PDPA กับการใช้ AI Chatbot ในองค์กร: โอกาสแห่งประสิทธิภาพ หรือความเสี่ยงที่ต้องจัดการ?

ในยุคที่เทคโนโลยีปัญญาประดิษฐ์ (AI) ก้าวเข้ามามีบทบาทในการทำงานประจำวันขององค์กรอย่างหลีกเลี่ยงไม่ได้ การใช้งาน AI Chatbot เช่น ChatGPT หรือ Gemini กลายเป็นเครื่องมือใหม่ที่ช่วยเพิ่มประสิทธิภาพในการสื่อสาร เขียนรายงาน วิเคราะห์ข้อมูล หรือแม้แต่ช่วยคิดสร้างสรรค์ไอเดีย อย่างไรก็ตาม เบื้องหลังความสะดวกและความเร็วที่ AI มอบให้ ยังแฝงไว้ด้วย "ความเสี่ยง" โดยเฉพาะในด้านการจัดการข้อมูลส่วนบุคคลซึ่งอยู่ภายใต้กฎหมาย PDPA (Personal Data Protection Act)

บทความนี้ผู้เขียนจะพาไปสำรวจความสัมพันธ์ระหว่างการใช้ AI กับ PDPA ว่าองค์กรควรระมัดระวังอย่างไร และจะใช้ AI อย่างปลอดภัยได้อย่างไรในโลกที่ข้อมูลคือทรัพย์สินอันล้ำค่า

---

PDPA คืออะไร และเกี่ยวข้องกับ AI อย่างไร?

PDPA หรือพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล เป็นกฎหมายที่มุ่งเน้นให้เกิดความรับผิดชอบในการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของบุคคลธรรมดา โดยเฉพาะข้อมูลที่สามารถระบุตัวตนได้ เช่น ชื่อ-นามสกุล เบอร์โทรศัพท์ อีเมล ที่อยู่ รูปถ่าย หรือแม้กระทั่งหมายเลข IP

ในมุมของ AI Chatbot อย่าง ChatGPT หรือ Gemini ซึ่งทำงานโดยรับข้อมูลจากผู้ใช้งานและประมวลผลผ่านระบบคลาวด์ หากผู้ใช้นำข้อมูลที่เข้าข่ายข้อมูลส่วนบุคคลไปใช้กับ AI โดยไม่มีมาตรการป้องกันที่เหมาะสม อาจถือเป็นการละเมิด PDPA ได้

---

พฤติกรรมเสี่ยงที่พนักงานในองค์กรอาจทำโดยไม่รู้ตัว

การใช้ AI โดยไม่ระมัดระวังอาจทำให้ข้อมูลส่วนบุคคลรั่วไหลออกนอกองค์กร ตัวอย่างพฤติกรรมที่พบบ่อย ได้แก่:

1. ป้อนข้อมูลลูกค้าพร้อมชื่อจริง เบอร์โทร หรืออีเมลเพื่อให้ AI ช่วยเขียนรายงานหรือวิเคราะห์ข้อมูล

2. ใช้ AI วิเคราะห์ข้อมูลจากระบบ ERP หรือ MIS โดยไม่ได้ลบข้อมูลที่ระบุตัวบุคคลออกก่อน

3. ส่งข้อความหรือคำสั่งที่มีข้อมูลพนักงาน เช่น การประเมินผลการทำงาน ผลการตรวจสุขภาพ ไปยัง Chatbot

4. ใช้บริการ AI รุ่นฟรีหรือเปิดสาธารณะ โดยไม่มีการพิจารณาเรื่องการจัดเก็บข้อมูลหรือประเทศที่ประมวลผลข้อมูล

พฤติกรรมเหล่านี้เสี่ยงต่อการละเมิด PDPA แม้จะไม่ได้ตั้งใจ

---

ตัวอย่างการใช้งานที่ควรหลีกเลี่ยง

เพื่อให้เข้าใจง่ายขึ้น นี่คือตัวอย่าง 3 กรณีที่น่าสนใจ ซึ่งมักเกิดขึ้นจริงในหลายองค์กร:

กรณีที่ 1: ป้อนข้อมูลลูกค้าให้ AI สร้างสไลด์นำเสนอ
ฝ่ายการตลาดให้ AI ช่วยจัดทำสไลด์โดยพิมพ์ข้อมูลชื่อ-นามสกุลของลูกค้า VIP รวมถึงปัญหาส่วนตัวที่ลูกค้าแจ้งไว้ การส่งข้อมูลเหล่านี้ไปยังระบบ AI ทำให้ข้อมูลถูกประมวลผลนอกองค์กรและอาจเข้าสู่ระบบ training โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูล

กรณีที่ 2: ให้ AI สรุปรายงานการประชุมภายใน
พนักงานใช้ ChatGPT ช่วยสรุปรายงานการประชุมที่มีการพูดถึงชื่อพนักงานที่มีปัญหาด้านผลงาน ข้อมูลนี้เข้าข่ายข้อมูลที่สามารถระบุตัวบุคคลได้ และการป้อนเข้าไปใน AI แบบเปิดอาจละเมิดสิทธิ์ของพนักงานได้

กรณีที่ 3: วิเคราะห์ข้อมูลสุขภาพพนักงานด้วย AI
ฝ่าย HR ทดลองใช้ Gemini เพื่อวิเคราะห์แนวโน้มการลาป่วยจากข้อมูลใบรับรองแพทย์ โดยไม่ได้ลบชื่อพนักงานออกก่อน แม้มีเจตนาดี แต่ก็เป็นการใช้ข้อมูลสุขภาพโดยไม่ได้รับความยินยอม ซึ่งเข้าข่ายข้อมูลอ่อนไหว (sensitive data) ภายใต้ PDPA

---

แนวทางการใช้ AI อย่างปลอดภัยภายใต้ PDPA

ระดับบุคคล:

• หลีกเลี่ยงการป้อนข้อมูลที่ระบุตัวบุคคลได้ เช่น ชื่อจริง เบอร์โทร หรือข้อมูลสุขภาพ

• ใช้ชื่อสมมติ คำย่อ หรือรหัสแทนชื่อจริงเมื่อต้องประมวลผลข้อมูล

• อย่าใช้ AI เป็นที่เก็บข้อมูลภายใน เช่น บันทึกประชุม หรือรายชื่อลูกค้า

ระดับองค์กร:

• สร้างนโยบายการใช้ AI (AI Usage Policy) ที่กำหนดขอบเขตการใช้งานอย่างชัดเจน

• อบรมพนักงานเกี่ยวกับความเสี่ยงด้าน PDPA และวิธีใช้ AI อย่างปลอดภัย

• เลือกใช้ AI ที่มีฟีเจอร์ควบคุมข้อมูล เช่น ChatGPT Team หรือ Gemini for Workspace

• ตรวจสอบข้อกำหนดการให้บริการ (EULA) ของ AI ทุกแพลตฟอร์มที่ใช้งาน

---

เปรียบเทียบความเสี่ยงของแพลตฟอร์ม AI

แพลตฟอร์ม	จุดเด่น	ความเสี่ยงด้าน PDPA	คำแนะนำ
ChatGPT Free	ใช้งานง่าย ฟรี	ไม่มีการควบคุมข้อมูล ส่งข้อมูลเข้าโมเดล	หลีกเลี่ยงข้อมูลจริง
ChatGPT Team	มีความปลอดภัยสูงกว่า มี dashboard จัดการได้	ปิดการ training ได้ แต่ยังทำงานผ่านคลาวด์	เหมาะกับองค์กรขนาดกลางขึ้นไป
Gemini (Google)	ผูกกับ Google Workspace	ข้อมูลอาจอยู่ในศูนย์ข้อมูลไทย ควบคุมได้ผ่าน admin	เหมาะกับทีมที่ใช้ Google ecosystem
Custom GPT	พัฒนาเองหรือผ่าน provider	ควบคุมระดับสูงสุด ค่าใช้จ่ายสูง	เหมาะกับข้อมูลลับหรืออ่อนไหว

ข้อมูลที่เกี่ยวข้องจาก OpenAI

ผู้เขียนได้สำรวจบทความและแนวทางจาก OpenAI ซึ่งเป็นผู้พัฒนา ChatGPT เพื่อทำความเข้าใจแนวปฏิบัติด้านการคุ้มครองข้อมูลในระดับสากล และพบว่า OpenAI ได้ออกแบบระบบให้สอดคล้องกับหลักความปลอดภัยและความรับผิดชอบต่อข้อมูลส่วนบุคคลโดยสรุป ดังนี้

1. Enterprise privacy at OpenAI 
OpenAI ระบุว่า ข้อมูลที่ส่งเข้า ChatGPT เวอร์ชัน Team หรือ Enterprise เป็นของลูกค้าโดยสมบูรณ์ และจะไม่ถูกใช้ในการฝึกโมเดล (training) เว้นแต่ลูกค้าจะเลือกเปิดใช้ (opt-in) โดยมีการเข้ารหัสข้อมูลทั้งขณะส่งและขณะจัดเก็บ รองรับมาตรฐานความปลอดภัยระดับสูง เช่น SOC 2 และ TLS

2. Business data privacy, security, and compliance
OpenAI ให้ลูกค้าองค์กรควบคุมข้อมูลได้อย่างยืดหยุ่น เช่น เปิดใช้โหมดไม่จัดเก็บข้อมูล (Zero Data Retention) เลือกช่วงเวลาเก็บข้อมูลได้เอง และสอดคล้องกับกฎหมายข้อมูลส่วนบุคคลระดับโลก เช่น GDPR (สหภาพยุโรป), CCPA (สหรัฐฯ)

3. Security & privacy commitments
OpenAI มีระบบทดสอบเจาะระบบ (penetration test) การตรวจสอบภายนอก และการเข้ารหัสข้อมูลแบบ edge-to-edge เพื่อรับประกันความปลอดภัยของข้อมูลทั้งในระดับผู้ใช้ทั่วไปและระดับองค์กร

ข้อสังเกต: แม้ระบบจาก OpenAI จะมีความพร้อมด้านความปลอดภัย แต่ก็ยังคงทำงานบนโครงสร้างคลาวด์ระหว่างประเทศ ผู้ใช้งานในไทยจึงควรพิจารณาเลือกใช้เวอร์ชันที่มีการควบคุมข้อมูล เช่น ChatGPT Team หรือ Enterprise เท่านั้นหากเกี่ยวข้องกับข้อมูลภายในองค์กร

สรุป

AI คือพลังใหม่ที่ช่วยให้ธุรกิจเดินหน้าได้รวดเร็ว แต่ก็ต้องไม่ลืมว่าข้อมูลคือสิ่งที่เปราะบาง การใช้ AI จึงไม่อาจแยกจากหลักธรรมาภิบาลด้านข้อมูล (Data Governance) และการปฏิบัติตามกฎหมาย PDPA ... องค์กรที่สามารถผสมผสาน "นวัตกรรม" เข้ากับ "ความรับผิดชอบต่อสังคม" ในการดูแลและคุ้มครองข้อมูลส่วนบุคคลได้อย่างสมดุล คือองค์กรที่สมควรได้รับความไว้วางใจ