ท่านกำลังดูดข้อมูลจากเว็บไซต์ เพื่อทำ Generative AI หรือไม่ ถ้าใช่ท่านควรอ่านบทความนี้
คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลสหภาพยุโรป หรือ European Data Protection Board (EDPB) ได้เผยแพร่ แนวทางฉบับที่ 03/2026 ว่าด้วยการดึงข้อมูลจากเว็บไซต์ (Web Scraping) เพื่อพัฒนา Generative AI ซึ่งเมื่อผมอ่านจบครบ 23 หน้า ก็ยิ่งทำให้มั่นใจว่า แท้จริงแล้วหัวใจสำคัญของการกำกับดูแล (Regulate) การพัฒนา Generative AI ในปัจจุบัน สรุปจบได้ด้วยคำเดียวคือคำว่า “Trust”
เรื่องมันมีอยู่ว่า… การที่บริษัทหรือหน่วยงานมีเทคโนโลยีในการทำ Web Scraping หรือสามารถเข้าไปขุด กวาด และดึงข้อมูลจากเว็บไซต์ที่เป็นสาธารณะได้ ไม่ได้หมายความว่าเจ้าของข้อมูลจะไว้วางใจให้นำข้อมูลของเขาไปใช้ฝึก (Train) AI ได้-
สาระสำคัญของแนวทาง (Guideline) ฉบับนี้ ถือเป็นมาตรฐานหรือ Soft Law ที่ภาคเอกชนไทยควรใช้เป็นแนวทางปฏิบัติในการทำ Web Scraping เพื่อพัฒนา Generative AI อย่างถูกต้อง โดยมีประเด็นสำคัญสรุปสั้น ๆ ดังนี้
- ขอบเขตของการบังคับใช้ของเอกสาร
- มุ่งเน้นที่บริษัทเอกชนนำข้อมูลจากเว็บไซต์ภายนอกมาใช้เพื่อการฝึก (Training) หรือปรับแต่ง (Fine-tuning) โมเดล Generative AI ไม่ว่าบริษัทจะเป็นผู้ดึง ขูด หรือรวบรวมข้อมูลด้วยตนเอง ว่าจ้างผู้ให้บริการภายนอก เช่น บริษัทด้าน Social Listening ให้ดำเนินการแทนในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล (Processor) หรือนำชุดข้อมูลที่ผู้อื่นรวบรวมไว้แล้วมาใช้งานต่อก็ตาม เพราะ การไม่ได้เป็นผู้เก็บข้อมูลด้วยตนเอง ไม่ได้หมายความว่าองค์กรจะพ้นจากความรับผิดในการนำข้อมูลนั้นมาใช้
- หลักการสำคัญของ GDPR ที่ต้องปฏิบัติ
- หลัก Transparency แม้ในบางกรณีองค์กรอาจไม่สามารถแจ้งเจ้าของข้อมูลเป็นรายบุคคลได้ หรือการดำเนินการดังกล่าวอาจก่อให้เกิดภาระเกินสมควร (Disproportionate Effort) แต่ “แจ้งรายบุคคลไม่ได้” ไม่ได้แปลว่า “ไม่ต้องทำอะไรเลย” องค์กรยังคงต้องพิจารณามาตรการอื่นเพื่อสร้างความโปร่งใสและให้ข้อมูลแก่เจ้าของข้อมูลอย่างเหมาะสม เช่น การเผยแพร่ Privacy Notice ที่ระบุประเภทของข้อมูล แหล่งที่มาของข้อมูล วัตถุประสงค์ในการนำข้อมูลไปใช้ ตลอดจนช่องทางที่เจ้าของข้อมูลสามารถใช้สิทธิของตนได้
- หลัก Data Minimisation (การเก็บรวบรวมข้อมูลเท่าที่จำเป็น) นั้น แฝงอยู่ใน มาตรา 22 ของ PDPA ซึ่งเน้นย้ำให้ลดการเก็บข้อมูลส่วนบุคคลให้ได้มากที่สุด โดยเลือกใช้แนวทางอื่นทดแทน เช่น การใช้ ข้อมูลสังเคราะห์ (Synthetic Data) หากอธิบายให้เข้าใจง่าย ข้อมูลสังเคราะห์คือ การใช้เทคนิคสร้าง “ข้อมูลจำลอง” ขึ้นมาใช้งานแทนการเก็บจากเหตุการณ์หรือข้อมูลจริง โดยข้อมูลจำลองนี้ยังคงคุณลักษณะและรูปแบบทางสถิติที่ใกล้เคียงกับข้อมูลจริง นอกจากนี้ ยังรวมถึงการใช้ตัวกรองเพื่อตัดข้อมูลที่สามารถระบุตัวบุคคลได้ออก และการเคารพข้อจำกัดของเว็บไซต์ (ซึ่งในเชิงเทคนิคจำเป็นต้องมีทีมเทคโนโลยีสารสนเทศร่วมดำเนินการด้วย)
- หลัก Accuracy (ความถูกต้องแม่นยำของข้อมูล) คือ การเลือกใช้ข้อมูลจากแหล่งที่น่าเชื่อถือ มีการระบุช่วงเวลาของข้อมูลอย่างชัดเจน และมีการสุ่มตรวจสอบคุณภาพของข้อมูลอย่างสม่ำเสมอ ทั้งนี้ เพื่อลดโอกาสที่ระบบ AI จะเรียนรู้จากข้อมูลที่ผิดพลาดหรือล้าสมัย (Outdated Data)
- ฐานกฎหมายในการทำ Web Scraping
การขอความยินยอม (Consent) มักไม่สามารถทำได้จริงในทางปฏิบัติ ซึ่งประเด็นนี้ผมมักถูกตั้งคำถามโดยกลุ่มเทคโนแครตอยู่บ่อยครั้ง แต่หากมองในมุมกฎหมาย องค์กรไม่มีความสัมพันธ์โดยตรงกับเจ้าของข้อมูล และการที่ข้อมูลถูกเผยแพร่บนอินเทอร์เน็ต ก็ไม่ได้หมายความว่าเจ้าของข้อมูลจะยินยอมให้นำไปใช้ฝึก AI โดยปริยาย เพราะถือเป็นคนละประเด็นกัน
ดังนั้น ฐานกฎหมายที่ถูกนำมาใช้มากที่สุดจึงเป็น Legitimate Interest (ประโยชน์โดยชอบด้วยกฎหมาย) ซึ่งเป็นฐานที่ DPO สายเทคโนแครตนิยมใช้ ซึ่งสามารถใช้ได้ แต่ตามแนวทางปฏิบัติ (Guideline) ระบุไว้อย่างชัดเจนว่าจะนำมาใช้ได้ก็ต่อเมื่อผ่านการประเมินความเหมาะสม (Legitimate Interest Assessment: LIA) รวม 3 ขั้นตอน ได้แก่:
- Purpose Test: การทดสอบว่าวัตถุประสงค์ชอบด้วยกฎหมาย
- Necessity Test: การทดสอบความจำเป็นในการประมวลผลข้อมูล
- Balancing Test: การทดสอบความสมดุล โดยประโยชน์ที่บริษัทได้รับต้องสอดคล้องกับสัดส่วนความคุ้มค่า และไม่ละเมิดหรือกระทบต่อสิทธิและเสรีภาพขั้นพื้นฐานของเจ้าของข้อมูลเกินสมควร
ด้วยเหตุนี้ บริษัทจึงควรจัดให้มีมาตรการบรรเทาผลกระทบ เช่น การแปลงข้อมูลไม่ให้ระบุตัวบุคคลได้โดยง่าย (Pseudonymisation) การเปิดช่องทางให้เจ้าของข้อมูลสามารถปฏิเสธการประมวลผล (Opt-out) ได้ รวมถึงหลีกเลี่ยงการจัดเก็บข้อมูลจากเว็บไซต์ที่มีเนื้อหาอ่อนไหวโดยสภาพ
- การจัดการข้อมูลส่วนบุคคลลักษณะพิเศษ (Special Category of Personal Data)
โดยหลักการแล้ว ข้อมูลอ่อนไหวหรือข้อมูลส่วนบุคคลลักษณะพิเศษ เช่น ข้อมูลสุขภาพ เชื้อชาติ ความคิดเห็นทางการเมือง หรือศาสนา ไม่สามารถนำมาประมวลผลได้ เว้นแต่จะเข้าเงื่อนไขตามที่กฎหมายกำหนด ทว่าในทางปฏิบัติ การทำ Web Scraping มักหลีกเลี่ยงได้ยากที่จะไม่ให้ข้อมูลประเภทนี้ติดเข้ามาโดยไม่ตั้งใจ ซึ่งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งยุโรป (EDPB) ได้ตระหนักถึงประเด็นนี้ จึงกำหนดให้ผู้พัฒนา AI ต้องแสดงความรับผิดชอบ และใช้อำนาจหน้าที่รวมถึงขีดความสามารถทางเทคโนโลยีในการบริหารจัดการความเสี่ยง ดังนี้
- การตั้งค่าตัวกรองก่อนเริ่มเก็บข้อมูล (Input Filtering)
- การหลีกเลี่ยงการจัดเก็บจากเว็บไซต์ที่มีข้อมูลอ่อนไหวจำนวนมาก
- การลบข้อมูลอ่อนไหวทันทีเมื่อตรวจพบ หรือเมื่อได้รับการร้องขอจากเจ้าของข้อมูล
- การมีมาตรการป้องกันไม่ให้โมเดล AI จดจำหรือดึงข้อมูลอ่อนไหวออกมาได้ในภายหลัง
- การใช้ตัวกรองผลลัพธ์ (Output Filters) เพื่อป้องกันไม่ให้ AI สร้างหรือเปิดเผยข้อมูลอ่อนไหวของบุคคล
ท้ายที่สุดแล้ว ความรวดเร็วในการพัฒนาหรือจัดเก็บข้อมูลเพื่อฝึกฝน AI อาจไม่ใช่ประเด็นที่สำคัญที่สุด หากแต่เป็นคำถามที่ว่า “ผู้บริโภคหรือสังคมยังคงมีความเชื่อมั่นและไว้วางใจ (Trust) ให้องค์กรนำข้อมูลของพวกเขาไปใช้หรือไม่”
เขียนด้วยว่าบทความจาก อาจารย์สุกฤษ โกยอัครเดช ประธานเจ้าหน้าที่ฝ่ายปรึกษาและสอบทาน บริษัท ดีบีซี กรุ๊ป จำกัด เลขาธิการ และประธาน ฝ่ายวิเทศสัมพันธ์
หากสนใจการกำกับดูแลข้อมูลและการใช้ AI ภายในองค์กรยังไงในถูกกฏหมาย
หลักสูตร “หลักสูตรการกํากับดูแลข้อมูลปัญญาประดิษฐ์และการคุ้มครองข้อมูลส่วนบุคคล “สําหรับภาคเอกชน AI Data Governance and Personal Data Protection (AIDG&PDPA)
เผยแพร่: 15 กรกฎาคม 2569
อัปเดตล่าสุด: 1 กันยายน 2569
ช่องทางติดต่อ:
Facebook: PDPA Thailand
Line OA: @pdpathailand
Email: [email protected]
Website: www.pdpathailand.com
