PDPA กับการใช้ AI: ข้อมูลไหนส่งให้ AI ได้ ข้อมูลไหนไม่ควร

เข้าใจหลัก PDPA ที่เกี่ยวกับการใช้ AI ในงาน ข้อมูลส่วนบุคคล ข้อมูลอ่อนไหว การส่งข้อมูลไปต่างประเทศ และเช็กลิสต์ก่อนกด Enter

คุณได้รับไฟล์ Excel รายชื่อลูกค้า 500 คน มีชื่อ เบอร์โทร อีเมล และประวัติการซื้อ หัวหน้าขอให้สรุปว่าลูกค้ากลุ่มไหนน่าติดต่อกลับก่อน วิธีที่เร็วที่สุดคือแนบไฟล์ทั้งก้อนเข้า AI Chatbot แล้วถาม แต่ก่อนจะกด Enter ลองหยุดคิดสักนิด เพราะสิ่งที่คุณกำลังทำคือการส่งข้อมูลส่วนบุคคลของคน 500 คนออกไปนอกองค์กร และนั่นคือเรื่องที่ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล หรือ PDPA เข้ามาเกี่ยวข้องโดยตรง

PDPA คืออะไร และเกี่ยวกับ AI ยังไง

PDPA คือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งกรมประชาสัมพันธ์ระบุว่ามีผลบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2565 กฎหมายนี้ให้สิทธิ์กับเจ้าของข้อมูล และกำหนดหน้าที่ให้องค์กรที่เก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

ข้อมูลส่วนบุคคลคือข้อมูลที่ทำให้ระบุตัวบุคคลที่ยังมีชีวิตได้ ไม่ว่าทางตรงหรือทางอ้อม เช่น ชื่อ เบอร์โทร อีเมล ที่อยู่ หรือตัวระบุออนไลน์ เมื่อคุณส่งข้อมูลแบบนี้ให้บริการ AI ประมวลผล นั่นคือการใช้หรือเปิดเผยข้อมูลส่วนบุคคล ซึ่งต้องทำให้ถูกหลักเหมือนการส่งข้อมูลให้บุคคลภายนอกรายอื่น

3 ประเภทข้อมูลที่ต้องแยกให้ออก

1. ข้อมูลทั่วไปที่ไม่ระบุตัวบุคคล

เช่น ยอดขายรวมรายเดือน เนื้อหาบทความ ข้อมูลสินค้า ข้อมูลกลุ่มนี้ใช้กับ AI ได้คล่องตัวที่สุด แต่ยังต้องดูเรื่องความลับทางการค้าของบริษัท

2. ข้อมูลส่วนบุคคล

ชื่อ เบอร์โทร อีเมล ประวัติการซื้อที่ผูกกับตัวคน ต้องมีฐานทางกฎหมายรองรับการใช้งาน และใช้ให้ตรงวัตถุประสงค์ที่แจ้งเจ้าของข้อมูลไว้

3. ข้อมูลอ่อนไหว (Sensitive Data)

มาตรา 26 ของ PDPA กำหนดให้ข้อมูลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม และข้อมูลชีวภาพ เป็นข้อมูลอ่อนไหวที่มีเงื่อนไขเข้มกว่า กลุ่มนี้ไม่ควรใส่ลงเครื่องมือ AI ทั่วไปเลย

เรื่องที่คนมักมองข้ามเมื่อใช้ AI

• ความยินยอมไม่ใช่ทางเดียว: แนวทางของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลเรื่องการขอความยินยอมระบุว่า ความยินยอมเป็นฐานทางกฎหมายสุดท้าย ให้พิจารณาฐานอื่นตามมาตรา 24 และ 26 ก่อน แต่ไม่ว่าฐานไหน ต้องใช้ข้อมูลตรงกับวัตถุประสงค์
• ผู้ให้บริการ AI อาจเป็นผู้ประมวลผลข้อมูล: ผู้ประมวลผลต้องทำตามคำสั่งของผู้ควบคุมข้อมูลเท่านั้น องค์กรจึงควรมีสัญญาหรือเงื่อนไขการประมวลผลข้อมูลที่ชัดเจน
• เซิร์ฟเวอร์อยู่ต่างประเทศ: PDPA มีหลักเกณฑ์เรื่องการส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศ ซึ่งปลายทางต้องมีมาตรฐานการคุ้มครองที่เพียงพอ หรือเข้าข้อยกเว้นตามมาตรา 28 หรือมีมาตรการคุ้มครองที่เหมาะสม
• ข้อมูลหลุดต้องแจ้ง: ผู้ควบคุมข้อมูลต้องแจ้งเหตุละเมิดต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยไม่ชักช้า ภายใน 72 ชั่วโมงเท่าที่ทำได้ เว้นแต่เหตุนั้นไม่มีความเสี่ยงที่จะกระทบสิทธิของเจ้าของข้อมูล และหากมีความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลด้วย

นอกจากนี้ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ออกแนวปฏิบัติเรื่องการคุ้มครองข้อมูลส่วนบุคคลในการพัฒนาและใช้งานปัญญาประดิษฐ์ ซึ่ง Tilleke & Gibbins สรุปไว้ ว่าไม่มีผลผูกพันทางกฎหมาย แต่สะท้อนการตีความ PDPA ของคณะกรรมการ ประเด็นที่ควรรู้คือ Prompt ที่มีข้อมูลระบุตัวบุคคล Log การใช้งาน และผลลัพธ์จาก AI ที่ระบุตัวคนได้ ล้วนเป็นข้อมูลส่วนบุคคลได้ และสัญญากับผู้ให้บริการ AI ควรห้ามนำข้อมูลของลูกค้าไปใช้โดยไม่ได้รับอนุญาต เช่น นำไปฝึกโมเดล

ก่อนส่งข้อมูลให้ AI ให้ถามตัวเองว่า ถ้าเจ้าของข้อมูลเห็นสิ่งที่ฉันกำลังทำ เขาจะโอเคไหม

ทำงานกับ AI ให้ปลอดภัยขึ้นได้ยังไง

• ตัดหรือแทนชื่อด้วยรหัส (เช่น ลูกค้า A001) ก่อนส่งให้ AI วิเคราะห์
• ส่งเฉพาะคอลัมน์ที่จำเป็น เช่น วิเคราะห์พฤติกรรมการซื้อไม่จำเป็นต้องมีเบอร์โทร
• ใช้บัญชีองค์กรที่ฝ่าย IT อนุมัติ และอ่านเงื่อนไขว่าผู้ให้บริการนำข้อมูลไปใช้ฝึกโมเดลหรือไม่
• ใช้ระบบ RAG ที่ควบคุมสิทธิ์การเข้าถึงได้แทนการแปะไฟล์ทั้งก้อน อ่านเพิ่มที่ RAG คืออะไร

ข้อควรระวัง

บทความนี้เป็นข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย การปฏิบัติจริงขึ้นกับประเภทธุรกิจ สัญญา และข้อมูลที่ใช้ ควรปรึกษาเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) หรือนักกฎหมายที่เชี่ยวชาญ PDPA ก่อนวางระบบ AI ที่ใช้ข้อมูลส่วนบุคคล และติดตามประกาศล่าสุดจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) อยู่เสมอ

เช็กลิสต์ก่อนกด Enter

1. ข้อมูลนี้ระบุตัวคนได้ไหม ถ้าได้ ตัดออกหรือแทนด้วยรหัสได้ไหม
2. มีข้อมูลอ่อนไหวตามมาตรา 26 ปนอยู่หรือเปล่า
3. การใช้ครั้งนี้ตรงกับวัตถุประสงค์ที่แจ้งเจ้าของข้อมูลไว้ไหม
4. เครื่องมือ AI นี้บริษัทอนุมัติแล้วหรือยัง
5. ถ้าข้อมูลหลุด คุณรู้ไหมว่าต้องแจ้งใคร

อยากเข้าใจ PDPA ในงานบุคคลเพิ่มเติม อ่าน PDPA กับข้อมูลผู้สมัครงาน และถ้าองค์กรของคุณกำลังวางกติกาการใช้ AI ทั้งระบบ เริ่มได้จาก AI Governance สำหรับ SME