ทำไมภาครัฐต้องเข้มเรื่องธรรมาภิบาล AI มากกว่าเอกชน
เอกชนใช้ AI ผิดพลาด อาจเสียลูกค้าหรือเสียเงิน แต่รัฐใช้ AI ผิดพลาด กระทบสิทธิ เสรีภาพ และความเป็นธรรมต่อประชาชนที่ 'เลือกไม่ใช้บริการ' ไม่ได้ เพราะรัฐผูกขาดบริการหลายอย่าง ธรรมาภิบาล AI ภาครัฐ (AI governance) จึงไม่ใช่เรื่องเลือกได้ แต่เป็นเงื่อนไขของการใช้อำนาจอย่างชอบธรรม หลักสำคัญที่ย้ำตลอดหน้านี้มี 4 ข้อ: (1) โปร่งใส — ประชาชนต้องรู้ว่ามี AI เกี่ยวข้องตรงไหน (2) รับผิดชอบได้ — ระบุตัวผู้รับผิดและตรวจย้อนได้ (3) เป็นธรรม — ไม่เลือกปฏิบัติ (4) มีคนกำกับ — เจ้าหน้าที่ตัดสินเรื่องกระทบสิทธิเสมอ ในไทยมีหน่วยงานที่วางแนวทางจริง ได้แก่ ETDA (ผ่านศูนย์ธรรมาภิบาล AI - AIGC และแนวปฏิบัติจริยธรรม AI), สดช./ONDE (นโยบายดิจิทัลและการยกร่างกฎหมาย AI), และสำนักงาน ก.พ.ร. (มาตรฐานคุณภาพบริการ) สอดคล้องหลักสากลอย่าง OECD AI Principles และข้อเสนอแนะจริยธรรม AI ของ UNESCO ที่ไทยร่วมรับรอง
หมายเหตุ: แนวปฏิบัติ AI ของไทยส่วนใหญ่ยังเป็น 'แนวทางโดยสมัครใจ' (soft law) และร่างกฎหมาย AI ยังอยู่ระหว่างพิจารณา ต้องติดตามสถานะล่าสุด และอย่าให้ AI สรุปสถานะกฎหมายแทน — มันมั่วชื่อและปีของประกาศได้
PDPA กับระบบ AI ภาครัฐ
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) บังคับใช้เต็มตัวตั้งแต่ 1 มิ.ย. 2022 และครอบคลุมถึงการนำข้อมูลส่วนบุคคลไปประมวลผลด้วย AI สิ่งที่หน่วยงานรัฐต้องทำ ได้แก่ มีฐานการประมวลผลที่ชอบด้วยกฎหมาย (สำหรับภาครัฐมักอ้างฐานภารกิจของรัฐ/หน้าที่ตามกฎหมาย มากกว่าความยินยอม แต่ต้องดูเป็นรายกรณี), เก็บข้อมูลเท่าที่จำเป็น (data minimization), แจ้งวัตถุประสงค์, เคารพสิทธิเจ้าของข้อมูล (เช่น สิทธิเข้าถึง แก้ไข คัดค้าน), มีมาตรการความปลอดภัย และมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) โดยตั้งแต่ 9 ต.ค. 2025 หน่วยงานรัฐถูกกำหนดให้ต้องมี DPO ทั้งนี้กำกับโดยคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ซึ่งช่วงปี 2025–2026 บังคับใช้เข้มขึ้นชัดเจน (มีการสั่งปรับจริงหลายกรณี) สำหรับข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ เชื้อชาติ ศาสนา ประวัติอาชญากรรม ต้องดูแลเข้มเป็นพิเศษ กฎเหล็กภาคปฏิบัติคือ อย่านำข้อมูลส่วนบุคคลจริงไปป้อนเครื่องมือ AI สาธารณะ และหากใช้ผู้ให้บริการภายนอกต้องมีสัญญาแบ่งหน้าที่ข้อมูล (DPA) กับข้อห้ามนำไปฝึกโมเดล
ระวัง: checklist ที่ AI ร่างเป็นเพียงจุดตั้งต้น ต้องให้ DPO และนิติกรตรวจกับตัวบท PDPA และประกาศ/แนวทางของ PDPC ฉบับจริง อย่าอ้างมาตราจากคำตอบ AI โดยไม่เปิดตัวบท
พ.ร.บ.และระเบียบที่เกี่ยวข้องที่ต้องรู้
นอกจาก PDPA การใช้ AI ในภาครัฐยังเกี่ยวพันกับกฎหมายและระเบียบอีกหลายฉบับ การรู้ว่าเรื่องไหนอยู่ใต้กฎหมายใด ช่วยให้ออกแบบกระบวนการได้ถูกต้องตั้งแต่ต้น ตารางด้านล่างสรุปฉบับสำคัญและความเกี่ยวข้องกับงาน AI (ชื่อและปีให้ยึดตามราชกิจจานุเบกษาฉบับจริง)
| กฎหมาย/ระเบียบ | เกี่ยวข้องกับ AI อย่างไร |
|---|---|
| พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) | การเก็บ ใช้ เปิดเผยข้อมูลส่วนบุคคลในการฝึกและใช้ AI |
| พ.ร.บ.การบริหารงานและการให้บริการภาครัฐผ่านระบบดิจิทัล พ.ศ. 2562 | กรอบรัฐบาลดิจิทัล ธรรมาภิบาลข้อมูลภาครัฐ และการเชื่อมโยงข้อมูล |
| พ.ร.บ.ข้อมูลข่าวสารของราชการ พ.ศ. 2540 | สิทธิประชาชนเข้าถึงข้อมูลการปฏิบัติงานของรัฐ (รวมถึงการเปิดเผยการใช้ AI) |
| พ.ร.บ.วิธีปฏิบัติราชการทางปกครอง พ.ศ. 2539 | คำสั่งที่กระทบสิทธิต้องมีเหตุผลและเปิดสิทธิอุทธรณ์ (คนต้องเป็นผู้สั่ง) |
| พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 | หน้าที่ด้านความมั่นคงไซเบอร์และการคุ้มครองโครงสร้างพื้นฐานสำคัญ (CII) |
| พ.ร.บ.การจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 | ความโปร่งใสและการแข่งขันในการจัดซื้อระบบ AI |
| ระเบียบสำนักนายกรัฐมนตรีว่าด้วยงานสารบรรณ (ฉบับปรับปรุงรองรับเอกสารอิเล็กทรอนิกส์) | รูปแบบและกระบวนการของหนังสือราชการที่ AI ช่วยร่าง |
ระวัง: AI มักมั่วเลขมาตรา ปี พ.ศ. และชื่อกฎหมาย ตารางนี้ใช้เป็นแผนที่ตั้งต้น เมื่อจะอ้างอิงจริงให้เปิดราชกิจจานุเบกษา/เว็บทางการของหน่วยงานที่รับผิดชอบทุกครั้ง
ความโปร่งใสและการอธิบายได้ (Transparency & Explainability)
เมื่อรัฐใช้ AI ประชาชนมีสิทธิรู้ 2 ระดับ: ระดับแรกคือ 'รู้ว่ามี AI' (transparency/AI disclosure) — ต้องเปิดเผยว่ากระบวนการใดมี AI เข้ามาช่วย เช่น แชตบอตต้องบอกว่าเป็น AI ไม่แอบอ้างเป็นเจ้าหน้าที่ ระดับที่สองคือ 'อธิบายได้ว่าทำไม' (explainability) — โดยเฉพาะเมื่อ AI มีส่วนในการตัดสินที่กระทบสิทธิ ต้องอธิบายได้ว่าใช้ปัจจัยอะไร มีเหตุผลอย่างไร เพื่อให้ประชาชนเข้าใจและโต้แย้งได้ ปัญหาคือโมเดลภาษาขนาดใหญ่มักเป็น 'กล่องดำ' ที่อธิบายเหตุผลภายในได้ยาก แนวปฏิบัติที่ทำได้จริงคือ ออกแบบให้กระบวนการที่กระทบสิทธิใช้เกณฑ์ที่มนุษย์เข้าใจและตรวจสอบได้ (ไม่พึ่งกล่องดำล้วน ๆ), บันทึกร่องรอย (audit log) ว่า AI เสนออะไรและเจ้าหน้าที่ตัดสินอย่างไร, และเชื่อมกับสิทธิเข้าถึงข้อมูลตาม พ.ร.บ.ข้อมูลข่าวสารของราชการ พ.ศ. 2540
สิทธิอุทธรณ์ และข้อห้ามตัดสินสิทธิ์โดยอัตโนมัติ
นี่คือหลักการที่เป็นหัวใจที่สุดของหลักสูตรทั้งหมด: 'ห้ามให้ AI ตัดสินสิทธิ์หรือลงโทษประชาชนโดยอัตโนมัติ' การกระทำของรัฐที่กระทบสิทธิ — อนุมัติ/ปฏิเสธคำขอ ออก/เพิกถอนใบอนุญาต กำหนดโทษทางปกครอง — เป็น 'คำสั่งทางปกครอง' ที่ตาม พ.ร.บ.วิธีปฏิบัติราชการทางปกครอง พ.ศ. 2539 ต้องกระทำโดยเจ้าหน้าที่ผู้มีอำนาจ ต้องระบุเหตุผลประกอบ และต้องเปิดสิทธิให้ประชาชนอุทธรณ์/โต้แย้งได้ ดังนั้น AI ทำได้เพียงบทบาทสนับสนุน คือคัดกรอง จัดลำดับ ประมวลข้อมูล หรือร่างเอกสาร แต่ 'การเคาะ' ต้องเป็นคนเสมอ การออกแบบที่ดีต้องมี: ผู้ตัดสินที่เป็นมนุษย์ที่ทบทวนได้จริง (ไม่ใช่แค่กดยืนยันตามบอต - rubber stamp), การเปิดเผยว่ามีการใช้ AI, และช่องทางอุทธรณ์ที่ประชาชนใช้ได้จริง โดยเฉพาะเมื่อมีความเสี่ยงเรื่องอคติ (bias) ที่อาจทำให้บางกลุ่มเสียเปรียบอย่างเป็นระบบ
เส้นที่ห้ามข้าม: ห้ามให้ AI ปฏิเสธสิทธิ์ ตัดสิทธิ์ หรือลงโทษประชาชนแบบอัตโนมัติ ต้องมีเจ้าหน้าที่ตัดสิน ระบุเหตุผล และเปิดสิทธิอุทธรณ์เสมอ การให้คนแค่ 'กดยืนยันตามบอต' โดยไม่ทบทวนจริง ก็ถือว่าไม่ผ่านหลักนี้
จัดซื้อ AI อย่างรับผิดชอบ (Responsible AI Procurement)
ภาครัฐไทยส่วนใหญ่ซื้อระบบ AI จากเอกชน สัญญาที่เขียนดีจึงเป็นเครื่องมือกำกับที่ทรงพลังที่สุด ข้อกำหนด (TOR) ควรบรรจุ: สิทธิในการตรวจสอบระบบและผลลัพธ์ (right to audit), การส่งมอบเอกสารกำกับโมเดล (model card/system card) และผลทดสอบกับข้อมูลบริบทไทย, ข้อห้ามนำข้อมูลของหน่วยงานหรือประชาชนไปฝึกโมเดลต่อ (no-training clause), การจัดเก็บข้อมูลในราชอาณาจักรตามชั้นความลับ, ความสามารถส่งออกข้อมูลและย้ายระบบเพื่อกันการผูกติดผู้ขายรายเดียว (vendor lock-in), ตัวชี้วัดคุณภาพขั้นต่ำ และความรับผิดเมื่อระบบทำงานผิดพลาด ทั้งหมดต้องสอดคล้องหลักความโปร่งใสของ พ.ร.บ.การจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐ พ.ศ. 2560 และหลีกเลี่ยงเงื่อนไขที่กีดกันการแข่งขัน ควรกำหนดช่วงทดลอง (pilot) ก่อนขยายผล และทำการประเมินผลกระทบเชิงอัลกอริทึม (Algorithmic Impact Assessment) สำหรับระบบที่อาจกระทบสิทธิ
อธิปไตยข้อมูลและคลาวด์ภาครัฐ (Data Sovereignty & GDCC)
ข้อมูลของรัฐและของประชาชนควรอยู่ภายใต้เขตอำนาจและกฎหมายไทย นี่คือแนวคิดอธิปไตยข้อมูล (data sovereignty) ประเทศไทยจึงมีนโยบายคลาวด์ภาครัฐ (Cloud First Policy) และระบบคลาวด์กลางภาครัฐ GDCC (Government Data Center and Cloud) ให้หน่วยงานเก็บและประมวลผลข้อมูลภายในประเทศ พร้อมกติกาการส่งข้อมูลออกนอกประเทศ (cross-border transfer) ตาม PDPA ในทางปฏิบัติ หน่วยงานต้องจำแนกชั้นข้อมูลก่อนเลือกที่เก็บและเครื่องมือ AI: ข้อมูลเปิดเผยได้ยืดหยุ่นได้; ข้อมูลส่วนบุคคล/ใช้ภายในต้องมีสัญญาคุ้มครองและตั้งค่าไม่ให้นำไปฝึกต่อ; ข้อมูลลับหรือกระทบความมั่นคงต้องอยู่ในระบบปิด/GDCC และห้ามป้อนเข้าเครื่องมือ AI สาธารณะ ความเสี่ยงที่พบบ่อยคือการใช้บริการ AI ที่ประมวลผลและเก็บข้อมูลในต่างประเทศโดยไม่รู้ตัว จึงต้องตรวจว่าข้อมูลไหลไปที่ใด และผูกเงื่อนไขไว้ในสัญญา
| ชั้นข้อมูล | ที่เก็บ/ประมวลผล | เครื่องมือ AI |
|---|---|---|
| เปิดเผยได้ | ยืดหยุ่นได้ (ควรระวังความถูกต้อง) | เครื่องมือสาธารณะได้ |
| ใช้ภายใน / ข้อมูลส่วนบุคคล | ระบบที่มีสัญญาคุ้มครองข้อมูล จัดเก็บในไทยตามเหมาะสม | ระบบองค์กร ตั้งค่าไม่นำไปเทรน หรือลบตัวระบุตัวตนก่อน |
| ลับ / กระทบความมั่นคง | ระบบปิดภายในรัฐ / GDCC ในประเทศ | ห้ามใช้เครื่องมือสาธารณะเด็ดขาด |
เส้นที่หน่วยงานไม่ควรข้าม (Lines Not to Cross)
ปิดท้ายด้วยสรุป 'เส้นแดง' ที่หน่วยงานควรติดไว้เตือนใจก่อนใช้ AI ทุกครั้ง เส้นเหล่านี้กลั่นมาจากทั้งกฎหมาย จริยธรรม และบทเรียนจริง: (1) ห้ามให้ AI ตัดสินสิทธิ์ ปฏิเสธคำขอ หรือลงโทษประชาชนโดยอัตโนมัติ — คนต้องตัดสินและอุทธรณ์ได้ (2) ห้ามป้อนข้อมูลส่วนบุคคลจริงหรือข้อมูลลับลงเครื่องมือ AI สาธารณะ (3) ห้ามอ้างเลขมาตรา ชื่อกฎหมาย คำพิพากษา หรือตัวเลขจากคำตอบ AI โดยไม่เปิดตัวบทจริงตรวจ (4) ห้ามใช้ AI แอบอ้างเป็นเจ้าหน้าที่หรือปิดบังว่าเป็น AI (5) ห้ามทำให้ช่องทางดิจิทัล/AI เป็นทางเดียวจนตัดสิทธิคนที่เข้าไม่ถึงเทคโนโลยี (6) ห้ามใช้ระบบที่อธิบายเหตุผลและตรวจสอบย้อนไม่ได้กับการตัดสินที่กระทบสิทธิ (7) ห้ามละเลยการทดสอบอคติ (bias) ในระบบที่ให้คุณให้โทษต่อประชาชน ถ้าไม่แน่ใจว่าเรื่องใดข้ามเส้นหรือไม่ ให้ถือว่าข้ามไว้ก่อนแล้วปรึกษาผู้รับผิดชอบด้านกฎหมายและ DPO
จำให้ขึ้นใจ: AI ช่วยคิด ไม่ตัดสินใจแทนคน · โปร่งใสว่าใช้ AI ตรงไหน · เคารพ PDPA และข้อมูลของประชาชน · เปิดสิทธิอุทธรณ์เสมอ · และตรวจสอบข้อมูลที่ AI ให้ทุกครั้งเพราะมันมั่วได้