PDPA กับการใช้ AI ในองค์กร: จัดการข้อมูลส่วนบุคคลอย่างปลอดภัย

AI กำลังเข้ามามีบทบาทในองค์กรอย่างรวดเร็ว ตั้งแต่การวิเคราะห์ข้อมูลลูกค้า แชตบอตตอบคำถาม การคัดกรองผู้สมัครงาน ไปจนถึงการสร้างเอกสารและสรุปรายงาน แต่ขณะเดียวกัน การนำข้อมูลส่วนบุคคลเข้าสู่ระบบ AI โดยขาดการควบคุม อาจนำไปสู่ความเสี่ยงด้านความเป็นส่วนตัว ข้อมูลรั่วไหล และการไม่ปฏิบัติตามกฎหมาย

ดังนั้น PDPA กับการใช้ AI ในองค์กร จึงเป็นประเด็นที่ธุรกิจทุกขนาดควรให้ความสำคัญ บทความนี้จะอธิบายแนวทางจัดการข้อมูลส่วนบุคคลให้ปลอดภัย พร้อมแนวปฏิบัติที่สามารถนำไปใช้ได้จริง

PDPA คืออะไร และเกี่ยวข้องกับ AI อย่างไร

PDPA หรือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เป็นกฎหมายหลักของประเทศไทยที่กำกับดูแลการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล โดยผู้ควบคุมข้อมูลต้องดำเนินการอย่างถูกต้อง โปร่งใส และใช้ข้อมูลตามวัตถุประสงค์ที่แจ้งไว้

กฎหมายกำหนดหลักสำคัญ เช่น

ต้องมีฐานทางกฎหมายในการประมวลผลข้อมูล
ต้องแจ้งวัตถุประสงค์ให้เจ้าของข้อมูลทราบ
เก็บข้อมูลเท่าที่จำเป็น
ใช้ข้อมูลตามวัตถุประสงค์ที่กำหนด
จัดให้มีมาตรการรักษาความมั่นคงปลอดภัย
เคารพสิทธิของเจ้าของข้อมูล
สามารถตรวจสอบและแสดงความรับผิดชอบต่อการใช้ข้อมูลได้

เมื่อองค์กรนำข้อมูลส่วนบุคคลไปใช้กับ AI ไม่ว่าจะเป็น Generative AI, Machine Learning หรือระบบวิเคราะห์ข้อมูล การประมวลผลดังกล่าวยังคงอยู่ภายใต้หลักการของ PDPA เช่นเดิม โดยเฉพาะกรณีที่ระบบ AI ประมวลผลข้อมูลลูกค้า พนักงาน ผู้สมัครงาน หรือคู่ค้า

กฎหมาย PDPA ระบุว่า ผู้ควบคุมข้อมูลไม่ควรเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เว้นแต่ได้รับความยินยอม หรือมีฐานทางกฎหมายอื่นที่รองรับตามกฎหมาย

ตัวอย่างการใช้ AI ที่เกี่ยวข้องกับข้อมูลส่วนบุคคล

การใช้ AI ในองค์กรอาจเกี่ยวข้องกับข้อมูลส่วนบุคคลมากกว่าที่คาด ตัวอย่างเช่น

ใช้ AI วิเคราะห์พฤติกรรมการซื้อของลูกค้า
ใช้แชตบอตตอบคำถามจากประวัติการติดต่อ
ใช้ระบบ AI คัดกรองใบสมัครงาน
ใช้ AI สรุปอีเมลหรือเอกสารภายใน
ใช้ระบบจดจำใบหน้าเพื่อควบคุมการเข้าออก
ใช้ AI ประเมินความเสี่ยงด้านเครดิต
ใช้ข้อมูลเสียง ภาพ หรือวิดีโอเพื่อวิเคราะห์พฤติกรรม
ใช้ Generative AI ช่วยจัดทำรายงานจากฐานข้อมูลลูกค้า

แม้เป้าหมายขององค์กรคือการเพิ่มประสิทธิภาพ แต่ข้อมูลที่ป้อนเข้าสู่ระบบ AI อาจถูกจัดเก็บ นำไปฝึกโมเดล หรือส่งต่อไปยังผู้ให้บริการภายนอกโดยองค์กรไม่ทราบรายละเอียดอย่างครบถ้วน

ความเสี่ยงจากการใช้ AI โดยไม่วางแผนด้าน PDPA

1. ข้อมูลส่วนบุคคลรั่วไหล

พนักงานอาจนำชื่อ ที่อยู่ เบอร์โทรศัพท์ เลขประจำตัวประชาชน ข้อมูลสุขภาพ หรือข้อมูลลูกค้าไปป้อนในเครื่องมือ AI สาธารณะ หากระบบดังกล่าวไม่มีมาตรการคุ้มครองที่เหมาะสม ข้อมูลอาจถูกจัดเก็บหรือเข้าถึงโดยบุคคลที่ไม่เกี่ยวข้อง

2. ใช้ข้อมูลผิดวัตถุประสงค์

ข้อมูลที่เก็บเพื่อให้บริการลูกค้า ไม่ได้หมายความว่าสามารถนำไปฝึก AI หรือวิเคราะห์พฤติกรรมในทุกกรณี องค์กรต้องพิจารณาวัตถุประสงค์และฐานทางกฎหมายก่อนนำข้อมูลไปใช้เพิ่มเติม

3. การตัดสินใจที่ไม่เป็นธรรม

AI อาจสร้างผลลัพธ์ที่มีอคติจากข้อมูลฝึกที่ไม่สมดุล เช่น การคัดกรองผู้สมัครงาน การอนุมัติสินเชื่อ หรือการจัดลำดับลูกค้า หากไม่มีการตรวจสอบโดยมนุษย์ ผลลัพธ์ดังกล่าวอาจส่งผลกระทบต่อบุคคลอย่างมีนัยสำคัญ

4. ไม่สามารถอธิบายการทำงานของระบบได้

หากองค์กรไม่สามารถอธิบายได้ว่า AI ใช้ข้อมูลใด วิเคราะห์อย่างไร และทำไมจึงได้ผลลัพธ์ดังกล่าว อาจทำให้เกิดปัญหาด้านความโปร่งใสและความรับผิดชอบ

5. ความเสี่ยงจากผู้ให้บริการภายนอก

การใช้แพลตฟอร์ม AI จากบุคคลภายนอกอาจเกี่ยวข้องกับการโอนข้อมูล การประมวลผลในต่างประเทศ การเก็บข้อมูลเพื่อพัฒนาโมเดล และเงื่อนไขการใช้งานที่องค์กรไม่ควรมองข้าม

แนวทางจัดการข้อมูลส่วนบุคคลเมื่อใช้ AI ในองค์กร

1. จัดทำบัญชีการใช้งาน AI

องค์กรควรรวบรวมข้อมูลว่าแต่ละแผนกใช้ AI อย่างไร ใช้กับข้อมูลประเภทใด และใช้เครื่องมือของผู้ให้บริการรายใด การทำบัญชีจะช่วยให้เห็นจุดเสี่ยงและกำหนดมาตรการควบคุมได้ชัดเจน

ควรบันทึกข้อมูลอย่างน้อยดังนี้

ชื่อระบบหรือเครื่องมือ AI
วัตถุประสงค์การใช้งาน
ประเภทข้อมูลที่นำเข้า
ผู้มีสิทธิ์ใช้งาน
ผู้ให้บริการระบบ
สถานที่จัดเก็บหรือประมวลผลข้อมูล
ระยะเวลาการเก็บข้อมูล
มาตรการรักษาความปลอดภัย

2. แยกประเภทข้อมูลก่อนป้อนเข้าสู่ AI

ก่อนนำข้อมูลเข้าสู่ AI ควรจำแนกข้อมูลเป็นข้อมูลทั่วไป ข้อมูลส่วนบุคคล และข้อมูลส่วนบุคคลที่มีความอ่อนไหว เช่น ข้อมูลสุขภาพ ประวัติอาชญากรรม ข้อมูลชีวภาพ หรือข้อมูลทางการเงิน

หลักปฏิบัติที่ปลอดภัยคือ

หลีกเลี่ยงการป้อนข้อมูลส่วนบุคคลที่ไม่จำเป็น
ลบชื่อ เบอร์โทรศัพท์ และรหัสอ้างอิงออกก่อน
ใช้ข้อมูลจำลองหรือข้อมูลที่ไม่สามารถระบุตัวบุคคลได้
ใช้การทำให้ข้อมูลเป็นนิรนามเมื่อเหมาะสม
จำกัดการเข้าถึงข้อมูลตามหน้าที่

3. กำหนดนโยบายการใช้ AI ภายในองค์กร

องค์กรควรมี นโยบายการใช้ AI ที่ชัดเจน โดยระบุว่าเครื่องมือใดได้รับอนุญาต ข้อมูลประเภทใดห้ามป้อน และใครมีอำนาจอนุมัติการใช้งาน

ตัวอย่างข้อกำหนดที่ควรมี ได้แก่

ห้ามป้อนข้อมูลลูกค้าที่ระบุตัวบุคคลได้ลงใน AI สาธารณะ
ห้ามใช้ AI ตัดสินใจเรื่องสำคัญโดยไม่มีมนุษย์ตรวจสอบ
ต้องตรวจสอบความถูกต้องของผลลัพธ์ก่อนนำไปใช้งาน
ต้องรายงานเหตุการณ์ข้อมูลรั่วไหลทันที
ต้องใช้บัญชีองค์กรและระบบยืนยันตัวตนที่ปลอดภัย
ต้องปฏิบัติตามนโยบายการเก็บรักษาและลบข้อมูล

4. ตรวจสอบฐานทางกฎหมายและการแจ้งเจ้าของข้อมูล

ก่อนนำข้อมูลส่วนบุคคลไปใช้กับ AI ควรพิจารณาว่ามีฐานทางกฎหมายใดรองรับ เช่น ความยินยอม การปฏิบัติตามสัญญา ประโยชน์โดยชอบด้วยกฎหมาย หรือหน้าที่ตามกฎหมาย

หากต้องอาศัยความยินยอม ความยินยอมควรมีความชัดเจน แยกจากเงื่อนไขอื่น และเจ้าของข้อมูลควรเข้าใจว่าข้อมูลจะถูกนำไปใช้กับระบบ AI อย่างไร

เอกสาร Privacy Notice ควรอธิบายประเด็นสำคัญ เช่น

วัตถุประสงค์ของการใช้ AI
ประเภทข้อมูลที่นำไปประมวลผล
ระยะเวลาการเก็บข้อมูล
ผู้รับข้อมูลหรือผู้ให้บริการระบบ
การโอนข้อมูลไปต่างประเทศ หากมี
สิทธิของเจ้าของข้อมูล
ช่องทางติดต่อองค์กร

5. ทำ Data Protection Impact Assessment หรือ DPIA

สำหรับโครงการ AI ที่มีความเสี่ยงสูง เช่น การประมวลผลข้อมูลจำนวนมาก การใช้ข้อมูลอ่อนไหว หรือการตัดสินใจที่ส่งผลกระทบต่อบุคคล องค์กรควรทำ DPIA เพื่อประเมินความเสี่ยงด้านข้อมูลส่วนบุคคลก่อนเริ่มใช้งาน

DPIA ควรครอบคลุมหัวข้อเหล่านี้

ระบบ AI ใช้ข้อมูลอะไร
เก็บข้อมูลจากแหล่งใด
มีวัตถุประสงค์ใด
มีความเสี่ยงต่อเจ้าของข้อมูลอย่างไร
หากเกิดข้อมูลรั่วไหลจะมีผลกระทบใด
มีมาตรการลดความเสี่ยงอย่างไร
ใครรับผิดชอบติดตามและทบทวนระบบ

แนวทางด้าน AI Governance ของ ETDA สนับสนุนให้องค์กรบริหารความเสี่ยง คำนึงถึงความโปร่งใส ความเป็นธรรม ความปลอดภัย และความรับผิดชอบตลอดวงจรชีวิตของระบบ AI

การรักษาความปลอดภัยของข้อมูลที่ใช้กับ AI

มาตรการด้านเทคนิคและการบริหารควรทำงานร่วมกัน ได้แก่

เข้ารหัสข้อมูลระหว่างส่งและจัดเก็บ
ใช้ระบบควบคุมสิทธิ์แบบ Role-Based Access Control
เปิดใช้ Multi-Factor Authentication
บันทึก Log การเข้าถึงและการใช้งาน
กำหนดระยะเวลาลบข้อมูลอย่างชัดเจน
แยกสภาพแวดล้อมการพัฒนาและการใช้งานจริง
ทดสอบช่องโหว่และประเมินความปลอดภัยสม่ำเสมอ
ทำแผนรับมือเหตุการณ์ข้อมูลรั่วไหล
ตรวจสอบการตั้งค่าความเป็นส่วนตัวของผู้ให้บริการ AI
ฝึกอบรมพนักงานเกี่ยวกับความเสี่ยงจากการป้อนข้อมูล

มนุษย์ต้องมีส่วนร่วมในการตัดสินใจ

AI ควรทำหน้าที่เป็นเครื่องมือช่วยวิเคราะห์ ไม่ใช่ผู้ตัดสินใจแทนมนุษย์ในทุกกรณี โดยเฉพาะเรื่องที่อาจส่งผลต่อสิทธิ โอกาส หรือผลประโยชน์ของบุคคล

องค์กรควรกำหนดให้มี Human Oversight เมื่อ AI ถูกนำไปใช้กับ

การรับสมัครหรือเลิกจ้างพนักงาน
การอนุมัติสินเชื่อ
การกำหนดสิทธิประโยชน์
การประเมินความเสี่ยงของลูกค้า
การให้บริการด้านสุขภาพ
การตรวจสอบพฤติกรรมที่อาจนำไปสู่บทลงโทษ

ผู้ตรวจสอบควรมีอำนาจทบทวนผลลัพธ์ ขอข้อมูลเพิ่มเติม และยกเลิกผลการตัดสินใจของ AI เมื่อพบความผิดพลาดหรืออคติ

เช็กลิสต์ก่อนนำ AI มาใช้กับข้อมูลส่วนบุคคล

ระบุวัตถุประสงค์การใช้ AI ชัดเจนแล้วหรือไม่
ข้อมูลที่ใช้มีความจำเป็นจริงหรือไม่
มีฐานทางกฎหมายรองรับหรือไม่
ได้ปรับปรุง Privacy Notice แล้วหรือไม่
ได้ประเมินความเสี่ยงด้าน PDPA แล้วหรือไม่
ผู้ให้บริการ AI มีมาตรการรักษาความปลอดภัยเพียงพอหรือไม่
ข้อมูลถูกนำไปฝึกโมเดลหรือใช้ต่อในวัตถุประสงค์อื่นหรือไม่
มีการควบคุมสิทธิ์และบันทึกการใช้งานหรือไม่
มีมนุษย์ตรวจสอบผลลัพธ์หรือไม่
มีแผนรับมือเมื่อเกิดเหตุข้อมูลรั่วไหลหรือไม่

สรุป: ใช้ AI ให้เกิดประโยชน์โดยไม่ละเลยความเป็นส่วนตัว

PDPA กับการใช้ AI ในองค์กร ไม่ใช่เรื่องของฝ่ายกฎหมายหรือฝ่ายไอทีเพียงอย่างเดียว แต่เป็นความรับผิดชอบร่วมกันของผู้บริหาร ฝ่ายบุคคล ฝ่ายการตลาด ฝ่ายปฏิบัติการ และพนักงานทุกคน

องค์กรที่ต้องการใช้ AI อย่างยั่งยืนควรเริ่มจากการทำความเข้าใจข้อมูล กำหนดนโยบาย ประเมินความเสี่ยง เลือกผู้ให้บริการที่น่าเชื่อถือ และมีระบบตรวจสอบตลอดวงจรชีวิตของ AI การป้องกันตั้งแต่ต้นจะช่วยลดโอกาสข้อมูลรั่วไหล ลดความเสี่ยงทางกฎหมาย และสร้างความเชื่อมั่นให้แก่ลูกค้า

หากธุรกิจของคุณกำลังวางระบบ PDPA นโยบายความเป็นส่วนตัว หรือแนวทางกำกับดูแลการใช้ AI การมีผู้เชี่ยวชาญช่วยประเมินและออกแบบระบบจะช่วยให้การดำเนินงานเป็นระบบมากขึ้น ติดต่อ 2beshop.com เพื่อพูดคุยเกี่ยวกับโซลูชันและบริการที่เหมาะสมกับองค์กรของคุณ พร้อมแชร์บทความนี้ให้ทีมงานที่เกี่ยวข้อง เพื่อร่วมกันสร้างวัฒนธรรมการใช้ AI อย่างปลอดภัย