5 ประเด็นที่ต้องระวังตาม PDPA เมื่อนำข้อมูลส่วนบุคคลไปประมวลผลด้วย AI

1. แจ้งวัตถุประสงค์ให้ชัดเจน

ก่อนนำข้อมูลส่วนบุคคลเข้า AI ต้องมีการแจ้งวัตถุประสงค์การใช้ข้อมูลอย่างโปร่งใส เช่น ใช้เพื่อพัฒนาระบบบริการอัตโนมัติ หรือปรับปรุงประสบการณ์ลูกค้า การแจ้งให้ชัดตั้งแต่ต้นคือสิ่งที่ PDPA เน้นที่สุดในหลัก “ความโปร่งใส (Transparency)”

2. ขอความยินยอมอย่างถูกต้อง (Consent)

หากไม่มีฐานทางกฎหมายอื่นรองรับ ต้องได้รับ “ความยินยอมโดยชัดแจ้ง” จากเจ้าของข้อมูล โดยระบุให้เข้าใจง่ายว่า ข้อมูลจะถูกนำไปใช้เพื่อวัตถุประสงค์ใด และผลกระทบจากการไม่ให้ความยินยอม

ตัวอย่างเช่น ใช้แบบฟอร์มขอความยินยอม (Consent Form) ที่ระบุวัตถุประสงค์เฉพาะ อาทิ “เพื่อใช้พัฒนาโมเดลการตอบคำถามอัตโนมัติของบริษัท”

3. ปกปิดข้อมูลส่วนบุคคลก่อนนำเข้า AI (Anonymization)

ควรทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้โดยตรง เช่น การลบชื่อ เบอร์โทร หรือแทนที่จะประมวลผลด้วยอีเมลส่วนตัว ปรับเป็นอีเมลส่วนกลางของบริษัทแทน ก่อนส่งเข้า AI โดยเฉพาะเมื่อนำไปใช้ในระบบของบุคคลที่สาม (Third Party)

4. ลบหรือทำลายข้อมูลเมื่อหมดความจำเป็น

PDPA กำหนดชัดว่า เมื่อสิ้นสุดวัตถุประสงค์ ต้องลบหรือทำลายข้อมูลทันที การเก็บข้อมูลไว้ตลอดเพื่อ “เผื่ออนาคต” อาจเข้าข่ายละเมิดกฎหมาย และขัดต่อ “หลักการจำกัดระยะเวลาในการเก็บข้อมูล (Storage Limitation)” ดังนั้นองค์กรจึงควรมี Data Retention and Disposal Policy

5. กำหนดขอบเขตและนโยบายเรื่องการใช้ AI ขององค์กรให้เป็นรูปธรรม

ปัจจุบันนี้ AI แทบจะเป็นส่วนหนึ่งของการทำงานขององค์กรกันหมดแล้ว และแน่นอนว่ากิจกรรมการใช้ AI ของแต่ละบุคคล ฝ่าย หรือแผนกล้วนแตกต่างกันออกไป เช่นเดียวกับ “ความเข้าใจและจริยธรรม” ในการใช้ AI กับข้อมูลของแต่ละบุคคลก็ล้วนไม่เท่ากัน องค์กรควรมีการกำหนดขอบเขต หรือนโยบายการใช้ AI ในองค์กรให้เป็นนโยบายหลัก ชัดเจน และเป็นรูปธรรมจับต้องได้

จะดีกว่าหรือไม่ หากคุณมีแนวทางการวางนโยบายและข้อบังคับการใช้ (Generative AI) ในโลกของ AI ซึ่งประกอบด้วยหัวข้อสำคัญ และออกแบบโดยผู้เชี่ยวชาญด้านการคุ้มครองข้อมูลส่วนบุคคล สามารถดาวน์โหลดได้ฟรี เพียงสมัครลงทะเบียน >>  คลิก