แชทบอทตอบลูกค้าคือช่องทางเก็บข้อมูลส่วนบุคคลทุกครั้งที่ลูกค้าพิมพ์ จึงต้องแจ้งตาม PDPA มาตรา 23 และแนวทาง AI ของ สคส. แนะนำให้บอกตั้งแต่ต้นว่ากำลังคุยกับระบบอัตโนมัติ บทความนี้ช่วยทีมบริการลูกค้า ไอที และ DPO วางประกาศ เก็บบันทึกแชท และรับมือเมื่อบอทตอบผิด
- แชทที่ลูกค้าพิมพ์เข้ามาเป็นการเก็บข้อมูลส่วนบุคคล ต้องแจ้งตาม PDPA มาตรา 23 ก่อนหรือขณะเก็บ
- แนวทาง AI ของ สคส. (ภาคผนวก ค. ข้อ 3.3) แนะนำให้บอกลูกค้าตั้งแต่ต้นว่ากำลังคุยกับระบบอัตโนมัติ
- ถ้าจะเอาแชทไปฝึกหรือปรับโมเดล ต้องแจ้งแยกจากการใช้ตอบคำถาม (หัวข้อ 4.4)
- แนวทางฉบับเดียวกันให้เก็บ log ละเอียดพอสืบเหตุ แต่ก็ให้ปิดบังข้อมูลส่วนบุคคลก่อนบันทึก ต้องออกแบบให้ได้ทั้งสองอย่าง
- แชทบอทเผยข้อมูลลูกค้าคนอื่นอาจเป็นเหตุละเมิด ต้องประเมินและแจ้ง สคส. ใน 72 ชั่วโมงถ้าเข้าเกณฑ์มาตรา 37 (4)
ร้านค้าออนไลน์ โรงพยาบาล บริษัทประกัน ธนาคาร ตอนนี้แทบทุกที่มีแชทบอทรับเรื่องลูกค้าก่อนส่งต่อให้พนักงาน ลูกค้าพิมพ์ชื่อ เบอร์โทร ที่อยู่ เลขคำสั่งซื้อ บางคนส่งรูปบัตรประชาชนหรือเล่าอาการป่วยมาด้วยโดยไม่มีใครขอ
ข้อความทั้งหมดนี้คือ การเก็บรวบรวมข้อมูลส่วนบุคคล ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ผู้ควบคุมข้อมูลส่วนบุคคลคือบริษัทที่เปิดแชทบอท ไม่ใช่ผู้ขายซอฟต์แวร์ บทความนี้ไล่ทีละเรื่องว่ากฎหมายบังคับอะไร และแนวทางของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) แนะนำอะไรเพิ่ม
ต้องบอกลูกค้าไหมว่ากำลังคุยกับแชทบอท?
PDPA ไม่มีมาตราไหนเขียนว่าต้องบอกว่าเป็นบอท แต่แนวทาง AI ของ สคส. ตอบคำถามนี้ไว้ตรง ๆ ในภาคผนวกคำถามที่พบบ่อย ว่า ควรแจ้ง และควรแจ้งตั้งแต่ต้นบทสนทนา
ควรแจ้งให้ทราบ ตามหลักความโปร่งใส (Transparency) องค์กรควรแจ้งให้ผู้ใช้งานทราบตั้งแต่ต้นว่ากำลังสื่อสารกับระบบอัตโนมัติ เพื่อให้ผู้ใช้งานตระหนักถึงข้อจำกัดและความเสี่ยงที่อาจเกิดขึ้น
เหตุผลที่แนวทางให้ไว้คือให้ลูกค้ารู้ข้อจำกัดของระบบ ในทางปฏิบัติหมายถึงข้อความทักทายบรรทัดแรก เช่น "ผู้ช่วยอัตโนมัติของบริษัท ตอบได้เฉพาะเรื่องคำสั่งซื้อและการจัดส่ง หากต้องการคุยกับพนักงาน พิมพ์ 'ติดต่อพนักงาน'" สั้น ชัด และบอกทางออกไว้ด้วย
ชื่อเล่นน่ารักของบอทไม่ผิด แต่ถ้าตั้งชื่อและรูปให้เหมือนพนักงานจริงจนลูกค้าเชื่อว่าคุยกับคน ก็สวนทางกับหลักความโปร่งใสที่แนวทางเขียนไว้
ประกาศความเป็นส่วนตัวต้องเขียนอะไรเพิ่มเมื่อมีแชทบอท?
หน้าที่ที่เป็นกฎหมายจริงอยู่ที่ PDPA มาตรา 23 ผู้ควบคุมข้อมูลต้องแจ้งเจ้าของข้อมูลก่อนหรือขณะเก็บ แชทบอทเก็บข้อมูลตั้งแต่ข้อความแรก ประกาศจึงต้องเข้าถึงได้ก่อนลูกค้าเริ่มพิมพ์ ไม่ใช่ซ่อนไว้ท้ายเว็บ
ในการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลส่วนบุคคลจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะเก็บรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียด ดังต่อไปนี้ เว้นแต่เจ้าของข้อมูลส่วนบุคคลได้ทราบถึงรายละเอียดนั้นอยู่แล้ว
(3) ข้อมูลส่วนบุคคลที่จะมีการเก็บรวบรวมและระยะเวลาในการเก็บรวบรวมไว้ ทั้งนี้ ในกรณีที่ไม่สามารถกำหนดระยะเวลาดังกล่าวได้ชัดเจน ให้กำหนดระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานของการเก็บรวบรวม
แนวทาง AI ของ สคส. ต่อยอดมาตรา 23 ไว้ในรายการตรวจสอบสำหรับองค์กรที่นำ AI มาใช้ โดยแนะนำให้บอกด้วยว่ามีการใช้ AI โต้ตอบกับคน
ปรับปรุงประกาศความเป็นส่วนตัวเพื่อแจ้งวัตถุประสงค์ให้ครอบคลุมในบริบทการใช้ AI เช่น มีการนำข้อมูลส่วนบุคคลไปใช้ในการฝึกฝน AI และผลกระทบที่อาจเกิดขึ้นให้เจ้าของข้อมูลทราบ โดยยึดหลักการในมาตรา 23 รวมถึงควรแจ้งว่ามีการนำ AI มาใช้ เช่น ในการประมวลผล สร้างเนื้อหา หรือโต้ตอบกับมนุษย์
| เรื่อง | ตัวอย่างข้อความ | ที่มา |
|---|---|---|
| วัตถุประสงค์ | ใช้ข้อความในแชทเพื่อตอบคำถาม ติดตามคำสั่งซื้อ และส่งต่อเรื่องให้พนักงาน | PDPA มาตรา 23 (1) |
| ข้อมูลที่เก็บ และเก็บนานเท่าไร | เก็บข้อความ ชื่อบัญชี และเวลาที่ส่ง ไว้ ... เดือน (องค์กรกำหนดเอง) | PDPA มาตรา 23 (3) |
| ใครได้รับข้อมูล | ผู้ให้บริการระบบแชทบอทและผู้ให้บริการโมเดล AI ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล | PDPA มาตรา 23 (4) |
| ช่องทางติดต่อและ DPO | อีเมลหรือแบบฟอร์มของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล | PDPA มาตรา 23 (5) |
| สิทธิของลูกค้า | ขอเข้าถึง ขอลบ คัดค้าน ขอแก้ไขบทสนทนาที่เกี่ยวกับตน | PDPA มาตรา 23 (6) |
| มีการใช้ AI | ผู้ช่วยในแชทเป็นระบบ AI ที่ตอบอัตโนมัติ | แนวทาง AI ของ สคส. ภาคผนวก ข. ข้อ 3 (แนวทาง) |
| จะนำแชทไปฝึก AI หรือไม่ | ไม่นำข้อความไปฝึกโมเดล หรือถ้านำไป ให้บอกตรงนี้ | แนวทาง AI ของ สคส. หัวข้อ 4.4 (แนวทาง) |
ช่องระยะเวลาเก็บในตารางเว้นไว้โดยตั้งใจ กฎหมายไม่ได้กำหนดตัวเลขให้แชทบอท องค์กรต้องเลือกเองตามความจำเป็นของงาน แล้วเขียนตัวเลขนั้นลงประกาศ ดูวิธีเขียนประกาศทั้งฉบับได้ที่ คู่มือประกาศความเป็นส่วนตัว
เอาแชทลูกค้าไปฝึกหรือปรับโมเดลต่อได้ไหม?
แนวทาง AI ของ สคส. แยกการใช้ข้อมูลกับ AI เป็นสองแบบ แบบแรกคือป้อนข้อมูลเข้าไปเพื่อให้ได้คำตอบ แบบที่สองคือเอาข้อมูลไปสอนให้ระบบเก่งขึ้น สองอย่างนี้ต้องบอกให้ชัดในประกาศ
โดยเฉพาะการแจ้งว่าจะนำข้อมูลไปใช้เพื่อการอนุมานผลลัพธ์ (Inference) ซึ่งเป็นการนำข้อมูลเข้าสู่ระบบเพื่อให้ได้คำตอบหรือผลลัพธ์ตามบริการที่ร้องขอ และการนำข้อมูลไปใช้เพื่อการพัฒนาและปรับปรุงโมเดล (Training/Fine-tuning) ซึ่งเป็นการนำข้อมูลไปฝึกฝนให้ระบบมีความฉลาดหรือแม่นยำยิ่งขึ้น
แชทบอทที่ตอบคำถามอย่างเดียวคือแบบแรก ถ้าวันหนึ่งทีมอยากเอาบทสนทนาย้อนหลังไปปรับโมเดล นั่นคือวัตถุประสงค์ใหม่ ภาคผนวก ค. ข้อ 2.1 ของแนวทางเดียวกันชี้ว่า ถ้าวัตถุประสงค์เดิมไม่ครอบคลุมการฝึก AI อาจเป็นการใช้นอกวัตถุประสงค์ ต้องดูข้อยกเว้นตามมาตรา 21 ถ้าไม่เข้า ควรแจ้งวัตถุประสงค์ใหม่และขอความยินยอม
แนวทาง AI ของ สคส. ภาคผนวก ค. ข้อ 4.1 แนะนำเพิ่มว่า ถ้าเลี่ยงไม่ได้ ให้ใช้ AI แบบองค์กรที่มีสัญญาคุ้มครองข้อมูลรองรับ แทนบริการสาธารณะ เรื่องพนักงานเอาข้อมูลลูกค้าไปใส่ AI สาธารณะ อ่านต่อได้ที่ บทความเรื่อง ChatGPT ในที่ทำงาน
ควรเก็บบันทึกบทสนทนาไว้ละเอียดแค่ไหน?
คำถามนี้แนวทาง AI ของ สคส. ตอบไว้สองที่ และอ่านเผิน ๆ เหมือนสวนกัน หัวข้อ 8.1 ว่าด้วยการรับมือเหตุละเมิด แนะนำให้เก็บทั้งข้อความที่ผู้ใช้ป้อนและคำตอบของระบบ เพื่อย้อนดูได้ว่าข้อมูลรั่วจากคำสั่งไหน
ระบบบันทึกควรสามารถเก็บรายละเอียดของข้อมูลนำเข้า (Input Data) และผลลัพธ์ที่ตอบกลับ (Output Generation) ในแต่ละธุรกรรม
แต่ภาคผนวกคำถามที่พบบ่อยของเล่มเดียวกัน ข้อ 6.5 กลับแนะนำให้เก็บเท่าที่จำเป็น และระวังการเก็บข้อมูลส่วนบุคคลใน Prompt หรือ Output ลง log ตรง ๆ
ควรบันทึกเท่าที่จำเป็นและมีมาตรการคุ้มครอง ควรบันทึก Metadata ที่สำคัญ เช่น ใคร ทำอะไร เมื่อไหร่ เพื่อการตรวจสอบ แต่ควรหลีกเลี่ยงการบันทึกข้อมูลส่วนบุคคลใน Prompt หรือ Output ลงใน Log โดยตรง หรือควรทำการ Masking ข้อมูลก่อนบันทึก เพื่อลดความเสี่ยงหากไฟล์ Log นั้นรั่วไหล
สองข้อนี้ไปด้วยกันได้ถ้าแยก log เป็นสองชั้น ชั้นแรกคือข้อมูลกำกับ เช่น เวลา รหัสบทสนทนา เวอร์ชันโมเดล และ System Prompt ที่ใช้ตอนนั้น เก็บครบทุกครั้ง ชั้นที่สองคือเนื้อความแชท เก็บแบบปิดบังเลขบัตร เบอร์โทร หรือข้อมูลอ่อนไหวก่อน จำกัดคนเปิดดู และลบตามกำหนด ข้อเสนอนี้เป็นของทีม AIPDPA ไม่ใช่ถ้อยคำของแนวทาง
| ชั้นของ log | เก็บอะไร | ใครเปิดได้ | เหตุผล |
|---|---|---|---|
| ข้อมูลกำกับ | เวลา รหัสบทสนทนา Model Version และ System Prompt | ทีมไอทีและผู้ตรวจสอบ | หัวข้อ 8.1 และภาคผนวก ข. ข้อ 5 ของแนวทาง AI |
| เนื้อความแชท | ข้อความลูกค้าและคำตอบ หลังปิดบังข้อมูลที่ระบุตัวได้ | เฉพาะคนที่ต้องสืบเหตุหรือตอบคำขอใช้สิทธิ | ภาคผนวก ค. ข้อ 6.5 ของแนวทาง AI |
| ไฟล์แนบ | รูปบัตร เอกสาร ใบเสร็จ | เจ้าหน้าที่ที่รับเรื่องนั้น | เก็บแยกและลบเร็วที่สุดเท่าที่งานยอมให้ |
ระยะเวลาที่เลือกต้องตรงกับที่เขียนไว้ในประกาศตามมาตรา 23 (3) ถ้าองค์กรต้องเก็บ log ตามกฎหมายอื่นด้วย ดูวิธีจัดการเมื่อสองกฎหมายสั่งไม่ตรงกันได้ที่ Log 90 วันกับสิทธิขอลบ
แชทบอทตอบข้อมูลของลูกค้าคนอื่นออกไป ถือเป็นเหตุละเมิดไหม?
อาจเป็นได้ คู่มือ Generative AI ของ สพธอ. ยกตัวอย่างแชทบอทฝ่ายบุคคลที่หยิบข้อมูลของพนักงานคนหนึ่งไปตอบอีกคน ความเสี่ยงแบบเดียวกันเกิดกับแชทบอทลูกค้าที่ดึงข้อมูลจากระบบหลังบ้าน
ความเสี่ยงด้านความเป็นส่วนตัวของข้อมูล (Data Privacy) Generative AI Chatbot ตอบคำถามพนักงานโดยนำข้อมูลส่วนบุคคลของพนักงานคนหนึ่ง มาตอบคำถามแก่พนักงานอีกคนหนึ่ง
ส่วนการที่คนนอกพิมพ์คำสั่งหลอกให้บอทคายข้อมูล (Prompt Injection) แนวทาง AI ของ สคส. ตอบว่าอาจเป็นเหตุการละเมิด และโยงกลับไปที่หน้าที่แจ้งเหตุตามกฎหมาย
อาจถือเป็นเหตุการละเมิดข้อมูลส่วนบุคคล หากการโจมตีนั้นส่งผลให้ระบบ AI เปิดเผยข้อมูลส่วนบุคคลของผู้อื่นออกมาโดยไม่ได้รับอนุญาต องค์กรควรดำเนินการประเมินความเสี่ยงและแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลหากเข้าเงื่อนไขตามมาตรา 37 (4)
PDPA มาตรา 37 (4) ให้แจ้ง สคส. โดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่ทำได้ เว้นแต่การละเมิดไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล ขั้นตอนประเมินและแจ้งทีละขั้นอยู่ใน ข้อมูลรั่ว ต้องทำอะไรใน 72 ชั่วโมงแรก ถึงตอนนั้น log ชั้นข้อมูลกำกับคือสิ่งที่บอกได้ว่าบอทตอบอะไร ให้ใคร เมื่อไร
ข้อมูลส่วนบุคคลไปถึงคนที่ไม่มีสิทธิ ต้องประเมินความเสี่ยงตามมาตรา 37 (4) และบันทึกไว้แม้สรุปว่าไม่ต้องแจ้ง
ยังไม่มีข้อมูลส่วนบุคคลหลุด แต่ควรแก้ช่องโหว่และเก็บหลักฐาน เพราะรอบหน้าอาจไม่ใช่แค่ System Prompt
ข้อมูลอยู่ในมือองค์กรแล้ว ควรมีขั้นตอนลบหรือปิดบังไฟล์ที่เกินจำเป็น
แชทบอทตอบเรื่องตัวลูกค้าผิด ต้องแก้อย่างไร?
PDPA มาตรา 35 ให้ผู้ควบคุมข้อมูลดูแลให้ข้อมูลส่วนบุคคลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด แนวทาง AI ของ สคส. อธิบายว่าคำตอบของ AI ที่พูดถึงคนที่ระบุตัวได้ก็เป็นข้อมูลส่วนบุคคล และความผิดพลาดทางเทคนิคไม่ใช่ข้ออ้างให้พ้นหน้าที่
ผู้ควบคุมข้อมูลส่วนบุคคลจึงควรแจ้งข้อจำกัดด้านความถูกต้องของผลลัพธ์ให้ผู้ใช้ทราบอย่างชัดเจน และจัดช่องทางให้เจ้าของข้อมูลส่วนบุคคลขอแก้ไขหรือระงับการแสดงผลลัพธ์ที่ไม่ถูกต้องเกี่ยวกับตน ซึ่งอาจดำเนินการผ่านตัวกรองผลลัพธ์ (Output Filter) ได้ในระหว่างที่การแก้ไขในตัวโมเดลยังไม่อาจกระทำได้ในทางเทคนิค
ในทางปฏิบัติคือ ให้บอทบอกข้อจำกัดของตัวเองในข้อความทักทาย มีปุ่มหรือคำสั่งให้ลูกค้าแจ้งว่าคำตอบผิด และมีคนรับเรื่องนั้นไปแก้ที่ต้นทาง ถ้าบอทดึงคำตอบจากฐานความรู้ขององค์กร (RAG) แก้ที่เอกสารต้นทางมักเร็วกว่าแก้ตัวโมเดล
ตัวอย่าง ฝ่ายบริการลูกค้าสร้างแชทบอทสำหรับช่วยตอบคำถามลูกค้า โดยใช้เทคนิค RAG เพื่อนำข้อมูลสินค้าและคำถามที่พบบ่อย (FAQ) ขององค์กรมาช่วยในการตอบคำถาม
ตัวอย่างนี้คู่มือของ สพธอ. จัดเป็นรูปแบบ "ผู้ปรับแต่ง" คือองค์กรเอาข้อมูลของตัวเองไปประกอบกับโมเดลที่ฝึกมาแล้ว องค์กรจึงคุมคำตอบได้มากกว่าที่คิด เพราะคุมเอกสารที่บอทอ่าน
ก่อนเปิดแชทบอทให้ลูกค้าใช้ ต้องเช็กอะไรบ้าง?
- ข้อความแรกบอกว่าเป็นระบบอัตโนมัติ บอกขอบเขตที่ตอบได้ และทางติดต่อพนักงาน
- ลิงก์ประกาศความเป็นส่วนตัวอยู่ในหน้าต่างแชทก่อนลูกค้าพิมพ์ และเขียนครบตามมาตรา 23 รวมระยะเวลาเก็บบทสนทนา
- ตัดสินใจให้ชัดว่าจะเอาแชทไปฝึกหรือปรับโมเดลหรือไม่ แล้วตั้งค่าที่ผู้ให้บริการให้ตรงกับที่ประกาศไว้
- มีข้อตกลงประมวลผลข้อมูลกับผู้ให้บริการแชทบอทและผู้ให้บริการโมเดลตามมาตรา 40
- แบ่ง log เป็นข้อมูลกำกับกับเนื้อความแชท ปิดบังข้อมูลที่ระบุตัวได้ และตั้งวันลบ
- จำกัดให้บอทดึงได้เฉพาะข้อมูลของลูกค้าที่ยืนยันตัวตนแล้ว ทดสอบว่าถามข้อมูลคนอื่นแล้วต้องไม่ได้คำตอบ
- มีช่องให้ลูกค้าแจ้งว่าคำตอบผิด และช่องขอใช้สิทธิ เช่น ขอสำเนาหรือขอลบบทสนทนา
- ซ้อมว่าถ้าบอทเผยข้อมูลคนอื่น ใครประเมิน ใครตัดสินใจแจ้ง สคส. ภายใน 72 ชั่วโมง
แนวทาง AI ของ สคส. ภาคผนวก ข. ข้อ 1 ยังแนะนำให้ทำ DPIA ถ้าระบบเกี่ยวกับการตัดสินใจอัตโนมัติ ข้อมูลอ่อนไหว หรือข้อมูลผู้เยาว์จำนวนมาก แชทบอทของโรงพยาบาลหรือคลินิกจึงควรประเมินก่อนเปิดใช้ ถ้าบอทเริ่มตัดสินเรื่องที่กระทบลูกค้าเอง เช่น อนุมัติหรือปฏิเสธคำขอ อ่านต่อที่ ลูกค้าขอให้คนทบทวนผลที่ AI ตัดสิน
ใน AIPDPA ทีมงานลงทะเบียนแชทบอทไว้ในทะเบียนระบบ AI แล้วไล่เช็กลิสต์ตามแนวทาง AI ของ สคส. ได้ในที่เดียว ถ้าเกิดเหตุ ทะเบียนเหตุละเมิดจะนับเวลา 72 ชั่วโมงจากเวลาที่ทราบเหตุให้ เริ่มจาก ตรวจความเสี่ยง AI ฟรี ได้โดยไม่ต้องสมัคร
คำถามที่พบบ่อย
ถ้าแชทบอทไม่ได้ใช้ AI แค่ตอบตามปุ่มที่ตั้งไว้ ยังต้องทำตาม PDPA ไหม?
ต้อง ถ้าบอทรับชื่อ เบอร์โทร หรือข้อมูลที่ระบุตัวลูกค้าได้ ก็เป็นการเก็บข้อมูลส่วนบุคคลตามมาตรา 23 ไม่ว่าจะใช้ AI หรือไม่ ส่วนคำแนะนำในแนวทาง AI ของ สคส. ใช้กับระบบที่เป็น AI
ต้องขอความยินยอมก่อนเริ่มแชททุกครั้งไหม?
ไม่เสมอไป การตอบคำถามที่ลูกค้าถามมาเองอาจอาศัยฐานอื่นตามมาตรา 24 ได้ แต่ต้องแจ้งรายละเอียดตามมาตรา 23 เสมอ ถ้าจะเอาแชทไปฝึกโมเดลหรือทำการตลาด ควรพิจารณาฐานแยกต่างหาก ดู คู่มือฐานทางกฎหมาย
ลูกค้าขอลบประวัติแชทได้ไหม?
ลูกค้ามีสิทธิขอลบตาม PDPA มาตรา 33 เมื่อเข้าเงื่อนไข องค์กรควรค้นบทสนทนาของลูกค้าคนนั้นได้จากรหัสบทสนทนาหรือบัญชี จึงควรวางโครงสร้าง log ให้รองรับตั้งแต่แรก
ผู้ให้บริการแชทบอทอยู่ต่างประเทศ ต้องทำอะไรเพิ่ม?
ต้องดูเรื่องการส่งข้อมูลไปต่างประเทศตาม PDPA มาตรา 28 และ 29 และระบุผู้รับข้อมูลในประกาศ ดูรายละเอียดที่ คู่มือการส่งข้อมูลไปต่างประเทศ
แนวทาง AI ของ สคส. บังคับใช้เป็นกฎหมายหรือยัง?
ยังไม่ใช่กฎหมาย เป็นแนวทางที่ใช้คำว่า "ควร" แต่บอกได้ว่า สคส. คาดหวังอะไร ส่วนหน้าที่ตาม PDPA เช่น มาตรา 23 และมาตรา 37 (4) เป็นกฎหมายที่บังคับแล้ว
ตัวบทและแหล่งอ้างอิง
- พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 23 · มาตรา 37 (4)
- แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ version 1.0 (คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) — แนวทาง ไม่ใช่กฎหมาย — หัวข้อ 4.4 · 8.1 · 9.4 · ภาคผนวก ข. ข้อ 3 · ภาคผนวก ค. ข้อ 3.3 · 4.3 · 6.5
- คู่มือแนวทางการประยุกต์ใช้ Generative AI อย่างมีธรรมาภิบาลสำหรับองค์กร (ศูนย์ธรรมาภิบาลปัญญาประดิษฐ์ สพธอ.) — คู่มือ ไม่ใช่กฎหมาย — ตัวอย่างผู้ปรับแต่ง (Customizer) · 3.3 ตัวอย่างที่ 1
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)