สคส. ออกแนวทาง PDPA สำหรับ AI: ข้อมูลฝึกโมเดลเก่ายังค้างอยู่ในเซิร์ฟเวอร์ที่ปลดระวาง

Read in English

สคส. ชี้ชัด: ข้อมูลในระบบ AI ก็คือข้อมูลส่วนบุคคล

เมื่อวันที่ 7 ตุลาคม 2569 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เผยแพร่ "แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์" ฉบับ 1.0 ความยาว 80 หน้า จัดทำร่วมกับสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) และออกตามมาตรา 16 (3) ของ PDPA ตามรายงานของ THAI DATA และ ฐานเศรษฐกิจ (13 ต.ค.)

แนวทางนี้ครอบคลุม Analytic AI, Generative AI และ Agentic AI ตลอดวงจรชีวิตของระบบ ตั้งแต่วางแผน เตรียมข้อมูล ฝึกโมเดล ใช้งาน ไปจนถึงการยุติการใช้งานระบบ แม้เป็นคำแนะนำที่ไม่มีสภาพบังคับทางกฎหมาย แต่สะท้อนชัดว่าหน่วยงานกำกับมองการใช้ AI ภายใต้ PDPA อย่างไร

4 ประเด็นที่ฝ่ายไอทีต้องรู้

• Prompt, Log, Embedding และผลลัพธ์ อาจเป็นข้อมูลส่วนบุคคล หากยังระบุตัวบุคคลได้ทั้งทางตรงหรือทางอ้อม ไม่ใช่แค่ฐานข้อมูลลูกค้าต้นทาง
• โมเดลที่ฝึกด้วยข้อมูลส่วนบุคคลไม่ถือเป็นข้อมูลนิรนามโดยอัตโนมัติ เพราะข้อมูลอาจถูกสกัดออกจากค่าน้ำหนักของโมเดล หรือหลุดออกมาในผลลัพธ์ได้
• ข้อจำกัดทางเทคนิคไม่ได้ยกเว้นสิทธิขอลบข้อมูล ระบบ RAG ควรลบรายการออกจาก Vector Database ได้ และต้องคัดข้อมูลออกจาก Cache และชุดข้อมูล Fine-tuning ส่วนข้อมูลที่ฝังในโมเดลแล้ว หากทำ Machine Unlearning ไม่ได้ ให้ใช้มาตรการทดแทน เช่น Output Filtering
• ลบในฐานความรู้ ไม่เท่ากับลบออกจากโมเดล การซ่อนข้อมูลไม่ให้ระบบเรียกใช้ ไม่ได้แปลว่าข้อมูลหายไปจากตัวโมเดล

เรื่องนี้หมายถึงอะไรสำหรับองค์กรของคุณ

บริษัทไทยที่เริ่มทดลอง AI ตอนนี้มีข้อมูลกระจายอยู่ในที่ที่นโยบายการเก็บรักษาข้อมูลเดิมไม่เคยคิดถึง ทั้งเครื่อง GPU ที่ใช้ Fine-tune เซิร์ฟเวอร์ที่รัน Vector Database กล่อง NAS ที่เก็บบันทึกแชตและชุดข้อมูลฝึก และโน้ตบุ๊กของนักพัฒนาที่มีสำเนาข้อมูลลูกค้า "ไว้ทดสอบ" เมื่อโครงการจบหรือเปลี่ยนฮาร์ดแวร์ ข้อมูลทั้งหมดนี้ก็ยังเป็นข้อมูลส่วนบุคคลที่อยู่บนดิสก์

• การปลดระวางระบบ AI คือเรื่อง PDPA แนวทางของ สคส. ครอบคลุมถึงการยุติระบบ เมื่อปลดระวางเซิร์ฟเวอร์โมเดล ไดรฟ์ที่เก็บชุดข้อมูลฝึก Embedding, Prompt Log และ Checkpoint ต้องมีจุดจบที่มีหลักฐาน
• "ลบโฟลเดอร์แล้ว" ไม่ใช่หลักฐาน แม้จะลบข้อมูลออกจากโมเดลไม่ได้ทั้งหมด แต่อย่างน้อยองค์กรทำให้สำเนาข้อมูลบนอุปกรณ์จริงถูกทำลายก่อนฮาร์ดแวร์ออกจากมือได้
• เครื่อง GPU เก่ามักถูกขายต่อ ขายการ์ดจอได้ แต่ SSD และ NVMe ที่เคยเก็บชุดข้อมูลควรถูกทำลาย ไม่ใช่ส่งต่อไปพร้อมเครื่อง

เช็กลิสต์ปลดระวางฮาร์ดแวร์ AI

1. ทำรายการทุกเครื่องที่เคยเก็บข้อมูลฝึก AI, Embedding, Prompt Log หรือ Checkpoint รวมเครื่องทดสอบและโน้ตบุ๊กพนักงาน
2. บันทึกว่าแต่ละเครื่องเก็บชุดข้อมูลหรือโมเดลใด เพื่อเทียบกับ ROPA และคำขอลบข้อมูลตามข้อกำหนด PDPA
3. เมื่อปลดระวางเซิร์ฟเวอร์โมเดลหรือเครื่องที่รัน Vector Database ให้ใช้บริการทำลายข้อมูลเซิร์ฟเวอร์ พร้อมบันทึกหมายเลขซีเรียล
4. ถอด SSD, NVMe และดิสก์สำรองส่งทำลายฮาร์ดดิสก์และ SSD และรวมการเปลี่ยนอุปกรณ์ทั้งชุดเป็นโครงการการกำจัดสินทรัพย์ไอที เดียว พร้อมเก็บใบรับรองไว้กับเอกสาร PDPA

สำหรับงานเซิร์ฟเวอร์ เราเข้ารับอุปกรณ์ถึงสำนักงานในกรุงเทพฯ บันทึกหมายเลขซีเรียลตั้งแต่รับเครื่อง ควบคุมห่วงโซ่การดูแลอุปกรณ์จนถึงการทำลายทางกายภาพ และออกใบรับรองการทำลายข้อมูลรายเครื่อง (หมายเลขซีเรียล วิธีการ และวันที่) พร้อมรายงานสรุปรายการ มีหลักฐานภาพถ่ายและวิดีโอ เราให้บริการเฉพาะอุปกรณ์อิเล็กทรอนิกส์ ไม่รับทำลายเอกสารกระดาษ

ขอใบเสนอราคาทันที หรือโทร 082-797-3702 เพื่อทำลายเซิร์ฟเวอร์และไดรฟ์ที่ยังเก็บข้อมูลฝึกเก่า Prompt Log และ Checkpoint ของโมเดล ก่อนที่โครงการ AI จะอยู่นานเกินฐานทางกฎหมายตาม PDPA

แหล่งข่าว: THAI DATA, "สคส. ออกแนวทาง PDPA สำหรับการพัฒนาและใช้งาน AI" (8 ต.ค. 2569); ฐานเศรษฐกิจ, "เปิดคู่มือ AI–PDPA ชี้ 5 เรื่ององค์กรต้องรู้ก่อนใช้ข้อมูล" (13 ต.ค. 2569); สคส., แนวทางการดำเนินการด้านการคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับการพัฒนาและการใช้งานเทคโนโลยีปัญญาประดิษฐ์ ฉบับ 1.0 (7 ต.ค. 2569)