กฎหมาย AI ไทยและร่างแก้ PDPA ยังไม่ออก คือยังไม่มี พ.ร.บ.ว่าด้วยปัญญาประดิษฐ์ในราชกิจจานุเบกษา และร่างแก้ PDPA ยังอยู่ขั้นรับฟังความเห็น (ณ 11 กันยายน 2569) บันทึกนี้เป็นการคาดการณ์ของทีม เหมาะกับ DPO และผู้บริหาร ได้รู้ว่าเตรียมอะไรได้แล้ว
- ณ 11 ก.ย. 2569 ยังไม่มี พ.ร.บ.ปัญญาประดิษฐ์ในราชกิจจานุเบกษา มีเพียง (ร่าง) หลักการของ สพธอ. และผลรับฟังความเห็น 93 ราย
- บันทึกของทีมคาดว่าไทยจะกำกับแค่ AI ความเสี่ยงต้องห้ามกับความเสี่ยงสูง และให้หน่วยงานกำกับรายภาคส่วนประกาศรายการเอง
- ร่างแก้ PDPA ฉบับ ส.ส. แก้ ม.4 (2) เพิ่มนิยามหน่วยงานของรัฐใน ม.6 และเขียน ม.24 ใหม่ให้ความยินยอมเป็นฐานที่ (7)
- PDPA 2562 ยังใช้บังคับทุกมาตรา ยังไม่ต้องแก้ RoPA หรือเอกสารตามร่าง แค่ติดตามสถานะไว้
- งานที่คุ้มที่สุดตอนนี้: ทะเบียนระบบ AI แยกบทบาทรายระบบ ตั้งชื่อคนกำกับ เปิด log และแจ้งคนที่ถูก AI ตัดสิน
ช่วงนี้ทีม AIPDPA ได้รับคำถามแบบเดียวกันบ่อยมาก ว่ากฎหมาย AI ของไทยออกแล้วหรือยัง และ PDPA กำลังจะถูกแก้ใช่ไหม คำตอบสั้นที่สุดคือ ทั้งสองเรื่องยังไม่เป็นกฎหมาย แต่ก็ไม่ได้แปลว่าองค์กรต้องนั่งรอเฉย ๆ
บทความนี้สรุปจากบันทึกสองฉบับที่ทีมเราเรียบเรียงไว้ในคลังความรู้ ฉบับแรกอ่านทิศทางร่างกฎหมาย AI จากเอกสารที่สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (สพธอ.) เผยแพร่ ฉบับที่สองติดตามร่างแก้ไข พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคลที่ ส.ส. เสนอ จากนั้นเราจับงานที่ควรทำไปผูกกับ PDPA ฉบับที่ใช้บังคับอยู่ เพื่อให้ทุกอย่างที่ลงมือวันนี้มีฐานทางกฎหมายรองรับจริง
กฎหมาย AI ของไทยตอนนี้ถึงขั้นไหนแล้ว?
ยังไม่ถึงขั้นมีตัวบท ณ วันที่ 11 กันยายน 2569 ซึ่งเป็นวันที่ทีมเรียบเรียงบันทึก ยังไม่มีพระราชบัญญัติว่าด้วยปัญญาประดิษฐ์ประกาศในราชกิจจานุเบกษา และยังไม่มีการเผยแพร่ร่างรายมาตราต่อสาธารณะ
ของที่เผยแพร่แล้วจริงมีสามชิ้น คือ (ร่าง) หลักการของกฎหมายว่าด้วยปัญญาประดิษฐ์ เอกสารประกอบ และสรุปผลการรับฟังความคิดเห็นจากผู้แสดงความเห็น 93 ราย ระหว่าง 10 พฤษภาคม ถึง 24 มิถุนายน 2568 ระหว่างหลักการกับตัวบทยังมีชั้นคณะกรรมการกฤษฎีกาและชั้นรัฐสภาคั่นอยู่ ซึ่งเปลี่ยนเนื้อหาได้มาก
มีข่าวรายงานว่าร่างจะเข้าสภาในเดือนกันยายน 2569 บันทึกของทีมเขียนไว้ชัดว่ากำหนดนี้มาจากข่าว ไม่ใช่เอกสารราชการ ใครจะวางแผนงบหรือทำสัญญาโดยอิงวันที่ ควรรอดูราชกิจจานุเบกษาก่อน
ไม่มีตัวเลขค่าปรับ ไม่มีวันมีผลบังคับ ไม่มีช่วงเปลี่ยนผ่าน ที่ไหนเลย · ใครอ้างตัวเลขเหล่านี้ให้ถามว่าเอามาจากไหน
ใช้ประโยคนี้เป็นตัวกรองได้เลย ถ้ามีคนเสนอขายบริการโดยบอกว่ากฎหมาย AI ไทยจะปรับเท่านั้นเท่านี้ หรือจะบังคับใช้วันนั้นวันนี้ ให้ขอดูเอกสารต้นทาง เพราะบันทึกของทีมไม่พบตัวเลขเหล่านี้ในเอกสารที่เผยแพร่ฉบับใดเลย
บันทึกของทีมคาดว่ากฎหมายจะออกมาหน้าตาแบบไหน
ห้าข้อข้างล่างมาจากหลักการที่ผู้แสดงความเห็นเห็นด้วยเกิน 85% ทุกข้อ ทีมจึงให้น้ำหนักว่ามีโอกาสรอดไปถึงตัวบทมากที่สุด แต่ก็ยังเป็นการคาดการณ์อยู่ดี
- กำกับตามระดับความเสี่ยง และมีแค่สองชั้น คือความเสี่ยงต้องห้ามกับความเสี่ยงสูง ไม่ได้กำกับ AI ทุกตัว
- ตัว พ.ร.บ. จะไม่เขียนรายการระบบเสี่ยงสูงเอง แต่ให้หน่วยงานกำกับรายภาคส่วน เช่น ธปท. ก.ล.ต. คปภ. อย. ออกกฎหมายลำดับรองของภาคตัวเอง
- ผู้ให้บริการ AI ความเสี่ยงสูงมีหน้าที่บริหารความเสี่ยง โดยอ้าง ISO/IEC 42001:2023 และ NIST AI RMF เป็นตัวตั้ง
- ผู้ประยุกต์ใช้ (deployer) มีหน้าที่ของตัวเอง เช่น ให้คนกำกับดูแล เก็บ log ดูแลคุณภาพข้อมูลที่ป้อน แจ้งผู้ได้รับผลกระทบ และให้ความร่วมมือเมื่อถูกตรวจ
- ผู้ให้บริการต่างประเทศต้องมีผู้แทนทางกฎหมายในไทย ข้อนี้ผู้แสดงความเห็น 75 จาก 89 รายเห็นว่าจำเป็น
ข้อสี่กระทบองค์กรไทยมากที่สุด เพราะองค์กรส่วนใหญ่ไม่ได้สร้างโมเดลเอง แต่ซื้อหรือเช่าระบบมาใช้ จึงมักอยู่ในฐานะผู้ประยุกต์ใช้ ยกเว้นองค์กรที่ fine-tune โมเดลเองหรือเอา AI ไปให้บริการลูกค้าต่อ ซึ่งบันทึกของทีมเตือนว่าอาจกลายเป็นผู้ให้บริการที่มีหน้าที่หนักกว่ามาก
| เรื่อง | EU AI Act | ร่างไทยตามที่บันทึกคาด |
|---|---|---|
| ชั้นความเสี่ยง | 4 ชั้น | 2 ชั้น: ต้องห้าม · สูง |
| ใครกำหนดว่าอะไรเสี่ยงสูง | ตัว Regulation เอง (Annex I และ Annex III) | กฎหมายลำดับรองของหน่วยงานกำกับรายภาคส่วน |
| หน่วยงานกลาง | AI Office และ AI Board ระดับสหภาพ | เป็นตัวประสาน คาดกันว่าเป็น สพธอ. แต่ยังไม่มีเอกสารใดระบุ |
| โทษ | ค่าปรับทางปกครองตาม Article 99 | โทษปรับเป็นพินัยสำหรับความเสี่ยงต้องห้าม ส่วนความเสี่ยงสูงยังไม่ยุติ และยังไม่มีตัวเลข |
| Generative AI | มีหมวดเฉพาะ | ยังไม่ตัดสินใจ (67 จาก 89 รายเห็นว่าควรกำกับ) |
ร่างแก้ PDPA ที่ ส.ส. เสนอ จะเปลี่ยนอะไรบ้าง?
เปลี่ยนสามจุด ร่างนี้คือร่างพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (ฉบับที่ ..) ที่สมาชิกสภาผู้แทนราษฎรกลุ่มหนึ่งเสนอ ตอนที่ทีมเรียบเรียงบันทึก ร่างอยู่ขั้นรับฟังความคิดเห็นตามมาตรา 77 ของรัฐธรรมนูญ และยังไม่ผ่านวาระใดของสภา
- มาตรา 4 (2) ขยายข้อยกเว้นของหน่วยงานรัฐ ให้ครอบคลุม “การป้องกันและปราบปรามการทุจริตและประพฤติมิชอบ” เพิ่มจากเดิม
- มาตรา 6 เพิ่มบทนิยาม “หน่วยงานของรัฐ” โดยถ้อยคำสุดท้ายยังไม่นิ่ง
- มาตรา 24 ยกเลิกแล้วเขียนใหม่ทั้งมาตรา จากหลัก “ห้ามเก็บโดยไม่ได้รับความยินยอม เว้นแต่…” เป็น “ประมวลผลได้เมื่อเข้าอย่างน้อยหนึ่งฐาน” และย้ายความยินยอมไปเป็นฐานที่ (7)
ภาคเอกชนจะรู้สึกถึงจุดที่สามมากที่สุด เพราะเปลี่ยนวิธีคิดเรื่องฐานทางกฎหมายทั้งระบบ ดูถ้อยคำมาตรา 24 ที่ใช้อยู่วันนี้ก่อน
ห้ามมิให้ผู้ควบคุมข้อมูลส่วนบุคคลทำการเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่
ถ้อยคำนี้ทำให้ความยินยอมดูเป็นหลัก ส่วนอีกหกฐานดูเป็นข้อยกเว้น ร่างแก้ไขกลับโครงให้ทุกฐานมีน้ำหนักเท่ากัน คล้ายแนวคิดฐานทางกฎหมายหลายฐานของ GDPR บันทึกของทีมยังพบว่าร่างใช้คำใหม่ว่า “ผู้ควบคุมการประมวลผลข้อมูลส่วนบุคคล” ซึ่ง พ.ร.บ. ปัจจุบันไม่มี
| ฐาน | พ.ร.บ. 2562 (ใช้บังคับอยู่) | ร่างแก้ไข |
|---|---|---|
| ภารกิจเพื่อประโยชน์สาธารณะ / ใช้อำนาจรัฐ | (4) | (1) |
| จดหมายเหตุ วิจัย สถิติ | (1) | (2) |
| ป้องกันอันตรายต่อชีวิต ร่างกาย สุขภาพ | (2) | (3) |
| สัญญา | (3) | (4) |
| ประโยชน์โดยชอบด้วยกฎหมาย | (5) | (5) |
| ปฏิบัติตามกฎหมาย | (6) | (6) |
| ความยินยอม | หลักตั้งต้น อยู่นอกรายการในมาตรา 24 | (7) |
พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ยังบังคับใช้ตามเดิมทุกมาตรา
บันทึกฉบับเดียวกันแนะนำว่ายังไม่ต้องแก้ทะเบียน ไม่ต้องแก้เอกสาร และไม่ต้องแจ้งลูกค้า เหตุผลคือร่างที่ ส.ส. เสนอจำนวนมากไม่ผ่านวาระแรก หรือถูกแก้จนต่างจากร่างเดิม งานเดียวที่ควรทำคือติดตามสถานะในระบบสารสนเทศของรัฐสภา แล้วเตรียมรายการผลกระทบไว้
ถ้าร่างผ่านจริง เลขข้อของฐานในมาตรา 24 จะขยับแทบทุกข้อ ป้าย “มาตรา 24 (4)” ใน RoPA ประกาศความเป็นส่วนตัว และแบบฟอร์มต่าง ๆ ต้องเปลี่ยนตั้งแต่วันที่กฎหมายใหม่มีผล ไม่ใช่ไล่แก้ย้อนหลัง และเอกสารความยินยอมต้องเลิกเขียนว่า “ต้องขอความยินยอม เว้นแต่…”
สองร่างนี้มาเจอกันตรงไหน?
มาเจอกันที่การเอาข้อมูลส่วนบุคคลไปใช้กับ AI โดยเฉพาะการนำข้อมูลที่เก็บมาเพื่อเรื่องหนึ่งไปฝึกหรือทดสอบโมเดล
(ร่าง) หลักการกฎหมาย AI มีข้อหนึ่งเสนอให้ใน sandbox นำข้อมูลส่วนบุคคลที่เก็บไว้เพื่อวัตถุประสงค์อื่น มาพัฒนาหรือทดสอบ AI เพื่อประโยชน์สาธารณะได้ บันทึกของทีมอ่านว่าข้อนี้คือข้อยกเว้นของหลักใช้ข้อมูลตามวัตถุประสงค์ใน PDPA และเตือนว่าตราบใดที่ยังไม่มีกฎหมายรองรับ การทำแบบนั้นยังผิด PDPA
การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่แตกต่างไปจากวัตถุประสงค์ที่ได้แจ้งไว้ตามวรรคหนึ่งจะกระทำมิได้ เว้นแต่
มาตรา 21 เปิดทางไว้สองทาง คือแจ้งวัตถุประสงค์ใหม่แล้วได้รับความยินยอมก่อน หรือมีบทบัญญัติของ พ.ร.บ. นี้หรือกฎหมายอื่นให้ทำได้ ถ้า sandbox ในร่างกฎหมาย AI ออกมาจริง ก็จะเป็น “กฎหมายอื่น” ตามความหมายนี้ แต่วันนี้ยังไม่มี องค์กรที่อยากเอาแชตลูกค้าหรือประวัติพนักงานไปฝึกโมเดล จึงยังต้องเดินตามมาตรา 21 แบบเดิม
อีกเรื่องคือการแจ้งเหตุ บันทึกของทีมคาดว่ากฎหมาย AI จะมีหน้าที่แจ้งเหตุร้ายแรงของระบบ AI ต่อหน่วยงานรัฐ แยกจากการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ทั้งที่คำว่า “เหตุร้ายแรง” ยังไม่มีนิยาม ในอนาคตเหตุเดียวจึงอาจต้องแจ้งหลายทาง ส่วนหน้าที่ที่ใช้อยู่แล้ววันนี้คือมาตรา 37 (4)
แจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้
ถ้าระบบ AI ขององค์กรทำข้อมูลลูกค้ารั่ว เส้นตาย 72 ชั่วโมงตามมาตรา 37 (4) ใช้ทันที ไม่ต้องรอกฎหมาย AI ขั้นตอนทีละช่วงเวลาอยู่ในบทความ 72 ชั่วโมงแรกหลังข้อมูลรั่ว
วันนี้ควรเตรียมอะไร ให้ไม่เสียแรงไม่ว่ากฎหมายจะออกมาแบบไหน?
ให้ทำงานที่มีประโยชน์ตาม PDPA อยู่แล้ว และใช้ต่อได้ถ้ากฎหมาย AI ออกมา บันทึกของทีมเรียงไว้เจ็ดข้อตามความคุ้มค่า เราเติมคอลัมน์สุดท้ายว่าแต่ละข้อช่วยงานตาม PDPA ตรงไหน
| งาน | ทำไมควรทำตอนนี้ | ช่วยงานตาม PDPA ที่ใช้อยู่อย่างไร |
|---|---|---|
| ทำทะเบียนระบบ AI ที่ใช้อยู่ | วันที่หน่วยงานกำกับประกาศรายการความเสี่ยงสูง จะตอบได้ทันทีว่าองค์กรโดนข้อไหน | รู้ว่าระบบไหนประมวลผลข้อมูลส่วนบุคคล เพื่อบันทึกใน RoPA ตามมาตรา 39 |
| ระบุบทบาทรายระบบ: ผู้ให้บริการ หรือผู้ประยุกต์ใช้ | การ fine-tune หรือขาย AI ต่อ อาจทำให้หน้าที่หนักขึ้นมาก | ไปคู่กับการแยกว่าองค์กรเป็นผู้ควบคุมหรือผู้ประมวลผลข้อมูลในแต่ละกิจกรรม |
| ตั้งคนกำกับดูแลเป็นชื่อคน ไม่ใช่ชื่อฝ่าย | ระบบที่ตัดสินเรื่องคน เช่น จ้างงาน สินเชื่อ ประกัน ต้องมีผู้รับผิดชอบที่ระบุตัวได้ | มีคนรับเรื่องคำขอใช้สิทธิและคำคัดค้านของเจ้าของข้อมูล |
| เปิด log และกำหนดระยะเก็บ | ย้อนกลับไปเปิดทีหลังไม่ได้ ถ้าไม่เปิดไว้ก็ไม่มีอะไรให้ตรวจ | เป็นหลักฐานมาตรการความมั่นคงปลอดภัย และใช้สืบเหตุตามมาตรา 37 |
| แจ้งคนที่ถูก AI ตัดสินว่ามี AI อยู่ในกระบวนการ | สิทธิได้รับแจ้งได้เสียงหนุนสูง และเป็นงานที่ถูกที่สุด | รวมเข้ากับการแจ้งรายละเอียดตามมาตรา 23 ได้เลย |
| ทำ gap analysis กับ ISO/IEC 42001 หรือ NIST AI RMF | ทั้งสองกรอบถูกเอ่ยชื่อในหลักการโดยตรง | ใช้ทบทวนมาตรการความมั่นคงปลอดภัยตามมาตรา 37 (1) ไปพร้อมกัน |
| อ่านสัญญากับผู้ให้บริการ AI ต่างประเทศ | ใครรับผิดอะไรระหว่างผู้ใช้กับผู้ให้บริการ ยังไม่มีคำตอบในหลักการ | ตรวจข้อตกลงกับผู้ประมวลผลข้อมูล และเรื่องการส่งข้อมูลไปต่างประเทศ |
เจ็ดข้อนี้ทำครั้งเดียวแล้วตอบได้หลายกฎหมาย บันทึกของทีมชี้ว่าหน้าที่บริหารความเสี่ยงตาม ISO/IEC 42001 ทับกับมาตรการความมั่นคงปลอดภัยตามมาตรา 37 ของ PDPA และกับ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 สำหรับหน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศ ทำชุดเดียวให้ครบทั้งสามฉบับคุ้มกว่าแยกทำ
ใน AIPDPA งานข้อหนึ่งถึงห้าทำได้ในทะเบียนระบบ AI ร่วมกับ AI Risk Radar ซึ่งไล่เทียบกฎหมายไทย NIST AI RMF ISO 42001 และ EU AI Act ในหน้าเดียว และมีรายการตรวจตามแนวทาง AI ของ สคส. ให้ติ๊กทีละข้อ ถ้ายังไม่แน่ใจว่าองค์กรเสี่ยงแค่ไหน เริ่มจาก ตรวจความเสี่ยงการใช้ AI ฟรี ก่อนก็ได้
แนวปฏิบัติที่หยิบมาใช้ได้เลย ระหว่างรอตัวบท
บันทึกของทีมชี้ไปที่แนวปฏิบัติของ สพธอ. สี่เล่มที่มีอยู่แล้ว ได้แก่ แนวปฏิบัติสำหรับผู้บริหารองค์กร (ร่าง) คู่มือประเมินผลกระทบทางจริยธรรม แนวปฏิบัติ Generative AI สำหรับองค์กร และแนวปฏิบัติการออกแบบงานใหม่ ทั้งสี่เล่มไม่ใช่กฎหมาย แต่เขียนโดยหน่วยงานเดียวกับที่ร่างหลักการกฎหมาย AI จึงบอกเจตนาได้ใกล้ที่สุดในตอนนี้
ถ้าจะเริ่มจากนโยบายการใช้ AI ในองค์กร อ่าน วิธีเขียนนโยบาย Generative AI ตามแนวทาง ETDA ถ้าอยากวางระบบบริหารจัดการ AI ให้เป็นเรื่องเป็นราว ดู เริ่มทำระบบตาม ISO/IEC 42001 ส่วนบริษัทที่มีลูกค้าหรือผลลัพธ์ไปถึงยุโรป อ่านต่อที่ EU AI Act กับบริษัทไทย
เรื่องไหนที่ยังไม่ควรเชื่อ หรือยังไม่ต้องทำ?
เราคัดคำพูดที่ได้ยินบ่อยมาเทียบกับสิ่งที่บันทึกของทีมพบ แต่ละข้อบอกว่าเชื่อได้แค่ไหน และควรทำอะไรต่อ
บันทึกของทีมไม่พบตัวเลขค่าปรับ วันมีผล หรือช่วงเปลี่ยนผ่าน ในเอกสารที่เผยแพร่ฉบับใด
ยังไม่มีเอกสารใดระบุชื่อหน่วยงานที่ใช้บังคับกฎหมาย ที่คาดกันมาจากการที่ สพธอ. เป็นผู้ยกร่างและเป็นที่ตั้งศูนย์ธรรมาภิบาล AI
ถ้าใช้นิยามแบบร่างปี 2566 ระบบพวกนี้อาจหลุดนอกกฎหมายทั้งหมด นิยามที่จะใช้จริงยังไม่ออก
ร่างยังไม่ผ่านวาระใด PDPA 2562 ใช้บังคับทุกมาตรา แก้ตอนนี้มีแต่จะทำให้เอกสารผิดจากกฎหมายที่ใช้อยู่
ข้อยกเว้นเรื่อง sandbox อยู่แค่ในขั้นหลักการ ยังต้องทำตามมาตรา 21 คือแจ้งวัตถุประสงค์ใหม่และได้รับความยินยอม หรือมีกฎหมายให้ทำได้
ทั้งสองร่างถูกสั่งทบทวนแล้วยุบรวมเหลือฉบับเดียวที่มีทั้งส่งเสริมและกำกับ
เมื่อกฎหมายจริงออกมา บันทึกเหล่านี้จะเป็นอย่างไร?
บันทึกคาดการณ์จะไม่ถูกแก้ให้กลายเป็นตัวบท เมื่อ พ.ร.บ. AI ประกาศจริง ตัวบทจะถูกถอดจากราชกิจจานุเบกษาโดยมนุษย์ลงคลังเป็นเอกสารแยก ส่วนบันทึกเดิมยังเก็บไว้ เพื่อตรวจย้อนได้ว่าตอนนั้นทีมคาดอะไรไว้และพลาดตรงไหน
ร่างแก้ PDPA ก็ใช้หลักเดียวกัน ถ้าผ่านเป็นกฎหมาย ข้อความที่แก้จะถูกใส่ลงในไฟล์ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เดิมทีละมาตรา พร้อมวันที่มีผล ไม่สร้างเป็นกฎหมายฉบับใหม่ เพราะกฎหมายไทยแก้รายมาตรา ฉบับแก้ไขไม่ได้ทำให้เกิดกฎหมายฉบับใหม่
คำถามที่พบบ่อย
พ.ร.บ.ปัญญาประดิษฐ์ของไทยใช้บังคับแล้วหรือยัง?
ณ วันที่บันทึกของทีม AIPDPA เรียบเรียง (11 กันยายน 2569) ยังไม่มีพระราชบัญญัติว่าด้วยปัญญาประดิษฐ์ประกาศในราชกิจจานุเบกษา มีเพียง (ร่าง) หลักการ เอกสารประกอบ และผลการรับฟังความเห็นของ สพธอ. ก่อนเชื่อว่ากฎหมายใช้บังคับแล้ว ให้ตรวจราชกิจจานุเบกษาเอง
ร่างแก้ PDPA ทำให้ไม่ต้องขอความยินยอมแล้วใช่ไหม?
ไม่ใช่ และตอนนี้ร่างยังไม่มีผลใด ๆ ร่างเพียงย้ายความยินยอมไปเป็นฐานหนึ่งในเจ็ดฐานของมาตรา 24 ฉบับใหม่ ระหว่างนี้ PDPA 2562 ทั้งมาตรา 19 เรื่องความยินยอมและมาตรา 24 ยังใช้บังคับตามเดิม
บริษัทที่ให้พนักงานใช้ ChatGPT ต้องเตรียมอะไรสำหรับกฎหมาย AI?
บันทึกของทีมคาดว่าหน้าที่หนักจะตกกับระบบความเสี่ยงสูงที่หน่วยงานกำกับประกาศรายการ งานใช้ AI ทั่วไปอาจไม่เข้าข่าย แต่ PDPA ใช้กับการป้อนข้อมูลส่วนบุคคลเข้า AI อยู่แล้ววันนี้ อ่านรายละเอียดใน พนักงานแปะข้อมูลลูกค้าลง ChatGPT
ผู้ให้บริการ AI ต่างประเทศจะต้องตั้งตัวแทนในไทยไหม?
ตามบันทึกของทีม หลักการนี้มีเสียงหนุนสูงและน่าจะอยู่ในกฎหมาย แต่ยังไม่ใช่กฎหมาย ส่วนที่บังคับอยู่แล้วคือ PDPA มาตรา 37 (5) ซึ่งให้ผู้ควบคุมข้อมูลนอกราชอาณาจักรตามมาตรา 5 วรรคสอง แต่งตั้งตัวแทนที่อยู่ในราชอาณาจักรเป็นหนังสือ
ถ้าทำได้แค่อย่างเดียว ควรเริ่มจากอะไร?
ทำทะเบียนระบบ AI ที่องค์กรใช้อยู่ ระบุว่าแต่ละระบบใช้ทำอะไร ใครเป็นเจ้าของ ใช้ข้อมูลส่วนบุคคลหรือไม่ และกระทบใคร งานนี้ใช้ทำ RoPA ตาม PDPA ได้ทันที และเป็นฐานของทุกงานที่กฎหมาย AI อาจกำหนดในอนาคต
ตัวบทและแหล่งอ้างอิง
- บันทึกคาดการณ์: ร่างพระราชบัญญัติว่าด้วยปัญญาประดิษฐ์ พ.ศ. .... (บันทึกของทีม AIPDPA ไม่ใช่กฎหมาย · ยังไม่ประกาศใช้) — สรุปสั้น · จุดที่กฎหมาย AI จะชนกับ PDPA · สิ่งที่องค์กรทำได้เลยวันนี้ · ความไม่แน่นอนที่ใหญ่ที่สุด
- บันทึกติดตาม: ร่างพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (ฉบับที่ ..) พ.ศ. .... (บันทึกของทีม AIPDPA ไม่ใช่กฎหมาย · ยังไม่ประกาศใช้) — สถานะเอกสาร · ร่างนี้แก้อะไร · ตารางฐานทางกฎหมาย · สิ่งที่ยังไม่ต้องทำ
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 — มาตรา 21 · มาตรา 24 · มาตรา 37 (4)
ตัวบทที่ยกมาในกรอบ "ตัวบท" คัดคำต่อคำจากคลังกฎหมายของ AIPDPA ซึ่งถอดจากราชกิจจานุเบกษาและเอกสารของหน่วยงานรัฐ แล้วระบบตรวจทุกครั้งที่แก้บทความว่าตรงกับคลังทุกตัวอักษร · บทความนี้เป็นความรู้ทั่วไป ไม่ใช่คำปรึกษากฎหมายสำหรับกรณีใดกรณีหนึ่ง
ลงมือในระบบได้ที่
ใครรับผิดชอบเนื้อหานี้?
เรียบเรียงโดยทีมกฎหมาย AIPDPA · ผู้รับผิดชอบเนื้อหา ภูวรา ครอบตะคุ ทนายความ · เนติบัณฑิตไทย · ที่ปรึกษากฎหมายเทคโนโลยีและทรัพย์สินทางปัญญา
ใบอนุญาตทนายความ 477/2558 · เนติบัณฑิตไทย · นิติศาสตรมหาบัณฑิต กฎหมายทรัพย์สินทางปัญญาและสารสนเทศ (เหรียญทอง)