คู่มือกำกับการใช้ AI กับข้อมูลส่วนบุคคล สำหรับผู้บริหารและ HR
สำหรับประเด็น “กำกับการใช้ AI” ต้องเริ่มจากข้อเท็จจริงของงานที่จะทำ บทความนี้อธิบายเงื่อนไขที่ทำให้คำตอบต่างกัน พร้อมวิธีตัดสินใจและหลักฐานที่ควรเตรียมก่อนเกิดข้อร้องเรียน
สถานการณ์แบบใดให้คำตอบต่างกัน
ตัวอย่างต่อไปนี้เป็นกรณีสมมติเพื่ออธิบายหลัก ไม่ใช่การเปิดเผยข้อมูลลูกความหรือคำพิพากษา
- ใช้ AI ช่วยร่างข้อความจากข้อมูลสมมติ ไม่เท่ากับส่งแฟ้มลูกค้าจริง
- ใช้บัญชีองค์กรสรุปเอกสารลูกค้า ต้องตรวจเงื่อนไขบริการ สิทธิใช้ข้อมูลต่อและผู้รับช่วง
- ใช้ AI ให้คะแนนผู้สมัครจนมีผลต่อการจ้าง ต้องตรวจความถูกต้องและจัดคนทบทวนที่เปลี่ยนผลได้จริง
ควรตัดสินใจตามลำดับใด
เริ่มจากถามว่าระบุตัวบุคคลได้หรือไม่ หากได้ ให้ระบุงาน ฐานกฎหมายและผู้รับ หากมีข้อมูลมาตรา 26 ให้ตรวจเงื่อนไขเฉพาะ ก่อนอนุมัติทดลองและกำหนดเกณฑ์หยุดเมื่อผลผิดหรือความเสี่ยงเกินที่ยอมรับ
กำกับการใช้ AI ในองค์กรเริ่มจากระบบใด
ทะเบียนการใช้ AI
บันทึกเครื่องมือ เจ้าของงาน ชุดข้อมูล บัญชีที่ใช้และผู้ให้บริการ รวมเครื่องมือที่ฝังในซอฟต์แวร์เดิม ไม่สำรวจเฉพาะเว็บไซต์แชต
กติกาข้อมูล
แบ่งข้อมูลห้ามใช้ ข้อมูลที่ต้องลดการระบุตัวบุคคล และข้อมูลที่ใช้ได้ภายใต้เงื่อนไข การแทนชื่อด้วยรหัสยังอาจเป็นข้อมูลส่วนบุคคลถ้าเชื่อมกลับได้
ตรวจผู้ให้บริการ
ดูการเก็บ Prompt ผลลัพธ์ ประวัติ ผู้รับช่วง ประเทศ และการนำไปฝึกโมเดลตามผลิตภัณฑ์ที่ใช้จริง ไม่เหมารวมว่าบัญชีแบบเสียเงินทุกแบบไม่ใช้ข้อมูลฝึก
ทดสอบและทบทวนผล
กำหนดชุดทดสอบ ข้อผิดพลาดที่ยอมรับไม่ได้ และคนรับผิดชอบการตัดสินใจ แยกคำแนะนำด้านธรรมาภิบาลออกจากสิทธิอัตโนมัติที่ไม่ได้บัญญัติเหมือน GDPR
รับเหตุและเลิกใช้
เมื่อพบข้อมูลรั่วหรือผลลัพธ์ระบุตัวบุคคลผิด ให้ระงับการใช้ที่เกี่ยวข้อง รักษาหลักฐานและประเมินเหตุ หากเปลี่ยนระบบต้องตรวจทั้งฐานค้นคืน สำรอง และข้อมูลฝึก
ฐานกฎหมายและขอบเขตที่ต้องแยก
PDPA มาตรา 19, 21 ถึง 24 และ 26 ยังใช้กับกิจกรรม AI เช่นเดียวกับวิธีประมวลผลอื่น มาตรา 35 เกี่ยวกับความถูกต้องของข้อมูล มาตรา 37 และ 40 เกี่ยวกับความปลอดภัยและผู้ประมวลผล ต้องไม่ยกข้อกำหนด GDPR หรือร่างแนวทาง AI มาเขียนว่าเป็นหน้าที่ไทยที่มีผลใช้ทั่วไปแล้ว
อ่านตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบการพิจารณาหน้าที่ของแต่ละฝ่าย
เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วเรื่องไปทางใด
ผลลัพธ์ที่ผิดอาจกระทบลูกค้าหรือการจ้างงาน ขณะที่ข้อมูลที่ส่งให้ผู้ให้บริการอาจถูกใช้เกินวัตถุประสงค์ องค์กรต้องแสดงการตัดสินใจและมาตรการจริง ไม่สามารถอ้างว่าเป็นการตัดสินใจของ AI เพื่อปัดหน้าที่ของตน
เมื่อได้รับหนังสือหรือข้อเรียกร้อง ให้ตรวจผู้ส่ง ประเด็นที่ถามและกำหนดตอบจากเอกสารจริง รักษาข้อมูลต้นฉบับที่เกี่ยวข้อง พร้อมแยกข้อเท็จจริงที่ยืนยันได้ออกจากประเด็นที่ยังสอบสวน การแก้ปัญหาปัจจุบันควรทำควบคู่กับการเตรียมชี้แจง โดยไม่แก้บันทึกเก่าให้คลาดจากเหตุการณ์
หลักฐานที่ต้องเก็บและวิธีจัดให้ใช้ได้จริง
- ทะเบียนเครื่องมือและบันทึกอนุมัติรายกรณีใช้งาน
- แผนผังข้อมูล ฐานกฎหมาย และเงื่อนไขบริการฉบับที่ใช้
- ผลทดสอบความถูกต้องและบันทึกคนทบทวนผล
- ประวัติแจ้งเหตุ เปลี่ยนเวอร์ชัน และคำสั่งเลิกใช้ข้อมูล
จุดที่ควรตรวจเพิ่มคือทะเบียนเครื่องมือและบันทึกอนุมัติรายกรณีใช้งาน เอกสารนี้ตอบได้เฉพาะข้อเท็จจริงที่มีการตรวจและรับรองไว้ หากอีกฝ่ายโต้แย้งว่างานจริงต่างจากเอกสาร ให้ใช้ข้อมูลจากระบบและผู้ปฏิบัติงานตรวจเทียบ ไม่สรุปว่ามีเอกสารแล้วจึงถูกต้องทุกขั้นตอน กรณีที่หลักฐานขัดกัน ควรเก็บทั้งสองชุดไว้พร้อมบันทึกเหตุที่ตรวจพบ เพื่อให้ผู้รับผิดชอบประเมินอย่างครบถ้วนและไม่ตัดข้อมูลที่เสียเปรียบออกจากแฟ้ม
ให้เจ้าของงานระบุผู้จัดทำ ผู้ตรวจรับ วันที่และเวอร์ชัน เก็บต้นฉบับในพื้นที่ที่จำกัดสิทธิตามหน้าที่ ส่วนสำเนาสำหรับตรวจควรปกปิดข้อมูลที่ไม่เกี่ยวข้อง ระยะเก็บต้องสัมพันธ์กับวัตถุประสงค์ หน้าที่ตามกฎหมายและสิทธิเรียกร้องที่เกี่ยวข้อง หากมีข้อพิพาทให้ประเมินการพักทำลายเฉพาะข้อมูลที่จำเป็น พร้อมกำหนดผู้ทบทวน ไม่เก็บทุกอย่างตลอดไป
นำไปใช้กับทีมงานอย่างไร
กำหนดขอบเขตการทดลอง
เริ่มทดสอบด้วยข้อมูลสมมติหรือข้อมูลที่ลดความเสี่ยงแล้ว ระบุงานที่ให้เครื่องมือช่วยและงานที่ยังไม่อนุญาต หากต้องใช้ข้อมูลจริงเพื่อทดสอบ ต้องผ่านการประเมินฐานกฎหมายและสิทธิผู้รับก่อน ไม่ถือว่าช่วงทดลองอยู่นอกกฎหมาย
เก็บข้อจำกัดไว้กับผลทดสอบ
ผู้ตัดสินใจควรรู้ว่าระบบทดสอบกับงานแบบใด ข้อมูลแบบใดทำให้ผิด และมีสถานการณ์ใดที่ยังไม่ประเมิน แยกผลที่ตรวจยืนยันได้ออกจากคำอธิบายของผู้ขาย เพื่อไม่ขยายการใช้งานเกินหลักฐานที่มี
การอนุมัติต้องตามการเปลี่ยนแปลง
เมื่อผู้ให้บริการเปลี่ยนเงื่อนไข โมเดลหรือสิทธิการใช้ข้อมูล ให้เจ้าของงานประเมินส่วนที่เปลี่ยนและแจ้งผู้เกี่ยวข้อง การอนุมัติชื่อเครื่องมือครั้งเดียวไม่ครอบคลุมทุกการเชื่อมต่อ ทุกบัญชี และทุกข้อมูลในอนาคต
แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน
ช่วงเวลาต่อไปนี้เป็นตัวอย่างแผนจัดงานภายใน ไม่ใช่กำหนดตามกฎหมาย และไม่เลื่อนหน้าที่เร่งด่วนที่ต้องทำก่อน
| ช่วงงาน | งานที่มอบหมาย | สิ่งที่ใช้ตรวจรับ |
|---|---|---|
| วันนี้ | รวบรวมเครื่องมือและหยุดส่งข้อมูลจริงในกรณีที่ยังไม่ผ่านการประเมิน | ขอบเขตงานและผู้รับผิดชอบ |
| ภายใน 7 วัน | กำหนดรายการข้อมูลและผู้อนุมัติพร้อมทางเลือกที่พนักงานใช้ได้ | ข้อค้นพบและรายการที่ต้องแก้ |
| ภายใน 30 วัน | ทดสอบกรณีเสี่ยงสูงและประเมินผลกระทบก่อนขยายใช้งาน | ผลตรวจหรือทดสอบและงานที่ยังค้าง |
ข้อผิดพลาดที่ควรหลีกเลี่ยง
การเขียนนโยบายกว้าง ๆ แต่ไม่มีเครื่องมือที่อนุมัติให้ทำงานจริงผลักให้พนักงานใช้บัญชีส่วนตัว ต้องออกแบบทางเลือกและช่องแจ้งความผิดพลาดที่ใช้ได้ทันที
อ่านต่อและจัดระบบให้เหมาะกับองค์กร
สำหรับขั้นตอนที่เกี่ยวข้อง อ่านนโยบายการใช้ AI ในบริษัท ควรห้ามข้อมูลใดและบังคับใช้อย่างไร และ20 คำถามที่ต้องถามผู้ให้บริการ AI ก่อนส่งข้อมูลบริษัท
หากงานเชื่อมกับกระบวนการอื่น ให้อ่านPDPA กับข้อมูลพนักงาน คู่มือนายจ้างและ HR ตั้งแต่รับสมัครจนพ้นสภาพประกอบก่อนกำหนดผู้รับผิดชอบ
สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจข้อเท็จจริง เอกสารและพยานหลักฐานผ่านบริการกฎหมาย PDPA โดยประเด็นการจ้างงานสามารถประเมินร่วมกับทีมกฎหมายแรงงาน สามารถนัดหมายเพื่อนำเอกสารที่เกี่ยวข้องมาประเมินก่อนตัดสินใจ
บทความเจาะลึกในหมวดนี้
- พนักงานป้อนข้อมูลลูกค้าลง AI บริษัทเสี่ยงอะไรและควรทำอย่างไร
- นโยบายการใช้ AI ในบริษัท ควรห้ามข้อมูลใดและบังคับใช้อย่างไร
- Shadow AI เครื่องมือที่พนักงานใช้เอง บริษัทตรวจและควบคุมอย่างไร
- 20 คำถามที่ต้องถามผู้ให้บริการ AI ก่อนส่งข้อมูลบริษัท
- ใช้ AI คัดกรองใบสมัครและให้คะแนนผู้สมัคร ต้องแจ้งอย่างไร
- AI วิเคราะห์ผลงานพนักงาน เสี่ยงเลือกปฏิบัติอย่างไรและควรควบคุมอะไร
- แชตบอตเก็บชื่อ เบอร์โทรและบทสนทนา ต้องแจ้งอะไรตาม PDPA
- ใช้ข้อมูลลูกค้าฝึกโมเดล AI ได้หรือไม่ ต้องแยกวัตถุประสงค์อย่างไร
- DPIA สำหรับการประมวลผลความเสี่ยงสูง ควรเริ่มเมื่อใดและทำอย่างไร
- ไบโอเมตริกซ์ กล้องวิเคราะห์ใบหน้าและเซ็นเซอร์ในที่ทำงาน ใช้ได้แค่ไหน
การใช้ระบบร่วมและ AI: แนวทางตรวจข้อมูลก่อนใช้งาน
- AI ถอดเสียงประชุม ต้องแจ้งผู้เข้าร่วมและตั้งค่าอะไร
- AI ค้นเอกสารภายใน ต้องป้องกันข้อมูลข้ามสิทธิอย่างไร
- AI สร้างข้อมูลผิดเกี่ยวกับลูกค้า บริษัทต้องตามแก้อย่างไร
- AI Agent เข้าถึงอีเมลและ CRM ต้องจำกัดอำนาจอย่างไร
สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี
ดูประวัติทีมทนายความ →บทความที่เกี่ยวข้อง
PDPA คุ้มครองข้อมูล
AI Agent เข้าถึงอีเมลและ CRM ต้องจำกัดอำนาจอย่างไร
AI Agent เข้าถึงอีเมลและ CRM ควรแยกสิทธิอ่าน ส่ง แก้ และลบ ตรวจจุดอนุมัติ อายุสิทธิ และหลักฐานผลจริง ก่อนให้ระบบทำงานแทนพนักงาน
นายเอกราช ทิพย์แมม
·อ่าน 7 นาที
PDPA คุ้มครองข้อมูล
AI สร้างข้อมูลผิดเกี่ยวกับลูกค้า บริษัทต้องตามแก้อย่างไร
AI สร้างข้อมูลผิดแล้วถูกส่งเข้า CRM ต้องตรวจต้นทางและตามแก้จุดใช้จริง ดูสิทธิแก้ไข การระงับระหว่างตรวจ และหลักฐานตอบคำร้องของลูกค้า
นายเอกราช ทิพย์แมม
·อ่าน 7 นาที
PDPA คุ้มครองข้อมูล
AI ค้นเอกสารภายใน ต้องป้องกันข้อมูลข้ามสิทธิอย่างไร
AI ค้นเอกสารภายในอาจตอบข้อมูลที่ผู้ถามไม่มีสิทธิ ดูวิธีตรวจแหล่งข้อมูล ดัชนี ประวัติ และผลทดสอบก่อนเปิดให้พนักงานค้นด้วยบัญชีจริง
นายเอกราช ทิพย์แมม
·อ่าน 7 นาที
ปรึกษาทีมทนาย PDPAของเรา
เราพร้อมรับฟังและประเมินแนวทางที่เหมาะกับกรณีของท่าน ทุกเรื่องเป็นความลับ