Data Privacy

Data Privacy (ความเป็นส่วนตัวของข้อมูล บางที่เรียก information privacy หรือ data protection) คือแนวคิดว่าด้วยความสัมพันธ์ระหว่าง "การเก็บรวบรวมและเผยแพร่ข้อมูล" กับ "ความคาดหวังของเจ้าของข้อมูลว่าข้อมูลจะถูกใช้อย่างเหมาะสม" รวมถึงประเด็นกฎหมายที่ตามมาทั้งหมด หัวใจของเรื่องคือข้อมูลส่วนบุคคล (personal data): ข้อมูลใดก็ตามที่ระบุตัวบุคคลที่ยังมีชีวิตได้ ไม่ว่าทางตรงหรือทางอ้อม เช่น ชื่อ ที่อยู่ อีเมล เบอร์โทร IP address, cookie ID ไปจนถึงประวัติการรักษา และคำว่า "ประมวลผลข้อมูล" กินความกว้างมาก: แค่เก็บ บันทึก ใช้ ส่งต่อ หรือเปิดเผย ก็นับหมดแล้ว ไม่ว่าจะทำผ่านระบบคอมพิวเตอร์ กล้องวงจรปิด หรือเอกสารกระดาษ

หลักการสำคัญที่กฎหมายทั่วโลกยึดถือคือ เจ้าของข้อมูลต้องรู้และยินยอมอย่างเข้าใจ (informed consent) ว่าข้อมูลของตนจะถูกนำไปใช้ทำอะไร องค์กรควรเก็บข้อมูลเท่าที่จำเป็นจริงๆ (data minimization) และออกแบบระบบให้คุ้มครองข้อมูลตั้งแต่แรก (privacy by design) กฎหมายต้นแบบของโลกคือ gdpr ของสหภาพยุโรป ซึ่งให้สิทธิเจ้าของข้อมูล 8 ด้าน เช่น สิทธิได้รับแจ้ง เข้าถึง แก้ไข ลบ โอนย้ายข้อมูล และคัดค้านการประมวลผล ที่สำคัญคือบังคับใช้กับองค์กรนอก EU ที่ให้บริการหรือติดตามพฤติกรรมคนใน EU ด้วย ส่วนของไทยมี pdpa ที่เดินตามแนวทางเดียวกัน

ทำไมคนทำงานยุค ai ต้องเข้าใจเรื่องนี้: เพราะทุกครั้งที่เราวางข้อมูลลูกค้า พนักงาน หรือคนไข้ ลงใน prompt ของ chatgpt หรือเครื่องมือ AI ใดๆ นั่นคือการส่งข้อมูลส่วนบุคคลให้ระบบภายนอก "ประมวลผล" ทันที และบางบริการอาจนำข้อมูลไปใช้พัฒนา model ต่ออีกทอด ความกังวลนี้ไม่ใช่เรื่องเล็ก: ตัวเลขที่ Wikipedia อ้างถึงระบุว่าผู้บริโภคราว 68% ทั่วโลกกังวลเรื่อง online privacy และ 57% มองว่า AI เป็นภัยคุกคามต่อข้อมูลของตน การที่พนักงานแอบใช้เครื่องมือ AI ที่องค์กรไม่ได้อนุมัติ (shadow-ai) จึงกลายเป็นความเสี่ยงด้าน data privacy อันดับต้นๆ ของที่ทำงานยุคนี้

ตัวอย่างจากบทสนทนาจริง

ฝ่ายขาย: ผมก๊อปรายชื่อลูกค้าพร้อมเบอร์โทรใส่ ChatGPT ให้ช่วยจัดกลุ่มเป้าหมาย แบบนี้ไม่เป็นไรใช่ไหมครับ ก็แค่ให้ AI อ่าน ไม่ได้เอาไปโพสต์ที่ไหนสักหน่อย

หัวหน้าทีม: อันนี้เข้าประเด็น data privacy เต็มๆ เลยครับ ชื่อกับเบอร์โทรคือข้อมูลส่วนบุคคล การส่งให้บริการภายนอกช่วยวิเคราะห์ก็นับเป็นการ "ใช้และเปิดเผยข้อมูล" แล้ว แม้เราไม่ได้โพสต์สาธารณะก็ตาม ต้องเช็กก่อนว่า ai-policy ของบริษัทอนุญาตเครื่องมือไหน หรืออย่างน้อยก็ตัดชื่อกับเบอร์ออกให้ระบุตัวตนไม่ได้ก่อนส่งเข้าไป

ระวังสับสนกับ

• Data Security: security ตอบคำถามว่า "จะป้องกันข้อมูลจากการถูกเจาะหรือขโมยอย่างไร" ด้วยเครื่องมืออย่าง encryption ส่วน data privacy ตอบคำถามว่า "ใครมีสิทธิ์เก็บและใช้ข้อมูลนี้ เพื่ออะไร" ระบบที่ปลอดภัยมากแต่เอาข้อมูลลูกค้าไปใช้โดยไม่ขอความยินยอม ก็ยังละเมิด privacy อยู่ดี
• data-governance: governance คือกรอบบริหารจัดการข้อมูลทั้งองค์กร ครอบคลุมคุณภาพข้อมูล มาตรฐาน และความเป็นเจ้าของ ส่วน data privacy เป็นเพียงด้านหนึ่งในนั้น ที่โฟกัสเฉพาะข้อมูลส่วนบุคคลและสิทธิของเจ้าของข้อมูล
• zero-data-retention: เมื่อเลือกผู้ให้บริการ AI องค์กรมักถามคำถามหนึ่งว่า "เก็บข้อมูลที่ป้อนเข้าไปไว้หรือเปล่า" ซึ่งเป็นเงื่อนไขเฉพาะเจาะจงกว่าหลัก data privacy ทั่วไป
• data-residency: อีกคำถามที่มักถามคู่กันคือ "ถ้าเก็บ เก็บไว้ที่ประเทศไหน" ทั้งสองคำถามนี้คือสิ่งที่องค์กรใช้ประเมินความเสี่ยงด้าน data privacy ก่อนเลือกผู้ให้บริการ AI