Data Residency

Data residency (ที่อยู่ของข้อมูล) คือหลักการที่บอกว่าข้อมูลขององค์กรถูกเก็บและประมวลผลอยู่ที่ประเทศหรือภูมิภาคทางภูมิศาสตร์ไหนจริง ๆ โฟกัสอยู่แค่ "ที่ตั้งทางกายภาพ" ล้วน ๆ คำนี้มักถูกพูดถึงคู่กับอีกสองคำที่ใกล้กัน ในทางปฏิบัติของฝั่งผู้ให้บริการคลาวด์ มักแยกว่า data sovereignty ตอบว่าข้อมูลอยู่ใต้กฎหมายของประเทศไหน ส่วน data localization คือกฎที่รัฐออกมาบังคับให้ข้อมูลบางประเภทต้องเก็บและประมวลผลในประเทศเท่านั้น ข้อควรรู้คือการแยกแบบนี้เป็นภาษาของอุตสาหกรรม ไม่ใช่นิยามทางกฎหมายที่ตายตัว: Wikipedia หัวข้อ data localization ใช้คำว่า data localization or data residency law เป็นคำเดียวกัน และนิยาม data sovereignty ว่าเป็นการกำกับข้อมูลด้วยกฎหมายที่ใช้กับเจ้าของข้อมูลหรือผู้ประมวลผล เวลาคุยกับฝ่ายกฎหมายจึงควรถามให้ชัดว่าอีกฝ่ายหมายถึงนิยามไหน พูดสั้น ๆ residency คือ "ข้อมูลอยู่ที่ไหนจริง" sovereignty คือ "อยู่ใต้กฎหมายใคร" และ localization คือ "กฎหมายบังคับให้ต้องอยู่ที่ไหน" (Wikipedia บันทึกว่าขอบเขตของแต่ละประเทศไม่เท่ากัน: รัสเซียบังคับกับข้อมูลส่วนบุคคลทั้งหมด จีนครอบคลุมข้อมูลส่วนบุคคล ข้อมูลธุรกิจ และข้อมูลการเงิน ส่วนอินเดียบังคับเฉพาะข้อมูลระบบการชำระเงิน)

ในโลก ai เรื่องนี้เห็นชัดตอนองค์กรเลือก region ตอน deploy บริการอย่าง azure-openai, amazon-bedrock หรือ vertex-ai ของ Google ฝั่ง Microsoft ระบุในเอกสารทางการ (ปัจจุบันอยู่ใต้ชื่อ Microsoft Foundry ไม่ใช่ Azure OpenAI แล้ว) ว่า prompt และ completion จะถูกประมวลผลใน geography ที่ลูกค้าเลือก แต่มีข้อความต่อท้ายที่คนมักอ่านข้าม: ถึงจะเป็น deployment แบบมาตรฐาน ข้อมูลก็ยังอาจถูกประมวลผลข้าม region ภายใน geography เดียวกันได้ เพื่อเหตุผลด้านประสิทธิภาพและการบริหารความจุ และถ้าเลือก deployment แบบ Global ข้อมูลอาจถูกประมวลผลใน geography ใดก็ได้ที่มีโมเดลนั้น ส่วนแบบ DataZone จะจำกัดอยู่ในเขตที่กำหนด เช่น DataZone ที่สร้างในสหรัฐฯ ประมวลผลได้ทั่วสหรัฐฯ ไม่ใช่แค่ region เดียว จุดที่ Microsoft ยืนยันไว้ชัดสำหรับทั้งสองโหมดคือข้อมูลที่ถูกเก็บ at rest ยังอยู่ใน geography ที่ลูกค้ากำหนด ฝั่ง Amazon Bedrock ก็มีเอกสารทางการแยกหน้าระบุว่าโมเดลแต่ละตัวรองรับ region ไหนบ้าง ไม่ใช่ทุกโมเดลจะมีให้ใช้ในทุก region พร้อมกัน ฝั่ง AWS มีกลไกที่ทำให้เห็นประเด็นนี้ชัดเจนเช่นกัน: cross-Region inference แบบ Global ของ Bedrock สามารถ route คำขอไป AWS Region เชิงพาณิชย์ใดก็ได้ทั่วโลก และเอกสารระบุตรงว่ามัน route ไป Region ที่บัญชีของคุณยังไม่ได้เปิดใช้งานเองก็ได้ ถ้าต้องการคุมขอบเขต ต้องเลือกแบบ Geographic ที่ผูกกับเขต เช่น US หรือ EU แทน ส่วน Google เริ่มเปิด data residency ให้ Vertex AI ครั้งแรกเมื่อพฤศจิกายน 2023 ที่ 10 ประเทศ แต่ภาพปัจจุบันเปลี่ยนไปแล้วสองชั้น ชั้นแรกคือชื่อ: Google ประกาศแทนที่ Vertex AI ด้วย Gemini Enterprise Agent Platform เมื่อเมษายน 2026 ที่งาน Cloud Next ชั้นที่สองสำคัญกว่าคือเอกสารปัจจุบันแยกคำมั่นเป็นสองเรื่องที่ไม่เท่ากัน: data residency ของข้อมูลที่เก็บอยู่ (at rest) ครอบคลุม region จำนวนมาก แต่คำมั่นเรื่องที่ตั้งของการประมวลผล ML (ML processing residency) รองรับเฉพาะ locations ในสหรัฐฯ และสหภาพยุโรป การอ่านตัวเลขว่ากี่ประเทศรวบเป็นก้อนเดียวจึงทำให้ประเมินความเสี่ยงผิด ต้องแยกให้ออกว่ากำลังพูดถึงที่เก็บหรือที่ประมวลผล องค์กรที่อยากได้โมเดลรุ่นใหม่ล่าสุดจึงอาจเจอทางแยก: โมเดลใหม่บางตัวเปิดใช้เฉพาะบาง region ก่อน แล้วค่อยขยายทีหลัง ทำให้ region ที่ residency ต้องการอาจยังไม่มีโมเดลที่อยากใช้ Microsoft เขียนคำมั่นระดับ Azure ไว้ว่าจะไม่เก็บหรือประมวลผลข้อมูลลูกค้านอก Geo ที่ลูกค้าระบุโดยไม่ได้รับอนุญาต แต่หน้าเดียวกันแนบรายการข้อยกเว้นยาวเหยียดไว้ด้วย ทั้งการทำสำเนาข้ามภูมิภาคภายใน geography เดียวกัน บริการที่เก็บข้อมูลนอก region ที่ระบุ และบริการที่ยังเป็น preview ซึ่งโดยทั่วไปเก็บไว้ที่สหรัฐฯ คำมั่นนี้จึงต้องอ่านคู่กับรายการข้อยกเว้นเสมอ

องค์กรไทยในภาคการเงินและสาธารณสุขมักถามเรื่องนี้เพราะ pdpa กำหนดเงื่อนไขการโอนข้อมูลส่วนบุคคลออกนอกประเทศไว้ชัดเจน (มาตรา 28-29) โดยประกาศของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตามมาตรา 28 และมาตรา 29 มีผลบังคับใช้ตั้งแต่ 24 มีนาคม 2024 วางเส้นทางโอนข้อมูลไว้สามทาง คือประเทศปลายทางมีมาตรฐานคุ้มครองเพียงพอตามที่คณะกรรมการประเมิน ข้อยกเว้นตามมาตรา 28 เช่น ความยินยอมหรือความจำเป็นตามสัญญา และการวางหลักประกันที่เหมาะสมตามมาตรา 29 เช่น Binding Corporate Rules หรือสัญญามาตรฐาน (SCC) ข้อเท็จจริงที่ต้องรู้คือจนถึงปี 2026 คณะกรรมการยังไม่ได้ประกาศบัญชีประเทศที่มีมาตรฐานเพียงพอออกมาเลย ทางแรกจึงยังใช้จริงไม่ได้ ส่วนกลไก BCR เพิ่งเดินได้จริงหลังประกาศเรื่องการตรวจและรับรอง BCR ลงราชกิจจานุเบกษาเมื่อ 17 กุมภาพันธ์ 2026 และเริ่มมีองค์กรผ่านการรับรองรายแรกในเดือนเมษายน 2026 องค์กรไทยส่วนใหญ่จึงยังต้องพึ่งข้อยกเว้นตามมาตรา 28 หรือ SCC เป็นหลัก ข้อควรระวังคือ region ของบริการหนึ่งไม่ได้แปลว่าทุกองค์ประกอบอยู่ประเทศเดียวกันเสมอไป ตัวอย่างจริงจากเอกสาร Microsoft: การตรวจสอบเนื้อหาเพื่อป้องกันการใช้งานผิดกติกา (abuse monitoring) มีเจ้าหน้าที่มนุษย์รีวิวได้ในบางกรณี และ Microsoft ระบุเฉพาะเจาะจงว่าถ้า deploy ใน European Economic Area เจ้าหน้าที่ที่รีวิวต้องประจำอยู่ใน EEA เท่านั้น ซึ่งแปลว่านอกเขตนั้น เอกสารไม่ได้การันตีแบบเดียวกัน คนทำสัญญาหรือประเมินความเสี่ยงจึงต้องเปิดอ่านเอกสาร data residency ของผู้ให้บริการแต่ละรายเอง ไม่ใช่เชื่อคำโฆษณาว่า "เลือก region ไทยได้" แล้วจบ

ตัวอย่างจากบทสนทนาจริง

ฝ่ายจัดซื้อ: "เห็น sales บอกว่าเครื่องมือ AI ตัวนี้ให้เลือก region สิงคโปร์ได้ แปลว่าข้อมูลเราไม่ออกนอกภูมิภาคเลยใช่ไหมครับ ปิดเรื่อง data residency ได้เลย"

ทีม IT: "ต้องดูรายละเอียดก่อนครับ เลือก region ได้จริง แต่บางบริการมีโหมด deployment ที่ต่างกัน บางโหมดข้อมูลอยู่ใน region นั้นล้วน บางโหมดประมวลผลข้ามประเทศได้ในเขตที่กว้างกว่า แถมงานบางส่วนอย่างการตรวจจับการใช้งานผิดกติกา ตัวข้อมูลถูกเก็บใน geography เดิมก็จริง แต่เอกสารการันตีว่าคนที่เข้ามารีวิวอยู่ในเขตเดียวกันเฉพาะกรณี EEA เท่านั้น นอกเขตนั้นไม่ได้ระบุไว้ ต้องขอเอกสาร data residency ของ vendor มาดูเป็นข้อ ๆ แล้วเช็กกับเงื่อนไขโอนข้อมูลของ pdpa ด้วยครับ ก่อนเซ็นสัญญา"

ระวังสับสนกับ

• Data sovereignty : ตอบคำถามคนละข้อกับ residency ตัว sovereignty ดูว่าข้อมูลอยู่ใต้กฎหมายของประเทศไหน ไม่ใช่แค่ตั้งอยู่ที่ไหน ข้อมูลอาจ "อยู่" ในไทยแต่ยัง "อยู่ใต้กฎหมาย" ของประเทศอื่นได้ ถ้าเจ้าของบริการเป็นบริษัทต่างชาติ
• Data localization : เป็นข้อบังคับทางกฎหมายที่สั่งให้ต้องเก็บข้อมูลในประเทศ ส่วน data residency เป็นแค่การเลือกที่ตั้งของข้อมูล องค์กรอาจเลือก residency เองโดยไม่มีกฎหมายบังคับก็ได้ แต่ localization คือกฎที่เลี่ยงไม่ได้
• zero-data-retention : zero-data-retention ตอบคำถามว่า "เก็บข้อมูลไหม" (ให้บริการแล้วลบทิ้งเลยหรือเปล่า) ส่วน data residency ตอบคำถามว่า "ถ้าเก็บ เก็บที่ไหน" สองเรื่องนี้แยกกันได้ บริการหนึ่งอาจไม่เก็บข้อมูลเลยก็ได้ (zero retention) โดยไม่ต้องพูดเรื่อง region เลยด้วยซ้ำ