PDPA และกรอบกำกับ AI ของไทย (ต้นปี 2026)
ตอนนี้ประเทศไทยยังไม่มีกฎหมายที่เขียนมาคุม AI โดยตรง เพราะฉะนั้นเรื่องนี้จึงต้องอาศัยกฎหมายที่มีอยู่แล้วมาคุมแทน หลัก ๆ คือ กฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA), แผนยุทธศาสตร์ AI แห่งชาติ (National AI Strategy & Action Plan ปี 2022-2027) และหน่วยงานที่ดูแลเป็นรายอุตสาหกรรม เช่น ธนาคารแห่งประเทศไทย และ ก.ล.ต. โดยหน่วยงาน ETDA ได้เปิดรับฟังความเห็นเรื่องร่างหลักการกฎหมาย AI ไปเมื่อกลางปี 2025 และคาดว่าจะเริ่มเตรียมร่างกฎหมาย AI (AI Act) กันจริง ๆ ในปี 2026 เรื่องนี้เปลี่ยนเร็ว ต้องคอยติดตาม. ส่วน PDPA นั้นครอบคลุม AI ทุกตัวที่ไปยุ่งกับข้อมูลส่วนบุคคลของคนในไทย ไม่ว่าจะเป็นบริษัทไทยหรือต่างชาติก็โดนหมด. สิ่งที่เราต้องทำมีดังนี้ ต้องมีเหตุผลที่กฎหมายรองรับหรือขอความยินยอมจากเจ้าของข้อมูลก่อน, ต้องบอกให้ชัดว่าจะเอาข้อมูลไปทำอะไรบ้าง (คือหนังสือแจ้งความเป็นส่วนตัว หรือ privacy notice), ต้องเคารพสิทธิของเจ้าของข้อมูล, ถ้าข้อมูลรั่วไหล (breach) ต้องรีบแจ้งภายใน 72 ชั่วโมง, ต้องตั้งเจ้าหน้าที่คุ้มครองข้อมูล (DPO) เมื่อถึงเกณฑ์ที่กำหนด และต้องมีวิธีดูแลเวลาส่งข้อมูลออกไปนอกประเทศด้วย. ทั้งนี้ หน่วยงาน PDPC เริ่มบังคับใช้จริงจังมาตั้งแต่ปี 2024 แล้ว (สั่งปรับไปแล้วมากกว่า 21.5 ล้านบาท นับถึงเดือน ส.ค. 2025). และในร่างกฎหมายใหม่อาจมีข้อกำหนดให้ผู้ให้บริการ AI ต่างชาติต้องตั้งตัวแทนทางกฎหมายในไทยด้วย.
ความเป็นส่วนตัวของข้อมูล & การเลือกแพ็กเกจที่ปลอดภัย
ข้อควรจำในทางปฏิบัติที่สำคัญมากคือ อย่าเอาข้อมูลส่วนตัวของลูกค้า เลขบัตรประชาชน หรือข้อมูลสุขภาพและการเงิน ไปวาง (paste) ลงในเครื่องมือ AI เวอร์ชันทั่วไป (consumer AI) ที่คนใช้กันฟรี ๆ เด็ดขาด. ถ้าจำเป็นต้องใช้กับข้อมูลพวกนี้ ให้เลือกใช้แพ็กเกจสำหรับองค์กร (enterprise tier) ที่เขารับปากว่าจะไม่เอาข้อมูลเราไปสอน AI ต่อ (no-training guarantee) เช่น ChatGPT Business/Enterprise, Claude Enterprise หรือ Microsoft 365 Copilot แล้วก็ควรลบข้อมูลที่ระบุตัวตนออกก่อน (anonymize) และต้องมีเหตุผลที่กฎหมายรองรับ (lawful basis) ก่อนเสมอ. อีกเรื่องที่น่าสนใจคือ ในปี 2025 สัดส่วนของธุรกิจที่ "ไม่มี" นโยบายการใช้ AI อย่างมีความรับผิดชอบ (responsible-AI) ลดลงจาก 24% เหลือเพียง 11% และตำแหน่งงานด้านการกำกับดูแล AI (AI-governance) ก็เติบโตขึ้นราว 17% แสดงว่าองค์กรเริ่มเอาจริงเอาจังกับเรื่องนี้กันมากขึ้น.
การบอกว่าใช้ AI และการให้คนคอยกำกับดูแล
เรื่องแรกคือการบอกให้รู้ว่าใช้ AI (disclosure) องค์กรควรมีนโยบายชัด ๆ ว่าตอนไหนต้องแจ้งว่าเนื้อหาหรือการตัดสินใจนี้มี AI เข้ามาเกี่ยวข้อง เช่น เนื้อหาที่เอาไปเผยแพร่สู่สาธารณะ, ข้อความที่ใช้คุยกับลูกค้า หรือการคัดกรองผู้สมัครงาน. เรื่องที่สองคือต้องมีคนคอยกำกับดูแล (human oversight) หมายถึงเราต้องกำหนดไว้เลยว่าแต่ละงานยอมให้ AI มั่วข้อมูลผิดพลาด (hallucination) ได้มากแค่ไหน, ต้องมีจุดที่ให้คนเข้ามาตรวจก่อนปล่อยผ่าน (human-review gate) สำหรับทุกงานที่มีผลกระทบ, ต้องมีบันทึกย้อนหลังว่าใครทำอะไร (audit trail) และต้องจำกัดสิทธิ์การเข้าถึงข้อมูล. ยิ่งเป็นงานที่เสี่ยงสูง เช่น การเงิน กฎหมาย หรือการคัดคน ยิ่งต้องให้คนที่เป็นผู้เชี่ยวชาญเป็นคนตัดสินใจขั้นสุดท้ายเสมอ ต้องตรวจสอบก่อน (verify) อย่ากดรับผลของ AI แบบอัตโนมัติ (auto-accept). อย่างการใช้ AI คัดกรองใบสมัครงาน (resume) ก็ต้องมีคนคอยตรวจซ้ำ เพื่อลดปัญหาเรื่องอคติและความไม่เป็นธรรม (bias/fairness) ด้วย.
คุณภาพภาษาไทย & การเก็บข้อมูลไว้ในประเทศ (data-sovereignty)
AI แต่ละเจ้าเก่งภาษาไทยไม่เท่ากันนะ ถ้าดูจากผลสอบวัดระดับภาษาไทยอย่าง ThaiExam ตัวที่เคยทำได้ดีก็มี Claude 3.5 Sonnet, Gemini 1.5 Pro และ GPT-4o (ส่วน GPT-4 Turbo จะตามหลังมานิดหน่อย) แต่โดยทั่วไปแล้วโมเดลรุ่นเรือธง (flagship) รุ่นใหม่ ๆ ก็มักจะเก่งขึ้นเรื่อย ๆ แนะนำให้เช็กผลทดสอบ (benchmark) ล่าสุดอีกที. ส่วนถ้าอยากได้โมเดลสัญชาติไทยที่รันในเครื่องเราเองหรือเป็นแบบเปิด (local/open) ก็มีค่าย Typhoon (พัฒนาโดย SCB 10X) ที่ถือว่าเป็นตระกูลไทยแถวหน้า โดย Typhoon 2 เก่งกว่าโมเดลไทยแบบเปิดตัวอื่น ๆ ส่วน Typhoon 2.5 เคลมว่าสูสีกับ GPT-4o และ Claude Sonnet 4 ในขณะที่โปร่งใสและราคาคุ้มกว่า และยังมี Typhoon T1 ที่คิดวิเคราะห์ (reasoning) เป็นภาษาไทยได้ด้วย นอกจากนี้ก็ยังมีทางเลือกอื่นอย่าง OpenThaiGPT (ที่ต่อยอดจาก Llama) และ SEA-LION/SeaLLM. สรุปให้จำง่าย ๆ คือ ถ้าเป็นงานภาษาไทยหนัก ๆ งานที่ต้องคุมต้นทุน หรือต้องเก็บข้อมูลไว้ในประเทศ (data-sovereignty) ให้ลองเอา Typhoon มาเทียบกับสามเจ้าใหญ่ดู แต่ถ้าเป็นงานเขียนไทยปนอังกฤษ พวกรุ่นเรือธงของ Claude, Gemini, GPT มักจะทำได้ดี เพียงแต่ควรสุ่มตรวจ (spot-check) ความละเอียดอ่อนของภาษาไทย ทั้งเรื่องโทนความเป็นทางการ (การใช้ครับ/ค่ะ) และบริบททางวัฒนธรรมด้วย.