พนักงานเอาข้อมูลลูกค้าใส่ ChatGPT เป็นความเสี่ยงสูงตามแนวทาง AI ของ สคส. อาจเป็นการเปิดเผยโดยมิชอบ โอนข้อมูลไปต่างประเทศตามมาตรา 28 หรือทำให้พิสูจน์มาตรการรักษาความลับทางการค้าได้ยาก เหมาะกับผู้บริหารและ DPO ได้ทางแก้คือนโยบายการใช้ AI ที่ชัดและบริการ AI แบบองค์กร
- แนวทาง AI ของ สคส. ภาคผนวก ค. ข้อ 4.1 ระบุว่าการใส่ข้อมูลส่วนบุคคลลง AI สาธารณะมีความเสี่ยงสูง
- พนักงานใช้บัญชีส่วนตัวก็ยังนับเป็นการประมวลผลในนามองค์กร (แนวทาง สคส. ข้อ 2.3)
- ถ้าผู้ให้บริการเก็บข้อมูลที่ต่างประเทศและคนอื่นเข้าถึงได้ อาจเป็นการโอนข้อมูลตาม PDPA มาตรา 28
- ไม่มีข้อห้ามเรื่อง AI ทำให้พิสูจน์ “มาตรการที่เหมาะสม” ตาม พ.ร.บ.ความลับทางการค้า มาตรา 3 ได้ยากขึ้น
- สิ่งที่ต้องมีคือนโยบายการใช้ AI ที่เขียนข้อห้ามชัด การอบรม และบริการ AI แบบองค์กรที่มีข้อตกลง DPA
สมมติว่าเย็นวันศุกร์ เจ้าหน้าที่ฝ่ายติดตามหนี้คัดลอกตารางลูกค้า 200 แถว มีชื่อ เบอร์โทร และยอดค้างชำระ ไปวางในแชตบอต AI บัญชีฟรีที่สมัครด้วยอีเมลส่วนตัว แล้วสั่งว่า “ช่วยเขียนข้อความทวงหนี้แบบสุภาพให้ทุกคน” งานเสร็จในนาทีเดียว และไม่มีใครในบริษัทรู้เลย
เรื่องแบบนี้เกิดในสำนักงานไทยทุกวัน ส่วนใหญ่พนักงานไม่ได้ตั้งใจทำผิด แค่อยากให้งานเสร็จเร็ว แต่การกระทำครั้งเดียวนี้เกี่ยวกับเอกสารทางการถึง 4 ฉบับ ครอบคลุมเรื่องข้อมูลส่วนบุคคล การส่งข้อมูลออกนอกประเทศ การใช้ AI อย่างมีธรรมาภิบาล และการรักษาความลับทางธุรกิจ
บทความนี้ไล่ดูทีละฉบับ ยกถ้อยคำจริงจากเอกสาร แล้วสรุปเป็นตารางกับนโยบายตัวอย่างที่นำไปปรับใช้ได้เลย
เอาข้อมูลลูกค้าใส่ ChatGPT สาธารณะ ผิด PDPA หรือไม่?
แนวทาง AI ของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตอบเรื่องนี้ไว้ตรง ๆ ในภาคผนวก ค. ข้อ 4.1 ว่า มีความเสี่ยงสูง และอาจเป็นการเปิดเผยข้อมูลส่วนบุคคลโดยมิชอบ
คำตอบข้อเดียวกันให้ทางออกไว้สองทาง คือออกนโยบายห้ามใส่ข้อมูลส่วนบุคคล หรือเปลี่ยนไปใช้ AI แบบองค์กรที่มีสัญญาคุ้มครองข้อมูลรองรับ
มีความเสี่ยงสูง อาจเข้าข่ายการเปิดเผยข้อมูลส่วนบุคคลโดยมิชอบ องค์กรต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม หากข้อมูลนั้นถูกนำไปใช้ฝึกฝนโมเดลสาธารณะ อาจทำให้ข้อมูลรั่วไหล องค์กรควรกำหนดนโยบายห้ามป้อนข้อมูลส่วนบุคคลลงใน AI สาธารณะ หรือพิจารณาใช้ AI ในระบบปิดสำหรับองค์กร เช่น เวอร์ชัน Enterprise ที่มีข้อตกลงหรือสัญญาคุ้มครองข้อมูลส่วนบุคคลรองรับ
พนักงานใช้บัญชีส่วนตัว บริษัทยังต้องรับผิดชอบไหม
เรื่องนี้ผู้บริหารมักมองข้าม แนวทางฉบับเดียวกันข้อ 2.3 แยกการใช้ AI เพื่อเรื่องส่วนตัว ซึ่ง PDPA มาตรา 4 (1) ยกเว้นไว้ ออกจากการใช้เพื่องานขององค์กร
แนวทางยกตัวอย่างพนักงานที่เอาข้อมูลลูกค้าหรือรายงานการประชุมไปใส่แพลตฟอร์มสาธารณะไว้ด้วย และถือว่าเป็นการประมวลผลขององค์กร แม้พนักงานจะใช้บัญชีส่วนตัวก็ตาม
นำไปป้อนเป็นคำสั่ง (Prompt) ลงในแพลตฟอร์ม Generative AI สาธารณะ เพื่อให้ AI ช่วยสรุปรายงานหรือร่างอีเมลโต้ตอบทางธุรกิจ การกระทำเช่นนี้ถือเป็นการประมวลผลในนามองค์กร ซึ่งองค์กรต้องมีมาตรการควบคุมความเสี่ยงด้านการละเมิดความเป็นส่วนตัวและความลับของข้อมูลอย่างรัดกุม
พูดง่าย ๆ คือ เมื่อเกิดเรื่อง บริษัทจะอ้างกับหน่วยงานกำกับดูแลว่า “เป็นเรื่องส่วนตัวของพนักงาน” ได้ยาก
สิ่งที่บริษัทต้องแสดงได้คือมาตรการที่มีอยู่ก่อนเกิดเหตุ เช่น นโยบายที่ประกาศใช้แล้ว บันทึกการอบรม และรายชื่อบริการ AI ที่อนุมัติให้ใช้
คู่มือ Generative AI ของ ETDA เพิ่มอะไรจากแนวทางของ สคส.?
คู่มือ Generative AI สำหรับองค์กรของศูนย์ธรรมาภิบาลปัญญาประดิษฐ์ สพธอ. (2567) ลงรายละเอียดมากกว่า โดยระบุ รายการข้อมูลที่ห้ามใส่ และอธิบายว่าทำไมบริการฟรีจึงน่ากังวล
ภาคผนวกของคู่มือเป็นนโยบายตัวอย่างที่ ETDA เขียนไว้ใช้ในสำนักงานของตัวเอง บริษัทเอกชนจึงควรดัดแปลงให้เข้ากับองค์กรก่อน ไม่ควรคัดลอกไปทั้งฉบับ
ด้วยแอปพลิเคชันหรือบริการ Generative AI ที่ให้บริการ โดยเฉพาะอย่างยิ่งแอปพลิเคชัน หรือบริการที่ไม่มีค่าใช้จ่าย อาจมีการเข้าถึงหรือบันทึกข้อมูลที่โต้ตอบหรือข้อมูลที่ ได้รับจากผู้ใช้งานสำหรับนำไปใช้ในการฝึกสอนโมเดล Generative AI
ไม่นำข้อมูลส่วนบุคคล (เช่น รูปภาพบุคคล ชื่อ-สกุล หมายเลขประจำตัวประชาชน ที่อยู่ หมายเลขโทรศัพท์ อีเมล ฯลฯ) และข้อมูลส่วนบุคคลที่อ่อนไหว (เช่น สำเนาบัตรประชาชนที่มี ข้อมูลศาสนา ข้อมูลชีวภาพ ใบรับรองแพทย์ ฯลฯ) ไปใช้งานร่วมกับแอปพลิเคชันหรือบริการ Generative AI
สรุปแล้ว ETDA เพิ่มให้ 3 เรื่อง เรื่องแรกคือรายการตัวอย่างที่จับต้องได้ ตั้งแต่สำเนาบัตรประชาชนไปจนถึงใบรับรองแพทย์
เรื่องที่สองคือห้ามใส่ข้อมูลภายในและเอกสารลับ เช่น รหัสผ่าน สัญญา และเอกสารโครงการ (ภาคผนวก 4.2 ข้อ 1) เรื่องที่สามคือถ้างานจำเป็นต้องใช้ข้อมูลเหล่านี้ ให้ใช้เฉพาะบริการที่องค์กรอนุมัติหรือจัดหาให้ (ภาคผนวก 4.2 ข้อ 3) ข้อนี้เองที่เปิดทางให้ใช้ AI แบบองค์กร
ข้อมูลที่ใส่ไปแล้ว นับเป็นการส่งไปต่างประเทศตาม PDPA มาตรา 28 หรือยัง?
ตอบสั้น ๆ ว่า อาจนับ ขึ้นอยู่กับว่าผู้ให้บริการเก็บข้อมูลไว้ที่ไหน และใครเข้าถึงได้บ้าง
แนวทาง AI ของ สคส. ข้อ 5.3 แบ่งไว้สองกรณี กรณีแรกไม่นับเป็นการโอน คือข้อมูลแค่วิ่งผ่านเครือข่าย หรือถูกพักไว้โดยไม่มีคนนอกเข้าถึง กรณีที่สองอาจนับเป็นการโอน คือผู้ให้บริการเก็บหรือใช้ข้อมูลในศูนย์ข้อมูลต่างประเทศที่คนอื่นเข้าถึงได้
หากผู้ให้บริการระบบ AI มีการจัดเก็บหรือใช้ข้อมูลส่วนบุคคลในศูนย์ข้อมูลที่ตั้งอยู่ในต่างประเทศและมีบุคคล หรือนิติบุคคลอื่นที่ไม่ใช่ผู้ส่งข้อมูลส่วนบุคคลซึ่งอยู่ในต่างประเทศสามารถเข้าถึงข้อมูลส่วนบุคคล ดังกล่าวได้ อาจถือได้ว่าเป็นการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ
เส้นแบ่งนี้มีที่มาจากกฎหมายจริง คือนิยามคำว่า “ส่งหรือโอนข้อมูลส่วนบุคคล” ในข้อ 3 ของประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตามมาตรา 28 พ.ศ. 2566 ซึ่งยกเว้นไว้เพียงการเป็นสื่อกลางส่งผ่านข้อมูล และการพักข้อมูลที่คนนอกเข้าถึงไม่ได้
แต่มิให้หมายความรวมถึงการส่งและรับข้อมูลส่วนบุคคลในลักษณะที่เป็นเพียงสื่อกลาง (intermediary) ในการส่งผ่านข้อมูล (data transit) ระหว่างระบบคอมพิวเตอร์หรือระบบเครือข่ายหรือการเก็บพักข้อมูล (data storage) ในรูปแบบชั่วคราวหรือถาวรที่ไม่มีบุคคลภายนอกเข้าถึงข้อมูลส่วนบุคคลดังกล่าว
แชตบอตที่จำประวัติการสนทนา และอาจเอาบทสนทนาไปปรับปรุงโมเดลตามที่ ETDA เตือนไว้ ไม่ได้เป็นแค่ทางผ่านของข้อมูล
ถ้าข้อกำหนดของบริการเปิดให้ผู้ให้บริการเข้าถึงหรือใช้ข้อมูลได้ ข้อยกเว้นในนิยามข้างต้นก็ใช้ไม่ได้ และต้องกลับไปดูหลักเกณฑ์ของ PDPA มาตรา 28
ในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลต้องมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ
ข้อยกเว้นของมาตรา 28 ช่วยได้ไหม
ในทางปฏิบัติช่วยได้น้อย ข้อยกเว้นทั้ง 6 ข้อของมาตรา 28 ไม่ได้ออกแบบมาสำหรับการคัดลอกข้อมูลไปวางแบบไม่ได้วางแผน
ข้อยกเว้นเรื่องความยินยอมใน (2) ต้องแจ้งเจ้าของข้อมูลก่อนว่าประเทศปลายทางมีมาตรฐานไม่เพียงพอ ซึ่งไม่มีใครทำก่อนกดวาง ส่วนข้อยกเว้นเรื่องสัญญาใน (3) ต้อง “จำเป็น” ต่อการปฏิบัติตามสัญญากับเจ้าของข้อมูล การให้ AI ช่วยร่างข้อความทวงหนี้ทำได้โดยไม่ต้องส่งชื่อจริงออกไป ก่อนอ้างข้อยกเว้นใด ควรให้ DPO ประเมินเป็นกรณีไป
ทางที่กฎหมายเตรียมไว้ให้ธุรกิจ
ทางที่ใช้ได้จริงคือ มาตรา 29 กับประกาศ พ.ศ. 2566 ที่ออกตามมาตรานี้ ข้อ 8 ของประกาศให้ส่งหรือโอนได้โดยไม่ต้องทำตามมาตรา 28 ถ้ามีมาตรการคุ้มครองที่เหมาะสม เช่น ข้อสัญญาที่เป็นที่ยอมรับ
ข้อ 10 ของประกาศระบุข้อสัญญาต้นแบบที่ใช้ได้ เช่น ASEAN Model Contractual Clauses และ Standard Contractual Clauses ภายใต้ GDPR การที่พนักงานกดยอมรับข้อกำหนดของบริการด้วยบัญชีส่วนตัว ไม่ถือว่าบริษัทได้จัดมาตรการเหล่านี้แล้ว
ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลอาจส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศได้โดยได้รับยกเว้นไม่ต้องปฏิบัติตามมาตรา 28 เมื่อได้จัดให้มีมาตรการคุ้มครองที่เหมาะสม (appropriate safeguards) ซึ่งสามารถบังคับตามสิทธิของเจ้าของข้อมูลส่วนบุคคลได้ และมีมาตรการเยียวยาทางกฎหมายที่มีประสิทธิภาพ
ใส่สูตร ราคาทุน หรือแผนการขายลง AI แล้ว ยังเป็นความลับทางการค้าอยู่ไหม?
พ.ร.บ.ความลับทางการค้า พ.ศ. 2545 ไม่ได้คุ้มครองข้อมูลทุกอย่างที่บริษัทเรียกว่า “ลับ” มาตรา 3 วางเงื่อนไขไว้ 3 ข้อ และข้อสุดท้ายคือข้อที่เกี่ยวกับ AI สาธารณะโดยตรง
ข้อมูลการค้าซึ่งยังไม่รู้จักกันโดยทั่วไป หรือยังเข้าถึงไม่ได้ในหมู่บุคคลซึ่งโดยปกติแล้วต้องเกี่ยวข้องกับข้อมูลดังกล่าว โดยเป็นข้อมูลที่มีประโยชน์ในเชิงพาณิชย์เนื่องจากการเป็นความลับ และเป็นข้อมูลที่ผู้ควบคุมความลับทางการค้าได้ใช้มาตรการที่เหมาะสมเพื่อรักษาไว้เป็นความลับ
สมมติว่าวันหนึ่งบริษัทฟ้องอดีตพนักงานว่าเอาสูตรผลิตภัณฑ์ไปใช้ ฝ่ายจำเลยถามกลับได้ทันทีว่า บริษัทมีมาตรการรักษาความลับที่เหมาะสมจริงหรือ ในเมื่อพนักงานทุกคนเอาสูตรเดียวกันไปใส่แชตบอตสาธารณะได้โดยไม่มีข้อห้าม
ตรงนี้เองที่การไม่มีนโยบาย AI กลายเป็นจุดอ่อนของบริษัทในคดีความลับทางการค้า ถึงแม้ตอนที่ใส่ข้อมูลไปจะยังไม่มีอะไรรั่วไหลเลยก็ตาม
ข้อมูลแบบไหน เสี่ยงแค่ไหน และควรแก้อย่างไร?
ตารางนี้รวบรวมกรณีที่พบบ่อยในสำนักงาน แต่ละแถวโยงกลับไปที่เอกสารที่ยกมาข้างต้น DPO นำไปคุยกับหัวหน้าแผนกได้เลยโดยไม่ต้องแปลภาษากฎหมายอีกรอบ
| ข้อมูลที่ใส่ | กฎหมาย/แนวทางที่เกี่ยวข้อง | ระดับความเสี่ยง | ควรทำอย่างไร |
|---|---|---|---|
| รายชื่อลูกค้า เบอร์โทร ยอดค้างชำระ | แนวทาง สคส. ภาคผนวก ค. ข้อ 4.1 · PDPA ม.28 หากข้อมูลไปเก็บที่ศูนย์ข้อมูลต่างประเทศซึ่งคนอื่นเข้าถึงได้ | สูง: อาจเป็นการเปิดเผยโดยไม่มีฐานทางกฎหมาย และอาจเป็นการโอนไปต่างประเทศโดยไม่มีมาตรการรองรับ | ตัดชื่อและเบอร์ออก ใช้รหัสลูกค้าแทน หรือย้ายงานไปใช้บริการแบบองค์กรที่มีข้อตกลง DPA |
| สำเนาบัตรประชาชน ใบรับรองแพทย์ ผลตรวจสุขภาพพนักงาน | คู่มือ ETDA ภาคผนวก 4.2 ข้อ 2 ระบุเอกสารเหล่านี้ไว้ตรง ๆ · ข้อมูลสุขภาพและข้อมูลชีวภาพอยู่ในรายการของ PDPA ม.26 | สูงที่สุด: เป็นข้อมูลอ่อนไหว | ห้ามใส่ AI สาธารณะไม่ว่ากรณีใด |
| สัญญากับคู่ค้า ราคาทุน สูตรสินค้า ซอร์สโค้ด | คู่มือ ETDA ภาคผนวก 4.2 ข้อ 1 · พ.ร.บ.ความลับทางการค้า ม.3 | สูง: พิสูจน์ว่ามี “มาตรการที่เหมาะสม” ได้ยากขึ้น | กำหนดชั้นความลับของเอกสาร และให้ใช้เฉพาะเครื่องมือที่บริษัทอนุมัติ |
| รหัสผ่าน API key ค่าตั้งระบบ | คู่มือ ETDA ภาคผนวก 4.3 ข้อ 1 | สูง: เปิดช่องให้ระบบถูกเจาะ | ห้ามเด็ดขาด ถ้าใส่ไปแล้วให้เปลี่ยนรหัสหรือออก key ใหม่ทันที |
| รายงานการประชุมที่มีชื่อและผลประเมินพนักงาน | แนวทาง สคส. ข้อ 2.3 ตัวอย่าง ข. | ปานกลางถึงสูง: ถือเป็นการประมวลผลในนามองค์กร | เปลี่ยนชื่อเป็นตำแหน่งหรือรหัสก่อนให้ AI สรุป |
| ร่างประกาศรับสมัครงาน หรือข้อความที่ไม่มีชื่อคนและไม่ใช่ความลับ | ทั้ง 4 แหล่งไม่ได้ห้ามไว้โดยเฉพาะ | ต่ำ | ใช้ได้ แต่ต้องตรวจผลลัพธ์ก่อนเผยแพร่ (ETDA ภาคผนวก 4.4 ข้อ 1) |
AI สาธารณะกับ AI แบบองค์กร ต่างกันตรงไหน?
ต่างกันที่ คู่สัญญา มากกว่าราคา บัญชีแบบเสียเงินที่พนักงานสมัครเอง ก็ยังเป็นสัญญาระหว่างพนักงานกับผู้ให้บริการ
บริการแบบองค์กรคือบริษัทเป็นคู่สัญญาเอง และต่อรองเงื่อนไขการใช้ข้อมูลได้ ภาคผนวก ข. ของแนวทาง AI ของ สคส. บอกไว้ว่าข้อตกลงนั้นต้องมีอะไรบ้าง
จัดทำข้อตกลง DPA ตามมาตรา 40 อย่างครบถ้วน โดยระบุเงื่อนไขห้ามมิให้ผู้ให้บริการนำข้อมูลส่วนบุคคลขององค์กรไปใช้ในวัตถุประสงค์หรือเงื่อนไขนอกเหนือจากข้อตกลง เว้นแต่จะได้รับอนุญาต
| ประเด็น | AI สาธารณะ / บัญชีส่วนตัว | บริการแบบองค์กรที่มีข้อตกลงคุ้มครองข้อมูล |
|---|---|---|
| ใครเป็นคู่สัญญา | พนักงานกดยอมรับข้อกำหนดเอง | บริษัทลงนามกับผู้ให้บริการ |
| การนำข้อมูลไปฝึกโมเดล | แล้วแต่ข้อกำหนดของบริการ ETDA เตือนว่าบริการฟรีอาจเก็บข้อมูลไปฝึก | เขียนห้ามไว้ในข้อตกลงได้ ตามแนวทาง สคส. ภาคผนวก ข. ข้อ 2 |
| การโอนข้อมูลไปต่างประเทศ (ม.28–29) | องค์กรไม่มีสัญญาของตัวเองไว้รองรับ | ทำข้อสัญญาตามข้อ 8 และข้อ 10 ของประกาศ ม.29 ได้ เช่น ข้อสัญญาต้นแบบของอาเซียน |
| การแจ้งเหตุละเมิดกลับมาที่บริษัท | ผู้ให้บริการไม่มีหน้าที่ต่อบริษัท | ประกาศ ม.29 ข้อ 10 (1) ให้ผู้รับที่เป็นผู้ประมวลผลแจ้งภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เท่าที่ทำได้ |
| การตั้งค่าความเป็นส่วนตัว | แต่ละคนตั้งเอง หรือปล่อยตามค่าเริ่มต้น | ฝ่ายไอทีกำหนดจากส่วนกลางได้ (ตรวจกับเอกสารของบริการ) |
ถ้ายังไม่พร้อมซื้อบริการแบบองค์กร แนวทาง สคส. ภาคผนวก ค. ข้อ 6.3 ให้ทำขั้นต่ำไว้ คืออ่านข้อกำหนดการใช้งานและประกาศความเป็นส่วนตัวของบริการ แล้วตั้งค่าความเป็นส่วนตัวให้เหมาะสม ไม่ปล่อยไว้ตามค่าเริ่มต้นถ้าเห็นว่าไม่ปลอดภัยพอ
เรื่องการเลือกผู้ให้บริการ ดูวิธีเขียนข้อตกลงได้ในคู่มือข้อตกลงกับผู้ประมวลผล และเรื่องการโอนข้อมูลในคู่มือส่งข้อมูลไปต่างประเทศ
นโยบายการใช้ AI ฉบับสั้น ควรมีอะไรบ้าง?
แนวทาง สคส. ภาคผนวก ข. ข้อ 1 วางหลักไว้ว่านโยบายต้องเขียน ข้อห้ามให้ชัด และต้องมีการอบรมควบคู่ไปด้วย ประกาศแล้วปล่อยไว้เฉย ๆ ไม่พอ
ประกาศใช้นโยบายการใช้งานที่ยอมรับได้ (Acceptable Use Policy: AUP) ที่ระบุข้อห้ามชัดเจน เช่น ห้ามป้อนข้อมูลส่วนบุคคลลงใน AI สาธารณะ และจัดอบรมพนักงานให้ตระหนักถึงความเสี่ยงจาก AI Hallucination และ Data Leakage
- ขอบเขต: ใช้กับพนักงาน ผู้รับจ้าง และนักศึกษาฝึกงาน บนทุกอุปกรณ์ที่ใช้ทำงานของบริษัท รวมถึงโทรศัพท์ส่วนตัว
- บริการที่อนุมัติ: ใช้ได้เฉพาะบริการ AI ที่ฝ่ายไอทีและ DPO อนุมัติ ห้ามใช้บัญชีส่วนตัวทำงานของบริษัท
- ข้อมูลที่ห้ามใส่ในบริการที่ไม่ได้อนุมัติ: ข้อมูลส่วนบุคคลของลูกค้าและพนักงาน ข้อมูลอ่อนไหว (บัตรประชาชน ข้อมูลสุขภาพ ข้อมูลชีวภาพ) สัญญา ราคาทุน สูตร ซอร์สโค้ด รหัสผ่าน และ API key
- ในบริการที่อนุมัติ: ใส่ข้อมูลส่วนบุคคลเท่าที่จำเป็นต่องาน และใช้รหัสแทนชื่อเมื่อทำได้
- ตรวจก่อนใช้: ตรวจผลงานของ AI ก่อนส่งลูกค้าหรือเผยแพร่ ห้ามให้ AI ตัดสินเรื่องที่กระทบสิทธิของบุคคลโดยไม่มีคนตรวจทาน
- การตั้งค่า: ตั้งค่าความเป็นส่วนตัวตามที่ฝ่ายไอทีกำหนด ไม่ใช้ค่าเริ่มต้น
- แจ้งทันที: ถ้าใส่ข้อมูลต้องห้ามไปแล้ว ให้แจ้งหัวหน้าและ DPO ทันที การรีบแจ้งเองจะนำมาพิจารณาเป็นคุณ
- อบรมและทดสอบ: อบรมเมื่อเริ่มงานและทุกปี พร้อมแบบทดสอบสั้น ๆ การฝ่าฝืนนโยบายเป็นความผิดวินัยตามข้อบังคับการทำงาน
- ทบทวน: DPO ทบทวนรายชื่อบริการที่อนุมัติและนโยบายนี้อย่างน้อยทุก 6 เดือน
ถ้าพนักงานใส่ข้อมูลไปแล้ว ต้องทำอะไรก่อน?
อย่าเพิ่งหาคนผิด ให้หยุดความเสียหายก่อน คู่มือ ETDA ภาคผนวก 4.3 ข้อ 3 ให้ผู้ใช้แจ้งผู้บังคับบัญชาทันที แล้วทำตามขั้นตอนรับมือเหตุด้านความมั่นคงปลอดภัย ลำดับที่ใช้ได้จริงมีดังนี้
- จดไว้ก่อนว่าใส่อะไร ลงบริการไหน ด้วยบัญชีใด เมื่อไร แล้วจึงลบ
- ลบบทสนทนา และปิดการเก็บประวัติหรือการนำข้อมูลไปฝึก เท่าที่บริการเปิดให้ทำ
- ถ้ามีรหัสผ่านหรือ API key ให้เปลี่ยนหรือออกใหม่ทันที
- ให้ DPO ประเมินว่าเป็นเหตุละเมิดข้อมูลส่วนบุคคลที่ต้องแจ้งตาม PDPA มาตรา 37 (4) หรือไม่ ซึ่งมีกำหนด 72 ชั่วโมงนับแต่ทราบเหตุ
- แก้ที่ต้นเหตุ ทบทวนรายชื่อเครื่องมือที่อนุมัติ และอบรมทีมนั้นซ้ำ
ใน AIPDPA เจ้าหน้าที่บันทึกเหตุลงทะเบียนได้ทันที ระบบนับถอยหลัง 72 ชั่วโมงจากเวลาที่องค์กรทราบเหตุ และมีตัวช่วยตัดสินใจที่เทียบเหตุกับตัวอย่าง 10 กรณีของ สคส. โดยคนเป็นผู้ยืนยันทุกการตัดสินใจ
ด้านการป้องกันมีทะเบียน AI นโยบายการใช้ AI ในที่ทำงาน และแบบทดสอบพนักงาน ถ้าอยากรู้ว่าองค์กรของคุณพร้อมแค่ไหน เริ่มจากเช็กความเสี่ยง AI 8 ข้อ ได้ฟรี
คำถามที่พบบ่อย
ChatGPT แบบเสียเงินที่พนักงานสมัครเอง ปลอดภัยกว่าแบบฟรีไหม?
ไม่เสมอไป แนวทาง สคส. ภาคผนวก ค. ข้อ 4.1 พูดถึง AI ในระบบปิดสำหรับองค์กร “ที่มีข้อตกลงหรือสัญญาคุ้มครองข้อมูลส่วนบุคคลรองรับ” บัญชีเสียเงินที่สมัครเองยังเป็นสัญญาของพนักงาน ไม่ใช่ของบริษัท ข้อมูลจะถูกใช้อย่างไรขึ้นกับข้อกำหนดของบริการนั้น
ลบชื่อลูกค้าออกก่อนใส่ ใช้ได้ไหม?
ช่วยลดความเสี่ยงได้มาก แต่ต้องดูว่ายังโยงกลับไปถึงตัวคนได้หรือไม่ ภาคผนวก ค. ของแนวทาง สคส. ย้ำว่าข้อมูลที่ระบุตัวคนได้แม้ทางอ้อมก็ยังเป็นข้อมูลส่วนบุคคล เช่น เลขสัญญาคู่กับยอดหนี้และที่อยู่ จึงควรตัดหรือแปลงทุกช่องที่ใช้ระบุตัวได้
แนวทาง AI ของ สคส. มีผลบังคับเป็นกฎหมายหรือไม่?
ไม่เป็นกฎหมาย เป็นแนวทางของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่อธิบายว่าจะใช้ PDPA กับเรื่อง AI อย่างไร หน้าที่จริงยังมาจาก PDPA และประกาศที่ออกตาม PDPA แต่แนวทางนี้ช่วยให้รู้ล่วงหน้าว่าหน่วยงานกำกับดูแลมองเรื่องนี้อย่างไร
พนักงานที่ใส่ข้อมูลต้องรับผิดเอง หรือบริษัทต้องรับผิด?
แนวทาง สคส. ข้อ 2.3 ถือว่าการเอาข้อมูลลูกค้าไปใส่ AI สาธารณะเพื่อทำงานเป็น “การประมวลผลในนามองค์กร” ซึ่งองค์กรต้องมีมาตรการควบคุม ส่วนพนักงานจะรับผิดแค่ไหน ขึ้นกับข้อบังคับการทำงานและข้อเท็จจริงของแต่ละกรณี
ทุกครั้งที่มีคนใส่ข้อมูล ต้องแจ้ง สคส. ภายใน 72 ชั่วโมงหรือไม่?
ไม่ทุกครั้ง PDPA มาตรา 37 (4) ให้แจ้งเมื่อเกิดเหตุละเมิด เว้นแต่ไม่มีความเสี่ยงที่จะกระทบสิทธิและเสรีภาพของบุคคล จึงต้องประเมินจากชนิดข้อมูล จำนวนคน และข้อกำหนดของบริการ แล้วบันทึกเหตุผลไว้ ไม่ว่าจะตัดสินใจแจ้งหรือไม่แจ้ง
ตัวบทและแหล่งอ้างอิง
- แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ version 1.0 (คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) — 2.3 · 5.3 · ภาคผนวก ข. · ภาคผนวก ค. ข้อ 4.1
- คู่มือแนวทางการประยุกต์ใช้ Generative AI อย่างมีธรรมาภิบาลสำหรับองค์กร (ศูนย์ธรรมาภิบาลปัญญาประดิษฐ์ สพธอ.) — ภาคผนวก 4.2
- พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 28
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ ตามมาตรา 28 พ.ศ. 2566 — ข้อ 3
- ประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์การให้ความคุ้มครองข้อมูลส่วนบุคคลที่ส่งหรือโอนไปยังต่างประเทศ ตามมาตรา 29 พ.ศ. 2566 — ข้อ 8
- พ.ร.บ.ความลับทางการค้า พ.ศ. 2545 — มาตรา 3
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)