เพื่อขับเคลื่อนโครงการ AI ให้สอดคล้องตามกรอบของกฎหมาย PDPA อย่างปลอดภัยและยั่งยืน องค์กรควรวางรากฐานผ่านระบบธรรมาภิบาลข้อมูลและปฏิบัติตาม 4 ขั้นตอนพื้นฐานดังต่อไปนี้:

1. การตั้ง Flow การทำงานที่ชัดเจน

องค์กรต้องแยกแยะบทบาททางเทคโนโลยีให้ชัดเจนตั้งแต่เริ่มต้น ว่าเป็นการ “พัฒนาระบบ AI ขึ้นใช้เอง” (ต้องจัดหาข้อมูลมาเทรนโมเดล) หรือเป็นเพียง “ผู้นำ AI สำเร็จรูปจากภายนอกมาใช้” หากกิจกรรมนั้นมีข้อมูลส่วนบุคคลเข้ามาเกี่ยวข้อง องค์กรต้องทำกระบวนการตรวจสอบวัตถุประสงค์เดิม เพื่อพิจารณาว่าข้อมูลที่เคยเก็บรวบรวมมานั้น สามารถนำมาใช้เทรนหรือป้อนให้ AI ประมวลผลได้อย่างสอดคล้องกับวัตถุประสงค์แรกเริ่มหรือไม่

2. การสร้างความโปร่งใสผ่านข้อตกลงความเป็นส่วนตัว

ความโปร่งใสคือหัวใจของ PDPA องค์กรต้องระบุกลไกการทำงานของ AI ขอบเขตการประมวลผลข้อมูล หรืออัลกอริทึมในการตัดสินใจลงใน ประกาศความเป็นส่วนตัว (Privacy Notice) ให้ชัดเจนและเข้าใจง่าย เพื่อสร้างความคาดหมายตามสมควร (Reasonable Expectation) ให้แก่เจ้าของข้อมูลส่วนบุคคล ได้รับทราบว่าข้อมูลของตนจะถูกนำไปใช้ร่วมกับเทคโนโลยีปัญญาประดิษฐ์อย่างไร

3. การเคารพและรองรับสิทธิของเจ้าของข้อมูลส่วนบุคคล

ระบบขององค์กรต้องได้รับการออกแบบให้พร้อมรองรับการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลอย่างมีประสิทธิภาพ โดยเฉพาะอย่างยิ่ง สิทธิในการคัดค้านการประมวลผลข้อมูล (Right to Object) ตัวอย่างเช่น หากลูกค้ายื่นความจำนงยกเลิก หรือไม่ยินยอมให้องค์กรนำข้อมูลส่วนบุคคลไปทำ Profiling เพื่อวิเคราะห์พฤติกรรม หรือทำกิจกรรมการตลาดแบบตรง (Direct Marketing) ระบบ AI ขององค์กรต้องระงับการประมวลผลข้อมูลของบุคคลนั้นโดยไม่ชักช้า เว้นแต่องค์กรสามารถพิสูจน์ได้ว่ามีเหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่าสิทธิของเจ้าของข้อมูลส่วนบุคคล

4. การบูรณาการเครื่องมือคุ้มครองข้อมูลส่วนบุคคล

การทำ LIA ถือเป็นส่วนหนึ่งของการแสดงความรับผิดชอบที่ตรวจสอบได้ (Accountability) ขององค์กร อย่างไรก็ดี หากกิจกรรมการใช้ AI นั้นมีความซับซ้อนและจัดอยู่ในกลุ่มที่มีความเสี่ยงสูง องค์กรจะต้องขยายผลจากการทำ LIA ไปสู่การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล หรือ DPIA (Data Protection Impact Assessment) ในภาพใหญ่ เพื่อวิเคราะห์และวางมาตรการจัดการความเสี่ยงรอบด้าน โดยกระบวนการประเมินนี้จำเป็นต้องอาศัยความร่วมมือจากผู้เกี่ยวข้องหลายฝ่าย (Process Owner) ร่วมกับผู้เชี่ยวชาญเฉพาะทาง ไม่ใช่ภาระหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) เพียงลำพัง

แม้ในปัจจุบันประเทศไทยจะยังไม่มีกฎหมายเฉพาะที่บีบบังคับด้าน AI Governance ออกมาโดยตรง แต่หน่วยงานกำกับดูแลชั้นนำของรัฐ ไม่ว่าจะเป็น ETDA, สกมช. และ สคส. ต่างกำลังเร่งทยอยออกแนวทางปฏิบัติ (Guidelines) และคู่มือมาตรฐานสำหรับการใช้ AI ควบคู่ไปกับกฎหมาย PDPA อย่างต่อเนื่อง