บทความนี้เป็นข้อมูลทั่วไปสำหรับผู้วางแผนระบบ ไม่ใช่คำแนะนำทางกฎหมาย การตัดสินใจเรื่องการประมวลผลข้อมูลส่วนบุคคลขององค์กร ควรปรึกษาที่ปรึกษากฎหมายหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ขององค์กร
AI ที่มีประโยชน์ในองค์กรมักต้องอ่านข้อมูลจริง — ประวัติลูกค้า ข้อมูลพนักงาน เอกสารสัญญา เมื่อข้อมูลเหล่านี้มีข้อมูลส่วนบุคคลปนอยู่ การใช้ AI จึงเกี่ยวกับ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ทันที
ไม่มีระบบใดทำให้องค์กรปฏิบัติตามกฎหมายครบได้ด้วยตัวเอง แต่การออกแบบระบบที่ดีช่วยลดความเสี่ยงได้มาก ด้วยกลไกหกข้อนี้
1. รู้ว่าข้อมูลไปประมวลผลที่ไหน
เมื่อพนักงานส่งข้อความเข้า AI ข้อความนั้นถูกประมวลผลที่ใดที่หนึ่ง — ในองค์กร ในศูนย์ข้อมูลในประเทศ หรือที่ผู้ให้บริการในต่างประเทศ
การส่งข้อมูลส่วนบุคคลไปต่างประเทศมีเงื่อนไขเพิ่มตาม PDPA เช่น มาตรฐานการคุ้มครองของประเทศปลายทาง หรือมาตรการคุ้มครองที่เหมาะสม ยิ่งข้อมูลอยู่ใกล้องค์กร เงื่อนไขที่ต้องจัดการยิ่งน้อยลง
2. ส่งให้ AI เท่าที่จำเป็น
หลักใช้ข้อมูลเท่าที่จำเป็นใช้กับ AI ได้ตรง ๆ
- องค์กรควรปิดบังหรือตัดข้อมูลที่ระบุตัวบุคคล เช่น ชื่อ เลขบัตรประชาชน เบอร์โทร ก่อนส่งให้ AI ในงานที่ไม่ต้องรู้ว่าเป็นใคร
- ส่งเฉพาะส่วนที่เกี่ยวข้อง — ให้ระบบค้นเฉพาะย่อหน้าที่ตอบคำถาม แทนการแนบแฟ้มทั้งแฟ้ม
3. แบ่งสิทธิ์ตามบทบาท
AI ไม่ควรกลายเป็นทางลัดให้คนเห็นข้อมูลที่ปกติไม่มีสิทธิ์เห็น
- เข้าใช้ด้วยบัญชีขององค์กร (SSO) ไม่ใช่บัญชีส่วนตัว
- AI ค้นได้เฉพาะข้อมูลที่ผู้ถามมีสิทธิ์เห็น
- แยกพอร์ทัลของพนักงานออกจากหน้าจอของผู้ดูแลข้อมูล
4. บันทึกการใช้งาน และกำหนดว่าจะเก็บอะไร นานเท่าไร
- บันทึกว่าใคร ทำอะไร เมื่อไร เพื่อตรวจย้อนหลังได้ และใช้ประกอบเมื่อเกิดเหตุ — PDPA กำหนดให้แจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ในกรณีที่เข้าเงื่อนไขตามกฎหมาย
- กำหนดระยะเวลาเก็บ เนื้อหาคำถามและคำตอบให้ชัด — เก็บเท่าที่จำเป็นต่อวัตถุประสงค์
5. ระวังข้อมูลอ่อนไหวเป็นพิเศษ
ข้อมูลบางประเภท เช่น ข้อมูลสุขภาพ ข้อมูลชีวภาพ ศาสนา และประวัติอาชญากรรม เป็นข้อมูลอ่อนไหวที่กฎหมายกำหนดเงื่อนไขเข้มกว่าข้อมูลทั่วไป
งานที่ต้องใช้ข้อมูลกลุ่มนี้ เหมาะกับระบบที่ประมวลผลในองค์กร และควรผ่านการประเมินจากฝ่ายกฎหมายก่อนเริ่ม
6. ให้คนตัดสินเรื่องที่กระทบตัวบุคคล
AI ช่วยสรุปและเสนอได้ แต่การตัดสินใจที่กระทบตัวบุคคล เช่น การรับเข้าทำงาน การประเมินผล หรือการอนุมัติสินเชื่อ ควรมีคนตรวจและตัดสิน หลักที่เราใช้คือ AI เสนอ คนตัดสิน
8 คำถามที่ควรถามผู้ให้บริการ AI — ก่อนส่งข้อมูลส่วนบุคคลเข้าไป
ใช้ได้กับผู้ให้บริการทุกราย รวมถึงเราเอง
| # | คำถาม |
|---|---|
| 1 | ข้อมูลประมวลผลที่ไหน ในประเทศหรือต่างประเทศ |
| 2 | เก็บเนื้อหาคำถามและคำตอบไหม เก็บนานเท่าไร |
| 3 | ข้อมูลของเราถูกนำไปใช้ฝึกหรือปรับปรุงโมเดลไหม |
| 4 | ใครฝั่งผู้ให้บริการเข้าถึงข้อมูลได้บ้าง |
| 5 | มีข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (DPA) ให้เซ็นไหม |
| 6 | ถ้าเกิดเหตุละเมิด จะแจ้งเราอย่างไร ภายในเวลาเท่าไร |
| 7 | เมื่อเลิกใช้บริการ ข้อมูลถูกลบอย่างไร และขอหลักฐานได้ไหม |
| 8 | แบ่งสิทธิ์และดูบันทึกการใช้งานรายคนได้ไหม |
รูปแบบของ TTNC กับเรื่องที่ตั้งของข้อมูล
| รูปแบบ | ข้อมูลประมวลผลที่ |
|---|---|
| Private AI | ในองค์กร — วางทั้งแพลตฟอร์มและโมเดลบนเครื่องขององค์กร |
| Platform Gateway | แพลตฟอร์มอยู่ในองค์กร · โมเดลประมวลผลที่ศูนย์ข้อมูล TTNC ในประเทศไทย |
| Token Factory | AI ประมวลผลในองค์กร · ชั้นควบคุมสิทธิ์และบันทึกการใช้งานอยู่ที่ TTNC ในประเทศไทย |
ทั้งสามแบบประมวลผลในประเทศไทยเป็นค่าตั้งต้น · หากองค์กรเลือกเชื่อมต่อโมเดลจากผู้ให้บริการภายนอก ข้อมูลที่ส่งไปยังโมเดลนั้นจะออกนอกประเทศ ซึ่งมีเงื่อนไขเพิ่มตาม PDPA ตามที่กล่าวไว้ข้างต้น · งานที่ใช้ข้อมูลอ่อนไหว เราแนะนำแบบ Private AI
ทีมงานยินดีตอบ 8 คำถามข้างบนเป็นลายลักษณ์อักษร เพื่อประกอบการประเมินของฝ่ายกฎหมายหรือ DPO ขององค์กร
ขั้นต่อไป
อ่านต่อ: Private AI คืออะไร · AI กับงาน HR ติดต่อทีมงาน TTNC Technology ได้ที่ Project.Sales@ttnctechnology.com
