ใช้ AI คัดใบสมัครหรือให้คะแนนพนักงาน คือกรณีความเสี่ยงสูงตามแนวทาง AI ของ สคส. ที่ควรทำ DPIA ก่อนเริ่ม และผู้ทบทวนผลต้องมีอำนาจกลับผลได้จริง เหมาะกับฝ่ายบุคคลและ DPO ได้ข้อควรระวังตาม PDPA มาตรา 23 26 และ 35 รวมถึงข้อกำหนด EU AI Act Annex III ข้อ 4 สำหรับบริษัทที่อยู่ในขอบเขต
- แนวทาง AI ของ สคส. ระบุให้ทำ DPIA ก่อนใช้ AI คัดกรองการจ้างงานหรือประเมินผลงานพนักงาน และแนะนำผู้บริหารไม่ให้อนุมัติก่อนประเมินเสร็จ
- คนที่แค่กดยืนยันผลของ AI ไม่นับเป็นการทบทวน ผู้ทบทวนต้องดูข้อมูลเพิ่ม มีอำนาจกลับผล และรู้ทันการคล้อยตามระบบ
- PDPA มาตรา 23 ให้แจ้งผู้สมัครก่อนหรือขณะเก็บข้อมูล มาตรา 26 ห้ามเก็บข้อมูลอ่อนไหว เช่น ศาสนา สุขภาพ ข้อมูลชีวภาพ โดยไม่มีฐาน
- ถ้าอยู่ในขอบเขต EU AI Act ระบบสรรหาและประเมินพนักงานเป็นความเสี่ยงสูงตาม Annex III ข้อ 4 หน้าที่เริ่ม 2 ธ.ค. 2027
- EU AI Act ห้ามใช้ AI อนุมานอารมณ์คนในที่ทำงานตาม Article 5(1)(f) ยกเว้นเหตุทางการแพทย์หรือความปลอดภัย ใช้แล้วตั้งแต่ 2 ก.พ. 2025
สมมติว่าบริษัทค้าปลีกแห่งหนึ่งเปิดรับพนักงานหน้าร้านพร้อมกันหลายร้อยตำแหน่ง ใบสมัครเข้ามาเป็นพันฉบับ ฝ่ายบุคคลจึงซื้อระบบ AI ที่อ่านเรซูเม่แล้วให้คะแนน ใครได้ต่ำกว่าเกณฑ์จะได้อีเมลปฏิเสธอัตโนมัติ และไม่มีใครเปิดดูใบสมัครเหล่านั้นอีกเลย
ระบบแบบนี้ช่วยงานได้จริง แต่ก็เป็นกรณีที่แนวทาง AI ของ สคส. หยิบมาเตือนเองว่าเสี่ยงสูง ปัญหาไม่ได้อยู่ที่ตัว AI แต่อยู่ที่ไม่มีใครรู้ว่าระบบตัดคนออกเพราะอะไร ไม่มีใครมีหน้าที่ทวนผล และผู้สมัครไม่รู้ด้วยซ้ำว่ามี AI อยู่ในกระบวนการ
บทความนี้วางสามแหล่งไว้ด้วยกัน คือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่ใช้กับทุกบริษัทในไทย แนวทางการดำเนินการเรื่อง AI ของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ซึ่งเป็นแนวทาง ไม่ใช่ตัวบท และ EU AI Act ซึ่งใช้กับบริษัทไทยเฉพาะเมื่อเข้าขอบเขต
| แหล่ง | สถานะ | ใช้กับใคร | ประเด็นหลักสำหรับ HR |
|---|---|---|---|
| พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 | กฎหมาย ใช้บังคับอยู่ | ทุกบริษัทที่เก็บข้อมูลผู้สมัครและพนักงาน | แจ้งรายละเอียด (มาตรา 23) · ข้อมูลอ่อนไหว (มาตรา 26) · ความถูกต้องของข้อมูล (มาตรา 35) |
| แนวทาง AI ของ สคส. version 1.0 | แนวทาง ไม่ใช่ตัวบท | ผู้ควบคุมข้อมูลที่พัฒนาหรือใช้ AI | DPIA ก่อนใช้ · การทบทวนโดยมนุษย์ที่มีความหมาย · แจ้งการใช้ AI ในการตัดสินใจ |
| EU AI Act | กฎหมายต่างประเทศ ไม่ผูกพันในไทย | เฉพาะบริษัทที่เข้า Article 2 เช่น ผลลัพธ์ถูกใช้ใน EU | Annex III ข้อ 4 · หน้าที่ผู้นำไปใช้ตาม Article 26 · ห้ามอนุมานอารมณ์ในที่ทำงาน |
แนวทาง AI ของ สคส. พูดถึงงานบุคคลไว้อย่างไร?
พูดไว้ตรง ๆ ว่าการใช้ AI คัดกรองการจ้างงานและประเมินผลการปฏิบัติงานของพนักงาน เป็นกรณีความเสี่ยงสูงที่ควรทำ DPIA เอกสารนี้ชื่อเต็มคือ “แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์” version 1.0 ที่ สคส. จัดทำร่วมกับ สพธอ.
หากมีการดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลกับระบบ AI ที่มีลักษณะความเสี่ยงสูง (High Risk) และควรจัดทำ DPIA ได้แก่ การนำระบบ AI มาใช้ในกระบวนการตัดสินใจอัตโนมัติ (Automated Decision-Making) ที่มีผลกระทบทางกฎหมายหรือผลกระทบอย่างมีนัยสำคัญต่อบุคคล เช่น การใช้ AI ในการพิจารณาอนุมัติสินเชื่อ การคัดกรองการจ้างงาน หรือการประเมินผลการปฏิบัติงานของพนักงาน
ท้ายหัวข้อเดียวกันมีกล่องข้อแนะนำสำหรับผู้บริหาร ว่าไม่ควรอนุมัติโครงการ AI ความเสี่ยงสูงอย่างการคัดกรองพนักงาน จนกว่าจะทำ DPIA เพื่อตรวจและอุดช่องโหว่ที่เกี่ยวกับ AI ก่อน ถ้อยคำของแนวทางใช้คำว่า “ควร” จึงไม่ใช่หน้าที่ตามตัวบทโดยตรง แต่ในมุมของเรา ถ้ามีเรื่องร้องเรียนขึ้นมา การไม่ทำตามสิ่งที่ผู้กำกับดูแลเขียนแนะนำไว้ชัดขนาดนี้ อธิบายได้ยาก วิธีทำ DPIA ทีละขั้นอยู่ใน DPIA ต้องทำเมื่อไรและทำอย่างไร
ตัวอย่างที่แนวทางยกมาเอง
บริษัทขนาดใหญ่ใช้ AI คัดกรองใบสมัครงาน เพื่อคัดเลือกผู้เข้าสัมภาษณ์ หากระบบ AI เรียนรู้จากข้อมูลในอดีตที่มีความเหลื่อมล้ำทางเพศ เช่น เลือกแต่ผู้ชายในตำแหน่งวิศวกร ระบบอาจทำการคัดใบสมัครงานของผู้สมัครหญิงที่มีคุณสมบัติครบถ้วนออกโดยอัตโนมัติ
ต่อจากตัวอย่างนี้ แนวทางแนะนำให้มีกลไกตรวจอคติของอัลกอริทึมและดูแลความเป็นธรรม มีระบบตรวจและแก้ข้อมูลส่วนบุคคลให้ถูกต้อง และมีช่องทางให้เจ้าของข้อมูลใช้สิทธิได้ตามกฎหมาย เรื่องความถูกต้องของข้อมูลนี้ผูกกับตัวบทโดยตรง
ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการให้ข้อมูลส่วนบุคคลนั้นถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด
ถ้าระบบให้คะแนนจากข้อมูลที่ผิดหรือเก่าเกินไป เช่น อ่านวุฒิการศึกษาผิด หรือดึงผลประเมินเมื่อหลายปีก่อนมาใช้ คะแนนที่ออกมาก็ทำให้เข้าใจผิดเกี่ยวกับตัวคนนั้นได้ ฝ่ายบุคคลจึงควรเปิดทางให้ผู้สมัครหรือพนักงานขอแก้ข้อมูล และจดไว้ว่าแก้อะไร เมื่อไร
ให้คนกดยืนยันผลของ AI นับเป็นการทบทวนไหม?
ไม่นับ ถ้าคนทำแค่กดยืนยันตามที่ระบบเสนอ แนวทางของ สคส. เรียกแบบนี้ว่า Rubber-stamping และบอกว่าการตัดสินใจนั้นยังมีลักษณะเป็นการตัดสินใจอัตโนมัติตามข้อเท็จจริง
การทบทวนโดยมนุษย์จะถือว่ามีความหมาย (Meaningful Human Review) ต่อเมื่อผู้ทบทวน (1) พิจารณาผลลัพธ์ของระบบประกอบข้อมูลและปัจจัยอื่นเพิ่มเติมภายหลังจากที่ระบบให้ผลลัพธ์ (2) มีอำนาจหน้าที่และความรู้ความสามารถเพียงพอที่จะกลับหรือแก้ไขผลของระบบได้จริง และ (3) ได้รับการฝึกอบรมให้รู้เท่าทันความเสี่ยงจากการคล้อยตามระบบ (Automation Bias)
พูดแบบงาน HR ก็คือ ผู้ทบทวนต้องเปิดดูใบสมัครจริงหรือข้อมูลอื่นประกอบ ไม่ใช่ดูแค่คะแนน ต้องเรียกผู้สมัครที่ระบบคัดออกกลับมาได้โดยไม่ต้องขออนุมัติหลายชั้น และต้องได้รับการอบรมว่าคนเรามักเชื่อตัวเลขที่เครื่องให้มามากเกินไป
หัวข้อ 5.4 ยังแนะนำให้แจ้งเจ้าของข้อมูลล่วงหน้าว่ามีการใช้ระบบที่มีอิทธิพลชี้ขาดต่อการตัดสินใจ พร้อมอธิบายขั้นตอนและหลักการที่ใช้จริงให้เขาเข้าใจว่าข้อมูลอะไรของตนถูกใช้ ไม่ต้องเปิดเผยอัลกอริทึมหรือซอร์สโค้ด แต่จะอ้างความลับทางการค้ามาปฏิเสธการอธิบายทั้งหมดไม่ได้ และควรมีช่องทางให้ขอให้คนทบทวน โต้แย้ง และแสดงข้อเท็จจริงเพิ่ม
PDPA ให้แจ้งผู้สมัครอะไร และข้อมูลแบบไหนห้ามแตะ?
ต้องแจ้งก่อนหรือขณะเก็บข้อมูล และห้ามเก็บข้อมูลอ่อนไหวถ้าไม่มีฐานตามมาตรา 26 สองเรื่องนี้ใช้กับทุกบริษัทในไทยตั้งแต่วันนี้ จะใช้ AI หรือไม่ก็ตาม
ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียด ดังต่อไปนี้
มาตรา 23 ไม่ได้เขียนคำว่า AI ไว้ แต่ภาคผนวก ข. ของแนวทาง AI ของ สคส. แนะนำให้ปรับประกาศความเป็นส่วนตัวให้ครอบคลุมการใช้ AI โดยยึดหลักมาตรา 23 และแจ้งด้วยว่ามีการนำ AI มาใช้ ประกาศรับสมัครงานจึงควรบอกว่าใบสมัครจะผ่านการคัดกรองด้วยระบบอัตโนมัติ ใช้ข้อมูลอะไร มีคนทบทวนหรือไม่ และขอให้ทบทวนได้ทางไหน ตัวอย่างการเขียนดูที่ ประกาศความเป็นส่วนตัวต้องมีอะไรบ้าง
ห้ามมิให้เก็บรวบรวมข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ
ระบบสัมภาษณ์ผ่านวิดีโอคือจุดที่ต้องระวังที่สุด มาตรา 26 วรรคสองนิยามข้อมูลชีวภาพว่าเป็นข้อมูลจากเทคโนโลยีที่ใช้ลักษณะเด่นทางกายภาพหรือพฤติกรรมยืนยันตัวตนคนได้ เช่น ข้อมูลภาพจำลองใบหน้า ถ้าระบบสร้างข้อมูลแบบนั้นขึ้นมา ก็เข้ากลุ่มข้อมูลอ่อนไหวทันที
อีกทางที่ข้อมูลอ่อนไหวหลุดเข้ามาคือตัวเรซูเม่ ผู้สมัครหลายคนเขียนศาสนา โรคประจำตัว หรือความพิการไว้เอง ทั้งที่บริษัทไม่ได้ขอ ทางที่ปลอดภัยคือตั้งให้ระบบไม่เอาช่องเหล่านี้มาคิดคะแนน และตัดออกก่อนส่งเข้าระบบถ้าทำได้ ส่วนการตรวจประวัติอาชญากรรมมีประกาศเฉพาะอีกฉบับ อ่านได้ใน ขอประวัติอาชญากรรมผู้สมัครงานได้แค่ไหน และหลักทั่วไปของมาตรา 26 อยู่ใน จัดการข้อมูลอ่อนไหวตามมาตรา 26
ถ้าผลลัพธ์ไปถึงยุโรป บริษัทไทยเจออะไรเพิ่ม?
เจอ EU AI Act ซึ่งโดยทั่วไปไม่ผูกพันบริษัทในไทย แต่ใช้เมื่อบริษัทเข้ากรณีใน Article 2 เช่น ขายระบบคัดกรองผู้สมัครให้ลูกค้าใน EU หรือใช้ AI ประเมินผู้สมัครแล้วส่งผลไปให้บริษัทใน EU ใช้ วิธีเช็กขอบเขตอยู่ใน EU AI Act ใช้กับบริษัทไทยเมื่อไร
(a) AI systems intended to be used for the recruitment or selection of natural persons, in particular to place targeted job advertisements, to analyse and filter job applications, and to evaluate candidates; (b) AI systems intended to be used to make decisions affecting terms of work-related relationships, the promotion or termination of work-related contractual relationships, to allocate tasks based on individual behaviour or personal traits or characteristics or to monitor and evaluate the performance and behaviour of persons in such relationships.
สองข้อนี้ครอบงาน HR เกือบทั้งสาย ตั้งแต่ยิงโฆษณารับสมัครแบบเจาะกลุ่ม คัดใบสมัคร ให้คะแนนผู้สมัคร ไปจนถึงเลื่อนตำแหน่ง เลิกจ้าง แจกงานตามพฤติกรรม และติดตามประเมินผลงาน และเพราะระบบพวกนี้ทำโปรไฟล์บุคคล วรรคท้ายของ Article 6(3) จึงให้ถือว่าเป็นความเสี่ยงสูงเสมอ อ้างข้อยกเว้นว่าเป็นแค่งานเตรียมการไม่ได้
สำหรับบริษัทที่เป็นผู้นำไปใช้ หน้าที่หลักอยู่ใน Article 26 เช่น ใช้ระบบตามคู่มือของผู้ให้บริการ มอบการกำกับดูแลให้บุคคลที่มีความสามารถ การฝึกอบรม และอำนาจ ดูแลข้อมูลที่ป้อนให้เกี่ยวข้องและเป็นตัวแทนที่เพียงพอ และเก็บ log ที่ระบบสร้างอย่างน้อยหกเดือน มีอีกหน้าที่หนึ่งที่เขียนถึงนายจ้างโดยตรง
Before putting into service or using a high-risk AI system at the workplace, deployers who are employers shall inform workers’ representatives and the affected workers that they will be subject to the use of the high-risk AI system.
หน้าที่ตาม Article 26 สำหรับระบบใน Annex III ใช้บังคับวันที่ 2 ธันวาคม 2027 ตาม Article 113 ที่แก้แล้ว แต่ข้อห้ามใน Article 5 ใช้มาตั้งแต่ 2 กุมภาพันธ์ 2025 และมีข้อหนึ่งที่ตรงกับเครื่องมือประเมินคนบางประเภทในตลาด
(f) the placing on the market, the putting into service for this specific purpose, or the use of AI systems to infer emotions of a natural person in the areas of workplace and education institutions, except where the use of the AI system is intended to be put in place or into the market for medical or safety reasons;
ระบบที่อ้างว่าอ่านความเครียด ความตั้งใจ หรือความพึงพอใจของพนักงานจากสีหน้าหรือน้ำเสียงในที่ทำงาน จึงเข้าข้อห้ามนี้ตรง ๆ สำหรับบริษัทที่อยู่ในขอบเขต ส่วนการใช้กับผู้สมัครระหว่างสัมภาษณ์ ควรให้ที่ปรึกษากฎหมาย EU ตีความว่าเข้าคำว่า workplace หรือไม่ บริษัทที่ไม่อยู่ในขอบเขต EU AI Act ไม่ได้ถูกบังคับด้วยข้อนี้ แต่ระบบแบบนี้ก็ยังควรผ่าน DPIA ตามแนวทางของ สคส. และต้องดูว่าสร้างข้อมูลชีวภาพตามมาตรา 26 หรือไม่
ฝ่ายบุคคลควรทำอะไรบ้าง ทีละขั้น?
ลำดับข้างล่างเรียงตามวงจรการใช้ระบบ ตั้งแต่ก่อนซื้อจนถึงหลังปิดรอบรับสมัคร ช่องขวาบอกว่าแต่ละขั้นอิงแหล่งไหน ขั้นที่อิงแนวทางของ สคส. เป็นแนวปฏิบัติที่แนะนำ ส่วนขั้นที่อิงมาตราของ PDPA เป็นหน้าที่ตามกฎหมาย
- ก่อนซื้อหรือเช่าระบบถามผู้ขายว่าระบบใช้ข้อมูลอะไรคิดคะแนน เคยทดสอบอคติอย่างไร และจะเอาใบสมัครของเราไปฝึกโมเดลของตัวเองหรือไม่ แล้วเขียนข้อห้ามลงข้อตกลงการประมวลผลข้อมูลแนวทาง สคส. ภาคผนวก ข. ข้อ 1–2
- ก่อนเปิดใช้ทำ DPIA เลือกฐานทางกฎหมาย ปิดช่องข้อมูลอ่อนไหวไม่ให้ใช้คิดคะแนน และตั้งชื่อผู้ทบทวนที่มีอำนาจกลับผลแนวทาง สคส. 6.2 · PDPA มาตรา 26
- ตอนประกาศรับสมัครแจ้งในประกาศความเป็นส่วนตัวว่ามีการคัดกรองด้วยระบบอัตโนมัติ ใช้ข้อมูลอะไร เก็บนานแค่ไหน และขอให้คนทบทวนได้ทางไหนPDPA มาตรา 23
- ทุกรอบที่ระบบคัดคนออกให้ผู้ทบทวนเปิดดูใบสมัครจริงในกลุ่มที่ถูกคัดออก อย่างน้อยแบบสุ่ม แล้วบันทึกว่ากลับผลกี่รายแนวทาง สคส. 5.4
- เมื่อผู้สมัครโต้แย้งรับคำขอ ให้คนทบทวน อธิบายบทบาทของระบบและข้อมูลที่ใช้ แก้ข้อมูลที่ผิด และตอบภายในกรอบเวลาที่กฎหมายและประกาศที่เกี่ยวข้องกำหนดPDPA มาตรา 35 · หมวด 3
- หลังปิดรอบดูผลแยกตามกลุ่มว่ามีกลุ่มใดถูกคัดออกมากผิดสังเกตหรือไม่ และลบข้อมูลผู้สมัครที่หมดความจำเป็นตามระยะที่แจ้งไว้แนวทาง สคส. 6.1 · PDPA มาตรา 37 (3)
ใน AIPDPA ระบบคัดกรองผู้สมัครลงทะเบียนระบบ AI แล้วผูกกับ RoPA ได้ ทำ DPIA ในพื้นที่ทำงานเดียวกัน และใช้พอร์ทัลคำขอใช้สิทธิรับคำขอทบทวนจากผู้สมัคร พร้อมนับเวลาถึงกำหนดตอบ รายการตรวจตามแนวทาง AI ของ สคส. ก็มีให้ไล่ครบทุกข้อ ลองดูได้ที่บัญชีตัวอย่าง
ความผิดพลาดที่เจอบ่อยในงาน HR
แนวทาง สคส. หัวข้อ 5.4 ถือว่า Rubber-stamping ไม่ใช่การทบทวนที่มีความหมาย การตัดสินใจยังเป็นแบบอัตโนมัติตามข้อเท็จจริง
ภาคผนวก ข. ของแนวทางแนะนำให้แจ้งว่ามีการนำ AI มาใช้ และมาตรา 23 ให้แจ้งวัตถุประสงค์ก่อนหรือขณะเก็บข้อมูล
ทั้งสองอย่างเป็นข้อมูลอ่อนไหว ปิดช่องเหล่านี้จากการคิดคะแนนตั้งแต่ตั้งค่าระบบ
Article 5(1)(f) ห้ามอนุมานอารมณ์ในพื้นที่ที่ทำงาน ยกเว้นเหตุทางการแพทย์หรือความปลอดภัย ใช้แล้วตั้งแต่ 2 ก.พ. 2025
หัวข้อ 6.2 ระบุการประเมินผลการปฏิบัติงานของพนักงานเป็นกรณีความเสี่ยงสูงที่ควรทำ DPIA
แนวทาง สคส. หัวข้อ 3.1 ระบุว่าผู้ให้บริการที่นำข้อมูลลูกค้าไปฝึกโมเดลของตน เป็นผู้ควบคุมข้อมูลอีกรายในกิจกรรมนั้น ควรห้ามไว้ในสัญญา
คำถามที่พบบ่อย
ใช้ AI คัดใบสมัคร ต้องขอความยินยอมผู้สมัครทุกคนไหม?
ไม่จำเป็นเสมอไป แนวทางของ สคส. แนะนำให้วิเคราะห์ฐานตามมาตรา 24 หรือมาตรา 26 ให้ครบก่อน และมองความยินยอมเป็นทางเลือกสุดท้าย ถ้าใช้ฐานประโยชน์โดยชอบด้วยกฎหมายควรมีการประเมิน LIA ประกอบ แต่ถ้าแตะข้อมูลอ่อนไหวตามมาตรา 26 ต้องได้ความยินยอมโดยชัดแจ้งหรือเข้าข้อยกเว้น ดู เลือกฐานทางกฎหมายตามมาตรา 24
บริษัทที่ใช้ AI คัดใบสมัครในไทยอย่างเดียว ต้องสนใจ EU AI Act ไหม?
ถ้าไม่ได้นำระบบเข้าตลาด EU และผลลัพธ์ไม่ได้ถูกใช้ใน EU กฎหมายนี้ไม่ผูกพันบริษัท แต่ PDPA ใช้เต็มที่ และแนวทางของ สคส. ก็จัดงานคัดกรองการจ้างงานเป็นความเสี่ยงสูงเหมือนกัน Annex III ข้อ 4 จึงใช้เป็นรายการเช็กได้ว่างานไหนควรระวัง
ผู้สมัครขอให้อธิบายว่าทำไมถูกคัดออก ต้องเปิดเผยอัลกอริทึมไหม?
แนวทางของ สคส. หัวข้อ 5.4 ว่าไม่จำเป็นต้องเปิดเผยอัลกอริทึมหรือซอร์สโค้ด แต่ควรอธิบายขั้นตอนและหลักการที่ใช้จริงให้เข้าใจว่าข้อมูลใดของเขาถูกใช้ และอ้างความลับทางการค้ามาปฏิเสธการอธิบายทั้งหมดไม่ได้ สำหรับผู้ที่อยู่ในขอบเขต EU AI Act มี Article 86 เรื่องสิทธิได้รับคำอธิบายอีกชั้น
ควรเก็บ log ของระบบคัดกรองไว้แค่ไหน?
ภาคผนวก ข. ของแนวทาง สคส. แนะนำให้ log ครอบคลุม Prompt Input, Model Version, System Prompt และ Output เพื่อใช้สืบเหตุ ระยะเก็บให้กำหนดตามความจำเป็นและแจ้งไว้ตามมาตรา 23 (3) ส่วนบริษัทที่อยู่ในขอบเขต EU AI Act ต้องเก็บ log ของระบบความเสี่ยงสูงอย่างน้อยหกเดือนตาม Article 26(6) เว้นแต่กฎหมายอื่นกำหนดไว้ต่างออกไป
จะเอาข้อมูลผลงานพนักงานที่มีอยู่แล้วไปให้ AI ประเมิน ต้องทำอะไรก่อน?
ดูก่อนว่าเป็นวัตถุประสงค์ใหม่หรือไม่ ถ้าใช่ มาตรา 21 ให้ใช้ข้อมูลต่างจากวัตถุประสงค์ที่แจ้งไว้ไม่ได้ เว้นแต่แจ้งวัตถุประสงค์ใหม่และได้รับความยินยอม หรือมีกฎหมายให้ทำได้ แนวทางของ สคส. หัวข้อ 5.1 ยังแนะนำให้แจ้งรายละเอียดใหม่และปรับ RoPA ด้วย บริษัทที่อยู่ในขอบเขต EU AI Act ต้องแจ้งตัวแทนลูกจ้างและลูกจ้างก่อนใช้ตาม Article 26(7)
ตัวบทและแหล่งอ้างอิง
- แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ version 1.0 — คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (แนวทาง ไม่ใช่ตัวบท) — หัวข้อ 3.1 · 5.4 · 6.1 · 6.2 · ภาคผนวก ข.
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 23 · มาตรา 26 · มาตรา 35
- Regulation (EU) 2024/1689 (EU AI Act) ฉบับรวมการแก้ไขโดย Regulation (EU) 2026/1744 — กฎหมายสหภาพยุโรป ไม่ผูกพันในไทย เว้นแต่เข้าขอบเขต — Article 5(1)(f) · Article 26(7) · Annex III point 4
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)