โรงพยาบาลใช้ AI ได้ แต่ข้อมูลสุขภาพเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26 ต้องได้ความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้น ซึ่งข้อที่ใช้บ่อยที่สุดคือการวินิจฉัย รักษา และให้บริการสุขภาพภายใต้หน้าที่รักษาความลับของวิชาชีพ (มาตรา 26 (5) (ก)) ส่วนการนำเวชระเบียนเดิมไปพัฒนา AI เป็นวัตถุประสงค์ใหม่ที่ต้องมีฐานรองรับของตัวเอง แนวทาง AI ของ สคส. ที่เผยแพร่ 7 ต.ค. 2026 ไม่มีสภาพบังคับ แต่ระบุสามเรื่องที่กระทบงานในโรงพยาบาลโดยตรง เรื่องแรกการพิมพ์ข้อมูลผู้ป่วยลง prompt อาจถือเป็นการเปิดเผยข้อมูลแก่ผู้ให้บริการ AI และแม้ตัดชื่อออก อาการเฉพาะกับบริบทแวดล้อมก็อาจระบุตัวผู้ป่วยได้ เรื่องที่สองคือข้อมูลอ่อนไหวควรพิจารณาติดตั้งระบบภายในองค์กร หรือทำข้อตกลงที่ห้ามผู้ให้บริการนำข้อมูลไปฝึกโมเดล เรื่องที่สามคือ AI ช่วยวินิจฉัยต้องให้แพทย์เป็นผู้ตัดสินใจขั้นสุดท้าย นอกจาก PDPA ยังมี พ.ร.บ.สุขภาพแห่งชาติ มาตรา 7 ที่ถือว่าข้อมูลสุขภาพเป็นความลับส่วนบุคคล และ AI ที่มีวัตถุประสงค์ทางการแพทย์อาจเข้าข่ายเครื่องมือแพทย์ที่ อย. กำกับ บทความนี้แยกงาน AI ในโรงพยาบาลเป็นสี่กลุ่ม พร้อมฐานทางกฎหมาย คดีปรับโรงพยาบาลจริง และเช็กลิสต์ก่อนเริ่มใช้
บทความนี้สรุปจากตัวบทและเอกสารของหน่วยงานรัฐเพื่อการวางระบบ ไม่ใช่ความเห็นทางกฎหมายหรือทางการแพทย์ กรณีจริงควรผ่าน DPO และที่ปรึกษากฎหมายของโรงพยาบาล
แยกงาน AI ในโรงพยาบาลเป็นสี่กลุ่ม
| กลุ่มงาน | ตัวอย่าง | กฎที่ต้องดู | สิ่งที่ต้องทำ |
|---|---|---|---|
| งานเอกสารที่ไม่มีข้อมูลผู้ป่วย | ร่างนโยบาย สรุปประชุม สื่อสารภายใน งาน HR และจัดซื้อ | PDPA ทั่วไปและนโยบาย AI ขององค์กร | ใช้บัญชีองค์กร และห้ามป้อนข้อมูลผู้ป่วยลงเครื่องมือทั่วไป |
| งานที่แตะข้อมูลผู้ป่วย | สรุปเวชระเบียน ร่างจดหมายส่งตัว ตอบคำถามผู้ป่วย | PDPA มาตรา 26, 37 และ 40 · พ.ร.บ.สุขภาพแห่งชาติ มาตรา 7 | ข้อตกลงประมวลผลข้อมูลที่ห้ามนำไปฝึกโมเดล ปกปิดข้อมูลเท่าที่ทำได้ หรือใช้ระบบภายในองค์กร |
| AI ที่มีวัตถุประสงค์ทางการแพทย์ | ช่วยวินิจฉัยจากภาพรังสี คัดกรองโรค ติดตามอาการ | PDPA มาตรา 26 · กฎหมายเครื่องมือแพทย์ (อย.) | ตรวจว่าเข้าข่ายเครื่องมือแพทย์หรือไม่ และให้แพทย์เป็นผู้ตัดสินใจขั้นสุดท้าย |
| นำเวชระเบียนเดิมไปพัฒนา AI | ฝึกโมเดลจากข้อมูลการรักษาย้อนหลัง | PDPA มาตรา 26 และ 27 (วัตถุประสงค์ใหม่) | ความยินยอมโดยชัดแจ้ง หรือฐานวิจัยตามมาตรา 26 (5) (ง) เท่าที่จำเป็น แฝงข้อมูล และประเมินผลกระทบ (DPIA) |
ฐานตามมาตรา 26 ที่ใช้บ่อยในงานสุขภาพ
| ฐาน | ใช้เมื่อ | เงื่อนไข |
|---|---|---|
| ความยินยอมโดยชัดแจ้ง | งานที่ไม่เข้าข้อยกเว้น เช่น ใช้ข้อมูลผู้ป่วยกับเครื่องมือ AI นอกการรักษา | ต้องชัดแจ้งและถอนได้ |
| 26 (1) ป้องกันอันตรายต่อชีวิต | ผู้ป่วยให้ความยินยอมไม่ได้ เช่น หมดสติในห้องฉุกเฉิน | ไม่ว่าด้วยเหตุใดก็ตามที่ให้ความยินยอมไม่ได้ |
| 26 (5) (ก) การแพทย์และบริการสุขภาพ | วินิจฉัย รักษา เวชศาสตร์ป้องกัน และการจัดการด้านสุขภาพ | ต้องจำเป็นตามกฎหมาย และถ้าไม่ใช่การปฏิบัติตามกฎหมาย ต้องเป็นการปฏิบัติตามสัญญาระหว่างผู้ป่วยกับผู้ประกอบวิชาชีพทางการแพทย์ที่มีหน้าที่รักษาความลับ |
| 26 (5) (ข) สาธารณสุข | โรคติดต่อ การควบคุมคุณภาพยาและเครื่องมือแพทย์ | มีมาตรการเหมาะสมและเจาะจง โดยเฉพาะการรักษาความลับ |
| 26 (5) (ง) วิจัยและสถิติ | พัฒนา AI จากเวชระเบียนเพื่อการวิจัย | เท่าที่จำเป็น และมีมาตรการคุ้มครองตามที่คณะกรรมการประกาศ |
ข้อที่ต้องระวังคือ ข้อมูลที่เก็บมาเพื่อรักษาตามข้อ (ก) ใช้ได้ภายในฐานนั้น การนำไปใช้กับเครื่องมือ AI เพื่อวัตถุประสงค์อื่นต้องหาฐานใหม่ตามมาตรา 27 (PDPA กับการใช้ AI ในองค์กร)
สิ่งที่แนวทาง AI ของ สคส. พูดถึงงานสุขภาพ
แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับ AI version 1.0 ไม่มีสภาพบังคับตามกฎหมาย แต่มีตัวอย่างจากงานสุขภาพหลายจุด
- ข้อมูลผู้ป่วยใน prompt การพิมพ์ ประวัติการรักษา อาการ หรือข้อมูลพันธุกรรม ลง Generative AI อาจถือเป็นการเปิดเผยข้อมูลแก่ผู้ให้บริการ และแม้ไม่ใส่ชื่อ อาการเฉพาะร่วมกับบริบท เช่น พื้นที่อยู่อาศัยหรือเวลาเข้ารับการรักษา ก็อาจระบุตัวผู้ป่วยได้
- พัฒนา AI จากเวชระเบียน แนวทางยกสถานการณ์โรงพยาบาลนำข้อมูลเวชระเบียนมาพัฒนา AI เพื่อการวิจัยทางการแพทย์ ถ้าขอความยินยอมโดยชัดแจ้งไม่ได้ ให้พิจารณาฐานตามมาตรา 26 (5) เท่าที่จำเป็น และควรแฝงข้อมูล (pseudonymization)
- AI ช่วยวินิจฉัย ตัวอย่างโรงพยาบาลใช้ AI อ่านภาพรังสีคัดกรองมะเร็ง ถ้าระบบผิดพลาดหรือเรียนจากข้อมูลที่ไม่ครอบคลุมประชากรไทย อาจวินิจฉัยผิด แพทย์จึงควรเป็นผู้ตัดสินใจขั้นสุดท้าย
- เลือกรูปแบบติดตั้ง ประเมินความเสี่ยงก่อนใช้ข้อมูล ข้อมูลอ่อนไหวควรพิจารณาติดตั้งภายในองค์กร (on-premises) ถ้าจำเป็นต้องใช้ cloud หรือ API ให้ทำข้อตกลงที่รัดกุม โดยเฉพาะห้ามผู้ให้บริการนำข้อมูลไปฝึกโมเดลต่อ
- ผู้รับจ้างพัฒนา AI บริษัทที่พัฒนา AI ตามคำสั่งของโรงพยาบาลเป็นผู้ประมวลผลข้อมูล โรงพยาบาลเป็นผู้ควบคุมและรับผิดชอบหลัก จึงต้องมีข้อตกลงตามมาตรา 40
กฎหมายความลับผู้ป่วยที่ใช้ควบคู่
- พ.ร.บ.สุขภาพแห่งชาติ พ.ศ. 2550 มาตรา 7 ข้อมูลด้านสุขภาพของบุคคลเป็นความลับส่วนบุคคล ห้ามเปิดเผยในประการที่น่าจะทำให้บุคคลนั้นเสียหาย เว้นแต่เป็นความประสงค์ของบุคคลนั้นหรือมีกฎหมายเฉพาะให้เปิดเผย ฝ่าฝืนมีโทษตามมาตรา 49 จำคุกไม่เกิน 6 เดือนหรือปรับไม่เกิน 10,000 บาท
- ระเบียบกระทรวงสาธารณสุข เรื่อง การคุ้มครองและจัดการข้อมูลด้านสุขภาพของบุคคล พ.ศ. 2561 ใช้กับหน่วยงานของกระทรวงและสถานพยาบาลตามกฎหมายสถานพยาบาล กำหนดให้ข้อมูลสุขภาพเป็นความลับ และระบบอิเล็กทรอนิกส์ต้องมีการยืนยันตัวตนและการกำหนดสิทธิ์
- ประมวลกฎหมายอาญา มาตรา 323 ความผิดฐานเปิดเผยความลับของผู้อื่นที่ได้รู้มาจากวิชาชีพ เช่น แพทย์ เภสัชกร และพยาบาล
AI เป็นเครื่องมือแพทย์เมื่อไร
อย. ระบุว่าซอฟต์แวร์และ AI ที่มีวัตถุประสงค์ทางการแพทย์ตามมาตรา 4 ของ พ.ร.บ.เครื่องมือแพทย์ เช่น การวินิจฉัย ติดตาม หรือรักษา อาจเข้าข่ายเครื่องมือแพทย์ ส่วนซอฟต์แวร์ที่ไม่มีวัตถุประสงค์ทางการแพทย์ไม่ใช่เครื่องมือแพทย์ ในทางปฏิบัติ AI ที่ช่วยสรุปเอกสาร จัดตารางนัด หรือร่างจดหมาย อยู่นอกกรอบนี้ แต่ระบบช่วยวินิจฉัยต้องตรวจตามหลักเกณฑ์การคัดกรองของ อย. ก่อนผลิตหรือนำเข้า
คดีปรับโรงพยาบาลและบทเรียนต่อผู้ให้บริการ AI
เดือนสิงหาคม 2025 มีรายงานว่าคณะกรรมการผู้เชี่ยวชาญสั่งปรับโรงพยาบาลเอกชนแห่งหนึ่ง 1,210,000 บาท หลังเวชระเบียนผู้ป่วยกว่า 1,000 ฉบับหลุดออกไปและถูกนำไปทำเป็นถุงขนม เพราะโรงพยาบาลจ้างผู้ทำลายเอกสารรายเล็กโดยไม่ติดตามหรือตรวจสอบ ผู้รับจ้างถูกปรับอีก 16,940 บาท
ผู้ให้บริการ AI อยู่ในโครงสร้างเดียวกันกับผู้รับจ้างทำลายเอกสาร คือเป็นผู้ประมวลผลที่โรงพยาบาลต้องทำข้อตกลงและติดตามดูแล ถ้าแพทย์หรือพยาบาลวางข้อมูลผู้ป่วยลงเครื่องมือ AI ที่โรงพยาบาลไม่ได้ทำข้อตกลงไว้ ความรับผิดตกอยู่กับโรงพยาบาลในฐานะผู้ควบคุมข้อมูล โทษปรับทางปกครองกรณีข้อมูลอ่อนไหวสูงสุด 5 ล้านบาท
เช็กลิสต์ก่อนใช้ AI ในโรงพยาบาล
| ทำอะไร | อ้างอิง |
|---|---|
| จัดงาน AI ทุกงานเข้าสี่กลุ่มด้านบน และกำหนดเครื่องมือที่อนุมัติของแต่ละกลุ่ม | แม่แบบของ TRAINIAC |
| ห้ามป้อนข้อมูลผู้ป่วยลง AI ที่ไม่มีข้อตกลงประมวลผลข้อมูล | แนวทาง AI ของ สคส. และ PDPA มาตรา 40 |
| ข้อตกลงกับผู้ให้บริการระบุห้ามนำข้อมูลไปฝึกโมเดล และแจ้งเหตุละเมิดภายใน 72 ชั่วโมง | แนวทาง AI ของ สคส. และประกาศการแจ้งเหตุละเมิด |
| งานข้อมูลอ่อนไหวจำนวนมากหรือพัฒนา AI ให้ทำ DPIA ก่อน | แนวทาง AI ของ สคส. |
| AI ช่วยวินิจฉัย ให้แพทย์ตัดสินใจขั้นสุดท้ายและบันทึกไว้ | แนวทาง AI ของ สคส. |
| ตรวจว่า AI ทางคลินิกเข้าข่ายเครื่องมือแพทย์หรือไม่ | หลักเกณฑ์ของ อย. |
| อบรมบุคลากรเรื่องการปกปิดข้อมูลและการตรวจผล AI | แนวทาง AI ของ สคส. (นโยบายและการสร้างความตระหนัก) |
กติกาการปกปิดข้อมูลระดับพนักงานดูได้ที่เช็กลิสต์ก่อนวางข้อมูลลงใน AI และเรื่องที่ตั้งข้อมูลของเครื่องมือแต่ละตัวที่ข้อมูลไปประมวลผลที่ไหน
งานอบรมสายสุขภาพที่เราสอน
- โรงพยาบาลสมิติเวช สุขุมวิท (30 พ.ค. 2025): AI for Doctors สำหรับแพทย์
- PCL Holdings (19 มิ.ย. 2025): AI for Workforce สำหรับบริษัทผู้ผลิตและนำเข้าเครื่องมือและน้ำยาตรวจวิเคราะห์โรค
ดูรูปแบบการอบรมสำหรับโรงพยาบาลที่อบรม AI สำหรับโรงพยาบาลและองค์กรด้านสุขภาพ
แหล่งอ้างอิง
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ราชกิจจานุเบกษา (มาตรา 26, 27, 37, 40 และ 84)
- แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ สคส. (7 ต.ค. 2026)
- พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 ราชกิจจานุเบกษา (มาตรา 7 และ 49)
- การกำกับดูแลซอฟต์แวร์และปัญญาประดิษฐ์ที่เป็นเครื่องมือแพทย์ สำนักงานคณะกรรมการอาหารและยา
- สคส. สั่งปรับหน่วยงานรัฐและเอกชน ยอดสะสมกว่า 21.5 ล้านบาท InfoQuest (ส.ค. 2025)
- บันทึกงานอบรมที่มีวันที่ TRAINIAC
อ่านต่อ
ดูกฎหมายและการกำกับดูแล AI ในไทย และความเสี่ยงจาก AI ที่องค์กรต้องคุม หรือดูหลักสูตร AI Governance & Responsible AI ที่จัดในองค์กรได้