本指南面向谁，核心议题是什么
本指南面向中小企业，以及那些员工已经在使用 AI 工具生成文本的公司——例如让 AI 帮忙起草给客户的邮件、摘要合同或分析销售数据，而管理层从未规定过什么能放入、什么不能放入。
核心议题有三点：
- 使用 AI 本身并不违法，但输入其中的数据可能使公司违反 PDPA，或丧失商业秘密保护。
- 泰国目前尚无专门针对 AI 的生效法律，因此大部分义务来自既有法律。
- 公司能够立即掌控的，是一份写得简短、清晰且真正被执行的内部政策。
本指南全篇使用两个标签：[法律] 指一旦违反即产生法律后果的义务；[实务建议] 指良好的建议，但不具强制性。
泰国是否已有专门针对 AI 的法律
[法律] 截至核查之日，即2569年10月13日，尚未发现有任何专门针对 AI 的法律在泰国政府公报上公布生效。
数字经济与社会部与 ETDA 共同起草了人工智能法草案，重点是监管高风险应用。根据 Policy Watch 于2569年8月1日的报告，该草案已完成意见征询，接下来还须经国务委员会办公室、内阁和众议院审议。政府设定的目标是在2569年9月内启动立法程序。经核查，此后未发现该草案已通过任何阶段的报道，且其内容仍可能变动，因此不应援引草案条文来制定政策。
在此期间，适用现行法律，包括 PDPA、《商业秘密法》（佛历2545年）、版权法以及劳动法。
ETDA 对此有何指引
[实务指引] ETDA 通过人工智能治理中心（AIGC）发布了可供引用的文件，包括：
- 《面向企业管理者以良善治理方式应用人工智能的指引》——供拟引入 AI 的管理者参考的总体概览
- 《面向企业以良善治理方式应用生成式 AI 的指引》，于 2567 年 10 月 30 日（佛历，即公历 2024 年 10 月 30 日）公告，涵盖生成式 AI 的运作方式、优势与局限、风险及应对方法，以及在企业内部落地的指引
- 通过 AIGC 发布的 AI Governance Guideline & Toolkits 工具包
这些文件是 ETDA 发布供企业自行调整适用的指引，并非强制性法律，但指明了监管机关和大型交易伙伴常用来作为标准的取向，即：AI 的使用应安全、透明、有责任主体，并按工作层级评估风险。拟撰写政策的人应打开 ETDA 网站上的最新版本文件一并参考，因为细节可能会更新。
员工可以在 AI 中输入什么，什么被禁止
这是一份操作指引，把下一节中的法律义务转化为员工可以立即使用的内容：将数据分层，并规定哪一层可以使用哪种工具。
| 数据层级 | 示例 | 公共 AI 工具 | 公司批准的工具 |
|---|---|---|---|
| 可公开 | 广告文案、已在网站上公布的信息 | 可以 | 可以 |
| 内部使用 | 一般邮件草稿、不含个人姓名或真实数字的报告框架 | 在删除姓名和可识别身份的数字后可以使用 | 可以 |
| 个人数据 | 姓名、联系电话、客户的订购记录 | 禁止 | 在符合 PDPA 条件时可以使用 |
| 敏感数据、用于身份验证的数据及重要机密 | 健康信息、生物特征、身份证号、配方、成本、源代码、含禁止披露条款的合同 | 禁止 | 禁止，除非获得个案批准 |
需要额外教导员工的一点是：仅删除姓名可能不够。如果剩余信息仍能指向特定个人，例如职位加上特定事件，就仍应视为个人数据。
PDPA：公司将客户数据发送给 AI 时有什么义务
[法律] 当公司作为数据控制者时，员工将客户数据发送给 AI 服务提供商，属于对公司数据的使用或披露，主要义务如下
- 目的必须与已告知的一致（第 21 条） 公司必须按照收集前或收集时已告知的目的收集、使用或披露数据。如果属于不同的新目的，必须事先告知并取得同意，除非法律允许这样做。
- 必须具有法律依据 例如同意、履行合同或合法利益（第 24 条，规定无需取得同意的依据）。当数据主体的基本权利更为重要时，不能以合法利益作为依据。
- 必须告知数据主体（第 23 条） 在收集前或收集时，必须告知目的、可能接收数据的个人或机构的类别、保存期限以及数据主体的权利。公司隐私声明中从未提及 AI 服务提供商的，应当予以修订。
- 必须采取适当的安全保障措施（第 37 条） 并且在将数据发送给非数据控制者的其他人时，必须采取措施防止该人未经授权或非法使用或披露数据。
- 如果 AI 服务提供商按照公司的指示处理数据，双方必须订立协议（第 40 条） 法律规定处理者只能按照数据控制者的指示行事、保障安全、报告违规事件，并要求数据控制者安排双方之间订立协议。如果服务提供商将数据用于指示之外的目的，例如用于训练自己的模型，该服务提供商可能不属于纯粹的处理者，因此必须逐家阅读其条款。
- 向境外发送数据（第 28 条） 如果服务提供商在境外存储或处理数据，目的地必须按照个人数据保护委员会公告的标准具备充分的数据保护水平，除非符合例外情形，例如数据主体在被告知目的地标准不充分后表示同意，或者为履行与数据主体之间的合同所必需。
敏感数据有更严格的规则，数据泄露事件也有向主管机关报告的程序。总体概览请阅读企业落实 PDPA 的检查清单，员工数据的情形请见适用于人力资源工作的 PDPA，全组织范围的 PDPA 制度建设请见 PDPA 服务
使用 AI 时，商业秘密是如何丧失的
[法律] 佛历2545年《商业秘密法》第3条将商业秘密定义为：尚未为公众普遍知悉、因其保密性而具有商业价值，且所有人采取了适当措施予以保密的商业信息。缺少其中任何一个要件，都不受本法保护。
最后一个要件正是 AI 的风险所在。如果公司放任员工将配方、客户名单、成本或源代码放入服务商可以存储或用于训练模型的公共工具，而没有任何规则或管控，诉讼中的对方当事人就可能主张公司未采取适当措施。法院会按个案考量，依据信息的类型与价值、企业规模以及获取的难易程度，因此无法确切回答单次将信息放入是否就会导致权利丧失；但完全没有政策，会使证明存在措施变得很困难。
[实务指引] 为便于举证，应当采取的措施包括：标注密级、让员工签署确认知悉政策、限定经批准可用的工具、保存访问记录，并在劳动合同和与交易伙伴的合同中订入禁止披露条款。关于申请专利与作为商业秘密保留之间如何选择的基础知识，参见申请专利还是作为商业秘密保留。对于公司受 NDA 约束的客户信息，还存在单独的合同义务；将其放入 AI 可能直接构成向第三方披露。
AI 的回答必须在发送给客户前由人审核吗
[实务指引] 泰国法律目前还没有必须由人审核的一般性强制规定，但在责任层面，向客户发送文件的是公司，无论由谁起草。AI 可能给出错误信息、援引并不存在的条款，或凭空编造事实。
至少应规定三项：
- 对外发出的内容，必须先经人工审核并署名负责后方可发送
- 数字、法律条款以及产品资质声明，必须始终与原始来源核对
- 涉及对个人作出重要决定的工作，例如招聘筛选或拒绝提供服务，必须由人作最终决定
如果使用 AI 生成图片、文字或代码用于发布，还应核查版权以及工具关于使用其产出内容的条款。
与 AI 服务商的合同要关注什么
[实务指引]（上文第 5 项和第 6 项中涉及 PDPA 的部分属于法定义务）在批准使用某项工具之前，先索取服务商的条款文件，再检查以下各项
- 数据是否被用于训练模型 能否禁止或关闭，默认设置如何
- 保存期限 输入的文本和输出结果保存多久，是否有人工审核
- 数据存储地点 在哪个国家，使用了哪些下游服务商
- 安全保障 加密、访问控制，以及在约定期限内通报数据泄露事件
- 数据删除 公司提出要求时或合同终止时能否删除，能否以书面形式确认
- 数据处理协议 服务商仅按公司的指示处理数据，并支持数据主体行使权利
- 责任与赔偿 服务商如何限制自身责任，若数据从服务商一侧泄露由谁负责
面向公众的服务的标准条款往往无法协商。如果其中任何一项不达标，就选择可自行配置的企业版方案，或将使用范围限制在不敏感层级的数据上。我们可协助起草和审查，详见合同起草与审查服务
公司的 AI 政策应包含哪些内容
[实务指引] 不必冗长，应能在 1 至 2 页内读完。
- 适用范围 适用于员工、承包商以及各类 AI 工具，包括在用软件中的 AI 功能。
- 已批准的工具清单 以及可使用的账户（禁止使用个人账户处理公司工作）。
- 数据层级 依据上表，并附上公司员工实际会遇到的情况示例。
- 审批流程 新工具或用于高敏感层级数据的用途，须向谁申请、由谁决定。
- 输出前的检查 依据上一节。
- 记录 保存使用 AI 处理个人数据的工具与项目登记簿，以配合 PDPA 的活动记录。
- 培训 员工入职时培训并定期复训，同时保存参训证明。
- 事件举报渠道 不慎放错数据的员工必须知道向谁报告，并应获得支持以便尽早报告，而非隐瞒。
- 违规后果 参照工作规章制度，见 雇佣合同与员工手册，因为纪律处分必须有规章依据。
如果员工已经错误录入数据，应该怎么做
- 让该员工立即停止使用并上报，在查明事实之前不予处罚。
- 记录是哪些数据、属于谁、何时录入、使用何种工具，以及使用了哪类账户。
- 检查该工具的条款是否会将数据用于训练模型，然后按服务商开放的途径请求删除数据或关闭训练。
- 评估是否构成必须申报的个人数据泄露事件——法律对此规定了期限，应立即咨询律师。
- 如果涉及 NDA 项下的客户机密信息，应核查通知客户的义务。
- 调整政策并重新培训，同时保存整改的证据。
