本指南面向誰，核心議題是什麼
本指南面向中小企業，以及那些員工已經在使用 AI 工具生成文本的公司——例如讓 AI 幫忙起草給客戶的郵件、摘要合同或分析銷售資料，而管理層從未規定過什麼能放入、什麼不能放入。
核心議題有三點：
- 使用 AI 本身並不違法，但輸入其中的資料可能使公司違反 PDPA，或喪失商業秘密保護。
- 泰國目前尚無專門針對 AI 的生效法律，因此大部分義務來自既有法律。
- 公司能夠立即掌控的，是一份寫得簡短、清晰且真正被執行的內部政策。
本指南全篇使用兩個標籤：[法律] 指一旦違反即產生法律後果的義務；[實務建議] 指良好的建議，但不具強制性。
泰國是否已有專門針對 AI 的法律
[法律] 截至核查之日，即2569年10月13日，尚未發現有任何專門針對 AI 的法律在泰國政府公報上公佈生效。
數字經濟與社會部與 ETDA 共同起草了人工智慧法草案，重點是監管高風險應用。根據 Policy Watch 於2569年8月1日的報告，該草案已完成意見徵詢，接下來還須經國務委員會辦公室、內閣和眾議院審議。政府設定的目標是在2569年9月內啟動立法程式。經核查，此後未發現該草案已通過任何階段的報道，且其內容仍可能變動，因此不應援引草案條文來制定政策。
在此期間，適用現行法律，包括 PDPA、《商業秘密法》（佛曆2545年）、版權法以及勞動法。
ETDA 對此有何指引
[實務指引] ETDA 通過人工智慧治理中心（AIGC）釋出了可供引用的檔案，包括：
- 《面向企業管理者以良善治理方式應用人工智慧的指引》——供擬引入 AI 的管理者參考的總體概覽
- 《面向企業以良善治理方式應用生成式 AI 的指引》，於 2567 年 10 月 30 日（佛曆，即公曆 2024 年 10 月 30 日）公告，涵蓋生成式 AI 的運作方式、優勢與侷限、風險及應對方法，以及在企業內部落地的指引
- 通過 AIGC 釋出的 AI Governance Guideline & Toolkits 工具包
這些檔案是 ETDA 釋出供企業自行調整適用的指引，並非強制性法律，但指明瞭監管機關和大型交易夥伴常用來作為標準的取向，即：AI 的使用應安全、透明、有責任主體，並按工作層級評估風險。擬撰寫政策的人應開啟 ETDA 網站上的最新版本檔案一併參考，因為細節可能會更新。
員工可以在 AI 中輸入什麼，什麼被禁止
這是一份操作指引，把下一節中的法律義務轉化為員工可以立即使用的內容：將資料分層，並規定哪一層可以使用哪種工具。
| 資料層級 | 示例 | 公共 AI 工具 | 公司批准的工具 |
|---|---|---|---|
| 可公開 | 廣告文案、已在網站上公佈的資訊 | 可以 | 可以 |
| 內部使用 | 一般郵件草稿、不含個人姓名或真實數字的報告框架 | 在刪除姓名和可識別身份的數字後可以使用 | 可以 |
| 個人資料 | 姓名、聯絡電話、客戶的訂購記錄 | 禁止 | 在符合 PDPA 條件時可以使用 |
| 敏感資料、用於身份驗證的資料及重要機密 | 健康資訊、生物特徵、身份證號、配方、成本、原始碼、含禁止披露條款的合同 | 禁止 | 禁止，除非獲得個案批准 |
需要額外教導員工的一點是：僅刪除姓名可能不夠。如果剩餘資訊仍能指向特定個人，例如職位加上特定事件，就仍應視為個人資料。
PDPA：公司將客戶資料傳送給 AI 時有什麼義務
[法律] 當公司作為資料控制者時，員工將客戶資料傳送給 AI 服務提供商，屬於對公司資料的使用或披露，主要義務如下
- 目的必須與已告知的一致（第 21 條） 公司必須按照收集前或收集時已告知的目的收集、使用或披露資料。如果屬於不同的新目的，必須事先告知並取得同意，除非法律允許這樣做。
- 必須具有法律依據 例如同意、履行合同或合法利益（第 24 條，規定無需取得同意的依據）。當資料主體的基本權利更為重要時，不能以合法利益作為依據。
- 必須告知資料主體（第 23 條） 在收集前或收集時，必須告知目的、可能接收資料的個人或機構的類別、儲存期限以及資料主體的權利。公司隱私宣告中從未提及 AI 服務提供商的，應當予以修訂。
- 必須採取適當的安全保障措施（第 37 條） 並且在將資料傳送給非資料控制者的其他人時，必須採取措施防止該人未經授權或非法使用或披露資料。
- 如果 AI 服務提供商按照公司的指示處理資料，雙方必須訂立協議（第 40 條） 法律規定處理者只能按照資料控制者的指示行事、保障安全、報告違規事件，並要求資料控制者安排雙方之間訂立協議。如果服務提供商將資料用於指示之外的目的，例如用於訓練自己的模型，該服務提供商可能不屬於純粹的處理者，因此必須逐家閱讀其條款。
- 向境外發送資料（第 28 條） 如果服務提供商在境外儲存或處理資料，目的地必須按照個人資料保護委員會公告的標準具備充分的資料保護水平，除非符合例外情形，例如資料主體在被告知目的地標準不充分後表示同意，或者為履行與資料主體之間的合同所必需。
敏感資料有更嚴格的規則，資料洩露事件也有向主管機關報告的程式。總體概覽請閱讀企業落實 PDPA 的檢查清單，員工資料的情形請見適用於人力資源工作的 PDPA，全組織範圍的 PDPA 制度建設請見 PDPA 服務
使用 AI 時，商業秘密是如何喪失的
[法律] 佛曆2545年《商業秘密法》第3條將商業秘密定義為：尚未為公眾普遍知悉、因其保密性而具有商業價值，且所有人採取了適當措施予以保密的商業資訊。缺少其中任何一個要件，都不受本法保護。
最後一個要件正是 AI 的風險所在。如果公司放任員工將配方、客戶名單、成本或原始碼放入服務商可以儲存或用於訓練模型的公共工具，而沒有任何規則或管控，訴訟中的對方當事人就可能主張公司未採取適當措施。法院會按個案考量，依據資訊的型別與價值、企業規模以及獲取的難易程度，因此無法確切回答單次將資訊放入是否就會導致權利喪失；但完全沒有政策，會使證明存在措施變得很困難。
[實務指引] 為便於舉證，應當採取的措施包括：標註密級、讓員工簽署確認知悉政策、限定經批准可用的工具、儲存訪問記錄，並在勞動合同和與交易夥伴的合同中訂入禁止披露條款。關於申請專利與作為商業秘密保留之間如何選擇的基礎知識，參見申請專利還是作為商業秘密保留。對於公司受 NDA 約束的客戶資訊，還存在單獨的合同義務；將其放入 AI 可能直接構成向第三方披露。
AI 的回答必須在傳送給客戶前由人稽核嗎
[實務指引] 泰國法律目前還沒有必須由人稽核的一般性強制規定，但在責任層面，向客戶傳送檔案的是公司，無論由誰起草。AI 可能給出錯誤資訊、援引並不存在的條款，或憑空編造事實。
至少應規定三項：
- 對外發出的內容，必須先經人工稽核並署名負責後方可傳送
- 數字、法律條款以及產品資質宣告，必須始終與原始來源核對
- 涉及對個人作出重要決定的工作，例如招聘篩選或拒絕提供服務，必須由人作最終決定
如果使用 AI 生成圖片、文字或程式碼用於釋出，還應核查版權以及工具關於使用其產出內容的條款。
與 AI 服務商的合同要關注什麼
[實務指引]（上文第 5 項和第 6 項中涉及 PDPA 的部分屬於法定義務）在批准使用某項工具之前，先索取服務商的條款檔案，再檢查以下各項
- 資料是否被用於訓練模型 能否禁止或關閉，預設設定如何
- 儲存期限 輸入的文本和輸出結果儲存多久，是否有人工稽核
- 資料儲存地點 在哪個國家，使用了哪些下游服務商
- 安全保障 加密、訪問控制，以及在約定期限內通報資料洩露事件
- 資料刪除 公司提出要求時或合同終止時能否刪除，能否以書面形式確認
- 資料處理協議 服務商僅按公司的指示處理資料，並支援資料主體行使權利
- 責任與賠償 服務商如何限制自身責任，若資料從服務商一側洩露由誰負責
面向公眾的服務的標準條款往往無法協商。如果其中任何一項不達標，就選擇可自行配置的企業版方案，或將使用範圍限制在不敏感層級的資料上。我們可協助起草和審查，詳見合同起草與審查服務
公司的 AI 政策應包含哪些內容
[實務指引] 不必冗長，應能在 1 至 2 頁內讀完。
- 適用範圍 適用於員工、承包商以及各類 AI 工具，包括在用軟體中的 AI 功能。
- 已批准的工具清單 以及可使用的賬戶（禁止使用個人賬戶處理公司工作）。
- 資料層級 依據上表，並附上公司員工實際會遇到的情況示例。
- 審批流程 新工具或用於高敏感層級資料的用途，須向誰申請、由誰決定。
- 輸出前的檢查 依據上一節。
- 記錄 儲存使用 AI 處理個人資料的工具與專案登記簿，以配合 PDPA 的活動記錄。
- 培訓 員工入職時培訓並定期複訓，同時儲存參訓證明。
- 事件舉報渠道 不慎放錯資料的員工必須知道向誰報告，並應獲得支援以便儘早報告，而非隱瞞。
- 違規後果 參照工作規章制度，見 僱傭合同與員工手冊，因為紀律處分必須有規章依據。
如果員工已經錯誤錄入資料，應該怎麼做
- 讓該員工立即停止使用並上報，在查明事實之前不予處罰。
- 記錄是哪些資料、屬於誰、何時錄入、使用何種工具，以及使用了哪類賬戶。
- 檢查該工具的條款是否會將資料用於訓練模型，然後按服務商開放的途徑請求刪除資料或關閉訓練。
- 評估是否構成必須申報的個人資料洩露事件——法律對此規定了期限，應立即諮詢律師。
- 如果涉及 NDA 項下的客戶機密資訊，應核查通知客戶的義務。
- 調整政策並重新培訓，同時儲存整改的證據。
