ภาพสองฝั่ง ซ้ายเป็นสายพานคัดซองจดหมายเหมือนกันทั้งแถว ขวาเป็นมือคนหยิบซองหนึ่งออกจากแถว
AI ในองค์กร

ลูกค้าขอให้คนทบทวนผลที่ AI ตัดสิน บริษัทต้องทำอะไร

สินเชื่อไม่ผ่าน เคลมถูกปัดตก บัญชีถูกระงับ แล้วลูกค้าถามว่า "ใครเป็นคนตัดสิน ขอให้คนดูใหม่ได้ไหม" คำตอบอยู่ในสองที่ คือสิทธิที่ PDPA ให้ไว้แล้ว กับสิ่งที่แนวทาง AI ของ สคส. แนะนำให้ทำเพิ่ม

เผยแพร่ อ่าน 12 นาทีโดย
สรุปสั้น

การขอให้คนทบทวนผลที่ AI ตัดสิน คือคำขอของลูกค้าที่ถูกระบบอัตโนมัติปฏิเสธหรือให้ผลไม่เป็นคุณ แล้วอยากให้คนจริงพิจารณาใหม่ PDPA ยังไม่มีมาตราเรื่องนี้โดยตรง แต่มีสิทธิเข้าถึงและขอแก้ข้อมูลที่ใช้ได้ทันที บทความนี้บอกทีมสินเชื่อ ประกัน และบริการลูกค้าว่าต้องตอบอย่างไร

  • PDPA ยังไม่มีมาตราที่ให้สิทธิคัดค้านการตัดสินใจอัตโนมัติโดยตรง ช่องทางทบทวนโดยคนเป็นคำแนะนำของแนวทาง AI ของ สคส.
  • สิทธิที่บังคับแล้ว: ขอเข้าถึงข้อมูลตามมาตรา 30 ภายใน 30 วัน และขอแก้ข้อมูลให้ถูกต้องตามมาตรา 35 และ 36
  • แนวทาง AI ของ สคส. หัวข้อ 5.4 ให้แจ้งล่วงหน้าว่าใช้ระบบตัดสิน และอธิบายได้โดยไม่ต้องเปิดซอร์สโค้ด
  • คนทบทวนต้องมีอำนาจกลับผลได้จริง แค่กดยืนยันตามระบบไม่นับเป็นการทบทวน
  • ควรบันทึกทุกคำขอทบทวนและผลที่กลับคำตัดสิน แล้วนำสถิติไปปรับระบบ

ระบบอนุมัติสินเชื่อออนไลน์ตอบกลับภายในสามนาทีว่า "ไม่ผ่านเกณฑ์" ระบบตรวจเคลมประกันจัดเคลมหนึ่งเป็น "เสี่ยงทุจริต" ระบบแพลตฟอร์มระงับบัญชีร้านค้าเพราะคะแนนต่ำ ทุกกรณีลูกค้าถามคล้ายกันว่า ใครตัดสิน ใช้ข้อมูลอะไร และขอให้คนดูใหม่ได้ไหม

ฝ่ายบริการลูกค้าส่วนใหญ่ตอบได้แค่ว่า "เป็นผลจากระบบ" คำตอบนี้ไม่พอ ทั้งเมื่อดูจากสิทธิที่ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ให้ลูกค้าไว้แล้ว และจากสิ่งที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) คาดหวังไว้ในแนวทาง AI ฉบับใหม่

PDPA ให้สิทธิขอให้คนทบทวนผลของระบบอัตโนมัติไหม?

ยังไม่ให้โดยตรง เราค้นตัวบท PDPA ในคลังแล้ว ไม่พบมาตราที่ว่าด้วยการตัดสินใจอัตโนมัติหรือสิทธิขอให้มนุษย์ทบทวน คำว่า "อัตโนมัติ" ปรากฏเฉพาะในมาตรา 31 เรื่องรูปแบบข้อมูลที่อ่านด้วยเครื่องมืออัตโนมัติได้ ซึ่งเป็นคนละเรื่อง

ผู้ที่คุ้นกับกฎหมายยุโรปจึงต้องระวัง สิทธิไม่ถูกตัดสินโดยระบบอัตโนมัติล้วนแบบที่มีในต่างประเทศ ไม่มีเขียนไว้ใน PDPA ฉบับที่ใช้อยู่ ช่องทางทบทวนโดยคนในไทยวันนี้จึงมาจากคำแนะนำของ สคส. บวกกับสิทธิอื่นที่ PDPA มีอยู่แล้ว

แนวทาง AI ของ สคส. แนะนำให้ทำอะไรเมื่อลูกค้าขอทบทวน?

แนวทางพูดเรื่องนี้ไว้ในหมวดสิทธิของเจ้าของข้อมูล หัวข้อ 9.3 โดยเขียนเป็นข้อพึงระวังสำหรับระบบที่ตัดสินเองทั้งหมดโดยไม่มีคนเกี่ยวข้อง และผลกระทบถึงขั้นมีผลทางกฎหมายหรือมีนัยสำคัญ

ในกรณีที่ระบบ AI มีการตัดสินใจโดยอัตโนมัติ (Automated Decision-Making) รวมถึงการวิเคราะห์ หรือทำนายพฤติกรรม ทัศนคติ หรือลักษณะเฉพาะของบุคคล (Profiling) ซึ่งไม่มีมนุษย์เข้าไปเกี่ยวข้องในกระบวนการ และผลการตัดสินใจนั้นก่อให้เกิดผลกระทบทางกฎหมายหรือผลกระทบอย่างมีนัยสำคัญแบบเดียวกันต่อเจ้าของข้อมูลส่วนบุคคล เช่น การอนุมัติสินเชื่อ การรับเข้าทำงาน หรือการประเมินความเสี่ยงด้านประกันภัย หากได้รับคำร้องขอจากเจ้าของข้อมูลส่วนบุคคล องค์กรควรจัดให้มีกระบวนการที่บันทึกไว้เป็นหลักฐานเพื่อให้เจ้าของข้อมูลสามารถใช้สิทธิในการขอให้มีการตรวจสอบและทบทวนการตัดสินใจดังกล่าวได้
ตัวบท แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ version 1.0 (คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) — แนวทาง ไม่ใช่กฎหมาย · หัวข้อ 9.3 ข้อพึงระวัง

ตัวอย่างที่แนวทางยกมาเองคือสินเชื่อ การรับเข้าทำงาน และการประเมินความเสี่ยงด้านประกันภัย เงื่อนไขคือ "หากได้รับคำร้องขอ" หมายความว่าไม่ต้องให้คนตรวจทุกเคส แต่ต้องมีทางให้ลูกค้าขอ และต้องมีหลักฐานว่าทำจริง

ภาคผนวกคำถามที่พบบ่อยของแนวทางเดียวกันตอบกรณีที่ลูกค้าเจอบ่อยที่สุด คือระบบปฏิเสธบริการ

ควรจัดให้มีสิทธิ ตามหลักความโปร่งใสและการตรวจสอบความถูกต้องของข้อมูล องค์กรควรจัดให้มีกลไกมนุษย์กำกับ Human-in-the-loop เพื่อให้เจ้าของข้อมูลสามารถร้องขอให้มนุษย์ทบทวนผลการตัดสินใจนั้นได้ เพื่อความเป็นธรรมและเพื่อให้สามารถอธิบายเหตุผลของการตัดสินใจได้ (Explainability)
ตัวบท แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ version 1.0 (คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) — แนวทาง ไม่ใช่กฎหมาย · ภาคผนวก ค. ข้อ 3.2

ต้องบอกลูกค้าล่วงหน้าไหมว่าใช้ระบบตัดสิน และต้องอธิบายลึกแค่ไหน?

แนวทาง AI ของ สคส. หัวข้อ 5.4 แนะนำให้แจ้งล่วงหน้า และกำหนดระดับคำอธิบายไว้ชัด คือพอให้ลูกค้าเข้าใจว่าข้อมูลไหนของตนมีผลต่อผลลัพธ์อย่างไร ไม่ต้องเปิดซอร์สโค้ด แต่ก็ปัดด้วยคำว่าความลับทางการค้าทั้งหมดไม่ได้

ผู้ควบคุมข้อมูลส่วนบุคคลควรแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบล่วงหน้าว่ามีการใช้การตัดสินใจอัตโนมัติหรือผลลัพธ์ของระบบที่มีอิทธิพลชี้ขาดต่อการตัดสินใจ พร้อมคำอธิบายขั้นตอนและหลักการที่ใช้จริงอย่างกระชับและเข้าใจได้เพียงพอให้เจ้าของข้อมูลส่วนบุคคลเข้าใจว่าข้อมูลใดของตนถูกใช้และมีผลต่อผลลัพธ์อย่างไร โดยไม่จำเป็นต้องเปิดเผยอัลกอริทึมหรือซอร์สโค้ด และไม่อาจอ้างความลับทางการค้าเพื่อปฏิเสธการอธิบายโดยสิ้นเชิง
ตัวบท แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ version 1.0 (คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) — แนวทาง ไม่ใช่กฎหมาย · หัวข้อ 5.4

ส่วนหน้าที่ที่เป็นกฎหมายแล้วคือ PDPA มาตรา 23 ซึ่งให้แจ้งวัตถุประสงค์ ข้อมูลที่เก็บ และสิทธิของเจ้าของข้อมูล ก่อนหรือขณะเก็บ ถ้าใบสมัครสินเชื่อจะถูกส่งเข้าระบบให้คะแนน วัตถุประสงค์นั้นควรอยู่ในประกาศความเป็นส่วนตัวตั้งแต่ต้น

เมื่อลูกค้าถามหลังได้ผลแล้ว ภาคผนวก ค. ข้อ 3.4 ของแนวทางวางเส้นไว้ว่าคำอธิบายควรลึกแค่ไหน

ควรครอบคลุมในระดับที่เจ้าของข้อมูลส่วนบุคคลจำเป็นต้องรู้เพื่อรักษาสิทธิของตนเอง เจ้าของข้อมูลควรทราบถึงแหล่งที่มาและตรรกะที่เกี่ยวข้อง (Meaningful information about the logic involved) ในการประมวลผลและตัดสินใจอัตโนมัติที่มีผลกระทบต่อตนเอง แต่ไม่รวมถึงการเปิดเผยความลับทางการค้าหรือซอร์สโค้ดของอัลกอริทึม
ตัวบท แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ version 1.0 (คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) — แนวทาง ไม่ใช่กฎหมาย · ภาคผนวก ค. ข้อ 3.4
คำอธิบายที่ควรให้ลูกค้า กับสิ่งที่ไม่ต้องเปิด (สรุปจากแนวทาง AI ของ สคส. หัวข้อ 5.4 และภาคผนวก ค. ข้อ 3.4)
ควรบอกไม่ต้องเปิด
มีระบบอัตโนมัติร่วมตัดสิน และมีน้ำหนักแค่ไหนซอร์สโค้ด
ข้อมูลของลูกค้าชุดไหนถูกนำเข้าระบบ และมาจากแหล่งใดสูตรหรือค่าน้ำหนักทั้งหมดของโมเดล
ปัจจัยหลักที่ทำให้ผลออกมาแบบนี้ ในภาษาที่คนทั่วไปเข้าใจข้อมูลของลูกค้ารายอื่น
ช่องทางขอให้คนทบทวน และขอแก้ข้อมูลที่ผิดความลับทางการค้า แต่จะอ้างข้อนี้เพื่อไม่อธิบายเลยไม่ได้

สิทธิไหนใน PDPA ที่ลูกค้าใช้ได้ทันที?

แม้ไม่มีมาตราเรื่องตัดสินใจอัตโนมัติ ลูกค้าที่ไม่พอใจผลของระบบก็มีเครื่องมือตามกฎหมายอยู่แล้วอย่างน้อยสองตัว ตัวแรกคือสิทธิขอเข้าถึงข้อมูลตาม PDPA มาตรา 30

เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตนซึ่งอยู่ในความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล หรือขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลดังกล่าวที่ตนไม่ได้ให้ความยินยอม
ตัวบท พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 · มาตรา 30 วรรคหนึ่ง
ให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามคำขอโดยไม่ชักช้า แต่ต้องไม่เกินสามสิบวันนับแต่วันที่ได้รับคำขอ
ตัวบท พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 · มาตรา 30 วรรคสี่

ลูกค้าที่ขอสำเนาข้อมูลที่ระบบใช้ให้คะแนนตน จะเห็นได้ว่ามีข้อมูลเก่าหรือผิดปนอยู่หรือไม่ องค์กรต้องตอบภายใน 30 วัน ดูขั้นตอนตอบคำขอแบบละเอียดได้ที่ ตอบคำขอใช้สิทธิให้ทัน 30 วัน

ตัวที่สองคือหน้าที่รักษาความถูกต้องของข้อมูลตามมาตรา 35 และสิทธิขอให้แก้ตามมาตรา 36 ผลของระบบที่ผิดเพราะข้อมูลตั้งต้นผิด มักจบที่สองมาตรานี้

ผู้ควบคุมข้อมูลส่วนบุคคลต้องดำเนินการให้ข้อมูลส่วนบุคคลนั้นถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด
ตัวบท พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 · มาตรา 35
ในกรณีที่เจ้าของข้อมูลส่วนบุคคลร้องขอให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามมาตรา 35 หากผู้ควบคุมข้อมูลส่วนบุคคลไม่ดำเนินการตามคำร้องขอ ผู้ควบคุมข้อมูลส่วนบุคคลต้องบันทึกคำร้องขอของเจ้าของข้อมูลส่วนบุคคลพร้อมด้วยเหตุผลไว้ในรายการตามมาตรา 39
ตัวบท พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 · มาตรา 36 วรรคหนึ่งไม่แก้ก็ได้ แต่ต้องบันทึกคำขอและเหตุผล

ส่วนสิทธิคัดค้านตามมาตรา 32 ใช้ได้เฉพาะบางฐาน เช่น เมื่อองค์กรประมวลผลโดยอาศัยมาตรา 24 (4) หรือ (5) หรือเพื่อการตลาดแบบตรง ระบบให้คะแนนที่อาศัยฐานสัญญาจึงอาจไม่เข้ามาตรา 32 ต้องดูฐานที่ใช้จริงเป็นรายระบบ

ลูกค้าพูดว่าอะไร แล้วเป็นคำขอแบบไหน
ลูกค้าพูดว่าเป็นคำขอแบบไหนฐานผูกพันแค่ไหน
ขอดูว่าระบบใช้ข้อมูลอะไรของฉันขอเข้าถึงและขอรับสำเนาPDPA มาตรา 30กฎหมาย · ตอบภายใน 30 วัน
ข้อมูลรายได้ที่ระบบใช้เป็นของเก่าขอแก้ไขข้อมูลให้ถูกต้องPDPA มาตรา 35 และ 36กฎหมาย · ไม่แก้ต้องบันทึกเหตุผล
ขอให้คนดูเคสนี้ใหม่ขอให้มนุษย์ทบทวนผลแนวทาง AI ของ สคส. หัวข้อ 5.4 และ 9.3แนวทาง · ควรมีช่องทางและบันทึก
ทำไมถึงไม่ผ่านขอคำอธิบายแนวทาง AI ของ สคส. ภาคผนวก ค. ข้อ 3.2 และ 3.4แนวทาง · อธิบายได้โดยไม่เปิดซอร์สโค้ด
ไม่ให้เอาข้อมูลฉันไปทำคะแนนอีกคัดค้านPDPA มาตรา 32 (เฉพาะบางฐาน)กฎหมาย · ดูฐานที่ใช้ก่อน

การทบทวนแบบไหนที่นับว่าคนทบทวนจริง?

แนวทาง AI ของ สคส. ไม่ได้ต้องการแค่ให้มีชื่อคนอยู่ในขั้นตอน หัวข้อ 9.3 เขียนไว้ว่าคนทบทวนต้องมีอำนาจและข้อมูลพอจะเปลี่ยนผลได้จริง

ผู้ควบคุมข้อมูลส่วนบุคคลพึงกำหนดกลไก Human-in-the-loop หรือการกำหนดให้มนุษย์มีส่วนร่วมในการตัดสินใจ สำหรับระบบ AI ที่มีความเสี่ยงสูงหรือส่งผลกระทบโดยตรงต่อลูกค้า โดยเปิดช่องทางให้เจ้าของข้อมูลสามารถร้องขอให้มนุษย์เข้ามาแทรกแซง (Human Intervention) หรือทบทวนผลลัพธ์ที่ได้จากระบบอัตโนมัติ กลไกนี้ต้องมั่นใจว่าผู้ทำหน้าที่ทบทวนมีอำนาจและข้อมูลเพียงพอในการเปลี่ยนแปลงผลการตัดสินใจของ AI ได้จริง มิใช่เพียงการยืนยันผลตามระบบเท่านั้น
ตัวบท แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ version 1.0 (คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) — แนวทาง ไม่ใช่กฎหมาย · หัวข้อ 9.3 ข้อพึงปฏิบัติ

หัวข้อ 5.4 ของแนวทางวางเงื่อนไขไว้สามข้อ คือคนทบทวนต้องดูข้อมูลอื่นประกอบหลังระบบให้ผล มีอำนาจและความรู้พอจะกลับผล และได้รับการอบรมให้รู้ทันการคล้อยตามระบบ ถ้าเป็นแค่การกดยืนยัน แนวทางถือว่าการตัดสินนั้นยังเป็นการตัดสินอัตโนมัติ เรื่องนี้เราอธิบายละเอียดไว้แล้วใน บอร์ดต้องถามอะไรก่อนอนุมัติโครงการ AI

เจ้าหน้าที่เห็นแค่คะแนนจากระบบ แล้วกด "ยืนยัน" ภายในไม่กี่วินาทียังไม่ใช่การทบทวน

ไม่ได้ดูข้อมูลอื่นประกอบ และไม่มีเหตุผลบันทึกไว้ แนวทางถือว่าเป็นการยืนยันผลตามระบบ

เจ้าหน้าที่ดูเอกสารรายได้ใหม่ที่ลูกค้าส่งมา แต่ไม่มีอำนาจเปลี่ยนผล ต้องส่งกลับเข้าระบบเดิมยังไม่พอ

คนทบทวนต้องมีอำนาจกลับหรือแก้ผลได้จริงตามหัวข้อ 5.4 และ 9.3

ผู้จัดการสินเชื่อที่ผ่านการอบรม ดูเหตุผลของระบบ เอกสารใหม่ และประวัติลูกค้า แล้วอนุมัติหรือยืนยันผลพร้อมเหตุผลเป็นการทบทวนที่มีความหมาย

ครบทั้งสามเงื่อนไข และมีบันทึกให้ตรวจย้อนได้

ควรวางขั้นตอนรับคำขอทบทวนอย่างไร?

หัวข้อ 5.4 ของแนวทาง AI ของ สคส. มีข้อพึงปฏิบัติข้อเดียวที่สรุปงานทั้งหมดไว้ คือมีช่องทางให้ลูกค้าโต้แย้งและส่งข้อเท็จจริงเพิ่ม บันทึกทุกคำขอและผล แล้วเอาสถิติกลับไปแก้ระบบ

ผู้ควบคุมข้อมูลส่วนบุคคลควรจัดช่องทางให้เจ้าของข้อมูลส่วนบุคคลขอให้มีมนุษย์ทบทวนผล โต้แย้งการตัดสินใจและแสดงข้อเท็จจริงเพิ่มเติมของตน พร้อมบันทึกคำขอการทบทวน และผลการกลับคำตัดสินไว้เป็นหลักฐานและนำสถิติดังกล่าวไปใช้ปรับปรุงระบบ
ตัวบท แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ version 1.0 (คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) — แนวทาง ไม่ใช่กฎหมาย · หัวข้อ 5.4 ข้อพึงปฏิบัติ
  1. ก่อนเปิดระบบ
    ระบุในประกาศความเป็นส่วนตัวว่ามีระบบอัตโนมัติร่วมตัดสิน ใช้ข้อมูลอะไร และขอให้คนทบทวนได้ทางไหนPDPA มาตรา 23 · แนวทาง หัวข้อ 5.4
  2. ตอนแจ้งผล
    บอกเหตุผลหลักสั้น ๆ พร้อมลิงก์หรือเบอร์สำหรับขอทบทวน ไม่ใช่แค่ "ไม่ผ่านเกณฑ์"แนวทาง ภาคผนวก ค. ข้อ 3.2
  3. รับคำขอ
    บันทึกวันที่รับ แยกว่าเป็นคำขอทบทวน คำขอเข้าถึง หรือคำขอแก้ข้อมูล เพราะเส้นตายต่างกันPDPA มาตรา 30 · 35 · 36
  4. ทบทวน
    ส่งให้คนที่มีอำนาจกลับผล ดูข้อมูลใหม่ที่ลูกค้าส่ง บันทึกเหตุผลของการยืนยันหรือกลับผลแนวทาง หัวข้อ 5.4 · 9.3
  5. ภายใน 30 วัน
    ถ้าลูกค้าขอสำเนาข้อมูลด้วย ต้องส่งให้ภายในกำหนดPDPA มาตรา 30 วรรคสี่
  6. ทุกไตรมาส
    ดูสถิติว่าคนกลับผลของระบบบ่อยแค่ไหน ในเรื่องใด แล้วส่งให้ทีมที่ดูแลระบบแก้แนวทาง หัวข้อ 5.4

รอบทบทวนรายไตรมาสในตารางเป็นข้อเสนอของทีม AIPDPA แนวทางเขียนแค่ให้นำสถิติไปปรับปรุงระบบ ไม่ได้กำหนดความถี่

ระบบแบบไหนควรทำ DPIA ก่อนเปิดใช้?

ระบบที่ตัดสินเรื่องที่มีผลทางกฎหมายหรือผลกระทบสำคัญต่อลูกค้า แนวทาง AI ของ สคส. แนะนำให้ประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) ก่อนเริ่ม และถ้าเสี่ยงมากให้เลี่ยงหรือให้คนกำกับ

หากการตัดสินใจอัตโนมัตินั้นทำให้เกิดผลกระทบทางกฎหมายหรือผลกระทบอย่างมีนัยสำคัญในทำนองเดียวกันต่อเจ้าของข้อมูลส่วนบุคคล ควรมีการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) ก่อนเริ่มกิจกรรมประมวลผล และหากผลการประเมินมีความเสี่ยงอย่างมีนัยสำคัญ ควรหลีกเลี่ยงการดำเนินการหรือจัดให้มีมาตรการมนุษย์กำกับดูแล (Human Oversight) ในการจัดการความเสี่ยงและบรรเทาผลกระทบจากความเสี่ยงที่อาจเกิดขึ้น
ตัวบท แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ version 1.0 (คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) — แนวทาง ไม่ใช่กฎหมาย · ภาคผนวก ค. ข้อ 2.2

ระบบที่เข้าข่ายชัดคือระบบที่แนวทางยกตัวอย่างเอง ได้แก่ สินเชื่อ การให้คะแนนความน่าเชื่อถือ การคัดเลือกบุคลากร และประกันภัย งานคัดเลือกพนักงานมีบทความแยกที่ ใช้ AI คัดใบสมัครหรือให้คะแนนพนักงาน วิธีทำ DPIA ดูที่ คู่มือ DPIA

ใน AIPDPA คำขอใช้สิทธิของลูกค้าเข้ามาทางพอร์ทัลสาธารณะที่นับเวลา 30 วันให้อัตโนมัติ และระบบที่ตัดสินเรื่องลูกค้าลงไว้ในทะเบียนระบบ AI พร้อมเช็กลิสต์ตามแนวทางของ สคส. ทั้งสองส่วนช่วยให้มีหลักฐานว่าทบทวนจริงเมื่อมีคนถาม

คำถามที่พบบ่อย

ต้องให้คนตรวจผลของระบบทุกเคสไหม?

แนวทาง AI ของ สคส. ไม่ได้เขียนเช่นนั้น หัวข้อ 9.3 ใช้คำว่า "หากได้รับคำร้องขอ" ส่วนภาคผนวก ข. ข้อ 3 แนะนำให้มีคนตรวจผลในกรณีที่มีความเสี่ยงสูง องค์กรจึงเลือกได้ว่าเคสไหนคนดูทุกครั้ง เคสไหนดูเมื่อมีคำขอ

ถ้าแค่ใช้ AI ช่วยแนะนำ แต่คนเป็นผู้อนุมัติ ยังต้องมีช่องทางทบทวนไหม?

ถ้าคนพิจารณาจริงตามสามเงื่อนไขในหัวข้อ 5.4 การตัดสินนั้นไม่ใช่การตัดสินอัตโนมัติล้วน แต่ถ้าคนแค่กดยืนยันตามระบบ แนวทางถือว่ายังเป็นการตัดสินอัตโนมัติ ส่วนสิทธิตาม PDPA มาตรา 30 และ 35 ใช้ได้ทุกกรณี

ลูกค้าขอดูสูตรคำนวณคะแนน ต้องให้ไหม?

ไม่ต้องเปิดซอร์สโค้ดหรือความลับทางการค้า ตามแนวทาง AI ของ สคส. ภาคผนวก ค. ข้อ 3.4 แต่ควรอธิบายแหล่งข้อมูลและตรรกะที่เกี่ยวข้องในระดับที่ลูกค้าต้องรู้เพื่อรักษาสิทธิของตน

คำขอทบทวนต้องตอบภายในกี่วัน?

แนวทาง AI ของ สคส. ไม่ได้กำหนดเวลาไว้ แต่ถ้าคำขอนั้นมีการขอสำเนาข้อมูลรวมอยู่ด้วย ต้องตอบส่วนนั้นภายใน 30 วันตาม PDPA มาตรา 30 วรรคสี่ การตั้งเป้าเวลาเดียวกันสำหรับการทบทวนช่วยให้ทีมทำงานง่าย

PDPA จะเพิ่มสิทธิเรื่องการตัดสินใจอัตโนมัติไหม?

เอกสารในคลังของเรายังไม่มีตัวบทที่ประกาศใช้เรื่องนี้ ความเคลื่อนไหวของร่างกฎหมาย AI และร่างแก้ PDPA ที่ยังไม่ออกเป็นกฎหมาย ดูที่ กฎหมาย AI ไทยและร่างแก้ PDPA

ตัวบทและแหล่งอ้างอิง

  1. พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 23 · มาตรา 30 · มาตรา 32 · มาตรา 35 · มาตรา 36
  2. แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ version 1.0 (คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) — แนวทาง ไม่ใช่กฎหมาย — หัวข้อ 5.4 · 9.3 · ภาคผนวก ค. ข้อ 2.2 · 3.2 · 3.4

ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง

ลงมือในระบบได้ที่

ภูวรา ครอบตะคุ

ใครรับผิดชอบเนื้อหานี้?

เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา

ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)

อ่านต่อ

ใช้ AI คัดใบสมัครหรือให้คะแนนพนักงาน ฝ่ายบุคคลต้องระวังอะไรใช้ AI คัดใบสมัครหรือประเมินพนักงาน ควรทำ DPIA ตามแนวทาง AI ของ สคส. แจ้งผู้สมัครตาม PDPA ม.23 ระวังข้อมูลอ่อนไหว ม.26 และ Annex III ของ EU AI Actบอร์ดต้องถามอะไร ก่อนอนุมัติโครงการ AIผู้บริหารควรถามอะไรก่อนอนุมัติโครงการ AI ตามแนวทาง สพธอ. สำหรับผู้บริหาร และแนวทาง AI ของ สคส. พร้อมเช็กลิสต์หน้าเดียวสำหรับวาระบอร์ดลูกค้าขอดู ขอลบ ขอหยุดใช้ข้อมูล ตอบอย่างไรให้ทันกำหนดเส้นตายคำขอใช้สิทธิ PDPA: ขอสำเนา 30 วัน ขอลบ 90 วัน คัดค้านการตลาดทันที พร้อมวิธียืนยันตัวตน เหตุปฏิเสธ และขั้นตอนตามมาตรา 30–36 ประกาศการลบฯ 2567 และ TDPG 4.0แชทบอทตอบลูกค้า ต้องแจ้งอะไร และเก็บบทสนทนาไว้แค่ไหนแชทบอทบริการลูกค้าต้องบอกว่าเป็นระบบอัตโนมัติ แจ้งตาม PDPA มาตรา 23 และเก็บ log ให้พอสืบเหตุโดยไม่เก็บเกิน ตามแนวทาง AI ของ สคส.ตอบคำขอใช้สิทธิของเจ้าของข้อมูล (DSR) ให้ทันใน 30 วัน ทำอย่างไรคำขอดูหรือขอสำเนาข้อมูลต้องตอบภายใน 30 วันตามมาตรา 30 ดูขั้นตอนตรวจตัวตน 15 วัน การขยายเวลา และเหตุปฏิเสธตามประกาศ DSR พ.ศ. 2569ประเมินผลกระทบด้านข้อมูลส่วนบุคคล (DPIA) ต้องทำเมื่อไรและทำอย่างไร?DPIA ควรทำก่อนเริ่มกิจกรรมเสี่ยงสูง เช่น ใช้ AI วิเคราะห์พฤติกรรมหรือสแกนใบหน้า ดูเกณฑ์ตามแนวปฏิบัติ TDPG 4.0 และขั้นตอนทำให้เสร็จพร้อมหลักฐาน