AI กับ การใช้ฐานประโยชน์อันชอบธรรม Legitimate Interests ประเมิน LIA อย่างไรเมื่อองค์กรนำ AI มาใช้กับข้อมูลส่วนบุคคล
การใช้ AI ช่วยให้ธุรกิจเร็วขึ้น ไม่ใช่เหตุผลเพียงพอสำหรับการอ้างฐานประโยชน์อันชอบธรรม Legitimate Interests
ความสะดวก ความเร็ว และความแม่นยำในการวิเคราะห์ข้อมูล คือเหตุผลหลักที่องค์กรยุคใหม่นำปัญญาประดิษฐ์ (AI) มาใช้ประมวลผลข้อมูลส่วนบุคคลของลูกค้า อย่างไรก็ตาม ในบริบทของกฎหมายคุ้มครองข้อมูลส่วนบุคคล ทั้ง PDPA ของไทยและ GDPR ของยุโรป การที่ AI ช่วยให้องค์กรได้ประโยชน์ทางธุรกิจ ไม่ได้แปลว่าการประมวลผลนั้นจะผ่านเกณฑ์ฐานประโยชน์อันชอบธรรมด้วยกฎหมาย (Legitimate Interests) โดยอัตโนมัติ
การใช้อ้างฐาน Legitimate Interests กับเทคโนโลยี AI จำเป็นต้องผ่านการประเมินความสมดุลอย่างรอบด้านที่เรียกว่า LIA (Legitimate Interests Assessment) ซึ่งไม่ใช่แค่การกรอกแบบฟอร์มเชิงพิธีการ แต่ต้องอาศัยหลักฐาน ข้อเท็จจริง และเหตุผลที่ตรวจสอบได้ เพื่อพิสูจน์ว่าประโยชน์ขององค์กรสมดุลกับสิทธิขั้นพื้นฐานและความเป็นส่วนตัวของเจ้าของข้อมูล
3 ขั้นตอนการประเมิน LIA มาตรฐานสากล (Three-Part Test)
การประเมิน LIA ที่ถูกต้องตามหลักการและแนวปฏิบัติของ PDPA ไทย ประกอบด้วย 3 ขั้นตอนสำคัญ ดังนี้
1. Purpose Test การทดสอบวัตถุประสงค์
องค์กรต้องกำหนดวัตถุประสงค์ในการนำ AI มาใช้ให้ชัดเจน ชอบด้วยกฎหมาย และมีความเฉพาะเจาะจง เช่น นำ AI มาตรวจจับการทุจริตในระบบชำระเงิน หรือปรับปรุงความปลอดภัยของระบบ ไม่ควรกำหนดวัตถุประสงค์ที่กว้างหรือคลุมเครือ เช่น “ประมวลผลเพื่อพัฒนาบริการ” โดยไม่มีขอบเขตชัดเจน
2. Necessity Test การทดสอบความจำเป็นและทางเลือกอื่น
ขั้นตอนนี้พิจารณาว่าการใช้ระบบ AI มีความจำเป็นตรงกับวัตถุประสงค์ที่ตั้งไว้จริงหรือไม่ พร้อมทั้งประเมินทางเลือกอื่น (Alternatives Test) ควบคู่กันไป โดยตั้งคำถามสำคัญ ดังนี้
การใช้ AI สามารถบรรลุวัตถุประสงค์นั้นได้อย่างตรงจุดจริงหรือไม่
มีวิธีอื่นที่ไม่ต้องใช้ AI หรือใช้เทคโนโลยีที่กระทบต่อสิทธิและความเป็นส่วนตัวของเจ้าของข้อมูลน้อยกว่า แต่บรรลุเป้าหมายเดียวกันได้หรือไม่
หากมีวิธีที่ส่งผลกระทบต่อเจ้าของข้อมูลน้อยกว่าและสามารถทำได้จริง องค์กรควรพิจารณาใช้วิธีนั้นก่อน
3. Balancing Test การชั่งน้ำหนักประโยชน์และผลกระทบ
การเปรียบเทียบประโยชน์อันชอบด้วยกฎหมายขององค์กรหรือสังคม กับผลกระทบและความเสี่ยงที่อาจเกิดขึ้นกับเจ้าของข้อมูลส่วนบุคคล เช่น ความเสี่ยงจากอคติของอัลกอริทึม (Algorithmic Bias) การวิเคราะห์พฤติกรรมเชิงลึก หรือการละเมิดความเป็นส่วนตัว หากผลกระทบตกอยู่กับเจ้าของข้อมูลเกินสมควร องค์กรจะไม่สามารถอ้างฐาน Legitimate Interests ได้
อ่านต่อ : การประเมิน LIA ที่ถูกต้องตามหลักการขององค์กรกำกับดูแลสากล ศึกษาหลักเกณฑ์เบื้องต้นของการปรับใช้ได้ที่ ฐานประโยชน์อันชอบธรรม (Legitimate Interest) ใช้อย่างไร ตามกฎหมาย PDPA เพื่อทำความเข้าใจโครงสร้างหลัก
ข้อควรระวังพิเศษ Automated Decision-Making และ DPIA
การนำ AI มาประมวลผลข้อมูลส่วนบุคคลมีความซับซ้อนกว่าเทคโนโลยีทั่วไป จึงมีประเด็นทางกฎหมายที่ต้องระมัดระวังเป็นพิเศษ
- Automated Decision-Making (ADM) และ Profiling หากระบบ AI ทำหน้าที่ตัดสินใจอัตโนมัติ 100% โดยไม่มีมนุษย์ประเมินร่วม (Human-in-the-loop) และส่งผลกระทบทางกฎหมายหรือผลกระทบสำคัญต่อเจ้าของข้อมูล เช่น การอนุมัติสินเชื่ออัตโนมัติ หรือการคัดกรองผู้สมัครงาน องค์กรอาจไม่สามารถใช้อ้างฐาน Legitimate Interests ได้ แต่อาจต้องใช้ฐานความยินยอม (Consent) หรือฐานสัญญาแทน
- ความเชื่อมโยงกับ DPIA เนื่องจาก AI มีความเสี่ยงเรื่องประมวลผลที่ไม่โปร่งใส (Black Box Effect) หากผลการประเมิน Balancing Test พบว่ากิจกรรมประมวลผลมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคล องค์กรจำเป็นต้องจัดทำการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (Data Protection Impact Assessment: DPIA) ควบคู่ไปด้วยเสมอ
แนวทางการกำหนดมาตรการคุ้มครอง (Safeguards) และ Data Governance
เพื่อลดความเสี่ยงจากการใช้ AI ให้อยู่ในระดับที่ยอมรับได้ องค์กรควรกำหนดมาตรการคุ้มครองที่เหมาะสม ดังนี้
- Data Minimization & Anonymization: เลือกใช้เฉพาะข้อมูลที่จำเป็น หรือแปลงข้อมูลให้อยู่ในรูปแบบที่ไม่สามารถระบุตัวตนได้ (Anonymization) หรือใช้ข้อมูลแฝง (Pseudonymization) ก่อนนำเข้าสู่โมเดล AI
- Model & Data Transparency ควบคุมดูแลชุดข้อมูลที่นำมาใช้ฝึกฝน AI (Training Data) ให้มีความถูกต้อง ลดความลำเอียง และสื่อสารขอบเขตการทำงานของ AI ให้เจ้าของข้อมูลทราบอย่างเปิดเผย อ่านต่อ : ความเสี่ยงเชิงผลลัพธ์ของ AI ได้ที่ ทำไม AI ไม่ทำข้อมูลรั่ว แต่ยังสร้างความเสียหายและผิดกฎหมาย PDPA ได้
- Human-in-the-loop กำหนดให้มีเจ้าหน้าที่ตรวจสอบการตัดสินใจของ AI ก่อนนำผลลัพธ์ไปใช้งานจริง ศึกษาแนวทางการวางมาตรการลดความเสี่ยงระบบอัตโนมัติได้ที่ DPIA สำหรับ AI วิธีประเมินความเสี่ยงและ Checklist ตามหลัก PDPA เพื่อป้องกันข้อผิดพลาดที่ส่งผลกระทบต่อบุคคล
Regular Audits ทบทวนการประเมิน LIA และทดสอบประสิทธิภาพของโมเดล AI อย่างสม่ำเสมอ เมื่อมีการปรับเปลี่ยนอัลกอริทึม หรือเปลี่ยนวัตถุประสงค์การใช้งาน
ประโยชน์ด้านความเร็วหรือความสะดวกสบายขององค์กรเป็นเพียงประโยชน์ทางธุรกิจ แต่ไม่ได้ยืนยันความจำเป็นตามกฎหมาย องค์กรยังต้องทดสอบว่ามีวิธีอื่นที่กระทบความเป็นส่วนตัวน้อยกว่าหรือไม่ และผลประโยชน์นั้นคุ้มค่าเมื่อชั่งน้ำหนักกับผลกระทบต่อเจ้าของข้อมูลแล้วหรือไม่
LIA สำหรับ AI ต้องประเมินความเสี่ยงเฉพาะตัวของเทคโนโลยีเพิ่มเติม เช่น ความไม่โปร่งใสของโครงสร้างอัลกอริทึม (Black Box Effect) โอกาสเกิดอคติในการประมวลผล (Algorithmic Bias) และผลกระทบจากการตัดสินใจโดยระบบอัตโนมัติ
องค์กรจะไม่สามารถอ้างฐาน Legitimate Interests ได้ โดยต้องปรับเปลี่ยนกระบวนการประมวลผล เช่น ลดการใช้ข้อมูล เพิ่มมาตรการคุ้มครอง หรือเปลี่ยนไปใช้ฐานกฎหมายอื่นที่เหมาะสม เช่น ฐานความยินยอม (Consent) หรือจัดทำ DPIA เพิ่มเติม
การตัดสินใจใช้ AI ประมวลผลข้อมูลส่วนบุคคลต้องตั้งอยู่บนเหตุผลและหลักฐานที่ตรวจสอบได้ LIA ที่ดีตามมาตรฐาน Three-Part Test ร่วมกับมาตรการกำกับดูแล AI ที่เหมาะสม จะช่วยให้องค์กรขับเคลื่อนนวัตกรรมได้อย่างมั่นใจ ควบคู่ไปกับการคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคลอย่างถูกต้องตามกฎหมาย
อยากนำ AI มาใช้ในองค์กร แต่ยังกังวลเรื่องความปลอดภัยและข้อมูลรั่วไหล?
หลักสูตร “Privacy in AI Era” ช่วยควบคุมความเสี่ยง AI สู่การลงมือทำจริงในสายงานของคุณ
เผยแพร่: 12 ตุลาคม 2569
อัปเดตล่าสุด: 12 ตุลาคม 2569
ช่องทางติดต่อ:
Facebook: PDPA Thailand
Line OA: @pdpathailand
Email: [email protected]
Website: www.pdpathailand.com
