แม่แบบนโยบายการใช้ AI ในองค์กร (ฉบับภาษาไทย)

นโยบายฉบับนี้กำหนดหลักเกณฑ์การใช้ระบบปัญญาประดิษฐ์ (AI) ในการปฏิบัติงานของ [ชื่อองค์กร] เพื่อให้การใช้ AI เกิดประโยชน์ต่อองค์กร โดยไม่สร้างความเสี่ยงต่อข้อมูลส่วนบุคคล ข้อมูลความลับทางธุรกิจ หรือชื่อเสียงขององค์กร

นโยบายนี้บังคับใช้กับพนักงานทุกระดับ ลูกจ้างชั่วคราว ผู้รับจ้าง ที่ปรึกษา และบุคคลภายนอกที่เข้าถึงข้อมูลหรือระบบขององค์กร ครอบคลุมการใช้ AI ทุกรูปแบบ ทั้งบริการสาธารณะ ระบบที่องค์กรจัดหา และระบบที่พัฒนาขึ้นเอง

ระบบ AI หมายถึง ระบบที่สร้างผลลัพธ์ เช่น ข้อความ รูปภาพ เสียง โค้ด คำแนะนำ หรือการคาดการณ์ จากข้อมูลนำเข้า โดยใช้แบบจำลองที่เรียนรู้จากข้อมูล

AI สาธารณะ หมายถึง บริการ AI ที่เข้าถึงได้ทั่วไปโดยองค์กรไม่มีสัญญากำกับการใช้ข้อมูล

AI ที่องค์กรจัดหา หมายถึง บริการ AI ที่องค์กรทำสัญญาไว้ และมีข้อกำหนดเรื่องการเก็บและใช้ข้อมูลที่ตรวจสอบได้

ข้อมูลส่วนบุคคล ให้เป็นไปตามนิยามใน พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

1) มนุษย์รับผิดชอบเสมอ — ผู้ใช้เป็นผู้รับผิดชอบผลลัพธ์ที่นำไปใช้ การอ้างว่า AI เป็นผู้สร้างไม่ลดความรับผิดชอบ

2) ตรวจสอบก่อนใช้ — ผลลัพธ์จาก AI ถือเป็นร่าง ไม่ใช่ข้อเท็จจริง ต้องตรวจสอบก่อนนำไปใช้กับงานจริง

3) ข้อมูลเข้าเท่าที่จำเป็น — ใส่ข้อมูลเท่าที่จำเป็นต่อการได้ผลลัพธ์ ไม่ใส่มากกว่านั้นเพื่อความสะดวก

4) โปร่งใสเมื่อเกี่ยวข้องกับบุคคลภายนอก — เปิดเผยการใช้ AI เมื่อผลลัพธ์ถูกส่งถึงลูกค้าหรือคู่ค้าในลักษณะที่อาจทำให้เข้าใจผิดว่าเป็นงานของมนุษย์ทั้งหมด

5) ไม่ใช้ AI ตัดสินใจที่กระทบสิทธิของบุคคลโดยลำพัง — การตัดสินใจที่มีผลทางกฎหมายหรือกระทบบุคคลอย่างมีนัยสำคัญต้องมีมนุษย์เป็นผู้ตัดสินใจขั้นสุดท้าย

หมายเหตุ: การลบชื่อออกอย่างเดียวไม่ถือว่าเป็นการทำให้ไม่ระบุตัวตน หากข้อมูลที่เหลือยังเชื่อมโยงกลับไปหาบุคคลได้

องค์กรอนุญาตให้ใช้เครื่องมือ AI ต่อไปนี้ในการปฏิบัติงาน: [ระบุรายชื่อ เช่น Claude, ChatGPT Enterprise, Microsoft Copilot พร้อมระบุว่าเป็นแพลนใด]

การใช้เครื่องมือ AI อื่นนอกรายการนี้กับข้อมูลระดับ "ต้องขออนุมัติ" หรือสูงกว่า ต้องได้รับอนุมัติจาก [ระบุตำแหน่ง] ก่อน

องค์กรจะทบทวนรายการนี้ทุก [ระบุความถี่] และประกาศการเปลี่ยนแปลงผ่าน [ระบุช่องทาง]

ห้ามใช้ AI สร้างเนื้อหาที่ผิดกฎหมาย หมิ่นประมาท หรือละเมิดทรัพย์สินทางปัญญาของผู้อื่น

ห้ามใช้ AI ปลอมแปลงตัวตนของบุคคลจริง รวมถึงการสร้างเสียงหรือภาพเลียนแบบบุคคลโดยไม่ได้รับความยินยอม

ห้ามใช้ AI ตัดสินใจเรื่องการจ้างงาน การเลื่อนตำแหน่ง การให้สินเชื่อ หรือการยุติสัญญา โดยไม่มีมนุษย์ทบทวน

ห้ามนำผลลัพธ์จาก AI ไปใช้เป็นคำแนะนำทางกฎหมาย การแพทย์ หรือการเงินต่อบุคคลภายนอก โดยไม่ผ่านผู้มีคุณสมบัติตามวิชาชีพ

ห้ามใช้ AI เพื่อหลบเลี่ยงมาตรการควบคุมภายในขององค์กร

งานที่ต้องมีผู้ตรวจสอบที่มีความรู้ในเรื่องนั้นก่อนนำไปใช้ ได้แก่ เอกสารที่ส่งถึงบุคคลภายนอก, ตัวเลขหรือข้อมูลที่ใช้ประกอบการตัดสินใจ, โค้ดที่จะขึ้นระบบจริง และเนื้อหาที่อ้างอิงกฎหมายหรือมาตรฐาน

ผู้ตรวจสอบต้องอยู่ในสถานะที่ประเมินความถูกต้องได้จริง การให้ผู้ที่ไม่มีความรู้ในเรื่องนั้นเป็นผู้อนุมัติ ไม่ถือว่าเป็นการตรวจสอบตามนโยบายนี้

ฐานทางกฎหมาย — ก่อนนำข้อมูลส่วนบุคคลเข้าสู่ระบบ AI ต้องระบุได้ว่าใช้ฐานทางกฎหมายใดตามมาตรา 24 หรือ 26 และการใช้นั้นอยู่ในวัตถุประสงค์ที่แจ้งไว้ตอนเก็บข้อมูลหรือไม่

การโอนข้อมูลไปต่างประเทศ — ผู้ให้บริการ AI ส่วนใหญ่ประมวลผลนอกประเทศไทย ต้องตรวจสอบว่าเข้าเงื่อนไขตามมาตรา 28 หรือ 29 และบันทึกไว้

สิทธิของเจ้าของข้อมูล — ต้องทราบว่าผู้ให้บริการเก็บข้อมูลที่ส่งเข้าไปนานเท่าใด และองค์กรจะตอบสนองคำขอใช้สิทธิลบข้อมูลได้อย่างไรหากข้อมูลนั้นถูกส่งไปแล้ว

การใช้ข้อมูลเพื่อฝึกโมเดล — ต้องตรวจสอบและบันทึกว่าผู้ให้บริการนำข้อมูลขององค์กรไปใช้ฝึกโมเดลหรือไม่ และปิดตัวเลือกนั้นได้หรือไม่

บันทึกกิจกรรมการประมวลผล — เพิ่มการใช้ AI เข้าไปในบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลขององค์กร

สำหรับระบบ AI ที่องค์กรจัดหาหรือพัฒนาเอง ต้องเก็บบันทึกอย่างน้อย: ผู้ใช้ เวลา ระบบหรือโมเดลที่ใช้ และประเภทของงานที่ทำ

ระยะเวลาเก็บบันทึกให้เป็นไปตามนโยบายการเก็บรักษาข้อมูลขององค์กร และต้องไม่ขัดกับหน้าที่ตาม PDPA

สิทธิ์ในการเข้าถึงบันทึกให้จำกัดเฉพาะ [ระบุตำแหน่ง] และการเข้าถึงต้องถูกบันทึกด้วย

ผู้บริหารสูงสุดด้านสารสนเทศ / เจ้าของนโยบาย — อนุมัตินโยบายและรายการเครื่องมือที่อนุญาต

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) — ตรวจสอบความสอดคล้องกับ PDPA และร่วมพิจารณากรณีที่เกี่ยวกับข้อมูลส่วนบุคคล

หัวหน้าสายงาน — อนุมัติการใช้ข้อมูลระดับ "ต้องขออนุมัติ" ในขอบเขตงานของตน

ผู้ใช้งาน — รับผิดชอบผลลัพธ์ที่นำไปใช้ และรายงานเหตุตามหมวด 11

หากมีการนำข้อมูลที่ไม่ควรเข้าสู่ระบบ AI ให้รายงานต่อ [ระบุช่องทาง] ภายใน [ระบุเวลา] นับแต่ทราบเหตุ

การรายงานเหตุด้วยตนเองโดยสุจริตจะไม่ถูกใช้เป็นเหตุในการลงโทษทางวินัย ยกเว้นกรณีที่เป็นการฝ่าฝืนโดยเจตนาหรือปกปิด

หากเหตุนั้นเข้าข่ายการละเมิดข้อมูลส่วนบุคคล ให้ดำเนินการตามกระบวนการแจ้งเหตุละเมิดขององค์กรและกรอบเวลาตาม PDPA

ทบทวนนโยบายนี้อย่างน้อยทุก [6 หรือ 12] เดือน และทบทวนทันทีเมื่อมีการเพิ่มเครื่องมือใหม่ เปลี่ยนผู้ให้บริการ หรือมีการเปลี่ยนแปลงกฎหมายที่เกี่ยวข้อง

ประกาศใช้เมื่อ [วันที่] · ทบทวนครั้งถัดไป [วันที่] · เจ้าของนโยบาย [ตำแหน่ง]