EIA กับ DPIA ทำอันไหนก่อน คือคำถามแรกของโครงการ AI เสี่ยงสูง DPIA เป็นการประเมินความเสี่ยงต่อสิทธิเจ้าของข้อมูลที่ สคส. ให้ทำก่อนเริ่มโครงการ ส่วน EIA ตามร่างคู่มือ สพธอ. กว้างกว่า รวมเป็นฟอร์มเดียวได้ เหมาะกับ DPO และทีม AI ที่ต้องการลำดับงานที่ชัด
- คู่มือ EIA ของ สพธอ. ยังเป็น (ร่าง) ไม่ใช่กฎหมาย ดัดแปลงจากเครื่องมือ Ethical Impact Assessment ของ UNESCO
- แนวทาง สคส. ให้ทำ DPIA ก่อนเริ่มโครงการ AI ที่เสี่ยงสูง เช่น ตัดสินใจอัตโนมัติ คัดกรองการจ้างงาน หรือประเมินผลงานพนักงาน
- EIA มี 3 ส่วน คือ กำหนดขอบเขต ประเมินตามหลักจริยธรรม และวิเคราะห์ผลกระทบ (Impact Mapping)
- หมวดความเป็นส่วนตัวของ EIA ถามตรง ๆ ว่าทำ DPIA แล้วหรือยัง สองงานจึงต่อกันได้โดยไม่ต้องทำซ้ำ
- EIA ควรทบทวนเมื่อวัตถุประสงค์ ข้อมูล ผู้ใช้ หรือโมเดลเปลี่ยน ส่วน สคส. แนะนำให้ทำ DPIA อย่างสม่ำเสมอ
ทีมที่เพิ่งทำ DPIA ให้ระบบ AI เสร็จ มักเจอคำถามต่อจากผู้บริหารว่า "แล้วต้องทำ EIA อีกไหม" คำตอบสั้น ๆ คือสองงานนี้ถามคนละคำถาม แต่ใช้ข้อมูลชุดเดียวกันได้เกือบทั้งหมด ถ้าวางลำดับให้ดี ทำรอบเดียวได้ทั้งสองงาน
บทความนี้วางสองเอกสารไว้คู่กัน เล่มแรกคือ (ร่าง) คู่มือการประเมินผลกระทบทางจริยธรรมปัญญาประดิษฐ์ (EIA Playbook) ของคณะทำงาน AI Governance Practice Center (AIGPC) ในสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (สพธอ.)
อีกเล่มคือหัวข้อ DPIA ใน แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งาน AI version 1.0 ของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล จากนั้นผู้เขียนเรียบเรียงทั้งสองเล่มเป็นแบบฟอร์มรวมที่ใช้ได้จริง
EIA กับ DPIA ต่างกันตรงไหน
DPIA ดูความเสี่ยงต่อสิทธิของเจ้าของข้อมูลส่วนบุคคลเป็นหลัก ส่วน EIA ดูผลกระทบทางจริยธรรมทั้งด้านบวกและด้านลบในวงกว้างกว่า รวมถึงความเป็นธรรม ความยั่งยืน และผลต่อสังคม แนวทาง สคส. วางบทบาทของ DPIA ไว้ในหัวข้อ 6.2 ว่า
องค์กรควรประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (Data Protection Impact Assessment: DPIA) เพื่อให้องค์กรสามารถบริหารจัดการความเสี่ยงให้อยู่ในระดับที่ยอมรับได้ก่อนเริ่มการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
ร่างคู่มือ EIA อธิบายตัวเองว่าเป็นเครื่องมือหนึ่งภายใต้ระบบธรรมาภิบาล AI โดยทำหน้าที่เชื่อมหลักจริยธรรมเข้ากับการตัดสินใจจริง
ดังนั้น EIA จึงทำหน้าที่เป็นกลไกเชื่อมโยงระหว่างหลักการด้านจริยธรรมของ AI กับการตัดสินใจในทางปฏิบัติ
| DPIA (แนวทาง AI ของ สคส.) | EIA (ร่างคู่มือ สพธอ.) | |
|---|---|---|
| ผู้ออก | คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล อาศัยมาตรา 16 (3) ของ พ.ร.บ.คุ้มครองข้อมูลฯ | คณะทำงาน AIGPC ของ สพธอ. ดัดแปลงจากเครื่องมือของ UNESCO |
| สถานะ | แนวปฏิบัติ version 1.0 ไม่มีสภาพบังคับตามกฎหมาย | ร่าง ยังไม่ใช่ฉบับสมบูรณ์ |
| คำถามหลัก | การใช้ข้อมูลส่วนบุคคลจำเป็นและได้สัดส่วนไหม เสี่ยงต่อสิทธิแค่ไหน ลดได้อย่างไร | ควรใช้ AI หรือไม่ ใครได้ใครเสีย กระทบหลักจริยธรรมมิติไหน |
| ขอบเขต | ข้อมูลส่วนบุคคลตลอดวงจรชีวิตของระบบ AI | 10 มิติของ UNESCO รวมความเป็นธรรม ความยั่งยืน การกำกับโดยมนุษย์ และความโปร่งใส |
| ทำเมื่อไร | ก่อนเริ่มโครงการที่เข้าเกณฑ์ความเสี่ยงสูง และทำอย่างสม่ำเสมอ | แนะนำที่สุดคือก่อนนำไปใช้ ทบทวนระหว่างใช้และเมื่อบริบทเปลี่ยน |
| ผลลัพธ์ | รายงาน DPIA พร้อมมาตรการลดความเสี่ยงและบันทึก Trade-off | ผลกระทบบวกและลบ มาตรการบรรเทา ผู้รับผิดชอบ และกำหนดเวลา |
เรื่องความจำเป็นและความได้สัดส่วน สองเล่มถามคล้ายกัน แนวทาง สคส. ให้ถามว่ามีวิธีอื่นที่กระทบความเป็นส่วนตัวน้อยกว่าหรือไม่ ร่าง EIA ให้ถามว่ามีทางเลือกที่ไม่ใช้ AI หรือไม่ แต่ EIA ไปไกลกว่าในบางเรื่อง เช่น ระบบอาจถูกใช้ให้คะแนนทางสังคมหรือเฝ้าระวังในวงกว้างหรือไม่ และกระทบความยั่งยืนหรือการจ้างงานอย่างไร
เมื่อไรต้องทำ DPIA และเมื่อไรควรทำ EIA
ให้เริ่มคัดกรองจาก DPIA ก่อน เพราะผูกกับหน้าที่ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มากกว่า หัวข้อ 6.2 ของแนวทาง สคส. ให้เกณฑ์โครงการความเสี่ยงสูงไว้สองชุด ชุดแรกคือการตัดสินใจอัตโนมัติที่มีผลทางกฎหมายหรือผลกระทบสำคัญต่อบุคคล เช่น อนุมัติสินเชื่อ คัดกรองการจ้างงาน และประเมินผลการปฏิบัติงานของพนักงาน ชุดที่สองคือ
นอกจากนี้ เกณฑ์ดังกล่าวควรครอบคลุมถึงกรณีเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอ่อนไหวตาม PDPA มาตรา 26 หรือข้อมูลส่วนบุคคลเกี่ยวกับผู้เยาว์เพื่อนำมาฝึกฝนโมเดล (Model Training) ในปริมาณมากหรือการใช้เทคโนโลยี AI เพื่อการเฝ้าระวังและติดตามพฤติกรรมของบุคคลในพื้นที่สาธารณะอย่างเป็นระบบ รวมถึงการใช้ Generative AI ที่อาจสร้างเนื้อหาที่บิดเบือนหรือส่งผลกระทบต่อชื่อเสียงและภาพลักษณ์ของบุคคล
ร่างคู่มือ EIA ไม่ได้วางเกณฑ์ว่าโครงการไหนต้องทำ แต่บอกว่าช่วงที่แนะนำที่สุดคือก่อนนำ AI ไปใช้งาน ทั้งระหว่างออกแบบ ระหว่างจัดหา และก่อนเปิดใช้จริง และต้องกลับมาทบทวนเมื่อบริบทเปลี่ยน
องค์กรควรพิจารณาทบทวนหรือประเมินซ้ำเมื่อมีการเปลี่ยนแปลงที่อาจส่งผลต่อผลกระทบทางจริยธรรมของ AI Use Case เช่น • มีการเปลี่ยนวัตถุประสงค์ของระบบ AI • มีการเปลี่ยนแหล่งข้อมูลหรือรูปแบบข้อมูลที่ใช้ • มีการเปลี่ยนกลุ่มผู้ใช้งานหรือผู้ได้รับผลกระทบ • มีการปรับปรุงโมเดล (Model) หรือเทคโนโลยีที่เกี่ยวข้อง • มีกฎหมาย ข้อกำหนด หรือบริบททางสังคมที่เปลี่ยนแปลงไป
| ถ้าโครงการ AI… | DPIA | EIA |
|---|---|---|
| ช่วยตัดสินเรื่องที่มีผลสำคัญต่อคน เช่น สินเชื่อ การจ้างงาน การประเมินพนักงาน | ควรทำก่อนเริ่ม (สคส. 6.2) | ควรทำ เพราะกระทบโอกาสและความเป็นธรรม |
| ฝึกโมเดลด้วยข้อมูลอ่อนไหวหรือข้อมูลผู้เยาว์ปริมาณมาก | ควรทำก่อนเริ่ม (สคส. 6.2) | ควรทำ |
| เฝ้าติดตามพฤติกรรมคนในพื้นที่สาธารณะอย่างเป็นระบบ | ควรทำก่อนเริ่ม (สคส. 6.2) | ควรทำ และเริ่มจากคำถามว่าควรใช้ AI หรือไม่ |
| ใช้ Generative AI ที่อาจสร้างเนื้อหาบิดเบือนเกี่ยวกับบุคคล | ควรทำ (สคส. 6.2) | ควรทำ |
| ใช้ข้อมูลส่วนบุคคลแต่ไม่ตัดสินอะไรแทนคน เช่น สรุปเอกสารภายใน | คัดกรองก่อน อาจไม่ถึงเกณฑ์ความเสี่ยงสูง | ทำแบบย่อเฉพาะส่วนกำหนดขอบเขตได้ |
| ไม่ใช้ข้อมูลส่วนบุคคลเลย เช่น พยากรณ์สต็อกสินค้า | ไม่ต้อง ถ้ายืนยันได้ว่าไม่มีข้อมูลที่ระบุตัวบุคคลได้ | ทำตามความเสี่ยง เช่น ผลต่อการจ้างงานหรือสิ่งแวดล้อม |
แถวสุดท้ายต้องระวัง คำว่า "ไม่มีข้อมูลส่วนบุคคล" ต้องพิสูจน์ได้ แนวทาง สคส. หัวข้อ 2.4 บอกว่าโมเดลที่ฝึกด้วยข้อมูลส่วนบุคคลไม่ถือเป็นข้อมูลนิรนามโดยอัตโนมัติ และภาคผนวก ค. ข้อ 1.3 ตอบว่าข้อมูลที่แปลงเป็นเวกเตอร์ก็อาจเป็นข้อมูลส่วนบุคคล ถ้ายังย้อนกลับหรือนำไปเทียบเพื่อระบุตัวได้
ทำสองงานให้จบในรอบเดียวได้อย่างไร
หลักคือให้ EIA เป็นโครงใหญ่ แล้วให้ DPIA เป็นหมวดที่ลงลึกเรื่องข้อมูลส่วนบุคคล ร่างคู่มือ EIA เปิดทางนี้ไว้เอง เพราะตารางคำถามในบทที่ 6 เรื่องความเป็นส่วนตัวมีข้อหนึ่งให้ระบุว่าทำ DPIA แล้วหรือยัง
ระบุว่ามีการประเมินผลกระทบด้านความเป็นส่วนตัว เช่น การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DataProtection Impact Assessment: DPIA) ก่อนนำระบบไปใช้หรือเมื่อมีการเปลี่ยนแปลงที่สำคัญหรือไม่ รวมถึงระบุความเสี่ยงต่อสิทธิและเสรีภาพของบุคคลและมาตรการที่ใช้ลดความเสี่ยง
- กำหนดขอบเขตครั้งเดียว ใช้คำถามส่วนที่ 1 ของ EIA ว่าระบบคืออะไร ใครใช้ ใครได้รับผลกระทบ ใครมีอำนาจตัดสินใจ และจำเป็นหรือได้สัดส่วนหรือไม่ ข้อมูลชุดนี้ใช้เป็นส่วนบรรยายลักษณะการประมวลผลใน DPIA ได้ทันที
- คัดกรองความเสี่ยงสูงตามแนวทาง สคส. ถ้าตกเกณฑ์ ให้ทำ DPIA เต็มรูปแบบในขั้นต่อไป
- ประเมินตามหลักการ 7 หมวดของ EIA ส่วนหมวดความเป็นส่วนตัวให้แนบ DPIA แทน ไม่ต้องตอบซ้ำ
- วิเคราะห์ผลกระทบรวม นำความเสี่ยงที่พบใน DPIA ไปวางใน Impact Mapping ร่วมกับผลกระทบด้านอื่น
- สรุปมาตรการ ผู้รับผิดชอบ และกำหนดเวลา แล้วส่งผู้มีอำนาจอนุมัติ พร้อมกำหนดรอบทบทวน
ข้อดีของลำดับนี้คือ DPO ไม่ต้องเขียนบริบทของระบบซ้ำสองรอบ และทีมที่ดูเรื่องจริยธรรมก็ไม่ต้องเดาเรื่องข้อมูลส่วนบุคคลเอง ขั้นตอนทำ DPIA ทีละขั้นอยู่ที่ DPIA ทำเมื่อไรและทำอย่างไร
อีกเรื่องที่แนวทาง สคส. ขอให้บันทึกใน DPIA ของระบบ AI โดยเฉพาะ คือการตัดสินใจที่ต้องแลกกัน
องค์กรควรระบุ ประเมิน และบันทึกการตัดสินใจที่ต้องแลกเปลี่ยนระหว่างกัน (Trade-offs) ที่เกิดขึ้นในการออกแบบระบบ AI เช่น ระหว่างความแม่นยำเชิงสถิติ (Statistical Accuracy) กับหลักการใช้ข้อมูลเท่าที่จำเป็น หรือระหว่างความสามารถในการอธิบายผลลัพธ์กับประสิทธิภาพของโมเดล พร้อมเหตุผลประกอบไว้ในรายงาน DPIA และในกรณีที่เหมาะสม ควรรับฟังความคิดเห็นของกลุ่มบุคคลที่อาจได้รับผลกระทบหรือผู้แทนของกลุ่มดังกล่าวประกอบการประเมินด้วย
หน้าตาของแบบฟอร์มรวม EIA + DPIA
ผู้เขียนเรียบเรียงตารางนี้จากคำถามในร่างคู่มือ EIA และหัวข้อ DPIA ในแนวทาง สคส. ใช้เป็นโครงเอกสารได้ทันที คอลัมน์ขวาบอกว่าแต่ละช่องอ้างอิงจากเล่มไหน หัวข้อใด
| ส่วน | คำถามที่ต้องตอบ | หลักฐานที่แนบ | ที่มา |
|---|---|---|---|
| A. ขอบเขต | ระบบ AI คืออะไร ใช้ทำอะไร อยู่ระยะไหนของวงจรชีวิต ใครใช้ ใครได้รับผลกระทบ ผู้ใช้เลือกไม่ใช้ได้ไหม | คำอธิบายระบบภาษาง่าย · ผังการไหลของข้อมูล | EIA 2.2.1 · สคส. 6.2 |
| B. ผู้รับผิดชอบ | ใครมีอำนาจตัดสินใจสูงสุด ใครดูเทคนิค ความเสี่ยง และการปฏิบัติตามกฎหมาย | ผังบทบาท · สถานะผู้ควบคุมหรือผู้ประมวลผลข้อมูล | EIA 2.2.2 · สคส. บทที่ 3 |
| C. ความจำเป็น | มีทางเลือกที่ไม่ใช้ AI หรือกระทบความเป็นส่วนตัวน้อยกว่าไหม ใช้ข้อมูลเท่าที่จำเป็นหรือไม่ | บันทึกทางเลือกที่พิจารณา · รายการตัวแปรข้อมูล | EIA 2.2.3 · สคส. 6.2 |
| D. เส้นที่ไม่ควรข้าม | ระบบเกี่ยวกับการให้คะแนนทางสังคม การเฝ้าระวังในวงกว้าง หรือผลกระทบที่ย้อนกลับได้ยากหรือไม่ | ความเห็นของทีมพร้อมเหตุผล | EIA 2.2.3 |
| E. ฐานทางกฎหมาย | ใช้ฐานใดตามมาตรา 24 หรือ 26 ถ้าใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย มี LIA หรือไม่ | RoPA · LIA | สคส. 4.5 |
| F. ความเสี่ยงต่อสิทธิ | อคติของอัลกอริทึม อธิบายผลไม่ได้ ข้อมูลถูกสกัดกลับจากโมเดล | ผลทดสอบอคติ · ผลทดสอบความทนทานต่อการโจมตี | สคส. 6.1 · 6.2 |
| G. Trade-off | ยอมแลกอะไรกับอะไร เช่น ความแม่นยำกับการใช้ข้อมูลเท่าที่จำเป็น และเพราะอะไร | บันทึกการตัดสินใจ | สคส. 6.2 |
| H. คนกำกับ | ระดับการมีส่วนร่วมของมนุษย์ ผู้ทบทวนกลับผลได้จริงไหม มีช่องทางโต้แย้งไหม | ขั้นตอนทบทวน · สถิติการกลับผล | EIA บทที่ 7 · สคส. 5.4 |
| I. ผู้มีส่วนได้ส่วนเสีย | ได้ฟังกลุ่มที่อาจได้รับผลกระทบหรือผู้แทนแล้วหรือยัง | บันทึกการรับฟังความเห็น | EIA 2.2.4 · สคส. 6.2 |
| J. Impact Mapping | ผลกระทบบวกและลบในแต่ละมิติ ให้ระดับตามเกณฑ์ 5 ข้อ | ตารางผลกระทบ | EIA บทที่ 10 |
| K. มาตรการและการติดตาม | มาตรการเชิงองค์กรและเชิงเทคนิค ผู้รับผิดชอบ กำหนดเวลา และรอบทบทวน | แผนดำเนินการ | EIA 1.7 · สคส. 6.2 |
ให้ระดับผลกระทบอย่างไรโดยไม่บวกคะแนน
ร่างคู่มือ EIA ใช้เกณฑ์ 5 ข้อ คือ ระดับของผลกระทบ ผู้ที่ได้รับผลกระทบ ระยะเวลา ความสามารถในการแก้ไขหรือเยียวยา และโอกาสเกิด แล้วเตือนไว้ตั้งแต่ต้นว่าเกณฑ์เหล่านี้ไม่ได้มีไว้รวมเป็นคะแนน
เกณฑ์เหล่านี้ไม่ได้นำไปคำนวณเป็นคะแนนรวม แต่ใช้เพื่อเปรียบเทียบผลกระทบและบันทึกเหตุผลประกอบการตัดสินใจอย่างเป็นระบบ
เกณฑ์ที่ผู้เขียนเห็นว่าใช้ประโยชน์ได้มากที่สุดคือเรื่องการเยียวยา เพราะบังคับให้ทีมมองจากฝั่งคนที่เสียหาย ไม่ใช่จากฝั่งระบบ
การประเมินควรมองจากมุมของผู้ที่ได้รับผลกระทบ ไม่ใช่พิจารณาเพียงว่าองค์กรสามารถแก้ไขระบบทางเทคนิคได้หรือไม่ เช่น แม้จะแก้ไขข้อมูลในระบบได้ทันที แต่หากบุคคลสูญเสียโอกาสหรือได้รับความเสียหายไปแล้ว ผลกระทบนั้นอาจยังไม่ถือว่าแก้ไขได้ง่าย
สมมติว่าระบบคัดใบสมัครตัดผู้สมัครคนหนึ่งออกเพราะอ่านวุฒิผิด ทีมไอทีแก้ข้อมูลได้ในวันเดียว แต่ตำแหน่งนั้นรับคนไปแล้ว ตามเกณฑ์นี้ความสามารถในการเยียวยาจึงไม่ควรได้ระดับสูง และ DPIA ของโครงการเดียวกันควรมีช่องทางให้ผู้สมัครขอให้คนทบทวนผลตามหัวข้อ 5.4 ของแนวทาง สคส.
ความผิดพลาดที่ทำให้การประเมินไม่มีประโยชน์
แนวทาง สคส. ให้ประเมินก่อนเริ่มเก็บ ใช้ หรือเปิดเผยข้อมูล ร่างคู่มือ EIA ก็ระบุว่าช่วงก่อนนำไปใช้คือช่วงที่แนะนำที่สุด
ร่างคู่มือ EIA ให้ตั้งทีมหลายสาขา ทั้งเทคนิค กฎหมาย ธุรกิจ สังคมศาสตร์ และการดำเนินงาน และเปิดให้ผู้มีส่วนได้ส่วนเสียเข้าร่วม
แนวทาง สคส. ภาคผนวก ค. ข้อ 1.3 ถือว่าเวกเตอร์อาจเป็นข้อมูลส่วนบุคคลถ้าย้อนกลับหรือเทียบเพื่อระบุตัวได้
ร่าง EIA ให้ประเมินซ้ำเมื่อวัตถุประสงค์ ข้อมูล ผู้ใช้ โมเดล หรือกฎหมายเปลี่ยน แนวทาง สคส. ให้ทำ DPIA อย่างสม่ำเสมอเมื่อใช้ AI ตัดสินเรื่องสำคัญเกี่ยวกับบุคคล
ขั้นสุดท้ายของ EIA คือกำหนดแนวทางดำเนินงาน ผู้รับผิดชอบ และระยะเวลา พร้อมวิธีติดตามผลต่อเนื่อง
ใครควรอยู่ในทีมประเมิน
ร่างคู่มือ EIA วางวิธีทำงานไว้ 6 ขั้น เริ่มจากกำหนดผู้รับผิดชอบโครงการ จัดทีม ให้แต่ละคนตอบส่วนของตัวเองก่อน ประชุมเชิงปฏิบัติการร่วมกัน เปิดให้ผู้มีส่วนได้ส่วนเสียเข้าร่วม แล้วสรุปผล ขั้นที่ทีมส่วนใหญ่ทำไม่ถึงคือการจัดทีมให้หลากหลายจริง
จัดตั้งทีมที่ประกอบด้วยผู้บริหารหรือหัวหน้าทีมที่มีหน้าที่รับผิดชอบเพื่อสนับสนุนและกำหนดวิสัยทัศน์ รวมถึงผู้มีความเชี่ยวชาญจากหลากหลายสาขาและผู้มีส่วนได้ส่วนเสียที่เกี่ยวข้อง เช่น ด้านเทคนิค กฎหมาย ธุรกิจ สังคมศาสตร์ และการดำเนินงาน เพื่อให้การประเมินสะท้อนมุมมองที่รอบด้าน ครอบคลุมทั้งประเด็นทางเทคนิคและผลกระทบต่อสังคม
สำหรับบริษัทขนาดกลาง ทีมขั้นต่ำที่ผู้เขียนแนะนำคือ เจ้าของกระบวนการที่จะใช้ AI, DPO, ผู้ดูแลระบบหรือผู้ให้บริการ AI, ผู้แทนฝ่ายที่ได้รับผลกระทบ เช่น HR ถ้าระบบแตะพนักงาน และผู้บริหารที่มีอำนาจอนุมัติ
ผลประเมินควรขึ้นไปถึงคณะกรรมการกำกับดูแล AI ตามที่อธิบายไว้ใน บอร์ดต้องถามอะไรก่อนอนุมัติโครงการ AI ถ้าระบบเกี่ยวกับงานบุคคล อ่านต่อที่ AI เข้ามาในงาน ฝ่ายบุคคลต้องออกแบบงานใหม่อย่างไร
ถ้ายังไม่แน่ใจว่าระบบไหนควรเข้าแบบประเมินก่อน ลองไล่ แบบเช็กความเสี่ยง AI ทีละระบบ ส่วนองค์กรที่ต้องทำเรื่องนี้เป็นงานประจำ AIPDPA มีพื้นที่ทำ DPIA ทะเบียนระบบ AI และ AI Risk Radar ไว้ในที่เดียว ดูบัญชีตัวอย่าง
คำถามที่พบบ่อย
EIA เป็นข้อบังคับตามกฎหมายหรือไม่?
ไม่ใช่ คู่มือ EIA ของ สพธอ. ยังเป็นร่างและเป็นแนวปฏิบัติ ไม่ใช่กฎหมาย องค์กรนำไปใช้เพื่อเตรียมตัวและทำให้การตัดสินใจเรื่อง AI มีเหตุผลรองรับ ส่วน DPIA ตามแนวทาง AI ของ สคส. ก็เป็นแนวปฏิบัติเช่นกัน แต่เป็นวิธีแสดงว่าองค์กรดูแลความเสี่ยงตามหน้าที่ใน พ.ร.บ.คุ้มครองข้อมูลฯ
ทำ DPIA แล้ว ยังต้องทำ EIA อีกไหม?
ขึ้นกับโครงการ ถ้า AI กระทบโอกาส ความเป็นธรรม หรือคนกลุ่มเปราะบาง EIA ช่วยตอบเรื่องที่ DPIA ไม่ครอบคลุม เช่น ความยั่งยืนและผลต่อการจ้างงาน แต่ไม่ต้องเริ่มใหม่ทั้งหมด นำข้อมูลขอบเขตและผล DPIA ไปใช้ต่อในแบบ EIA ได้
ใครควรเป็นผู้ลงนามรับผลประเมิน?
ทั้งสองเล่มไม่ได้ระบุตำแหน่งผู้ลงนาม ร่างคู่มือ EIA ให้ระบุผู้มีอำนาจตัดสินใจสูงสุดของระบบ AI ไว้ในส่วนกำหนดขอบเขต และแนวทาง สคส. แนะนำผู้บริหารไม่ให้อนุมัติโครงการเสี่ยงสูงก่อนทำ DPIA ในทางปฏิบัติจึงควรเป็นผู้มีอำนาจอนุมัติโครงการ
ระบบ AI ที่ซื้อสำเร็จรูปต้องประเมินด้วยไหม?
ควรประเมิน ร่างคู่มือ EIA ให้ทำตั้งแต่ขั้นจัดหา (Procurement) และแนวทาง สคส. ภาคผนวก ข. ใส่ DPIA ไว้ในรายการตรวจสำหรับการจัดหาและใช้งานระบบ AI โดยเฉพาะเมื่อใช้ตัดสินใจอัตโนมัติหรือใช้ข้อมูลอ่อนไหว
ต้องใช้แบบฟอร์มของ สพธอ. เท่านั้นหรือไม่?
ไม่จำเป็น ร่างคู่มือเป็นแนวทางให้ปรับใช้ องค์กรออกแบบฟอร์มเองได้ถ้าตอบคำถามสำคัญครบ แบบฟอร์มรวมในบทความนี้เป็นตัวอย่างหนึ่งที่ผู้เขียนเรียบเรียงจากสองเล่ม
ตัวบทและแหล่งอ้างอิง
- (ร่าง) คู่มือการประเมินผลกระทบทางจริยธรรมปัญญาประดิษฐ์ (EIA Playbook) — AIGPC สพธอ. (ร่าง · แนวปฏิบัติ ไม่ใช่กฎหมาย) — บทสรุปผู้บริหาร · 1.5 · 1.6 · 1.7 · 2.2 · บทที่ 6 · 10.6
- แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ version 1.0 — คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (แนวทาง ไม่ใช่กฎหมาย) — 2.4 · 5.4 · 6.1 · 6.2 · ภาคผนวก ข.–ค.
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)