PDPA กับ AI: สิ่งที่ธุรกิจไทยต้องมีก่อนนำ AI มาใช้

ระบบ AI คือวิธีประมวลผลข้อมูลส่วนบุคคลรูปแบบใหม่ และพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ใช้บังคับกับระบบนี้เช่นเดียวกับระบบอื่น ไม่มีผลิตภัณฑ์ประเภทที่เรียกว่า AI ที่สอดคล้องกับ PDPA มีเพียงระบบ AI ที่สร้างและใช้งานในลักษณะที่เป็นไปตามกฎหมาย กับระบบที่ไม่เป็นไปตามกฎหมาย สำหรับการปฏิบัติตามกฎหมายด้าน AI ในประเทศไทย งานส่วนใหญ่คืองานคุ้มครองข้อมูลที่คุ้นเคยอยู่แล้ว เพียงแต่นำมาใช้กับระบบที่อ่านมากขึ้น อนุมานมากขึ้น และเก็บข้อมูลไว้มากกว่าซอฟต์แวร์ที่ระบบนี้เข้ามาแทนที่

ต่อไปนี้คือรายการตรวจสอบทั่วไปของสิ่งที่ควรจัดการให้เรียบร้อยก่อนเปิดใช้งาน พันธะที่ใช้กับองค์กรของท่านขึ้นอยู่กับองค์กร ข้อมูล และกรณีการใช้งานของท่านเอง

กฎหมายใช้บังคับกับใคร

PDPA ใช้บังคับกับองค์กรในประเทศไทยที่เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และยังใช้บังคับกับองค์กรจำนวนมากนอกประเทศไทยที่เสนอสินค้าหรือบริการให้แก่บุคคลในประเทศไทย หรือเฝ้าติดตามพฤติกรรมของบุคคลในประเทศไทย

ในโครงการ AI ส่วนใหญ่ องค์กรของท่านเป็นผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งเป็นผู้ตัดสินใจว่าจะประมวลผลข้อมูลเพื่ออะไรและอย่างไร ส่วนผู้ให้บริการที่สร้างหรือดูแลระบบมักเป็นผู้ประมวลผลข้อมูลส่วนบุคคลที่ดำเนินการตามคำสั่งของท่าน การแบ่งบทบาทนี้กำหนดคำตอบของคำถามอื่นทั้งหมด

ฐานทางกฎหมายสำหรับแต่ละวัตถุประสงค์

ทุกวัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคลต้องมีฐานทางกฎหมาย กฎหมายกำหนดไว้หลายฐาน เช่น ความยินยอม การปฏิบัติตามสัญญา การปฏิบัติตามหน้าที่ตามกฎหมาย ประโยชน์โดยชอบด้วยกฎหมาย การป้องกันอันตรายต่อชีวิต และการดำเนินภารกิจเพื่อประโยชน์สาธารณะ

โครงการ AI มักเพิ่มวัตถุประสงค์ใหม่ที่ไม่เคยมีใครระบุไว้ เช่น การสรุปข้อความจากลูกค้า การถอดเสียงและจัดประเภทการโทร การให้คะแนนผู้ขาย การอ่านเอกสารแสดงตน หรือการฝึกและประเมินโมเดลด้วยข้อมูลย้อนหลัง ควรระบุแต่ละวัตถุประสงค์แยกกันและบันทึกฐานทางกฎหมายของแต่ละรายการ การนำข้อมูลที่เก็บเพื่อวัตถุประสงค์หนึ่งไปฝึกโมเดลเพื่ออีกวัตถุประสงค์หนึ่งเป็นช่องว่างที่มักถูกมองข้าม

ความยินยอมในกรณีที่จำเป็น

ความยินยอมเป็นเพียงหนึ่งฐาน ไม่ใช่ค่าเริ่มต้น หากอาศัยความยินยอม ต้องขอก่อนเก็บข้อมูล เจาะจงวัตถุประสงค์ แยกชัดเจนจากข้อความอื่น และถอนได้ง่ายเท่ากับตอนให้

กฎหมายถือว่าข้อมูลบางประเภทเป็นข้อมูลอ่อนไหว รวมถึงข้อมูลสุขภาพ ข้อมูลชีวภาพ ข้อมูลพันธุกรรม และประวัติอาชญากรรม เป็นต้น การประมวลผลข้อมูลเหล่านี้โดยทั่วไปต้องได้รับความยินยอมโดยชัดแจ้ง เว้นแต่เข้าข้อยกเว้นเฉพาะ การจับคู่ใบหน้าที่ตู้เช็กอิน การวิเคราะห์เสียง และทุกอย่างที่เกี่ยวกับเวชระเบียนผู้ป่วยอยู่ในกลุ่มนี้ ควรเก็บความยินยอมแต่ละรายการไว้คู่กับข้อมูลที่เกี่ยวข้อง เพื่อให้ระบบแสดงได้ว่าความยินยอมใดใช้กับการประมวลผลใด

สิทธิของเจ้าของข้อมูลที่ระบบต้องรองรับ

เจ้าของข้อมูลมีสิทธิได้รับแจ้ง สิทธิเข้าถึงและขอรับสำเนา สิทธิในการโอนย้ายข้อมูล สิทธิคัดค้าน สิทธิขอให้ลบ สิทธิขอให้ระงับการใช้ และสิทธิขอให้แก้ไขข้อมูล โดยทั่วไปคำขอเข้าถึงข้อมูลต้องได้รับการดำเนินการภายใน 30 วัน

ควรออกแบบให้ระบบ AI รองรับสิทธิเหล่านี้จากภายใน ท่านค้นหาทุกจุดที่ข้อมูลของบุคคลหนึ่งถูกใช้ได้หรือไม่ ทั้งในพรอมต์ บันทึกการสนทนา ดัชนีค้นหา ชุดทดสอบ และข้อมูลที่ใช้ฝึก ท่านแก้ไขหรือลบข้อมูลได้โดยไม่ทำให้ระบบเสียหรือไม่ และประกาศความเป็นส่วนตัวอธิบายวัตถุประสงค์ด้าน AI ด้วยภาษาที่เข้าใจง่ายหรือไม่

การส่งข้อมูลข้ามพรมแดน

บริการ AI จำนวนมากประมวลผลข้อมูลนอกประเทศไทย ภายใต้ PDPA การส่งข้อมูลส่วนบุคคลไปต่างประเทศทำได้เมื่อประเทศปลายทางมีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอ หรือภายใต้ข้อยกเว้นและมาตรการคุ้มครองที่กฎหมายและประกาศของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกำหนด เช่น ความยินยอมที่ให้หลังได้รับแจ้งถึงมาตรฐานของประเทศปลายทาง การส่งที่จำเป็นต่อการปฏิบัติตามสัญญา และมาตรการคุ้มครองที่เหมาะสม เช่น นโยบายการคุ้มครองข้อมูลภายในกลุ่มกิจการ หรือข้อสัญญามาตรฐาน

ควรรู้ทุกแห่งที่ข้อมูลไปถึง ทั้งโมเดล ที่จัดเก็บ ข้อมูลสำรอง บันทึกระบบ และผู้ประมวลผลช่วงทุกราย หากคำตอบขึ้นอยู่กับการตั้งค่าของผู้ให้บริการ ควรได้การตั้งค่าและที่ตั้งนั้นเป็นลายลักษณ์อักษร

การเก็บรักษาและการลบ

ข้อมูลส่วนบุคคลควรเก็บไว้เท่าที่วัตถุประสงค์ต้องการเท่านั้น ระบบ AI สร้างสำเนาใหม่ขึ้นอย่างเงียบ ๆ ทั้งการถอดเสียง บันทึกการสนทนา เอกสารที่แคชไว้ ดัชนีที่สร้างจากข้อมูล และชุดทดสอบ ควรกำหนดระยะเวลาการเก็บรักษาให้แต่ละรายการ และให้ระบบลบตามกำหนด การลบที่พิสูจน์ได้มีค่ามากกว่านโยบายที่เขียนว่าจะลบ

ความมั่นคงปลอดภัย การแจ้งเหตุละเมิด และการบันทึกรายการ

กฎหมายกำหนดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เมื่อเกิดเหตุละเมิดข้อมูลส่วนบุคคล ต้องแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถทำได้ เว้นแต่เหตุนั้นไม่มีความเสี่ยงที่จะกระทบสิทธิและเสรีภาพของบุคคล และต้องแจ้งเจ้าของข้อมูลเมื่อมีความเสี่ยงสูง

สำหรับระบบ AI หมายถึงการเข้าถึงตามบทบาท การบันทึกการเข้าถึงทุกครั้งโดยผูกกับผู้ใช้หรือเอเจนต์ที่ระบุตัวได้ และการปิดบังค่าที่อ่อนไหวจากส่วนที่ไม่จำเป็นต้องเห็น ผู้ควบคุมข้อมูลต้องจัดทำบันทึกรายการกิจกรรมการประมวลผล และองค์กรที่มีกิจกรรมหลักเป็นการเฝ้าติดตามข้อมูลจำนวนมากหรือประมวลผลข้อมูลอ่อนไหวต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

การประเมินความเสี่ยงในลักษณะ DPIA

PDPA ไม่ได้กำหนดการประเมินผลกระทบด้านการคุ้มครองข้อมูลแบบแยกเฉพาะในลักษณะเดียวกับ GDPR ของยุโรป อย่างไรก็ตาม การประเมินความเสี่ยงก่อนใช้งานระบบที่ประมวลผลข้อมูลอ่อนไหวหรือเฝ้าติดตามผู้คนในวงกว้างยังเป็นแนวปฏิบัติที่ดี และสนับสนุนหน้าที่ด้านความมั่นคงปลอดภัยและความรับผิดชอบตามกฎหมาย

การประเมินที่มีประโยชน์ครอบคลุมวัตถุประสงค์และฐานทางกฎหมาย เส้นทางของข้อมูล ความเสี่ยงต่อบุคคล (การตัดสินใจผิดพลาด การรั่วไหล การใช้เกินวัตถุประสงค์เดิม) มาตรการควบคุม ผู้ทบทวนผลลัพธ์ของระบบ และความเสี่ยงที่ยังเหลืออยู่ ควรเก็บไว้และปรับปรุงทุกครั้งที่ระบบเปลี่ยนแปลง

สัญญากับผู้ให้บริการ

สัญญากับผู้ให้บริการ AI ควรครอบคลุมคำสั่งในการประมวลผล สถานที่ประมวลผลและจัดเก็บข้อมูล ผู้ประมวลผลช่วงและวิธีแจ้งเมื่อมีการเปลี่ยนแปลง ข้อมูลของท่านจะถูกนำไปฝึกหรือปรับปรุงโมเดลของผู้ให้บริการเองได้หรือไม่ มาตรการความมั่นคงปลอดภัย กรอบเวลาการแจ้งเหตุละเมิด การเก็บรักษา การส่งคืน และการลบข้อมูลเมื่อสิ้นสุดสัญญา และสิทธิในการตรวจสอบของท่าน รวมถึงการเข้าถึงบันทึกระบบ

เริ่มต้นจากตรงไหน

เริ่มจากแผนที่ว่าข้อมูลส่วนบุคคลเข้ามาที่ใด จัดเก็บที่ใด ใครเข้าถึงได้ และส่งต่อไปที่ใด บริการ PDPA Compliance ของ Opsian (ภาษาอังกฤษ) จัดทำแผนที่นี้ จากนั้นสร้างการขอความยินยอม การเก็บรักษา การจัดการคำขอ และการบันทึกการเข้าถึงไว้ในระบบโดยตรง พร้อมสนับสนุนเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล บริการนี้ไม่ได้แทนที่ที่ปรึกษากฎหมายของท่าน ซึ่งเป็นผู้ตีความกฎหมาย

หลักการเดียวกันนี้อยู่ใน ENTRIX ซึ่งบันทึกความยินยอมก่อนเก็บเอกสารหรือภาพใบหน้า และกำหนดระยะเวลาการเก็บรักษาแยกตามโรงแรม อ่านเพิ่มเติมได้ในบทความเรื่องการบังคับใช้ PDPA ทุกโครงการเริ่มต้นด้วยการตรวจประเมิน และตัวอย่างรายงานการตรวจประเมินด้านสาธารณสุข (ภาษาอังกฤษ) แสดงวิธีตรวจพันธะด้านข้อมูลสุขภาพ

แหล่งข้อมูล

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล