ใช้ AI กับข้อมูลบริษัทอย่างเป็นส่วนตัวและสอดคล้องกับ PDPA

เมื่อบริษัทตัดสินใจใช้ AI กับข้อมูลของตัวเอง คำถามแรกมักไม่ใช่เรื่องฟีเจอร์ แต่เป็นคำถามนี้ หากนำใบเสนอราคา ราคาซัพพลายเออร์ และข้อมูลลูกค้าเข้าระบบ AI ข้อมูลจะรั่วไหล หรือถูกนำไปฝึกโมเดลของคนอื่นหรือไม่

เป็นความกังวลที่สมเหตุสมผล และมีคำตอบเชิงปฏิบัติ บทความนี้อธิบายว่าข้อมูลของคุณไปที่ไหนในแอปพลิเคชัน AI ควรถามอะไรจากผู้ให้บริการทุกราย ออกแบบระบบอย่างไรให้ความเสี่ยงลดลง และ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ของไทยเกี่ยวข้องอย่างไรด้วยภาษาที่เข้าใจง่าย เนื้อหาเป็นข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย

ข้อมูลของคุณไปที่ไหนบ้างในแอปพลิเคชัน AI

“AI” ไม่ใช่กล่องเดียว ในแอปพลิเคชันธุรกิจทั่วไปที่สร้างบนคลังข้อมูลของคุณ ข้อมูลเดินทางผ่าน 4 จุด และแต่ละจุดมีความเสี่ยงของตัวเอง

1. ฐานข้อมูลของคุณ คือคลังข้อมูลเอง ได้แก่ เอกสาร งาน ซัพพลายเออร์ ราคา และข้อมูลลูกค้า เป็นที่เก็บสำเนาหลัก
2. ส่วนย่อย คือข้อมูลสั้น ๆ ที่มีโครงสร้างซึ่งสกัดจากเอกสาร เพื่อให้ AI ไม่ต้องอ่านไฟล์ต้นฉบับทุกครั้ง อ่านเหตุผลที่มีประโยชน์ได้ในคู่มือสร้างฐานความรู้ AI จากใบแจ้งหนี้และใบเสนอราคา ส่วนย่อยเกิดจากข้อมูลของคุณ จึงอ่อนไหวเท่ากับข้อมูลต้นทาง
3. ผู้ให้บริการโมเดลในแต่ละคำขอ เมื่อมีคนถามคำถามหรือสั่งให้ร่างเอกสาร ส่วนย่อยที่เกี่ยวข้องและคำถามจะถูกส่งไปยังโมเดลที่ผู้ให้บริการรันอยู่ นี่คือจุดที่คนกังวลมากที่สุด และเป็นจุดที่คุณควบคุมได้มากที่สุดด้วยการเลือกว่าจะส่งอะไร
4. บันทึกการทำงาน (log) แอปพลิเคชันบันทึกคำขอ คำตอบ และข้อผิดพลาด log อาจมีข้อความอ่อนไหวเหมือนตัวข้อมูล จึงต้องปกป้องในระดับเดียวกันและกำหนดระยะเวลาเก็บรักษา

หากผู้ให้บริการอธิบาย 4 จุดนี้สำหรับผลิตภัณฑ์ของตัวเองไม่ได้ ให้ถือเป็นสัญญาณเตือน

คำถามที่ควรถามผู้ให้บริการ AI ทุกราย

ถามผู้ให้บริการและนักพัฒนาทุกรายเป็นลายลักษณ์อักษรก่อนนำข้อมูลเข้าระบบ

คำถาม	คำตอบที่ดูน่าเชื่อถือ
ข้อมูลของเราถูกนำไปฝึกโมเดลหรือไม่	ตอบชัดว่า “ไม่” และระบุไว้ในสัญญาหรือเงื่อนไขของบริการที่คุณใช้จริง
ประมวลผลและจัดเก็บที่ไหน	ระบุภูมิภาคชัดเจน และอธิบายตรงไปตรงมาหากมีการส่งข้อมูลไปยังประเทศอื่น
เก็บรักษานานเท่าไร	ระบุระยะเวลาสำหรับคำขอ ผลลัพธ์ และ log พร้อมวิธีกำหนดให้สั้นลงได้
ใครเข้าถึงได้บ้าง	กำหนดสิทธิ์ตามบทบาท ให้พนักงานเห็นเท่าที่จำเป็น และมีบันทึกการเข้าถึงว่าใครทำอะไร
ส่งออกและลบข้อมูลได้ไหม	ได้ ในรูปแบบที่นำไปใช้ต่อได้ รวมถึงการลบตามคำขอและเมื่อสิ้นสุดสัญญา

เรื่องสถานที่ประมวลผล หากส่งข้อมูลส่วนบุคคลไปยังผู้ให้บริการที่เซิร์ฟเวอร์อยู่นอกประเทศไทย ถือเป็นการส่งข้อมูลไปต่างประเทศ ซึ่ง PDPA กำหนดเงื่อนไขไว้ ให้ถามว่าประมวลผลที่ไหน และให้ที่ปรึกษาของคุณยืนยันว่ากรณีของคุณต้องทำอะไรบ้าง

การออกแบบที่ช่วยลดความเสี่ยง

ปัญหาความเป็นส่วนตัวจำนวนมากถูกกำหนดโดยวิธีออกแบบระบบ ไม่ใช่โมเดลที่เลือกใช้

• ส่งเฉพาะส่วนย่อยที่จำเป็น คำถามเรื่องราคาต้องการระเบียนที่เกี่ยวข้อง 3-4 รายการ ไม่ใช่ทั้งคลัง ส่งน้อยลงก็เสี่ยงน้อยลง
• ตัดสิ่งที่ไม่จำเป็นออก หากงานคือการประเมินราคา AI ไม่ต้องรู้เบอร์โทรของลูกค้าหรือชื่อผู้ลงนาม ให้ลบหรือปิดบังข้อมูลส่วนบุคคลก่อนออกจากระบบของคุณ
• บทบาทและสิทธิ์การเข้าถึง ฝ่ายขาย ฝ่ายการเงิน และผู้บริหารมักต้องการมุมมองต่างกัน อัตรากำไรอาจให้เห็นเฉพาะบางคน
• คนตรวจทาน ให้คนตรวจทุกอย่างที่จะส่งถึงลูกค้าหรือเปลี่ยนแปลงระเบียน ช่วยรักษาความถูกต้องและจับการเปิดเผยข้อมูลโดยไม่ตั้งใจ
• เก็บคลังข้อมูลไว้ในฐานข้อมูลที่คุณควบคุมเอง ระเบียนของคุณควรอยู่ในระบบที่ส่งออกและลบข้อมูลได้ ไม่ใช่อยู่แค่ในเครื่องมือของผู้ให้บริการ

เราใช้แนวคิดนี้เมื่อสร้างเครื่องมือ AI บนคลังข้อมูลของบริษัท เช่นแพลตฟอร์มข้อมูลของ Bangkok Productions ซึ่ง AI ดึงข้อมูลจากฐานความรู้ที่มีโครงสร้างของงานในอดีต ไม่ใช่ไฟล์กระจัดกระจาย บทความนี้ไม่ได้อ้างสิ่งใดเกินกว่านี้เกี่ยวกับการรักษาความปลอดภัยของระบบใดระบบหนึ่ง ควรสอบถามรายละเอียดจากผู้ให้บริการของคุณเสมอ

PDPA ของไทยโดยสรุปอย่างเข้าใจง่าย

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) กำกับดูแลวิธีที่องค์กรเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล หน่วยงานกำกับคือคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยสรุปมีดังนี้

• ฐานทางกฎหมาย คุณต้องมีเหตุผลที่ชอบด้วยกฎหมายในการจัดการข้อมูลส่วนบุคคล เช่น ความยินยอม สัญญา หน้าที่ตามกฎหมาย หรือประโยชน์โดยชอบด้วยกฎหมาย เป็นต้น
• การจำกัดวัตถุประสงค์ เก็บและใช้ข้อมูลตามวัตถุประสงค์ที่แจ้งไว้ และไม่นำไปใช้กับเรื่องที่ไม่เกี่ยวข้องโดยไม่บอกกล่าว
• สิทธิของเจ้าของข้อมูล บุคคลขอทราบได้ว่าคุณเก็บข้อมูลอะไรของเขา และอาจมีสิทธิเข้าถึง แก้ไข หรือขอให้ลบข้อมูลในบางกรณี
• มาตรการรักษาความปลอดภัย คุณต้องปกป้องข้อมูลส่วนบุคคลด้วยมาตรการทางเทคนิคและการจัดการที่เหมาะสม การใช้ผู้ให้บริการไม่ได้ทำให้หน้าที่นี้หมดไปจากคุณ

หากคุณเก็บข้อมูลลูกค้าผ่าน LINE บทความเรื่องการเชื่อม LINE กับ CRM รวมถึงเรื่องความยินยอมอธิบายแนวปฏิบัติไว้ สำหรับคำถามเฉพาะ เช่น คลังเอกสารของคุณต้องมีประกาศขอความยินยอมหรือไม่ หรือจัดการการประมวลผลในต่างประเทศอย่างไร ให้ถามที่ปรึกษาผู้เชี่ยวชาญ PDPC เผยแพร่แนวทางอย่างเป็นทางการและเป็นแหล่งอ้างอิงที่มีอำนาจสูงสุด

ข้อมูลลับทางธุรกิจเป็นอีกเรื่องหนึ่ง

PDPA คุ้มครองข้อมูลส่วนบุคคล ส่วนราคาซัพพลายเออร์ อัตรากำไร รายชื่อลูกค้า และกลยุทธ์การตั้งราคาเป็นข้อมูลลับทางธุรกิจ PDPA ไม่ครอบคลุมข้อมูลเหล่านี้ แต่หากรั่วไหลก็อาจสร้างความเสียหายอย่างมากต่อธุรกิจ

ดังนั้นต้องจัดการทั้งสองอย่าง ใช้ PDPA กับข้อมูลส่วนบุคคล และใช้สัญญา การควบคุมการเข้าถึง และการจำกัดสิ่งที่ส่งออกอย่างเหมาะสมสำหรับข้อมูลเชิงพาณิชย์ รายการราคาของซัพพลายเออร์อาจเข้าข่ายทั้งสองประเภทหากมีชื่อบุคคลอยู่ด้วย

เช็กลิสต์ก่อนเริ่มใช้งานจริง

• ทำแผนผัง 4 จุดที่ข้อมูลเดินทางผ่าน ได้แก่ ฐานข้อมูล ส่วนย่อย ผู้ให้บริการโมเดล และ log
• แยกให้ชัดว่าข้อมูลใดเป็นข้อมูลส่วนบุคคล ข้อมูลใดเป็นข้อมูลลับ และข้อมูลใดไม่เข้าข่ายทั้งสองอย่าง
• ขอคำตอบจากผู้ให้บริการเรื่องการฝึกโมเดล สถานที่ประมวลผล ระยะเวลาเก็บรักษา การเข้าถึง บันทึกการเข้าถึง การส่งออก และการลบข้อมูล
• ลบข้อมูลส่วนบุคคลที่งานไม่ได้ใช้
• กำหนดบทบาทและสิทธิ์การเข้าถึง และเปิดใช้บันทึกการเข้าถึง
• ให้คนตรวจทานทุกจุดที่ผลลัพธ์ไปถึงลูกค้า
• กำหนดระยะเวลาเก็บรักษา log และผลลัพธ์
• ให้ที่ปรึกษาผู้เชี่ยวชาญตรวจสอบเรื่องความยินยอม ฐานทางกฎหมาย และการส่งข้อมูลไปต่างประเทศ

ขั้นตอนถัดไป

เริ่มจากเช็กลิสต์ แล้วเลือกหนึ่งกระบวนการมาทดลอง หากยังไม่แน่ใจว่าควรเลือกอะไร คู่มือกระบวนการทางธุรกิจแบบไหนที่คุ้มค่าจะใช้ AI ทำให้เป็นอัตโนมัติช่วยจัดลำดับได้ หากต้องการหารือเรื่องเครื่องมือ AI ที่สร้างบนข้อมูลของคุณเอง โดยออกแบบความเป็นส่วนตัวไว้ตั้งแต่ต้น ดูโปรเจกต์เว็บและแอปพลิเคชันของเรา หรือติดต่อเรา แล้วบอกว่าคุณมีข้อมูลอะไรและอยากทำอะไรกับข้อมูลนั้น