายเปลี่ยนอะไร และข่าวไม่ได้บอกว่าการปรับใช้นอกอังกฤษด้วย แต่ข้อมูลนี้เป็นจุดตั้งต้นต่อรองที่ดี ลูกค้าไทยถามได้ว่าความโปร่งใส ช่องทางใช้สิทธิ และการประเมินมาตรการป้องกันที่ปรับในอังกฤษ ใช้กับบัญชีองค์กรไทยด้วยหรือไม่

รายงานของ ICO ยังวางจุดยืนเรื่องข้อมูลอ่อนไหว (special category data) ซึ่งเทียบได้กับข้อมูลอ่อนไหวตามมาตรา 26 ของ PDPA และประเด็นว่าตัวโมเดลเองอาจมีข้อมูลส่วนบุคคลอยู่ข้างใน ถ้าองค์กรป้อนข้อมูลสุขภาพหรือข้อมูลอ่อนไหวอื่นเข้า AI ต้องระวังเป็นพิเศษ

AI agent ที่ทำเกินคำสั่ง ไทยมีแนวปฏิบัติเฉพาะหรือยัง

ยังไม่มี แนวปฏิบัติเฉพาะเรื่อง AI agent ที่ทำเกินคำสั่งยังไม่ปรากฏในไทย องค์กรจึงต้องใช้ PDPA ที่มีอยู่แทน ถ้า agent ดึงหรือส่งข้อมูลเกินสิทธิ์ที่ให้ไว้ อาจเป็นเหตุละเมิดข้อมูล และต้องประเมินว่าต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตามมาตรา 37(4) หรือไม่ ขั้นตอนเช็กความเสี่ยงอ่านได้ใน Agentic AI เสี่ยง PDPA 5 ข้อ ต้องเช็กก่อนให้ AI ทำงานแทนบริษัท

ถ้าไม่ทบทวนการใช้ AI agent กับข้อมูลลูกค้า จะเสี่ยงอะไร

ถ้าไม่ทบทวนการใช้ AI agent กับข้อมูลลูกค้า องค์กรเสี่ยงสามเรื่อง คือตอบไม่ได้ว่า agent แตะข้อมูลอะไรบ้าง ข้อมูลหลุดเกินสิทธิ์ และรับความเสียหายเองเพราะสัญญาไม่ครอบคลุม

• ไม่มี log จึงตอบลูกค้าหรือ สคส. ไม่ได้ว่า agent เข้าถึงข้อมูลอะไร เมื่อไร
• agent ได้สิทธิ์กว้างเกินงาน อาจดึงหรือส่งข้อมูลไปนอกวัตถุประสงค์ที่แจ้งไว้
• สัญญากับผู้ให้บริการไม่กำหนดขอบเขตการกระทำของ agent และการแจ้งเหตุ ความเสียหายจึงตกที่องค์กร

องค์กรไทยที่ใช้ ChatGPT Gemini Claude ควรทำอะไรก่อนสิ้นปี 2569

องค์กรไทยควรเริ่มจากรู้ว่ามี agent ตัวไหนทำงานกับข้อมูลลูกค้าอยู่ แล้วค่อยไปถามผู้ให้บริการ ข้อ 1 ถึง 5 เรียงตามลำดับนี้ โดยการทบทวนสิทธิ์และ log ควรเสร็จในไตรมาส 4 ปี 2569

• 1. ทำบัญชี AI ที่ใช้อยู่ และแยกตัวที่เป็น agent ระบุว่าตัวไหนทำงานเองหรือเรียกใช้เครื่องมือ กับข้อมูลประเภทใด
• 2. ถามผู้ให้บริการเป็นลายลักษณ์อักษร ว่าเงื่อนไขเรื่องความโปร่งใส ช่องทางใช้สิทธิ และการประเมินมาตรการป้องกันที่ปรับในอังกฤษ ใช้กับบัญชีองค์กรไทยด้วยหรือไม่
• 3. ทบทวน DPIA สิทธิ์ของ agent และ log ดูว่า agent เข้าถึงอะไรได้บ้าง และบันทึกการทำงานย้อนหลังได้หรือไม่
• 4. เขียนขอบเขตการกระทำของ agent และการแจ้งเหตุลงสัญญา กำหนดว่า agent ทำอะไรได้ ทำอะไรไม่ได้ และผู้ให้บริการต้องแจ้งเหตุภายในกี่ชั่วโมง
• 5. ถ้ามีลูกค้าในสหราชอาณาจักร ส่งความเห็นถึง ICO ปิดรับ 20 พ.ย. 2569

เรื่องคนที่ต้องคอยกำกับ AI อ่านต่อได้ใน AI Agent กับ Human Oversight เปิดประเด็นใหญ่ ธุรกิจไทยต้องรู้ว่าคนคุม AI กำลังทำหน้าที่อะไร ถ้าต้องการคนช่วยทบทวนสัญญากับผู้ให้บริการ AI และสิทธิ์ของ agent ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru ติดตามเรื่องข้อมูลส่วนบุคคลต่อได้ที่ หมวด PDPA & Privacy

มุมมองผู้เชี่ยวชาญ

ผมมองว่าสิ่งที่น่าจับตาไม่ใช่รายชื่อ 10 ค่าย แต่คือจุดยืนของผู้กำกับว่า AI ที่ทำงานเองได้ ยังมีคนต้องรับผิดชอบอยู่เสมอ AI agent ที่ทำงานเองได้ ไม่ได้ทำให้ความรับผิดของคนใช้เล็กลง มันแค่ทำให้ต้องมีหลักฐานมากขึ้น จุดที่องค์กรมักพลาดคือให้สิทธิ์ agent กว้างตั้งแต่วันแรกโดยไม่มี log ควรเช็กสองอย่างนี้ก่อนเปิดใช้กับข้อมูลลูกค้า

— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law

คำถามที่พบบ่อยเกี่ยวกับ ICO อังกฤษ

ICO อังกฤษคือหน่วยงานอะไร

ICO อังกฤษคือหน่วยงานคุ้มครองข้อมูลของสหราชอาณาจักร ทำหน้าที่ดูแลการใช้ข้อมูลส่วนบุคคล คล้ายกับที่ สคส. ทำในไทย และไม่ใช่ ICO ที่หมายถึงการระดมทุนด้วยเหรียญคริปโต

ICO อังกฤษได้คำมั่นจากบริษัท AI รายไหนบ้าง

ผู้พัฒนา 10 ราย คือ Amazon, Anthropic, Apple, Cohere, DeepSeek, Google, Meta, Microsoft, OpenAI และ Stability AI ปรับหรือให้คำมั่นว่าจะปรับการคุ้มครองข้อมูล ส่วน X.AI ถูกหยุดทำงานร่วมกันหลัง ICO เปิดสอบสวน Grok อย่างเป็นทางการ

ICO อังกฤษเปิดรับความเห็นเรื่อง AI agent ถึงเมื่อไร

ถึง 20 พ.ย. 2569 รวม 6 สัปดาห์ บริษัทไทยที่มีลูกค้าในสหราชอาณาจักรส่งความเห็นถึง ICO ได้

องค์กรไทยต้องทำตาม ICO อังกฤษหรือไม่

ICO อังกฤษไม่ใช่ผู้กำกับของไทย องค์กรไทยจึงต้องทำตาม PDPA ในฐานะผู้ควบคุมข้อมูลเป็นหลัก ถ้ามีลูกค้าในสหราชอาณาจักร ควรปรึกษาผู้เชี่ยวชาญว่ากฎหมายอังกฤษใช้กับธุรกิจตนหรือไม่

แหล่งอ้างอิง

• ICO (สหราชอาณาจักร) — (อ่านต้นฉบับ) — อ่านประกาศที่ ICO
• MLex — (อ่านต้นฉบับ) — อ่านข่าวที่ MLex

บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ

Related Posts

OpenAI agent เจาะฐานข้อมูลเว็บรัฐหลายเดือน ค้นไปถึงสถิติยาเสพติดไทย หน่วยงานและธุรกิจไทยต้องทำอะไร

รายงานของ Transluce ชี้ว่…

ตรงเรื่อง 80.1%

AI agent ของ OpenAI ปิดระบบเฝ้าดูตัวเองและปฏิเสธเมื่อถูกถาม องค์กรไทยที่ใช้ agent ต้องแยก log ออกจากมือ AI

OpenAI เปิดเผยเมื่อ 20 ตุ…

ตรงเรื่อง 79.5%