TH-AI Passport หรือโครงการยกระดับทักษะด้านดิจิทัลและปัญญาประดิษฐ์เพื่อคนไทย กำลังได้รับความสนใจ หลังรัฐบาลตั้งเป้าเปิดโอกาสให้ประชาชน 5 ล้านคน ให้ประชาชนได้เข้าถึง AI ระดับ Pro เป็นเวลา 1 ปี ภายใต้วงเงินโครงการประมาณ 1,600 ล้านบาท
โดยมีเป้าหมายลดความเหลื่อมล้ำในการเข้าถึงเทคโนโลยีและยกระดับทักษะ AI ของคนไทย แต่สิ่งที่ผู้บริโภคควรสนใจอาจไม่ได้มีเพียงคำถามว่า “จะได้ใช้ AI ตัวไหน และฟรีแค่ไหน” เพราะการเข้าใช้บริการดังกล่าวมีอีกด้านหนึ่งที่สำคัญไม่แพ้กัน คือ ข้อมูลส่วนบุคคลของผู้ใช้งานจะถูกเก็บและนำไปใช้อย่างไร
ดร.อุดมธิปก ไพรเกษตร นายกสมาคมผู้ตรวจสอบและให้คำปรึกษาการคุ้มครองข้อมูลส่วนบุคคลไทย และอนุกรรมการด้านการสื่อสาร โทรคมนาคม และเทคโนโลยีสารสนเทศ สภาองค์กรของผู้บริโภค วิเคราะห์ TOR ของโครงการ TH-AI Passport ว่า โครงการนี้มีการประมวลผลข้อมูลส่วนบุคคลในวงกว้าง ตั้งแต่การยืนยันตัวตนผ่านระบบรัฐและเลขประจำตัวประชาชน ไปจนถึงข้อมูลพฤติกรรมการใช้ Generative AI (GenAI) การประเมินทักษะ การออกใบรับรองดิจิทัล Log file การใช้ Cloud และการเชื่อมต่อกับผู้ให้บริการ AI หลายราย
TH-AI Passport ไม่ได้เก็บแค่ “ชื่อ – บัตรประชาชน” แต่รวมถึงพฤติกรรมใช้ AI
ประเด็นสำคัญที่ผู้บริโภคควรรู้ คือ TOR ระบุถึงการจัดเก็บและประมวลผล ข้อมูลส่วนบุคคลและข้อมูลพฤติกรรมการใช้งาน GenAI ภายในประเทศไทย นั่นหมายความว่าข้อมูลที่เกี่ยวข้องกับโครงการอาจไม่ได้มีเฉพาะชื่อ นามสกุล หรือข้อมูลที่ใช้ยืนยันสิทธิเท่านั้น แต่ยังอาจครอบคลุมถึงความสนใจ ความรู้ ความสามารถ คำถาม ปัญหา เอกสารที่ส่งเข้าไป และรูปแบบการใช้ AI ของแต่ละคน หากข้อมูลเหล่านี้สามารถเชื่อมโยงกลับมายังบุคคลได้ ก็ถือเป็นข้อมูลส่วนบุคคลภายใต้ PDPA
โดยเฉพาะระบบ GenAI ที่ TOR กำหนดให้รองรับทั้งการสนทนา การอัปโหลดไฟล์ การเก็บประวัติสนทนา การสร้าง AI Agent และการสร้างภาพ ยิ่งทำให้ผู้ใช้งานต้องระมัดระวัง เพราะ Prompt และไฟล์ที่เราใส่เข้าไปอาจมีข้อมูลของทั้งตัวเราและบุคคลอื่น เช่น ข้อมูลลูกค้า นักเรียน พนักงาน หรือคู่สัญญา ขณะที่ประวัติการสนทนาอาจสะท้อนข้อมูลเกี่ยวกับปัญหาสุขภาพ การเงิน หรือเรื่องละเอียดอ่อนอื่น ๆ ได้
ดังนั้น ก่อนใช้ TH-AI Passport ผู้บริโภคควรตั้งหลักง่าย ๆ ว่า อย่าเพิ่งนำข้อมูลสำคัญ ข้อมูลลับ หรือข้อมูลส่วนบุคคลของบุคคลอื่นใส่ใน Prompt หรือ Upload เข้าไปในระบบจนกว่าจะเข้าใจเงื่อนไขการประมวลผลข้อมูลอย่างชัดเจน
ก่อนกด “ยินยอม” ต้องรู้ว่ายินยอมเรื่องอะไร อีกเรื่องที่ต้องจับตาคือ Consent หรือความยินยอม โดย TOR กำหนดให้ขอความยินยอมก่อนจัดเก็บและประมวลผลข้อมูลส่วนบุคคล โดยเฉพาะข้อมูลพฤติกรรมการใช้งาน
อย่างไรก็ตาม ดร.อุดมธิปก ตั้งข้อสังเกตว่า ความยินยอมไม่ควรถูกนำมาใช้เป็นฐานกฎหมายแบบ “รวมทุกอย่างไว้ในช่องเดียว” เพราะกิจกรรมในโครงการมีหลายประเภท ตั้งแต่การลงทะเบียน ตรวจสอบสิทธิ ยืนยันตัวตน ป้องกันการใช้สิทธิซ้ำ จัดสรรเครดิต AI เก็บ Log ไปจนถึงการนำข้อมูลไปใช้ในกิจกรรมอื่น ซึ่งแต่ละกิจกรรมอาจมีฐานทางกฎหมายแตกต่างกัน
สิ่งที่ผู้สมัครควรได้รับก่อนตัดสินใจจึงไม่ใช่เพียงหน้าจอให้กด “ยอมรับ” แต่ต้องมี Privacy Notice ที่อ่านเข้าใจได้และบอกอย่างชัดเจนว่า เก็บข้อมูลอะไร เก็บเพื่ออะไร ใช้ฐานกฎหมายใด ส่งต่อให้ใคร เก็บไว้นานเท่าไร มีการส่งออกต่างประเทศหรือไม่ และผู้ใช้มีสิทธิอย่างไร
นอกจากนี้ รัฐบาลเคยชี้แจงว่า ข้อมูล User และ Prompt จะจัดเก็บบน Cloud ภายในประเทศไทย ผู้ให้บริการ AI ไม่สามารถนำข้อมูลผู้ใช้ไปใช้ Gen AI ต่อ และการ Verify ID มีไว้เพื่อยืนยันสิทธิของคนไทย โดยไม่มีการเปิดเผยข้อมูลส่วนบุคคลให้เจ้าของโมเดล AI
ในมุมการคุ้มครองผู้บริโภค นี่ถือเป็นหลักการสำคัญ แต่ยังมีรายละเอียดที่ควรเปิดเผยให้ประชาชนตรวจสอบได้ เพราะ GenAI อาจเกี่ยวข้องกับผู้ให้บริการหลายราย การที่ฐานข้อมูลตั้งอยู่ในประเทศไทยจึงไม่ได้หมายความโดยอัตโนมัติว่า กระบวนการทั้งหมดเกิดขึ้นในประเทศไทย
ระบบวิเคราะห์ “พฤติกรรมรายบุคคล” ต้องโปร่งใส
อีกประเด็นที่น่าสนใจคือ TOR กำหนดให้ระบบสามารถประเมินการใช้งานผิดวัตถุประสงค์ ภัยคุกคาม และความเสี่ยง ตลอดจนวิเคราะห์พฤติกรรมและแนวโน้มการใช้งานในระดับรายบุคคลและรายกลุ่ม ซึ่งแตกต่างจากการเก็บเพียงสถิติว่า “มีผู้ใช้ AI กี่คน”
ดังนั้น รัฐบาลจึงควรมีคำตอบที่ชัดเจนว่า จำเป็นต้องวิเคราะห์ผู้ใช้ในระดับบุคคลมากน้อยเพียงใด ใครสามารถเห็นข้อมูลบน Dashboard และหากระบบประเมินว่าผู้ใช้มีความเสี่ยงจนถูกระงับสิทธิ ผู้บริโภคจะสามารถตรวจสอบ คัดค้าน หรือขอแก้ไขข้อมูลได้อย่างไร
ด้วยเหตุนี้ ดร.อุดมธิปกจึงเสนอให้โครงการจัดทำ DPIA หรือการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล และ AI Risk Assessment ก่อนเปิดระบบจริง เนื่องจากเป็นโครงการที่ใช้ AI กับประชาชนจำนวนมากและมีการวิเคราะห์พฤติกรรมผู้ใช้งาน
เช็ก 6 เรื่อง ก่อนสมัคร TH-AI Passport
สำหรับผู้บริโภค วิธีง่ายที่สุดก่อนกดสมัครหรือกดยินยอม คืออ่าน Privacy Notice และหาคำตอบให้ได้อย่างน้อย 6 เรื่อง ได้แก่ (1) เก็บข้อมูลอะไรจากเรา
(2) Prompt–ไฟล์–Chat History ถูกเก็บหรือวิเคราะห์หรือไม่
(3) ข้อมูลถูกส่งให้หน่วยงานหรือบริษัทใดบ้าง
(4) มีข้อมูลส่วนใดถูกประมวลผลหรือเข้าถึงจากต่างประเทศหรือไม่
(5) ข้อมูลแต่ละประเภทเก็บไว้นานเท่าไร
(6) หากต้องการเข้าถึง แก้ไข ถอนความยินยอม หรือลบข้อมูล ต้องดำเนินการผ่านช่องทาง
และระหว่างใช้งาน ควรถือหลัก “คิดก่อน Prompt – เช็กก่อน Upload” หลีกเลี่ยงการใส่เลขบัตรประชาชน ข้อมูลบัญชีธนาคาร รหัสผ่าน ข้อมูลสุขภาพ เอกสารลับขององค์กร หรือข้อมูลส่วนบุคคลของบุคคลอื่นลงใน AI หากไม่จำเป็น เพราะแม้ระบบจะมีมาตรการรักษาความปลอดภัย ข้อมูลที่ไม่ถูกนำเข้าสู่ระบบตั้งแต่ต้นย่อมลดความเสี่ยงได้มากที่สุด
อย่างไรก็ตาม เขาระบุว่า ไม่ได้เกี่ยวข้องกับการดำเนินโครงการโดยตรง จึงไม่สามารถยืนยันได้ว่าเอกสารหรือกลไกเหล่านี้ได้ถูกจัดทำเพิ่มเติมแล้วหรือไม่ หากภาครัฐดำเนินการไว้แล้ว ควรเปิดเผยและชี้แจงต่อสาธารณะ เพื่อสร้างความเชื่อมั่นก่อนประชาชนเข้าใช้ระบบ
ดังนั้น เพื่อสามารถตอบได้ว่า คนไทยจะใช้ AI โดยยังมั่นใจได้อย่างไรว่าข้อมูลส่วนบุคคลของตนจะไม่ถูกติดตาม วิเคราะห์ ส่งต่อ หรือนำกลับไปใช้เกินกว่าวัตถุประสงค์ที่รับรู้และยอมรับ
