PDPA คืออะไร แบบสั้นที่สุด#

PDPA (อ่านว่า พี-ดี-พี-เอ ย่อมาจาก Personal Data Protection Act หรือชื่อไทยคือ “พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล”) เป็นกฎหมายไทยที่ออกมาตั้งแต่ปี 2562 และเริ่มบังคับใช้เต็มรูปแบบเมื่อกลางปี 2565 ครับ

ถ้าให้ผมสรุปหัวใจของมันเหลือประโยคเดียว มันคือกฎหมายที่บอกว่า — “ข้อมูลส่วนตัวของคน ไม่ใช่ของคุณ ต่อให้มันบังเอิญมาอยู่ในมือคุณก็ตาม”

ลองนึกภาพง่ายๆ แบบนี้ครับ ข้อมูลลูกค้าที่คุณเก็บไว้ — ชื่อ เบอร์โทร ที่อยู่ อีเมล ประวัติการซื้อของ — มันเหมือน ของฝากที่ลูกค้าเอามาฝากไว้ในตู้เซฟร้านคุณ คุณดูแลมันได้ เก็บมันไว้ได้ ใช้มันได้ตามที่ตกลงกัน แต่คุณจะเอาของในตู้เซฟไปทำอะไรนอกเหนือจากที่เจ้าของเขายอมไว้ไม่ได้ และวันไหนเจ้าของจะมาขอคืน คุณก็ต้องคืน

PDPA วางหลักไว้ประมาณนี้ครับ (ผมเล่าแบบหลวมๆ ให้เห็นภาพ ไม่ลงรายมาตรา):

• ก่อนจะเก็บหรือใช้ข้อมูลส่วนตัวของใคร โดยทั่วไปคุณต้อง มีฐานที่ทำได้ — บ่อยที่สุดคือต้องได้ ความยินยอม (consent) จากเจ้าของข้อมูลก่อน
• ต้องบอกเขาให้ชัดว่าจะเอาข้อมูลไป ใช้ทำอะไร — และจะใช้นอกเหนือจากที่บอกไว้ไม่ได้
• เจ้าของข้อมูลมีสิทธิ์ขอดู ขอแก้ หรือขอให้ลบข้อมูลของตัวเองได้
• ข้อมูลบางประเภทที่อ่อนไหวเป็นพิเศษ (เช่น ข้อมูลสุขภาพ ข้อมูลการเงิน ข้อมูลชีวภาพอย่างลายนิ้วมือ/ใบหน้า) คุมเข้มกว่าปกติ ต้องได้ความยินยอมแบบชัดแจ้งจริงๆ

แล้ว AI มันมาเกี่ยวตรงไหน#

ตรงนี้แหละครับคือจุดที่หลายคนพลาด AI ส่วนใหญ่ทำงานได้ดีก็เพราะมัน “กินข้อมูล” ยิ่งเราป้อนข้อมูลลูกค้าให้มันเยอะ มันยิ่งวิเคราะห์ได้แม่น — แต่ปัญหาคือ ข้อมูลที่เราป้อนเข้าไปนั้น มันคือข้อมูลส่วนตัวของลูกค้าที่ PDPA คุ้มครองอยู่

ลองดูเส้นแบ่งง่ายๆ ที่ผมสมมติเป็นตัวอย่างให้นะครับ (ย้ำว่าเป็นตัวอย่าง สมมติ ที่ผมแต่งขึ้นเองเพื่อให้เห็นภาพ ไม่ใช่เคสจริงของใคร)

เห็นเส้นแบ่งไหมครับ มันไม่ได้อยู่ที่ว่า “ใช้ AI หรือไม่ใช้” แต่อยู่ที่ว่า “คุณเอาข้อมูลส่วนตัวของใครยัดเข้าไปในนั้นหรือเปล่า แล้วเขายอมให้ทำแบบนั้นไหม”

มีอีกจุดที่คนมองข้ามบ่อยมากครับ — เวลาเราเอาข้อมูลลูกค้าไปป้อนให้ AI สาธารณะที่อยู่บนเน็ต (เช่น เครื่องมือฟรีๆ ที่ใครก็เข้าไปพิมพ์ได้) เราต้องเข้าใจว่าข้อมูลนั้น มันหลุดออกจากบ้านเราไปอยู่ในมือคนอื่นแล้ว เครื่องมือบางตัวเขาเขียนเงื่อนไขไว้เลยว่าเอาสิ่งที่เราพิมพ์เข้าไปไปใช้ปรับปรุงระบบเขาต่อได้ด้วย เท่ากับว่าข้อมูลลูกค้าของเราอาจไปโผล่ในที่ที่เราควบคุมไม่ได้อีกแล้ว ในมุม PDPA นี่คือการ “ส่งข้อมูลออกไปข้างนอก” ที่ต้องคิดให้หนักครับ

โดนจริงไหม หรือแค่ขู่#

หลายคนอาจคิดว่า “โอ๊ย กฎหมายพวกนี้เขาคงไม่มาเล่นงานร้านเล็กๆ อย่างเราหรอก” ผมเข้าใจความรู้สึกนั้นครับ แต่ขอเล่าตามจริงแบบหลวมๆ ว่า — ที่ผ่านมาหน่วยงานที่ดูแล PDPA ของไทยเขา เริ่มออกคำสั่งปรับกันจริงแล้ว และค่าปรับทางปกครองมันไม่ใช่เลขเล็กๆ นะครับ กฎหมายเปิดช่องให้ปรับได้ถึงระดับ หลายล้านบาท ต่อกรณี และเคยมีองค์กรโดนปรับเป็นเงินก้อนใหญ่มาแล้วจากการดูแลข้อมูลส่วนบุคคลไม่ดีพอ

ผมไม่อยากให้ตัวเลขที่ผมจำมาไม่เป๊ะมาทำให้คุณเข้าใจผิด เลยขอเล่าแค่ “ทิศทาง” ครับ — ทิศทางคือ เอาจริงขึ้นเรื่อยๆ ไม่ใช่กฎหมายที่ออกมาแล้วนอนหลับ ฉะนั้นคิดว่า “เราเล็ก คงไม่โดน” เป็นการเดิมพันที่ไม่คุ้มเท่าไหร่ครับ

💡 มุมเจ้าของกิจการ: ก่อนจะเอาข้อมูลอะไรป้อน AI ลองถามตัวเองสั้นๆ สามข้อครับ — (1) “ในนี้มีข้อมูลที่ระบุตัวลูกค้าได้ไหม” (2) “ลูกค้าเคยยอมให้เราเอาข้อมูลเขาไปใช้แบบนี้รึเปล่า” (3) “ถ้าข้อมูลนี้หลุดไปอยู่ในมือคนอื่น ผมรับได้ไหม” ถ้าสามข้อนี้ทำให้คุณลังเล — แปลว่ายังไม่ควรโยนเข้าไปครับ ทางที่ปลอดภัยกว่าคือ ลบข้อมูลที่ระบุตัวคนออกก่อน (เช่น เปลี่ยนชื่อจริงเป็น “ลูกค้า A”) หรือเลือกใช้เครื่องมือที่ออกแบบมาให้ข้อมูลอยู่ในบ้านเราจริงๆ

หลักของลิขสิทธิ์ไทยที่ต้องเข้าใจก่อน#

กฎหมายลิขสิทธิ์ไทยมีหลักพื้นฐานที่สำคัญมากอยู่อย่างนึงครับ — งานที่จะได้รับการคุ้มครองลิขสิทธิ์ โดยหลักแล้วมันต้องเกิดจาก “คน” ที่ใช้ความคิดสร้างสรรค์ของตัวเองสร้างมันขึ้นมา พูดง่ายๆ คือกฎหมายเขาออกแบบมาเพื่อปกป้อง ผลงานสร้างสรรค์ของมนุษย์ ครับ

ทีนี้ปัญหามันอยู่ตรงนี้ — แล้วถ้าภาพนั้นมัน “AI วาด” ล่ะ? AI ไม่ใช่คน แล้วงานที่ออกมาจากการพิมพ์คำสั่งสั้นๆ ให้ AI ไปวาดเองทั้งหมด มันยังนับเป็น “ผลงานสร้างสรรค์ของมนุษย์” อยู่ไหม?

นี่คือคำถามที่กฎหมายลิขสิทธิ์ไทยฉบับปัจจุบัน ยังไม่ได้เขียนตอบไว้ตรงๆ ครับ เพราะกฎหมายมันร่างมาตั้งแต่ยุคที่ยังไม่มี AI วาดรูปได้แบบทุกวันนี้ ตอนนี้เลยกลายเป็นพื้นที่ที่ยัง “คลุมเครือ” และต้องรอให้ชัดขึ้นในอนาคต

เส้นแบ่งที่พอจับทางได้#

ถึงกฎหมายจะยังไม่ชัด แต่จากหลักที่ว่า “ลิขสิทธิ์ปกป้องความคิดสร้างสรรค์ของคน” เราพอลากเส้นทางคร่าวๆ ได้ประมาณนี้ครับ (ย้ำว่านี่คือการ “พอจับทาง” ไม่ใช่คำตอบที่ฟันธงได้ เพราะของจริงต้องดูเป็นกรณีๆ ไป)

ทิศทางที่พอเห็นได้คือ — ยิ่ง “คน” ใส่ความคิดสร้างสรรค์ลงไปในงานมากเท่าไหร่ โอกาสที่งานนั้นจะได้รับการคุ้มครองก็ยิ่งมากขึ้น ส่วนงานที่ AI ทำให้แทบทั้งหมดโดยคนแค่กดปุ่ม ตรงนั้นแหละที่ความเป็นเจ้าของมันลอยๆ

อีกด้านที่อันตรายกว่า — ของที่ AI “หยิบมา” จากคนอื่น#

มีมุมลิขสิทธิ์อีกด้านที่ผมว่าเจ้าของกิจการต้องระวังยิ่งกว่าเรื่อง “ของเราเป็นของเราไหม” ด้วยซ้ำครับ นั่นคือ — AI มันไปหยิบของคนอื่นมาให้เราโดยที่เราไม่รู้ตัวหรือเปล่า

AI ที่วาดรูป แต่งเพลง เขียนข้อความได้ มันเก่งขึ้นมาจากการ “เรียนรู้” จากงานจำนวนมหาศาลบนอินเทอร์เน็ต ซึ่งในกองข้อมูลนั้นก็มีงานที่มีลิขสิทธิ์ของคนอื่นปนอยู่ด้วย บางครั้ง AI อาจสร้างของออกมา คล้ายงานของคนอื่นมากเกินไป จนถ้าเราเอาไปใช้เชิงพาณิชย์ เราอาจกลายเป็นคนไปละเมิดลิขสิทธิ์เขาเข้าโดยไม่ได้ตั้งใจ

ลองนึกภาพสมมติแบบนี้ครับ — เจ้าของร้านให้ AI ออกแบบมาสคอตน่ารักๆ ให้แบรนด์ แล้วบังเอิญหน้าตามันดันไปคล้ายตัวการ์ตูนดังของค่ายใหญ่เข้า พอเอาไปพิมพ์ลงสินค้าขายจริง วันดีคืนดีเจ้าของลิขสิทธิ์ตัวจริงเขาทักมา — ตรงนี้คนที่เดือดร้อนคือเรา ไม่ใช่ AI ครับ เพราะ AI มันรับผิดแทนเราไม่ได้

💡 มุมเจ้าของกิจการ: ถ้าจะเอางานที่ AI สร้างไปใช้ “หาเงิน” จริงจัง (โลโก้แบรนด์ แพ็กเกจสินค้า โฆษณาที่ลงทุนเยอะ) อย่าใช้ทั้งดุ้นแบบหลับหูหลับตาครับ สองอย่างที่ควรทำคือ (1) ให้คนในทีมเอามาปรับแต่ง ใส่ความเป็นแบรนด์เราลงไป เพื่อให้มัน “เป็นงานของเรา” มากขึ้น และ (2) เช็กก่อนว่ามันไปคล้ายงานใครที่มีชื่อเสียงเข้าหรือเปล่า งานเล่นๆ ในเพจประจำวันไม่ต้องซีเรียสขนาดนั้น แต่งานที่เป็นหน้าเป็นตาของแบรนด์ ลงแรงตรวจนิดนึงคุ้มกว่ามาแก้ทีหลังเยอะครับ

EU AI Act คืออะไร แบบสั้นๆ#

ฝั่งยุโรปเขาออกกฎหมายที่เรียกว่า EU AI Act (อ่านว่า อี-ยู เอไอ แอ็กต์ — กฎหมายว่าด้วยปัญญาประดิษฐ์ของสหภาพยุโรป) ซึ่งถือเป็นกฎหมายคุม AI แบบครอบคลุมฉบับใหญ่ฉบับแรกๆ ของโลก แนวคิดหลักของมันคือ แบ่งการใช้ AI เป็นระดับความเสี่ยง — ยิ่งใช้ AI ในเรื่องที่กระทบคนมาก (เช่น ตัดสินใจเรื่องสำคัญในชีวิตคน) ก็ยิ่งต้องทำตามกฎเข้มขึ้น บางการใช้งานที่อันตรายเกินไปก็ห้ามเลย

แล้วทำไมมันถึง “เอื้อมมาถึงไทย” ได้#

นี่คือจุดที่คนตกใจครับ — กฎหมายตัวนี้เขาเขียนให้มันมีผลแบบ “ข้ามพรมแดน” ได้

หลักของมันคร่าวๆ คือ — กฎไม่ได้ดูแค่ว่า “บริษัทคุณตั้งอยู่ที่ไหน” แต่ดูว่า “ผลของ AI ที่คุณใช้ มันไปกระทบคนในยุโรปหรือเปล่า” ด้วย พูดง่ายๆ คือต่อให้คุณเป็นบริษัทไทย server อยู่ไทย พนักงานเป็นคนไทยหมด แต่ถ้าบริการ AI ของคุณดันไปให้บริการหรือส่งผลถึงผู้คนที่อยู่ในยุโรป — กฎตัวนี้ก็อาจเอื้อมมือมาแตะคุณได้ครับ

ลองนึกภาพสมมติแบบนี้ครับ — ร้านขายของออนไลน์ไทยร้านนึง ทำเว็บขายของส่งไปทั่วโลก รวมถึงมีลูกค้าในยุโรปด้วย แล้วเอา AI มาคัดกรอง/ให้คะแนนลูกค้าแบบอัตโนมัติ ถ้าระบบนั้นไปกระทบสิทธิ์ของลูกค้าที่อยู่ในยุโรป — กฎของยุโรปก็อาจเข้ามาเกี่ยวได้ ทั้งที่ร้านนี้ตั้งอยู่กลางกรุงเทพฯ

แนวคิด “กฎหมายตามผลกระทบไปถึงตัวคน ไม่ใช่ตามที่ตั้งบริษัท” แบบนี้ จริงๆ ไม่ใช่เรื่องใหม่นะครับ — PDPA ของไทยเองก็มีลักษณะคล้ายกัน คือถ้าบริษัทต่างชาติมาเสนอขายของหรือติดตามพฤติกรรมคนในไทย ก็ต้องอยู่ใต้ PDPA เหมือนกัน โลกสมัยนี้กฎหมายมันเลยไม่ได้หยุดที่ชายแดนอีกแล้วครับ

ต้องตกใจขนาดไหน#

ผมไม่อยากให้ใครอ่านแล้วตื่นตระหนกเกินเหตุนะครับ ความจริงคือ — ร้านเล็กๆ ที่ขายลูกค้าในไทยเป็นหลัก โอกาสที่กฎ AI ของยุโรปจะมาเล่นงานโดยตรงนั้นน้อยมาก เรื่องที่ใกล้ตัวคุณกว่าเยอะคือ PDPA ไทยที่ผมเล่าไปข้างต้น

แต่ที่ผมยกเรื่องนี้ขึ้นมา เพราะอยากให้เห็น “ทิศทางของโลก” ครับ — ทิศทางคือ ประเทศใหญ่ๆ เริ่มออกกฎคุม AI กันจริงจังขึ้นเรื่อยๆ และหลายฉบับออกแบบให้เอื้อมข้ามพรมแดนได้ ถ้าธุรกิจคุณโตขึ้น มีลูกค้าต่างประเทศมากขึ้น วันหนึ่งเรื่องพวกนี้จะกลายเป็นเรื่องที่ต้องรู้จริงๆ และไทยเองก็มีแนวโน้มจะมีกฎเกี่ยวกับ AI ที่ชัดเจนขึ้นในอนาคตเช่นกัน

💡 มุมเจ้าของกิจการ: ตอนนี้ยังไม่ต้องไปจ้างทนายต่างประเทศอะไรครับ สิ่งที่ทำได้เลยคือ — ถ้าธุรกิจคุณเริ่มมีลูกค้าต่างประเทศ และเริ่มเอา AI ไปใช้ตัดสินใจอะไรที่กระทบลูกค้าโดยตรง (เช่น อนุมัติ/ปฏิเสธ คัดกรอง ให้คะแนน) ให้จดไว้ในใจว่า “นี่คือจุดที่อาจต้องปรึกษาคนรู้กฎหมายเมื่อโตขึ้น” แค่รู้ว่ามันมีอยู่ ก็ทำให้คุณไม่ตกหลุมในวันที่ธุรกิจขยายแล้วครับ