แนวปฏิบัติใหม่ของ PDPA ประเทศไทยสำหรับ AI: ข้อมูลการฝึกเก่าของคุณยังคงอยู่บนเซิร์ฟเวอร์ที่ปลดระวาง

อ่านภาษาไทย

หน่วยงานกำกับดูแลของไทยเพิ่งประกาศว่าข้อมูล AI ของคุณคือข้อมูลส่วนบุคคล

On 7 October 2026, Thailand's Personal Data Protection Committee office (PDPC / สคส.) published version 1.0 of its guidelines on personal data protection for developing and using artificial intelligence. The 80-page document was prepared with the Electronic Transactions Development Agency (ETDA) and issued under Section 16(3) of the PDPA, as reported by Thai Data and, on 13 October, Thansettakij .

แนวปฏิบัตินี้ครอบคลุมถึง AI เชิงวิเคราะห์ AI เชิงสร้างสรรค์ และ AI เชิงปฏิบัติการตลอดวงจรชีวิตของระบบทั้งหมด: การวางแผน การเตรียมข้อมูล การฝึก การปรับใช้ และที่สำคัญสำหรับเราคือช่วงสิ้นสุดการใช้งานของระบบ แนวปฏิบัตินี้มีไว้เพื่อเป็นคำแนะนำ ไม่ใช่กฎข้อบังคับใหม่ที่มีผลผูกพัน แต่แสดงให้เห็นอย่างชัดเจนว่าหน่วยงานกำกับดูแลตีความ PDPA ที่มีอยู่อย่างไร

สี่ประเด็นที่ทีมไอทีทุกคนควรสังเกต

• Prompts, logs, embeddings and outputs can be personal data. If a person can still be identified directly or indirectly, the PDPA applies, not only to the customer database you started with.
• A trained model is not automatically anonymous. The guidelines say a model trained on personal data is not anonymous by default, because data can sometimes be extracted from model weights or leak in outputs.
• Technical limits do not cancel the right to erasure. For RAG systems, records should be removable from the vector database, and data should be removed from caches and fine-tuning datasets. Where data is baked into model weights and "machine unlearning" is not possible, the guidelines suggest interim measures such as output filtering.
• Deleting from a knowledge base is not the same as deleting from the model. Thansettakij highlights that hiding a record from retrieval does not mean it is gone from the model itself.

สิ่งนี้หมายความว่าอย่างไรสำหรับบริษัทของคุณ

บริษัทไทยส่วนใหญ่ที่ทดลองใช้งาน AI ในขณะนี้มีข้อมูลอยู่ในสถานที่ที่นโยบายการเก็บรักษาเดิมไม่เคยคาดคิด: เวิร์กสเตชัน GPU ที่ใช้สำหรับการปรับแต่งอย่างละเอียด (fine-tuning) เซิร์ฟเวอร์ภายในองค์กรที่รันฐานข้อมูลเวกเตอร์ กล่อง NAS ที่เก็บประวัติการแชทที่ส่งออกและชุดข้อมูลการฝึก และแล็ปท็อปของนักพัฒนาที่มีสำเนาข้อมูลลูกค้า "ตัวอย่าง" ในเครื่อง เมื่อสิ้นสุดโครงการนำร่องหรือมีการอัปเกรดฮาร์ดแวร์ ทั้งหมดนั้นยังคงเป็นข้อมูลส่วนบุคคลบนดิสก์

• Retiring an AI system is a PDPA event. The guidelines explicitly run through to the end of a system's life. When you decommission a model server, the drives holding training sets, embeddings, prompt logs and model checkpoints need a documented end.
• "We deleted the folder" is not evidence. If you cannot fully unlearn data from a model, you can at least make sure the physical copies of datasets, checkpoints and logs are destroyed when the hardware leaves your control.
• Old GPU boxes get resold. High-value AI hardware is tempting to sell on. Sell the GPU if you like; the SSDs and NVMe drives that held your datasets should be destroyed, not handed over.

รายการตรวจสอบการจัดการฮาร์ดแวร์ AI อย่างง่าย

1. ระบุเครื่องทั้งหมดที่เคยจัดเก็บข้อมูลการฝึก AI เวกเตอร์ฝังตัว บันทึกพรอมต์ หรือจุดตรวจสอบโมเดล รวมถึงชุดทดสอบและแล็ปท็อปของพนักงาน
2. Record which datasets and models each one held, so you can match it against your ROPA and any erasure requests under the PDPA data destruction requirements .
3. When a model server or vector-database host is retired, book server data destruction with serial numbers logged.
4. Pull loose SSDs, NVMe cards and backup disks for hard drive and SSD destruction , and fold a wider refresh into one IT asset disposal project with certificates filed against your PDPA records.

สำหรับงานเซิร์ฟเวอร์ที่เราเข้ารับจากสำนักงานของคุณในกรุงเทพฯ เราจะบันทึกหมายเลขซีเรียลเมื่อเข้ารับ รักษาห่วงโซ่การส่งมอบให้ปลอดภัยตลอดกระบวนการทำลายทางกายภาพ และออกใบรับรองการทำลายข้อมูล (Certificate of Data Destruction) สำหรับแต่ละยูนิต (ระบุหมายเลขซีเรียล วิธีการ และวันที่) พร้อมทั้งรายงานสินค้าคงคลัง มีหลักฐานเป็นภาพถ่ายและวิดีโอให้บริการ เราจัดการเฉพาะอุปกรณ์เท่านั้น ไม่ทำการทำลายกระดาษ

Get an instant quote or call 082-797-3702 to destroy the servers and drives that still hold your old training data, prompt logs and model checkpoints, so your AI pilot does not outlive its PDPA basis.

Sources: Thai Data, "PDPC issues PDPA guidelines for AI development and use, version 1.0" (8 Oct 2026) ; Thansettakij, "AI–PDPA guide: 5 things organisations must know before using data" (13 Oct 2026) ; PDPC, guidelines on personal data protection for developing and using AI, version 1.0 (7 Oct 2026).