คู่มือนี้สำหรับใคร และประเด็นหลักคืออะไร
คู่มือนี้เขียนสำหรับ SME และบริษัทที่พนักงานใช้เครื่องมือ AI สร้างข้อความอยู่แล้ว เช่น ให้ช่วยร่างอีเมลถึงลูกค้า สรุปสัญญา หรือวิเคราะห์ตารางยอดขาย โดยที่ผู้บริหารยังไม่เคยกำหนดว่าอะไรวางได้และอะไรวางไม่ได้
ประเด็นหลักมีสามข้อ
- การใช้ AI ไม่ได้ผิดกฎหมายในตัวเอง แต่ข้อมูลที่ใส่เข้าไปอาจทำให้บริษัทฝ่าฝืน PDPA หรือเสียความคุ้มครองความลับทางการค้า
- ประเทศไทยยังไม่มีกฎหมายเฉพาะด้าน AI ที่ใช้บังคับ ภาระส่วนใหญ่จึงมาจากกฎหมายเดิม
- สิ่งที่บริษัทควบคุมได้ทันทีคือนโยบายที่เขียนสั้น ชัด และใช้จริง
คู่มือนี้แยกเป็นสองป้ายตลอดเรื่อง คือ [กฎหมาย] หมายถึงหน้าที่ที่ฝ่าฝืนแล้วมีผลทางกฎหมาย และ [แนวปฏิบัติ] หมายถึงข้อแนะนำที่ดี แต่ไม่ใช่ข้อบังคับ
ประเทศไทยมีกฎหมายเฉพาะด้าน AI หรือยัง
[กฎหมาย] ณ วันที่ตรวจ คือ 13 ตุลาคม 2569 ยังไม่พบว่ามีกฎหมายเฉพาะด้าน AI ประกาศใช้ในราชกิจจานุเบกษา
กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคมร่วมกับ ETDA จัดทำร่างกฎหมายว่าด้วยปัญญาประดิษฐ์ ซึ่งเน้นควบคุมการใช้งานที่เสี่ยงสูง ตามรายงานของ Policy Watch ลงวันที่ 1 สิงหาคม 2569 ร่างผ่านการรับฟังความคิดเห็นแล้ว และต้องผ่านสำนักงานคณะกรรมการกฤษฎีกา คณะรัฐมนตรี และสภาผู้แทนราษฎรต่อไป รัฐบาลตั้งเป้าเริ่มกระบวนการนิติบัญญัติภายในเดือนกันยายน 2569 จากการตรวจยังไม่พบข่าวว่าร่างผ่านขั้นใดแล้วหลังจากนั้น และเนื้อหายังอาจเปลี่ยน จึงไม่ควรวางนโยบายโดยอ้างข้อความในร่าง
ระหว่างนี้ใช้กฎหมายที่มีอยู่แล้ว ได้แก่ PDPA, พระราชบัญญัติความลับทางการค้า พ.ศ. 2545, กฎหมายลิขสิทธิ์ และกฎหมายแรงงาน
ETDA มีแนวทางเรื่องนี้อย่างไร
[แนวปฏิบัติ] ETDA ผ่านศูนย์ธรรมาภิบาลปัญญาประดิษฐ์ (AIGC) ออกเอกสารที่ใช้อ้างอิงได้ ได้แก่
- แนวทางการประยุกต์ใช้ปัญญาประดิษฐ์อย่างมีธรรมาภิบาลสำหรับผู้บริหารองค์กร ภาพรวมสำหรับผู้บริหารที่จะนำ AI มาใช้
- แนวทางการประยุกต์ใช้ Generative AI อย่างมีธรรมาภิบาลสำหรับองค์กร ประกาศเมื่อ 30 ตุลาคม 2567 ครอบคลุมการทำงานของ Gen AI ข้อดีและข้อจำกัด ความเสี่ยงและวิธีจัดการ และแนวทางนำไปใช้ในองค์กร
- ชุดเครื่องมือ AI Governance Guideline & Toolkits ที่เผยแพร่ผ่าน AIGC
เอกสารเหล่านี้เป็นแนวทางที่ ETDA เผยแพร่ให้องค์กรนำไปปรับใช้ ไม่ใช่กฎหมายบังคับ แต่บอกทิศทางที่หน่วยงานกำกับและคู่ค้าใหญ่มักใช้เป็นเกณฑ์ ได้แก่ การใช้ AI ให้ปลอดภัย โปร่งใส มีผู้รับผิดชอบ และประเมินความเสี่ยงตามระดับของงาน ผู้ที่จะเขียนนโยบายควรเปิดเอกสารฉบับล่าสุดจากเว็บไซต์ ETDA มาประกอบ เพราะรายละเอียดอาจปรับปรุงได้
พนักงานใส่อะไรลงใน AI ได้ และอะไรห้าม
นี่คือแนวปฏิบัติที่แปลงหน้าที่ตามกฎหมายในหัวข้อถัดไปให้พนักงานใช้ได้ทันที จัดข้อมูลเป็นชั้นแล้วกำหนดว่าชั้นไหนใส่เครื่องมือใดได้
| ชั้นข้อมูล | ตัวอย่าง | เครื่องมือ AI สาธารณะ | เครื่องมือที่บริษัทอนุมัติ |
|---|---|---|---|
| เปิดเผยได้ | ข้อความโฆษณา ข้อมูลที่ประกาศบนเว็บแล้ว | ได้ | ได้ |
| ใช้ภายใน | ร่างอีเมลทั่วไป โครงรายงานที่ไม่มีชื่อบุคคลหรือตัวเลขจริง | ได้เมื่อตัดชื่อและตัวเลขที่ระบุตัวตนออก | ได้ |
| ข้อมูลส่วนบุคคล | ชื่อ เบอร์ติดต่อ ประวัติสั่งซื้อของลูกค้า | ห้าม | ได้เมื่อผ่านเงื่อนไข PDPA |
| ข้อมูลอ่อนไหว ข้อมูลที่ใช้ยืนยันตัวตน และความลับสำคัญ | สุขภาพ ชีวภาพ เลขบัตร สูตร ต้นทุน ซอร์สโค้ด สัญญาที่มีข้อห้ามเปิดเผย | ห้าม | ห้ามเว้นแต่ได้รับอนุมัติเป็นรายกรณี |
ข้อควรสอนพนักงานเพิ่ม คือการลบชื่ออย่างเดียวอาจไม่พอ หากข้อมูลที่เหลือยังชี้ไปยังตัวบุคคลได้ เช่น ตำแหน่งงานร่วมกับเหตุการณ์เฉพาะ ให้ถือว่ายังเป็นข้อมูลส่วนบุคคล
PDPA: บริษัทมีหน้าที่อะไรเมื่อส่งข้อมูลลูกค้าให้ AI
[กฎหมาย] เมื่อบริษัทเป็นผู้ควบคุมข้อมูล การที่พนักงานส่งข้อมูลลูกค้าให้ผู้ให้บริการ AI ถือเป็นการใช้หรือเปิดเผยข้อมูลของบริษัท มีหน้าที่หลักดังนี้
- วัตถุประสงค์ต้องตรงกับที่แจ้งไว้ (มาตรา 21) บริษัทต้องเก็บ ใช้ หรือเปิดเผยข้อมูลตามวัตถุประสงค์ที่แจ้งก่อนหรือขณะเก็บ หากเป็นวัตถุประสงค์ใหม่ที่ต่างไป ต้องแจ้งและขอความยินยอมก่อน เว้นแต่กฎหมายให้ทำได้
- ต้องมีฐานทางกฎหมาย เช่น ความยินยอม การปฏิบัติตามสัญญา หรือประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24 ว่าด้วยฐานที่ไม่ต้องขอความยินยอม) ฐานประโยชน์โดยชอบด้วยกฎหมายใช้ไม่ได้เมื่อสิทธิขั้นพื้นฐานของเจ้าของข้อมูลสำคัญกว่า
- ต้องแจ้งเจ้าของข้อมูล (มาตรา 23) ก่อนหรือขณะเก็บ ต้องแจ้งวัตถุประสงค์ ประเภทบุคคลหรือหน่วยงานที่อาจได้รับข้อมูล ระยะเวลาเก็บ และสิทธิของเจ้าของข้อมูล ประกาศความเป็นส่วนตัวของบริษัทที่ไม่เคยพูดถึงผู้ให้บริการ AI ควรปรับปรุง
- ต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม (มาตรา 37) และเมื่อส่งข้อมูลให้บุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูล ต้องดำเนินการป้องกันมิให้ผู้นั้นใช้หรือเปิดเผยโดยปราศจากอำนาจหรือโดยมิชอบ
- ถ้าผู้ให้บริการ AI ประมวลผลตามคำสั่งบริษัท ต้องมีข้อตกลงกัน (มาตรา 40) กฎหมายกำหนดให้ผู้ประมวลผลทำตามคำสั่งของผู้ควบคุมข้อมูลเท่านั้น รักษาความปลอดภัย แจ้งเหตุละเมิด และให้ผู้ควบคุมข้อมูลจัดให้มีข้อตกลงระหว่างกัน หากผู้ให้บริการนำข้อมูลไปใช้เองนอกเหนือคำสั่ง เช่น เพื่อฝึกโมเดลของตน ผู้ให้บริการอาจไม่ใช่ผู้ประมวลผลล้วน ซึ่งเป็นเหตุให้ต้องอ่านเงื่อนไขของแต่ละราย
- ส่งข้อมูลไปต่างประเทศ (มาตรา 28) หากผู้ให้บริการเก็บหรือประมวลผลข้อมูลนอกประเทศ ปลายทางต้องมีมาตรฐานคุ้มครองข้อมูลที่เพียงพอตามหลักเกณฑ์ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศ เว้นแต่เข้าข้อยกเว้น เช่น เจ้าของข้อมูลยินยอมหลังได้รับแจ้งว่ามาตรฐานปลายทางไม่เพียงพอ หรือเป็นการจำเป็นเพื่อปฏิบัติตามสัญญากับเจ้าของข้อมูล
ข้อมูลอ่อนไหวมีกติกาเข้มกว่านี้ และเหตุข้อมูลรั่วมีขั้นตอนแจ้งหน่วยงาน อ่านภาพรวมที่ เช็กลิสต์ทำ PDPA ให้ธุรกิจ และกรณีข้อมูลพนักงานที่ PDPA สำหรับงาน HR ส่วนการจัดระบบ PDPA ทั้งองค์กรดูที่ บริการ PDPA
ความลับทางการค้าเสียไปได้อย่างไรเมื่อใช้ AI
[กฎหมาย] พระราชบัญญัติความลับทางการค้า พ.ศ. 2545 มาตรา 3 นิยามความลับทางการค้าว่าเป็นข้อมูลการค้าที่ยังไม่รู้จักกันโดยทั่วไป มีประโยชน์เชิงพาณิชย์เนื่องจากเป็นความลับ และเจ้าของใช้มาตรการที่เหมาะสมเพื่อรักษาไว้เป็นความลับ ขาดองค์ประกอบใดไปก็ไม่ได้รับความคุ้มครองตามกฎหมายนี้
องค์ประกอบสุดท้ายคือจุดเสี่ยงของ AI หากบริษัทปล่อยให้พนักงานวางสูตร รายชื่อลูกค้า ต้นทุน หรือซอร์สโค้ดลงเครื่องมือสาธารณะที่ผู้ให้บริการเก็บหรือนำไปฝึกโมเดลได้ โดยไม่มีกติกาหรือการควบคุมใด ๆ คู่กรณีในคดีอาจโต้ว่าบริษัทไม่ได้ใช้มาตรการที่เหมาะสม ศาลพิจารณาเป็นรายกรณี ตามประเภทและมูลค่าของข้อมูล ขนาดธุรกิจ และความง่ายในการเข้าถึง จึงตอบแน่ชัดไม่ได้ว่าการวางข้อมูลครั้งเดียวทำให้สิทธิหมดไปหรือไม่ แต่การไม่มีนโยบายเลยทำให้พิสูจน์ได้ยากว่ามีมาตรการ
[แนวปฏิบัติ] มาตรการที่ควรทำเพื่อพิสูจน์ได้ ได้แก่ ติดป้ายชั้นความลับ ให้พนักงานลงชื่อรับนโยบาย จำกัดเครื่องมือที่อนุมัติ เก็บบันทึกการเข้าถึง และมีข้อห้ามเปิดเผยในสัญญาจ้างและสัญญากับคู่ค้า ดูพื้นฐานการเลือกระหว่างจดสิทธิบัตรกับเก็บเป็นความลับได้ที่ จดสิทธิบัตรหรือเก็บเป็นความลับทางการค้า ข้อมูลของลูกค้าที่บริษัทผูกพันด้วย NDA ยังมีหน้าที่ตามสัญญาแยกต่างหาก ซึ่งการวางลง AI อาจเป็นการเปิดเผยแก่บุคคลที่สามโดยตรง
คำตอบจาก AI ต้องมีคนตรวจก่อนส่งลูกค้าไหม
[แนวปฏิบัติ] กฎหมายไทยยังไม่มีข้อบังคับทั่วไปว่าต้องมีคนตรวจ แต่ในทางความรับผิด บริษัทเป็นผู้ส่งเอกสารถึงลูกค้า ไม่ว่าใครเป็นผู้ร่าง AI อาจให้ข้อมูลผิด อ้างมาตราที่ไม่มีอยู่ หรือแต่งข้อเท็จจริงขึ้นเอง
ควรกำหนดอย่างน้อยสามข้อ
- เนื้อหาที่ออกนอกบริษัทต้องมีคนตรวจและลงชื่อรับผิดชอบก่อนส่ง
- ตัวเลข ข้อกฎหมาย และคำรับรองคุณสมบัติสินค้า ต้องตรวจกับแหล่งต้นทางเสมอ
- งานที่ตัดสินเรื่องสำคัญของบุคคล เช่น คัดเลือกคนเข้าทำงาน หรือปฏิเสธบริการ ต้องมีมนุษย์เป็นผู้ตัดสินสุดท้าย
หากใช้ AI สร้างภาพ ข้อความ หรือโค้ดเพื่อเผยแพร่ ควรตรวจเรื่องลิขสิทธิ์และเงื่อนไขการใช้ผลงานของเครื่องมือด้วย
สัญญากับผู้ให้บริการ AI ต้องดูอะไร
[แนวปฏิบัติ] (ส่วนที่เกี่ยวกับ PDPA ตามข้อ 5 และ 6 ข้างต้นเป็นหน้าที่ตามกฎหมาย) ก่อนอนุมัติเครื่องมือ ขอเอกสารเงื่อนไขของผู้ให้บริการแล้วตรวจหัวข้อเหล่านี้
- การนำข้อมูลไปฝึกโมเดล ห้ามหรือปิดได้หรือไม่ โดยค่าเริ่มต้นเป็นอย่างไร
- ระยะเวลาเก็บ เก็บข้อความที่ป้อนและผลลัพธ์นานเท่าใด และมีผู้ตรวจทานโดยมนุษย์หรือไม่
- สถานที่เก็บข้อมูล ประเทศใด และใช้ผู้ให้บริการช่วงต่อรายใดบ้าง
- ความมั่นคงปลอดภัย การเข้ารหัส การควบคุมการเข้าถึง และการแจ้งเหตุข้อมูลรั่วภายในเวลาที่ตกลง
- การลบข้อมูล ลบเมื่อบริษัทร้องขอหรือสัญญาสิ้นสุดได้หรือไม่ และยืนยันเป็นลายลักษณ์อักษรได้หรือไม่
- ข้อตกลงประมวลผลข้อมูล ผู้ให้บริการทำตามคำสั่งของบริษัทเท่านั้น และรองรับการขอใช้สิทธิของเจ้าของข้อมูล
- ความรับผิดและการชดใช้ ผู้ให้บริการจำกัดความรับผิดไว้อย่างไร และใครรับผิดหากข้อมูลรั่วจากฝั่งผู้ให้บริการ
เงื่อนไขมาตรฐานของบริการสาธารณะมักต่อรองไม่ได้ ถ้าไม่ผ่านข้อใด ให้เลือกแผนองค์กรที่ตั้งค่าได้หรือจำกัดการใช้เฉพาะข้อมูลชั้นที่ไม่เสี่ยง ช่วยร่างและตรวจได้ที่ บริการร่างและตรวจสัญญา
นโยบาย AI ของบริษัทควรมีอะไรบ้าง
[แนวปฏิบัติ] ไม่ต้องยาว ควรอ่านจบใน 1 ถึง 2 หน้า
- ขอบเขต ใช้กับพนักงาน ผู้รับเหมา และเครื่องมือ AI ทุกชนิด รวมถึงฟังก์ชัน AI ในโปรแกรมที่ใช้อยู่
- รายการเครื่องมือที่อนุมัติ และบัญชีที่ใช้ได้ (ห้ามใช้บัญชีส่วนตัวกับงานบริษัท)
- ชั้นข้อมูล ตามตารางข้างต้น พร้อมตัวอย่างที่พนักงานในบริษัทเจอจริง
- ขั้นตอนขออนุมัติ เครื่องมือใหม่หรือการใช้กับข้อมูลชั้นสูง ต้องขอใคร ใครตัดสิน
- การตรวจก่อนส่งออก ตามหัวข้อก่อนหน้า
- การบันทึก เก็บทะเบียนเครื่องมือและโครงการที่ใช้ AI กับข้อมูลส่วนบุคคล เพื่อประกอบบันทึกกิจกรรมตาม PDPA
- การอบรม อบรมพนักงานเมื่อเริ่มงานและทบทวนเป็นระยะ พร้อมเก็บหลักฐานการเข้าอบรม
- ช่องทางรายงานเหตุ พนักงานที่วางข้อมูลผิดต้องรู้ว่าแจ้งใคร และได้รับการสนับสนุนให้แจ้งเร็ว ไม่ใช่ซ่อน
- ผลของการฝ่าฝืน อ้างถึงข้อบังคับการทำงาน ดู สัญญาจ้างและคู่มือพนักงาน เพราะการลงโทษทางวินัยต้องมีข้อบังคับรองรับ
ถ้าพนักงานวางข้อมูลผิดไปแล้วควรทำอย่างไร
- ให้พนักงานหยุดใช้และรายงานทันที โดยไม่ลงโทษก่อนทราบข้อเท็จจริง
- บันทึกว่าข้อมูลอะไร ของใคร ใส่เมื่อไร เครื่องมือใด และใช้บัญชีประเภทใด
- ตรวจเงื่อนไขของเครื่องมือว่านำไปฝึกโมเดลหรือไม่ แล้วขอลบข้อมูลหรือปิดการฝึกตามที่ผู้ให้บริการเปิดให้
- ประเมินว่าเป็นเหตุละเมิดข้อมูลส่วนบุคคลที่ต้องแจ้งหรือไม่ ซึ่งมีกรอบเวลาที่กฎหมายกำหนด ควรปรึกษาทนายทันที
- หากเกี่ยวกับข้อมูลลับของลูกค้าตาม NDA ตรวจหน้าที่แจ้งลูกค้า
- ปรับนโยบายและอบรมซ้ำ พร้อมเก็บหลักฐานการแก้ไข
