ใช้ AI ในองค์กรอย่างไรให้สอดคล้องกับ PDPA

ความเสี่ยงที่พบบ่อยเมื่อพนักงานใช้ AI กับข้อมูลส่วนบุคคล หลักการ PDPA ที่เกี่ยวข้อง ทางเลือกในการใช้ AI อย่างปลอดภัย และเช็กลิสต์สำหรับฝ่าย IT และฝ่ายกฎหมาย

เครื่องมือ AI ช่วยให้งานเขียน งานสรุป และงานวิเคราะห์เร็วขึ้นมาก จนพนักงานหลายคนเริ่มใช้ในงานประจำวันโดยที่องค์กรอาจยังไม่ได้วางแนวทาง คำถามที่ตามมาคือ ถ้าพนักงานนำข้อมูลลูกค้าหรือข้อมูลพนักงานไปใช้กับ AI องค์กรมีความเสี่ยงอะไรภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) และควรจัดการอย่างไร

บทความนี้เป็นข้อมูลทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำแนะนำทางกฎหมาย องค์กรควรปรึกษาผู้เชี่ยวชาญด้านกฎหมายสำหรับกรณีของตนเอง

ความเสี่ยงที่พบบ่อยในการใช้งานจริง

ความเสี่ยงส่วนใหญ่ไม่ได้มาจากเจตนาร้าย แต่มาจากความตั้งใจดีที่จะทำงานให้เร็วขึ้น เช่น

วางรายชื่อลูกค้าพร้อมเบอร์โทรลงในเครื่องมือ AI เพื่อให้ช่วยเขียนข้อความติดตามการขาย
อัปโหลดเรซูเม่ของผู้สมัครงาน เพื่อให้ AI ช่วยสรุปและเปรียบเทียบ
คัดลอกบทสนทนากับลูกค้าที่มีข้อมูลสุขภาพหรือข้อมูลการเงิน เพื่อให้ AI ช่วยร่างคำตอบ
อัปโหลดสัญญาหรือเอกสารภายใน เพื่อให้ AI ช่วยสรุปประเด็น

ในทุกกรณี ข้อมูลส่วนบุคคลถูกส่งออกไปยังผู้ให้บริการภายนอก ซึ่งองค์กรอาจไม่รู้ว่าข้อมูลถูกเก็บไว้ที่ใด นานเท่าไร และถูกนำไปใช้ต่ออย่างไร

หลักการ PDPA ที่เกี่ยวข้องกับการใช้ AI

PDPA ไม่ได้ห้ามการใช้ AI แต่หลักการหลายข้อของกฎหมายใช้กับการประมวลผลข้อมูลด้วย AI ด้วยเช่นกัน

มีฐานทางกฎหมายรองรับ การนำข้อมูลส่วนบุคคลไปใช้ ต้องมีฐานที่ชอบด้วยกฎหมาย เช่น ความยินยอม การปฏิบัติตามสัญญา หรือประโยชน์โดยชอบด้วยกฎหมาย และต้องสอดคล้องกับวัตถุประสงค์ที่แจ้งเจ้าของข้อมูลไว้
ใช้เท่าที่จำเป็น เก็บและใช้ข้อมูลเฉพาะที่จำเป็นต่อวัตถุประสงค์ หากงานสำเร็จได้โดยไม่ต้องใช้ชื่อหรือเลขบัตร ก็ไม่ควรส่งข้อมูลเหล่านั้นให้ AI
ข้อมูลอ่อนไหวต้องระวังเป็นพิเศษ ข้อมูลสุขภาพ ศาสนา ประวัติอาชญากรรม ข้อมูลชีวภาพ และข้อมูลประเภทอื่นที่กฎหมายกำหนด มีเงื่อนไขการใช้ที่เข้มงวดกว่าข้อมูลทั่วไป
การส่งข้อมูลไปต่างประเทศ บริการ AI จำนวนมากประมวลผลบนเซิร์ฟเวอร์นอกประเทศไทย ซึ่ง PDPA มีเงื่อนไขเฉพาะสำหรับการส่งข้อมูลส่วนบุคคลไปต่างประเทศ
ผู้ประมวลผลข้อมูล เมื่อใช้บริการภายนอกประมวลผลข้อมูลแทน องค์กรในฐานะผู้ควบคุมข้อมูลควรมีข้อตกลงกับผู้ให้บริการ และดูแลให้มีมาตรการรักษาความปลอดภัยที่เหมาะสม
มาตรการรักษาความปลอดภัย องค์กรต้องจัดให้มีมาตรการป้องกันการเข้าถึง การใช้ หรือการเปิดเผยข้อมูลโดยไม่ได้รับอนุญาต
แจ้งเหตุละเมิด หากเกิดเหตุข้อมูลรั่วไหลที่มีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล องค์กรมีหน้าที่แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ตามที่กฎหมายกำหนด
สิทธิของเจ้าของข้อมูล เจ้าของข้อมูลมีสิทธิขอเข้าถึง ขอแก้ไข หรือขอลบข้อมูล ซึ่งจะทำได้ยากหากข้อมูลกระจายไปอยู่ในเครื่องมือ AI หลายแห่งโดยไม่มีบันทึก

ทางเลือกในการใช้ AI อย่างปลอดภัย

องค์กรไม่จำเป็นต้องห้ามใช้ AI ทั้งหมด ทางเลือกที่ใช้กันทั่วไปมีหลายระดับ และมักใช้ผสมกัน

ทางเลือก 4 ระดับในการใช้ AI อย่างปลอดภัย

1. วางนโยบายการใช้ AI ให้ชัดเจน

เริ่มจากสิ่งที่ทำได้ทันทีและแทบไม่มีค่าใช้จ่าย คือกำหนดว่าเครื่องมือไหนอนุญาตให้ใช้ ข้อมูลประเภทไหนห้ามนำไปใช้กับ AI ภายนอก และต้องทำอะไรก่อนใช้ เช่น ลบชื่อ เลขบัตร และเบอร์โทรออกก่อน พร้อมอบรมพนักงานให้เข้าใจเหตุผล ไม่ใช่แค่ส่งประกาศ

2. เลือกบริการ AI ที่มีเงื่อนไขสำหรับองค์กร

บริการ AI หลายรายมีแพ็กเกจสำหรับองค์กร ที่มีเงื่อนไขไม่นำข้อมูลของลูกค้าไปฝึกโมเดล มีการเข้ารหัส กำหนดระยะเวลาเก็บข้อมูล และมีข้อตกลงการประมวลผลข้อมูล ควรอ่านเงื่อนไขเหล่านี้ให้ละเอียดก่อนอนุญาตให้ใช้กับข้อมูลภายใน

3. ใช้ระบบ AI ภายในที่ควบคุมสิทธิ์และบันทึกการใช้งาน

สำหรับงานที่ต้องใช้ข้อมูลภายในเป็นประจำ การมีระบบ AI ขององค์กรเองช่วยให้กำหนดได้ว่าใครเข้าถึงข้อมูลอะไร บันทึกได้ว่าใครถามอะไรและได้คำตอบจากเอกสารไหน และลบข้อมูลได้เมื่อมีคำขอจากเจ้าของข้อมูล

4. รัน AI บนเซิร์ฟเวอร์ขององค์กร

สำหรับข้อมูลที่อ่อนไหวที่สุด เช่น ข้อมูลสุขภาพ ข้อมูลการเงินของลูกค้า หรือความลับทางการค้า บางองค์กรเลือกรันโมเดล AI บนเซิร์ฟเวอร์ของตนเอง ข้อมูลจึงไม่ต้องออกนอกองค์กรเลย แลกกับต้นทุนเครื่องและการดูแลระบบที่สูงขึ้น

เช็กลิสต์สำหรับฝ่าย IT และฝ่ายกฎหมาย

สรุป

PDPA ไม่ได้เป็นอุปสรรคต่อการใช้ AI แต่เป็นกรอบที่ช่วยให้ใช้ AI ได้อย่างรับผิดชอบ จุดเริ่มต้นที่ดีที่สุดคือรู้ว่าพนักงานใช้อะไรอยู่ วางนโยบายที่ชัดเจนและปฏิบัติได้จริง แล้วเลือกเครื่องมือให้เหมาะกับระดับความอ่อนไหวของข้อมูล องค์กรที่วางแนวทางตั้งแต่ต้น จะใช้ประโยชน์จาก AI ได้เต็มที่กว่า และลดความเสี่ยงทั้งทางกฎหมายและชื่อเสียง