
สำหรับองค์กรที่ดำเนินธุรกิจในประเทศไทยและนำ AI มาใช้งาน การปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) ถือเป็นสิ่งที่หลีกเลี่ยงไม่ได้ การละเมิด PDPA อาจมีโทษปรับสูงสุดถึง 5 ล้านบาทและโทษจำคุก ในขณะที่การบังคับใช้กฎหมายโดยหน่วยงานกำกับดูแลก็มีแนวโน้มเข้มงวดมากขึ้นเรื่อย ๆ บทความนี้จัดทำ checklist สำหรับการสร้างสมดุลระหว่างการใช้งาน AI และการปฏิบัติตามกฎหมายในแต่ละขั้นตอน ได้แก่ การเก็บรวบรวม การประมวลผล และการจัดเก็บข้อมูล โดยมุ่งหวังให้เจ้าหน้าที่ระบบสารสนเทศ ฝ่ายกฎหมาย และผู้บริหารระดับสูงสามารถนำไปใช้เป็นแนวทางปฏิบัติในการตรวจสอบนโยบาย AI ขององค์กรตนเองได้อย่างมีประสิทธิภาพ
ข้อจำกัดความรับผิดชอบ: บทความนี้จัดทำขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลเท่านั้น และไม่ถือเป็นคำปรึกษาทางกฎหมาย สำหรับการดำเนินการที่เกี่ยวข้องกับกรณีเฉพาะ กรุณาปรึกษาทนายความหรือสำนักงานกฎหมายที่มีความเชี่ยวชาญด้านกฎหมายไทย
กฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทย (PDPA: Personal Data Protection Act B.E. 2562) คือกฎหมายที่กำหนดกฎเกณฑ์ครอบคลุมเกี่ยวกับการเก็บรวบรวม การใช้ และการเปิดเผยข้อมูลส่วนบุคคลในประเทศไทย เนื่องจากระบบ AI ประมวลผลข้อมูลส่วนบุคคลจำนวนมาก จึงมีความเกี่ยวข้องโดยตรงกับบทบัญญัติของ PDPA ในหลายสถานการณ์ ในส่วนนี้จะอธิบายขอบเขตการบังคับใช้และหน้าที่ที่ควรให้ความสำคัญเป็นพิเศษในการดำเนินงาน AI
PDPA ใช้บังคับกับทุกองค์กรที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลภายในประเทศไทย แม้แต่ผู้ประกอบการที่อยู่นอกประเทศไทยก็อยู่ในขอบเขตการบังคับใช้ หากมีการให้บริการหรือจำหน่ายสินค้าแก่เจ้าของข้อมูลในประเทศไทย หรือมีการติดตามพฤติกรรมของบุคคลภายในประเทศไทย
เช็กลิสต์สำหรับพิจารณาขอบเขตการบังคับใช้:
หากเข้าข่ายข้อใดข้อหนึ่งข้างต้น มีความเป็นไปได้สูงที่จะอยู่ภายใต้การบังคับใช้ของ PDPA
สรุปบทลงโทษ:
| ประเภท | วงเงินสูงสุด |
|---|---|
| โทษปรับทางปกครอง | สูงสุด 5 ล้านบาท |
| โทษปรับทางอาญา | สูงสุด 5 ล้านบาท |
| โทษจำคุก | สูงสุด 1 ปี |
| ค่าเสียหายทางแพ่ง | สูงสุด 2 เท่าของความเสียหายที่เกิดขึ้นจริง |
PDPC (คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล) มีแนวโน้มเข้มงวดในการบังคับใช้กฎหมายมากขึ้น โดยสาเหตุหลักของการถูกดำเนินคดี ได้แก่ การขาดมาตรการรักษาความปลอดภัยที่เพียงพอ การไม่แต่งตั้ง DPO (เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล) ความบกพร่องในสัญญากับผู้รับจ้างช่วง และความล่าช้าในการรายงานเหตุการณ์ข้อมูลรั่วไหล ความคิดที่ว่า "คงยังไม่ถูกตรวจพบหรอก" นั้น ไม่อาจใช้ได้อีกต่อไปในสถานการณ์ปัจจุบัน
พันธกรณีภายใต้ PDPA ที่ต้องให้ความสำคัญเป็นพิเศษในการดำเนินงานระบบ AI มีทั้งหมด 6 ประการ ดังนี้
1. การกำหนดฐานทางกฎหมายในการเก็บรวบรวมข้อมูล
การเก็บรวบรวมข้อมูลส่วนบุคคลจำเป็นต้องได้รับความยินยอม หรืออาศัยข้อยกเว้นตามที่กฎหมายกำหนด (เช่น การปฏิบัติตามสัญญา ประโยชน์อันชอบธรรม ภาระผูกพันทางกฎหมาย เป็นต้น) แม้ในกรณีที่นำข้อมูลไปใช้เป็นข้อมูลฝึกสอน AI ก็ยังต้องตรวจสอบว่าสอดคล้องกับวัตถุประสงค์ที่ระบุไว้ในขณะเก็บรวบรวมหรือไม่
2. การระบุวัตถุประสงค์และการจำกัดการใช้งาน
ข้อมูลส่วนบุคคลที่เก็บรวบรวมมาสามารถนำไปใช้ได้เฉพาะภายในขอบเขตวัตถุประสงค์ที่ได้แจ้งไว้ล่วงหน้าเท่านั้น หาก "การฝึกสอน AI Model" ไม่ได้รวมอยู่ในวัตถุประสงค์การเก็บรวบรวมข้อมูลเดิม จะต้องขอความยินยอมเพิ่มเติม
3. หน้าที่แจ้งให้เจ้าของข้อมูลทราบ
ผู้ควบคุมข้อมูลมีหน้าที่แจ้งให้เจ้าของข้อมูลทราบล่วงหน้าถึงวัตถุประสงค์ในการเก็บรวบรวม ระยะเวลาในการจัดเก็บ และสิทธิของเจ้าของข้อมูล หากมีการประมวลผลโดย AI ควรระบุข้อความดังกล่าวไว้ในนโยบายความเป็นส่วนตัวอย่างชัดเจน
4. การจัดการข้อมูลอ่อนไหวอย่างเข้มงวด
ข้อมูลอ่อนไหว เช่น เชื้อชาติ ชาติพันธุ์ ความคิดเห็นทางการเมือง ศาสนา ข้อมูลไบโอเมตริกซ์ และข้อมูลสุขภาพ ไม่สามารถเก็บรวบรวมได้หากไม่ได้รับความยินยอมโดยชัดแจ้ง การใช้ AI สำหรับการจดจำใบหน้าหรือการรู้จำเสียงอาจขัดต่อบทบัญญัตินี้โดยตรง
5. หน้าที่ทำสัญญากับผู้ประมวลผลข้อมูล (มาตรา 40)
ในกรณีที่มอบหมายการประมวลผลข้อมูลให้แก่ผู้ให้บริการ AI ภายนอก จำเป็นต้องจัดทำสัญญาเป็นลายลักษณ์อักษรที่ครอบคลุมข้อกำหนดของ PDPA โดยต้องกำหนดขอบเขตการประมวลผล มาตรการรักษาความปลอดภัย และหน้าที่รายงานเมื่อเกิดการรั่วไหลของข้อมูลให้ชัดเจน
6. การดำเนินมาตรการรักษาความปลอดภัย
มีข้อบังคับให้ดำเนินมาตรการทางเทคนิคและองค์กรเพื่อป้องกันการรั่วไหล การสูญหาย และการเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต หาก AI Model จัดเก็บข้อมูลส่วนบุคคลจำนวนมาก การเข้ารหัสและการควบคุมการเข้าถึงถือเป็นสิ่งที่ขาดไม่ได้

จุดเริ่มต้นของโปรเจกต์ AI คือการเก็บรวบรวมข้อมูล ใน PDPA นั้น "ความชอบด้วยกฎหมายในขณะเก็บรวบรวม" ถือเป็นรากฐานของการประมวลผลทั้งหมดในขั้นตอนถัดไป ดังนั้นหากมีข้อบกพร่องในจุดนี้ ความเสี่ยงทางกฎหมายก็จะยังคงอยู่ ไม่ว่าจะดำเนินมาตรการรับมือมากเพียงใดในขั้นตอนต่อมา
รายการตรวจสอบ (Checklist):
ตัวอย่างที่ไม่ควรทำ (NG 例): การฝังช่องทำเครื่องหมาย "ยินยอมให้วิเคราะห์ข้อมูลรวมถึงการประมวลผลด้วย AI" ไว้ที่ท้ายข้อกำหนดการใช้งาน ภายใต้ PDPA ความยินยอมจะต้องได้รับในรูปแบบที่ "แยกออกจากกันอย่างชัดเจน" การผสมรวมข้อความความยินยอมเข้ากับข้อความอื่น ๆ มีความเสี่ยงที่จะทำให้ความยินยอมนั้นไม่มีผลบังคับใช้
รายการที่ต้องระบุในนโยบายความเป็นส่วนตัว (Privacy Policy):
นโยบายความเป็นส่วนตัวต้องมีรายการต่อไปนี้เป็นอย่างน้อย
การใช้ข้อมูลส่วนบุคคลในการฝึกฝน AI Model นั้น ประเด็นสำคัญที่สุดคือการพิจารณาว่าอยู่ในขอบเขตวัตถุประสงค์ที่แจ้งไว้ตอนเก็บรวบรวมข้อมูลหรือไม่
Checklist:
ความแตกต่างระหว่าง Anonymization และ Pseudonymization:
ในบริบทของ PDPA จำเป็นต้องแยกแยะความแตกต่างระหว่าง "Anonymization" และ "Pseudonymization" ให้ชัดเจน
หากใช้ข้อมูลที่ผ่านการทำ Pseudonymization ในการฝึกฝน AI จะต้องปฏิบัติตามบทบัญญัติของ PDPA ต่อไป การตัดสินใจว่า "ทำ Hashing แล้วไม่มีปัญหา" นั้นเป็นเรื่องอันตราย แม้จะไม่สามารถกู้คืนข้อมูลเดิมจาก Hash Value ได้ แต่ก็มีกรณีที่ไม่น้อยที่สามารถระบุตัวตนซ้ำได้ (Re-identification) เมื่อนำไปเปรียบเทียบกับข้อมูลอื่น ความเพียงพอของ Anonymization ควรได้รับการประเมินอย่างรอบคอบโดยคำนึงถึงเทคโนโลยีที่มีอยู่และความสามารถในการเข้าถึงข้อมูลเพิ่มเติม

หลังจากรวบรวมข้อมูลแล้ว จะเข้าสู่ขั้นตอนการประมวลผลและวิเคราะห์ด้วย AI ในขั้นตอนนี้ ประเด็นสำคัญที่ต้องพิจารณาคือ ขอบเขตของการประมวลผลไม่เบี่ยงเบนออกไปจากวัตถุประสงค์ที่กำหนดไว้ในช่วงการรวบรวมข้อมูล และไม่ละเมิดสิทธิของเจ้าของข้อมูล (data subject)
PDPA ไม่มีบทบัญญัติที่ชัดเจนเทียบเท่ากับมาตรา 22 ของ GDPR ของสหภาพยุโรป ซึ่งว่าด้วย "สิทธิในการปฏิเสธการตัดสินใจที่อาศัยการประมวลผลอัตโนมัติแต่เพียงอย่างเดียว" อย่างไรก็ตาม การทำ Profiling ก็ไม่ได้อยู่นอกเหนือการกำกับดูแลโดยสิ้นเชิง
Checklist:
แม้จะไม่ใช่ข้อผูกพันที่ระบุไว้อย่างชัดแจ้งภายใต้ PDPA แต่กลไกการตัดสินใจขั้นสุดท้ายโดยมนุษย์นั้นได้รับการแนะนำอย่างยิ่งในฐานะมาตรการลดความเสี่ยงในทางปฏิบัติ ทั้งในแง่ของ Accountability ด้วย เนื่องจาก GDPR บัญญัติสิทธิในการปฏิเสธการตัดสินใจอัตโนมัติไว้อย่างชัดเจน จึงไม่อาจตัดความเป็นไปได้ที่ไทยจะนำบทบัญญัติในลักษณะเดียวกันมาใช้ในอนาคต การออกแบบกลไกการกำกับดูแลโดยมนุษย์ไว้ล่วงหน้าจึงเป็นการเตรียมพร้อมรับมือกับความเสี่ยงจากการเปลี่ยนแปลงด้านกฎระเบียบด้วยเช่นกัน
นอกจากนี้ PDPC ได้เผยแพร่แนวปฏิบัติที่กำหนดให้ผู้ประกอบการที่ดำเนินการประมวลผลข้อมูลซึ่งเกี่ยวข้องกับ Profiling ต้องแต่งตั้ง DPO หากมีการทำ Profiling ด้วย AI ควรพิจารณาการแต่งตั้ง DPO อย่างจริงจัง
PDPA กำหนดให้การเก็บรวบรวมข้อมูลส่วนบุคคลต้อง "จำกัดเฉพาะเท่าที่จำเป็น" เนื่องจาก AI มีแนวโน้มที่จะมีความแม่นยำสูงขึ้นเมื่อได้รับข้อมูลจำนวนมาก หลักการนี้จึงอาจขัดแย้งกันได้ง่าย
Checklist:
แนวทางในการสร้างสมดุลระหว่าง Data Minimization และความแม่นยำของ AI:
แนวคิดที่ว่า "ข้อมูลยิ่งมากยิ่งดี" ยังคงฝังรากลึกในการพัฒนา AI อย่างไรก็ตาม ข้อมูลแต่ละรายการไม่ได้มีส่วนช่วยเพิ่มความแม่นยำในการทำนายอย่างเท่าเทียมกัน การผสมผสานเทคนิคทางเทคนิคต่อไปนี้ช่วยให้สามารถรักษาประโยชน์ใช้สอยของ model ไว้ได้ในขณะที่ลดการใช้ข้อมูลส่วนบุคคล
เทคนิคเหล่านี้ล้วนมี technical tradeoff ที่ต้องพิจารณา ความสมดุลระหว่างข้อกำหนดด้านความแม่นยำและข้อกำหนดด้าน compliance จำเป็นต้องได้รับการพิจารณาเป็นรายกรณีตาม use case แต่ละประเภท

หลังจากที่โมเดล AI เริ่มดำเนินการแล้ว ยังคงต้องมีการจัดการระยะเวลาการจัดเก็บข้อมูลและการรองรับการใช้สิทธิ์ของเจ้าของข้อมูล (data subject) อย่างต่อเนื่อง โดยเฉพาะอย่างยิ่ง การถ่ายโอนข้อมูลข้ามพรมแดน (cross-border data transfer) นั้น มีกฎระเบียบที่ยังคงเปลี่ยนแปลงอยู่ตลอดเวลา จึงจำเป็นต้องติดตามความเคลื่อนไหวล่าสุดอย่างใกล้ชิด
รายการตรวจสอบระยะเวลาการเก็บรักษาข้อมูล:
รายการตรวจสอบการโอนข้อมูลข้ามพรมแดน:
เมื่อใช้บริการ AI จากต่างประเทศ (Cloud API, SaaS AI Tools ฯลฯ) ข้อมูลส่วนบุคคลจะถูกโอนออกนอกประเทศ จึงจำเป็นต้องดำเนินการให้สอดคล้องกับมาตรา 28 และมาตรา 29 แห่ง PDPA
ณ ขณะที่เขียนบทความนี้ PDPC ยังไม่ได้เผยแพร่รายการรับรองความเพียงพอ ดังนั้น ในทางปฏิบัติ การจัดทำ SCC หรือ BCR จึงเป็นแนวทางมาตรฐานในขณะนี้ สำหรับ SCC นั้น รูปแบบที่นิยมใช้คือการนำ ASEAN Model Contractual Clauses หรือ Standard Contractual Clauses ของ EU มาเป็นฐาน แล้วเพิ่มเติมข้อกำหนดเฉพาะของประเทศไทย (เช่น การรายงานการรั่วไหลของข้อมูลภายใน 72 ชั่วโมง) เข้าไป
PDPA รับรองสิทธิหลายประการแก่เจ้าของข้อมูล ในกรณีที่มีการดำเนินงานระบบ AI จำเป็นต้องออกแบบแนวทางรับมือกับการใช้สิทธิเหล่านี้ไว้ล่วงหน้า
Checklist:
ความท้าทายเฉพาะของ AI — สิทธิในการลบข้อมูลและโมเดลที่ฝึกสอนแล้ว:
"Machine Unlearning" หรือการลบข้อมูลของบุคคลใดบุคคลหนึ่งออกจาก AI Model ที่ฝึกสอนแล้วอย่างสมบูรณ์ เป็นสาขาที่ยังอยู่ในระหว่างการพัฒนาทางเทคนิค แนวทางปฏิบัติที่เป็นไปได้ในเชิงความเป็นจริง ได้แก่
ในทุกกรณี สิ่งสำคัญคือต้องอธิบายแนวทางการดำเนินการและข้อจำกัดทางเทคนิคแก่เจ้าของข้อมูลอย่างตรงไปตรงมา ไม่ควรปิดการสนทนาด้วยคำว่า "ทำไม่ได้" เพียงอย่างเดียว แต่ควรเสนอมาตรการทดแทน และดำเนินการในรูปแบบที่เจ้าของข้อมูลสามารถยอมรับได้

นอกเหนือจากรายการหลักในเช็คลิสต์แล้ว ยังมีประเด็นที่มักถูกมองข้ามในการปฏิบัติงานจริง โดยเฉพาะอย่างยิ่ง การใช้บริการ AI ภายนอก และการตรวจสอบ AI tools ภายในองค์กร มักกลายเป็นจุดอับที่ไม่ได้รับความสนใจเท่าที่ควร
เมื่อนำบริการ Generative AI หรือ API สำหรับการรู้จำภาพและเสียงมาใช้ในองค์กร โดยทั่วไปองค์กรของคุณจะมีบทบาทเป็น "Data Controller" ในขณะที่ผู้ให้บริการจะมีบทบาทเป็น "Data Processor"
Checklist:
สิ่งที่มักถูกมองข้ามคือการใช้งาน Generative AI ในชีวิตประจำวันของพนักงาน ในความเป็นจริง มีกรณีที่พนักงานป้อนข้อมูลส่วนบุคคลของลูกค้าลงใน Prompt มากกว่าที่คิด การจัดทำแนวทางการใช้งานภายในองค์กรและกำหนดกฎเกณฑ์การป้อนข้อมูลส่วนบุคคลอย่างชัดเจนเป็นลายลักษณ์อักษร (เช่น ห้ามป้อน หรือต้องทำการ Anonymize ก่อน) ถือเป็นสิ่งที่ขาดไม่ได้ หากปล่อยให้ใช้งานต่อไปโดยไม่รู้ตัวเพราะ "สะดวกดี" แล้วถูกตรวจพบในภายหลังจากการสอบสวนของ PDPC — เมื่อถึงตอนนั้นก็สายเกินไปแล้ว
PDPA กำหนดให้ผู้ควบคุมข้อมูลต้องบันทึกกิจกรรมการประมวลผลข้อมูล เมื่อนำ AI tools มาใช้งานภายในองค์กร การปฏิบัติตามหน้าที่บันทึกนี้จึงกลายเป็นความท้าทายในเชิงปฏิบัติ
Checklist:
Audit log ยังทำหน้าที่เป็นหลักฐานในการตอบสนองต่อคำร้องขอตรวจสอบจาก PDPC หรือการใช้สิทธิ์ของเจ้าของข้อมูลอีกด้วย ระยะเวลาการเก็บรักษา log ควรกำหนดให้เท่ากับระยะเวลาการเก็บรักษาข้อมูลเป็นอย่างน้อย จึงจะถือว่าปลอดภัย
ในทางปฏิบัติ การจัดการ log การใช้งาน AI tools ทั้งหมดด้วยตนเองนั้นไม่มีความเป็นไปได้จริง จึงแนะนำให้ฝังกลไกบันทึก metadata ของ request/response (timestamp, user ID, วัตถุประสงค์การประมวลผล) โดยอัตโนมัติไว้ที่ชั้น API gateway หรือ proxy

Q1: ความแตกต่างระหว่าง PDPA และ GDPR คืออะไร? มีประเด็นใดที่ต้องระวังในมุมมองของการใช้ AI?
PDPA ได้รับการร่างขึ้นโดยอ้างอิง GDPR แต่มีความแตกต่างที่สำคัญหลายประการ ความแตกต่างที่ใหญ่ที่สุดคือ PDPA ไม่มีบทบัญญัติที่ระบุไว้อย่างชัดเจนซึ่งเทียบเท่ากับมาตรา 22 ของ GDPR ที่กำหนด "สิทธิในการปฏิเสธการตัดสินใจที่อาศัยการประมวลผลอัตโนมัติเพียงอย่างเดียว" อย่างไรก็ตาม นี่ไม่ได้หมายความว่าการประมวลผลอัตโนมัติโดย AI จะได้รับอนุญาตอย่างไม่มีขีดจำกัด เนื่องจาก PDPA ยังคงมีสิทธิคัดค้านของเจ้าของข้อมูลและสิทธิในการคัดค้านการประมวลผลที่อาศัยประโยชน์อันชอบธรรม ดังนั้นการออกแบบการดำเนินงาน AI จึงยังคงต้องใช้ความระมัดระวังอย่างรอบคอบ
Q2: หากพนักงานป้อนข้อมูลส่วนบุคคลลงใน Generative AI ในระหว่างการทำงาน จะถือว่าละเมิด PDPA หรือไม่?
ขึ้นอยู่กับสถานการณ์ หากข้อมูลส่วนบุคคลที่ป้อนในพรอมต์ถูกส่งไปยังเซิร์ฟเวอร์ของผู้ให้บริการ อาจถือได้ว่าเป็นการ "เปิดเผย" ข้อมูลส่วนบุคคล หากวัตถุประสงค์ในการเก็บรวบรวมข้อมูลไม่ได้ครอบคลุมถึง "การประมวลผลโดยบริการ AI ภายนอก" ก็มีความเสี่ยงที่จะละเมิด PDPA ในฐานะการใช้ข้อมูลนอกเหนือวัตถุประสงค์ มาตรการที่แนะนำ ได้แก่ การกำหนดนโยบายภายในองค์กรที่ห้ามป้อนข้อมูลส่วนบุคคล การทำให้ข้อมูลไม่ระบุตัวตนเมื่อใช้งาน API และการเปิดใช้งานการตั้งค่าไม่นำข้อมูลไปใช้ในแผนสำหรับองค์กร
Q3: หากทำการ Anonymization แล้ว จะพ้นจากการบังคับใช้ PDPA หรือไม่?
หากบรรลุ "การทำให้ไม่ระบุตัวตน (Anonymization)" ในสถานะที่ไม่สามารถระบุตัวบุคคลได้อย่างสมบูรณ์ ก็จะพ้นจากการบังคับใช้ PDPA อย่างไรก็ตาม "การทำให้เป็นนามแฝง (Pseudonymization)" ซึ่งยังสามารถระบุตัวตนได้เมื่อนำไปรวมกับข้อมูลเพิ่มเติม ยังคงอยู่ภายใต้การบังคับใช้ PDPA การแฮชข้อมูลแบบง่ายเพียงอย่างเดียวอาจไม่เพียงพอที่จะถือว่าเป็น Anonymization ความเพียงพอของการทำ Anonymization จำเป็นต้องพิจารณาเป็นรายกรณีโดยคำนึงถึงเทคโนโลยีที่มีอยู่และความสามารถในการเข้าถึงข้อมูลเพิ่มเติม
Q4: หากใช้บริการ Cloud AI จากต่างประเทศ จำเป็นต้องดำเนินการอย่างไร?
จำเป็นต้องดำเนินการตามมาตรา 28 ของ PDPA (การรับรองความเพียงพอ) หรือมาตรา 29 (มาตรการคุ้มครองที่เหมาะสม) ในขณะนี้ PDPC ยังไม่ได้เผยแพร่รายการการรับรองความเพียงพอ ดังนั้นในทางปฏิบัติจึงแนะนำให้จัดเตรียม Standard Contractual Clauses (SCC) หรือ Binding Corporate Rules (BCR) สิ่งสำคัญคือการบรรจุข้อกำหนดการคุ้มครองข้อมูลไว้ในสัญญากับผู้ให้บริการ AI และกำหนดให้ชัดเจนถึงสถานที่ประมวลผลข้อมูล มาตรการรักษาความปลอดภัย และขั้นตอนการรายงานการรั่วไหลของข้อมูล

PDPA ของไทยไม่ได้ห้ามการนำ AI มาใช้งาน การดำเนินการให้ถูกต้องตามกฎหมายและการใช้ประโยชน์จาก AI สามารถอยู่ร่วมกันได้อย่างสมบูรณ์ ด้วยการกำหนดฐานทางกฎหมายที่เหมาะสม การระบุวัตถุประสงค์ให้ชัดเจน การคุ้มครองสิทธิของเจ้าของข้อมูล และการดำเนินมาตรการด้านความปลอดภัย
ขอสรุปประเด็นสำคัญของ checklist ที่นำเสนอในบทความนี้อีกครั้ง
การบังคับใช้กฎหมายของ PDPC มีความเข้มงวดมากขึ้นทุกปี จึงขอแนะนำให้ใช้ checklist นี้ตรวจสอบสถานะการดำเนินการของบริษัทอย่างสม่ำเสมอ และสร้างระบบที่สามารถปรับตัวได้อย่างรวดเร็วต่อการแก้ไขกฎหมายและแนวปฏิบัติใหม่ๆ สำหรับการดำเนินการในเชิงปฏิบัติ ขอแนะนำอย่างยิ่งให้ปรึกษาสำนักงานกฎหมายที่มีความเชี่ยวชาญด้านกฎหมายไทย เพื่อรับคำแนะนำที่สอดคล้องกับสถานการณ์เฉพาะของบริษัทคุณ
Yusuke Ishihara
เริ่มเขียนโปรแกรมตั้งแต่อายุ 13 ปี ด้วย MSX หลังจบการศึกษาจากมหาวิทยาลัย Musashi ได้ทำงานพัฒนาระบบขนาดใหญ่ รวมถึงระบบหลักของสายการบิน และโครงสร้าง Windows Server Hosting/VPS แห่งแรกของญี่ปุ่น ร่วมก่อตั้ง Site Engine Inc. ในปี 2008 ก่อตั้ง Unimon Inc. ในปี 2010 และ Enison Inc. ในปี 2025 นำทีมพัฒนาระบบธุรกิจ การประมวลผลภาษาธรรมชาติ และแพลตฟอร์ม ปัจจุบันมุ่งเน้นการพัฒนาผลิตภัณฑ์และการส่งเสริม AI/DX โดยใช้ generative AI และ Large Language Models (LLM)