- พนักงานใช้ AI อยู่แล้ว คำสั่งห้ามแค่ย้ายการใช้ไปอยู่บนโทรศัพท์ส่วนตัวที่บริษัทมองไม่เห็น
- นโยบายที่คนทำตามยาวหนึ่งหน้า มีสิบหัวข้อ และมาพร้อมเครื่องมือที่บริษัทอนุมัติ
- ข้อมูลส่วนบุคคลแยกเป็นชั้นของตัวเอง เพราะ PDPA ให้บริษัทรับผิดชอบเมื่อข้อมูลออกไปข้างนอก
- ต้องมีเจ้าของนโยบายหนึ่งคน ช่องทางแจ้งเหตุ และนัดทบทวนทุกหกเดือน
คำสั่งห้ามใช้ AI ทำให้บริษัทมองไม่เห็นอะไรเลย
ฝ่ายขายให้ AI ร่างข้อความตอบลูกค้า ฝ่ายบัญชีให้ AI สรุปไฟล์ Excel ส่วนใหญ่ใช้บัญชีฟรีที่สมัครด้วยอีเมลส่วนตัว การใช้ AI ที่บริษัทไม่ได้อนุมัติแบบนี้เรียกว่า Shadow AI และเกิดแม้ในบริษัทที่ประกาศห้ามแล้ว
คำสั่งห้ามไม่ได้ทำให้คนเลิกใช้ คนยังใช้บนโทรศัพท์ของตัวเอง และเมื่อข้อมูลลูกค้าหลุด บริษัทรู้เป็นคนสุดท้าย นโยบายที่ได้ผลจึงบอกให้ชัดว่าใช้เครื่องมือไหน กับข้อมูลแบบไหน และถามใคร ถ้ายังเลือกทางไม่ได้ อ่าน เมื่อพนักงานวางข้อมูลลูกค้าลง ChatGPT ก่อน
นโยบายหน้าเดียว สิบหัวข้อ
นโยบายที่พนักงานจำได้ยาวไม่เกินหนึ่งหน้า รายชื่อเครื่องมือและตารางชั้นข้อมูลแยกเป็นเอกสารแนบที่แก้ได้โดยไม่ต้องประกาศใหม่ ประโยคตัวอย่างด้านล่างปรับใช้ได้เลย
1. วัตถุประสงค์และขอบเขต: “ใช้กับพนักงาน ผู้รับเหมา และนักศึกษาฝึกงานที่ใช้ AI กับงานของบริษัท รวมถึงบนโทรศัพท์ส่วนตัว” 2. เครื่องมือและบัญชีที่อนุมัติ: “ใช้เฉพาะเครื่องมือในรายชื่อแนบท้าย ด้วยบัญชีบริษัท ขอเพิ่มผ่านฝ่ายไอที” 3. ชั้นข้อมูล: “ข้อมูลมีสี่ชั้น สาธารณะ ภายใน ข้อมูลส่วนบุคคล และลับ ใส่ได้ตามตารางแนบ ถ้าไม่แน่ใจ ถือเป็นชั้นที่สูงกว่า” 4. ข้อมูลส่วนบุคคลของลูกค้าและพนักงาน: “ตัดชื่อ เบอร์โทร และเลขบัตรออกเมื่องานไม่ต้องใช้ ข้อมูลอ่อนไหว เช่น สุขภาพ ต้องให้ DPO อนุมัติก่อน” 5. การตรวจผลก่อนใช้: “ผลจาก AI เป็นร่าง คนที่นำไปใช้ตรวจกับต้นฉบับก่อนส่งออก และรับผิดชอบเหมือนเขียนเอง” 6. การแจ้งลูกค้า: “ลูกค้าที่คุยกับระบบอัตโนมัติต้องรู้ตั้งแต่ข้อความแรก และขอคุยกับพนักงานได้” 7. ความเป็นเจ้าของและบันทึก: “งานที่ทำด้วย AI อยู่ใต้สัญญาจ้างเหมือนงานอื่น พรอมต์และผลของงานที่ส่งลูกค้าเก็บตามอายุเอกสารนั้น” 8. เหตุผิดปกติและคนที่ต้องแจ้ง: “ใส่ข้อมูลผิดชั้นเมื่อไร แจ้ง [ชื่อและช่องทาง] ภายในวันเดียวกัน คนที่แจ้งเองไม่ถูกลงโทษเพราะการแจ้ง” 9. การอบรมและการรับทราบ: “ทุกคนอบรมหนึ่งชั่วโมงและกดรับทราบก่อนได้บัญชี AI ของบริษัท” 10. การทบทวนทุกหกเดือน: “[เจ้าของนโยบาย] ทบทวนทุกหกเดือน หรือเร็วกว่านั้นเมื่อกฎหมายหรือผู้ให้บริการเปลี่ยนเงื่อนไข”
PDPA ต้องการอะไร เมื่อพนักงานวางข้อมูลลูกค้าลง AI
สำหรับข้อมูลลูกค้าที่เก็บมา บริษัทคือผู้ควบคุมข้อมูลส่วนบุคคลตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) เมื่อพนักงานวางรายชื่อลูกค้าลง AI ข้อมูลออกไปอยู่กับผู้ให้บริการภายนอก แต่ความรับผิดชอบยังอยู่ที่บริษัท
เดือนตุลาคม 2569 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เผยแพร่แนวทางคุ้มครองข้อมูลส่วนบุคคลสำหรับ AI ซึ่งไม่มีผลบังคับทางกฎหมาย เมื่อรวมกับ PDPA มีสี่เรื่องที่นโยบายต้องรองรับ
- พรอมต์ บันทึกการใช้งาน และคำตอบของ AI อาจเป็นข้อมูลส่วนบุคคลถ้ายังระบุตัวคนได้ - ผู้ให้บริการที่นำข้อมูลลูกค้าไปฝึกโมเดลเพื่อตนเอง อาจกลายเป็นผู้ควบคุมข้อมูลอีกราย - ถ้าผู้ให้บริการเก็บข้อมูลนอกประเทศไทย ประเทศปลายทางต้องมีมาตรฐานคุ้มครองที่เพียงพอ เว้นแต่เข้าข้อยกเว้นตามกฎหมาย - เมื่อข้อมูลรั่วไหล ต้องแจ้ง สคส. โดยไม่ชักช้าและภายใน 72 ชั่วโมงนับจากรู้เหตุเมื่อทำได้ เว้นแต่ไม่น่ามีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล ถ้าเสี่ยงสูงต้องแจ้งเจ้าของข้อมูลด้วย
ร่างกฎหมาย AI ของไทยยังอยู่ระหว่างปรับร่าง ส่วนแนวทางธรรมาภิบาล Generative AI สำหรับองค์กรของกระทรวงดิจิทัลฯ กับ ETDA ออกเมื่อปลายปี 2567 นโยบายจึงควรตั้งบน PDPA ที่บังคับใช้อยู่วันนี้ กฎต่างประเทศอยู่ใน กฎเกณฑ์ AI ที่กำลังมา เนื้อหาบทนี้เป็นแนวทางปฏิบัติและไม่ถือเป็นคำแนะนำทางกฎหมาย ให้ฝ่ายกฎหมายหรือ DPO อ่านก่อนประกาศใช้
กรณีจำลอง
บริษัทขายเครื่องใช้ไฟฟ้าแบบผ่อนชำระในขอนแก่น (ชื่อและรายละเอียดสมมติ) ผู้บริหารเคยสั่งในกลุ่ม LINE ว่าห้ามใช้ AI กับงานบริษัท วันหนึ่งพนักงานฝ่ายติดตามหนี้วางรายชื่อลูกค้าค้างชำระสองร้อยราย พร้อมเบอร์โทรและยอดค้าง ลงแชตบอต AI ฟรีบนโทรศัพท์ของตัวเอง ให้ร่างข้อความทวงถามทีละราย แล้วเล่าในที่ประชุมอย่างภูมิใจ
ผู้จัดการฝ่ายบุคคลซึ่งดูแล PDPA ด้วย เก็บข้อเท็จจริง ลบแชต และประเมินกับที่ปรึกษากฎหมายว่าต้องแจ้ง สคส. หรือไม่ ทุกคนเห็นตรงกันว่าพนักงานคนนั้นไม่มีเครื่องมือที่ถูกและไม่รู้ว่าต้องถามใคร สัปดาห์ต่อมาบริษัทเขียนนโยบายหน้าเดียว ซื้อบัญชีองค์กรให้ฝ่ายติดตามหนี้ และให้ AI ร่างข้อความแม่แบบโดยไม่เห็นชื่อลูกค้า ระบบของบริษัทเติมชื่อและยอดเอง
ข้อมูลสี่ชั้น ชั้นไหนใส่เครื่องมือไหนได้
พนักงานไม่ต้องจำกฎหมาย จำแค่ว่าข้อมูลตรงหน้าอยู่ชั้นไหน หลายบริษัทมี Data Classification อยู่แล้ว นโยบาย AI เพิ่มเพียงการแยกข้อมูลส่วนบุคคลเป็นชั้นของตัวเอง เพราะ PDPA มีกติกาเฉพาะ และข้อมูลแบบนี้อยู่ในงานทุกวัน เช่น แชต LINE ของลูกค้าและใบสมัครงาน
ตารางสี่ชั้นข้อมูล: ใส่ได้ที่ไหน
- ข้อ 1 มีชื่อ เบอร์โทร เลขบัตร หรือสิ่งที่โยงถึงตัวคนได้ไหม ถ้ามี คือชั้นข้อมูลส่วนบุคคล
- ข้อ 2 ถ้าหลุดออกไป บริษัทจะผิดสัญญาหรือเสียเปรียบไหม ถ้าใช่ คือชั้นลับ
- ข้อ 3 เผยแพร่ออกไปแล้วหรือยัง ถ้าแล้ว คือชั้นสาธารณะ ที่เหลือคือชั้นภายใน
เมื่อไม่แน่ใจ: ขยับขึ้นหนึ่งชั้น ถ้าใช่ทั้งข้อ 1 และข้อ 2 ใช้กฎของชั้นลับ
ตัดก่อนใส่: แทนชื่อด้วยรหัส เช่น ลูกค้า A เมื่อโยงกลับถึงตัวคนไม่ได้ ข้อมูลจะลงมาเป็นชั้นภายใน
| ชั้นข้อมูล | เครื่องมือที่ใช้ได้ | เงื่อนไข | ตัวอย่าง |
|---|---|---|---|
| สาธารณะ | AI ใดก็ได้ รวมบัญชีฟรี | ตรวจผลก่อนใช้ | ข้อมูลสินค้าบนเว็บไซต์ ข่าวที่ประกาศแล้ว |
| ภายใน | บัญชีองค์กรที่อนุมัติ | ล็อกอินด้วยบัญชีบริษัทเท่านั้น | ขั้นตอนงานภายใน รายงานประชุมที่ไม่มีชื่อลูกค้า |
| ข้อมูลส่วนบุคคล | บัญชีองค์กรที่อนุมัติสำหรับชั้นนี้ สัญญาระบุว่าไม่นำข้อมูลไปฝึก | ใช้ตามวัตถุประสงค์ที่แจ้งไว้ ตัดส่วนที่ไม่ใช้ ข้อมูลอ่อนไหวให้ DPO อนุมัติ | แชต LINE OA ของลูกค้า ใบสมัครงาน รายชื่อลูกหนี้ |
| ลับ | Private LLM หรือระบบในบริษัท | เจ้าของข้อมูลอนุมัติรายงาน และเก็บบันทึกการใช้ | สูตรการผลิต สัญญาที่มี NDA งบการเงินก่อนประกาศ Source Code |
เมื่อมีคนพลาด ใครทำอะไร ภายในเมื่อไร
เหตุที่ต้องเตรียมรับคือใส่ข้อมูลผิดชั้นลงเครื่องมือผิดตัว ทางแจ้งเหตุต้องสั้นพอให้คนกล้าแจ้งในวันเดียว เพราะกรอบ 72 ชั่วโมงของ PDPA นับจากบริษัทรู้เหตุ
1. คนที่พลาดหรือคนที่เห็นแจ้งเจ้าของนโยบายในวันเดียวกัน 2. บันทึก Incident ข้อมูลอะไร กี่ราย เครื่องมือไหน บัญชีใคร 3. ลบแชตถ้าลบได้ ยกเลิกลิงก์ที่แชร์ เปลี่ยนรหัสผ่านถ้าบัญชีรั่ว 4. DPO ประเมินว่าต้องแจ้ง สคส. หรือเจ้าของข้อมูลหรือไม่ ให้ทันกรอบ 72 ชั่วโมง 5. แก้ต้นเหตุ และเพิ่มกรณีนี้ในการอบรม
รอบทบทวนทุกหกเดือนดูว่ารายชื่อเครื่องมือตรงกับที่คนใช้จริงไหม ผู้ให้บริการเปลี่ยนเงื่อนไขไหม และมีกฎหมายใหม่หรือไม่
หนึ่งสัปดาห์จากร่างถึงวันประกาศ
นโยบายที่เขียนนานสามเดือนมักล้าสมัยตั้งแต่วันประกาศ สัปดาห์แรกจึงมุ่งที่ฉบับที่ใช้ได้ แล้วปรับในรอบทบทวน
- วันจันทร์ สำรวจแบบไม่ระบุชื่อว่าแต่ละแผนกใช้ AI ตัวไหนกับงานอะไร - วันอังคาร เลือกเครื่องมือและเปิดบัญชีองค์กร ChatGPT Enterprise, Microsoft 365 Copilot และ Gemini ใน Google Workspace ระบุว่าไม่นำข้อมูลลูกค้าองค์กรไปฝึกโมเดลโดยไม่ได้รับอนุญาต แต่ให้อ่านเงื่อนไขของแผนที่ซื้อจริง - วันพุธ ร่างหน้าเดียวกับตารางสี่ชั้น ให้ฝ่ายกฎหมายหรือ DPO อ่าน - วันพฤหัสบดี อบรมแผนกละหนึ่งชั่วโมงด้วยงานจริงของแผนกนั้น - วันศุกร์ ประกาศ ให้ทุกคนกดรับทราบ และลงวันทบทวนครั้งแรกในปฏิทิน
สามแบบที่ทำให้นโยบายล้มเหลว
แบบแรกคือห้ามทั้งหมด คนยังใช้ในที่ที่บริษัทมองไม่เห็น แบบที่สองคือมีนโยบายแต่ไม่มีเครื่องมือที่อนุมัติ พนักงานจึงกลับไปใช้บัญชีฟรี แบบที่สามคือไม่มีเจ้าของ ไม่มีใครตอบคำถามหรือทบทวน ก่อนประกาศ ตรวจร่างกับรายการนี้
- ขอบเขตรวมผู้รับเหมาและโทรศัพท์ส่วนตัว
- มีรายชื่อเครื่องมือและวิธีขอเพิ่ม
- มีตารางสี่ชั้นพร้อมตัวอย่างของบริษัทเอง
- ระบุคนอนุมัติข้อมูลอ่อนไหว
- ระบุว่าคนที่ใช้ผลเป็นผู้รับผิดชอบ
- บอกว่าเมื่อไรต้องแจ้งลูกค้า
- บอกว่าเก็บบันทึกอะไร นานเท่าไร
- มีชื่อคนรับแจ้งเหตุและคำสัญญาว่าไม่ลงโทษคนแจ้ง
- ทุกคนกดรับทราบก่อนได้บัญชี
- มีเจ้าของนโยบายและวันทบทวนครั้งถัดไป
สำหรับทีมพัฒนา · SSO, DLP, Log และ Private Endpoint
SSO: ล็อกอินเครื่องมือที่อนุมัติผ่าน Identity Provider ขององค์กร เช่น Microsoft Entra ID หรือ Google Workspace ปิดบัญชีได้ทันทีเมื่อพนักงานลาออก และใช้ Tenant Restriction ที่ Proxy กันบัญชีส่วนตัว DLP: เพิ่ม Pattern ข้อมูลไทย เลขบัตรประชาชน 13 หลักพร้อม Checksum เบอร์มือถือ 06 08 09 และเลขบัญชีธนาคาร เตือนหรือบล็อกเมื่อวางลงโดเมน AI ที่ไม่ได้อนุมัติ Log: ส่ง Audit Log ของบัญชีองค์กรเข้า SIEM กำหนดอายุการเก็บ และจำกัดคนเปิดอ่าน เพราะ Log ที่มีพรอมต์ก็เป็นข้อมูลส่วนบุคคลได้ Private Endpoint: งานที่เรียกโมเดลผ่าน API ให้วิ่งผ่าน Private Endpoint ใน Region ที่เลือก หรือ Gateway ภายในที่ตัด PII ก่อนส่ง ข้อมูลชั้นลับใช้ Private LLM บนเครื่องของบริษัท
นโยบายที่เขียนในห้องอบรม และระบบที่ทำให้ทำตามได้
นโยบายที่คนทำตามมักเขียนโดยคนที่ต้องใช้เอง การอบรม AI แบบ In-house ของ DNA Maker ดูได้ที่หน้า อบรม AI สำหรับองค์กร
เมื่อกฎต้องมีระบบรองรับ ทีม FDE ของเราเข้าไปทำงานกับทีมของคุณ วางสิทธิ์ตามบทบาท Audit Log และการจัดการข้อมูลตาม PDPA บนเครื่องมือที่บริษัทจ่ายอยู่แล้ว ส่วนข้อมูลชั้นลับ เราวาง Private LLM ในระบบของคุณเอง ทุกคนในโปรเจกต์เป็นทีมของ DNA Maker ไม่มีการจ้างช่วง ผลงาน 500+ โปรเจกต์ของเรามีทั้งธนาคาร โรงพยาบาล และกลุ่มบริษัทขนาดใหญ่ของไทย คุยกับเราที่หน้า AI Transformation หรือถาม Dream ในหน้าแชต
SOFTWARE ENGINEERING GLOSSARY
คลังคำศัพท์การพัฒนาซอฟต์แวร์
| คำศัพท์ | คืออะไร | ตัวอย่างที่เข้าใจง่าย | คำถามที่ผู้บริหารควรถามทีมพัฒนา |
|---|---|---|---|
| Shadow AI | AI ที่ใช้กับงานโดยบริษัทไม่ได้อนุมัติ | แชตบอตฟรีบนโทรศัพท์ส่วนตัว | เรารู้ไหมว่าแต่ละแผนกใช้ AI ตัวไหน? |
| Data Classification | การแบ่งข้อมูลเป็นชั้นตามความเสียหายหากหลุด | แยกข่าวที่ประกาศแล้วออกจากสัญญาที่มี NDA | ใครตัดสินเมื่อไม่แน่ใจว่าข้อมูลอยู่ชั้นไหน? |
| PII | ข้อมูลที่ระบุตัวคนได้ทั้งทางตรงและทางอ้อม | ชื่อ เบอร์โทร และยอดค้างของลูกหนี้ | ระบบตัดข้อมูลนี้ออกก่อนส่งให้ AI ได้ไหม? |
| DLP | ระบบที่หยุดข้อมูลสำคัญไม่ให้ออกนอกบริษัท | เตือนเมื่อมีคนวางเลขบัตรประชาชนลงเว็บ AI | DLP ของเรารู้จักรูปแบบข้อมูลไทยหรือยัง? |
| Audit Log | บันทึกว่าใครทำอะไร เมื่อใด ด้วยข้อมูลใด | ดูย้อนหลังได้ว่าใครส่งไฟล์ลูกค้าเข้า AI | Log เก็บนานเท่าไร และใครเปิดอ่านได้? |
Tilleke & Gibbins, Thailand Issues Personal Data Protection Guidelines for AI Systems
IAPP, Key developments in Thailand's PDPA regulations
Multilaw, Data Protection Laws Guide: Thailand
Digital Policy Alert, MDES and ETDA Generative AI Governance Guideline for Organisations
กรุงเทพธุรกิจ, ความคืบหน้าร่างกฎหมาย AI ของไทย
Tilleke & Gibbins, Thailand Resumes Development of AI Regulatory Framework
Microsoft Learn, Data, privacy and security for Microsoft 365 Copilot
OpenAI, Enterprise privacy
Google Workspace, Generative AI in Google Workspace Privacy Hub