ก่อนองค์กรนำ AI มาใช้ จะทำอย่างไรให้ Legal, IT และ Dev ทำงานร่วมกันภายใต้ PDPA
จากเวทีเสวนาออนไลน์ PDPA Guru Episode 13: AI Data Governance ก่อนทำงานร่วมกับ AI องค์กรต้องเตรียมมาตรการอะไรบ้าง?
เป้าหมายสำคัญของการทำ AI Data Governance คือขจัดช่องโหว่ทางธุรกิจ เพื่อลดความเสี่ยงในการทำผิด พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) ป้องกันความลับทางการค้าหรือข้อมูลรั่วไหล ช่วยให้องค์กรนำข้อมูลภายในมาใช้พัฒนาโมเดล AI ได้อย่างปลอดภัย โปร่งใส และเกิดประสิทธิภาพสูงสุด
AI Data Governance คือ การบริหารกำกับดูแลข้อมูลสำหรับการใช้งานปัญญาประดิษฐ์อย่างมีธรรมาภิบาล โดยเน้นการสร้างกระบวนการเชื่อมโยงการทำงานระหว่าง 3 ฝ่ายสำคัญ ได้แก่ ฝ่ายกฎหมายและการกำกับดูแล (Legal/DPO) ฝ่ายไอที (IT) และฝ่ายนักพัฒนาซอฟต์แวร์ (Dev) เข้าด้วยกันอย่างเป็นระบบ
3 ปัญหาใหญ่เมื่อ Legal, IT และ Dev ทำงานแบบแยกฝ่ายในยุค AI
เมื่อองค์กรเร่งนำ AI มาใช้ขับเคลื่อนธุรกิจ แต่ขาดนโยบายและการประสานงานข้ามสายงาน มักเกิดช่องโหว่และความเสี่ยงสำคัญดังนี้
- มองความเสี่ยงคนละมุม เนื่องจากขาดนโยบายร่วมกัน ฝ่ายกฎหมายและ DPO มุ่งเน้นการปฏิบัติตามกฎหมาย PDPA เพื่อควบคุมความเสี่ยง ฝ่าย IT เร่งจัดการโครงสร้างระบบเพื่อป้องกันข้อมูลรั่วไหล ในขณะที่ฝ่าย Dev เร่งดึงข้อมูลมาสร้างโมเดลเพื่อให้ทันกำหนดส่งมอบ ต่างฝ่ายต่างทำงานในส่วนของตนเอง ส่งผลให้ไม่มีใครมองเห็นภาพรวมความเสี่ยงร่วมกัน
- ข้อมูลไร้มาตรฐานและความเสี่ยงข้อมูลส่วนบุคคลปะปน การดึงข้อมูลจากหลายแผนกมาเทรน AI โดยขาดการจัดทำบัญชีจัดเก็บข้อมูล (Data Catalog) และการจัดประเภทข้อมูล (Data Classification) มักนำไปสู่ปัญหาข้อมูลซ้ำซ้อน ข้อมูลไม่อัปเดต หรือเผลอนำข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Data) ไปเทรนโมเดลโดยไม่รู้ตัว
- DPIA เป็นเพียงเอกสารอนุมัติ ไม่ได้ถูกนำไปใช้จริงทางเทคนิค ในบางองค์กร การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) อาจถูกมองเป็นเพียงเอกสารเพื่อให้สอดคล้องกับข้อกำหนด (Compliance Checklist) เท่านั้น แต่ไม่ได้ถูกส่งต่อให้ฝ่าย IT และ Dev นำมาเป็นข้อกำหนดเพื่อออกแบบระบบตามหลัก Privacy by Design ตั้งแต่วันแรก
3 กลไกสำคัญในการเชื่อมการทำงานระหว่าง Legal, IT และ Dev
การหลอมรวมการทำงานข้ามสายงานจำเป็นต้องใช้วิธีการที่เป็นรูปธรรม เพื่อเปลี่ยนกรอบกฎหมายให้กลายเป็นข้อกำหนดที่ใช้งานได้จริง
1. นำผล DPIA มาแปลงเป็นข้อกำหนดทางเทคนิค (Legal และ Technical)
นำผลการประเมิน DPIA มาเป็นข้อกำหนดทางเทคนิค (Technical Requirements) และข้อกำหนดที่ไม่ใช่ฟังก์ชันการทำงาน (Non-functional Requirements) เพื่อให้ฝ่าย IT และ Dev นำมาตรการด้าน Privacy และ Security ไปออกแบบในระบบ พร้อมจัดเตรียมระบบพรางข้อมูล (Anonymization / Pseudonymization) และสร้างกลไกรองรับการลบหรือทำลายข้อมูลเมื่อเจ้าของข้อมูลขอใช้สิทธิ
2. ควบคุม AI Bias ด้วย Human Oversight ที่เหมาะสม (Model และ Business Decision)
เนื่องจาก AI เรียนรู้จากข้อมูลในอดีตซึ่งอาจมีอคติแฝงอยู่ การปล่อยให้ AI ตัดสินใจในเรื่องที่มีผลกระทบต่อสิทธิหรือโอกาสของบุคคลโดยอัตโนมัติ อาจเพิ่มความเสี่ยงต่อการตัดสินใจจากอคติหรือไม่เป็นธรรม ฝ่าย Dev และ IT จึงควรออกแบบให้ระบบสามารถตรวจสอบและอธิบายที่มาของผลลัพธ์ได้ในระดับที่เหมาะสม (Explainability) และกำหนดกลไกการกำกับดูแลโดยมนุษย์ (Human Oversight) ให้เหมาะสมกับระดับความเสี่ยงและผลกระทบของแต่ละงาน
3. วางนโยบายการใช้ AI (AI Policy) ที่ใช้งานได้จริง (Governance และ Practical Use)
นโยบาย AI ที่ดีต้องไม่ใช่ข้อห้ามแบบท็อปดาวน์ แต่เป็นข้อตกลงร่วมกันที่ประกอบด้วย 4 ส่วนสำคัญ
- วัตถุประสงค์และขอบเขต เพื่อสนับสนุนนวัตกรรมอย่างปลอดภัย โดยไม่สร้างอุปสรรคต่อการทำงาน
- โครงสร้างการกำกับดูแล ต้องระบุผู้มีอำนาจอนุมัติการใช้ข้อมูลแต่ละประเภทอย่างชัดเจน
- การจัดลำดับชั้นความเสี่ยง โดยแบ่งระดับความเสี่ยงเพื่อกำหนดมาตรการควบคุมที่สอดคล้องกัน
- การฝึกอบรมและการตรวจสอบรายงาน หลังจากมีการฝึกอบรม องค์กรต้องวัดผลจากพฤติกรรมจริง เช่น พนักงานลดการใช้เครื่องมือภายนอกโดยไม่ได้รับอนุญาต (Shadow AI) และความเร็วในการแจ้งเหตุเมื่อพบการใช้ AI หรือข้อมูลที่ผิดปกติ
ตัวอย่างสถานการณ์ความเสี่ยงและแนวทางปฏิบัติ AI Data Governance
สถานการณ์ความเสี่ยง | ประเด็นความเสี่ยงหลัก | แนวทางปฏิบัติที่ควรดำเนินการ |
การใช้ข้อมูลสุขภาพ(Healthcare) | ข้อมูลสุขภาพเป็นข้อมูลส่วนบุคคลลักษณะพิเศษ (Sensitive Data) | ต้องประเมินความเสี่ยงและมาตรการคุ้มครองข้อมูลก่อนนำข้อมูลสุขภาพไปพัฒนา AI โดยพิจารณาทำ Data Masking (การพรางข้อมูล)หรือ การทำข้อมูลนิรนาม (Anonymization) พร้อมตรวจสอบกฎหมายและข้อกำกับเฉพาะที่เกี่ยวข้อง เช่น หลักเกณฑ์ของ อย. รวมถึงกฎหมาย DPS หากระบบหรือบริการนั้นเข้าข่าย |
การจ้างผู้พัฒนาภายนอก (Outsource) | ความเสี่ยงจากผู้ประมวลผลช่วง (Sub-processor) | ปรับปรุงสัญญา DPA ให้ครอบคลุมกรณีที่ผู้รับจ้างนำข้อมูลไปเชื่อมต่อกับระบบคลาวด์หรือ AI ภายนอก พร้อมกำหนดเงื่อนไขด้านการใช้ข้อมูลและการกำกับดูแลของผู้รับจ้างให้มี Privacy Program และมาตรการรักษาความมั่นคงปลอดภัยที่สอดคล้องกับข้อกำหนดของ PDPA |
การใช้ AI พิจารณาอนุมัติหรือปฏิเสธอัตโนมัติ | ความถูกต้องของข้อมูลและหลักเกณฑ์ที่ใช้ในการตัดสินใจของ AI อาจส่งผลกระทบต่อสิทธิของเจ้าของข้อมูล | กำหนดให้ AI ทำหน้าที่เป็น ผู้ช่วยวิเคราะห์ข้อมูลและประเมินความเสี่ยง โดยมีเจ้าหน้าที่ Human Oversight คอยตรวจสอบผลลัพธ์ และให้ผู้มีอำนาจเป็นผู้พิจารณาอนุมัติขั้นสุดท้ายในกรณีที่การตัดสินใจส่งผลกระทบต่อสิทธิของบุคคล |
ทรัพยากรมีจำกัด | ข้อจำกัดด้านงบประมาณและบุคลากร | เน้นใช้คณะทำงานชุดเดิมที่มีอยู่แล้ว โดยให้ Business Owner (เจ้าของกระบวนการธุรกิจ) หรือผู้บริหารเป็นผู้ตัดสินใจหลักด้านความเสี่ยง โดยทำงานร่วมกับฝ่าย IT และ DPO (หากมี) เพื่อให้เหมาะสมกับโครงสร้างที่ผู้บริหารมักสวมหมวกหลายใบในเวลาเดียวกัน |
Checklist 5 ข้อก่อนนำข้อมูลไปใช้กับ AI
- [ ] รู้แหล่งที่มาของข้อมูลอย่างชัดเจนหรือไม่?
- [ ] ข้อมูลมี Personal Data หรือข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Data) ปะปนอยู่หรือไม่?
- [ ] มีการระบุผู้มีอำนาจอนุมัติการนำข้อมูลไปใช้เรียบร้อยแล้วหรือยัง?
- [ ] ได้รับการประเมินความเสี่ยงและผลกระทบของ AI Use Case นั้น ๆ แล้วหรือยัง?
- [ ] มีการกำหนดผู้รับผิดชอบไว้อย่างชัดเจนหรือไม่ หากเกิดข้อผิดพลาด เหตุละเมิดข้อมูล หรือข้อมูลรั่วไหล?
สร้าง Digital Trust ให้องค์กรด้วยหลักสูตรอบรม AIDG
การบริหารจัดการ AI ให้ประสบความสำเร็จ ไม่ได้อาศัยเพียงความเชี่ยวชาญทางเทคนิคหรือการตีความกฎหมายเพียงด้านเดียว แต่องค์กรจำเป็นต้องมีบุคลากรที่เข้าใจทั้ง Data Governance, AI Risk และ PDPA ในภาพเดียวกัน เพื่อสร้าง Digital Trust หรือความน่าเชื่อถือเชิงดิจิทัลให้แก่องค์กร
ยกระดับบุคลากรของท่านผ่าน หลักสูตรการกำกับดูแลข้อมูลปัญญาประดิษฐ์และการคุ้มครองข้อมูลส่วนบุคคล (AIDG)
การเชื่อมการทำงานระหว่าง Legal, IT และ Dev คือหัวใจสำคัญก่อนที่องค์กรจะนำ AI มาใช้งานอย่างเต็มประสิทธิภาพ การบูรณาการธรรมาภิบาลข้อมูลและการคุ้มครองข้อมูลส่วนบุคคลเข้ากับกระบวนการพัฒนาทางเทคนิค ไม่เพียงช่วยลดความเสี่ยงด้านกฎหมายและการกำกับดูแลตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล แต่ยังช่วยสร้างความน่าเชื่อถือเชิงดิจิทัล (Digital Trust) และวางรากฐานให้องค์กรสามารถเติบโตได้อย่างมั่นคงและยั่งยืน
เผยแพร่: 14 สิงหาคม 2569
อัปเดตล่าสุด: 14 สิงหาคม 2569
ช่องทางติดต่อ:
Facebook: PDPA Thailand
Line OA: @pdpathailand
Email: [email protected]
Website: www.pdpathailand.com
