PDPA ไม่ได้ห้ามองค์กรใช้ AI แต่ถือว่าเมื่อองค์กรนำข้อมูลส่วนบุคคลไปใช้กับ AI องค์กรยังเป็นผู้รับผิดชอบเต็มในฐานะผู้ควบคุมข้อมูล ไม่ว่าจะใช้เครื่องมือของใคร คำถามจึงไม่ใช่ "ใช้ AI ผิด PDPA ไหม" แต่เป็น "ใช้อย่างไรให้ยังทำตามหน้าที่ที่กฎหมายกำหนด" และช่วงต้นปี 2026 ประเด็นนี้ชัดขึ้นมาก เมื่อ PDPC ออกร่างแนวทางเฉพาะเรื่องการใช้ AI บทความนี้สรุปหน้าที่ตาม PDPA ที่กระทบการใช้ AI โดยตรง และสิ่งที่องค์กรทำได้จริง
บทความนี้เป็นความเข้าใจเชิงปฏิบัติสำหรับวางระบบ ไม่ใช่คำแนะนำทางกฎหมาย ข้อสรุปรายกรณีควรผ่านที่ปรึกษากฎหมายหรือ DPO ขององค์กร
PDPA มองการใช้ AI อย่างไร
ข้อมูลส่วนบุคคลที่ไหลเข้าและออกจากเครื่องมือ AI ยังอยู่ใต้ PDPA ทุกขั้น ตั้งแต่ตอนป้อน ตอนที่ระบบประมวลผล ไปจนถึงผลลัพธ์ที่นำไปใช้ต่อ โครงความรับผิดชอบไม่ได้เปลี่ยนเพราะมี AI เข้ามา
- องค์กรคือผู้ควบคุมข้อมูล เป็นผู้ตัดสินใจว่าจะใช้ข้อมูลส่วนบุคคลทำอะไร จึงรับผิดชอบว่าการใช้นั้นถูกต้อง
- ผู้ให้บริการ AI คือผู้ประมวลผล ประมวลผลตามที่องค์กรสั่ง ความสัมพันธ์นี้ต้องมีข้อตกลงการประมวลผลข้อมูล (DPA) รองรับ
ต้นปี 2026: ร่างแนวทาง AI ของ PDPC
ช่วงต้นปี 2026 PDPC เปิดร่าง "แนวทางการคุ้มครองข้อมูลส่วนบุคคลในการพัฒนาและการใช้ปัญญาประดิษฐ์" ให้สาธารณะแสดงความเห็น ตัวร่างยังไม่ผูกพันทางกฎหมายในตัวเอง แต่บอกทิศทางที่ผู้กำกับคาดหวังและแนวการตีความที่จะตามมา จึงเป็นสิ่งที่องค์กรควรอ่านไว้ก่อน (และควรติดตามว่าประกาศเป็นฉบับจริงแล้วหรือยัง)
ประเด็นที่ร่างให้น้ำหนัก
- หลักการ PDPA ต้องเดินตลอดวงจรของระบบ AI ตั้งแต่ออกแบบจนปลดระวาง ไม่ใช่มาคิดตอนเกิดปัญหา
- องค์กรที่นำ AI ไปใช้ถือเป็นผู้ควบคุมข้อมูลที่มีหน้าที่เต็มตาม PDPA
- ต้องมีฐานการประมวลผลที่ถูกต้องสำหรับข้อมูลที่ใช้ฝึกหรือป้อนโมเดล และเก็บเท่าที่จำเป็น
- ควรมีข้อสัญญาที่ห้ามนำข้อมูลส่วนบุคคลไปฝึกโมเดลโดยไม่ได้รับอนุญาต
- การตัดสินใจอัตโนมัติที่มีผลทางกฎหมายหรือกระทบบุคคลอย่างมีนัยสำคัญต้องมีคนที่มีอำนาจทบทวนและแก้ผลได้จริง
หน้าที่ตาม PDPA ที่กระทบการใช้ AI โดยตรง
นี่คือส่วนที่แปลงเป็นงานได้ ไล่ตามลำดับที่ผู้ตรวจสอบมักถาม
- ฐานการประมวลผล ต้องมีก่อนนำข้อมูลส่วนบุคคลเข้า AI และ consent ไม่ใช่ทางเดียว หลายงานใช้ฐานอื่นเช่นสัญญาหรือประโยชน์โดยชอบด้วยกฎหมาย แต่ต้องเลือกให้ถูกกับงาน
- แจ้งวัตถุประสงค์และเก็บเท่าที่จำเป็น ใช้ข้อมูลตามวัตถุประสงค์ที่แจ้งไว้ และอย่าป้อนข้อมูลเกินกว่าที่งานต้องการ การป้อนทั้งไฟล์ทั้งที่ใช้แค่บางช่องคือความเสี่ยงที่เลี่ยงได้
- สิทธิของเจ้าของข้อมูล เจ้าของข้อมูลมีสิทธิขอเข้าถึง แก้ ลบ และคัดค้าน องค์กรต้องตอบสนองได้แม้ข้อมูลจะไปอยู่ในระบบหรือบันทึกการสนทนาของเครื่องมือ AI แล้ว
- การตัดสินใจอัตโนมัติที่กระทบบุคคล เช่น การคัดกรองใบสมัคร การให้คะแนนลูกค้า หรือการอนุมัติ ต้องมีคนทบทวนที่มีอำนาจแก้ผล และมีช่องให้เจ้าของข้อมูลขอให้ทบทวนได้
- การโอนข้อมูลข้ามประเทศ เครื่องมือ AI ส่วนใหญ่ประมวลผลบนเซิร์ฟเวอร์ต่างประเทศ การส่งข้อมูลส่วนบุคคลออกไปต้องเข้าเงื่อนไขการโอนข้ามแดนที่ PDPA กำหนด
- ข้อตกลงกับผู้ให้บริการ (DPA) ต้องระบุขอบเขตการประมวลผล มาตรการความปลอดภัย และข้อห้ามนำข้อมูลไปใช้นอกเหนือคำสั่ง รวมถึงห้ามนำไปฝึกโมเดล
- แจ้งเหตุละเมิด หากข้อมูลรั่วผ่านการใช้ AI องค์กรมีหน้าที่แจ้ง PDPC ภายใน 72 ชั่วโมงตามเงื่อนไขที่กำหนด
- บันทึกกิจกรรมการประมวลผล (ROPA) ต้องครอบคลุมการใช้ AI ด้วย ไม่ใช่มีแต่ระบบเดิม
ข้อมูลอ่อนไหวเป็นอีกชั้นหนึ่ง
ข้อมูลอ่อนไหวตามมาตรา 26 เช่น ศาสนา เชื้อชาติ ข้อมูลสุขภาพ ข้อมูลชีวมิติ และประวัติอาชญากรรม มีเงื่อนไขเข้มกว่าข้อมูลทั่วไป มักต้องได้ความยินยอมโดยชัดแจ้งหรือเข้าข้อยกเว้นเฉพาะ ในทางปฏิบัติคือไม่ควรป้อนข้อมูลกลุ่มนี้เข้าเครื่องมือ AI ทั่วไปเลย เว้นแต่มีฐานที่ชัดและใช้เครื่องมือที่ฝ่ายที่รับผิดชอบอนุมัติแล้ว
สิ่งที่ทำได้จริงสัปดาห์นี้
เช็กลิสต์ที่ไม่ต้องรอให้ทุกอย่างสมบูรณ์
- แยกให้ชัดว่าทีมใช้เครื่องมือ AI ระดับองค์กรหรือแบบใช้ฟรี และบังคับบัญชีองค์กร (ความต่างเรื่องข้อมูลระหว่าง enterprise กับแบบใช้ฟรี)
- ทำ DPA กับผู้ให้บริการที่ใช้ และตรวจข้อห้ามนำข้อมูลไปฝึกโมเดล
- กำหนดรายการข้อมูลที่ "ห้ามป้อน" และสอนวิธีปกปิดข้อมูลก่อนใช้ (เช็กลิสต์ข้อมูลก่อนป้อนลง AI)
- ใส่การใช้ AI ลงใน ROPA และจัดบ้านข้อมูลในชุดที่จะใช้ก่อน (จัดบ้านข้อมูลก่อนใช้ AI)
- ให้ทุกการตัดสินใจที่กระทบบุคคลมีคนทบทวนที่มีอำนาจแก้ผล
เส้นที่ยังต้องพึ่งที่ปรึกษา
การเลือกฐานการประมวลผลที่ถูกต้องรายกรณี การทำ DPIA สำหรับงานเสี่ยงสูง การร่างข้อสัญญา และการตีความข้อยกเว้น เป็นเรื่องที่ต้องให้ที่ปรึกษากฎหมายหรือ DPO ตัดสิน ใช้ AI ช่วยสรุปเอกสารและเตรียมคำถามได้ แต่ข้อสรุปต้องมาจากผู้เชี่ยวชาญ เพราะโทษของการทำผิด PDPA มีทั้งโทษปรับทางปกครองหลักล้านบาท โทษอาญา และความรับผิดทางแพ่ง ต้นทุนของการทำผิดจึงสูงกว่าการวางระบบให้ถูกตั้งแต่ต้นมาก
อ่านต่อ
อ่านโครงนโยบายการใช้ AI ในองค์กรไทย เพื่อแปลงหน้าที่เหล่านี้เป็นกติกาที่พนักงานทำตามได้ ดูความเสี่ยงจาก AI ที่องค์กรต้องคุม และหลักสูตร AI Governance & Responsible AI กับหลักสูตร AI Security ที่จัดในองค์กรได้ หรือดูรายละเอียดการอบรม AI ในองค์กร