โครงการ AI ที่มีความเสี่ยงสูงควรทำการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) ก่อนเริ่ม ตามแนวทาง AI ของ สคส. ฉบับ 1.0 (เผยแพร่ 7 ต.ค. 2026 และประกาศในราชกิจจานุเบกษา 2 พ.ย. 2026) ซึ่งยกตัวอย่างโครงการเสี่ยงสูงไว้สี่แบบ คือ การตัดสินใจอัตโนมัติที่มีผลทางกฎหมายหรือผลสำคัญ เช่น สินเชื่อ คัดกรองผู้สมัครงาน หรือประเมินผลงาน การนำข้อมูลอ่อนไหวหรือข้อมูลผู้เยาว์จำนวนมากไปฝึกโมเดล การติดตามพฤติกรรมในพื้นที่สาธารณะอย่างเป็นระบบ และ Generative AI ที่อาจบิดเบือนเนื้อหาหรือทำให้เสียชื่อเสียง แนวทางไม่ได้ให้แบบฟอร์ม DPIA และไม่มีตารางโอกาสคูณผลกระทบ ให้เพียงลำดับขั้น คือ วิเคราะห์ความเสี่ยงเฉพาะของ AI คัดกรอง ประเมินความจำเป็นและความได้สัดส่วน บันทึกการชั่งน้ำหนัก กำหนดมาตรการ และทบทวนเป็นระยะ บทความนี้แปลงลำดับนั้นเป็นแม่แบบที่กรอกได้ พร้อมคำถามหกข้อของผู้บริหารที่ใช้เป็นหน้าปกได้ ขั้นตอน LIA และกับดัก และรายการตรวจสอบจากภาคผนวกของแนวทาง
แนวทางของ สคส. ระบุว่าไม่มีสภาพบังคับตามกฎหมาย และการทำรายการตรวจสอบครบไม่ใช่ข้อต่อสู้ทางกฎหมาย แม่แบบในบทความนี้เป็นของ TRAINIAC ใช้ประกอบการทำงานของ DPO ไม่ใช่คำแนะนำทางกฎหมาย
โครงการไหนต้องทำ DPIA
| ลักษณะโครงการ | ตัวอย่าง | ต้องทำ DPIA ก่อนไหม |
|---|---|---|
| ตัดสินใจอัตโนมัติที่มีผลทางกฎหมายหรือผลสำคัญ | อนุมัติสินเชื่อ คัดกรองใบสมัคร ประเมินผลงาน ประเมินความเสี่ยงประกันภัย | ควรทำ |
| ฝึกโมเดลด้วยข้อมูลอ่อนไหวหรือข้อมูลผู้เยาว์จำนวนมาก | ข้อมูลสุขภาพ ข้อมูลชีวภาพ | ควรทำ |
| ติดตามพฤติกรรมในพื้นที่สาธารณะอย่างเป็นระบบ | กล้องที่วิเคราะห์ใบหน้าหรือพฤติกรรม | ควรทำ |
| Generative AI ที่อาจบิดเบือนเนื้อหาหรือทำให้เสียชื่อเสียง | สร้างเนื้อหาเกี่ยวกับบุคคลจริง | ควรทำ |
| ใช้ AI ช่วยงานเอกสารภายในโดยไม่มีข้อมูลส่วนบุคคล | ร่างนโยบาย สรุปประชุมที่ไม่มีข้อมูลบุคคล | คัดกรองแล้วบันทึกเหตุผลว่าไม่ต้องทำ |
แนวทางแนะนำผู้บริหารว่าอย่าอนุมัติโครงการ AI ความเสี่ยงสูงก่อนทำ DPIA เสร็จ และใช้ผลของ DPIA กำหนดมาตรการความปลอดภัยในบทที่ 7 ของแนวทาง
หน้าปก: คำถามหกข้อของผู้บริหาร
แนวทางมีคำถามหกข้อสำหรับผู้บริหาร ใช้เป็นหน้าแรกของ DPIA ได้ทันที
- องค์กรเป็นผู้ควบคุมหรือผู้ประมวลผลข้อมูล และสัญญากับผู้ให้บริการห้ามนำข้อมูลไปฝึกโมเดลแล้วหรือยัง
- ฐานทางกฎหมายและ LIA หรือความยินยอมครบหรือยัง
- โครงการนี้เสี่ยงสูงไหม และผล DPIA ยอมรับได้หรือไม่
- คนตัดสินกลับผลของ AI ได้จริงไหม
- มีช่องทางให้เจ้าของข้อมูลใช้สิทธิแล้วหรือยัง
- มี log และแผนรับมือเหตุที่แจ้ง สคส. ได้ทันภายใน 72 ชั่วโมงหรือไม่
แม่แบบ DPIA สำหรับโครงการ AI
| ส่วน | สิ่งที่ต้องกรอก | อ้างอิงแนวทาง สคส. |
|---|---|---|
| 1. คำอธิบายโครงการ | ลักษณะ ขอบเขต วัตถุประสงค์ ระบบ AI ที่ใช้ ผู้ให้บริการ และบทบาทขององค์กร (ผู้ควบคุมหรือผู้ประมวลผล) | บทที่ 2 และหัวข้อ 6.2 |
| 2. ข้อมูลที่ใช้ | ประเภทข้อมูล แยกข้อมูลอ่อนไหวตามมาตรา 26 แหล่งที่มา และฐานทางกฎหมายของแต่ละชุด | ภาคผนวก ก |
| 3. ความเสี่ยงเฉพาะของ AI | prompt injection การระบุตัวตนย้อนจาก embedding การโจมตีแบบ inference และ model inversion data poisoning ห่วงโซ่ผู้ให้บริการ และความเสี่ยงของ agent | หัวข้อ 6.1 |
| 4. ความจำเป็นและความได้สัดส่วน | จำเป็นต้องใช้ AI จริงไหม มีวิธีที่กระทบน้อยกว่าหรือไม่ และข้อมูลที่ใช้น้อยที่สุดแล้วหรือยัง | หัวข้อ 6.2 |
| 5. การชั่งน้ำหนัก | บันทึกสิ่งที่แลกกันพร้อมเหตุผล เช่น ความแม่นยำกับการใช้ข้อมูลน้อย ความอธิบายได้กับประสิทธิภาพ และความเห็นของเจ้าของข้อมูลถ้าเหมาะสม | หัวข้อ 6.2 |
| 6. ความเสี่ยงต่อสิทธิและมาตรการ | ประเมินแต่ละความเสี่ยงและกำหนดมาตรการ เช่น แฝงข้อมูล PETs เข้ารหัส คนกำกับในงานเสี่ยงสูง และข้อตกลงห้ามฝึกโมเดล | หัวข้อ 6.2 และบทที่ 7 |
| 7. การทบทวนโดยคน | ผู้ทบทวนพิจารณาข้อเท็จจริงเพิ่มได้ มีอำนาจและความสามารถกลับผล และได้รับการอบรมเรื่อง automation bias | หัวข้อ 5.4 |
| 8. ผลและการอนุมัติ | ความเสี่ยงคงเหลือ ข้อสรุปว่ายอมรับได้หรือไม่ ผู้อนุมัติ และวันทบทวนครั้งถัดไป | หัวข้อ 6.2 |
เรื่องการให้คะแนนความเสี่ยง: แนวทางไม่ได้กำหนดตารางโอกาสคูณผลกระทบสำหรับ DPIA ที่ใกล้ที่สุดคือการประเมินเหตุละเมิดในหัวข้อ 8.2 ที่ดูทั้งโอกาสและความรุนแรง องค์กรเลือกวิธีให้คะแนนเองได้ แต่ควรใช้วิธีเดียวกันทุกโครงการเพื่อเทียบกันได้
เรื่อง log: ภาคผนวก ข แนะนำให้เก็บ log ของ prompt รุ่นโมเดล system prompt และผลลัพธ์ แต่คำถามที่พบบ่อย 6.5 ให้ปกปิดข้อมูลส่วนบุคคลก่อนเก็บ แม่แบบที่ใช้ได้คือเก็บข้อมูลประกอบ (metadata) และปกปิดข้อมูลส่วนบุคคล
LIA เมื่ออ้างฐานประโยชน์โดยชอบด้วยกฎหมาย
แนวทางให้ความยินยอมเป็นทางเลือกสุดท้าย และงานพัฒนา AI งานวิเคราะห์ หรืองานความปลอดภัย อาจใช้ฐานประโยชน์โดยชอบด้วยกฎหมายตามมาตรา 24(5) ได้เมื่อทำ LIA สามขั้น
- วัตถุประสงค์ ประโยชน์ที่อ้างชอบด้วยกฎหมายและชัดเจน
- ความจำเป็น มีวิธีที่กระทบน้อยกว่าไหม
- การชั่งน้ำหนัก ประโยชน์ขององค์กรเทียบกับสิทธิของเจ้าของข้อมูล ระวังเป็นพิเศษกับผู้เยาว์
มาตรการที่แนวทางยกตัวอย่างประกอบ LIA ได้แก่ ใช้ข้อมูลเท่าที่จำเป็น แฝงหรือปกปิดข้อมูลก่อนฝึก เว้นระยะระหว่างการเก็บกับการฝึก เปิดให้คัดค้านล่วงหน้าแบบไม่มีเงื่อนไข มีช่องทางร้องเมื่อโมเดลแสดงข้อมูลส่วนบุคคลออกมา มีตัวกรองผลลัพธ์ และจัดทำ Model Card
กับดักที่แนวทางเตือน: ถ้าขอความยินยอมแล้วเจ้าของข้อมูลปฏิเสธหรือถอน จะกลับมาอ้างมาตรา 24(5) กับกิจกรรมเดิมไม่ได้ มาตรการที่กฎหมายบังคับอยู่แล้วนับเป็นมาตรการเพิ่มไม่ได้ และประกาศความเป็นส่วนตัวอย่างเดียวไม่ได้ทำให้เกิดความคาดหมายที่สมเหตุสมผล
รายการตรวจสอบจากภาคผนวก
| ภาคผนวก | กลุ่ม | ตัวอย่างรายการ |
|---|---|---|
| ก พัฒนา AI (10 รายการ) | ธรรมาภิบาลข้อมูลและฐานทางกฎหมาย | ความจำเป็น แหล่งข้อมูลที่ชอบด้วยกฎหมาย ฐานทางกฎหมายและ ROPA แยกข้อมูลอ่อนไหว |
| Privacy by Design | แฝงข้อมูล ป้องกันโมเดลจำข้อมูล ทดสอบ model inversion และกลไกรองรับคำขอลบ | |
| ความปลอดภัยและการเปลี่ยนวัตถุประสงค์ | แยก sandbox จากระบบจริง เก็บ model weights เป็นความลับ และตรวจความเข้ากันได้ของวัตถุประสงค์ใหม่ | |
| ข จัดหาและใช้ AI (9 รายการ) | ความเสี่ยงและการจัดหา | ตรวจสอบผู้ให้บริการ ทำ DPIA และนโยบายการใช้งานที่ห้ามป้อนข้อมูลส่วนบุคคลลง AI สาธารณะ |
| ข้อตกลงและความโปร่งใส | ข้อตกลงตามมาตรา 40 ที่ห้ามใช้นอกขอบเขต ประกาศความเป็นส่วนตัว และคนกำกับในงานเสี่ยงสูง | |
| สิทธิและความพร้อมรับเหตุ | ช่องทางใช้สิทธิ การส่งออกข้อมูล และ log สำหรับสืบสวนเหตุ |
ใครทำอะไร
- ผู้บริหาร อนุมัติหลังเห็นผล DPIA และตอบคำถามหกข้อ
- DPO ไม่ต้องเขียนโค้ด แต่ควรเข้าใจวงจรชีวิตและความเสี่ยงของ AI พอที่จะประเมิน DPIA และให้คำแนะนำผู้บริหาร
- เจ้าของโครงการและทีมพัฒนา ให้ข้อมูลเรื่องระบบ ข้อมูล และมาตรการ
- ผู้ให้บริการ AI เป็นผู้ประมวลผลเมื่อทำตามคำสั่ง แต่กลายเป็นผู้ควบคุมข้อมูลอีกรายถ้านำ prompt ของลูกค้าไปฝึกโมเดลของตัวเอง
ทีมที่ต้องทำ DPIA ควรเข้าใจทั้ง PDPA และวิธีทำงานของ AI ไปพร้อมกัน ดูหน้าที่ตามกฎหมายทั้งหมดที่PDPA กับการใช้ AI ในองค์กร และเรื่องที่ตั้งข้อมูลของเครื่องมือแต่ละตัวที่ข้อมูลไปประมวลผลที่ไหน
แหล่งอ้างอิง
- แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ สคส. (version 1.0 เผยแพร่ 7 ต.ค. 2026 · หัวข้อ 5.4, 6.1, 6.2, 8.2 ภาคผนวก ก ข ค) และฉบับประกาศในราชกิจจานุเบกษา (เล่ม 143 ตอนพิเศษ 261 ง 2 พ.ย. 2569)
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ราชกิจจานุเบกษา
อ่านต่อ
ดูISO/IEC 42001 ระบบบริหาร AI สำหรับองค์กรที่ต้องการระบบที่ตรวจรับรองได้ และหลักสูตร AI Governance & Responsible AI ที่จัดในองค์กรได้