มี AI ใหม่ ต้องแก้ RoPA อย่างไร? สรุปวิธีปรับปรุงบันทึกรายการประมวลผลให้ถูกต้องตาม PDPA
วิธีปรับปรุง RoPA เมื่อองค์กรนำ AI มาใช้งาน
การนำเทคโนโลยี AI เข้ามาใช้ในองค์กร ไม่ได้หมายความว่าต้องสร้างบันทึกรายการกิจกรรมการประมวลผล (RoPA) ขึ้นใหม่ทุกครั้ง แต่เป็นการทบทวนและอัปเดต RoPA เดิมที่มีอยู่ให้สะท้อนกิจกรรมการประมวลผล (Processing Activity) ที่เกิดขึ้นจริง
หัวใจสำคัญของการทำ RoPA ตามกฎหมาย PDPA คือการยึด “วัตถุประสงค์และกระบวนการประมวลผลข้อมูล” เป็นหลัก ไม่ใช่การจัดทำรายการซอฟต์แวร์หรือแบรนด์เทคโนโลยี หาก AI เข้ามาเปลี่ยนวิธีเก็บ วิเคราะห์ ใช้ เปิดเผย หรือจัดเก็บข้อมูลในกระบวนการทำงานเดิม องค์กรเพียงแค่อัปเดตรายละเอียดใน RoPA รายการนั้นให้ครอบคลุม แต่หากเป็นการสร้างวัตถุประสงค์ใหม่ทั้งหมด จึงค่อยจัดทำ RoPA รายการใหม่
RoPA ไม่ใช่ Software Inventory แยกแยะความแตกต่างให้ชัดเจน
หนึ่งในความเข้าใจผิดที่พบบ่อยเมื่อองค์กรเริ่มใช้ AI คือการนำชื่อเครื่องมือ เช่น Copilot, ChatGPT หรือชื่อระบบ AI ต่างๆ ไปใส่เป็นรายการประมวลผลใหม่ใน RoPA จนทำให้เอกสารกลายเป็นเพียงรายการซอฟต์แวร์ (Software Inventory)
องค์กรควรแยกบทบาทของเอกสารทั้งสองชนิดออกจากกันเพื่อการกำกับดูแลที่ถูกต้อง
- AI Inventory มองจากมุมของระบบไอทีหรือเทคโนโลยี ว่าองค์กรมี AI เครื่องมือใดบ้าง ใช้ Model ของ Vendor เจ้าไหน ใครเป็นผู้ดูแล และประยุกต์ใช้ใน Use Case ใด
- RoPA (Record of Processing Activities) มองจากมุมของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล ว่าองค์กรนำข้อมูลส่วนบุคคลของใครไปทำอะไร มีวัตถุประสงค์เพื่ออะไร ใช้ฐานกฎหมายใด และมีมาตรการรักษาความปลอดภัยอย่างไร
ระบบ AI เพียงตัวเดียว อาจถูกนำไปใช้ในหลายกิจกรรมการประมวลผลบน RoPA และในทางกลับกัน RoPA เพียง 1 รายการ ก็อาจมีการใช้งาน AI ร่วมกันหลายระบบ การเชื่อมโยงข้อมูลเข้าด้วยกันจึงควรใช้ Linking Key ระหว่าง AI Inventory กับ RoPA แทนการรวมเอกสารเข้าด้วยกัน
ขั้นตอนการทบทวนและปรับปรุง RoPA เมื่อเริ่มใช้ AI
เมื่อมีการนำ AI เข้ามาปรับใช้ในกระบวนการทำงาน ให้ดำเนินการประเมินและปรับปรุง RoPA ตามขั้นตอนดังนี้
1. เริ่มจาก Business Process เดิม
พิจารณาว่า AI ถูกนำเข้ามาใช้ในกระบวนการใด เช่น การสรรหาบุคลากร (Recruitment), การให้บริการลูกค้า (Customer Service) หรือการทำตลาด (Marketing)
2. วิเคราะห์การเปลี่ยนแปลงของข้อมูล
ตรวจสอบว่า AI ทำให้เกิดการเปลี่ยนแปลงในองค์ประกอบเหล่านี้หรือไม่
- Data Category มีการนำเข้าข้อมูลส่วนบุคคลประเภทใหม่ๆ หรือไม่ เช่น ไฟล์เสียง ภาพ หรือข้อมูลชีวภาพ
- Inferred Data มีข้อมูลอนุมานที่ AI สร้างขึ้นใหม่หรือไม่ เช่น คะแนนประเมิน (Score) การจัดอันดับ (Ranking) หรือการทำนายพฤติกรรม (Prediction)
- Data Flow & Third Party มีการส่งต่อข้อมูลผ่าน API ไปยัง Vendor ผู้ให้บริการ AI Cloud ภายนอกหรือไม่
- Decision Use ผลลัพธ์จาก AI ถูกนำไปใช้ตัดสินใจที่มีผลกระทบต่อเจ้าของข้อมูลโดยอัตโนมัติหรือไม่
3. ตัดสินใจว่าต้องอัปเดตหรือสร้างรายการใหม่
- อัปเดตรายการเดิม หากวัตถุประสงค์หลักของการประมวลผลยังคงเดิม เช่น การคัดเลือกผู้สมัครงาน แต่เปลี่ยนวิธีจากการอ่านเรซูเม่ด้วยคนมาเป็น AI ช่วยจัดอันดับ ให้ทำการอัปเดตรายละเอียด Vendor, Data Flow, Retention และ Inferred Data ใน RoPA รายการเดิม
- สร้างรายการใหม่ หากการใช้ AI ก่อให้เกิดวัตถุประสงค์ใหม่ที่แยกออกจากกระบวนการเดิมอย่างชัดเจน เช่น การนำข้อมูลประวัติการซื้อสินค้าไป Train Model เพื่อทำระบบแนะนำสินค้าอัตโนมัติ ให้จัดทำ RoPA รายการใหม่
3 โครงสร้างข้อมูลใน RoPA สำหรับยุค AI
การทำ RoPA ให้ใช้งานได้จริงโดยไม่สับสนระหว่างข้อกำหนดตามกฎหมายและมาตรการบริหารจัดการภายใน ควรถ่ายทอดโครงสร้างข้อมูลออกเป็น 3 ส่วน
- Thai PDPA Required Fields ข้อมูลขั้นต่ำที่กฎหมาย PDPA มาตรา 39 บัญญัติให้ต้องมี เช่น วัตถุประสงค์ ประเภทข้อมูล ประเภทบุคคล ระยะเวลาจัดเก็บ และมาตรการความปลอดภัย
- Recommended Governance Fields ข้อมูลเพิ่มเติมเพื่อการบริหารจัดการที่มีประสิทธิภาพ เช่น ผู้รับผิดชอบกระบวนการ (Process Owner), ฐานกฎหมาย (Lawful Basis), ลิงก์เอกสาร Privacy Notice หรือผลการประเมิน LIA / DPIA
- AI Processing Extension รายละเอียดเฉพาะสำหรับการใช้ AI เช่น ประเภท Model, การตั้งค่า RAG, การจัดเก็บ Prompt/Output Log, การระบุ Inferred Data และมาตรการกำกับดูแลโดยมนุษย์ (Human Oversight)
การบริหารจัดการ RoPA ให้มีชีวิตด้วย Change Management
เนื่องจากเทคโนโลยี AI มีการอัปเดตอยู่ตลอดเวลา ทั้งการเปลี่ยนรุ่น Model, การเชื่อมต่อ RAG กับคลังข้อมูลใหม่ หรือการปรับเปลี่ยนเงื่อนไขของผู้ให้บริการ RoPA จึงไม่สามารถทำครั้งเดียวแล้วทิ้งไว้ได้ องค์กรควรกำหนด Change / Reassessment Trigger เพื่อทบทวน RoPA ทันทีเมื่อเกิดเหตุการณ์ เช่น
- มีการเปลี่ยนผู้ให้บริการ AI (Vendor) หรือเปลี่ยนโครงสร้างการจัดเก็บข้อมูลบน Cloud
- มีการนำ AI ไปใช้ตัดสินใจในเรื่องที่มีผลกระทบต่อสิทธิของบุคคลมากขึ้น
- มีการเชื่อมต่อคลังข้อมูลส่วนบุคคลชุดใหม่เข้ากับระบบ AI
การผูกกระบวนการทบทวน RoPA เข้ากับระบบการบริหารการเปลี่ยนแปลง (Change Management) และการระบุผู้รับผิดชอบ (Owner) ที่ชัดเจน จะช่วยให้ RoPA สะท้อนกิจกรรมการประมวลผลจริงขององค์กรได้อย่างแม่นยำตลอดเวลา
ไม่จำเป็น หากกิจกรรมนั้นเป็นการนำ AIมาช่วยประมวลผลภายใต้วัตถุประสงค์เดิม องค์กรเพียงแค่อัปเดตรายละเอียดใน RoPA รายการเดิมให้สะท้อนการเปลี่ยนแปลง เช่น เพิ่มชื่อ Vendor, Data Flow ใหม่ หรือข้อมูลที่เกิดจากการอนุมาน (Inferred Data) แต่หากเป็นการใช้ AI เพื่อวัตถุประสงค์ใหม่ทั้งหมด จึงต้องสร้าง RoPA รายการใหม่
ชื่อโปรแกรม AI ไม่ใช่องค์ประกอบหลักของ RoPA ตามกฎหมาย PDPA แต่สามารถระบุไว้ในส่วนข้อมูลผู้ประมวลผล (Data Processor) หรือผู้ให้บริการภายนอก (Vendor) ได้ ทั้งนี้ควรแยก AI Inventory ออกจาก RoPA แล้วเชื่อมโยงข้อมูลเข้าด้วยกันด้วย Linking Key เพื่อป้องกันไม่ให้ RoPA กลายเป็นเพียงรายการซอฟต์แวร์
ต้องระบุ หากผลลัพธ์ที่ AI สร้างขึ้นมา เช่น คะแนนความเสี่ยง, อันดับผู้สมัครงาน หรือกลุ่มพฤติกรรมลูกค้า สามารถเชื่อมโยงกลับไประบุตัวบุคคลได้ และถูกนำไปใช้ต่อในกระบวนการทำงาน ข้อมูลส่วนนี้ถือเป็นข้อมูลส่วนบุคคลที่ต้องระบุประเภทข้อมูลและวัตถุประสงค์ไว้ใน RoPA ด้วย
สรุป
การปรับปรุง RoPA เมื่อเริ่มใช้งาน AI ให้ยึดหลัก Processing before Technology เสมอ โดยเริ่มต้นพิจารณาที่กิจกรรมและวัตถุประสงค์การประมวลผลข้อมูลเป็นหลัก แล้วจึงระบุรายละเอียดการเปลี่ยนแปลงที่เกิดจาก AI การทำความเข้าใจความแตกต่างระหว่าง AI Inventory และ RoPA พร้อมทั้งกำหนดระบบทบทวนเมื่อมีการเปลี่ยนแปลง จะช่วยให้องค์กรสามารถบริหารจัดการความเสี่ยงด้าน Data Privacy ได้อย่างมีประสิทธิภาพและถูกต้องตามกฎหมาย
อยากนำ AI มาใช้ในองค์กร แต่ยังกังวลเรื่องความปลอดภัยและข้อมูลรั่วไหล?
หลักสูตร “Privacy in AI Era” ช่วยควบคุมความเสี่ยง AI สู่การลงมือทำจริงในสายงานของคุณ
เผยแพร่: 14 กันยายน 2569
อัปเดตล่าสุด: 14 กันยายน 2569
ช่องทางติดต่อ:
Facebook: PDPA Thailand
Line OA: @pdpathailand
Email: [email protected]
Website: www.pdpathailand.com
