PDPA กับ AI – สิ่งที่ธุรกิจไทยต้องรู้ก่อนนำข้อมูลลูกค้าไปใช้กับระบบ AI

สรุปสั้น

• พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลบังคับใช้เต็มรูปแบบตั้งแต่ 1 มิถุนายน 2022 (สคส.) และไม่มีบทเฉพาะสำหรับ AI แต่หลักทั่วไปใช้กับระบบ AI โดยตรง (ข้อมูล ณ ตุลาคม 2026)
• ข้อมูลศาสนา สุขภาพ ประวัติอาชญากรรม และข้อมูลชีวภาพที่ใช้ยืนยันตัวบุคคล เช่น ข้อมูลจำลองใบหน้าหรือลายนิ้วมือ เป็นข้อมูลตามมาตรา 26 ซึ่งโดยหลักต้องได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้น
• มาตรา 37(4) กำหนดให้ผู้ควบคุมข้อมูลแจ้งเหตุละเมิดต่อ สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่เหตุนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล
• เมื่อผู้ให้บริการ AI หรือทีมพัฒนาเป็นผู้ประมวลผลข้อมูลแทนคุณ มาตรา 40 กำหนดให้ผู้ควบคุมข้อมูลต้องจัดให้มีข้อตกลงระหว่างกัน
• นอกจากความรับผิดทางแพ่งและโทษทางอาญา มาตรา 84 กำหนดโทษปรับทางปกครองไม่เกิน 5 ล้านบาท สำหรับผู้ควบคุมข้อมูลที่ฝ่าฝืนเรื่องข้อมูลอ่อนไหว

PDPA กับ AI – หลักที่ใช้กับทุกระบบ

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีผลบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 มิถุนายน 2022 ตามประวัติความเป็นมาของ สคส. โดยมีสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เป็นหน่วยงานกำกับดูแล คำศัพท์สองคำที่ต้องเข้าใจก่อนคือ ผู้ควบคุมข้อมูล หมายถึงผู้ที่ตัดสินใจว่าจะใช้ข้อมูลเพื่ออะไร ซึ่งมักเป็นบริษัทของคุณ และ ผู้ประมวลผลข้อมูล หมายถึงผู้ที่ประมวลผลตามคำสั่งของผู้ควบคุม เช่น ผู้ให้บริการคลาวด์หรือทีมพัฒนา

สถานการณ์เสี่ยงที่เกิดขึ้นจริงเมื่อนำ AI มาใช้

แชทบอทที่เก็บข้อมูลลูกค้า บอทบน LINE OA หรือเว็บไซต์มักได้รับชื่อ เบอร์โทร และบางครั้งข้อมูลที่ลูกค้าพิมพ์เกินความจำเป็น ควรแสดงประกาศความเป็นส่วนตัวในจุดที่ลูกค้าเห็น และกำหนดระยะเวลาเก็บบันทึกบทสนทนา

การส่งข้อความเข้าโมเดลภาษา เมื่อระบบส่งข้อความลูกค้าไปยัง API (ช่องทางเรียกใช้บริการภายนอก) ของผู้ให้บริการโมเดล ข้อมูลนั้นถูกประมวลผลโดยบุคคลภายนอก ควรตรวจว่าผู้ให้บริการนำข้อมูลไปฝึกโมเดลหรือไม่ เก็บไว้นานเท่าไร และประมวลผลที่ใด

การนำข้อมูลเดิมไปฝึกโมเดล ข้อมูลที่เก็บมาเพื่อให้บริการ ไม่ได้แปลว่านำไปฝึก AI ได้ทันที ต้องดูว่าวัตถุประสงค์ใหม่สอดคล้องกับที่แจ้งไว้หรือไม่

กล้องและการจดจำใบหน้า มาตรา 26 นิยามข้อมูลชีวภาพว่าเป็นข้อมูลจากเทคโนโลยีที่ใช้ลักษณะทางกายภาพหรือพฤติกรรมเพื่อยืนยันตัวบุคคล เช่น ข้อมูลภาพจำลองใบหน้า ภาพถ่ายทั่วไปจึงไม่ได้เป็นข้อมูลชีวภาพโดยอัตโนมัติ แต่ระบบที่แปลงภาพใบหน้าเป็นข้อมูลเพื่อระบุว่าเป็นใคร เข้าข่ายนี้ ระบบจดจำใบหน้าในร้านค้าหรือโรงงานจึงต้องประเมินฐานทางกฎหมายอย่างรอบคอบก่อนติดตั้ง

ธุรกิจการเงิน ธนาคารแห่งประเทศไทยเผยแพร่แนวนโยบายเรื่องการบริหารจัดการความเสี่ยงของการใช้งานระบบ AI ฉบับวันที่ 12 กันยายน 2025แล้ว ใช้กับสถาบันการเงินและผู้ประกอบธุรกิจระบบและบริการการชำระเงินภายใต้การกำกับ องค์กรกลุ่มนี้จึงต้องดูข้อกำหนดของ ธปท. ควบคู่กับ PDPA

ใช้บริการ AI และทีมพัฒนาในต่างประเทศอย่างไรให้รอบคอบ

มาตรา 28 กำหนดให้ประเทศปลายทางต้องมีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอ เว้นแต่เข้าข้อยกเว้น เช่น ได้รับความยินยอมหลังแจ้งให้ทราบถึงมาตรฐานที่ไม่เพียงพอ หรือจำเป็นเพื่อปฏิบัติตามสัญญากับเจ้าของข้อมูล นอกจากนี้ สคส. ได้ออกประกาศหลักเกณฑ์ตามมาตรา 29 และเผยแพร่เอกสารสัญญาต้นแบบสำหรับการส่งข้อมูลไปต่างประเทศ

แนวทางที่ลดความเสี่ยงได้มากในงานพัฒนาจริง:

• ตัดข้อมูลระบุตัวตนก่อนส่งเข้าโมเดล เช่น แทนชื่อและเบอร์โทรด้วยรหัสชั่วคราว แล้วแทนค่ากลับหลังได้คำตอบ ในหลายงานโมเดลไม่จำเป็นต้องรู้ว่าลูกค้าเป็นใคร
• ใช้ข้อมูลทดสอบหรือข้อมูลที่ปิดบังตัวตนในช่วงพัฒนา
• เลือกการตั้งค่าบริการ AI สำหรับองค์กร ที่ระบุว่าไม่นำข้อมูลไปฝึกโมเดล และกำหนดระยะเวลาเก็บได้
• ทำข้อตกลงการประมวลผลข้อมูล กับทุกฝ่ายที่เข้าถึงข้อมูล ระบุวัตถุประสงค์ มาตรการความปลอดภัย และการลบเมื่อจบงาน
• บันทึกการไหลของข้อมูล ว่าข้อมูลใดไปที่ไหน ใช้เพื่ออะไร

ตัวอย่างจากกรณีศึกษาที่เผยแพร่แล้วของ NKKTech Global บริษัทวิศวกรรม AI ในฮานอย ประเทศเวียดนาม ซึ่งเกี่ยวกับเอกสารด้านการปฏิบัติตามกฎเกณฑ์ คือระบบอัตโนมัติสำหรับสตาร์ทอัพด้านสุขภาพในสหรัฐฯ ใช้เวลา 12 สัปดาห์ ลูกค้ารายงานว่าเวลาตรวจเอกสารด้วยมือลดลง 90% งานค้าง 3 สัปดาห์เคลียร์ได้ใน 2 สัปดาห์ และประหยัดเวลาได้มากกว่า 600 ชั่วโมงต่อเดือน งานนี้อยู่ภายใต้กฎหมายสหรัฐฯ ไม่ใช่ PDPA และข้อมูลที่เผยแพร่ไม่ได้ระบุรายละเอียดการออกแบบด้านข้อมูลส่วนบุคคล จึงยกมาเพื่อแสดงประเภทงานเอกสารด้านกฎเกณฑ์เท่านั้น

เช็กลิสต์ 10 ข้อก่อนเปิดใช้ระบบ AI

1. ระบุว่าระบบใช้ข้อมูลส่วนบุคคลประเภทใด และมีข้อมูลอ่อนไหวหรือไม่
2. กำหนดฐานทางกฎหมายสำหรับแต่ละวัตถุประสงค์
3. ปรับประกาศความเป็นส่วนตัว และแสดงก่อนผู้ใช้เริ่มใช้งาน
4. ตรวจเงื่อนไขของผู้ให้บริการโมเดลและคลาวด์ เรื่องการเก็บและนำข้อมูลไปใช้
5. ตรวจว่าการส่งข้อมูลไปต่างประเทศเข้าหลักเกณฑ์ใด และทำเอกสารรองรับ
6. ทำข้อตกลงกับผู้ประมวลผลข้อมูลทุกราย
7. กำหนดสิทธิ์เข้าถึง การเข้ารหัส และระยะเวลาเก็บบันทึก
8. เตรียมขั้นตอนตอบสนองเหตุละเมิด ให้แจ้ง สคส. ได้ภายใน 72 ชั่วโมงเมื่อจำเป็น
9. เตรียมวิธีรองรับคำขอใช้สิทธิ เช่น ขอเข้าถึง ขอลบ หรือคัดค้าน
10. กำหนดจุดที่คนต้องตรวจผลลัพธ์ของ AI ก่อนใช้ตัดสินใจที่กระทบบุคคล

อ่านต่อตามประเภทระบบ: ค้นเอกสารภายใน ดูบริการพัฒนาระบบ RAG แชทบอทลูกค้า ดูหน้าพัฒนาแชทบอท AI คัดกรองผู้สมัคร ดูบทความ AI คัดกรองผู้สมัคร

คำถามที่พบบ่อย

ใช้ ChatGPT กับข้อมูลลูกค้าผิด PDPA ไหม? ไม่ได้ผิดโดยอัตโนมัติ แต่ต้องมีฐานทางกฎหมาย แจ้งวัตถุประสงค์ให้ลูกค้าทราบ และพิจารณาเงื่อนไขการส่งข้อมูลไปประมวลผลต่างประเทศตามมาตรา 28–29 การวางข้อมูลลูกค้าลงในบัญชีส่วนตัวของพนักงานมีความเสี่ยงสูง ควรใช้บริการแบบองค์กรที่มีเงื่อนไขด้านข้อมูลชัดเจน นี่เป็นข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย

ต้องขอความยินยอมทุกครั้งที่ใช้ AI กับข้อมูลส่วนบุคคลหรือไม่? ไม่จำเป็นทุกกรณี มาตรา 24 ของ PDPA มีฐานอื่นที่ไม่ต้องขอความยินยอม เช่น การปฏิบัติตามสัญญาหรือประโยชน์โดยชอบด้วยกฎหมาย แต่ข้อมูลอ่อนไหวตามมาตรา 26 โดยหลักต้องได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้น ควรให้ DPO หรือที่ปรึกษากฎหมายประเมินเป็นรายกรณี

ถ้าระบบ AI ทำข้อมูลรั่วต้องทำอย่างไร? ประเมินความเสี่ยงทันที และแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุตามมาตรา 37(4) เว้นแต่เหตุนั้นไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล ถ้ามีความเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาด้วย ควรเตรียมขั้นตอนนี้ไว้ก่อนเปิดใช้ระบบ