ข่าวต้นเรื่อง: "เตือนสื่อใช้ AI ระวัง PDPA–ลิขสิทธิ์แม้ปกปิดชื่อก็ยังระบุตัวบุคคลได้" (สมาคมนักข่าวนักหนังสือพิมพ์แห่งประเทศไทย) · ค้นหาต้นฉบับ ต่อไปนี้เป็นบทวิเคราะห์ต้นฉบับที่ AI เรียบเรียงขึ้นโดยอ้างอิงข้อเท็จจริงที่ตรวจสอบจากรายงานข่าวจริง 3 แหล่ง (ไม่ใช่การแปลหรือคัดลอกต้นฉบับ) ดูแหล่งอ้างอิงท้ายบทความ

ใช้ AI ระวัง PDPA: แม้ปิดชื่อแต่ยังระบุตัวตนได้ และลิขสิทธิ์เนื้อหา AI

การนำ AI มาใช้ในงานสื่อกำลังท้าทายกรอบกฎหมายข้อมูลส่วนบุคคลและทรัพย์สินทางปัญญาอย่างรุนแรง โดยเฉพาะเมื่อ PDPA กำหนดว่าข้อมูลบริบทสามารถระบุตัวตนได้แม้จะปกปิดชื่อไว้แล้วก็ตาม

ประเด็นนี้จึงมีความสำคัญอย่างยิ่งต่อทนายความและฝ่ายกฎหมายในองค์กรไทยที่ต้องเร่งปรับโครงสร้างการขออนุญาตใช้ข้อมูล (Consent) และกลไกตรวจสอบลิขสิทธิ์ (IP Clearance) ให้สอดคล้องกับมาตรฐานใหม่

มีรายงานว่าหน่วยงานกำกับดูแลและสมาคมสื่อได้จัดอบรมเชิงลึกเพื่อชี้แจงความเสี่ยงทางกฎหมายเหล่านี้ เพื่อให้ผู้ปฏิบัติงานสามารถลดความรับผิดทางกฎหมายจากการสร้างเนื้อหาด้วย AI ได้อย่างมีประสิทธิภาพ

ทำไมตอนนี้: ความเสี่ยงที่มองไม่เห็นจากการใช้ AI ในสื่อ

การอบรมล่าสุดที่จัดขึ้นโดยสมาคมผู้สื่อข่าวไทย กองทุนพัฒนาสื่อปลอดภัย และทรู คอร์ปอเรชัน ได้ชี้ให้เห็นถึงความเสี่ยงที่มองไม่เห็นจากการใช้ AI ในวงการสื่อ โดยเฉพาะประเด็นที่แม้จะปิดบังชื่อผู้เสียหาย แต่บริบทแวดล้อมที่ปรากฏในเนื้อหาอาจทำให้ระบุตัวตนได้ ซึ่งเข้าข่ายข้อมูลส่วนบุคคลภายใต้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) อย่างชัดเจน

• บริบทคือตัวระบุตัวตน: แม้จะปกปิดชื่อ แต่รายละเอียดเฉพาะเจาะจง เช่น สถานที่ เวลา หรือเหตุการณ์เฉพาะหน้า อาจทำให้บุคคลภายนอกสามารถเชื่อมโยงและระบุตัวตนผู้เสียหายได้
• ความรับผิดชอบทางกฎหมาย: ข้อมูลดังกล่าวยังคงถูกจัดว่าเป็นข้อมูลส่วนบุคคลที่ต้องได้รับความยินยอมหรือมีฐานทางกฎหมายในการประมวลผล มิฉะนั้นจะถือเป็นการละเมิด
• ความจำเป็นในการตรวจสอบ: สื่อต้องประเมินความเสี่ยงก่อนเผยแพร่เนื้อหาที่สร้างโดย AI เพื่อป้องกันไม่ให้บริบทที่ซ่อนอยู่กลายเป็นช่องทางในการระบุตัวตนผู้เกี่ยวข้อง

ประเด็นหลัก: ขอบเขตข้อมูลส่วนบุคคลและลิขสิทธิ์ในเนื้อหา AI

ภายใต้หลักเกณฑ์ของ PDPA ข้อมูลบริบทที่เพียงพอต่อการระบุตัวตนของบุคคลหนึ่งๆ ย่อมถูกจัดประเภทเป็นข้อมูลส่วนบุคคล แม้ว่าจะมีการปกปิดชื่อจริงก็ตาม หากสื่อมวลชนนำข้อมูลลักษณะนี้ไปประมวลผลโดยระบบ AI โดยไม่มีการพิจารณาความเสี่ยงด้านความเป็นส่วนตัว อาจเข้าข่ายละเมิดหลักการคุ้มครองข้อมูลส่วนบุคคลได้ เนื่องจากความสามารถในการระบุตัวตนนั้นไม่ได้อยู่ที่การเปิดเผยชื่อโดยตรง แต่อยู่ที่ความเชื่อมโยงของข้อมูลแวดล้อม

ในมิติของทรัพย์สินทางปัญญา เนื้อหาที่สร้างโดย AI อาจไม่ได้รับความคุ้มครองลิขสิทธิ์ หากขาดองค์ประกอบสำคัญคือการสร้างสรรค์จากมนุษย์ (Human Creativity) การพึ่งพาผลลัพธ์จาก AI อย่างสมบูรณ์โดยไม่มีกระบวนการแก้ไขหรือสร้างสรรค์เพิ่มเติมจากนักข่าว อาจทำให้ผลงานนั้นตกเป็นพื้นที่สาธารณะหรือขาดสถานะความเป็นเจ้าของที่ชัดเจนตามกฎหมาย ซึ่งสร้างความเสี่ยงทางกฎหมายให้แก่องค์กรสื่อในกรณีที่มีข้อพิพาท

• ข้อมูลบริบทที่ระบุตัวตนได้ถือเป็นข้อมูลส่วนบุคคลตาม PDPA แม้ไม่เปิดเผยชื่อ
• เนื้อหา AI ขาดการสร้างสรรค์จากมนุษย์อาจไม่ได้รับความคุ้มครองลิขสิทธิ์
• การนำข้อมูลอ่อนไหวไปป้อนระบบ AI ต้องมีกลไกการขออนุญาตอย่างชัดเจน

ผลกระทบเชิงปฏิบัติ: ช่องโหว่ในแพ็กเกจ AI องค์กร

การนำเครื่องมือ AI มาใช้ในองค์กรสื่อไม่ได้เป็นเพียงเรื่องของการสร้างเนื้อหา แต่ยังเป็นจุดเสี่ยงทางกฎหมายที่อาจละเมิดพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) ได้โดยไม่รู้ตัว โดยเฉพาะเมื่อองค์กรเลือกใช้แพ็กเกจ AI ระดับองค์กร (Enterprise AI) ที่มักมีกลไกการจัดการผู้ดูแลระบบ (Administrator) ซึ่งหากมีการตั้งค่าระบบที่ไม่ได้จำกัดขอบเขตอย่างชัดเจน ผู้ดูแลระบบอาจสามารถเข้าถึงบันทึกการสนทนาหรือข้อมูลป้อนเข้า (Input) ของพนักงานทุกคนได้โดยอัตโนมัติ โดยไม่มีการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ซึ่งถือเป็นการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลที่ไม่ได้ระบุวัตถุประสงค์ที่ชัดเจน

เพื่อป้องกันความเสี่ยงดังกล่าว องค์กรควรทบทวนและกำหนดนโยบายการใช้งาน AI ดังนี้:

• จำกัดสิทธิ์การเข้าถึง (Least Privilege): กำหนดให้ระบบ AI มีสิทธิ์เข้าถึงข้อมูลเฉพาะส่วนที่จำเป็นต่อการปฏิบัติงานเท่านั้น และต้องไม่อนุญาตให้ฝ่าย IT หรือผู้ดูแลระบบสามารถอ่านเนื้อหาสนทนาหรือข้อมูลดิบของพนักงานได้โดยไม่ได้รับอนุญาต
• กลไกการตรวจสอบโดยมนุษย์ (Human-in-the-Loop): สำหรับงานที่มีความสำคัญหรือเกี่ยวข้องกับข้อมูลอ่อนไหว ต้องมีขั้นตอนให้บุคลากรตรวจสอบความถูกต้องและอนุมัติก่อนที่ระบบจะดำเนินการต่อ เพื่อลดความเสี่ยงจากการตัดสินใจโดยอัตโนมัติ
• การตั้งค่าความเป็นส่วนตัว (Privacy Settings): ตรวจสอบเงื่อนไขการใช้งาน (Terms of Service) และตั้งค่าระบบให้ปิดการเก็บข้อมูลสำหรับการฝึกโมเดล (Model Training) หากไม่มีความจำเป็น และยืนยันว่าข้อมูลป้อนเข้าจะไม่ถูกนำไปใช้โดยบุคคลที่สาม

สิ่งที่ต้องตรวจสอบ: การจัดการข้อมูลก่อนป้อนเข้าสู่ระบบ

สิ่่งที่ต้อตรวจสอบ: การจัดการข้อมูลก่อนป้อนเข้าสู่ระบบ

การป้อนข้อมูลเข้าสู่ระบบ AI จำเป็นต้องมีการจัดการข้อมูลส่วนบุคคลอย่างเคร่งครัด โดยเฉพาะการลบหรือทำให้ข้อมูลไม่ระบุตัวตน (Anonymization) ก่อนอัปโหลดไฟล์เข้าสู่ระบบ เพื่อลดความเสี่ยงที่ข้อมูลอ่อนไหวจะถูกนำไปประมวลผลโดยไม่ได้รับอนุญาต แม้การปกปิดชื่อโดยตรงอาจดูเหมือนเพียงพอ แต่หากบริบทแวดล้อมยังระบุตัวตนบุคคลได้ ข้อมูลนั้นยังคงถือเป็นข้อมูลส่วนบุคคลตามหลัก PDPA

• การลบข้อมูลอ่อนไหว: ต้องตรวจสอบและลบข้อมูลอ่อนไหว เช่น ความเชื่อทางการเมือง หรือประวัติสุขภาพ ออกจากไฟล์ก่อนป้อนเข้าสู่ระบบ AI
• การทำให้ไม่ระบุตัวตน: การปกปิดชื่อเพียงอย่างเดียวอาจไม่เพียงพอ หากข้อมูลบริบทยังคงระบุตัวตนบุคคลได้ ควรพิจารณาการทำให้ข้อมูลไม่ระบุตัวตนอย่างสมบูรณ์
• การได้รับอนุญาต: ข้อมูลอ่อนไหวต้องได้รับอนุญาตอย่างชัดเจนจากผู้เป็นเจ้าของข้อมูลก่อนนำไปใช้ในระบบ AI

แนวทางปฏิบัติ: กลไกการให้สิทธิ์และการตรวจสอบโดยมนุษย์

ในการออกแบบระบบปฏิบัติการสำหรับ AI Agent ในองค์กรสื่อ ควรยึดหลัก Least Privilege เป็นแกนกลางในการมอบสิทธิการเข้าถึงข้อมูล กล่าวคือ AI ต้องได้รับเฉพาะสิทธิที่จำเป็นต่อการปฏิบัติงานเท่านั้น เพื่อจำกัดขอบเขตการเข้าถึงข้อมูลส่วนบุคคลและลดความเสี่ยงจากการรั่วไหลของข้อมูล หากพิจารณาจากข้อเท็จจริงที่มีรายงานไว้ การซื้อแพ็กเกจ AI สำหรับองค์กรไม่ได้หมายความว่าระบบจะปลอดภัยโดยอัตโนมัติ หากไม่มีการกำหนดขอบเขตการเข้าถึงอย่างชัดเจน ผู้ดูแลระบบอาจสามารถเข้าถึงบันทึกการสนทนาหรือข้อมูลของพนักงานได้ทั้งหมด ซึ่งขัดกับหลักการคุ้มครองข้อมูลส่วนบุคคล

ดังนั้น องค์กรควรกำหนดกลไก Human-in-the-loop หรือการตรวจสอบโดยมนุษย์ก่อนดำเนินการสำคัญ (Critical Actions) โดยเฉพาะขั้นตอนที่เกี่ยวข้องกับการเผยแพร่เนื้อหาหรือการประมวลผลข้อมูลที่มีความอ่อนไหว การมีมนุษย์คอยกำกับดูแลจะช่วยลดความเสี่ยงที่ AI อาจตีความบริบทผิดพลาดหรือละเมิดสิทธิส่วนบุคคลโดยไม่ตั้งใจ นอกจากนี้ การกำหนดขั้นตอนการตรวจสอบนี้ยังช่วยสร้างความมั่นใจว่าเนื้อหาที่สร้างขึ้นผ่าน AI ได้ผ่านเกณฑ์การพิจารณาทางจริยธรรมและกฎหมายก่อนเข้าสู่กระบวนการเผยแพร่จริง

• จำกัดสิทธิการเข้าถึง (Least Privilege): กำหนดให้ AI Agent เข้าถึงเฉพาะข้อมูลส่วนที่จำเป็นต่อการปฏิบัติงาน เพื่อป้องกันไม่ให้ระบบเข้าถึงข้อมูลส่วนบุคคลที่ไม่เกี่ยวข้อง
• กลไกตรวจสอบโดยมนุษย์ (Human Verification): กำหนดให้ต้องมีมนุษย์ตรวจสอบและอนุมัติก่อนดำเนินการสำคัญหรือก่อนเผยแพร่เนื้อหา เพื่อลดความเสี่ยงด้านความถูกต้องและจริยธรรม
• การควบคุมการเข้าถึงของระบบ: ตรวจสอบว่าผู้ดูแลระบบมีขอบเขตการเข้าถึงข้อมูลภายในองค์กรอย่างเหมาะสม และมีการบันทึกการเข้าถึง (Audit Log) เพื่อความโปร่งใส

คำถามที่พบบ่อย

การปกปิดชื่อในเนื้อหา AI ยังถือเป็นการละเมิด PDPA หรือไม่

ข้อมูลยังคงถือเป็นข้อมูลส่วนบุคคลภายใต้ PDPA หากบริบทแวดล้อมสามารถระบุตัวตนของบุคคลนั้นได้ การปกปิดเพียงชื่อจึงไม่เพียงพอต่อการปกป้องข้อมูลส่วนบุคคล

เนื้อหาที่สร้างโดย AI มีลิขสิทธิ์หรือไม่

เนื้อหาที่สร้างโดย AI อาจไม่ได้รับความคุ้มครองลิขสิทธิ์หากมนุษย์ไม่ได้มีส่วนสร้างสรรค์อย่างเพียงพอ การตรวจสอบส่วนร่วมของมนุษย์จึงมีความสำคัญต่อสถานะทางกฎหมาย

ควรจัดการข้อมูลส่วนบุคคลก่อนป้อนเข้าสู่ระบบ AI อย่างไร

ควรลบหรือทำข้อมูลให้ไม่ระบุตัวตน (Anonymize) ข้อมูลส่วนบุคคลที่ไม่จำเป็นออกก่อนอัปโหลดไฟล์ การดำเนินการนี้ช่วยลดความเสี่ยงด้านความเป็นส่วนตัวและปฏิบัติตามหลัก PDPA

แหล่งอ้างอิง

• tja.or.th
• law.utcc.ac.th
• arit.rmutt.ac.th