นโยบายการใช้ AI ในบริษัท ควรห้ามข้อมูลใดและบังคับใช้อย่างไร

สำหรับประเด็น “นโยบายการใช้ AI ในบริษัท” ต้องเริ่มจากข้อเท็จจริงของงานที่จะทำ บทความนี้อธิบายเงื่อนไขที่ทำให้คำตอบต่างกัน พร้อมวิธีตัดสินใจและหลักฐานที่ควรเตรียมก่อนเกิดข้อร้องเรียน

สถานการณ์แบบใดให้คำตอบต่างกัน

ตัวอย่างต่อไปนี้เป็นกรณีสมมติเพื่ออธิบายหลัก ไม่ใช่การเปิดเผยข้อมูลลูกความหรือคำพิพากษา

• ทีมขายร่างข้อความจากข้อมูลสมมติ ใช้ได้ภายใต้กติกางานทั่วไป
• HR สรุปใบสมัครจริง ต้องใช้ระบบและขอบเขตข้อมูลที่ผ่านประเมิน
• ทีมงานต้องการส่งเวชระเบียนเพื่อสรุป ต้องตรวจฐานข้อมูลอ่อนไหวและมาตรการเฉพาะก่อน ไม่อนุมัติจากชื่อผลิตภัณฑ์อย่างเดียว

ควรตัดสินใจตามลำดับใด

แบ่งข้อมูลเป็นใช้ได้ตามเงื่อนไข ต้องอนุมัติก่อน และห้ามในช่องทางที่กำหนด ระบุวัตถุประสงค์ที่อนุญาตต่อเครื่องมือ จากนั้นให้เจ้าของงานตรวจผลลัพธ์ก่อนนำไปใช้ โดยมีทางยกระดับกรณีที่กติกายังตอบไม่ได้

นโยบายการใช้ AI ในบริษัทควรเขียนให้ตัดสินใจได้ทันที

ข้อมูลที่ห้ามส่งในช่องทางไม่ได้อนุมัติ

ระบุรหัสผ่าน กุญแจระบบ เอกสารลูกความ ข้อมูลสุขภาพ เลขระบุตัว และข้อมูลลูกค้าหรือพนักงานที่ระบุตัวได้ตามความเสี่ยงจริง ความลับธุรกิจที่ไม่ใช่ข้อมูลส่วนบุคคลก็ควรมีกติกาแยก

การลดข้อมูลก่อนใช้

ให้ตัวอย่างว่าตัดชื่ออย่างเดียวอาจไม่พอ ต้องดูตำแหน่ง วันเหตุการณ์และรายละเอียดที่เชื่อมกลับได้ หากทำให้ไม่ระบุตัวจริงไม่ได้ให้ใช้ขั้นตอนอนุมัติ

ผู้อนุมัติและเงื่อนไขข้อยกเว้น

ให้เจ้าของข้อมูลและทีมที่เกี่ยวข้องประเมินฐานกฎหมาย ผู้รับและความปลอดภัย บันทึกว่าข้อยกเว้นใช้กับงานใด ถึงเมื่อใด และใครทบทวน

ผลลัพธ์และการบังคับใช้

กำหนดคนตรวจข้อเท็จจริงก่อนส่งลูกค้าหรือตัดสินใจเรื่องบุคคล เชื่อมกับข้อบังคับการทำงานที่ใช้บังคับจริง เปิดทางรายงานข้อผิดพลาดโดยเร็ว และพิจารณาวินัยตามข้อเท็จจริง

ฐานกฎหมายและขอบเขตที่ต้องแยก

มาตรา 21 และ 22 ผูกการใช้กับวัตถุประสงค์และความจำเป็น มาตรา 24 และ 26 ใช้เลือกฐานตามประเภทข้อมูล มาตรา 37 กำหนดหน้าที่ความปลอดภัย นโยบายเป็นมาตรการภายในเพื่อช่วยปฏิบัติหน้าที่ ไม่ใช่เอกสารที่แทนฐานกฎหมายหรือ DPA ได้

อ่านตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบการพิจารณาหน้าที่ของแต่ละฝ่าย

เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วเรื่องไปทางใด

นโยบายที่พนักงานไม่รู้หรือทำตามไม่ได้ช่วยพิสูจน์มาตรการได้จำกัด หากบริษัทใช้การเฝ้าติดตามเพื่อบังคับนโยบายก็ต้องประเมินความจำเป็นและแจ้งการติดตามนั้นด้วย ไม่สร้างการเก็บข้อมูลเกินจำเป็นขึ้นมาอีกระบบ

เมื่อได้รับหนังสือหรือข้อเรียกร้อง ให้ตรวจผู้ส่ง ประเด็นที่ถามและกำหนดตอบจากเอกสารจริง รักษาข้อมูลต้นฉบับที่เกี่ยวข้อง พร้อมแยกข้อเท็จจริงที่ยืนยันได้ออกจากประเด็นที่ยังสอบสวน การแก้ปัญหาปัจจุบันควรทำควบคู่กับการเตรียมชี้แจง โดยไม่แก้บันทึกเก่าให้คลาดจากเหตุการณ์

หลักฐานที่ต้องเก็บและวิธีจัดให้ใช้ได้จริง

• นโยบายพร้อมเวอร์ชันและวันที่มีผล
• ทะเบียนเครื่องมือ บัญชีองค์กรและงานที่อนุมัติ
• หลักฐานรับทราบ การฝึกจากโจทย์งาน และบันทึกข้อยกเว้น
• บันทึกแจ้งเหตุและการแก้กติกาหลังพบปัญหา

จุดที่ควรตรวจเพิ่มคือนโยบายพร้อมเวอร์ชันและวันที่มีผล เอกสารนี้ตอบได้เฉพาะข้อเท็จจริงที่มีการตรวจและรับรองไว้ หากอีกฝ่ายโต้แย้งว่างานจริงต่างจากเอกสาร ให้ใช้ข้อมูลจากระบบและผู้ปฏิบัติงานตรวจเทียบ ไม่สรุปว่ามีเอกสารแล้วจึงถูกต้องทุกขั้นตอน กรณีที่หลักฐานขัดกัน ควรเก็บทั้งสองชุดไว้พร้อมบันทึกเหตุที่ตรวจพบ เพื่อให้ผู้รับผิดชอบประเมินอย่างครบถ้วนและไม่ตัดข้อมูลที่เสียเปรียบออกจากแฟ้ม

ให้เจ้าของงานระบุผู้จัดทำ ผู้ตรวจรับ วันที่และเวอร์ชัน เก็บต้นฉบับในพื้นที่ที่จำกัดสิทธิตามหน้าที่ ส่วนสำเนาสำหรับตรวจควรปกปิดข้อมูลที่ไม่เกี่ยวข้อง ระยะเก็บต้องสัมพันธ์กับวัตถุประสงค์ หน้าที่ตามกฎหมายและสิทธิเรียกร้องที่เกี่ยวข้อง หากมีข้อพิพาทให้ประเมินการพักทำลายเฉพาะข้อมูลที่จำเป็น พร้อมกำหนดผู้ทบทวน ไม่เก็บทุกอย่างตลอดไป

นำไปใช้กับทีมงานอย่างไร

กำหนดขอบเขตการทดลอง

เริ่มทดสอบด้วยข้อมูลสมมติหรือข้อมูลที่ลดความเสี่ยงแล้ว ระบุงานที่ให้เครื่องมือช่วยและงานที่ยังไม่อนุญาต หากต้องใช้ข้อมูลจริงเพื่อทดสอบ ต้องผ่านการประเมินฐานกฎหมายและสิทธิผู้รับก่อน ไม่ถือว่าช่วงทดลองอยู่นอกกฎหมาย

เก็บข้อจำกัดไว้กับผลทดสอบ

ผู้ตัดสินใจควรรู้ว่าระบบทดสอบกับงานแบบใด ข้อมูลแบบใดทำให้ผิด และมีสถานการณ์ใดที่ยังไม่ประเมิน แยกผลที่ตรวจยืนยันได้ออกจากคำอธิบายของผู้ขาย เพื่อไม่ขยายการใช้งานเกินหลักฐานที่มี

การอนุมัติต้องตามการเปลี่ยนแปลง

เมื่อผู้ให้บริการเปลี่ยนเงื่อนไข โมเดลหรือสิทธิการใช้ข้อมูล ให้เจ้าของงานประเมินส่วนที่เปลี่ยนและแจ้งผู้เกี่ยวข้อง การอนุมัติชื่อเครื่องมือครั้งเดียวไม่ครอบคลุมทุกการเชื่อมต่อ ทุกบัญชี และทุกข้อมูลในอนาคต

แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน

ช่วงเวลาต่อไปนี้เป็นตัวอย่างแผนจัดงานภายใน ไม่ใช่กำหนดตามกฎหมาย และไม่เลื่อนหน้าที่เร่งด่วนที่ต้องทำก่อน

ช่วงงาน	งานที่มอบหมาย	สิ่งที่ใช้ตรวจรับ
วันนี้	ประกาศช่องทางแจ้งพลาดและรายการเครื่องมือที่ใช้งานได้ชั่วคราว	ขอบเขตงานและผู้รับผิดชอบ
ภายใน 7 วัน	ทดสอบกติกากับงานของแต่ละแผนกก่อนออกฉบับใช้จริง	ข้อค้นพบและรายการที่ต้องแก้
ภายใน 30 วัน	ตรวจข้อยกเว้นและปรับรายการเครื่องมือจากผลใช้งาน	ผลตรวจหรือทดสอบและงานที่ยังค้าง

ข้อผิดพลาดที่ควรหลีกเลี่ยง

การเขียนว่าพนักงานรับผิดทุกอย่างไม่ทำให้บริษัทพ้นหน้าที่ ต้องจัดระบบที่ช่วยให้พนักงานใช้เครื่องมือถูกต้อง และไม่อนุมัติข้อมูลอ่อนไหวผ่านแชตโดยไม่มีบันทึกเหตุผล

อ่านต่อและจัดระบบให้เหมาะกับองค์กร

ภาพรวมของเรื่องนี้อยู่ในคู่มือกำกับการใช้ AI กับข้อมูลส่วนบุคคล สำหรับผู้บริหารและ HR ใช้ตรวจว่าประเด็นเฉพาะเชื่อมกับหน้าที่ส่วนอื่นอย่างไร

สำหรับขั้นตอนที่เกี่ยวข้อง อ่านShadow AI เครื่องมือที่พนักงานใช้เอง บริษัทตรวจและควบคุมอย่างไร และพนักงานป้อนข้อมูลลูกค้าลง AI บริษัทเสี่ยงอะไรและควรทำอย่างไร

หากงานเชื่อมกับกระบวนการอื่น ให้อ่านPDPA กับข้อมูลพนักงาน คู่มือนายจ้างและ HR ตั้งแต่รับสมัครจนพ้นสภาพประกอบก่อนกำหนดผู้รับผิดชอบ

สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจข้อเท็จจริง เอกสารและพยานหลักฐานผ่านบริการกฎหมาย PDPA โดยประเด็นการจ้างงานสามารถประเมินร่วมกับทีมกฎหมายแรงงาน สามารถนัดหมายเพื่อนำเอกสารที่เกี่ยวข้องมาประเมินก่อนตัดสินใจ

ข้อกฎหมายที่เกี่ยวข้อง

มาตรา 21 และ 22 ผูกการใช้กับวัตถุประสงค์และความจำเป็น มาตรา 24 และ 26 ใช้เลือกฐานตามประเภทข้อมูล มาตรา 37 กำหนดหน้าที่ความปลอดภัย นโยบายเป็นมาตรการภายในเพื่อช่วยปฏิบัติหน้าที่ ไม่ใช่เอกสารที่แทนฐานกฎหมายหรือ DPA ได้

คำถามที่พบบ่อย

ควรห้าม AI ทั้งหมดไหม

ขึ้นกับความเสี่ยงและงาน ควรมีกติกาที่แยกข้อมูลและเครื่องมือ พร้อมทางเลือกที่ทำงานได้จริง

ให้พนักงานเซ็นรับผิดแทนบริษัทได้ไหม

การรับทราบนโยบายไม่โอนหน้าที่ตาม PDPA ของบริษัทออกไปทั้งหมด ความรับผิดแต่ละฝ่ายต้องดูข้อเท็จจริงและกฎหมาย

นโยบายควรทบทวนเมื่อใด

เมื่อเครื่องมือ เงื่อนไขบริการ ประเภทข้อมูลหรือการใช้งานเปลี่ยน และตามรอบตรวจที่เหมาะกับองค์กร

ผู้เขียน นายเอกราช ทิพย์แมม คดีครอบครัว มรดก และหนี้สิน

สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี

ดูประวัติทีมทนายความ →

บทความนี้เป็นความรู้กฎหมายทั่วไปเพื่อความเข้าใจเบื้องต้น ไม่ใช่คำปรึกษาทางกฎหมายเฉพาะคดี ผลทางกฎหมายขึ้นอยู่กับข้อเท็จจริง เอกสาร และพยานหลักฐานของแต่ละกรณี ควรปรึกษาทนายความเพื่อประเมินเรื่องของท่านโดยเฉพาะ