สภาผู้บริโภคเตือนก่อนใช้ TH-AI Passport เช็กให้ชัดข้อมูลส่วนตัวถูกเก็บแค่ไหน ใครเปิดดูได้ ส่งต่อถึงใคร พร้อมระวังข้อมูลที่พิมพ์คุยกับ AI อาจกลายเป็นข้อมูลส่วนบุคคล
ข้อมูลผู้ใช้งานโครงการ TH-AI Passport ผ่านระบบ AiPass กำลังเป็นอีกประเด็นที่ถูกพูดถึง เนื่องจากการดำเนินงานไม่ได้เกี่ยวข้องเฉพาะหน่วยงานรัฐและผู้พัฒนาระบบเท่านั้น แต่ยังเชื่อมโยงไปถึงผู้ให้บริการ AI ผู้จัดกิจกรรม ผู้ดูแลระบบฝึกอบรม รวมถึงผู้รับจ้างช่วงในหลายส่วน ขณะที่สภาผู้บริโภคเสนอให้ภาครัฐสร้างความเชื่อมั่นด้วยการทำให้เห็นกลไกกำกับข้อมูลตลอดทั้งกระบวนการ ตั้งแต่ข้อตกลงประมวลผลข้อมูลส่วนบุคคล การประเมินผลกระทบด้านข้อมูล ไปจนถึงระบบตรวจสอบว่า ใครเข้าถึงข้อมูลของประชาชนได้บ้าง
โครงการยกระดับทักษะด้านดิจิทัลและปัญญาประดิษฐ์เพื่อคนไทย หรือ TH-AI Passport จำเป็นต้องใช้ข้อมูลบางส่วนในการตรวจสอบและยืนยันตัวตนของผู้รับสิทธิ โดยเชื่อมต่อกับระบบภาครัฐที่ประชาชนเคยผ่านการยืนยันตัวตนมาแล้ว ขณะเดียวกัน อาจมีการขอข้อมูลเพิ่มเติม อาทิ อีเมลหรือหมายเลขโทรศัพท์ เพื่อใช้สำหรับเข้าใช้งานระบบ
ดร.อุดมธิปก ไพรเกษตร นายกสมาคมผู้ตรวจสอบและให้คำปรึกษาการคุ้มครองข้อมูลส่วนบุคคลไทย และอนุกรรมการด้านการสื่อสาร โทรคมนาคม และเทคโนโลยีสารสนเทศ สภาผู้บริโภค ระบุว่า การใช้ข้อมูลเพื่อยืนยันตัวตนในโครงการภาครัฐถือเป็นเรื่องที่มีเหตุผล เพราะต้องสามารถตรวจสอบได้ว่าใครเป็นผู้ใช้สิทธิ อย่างไรก็ตาม ประเด็นสำคัญไม่ได้สิ้นสุดเพียงขั้นตอนการสมัคร เนื่องจากตลอดการดำเนินโครงการยังมีหลายหน่วยงานและหลายบริษัทที่อาจเข้ามาเกี่ยวข้องกับข้อมูลของผู้ใช้
หนึ่งในกลไกสำคัญคือข้อตกลงการประมวลผลข้อมูลส่วนบุคคล หรือ DPA (Data Processing Agreement) ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งใช้กำหนดกรอบการทำงานระหว่างหน่วยงานผู้ควบคุมข้อมูลกับบริษัทที่รับหน้าที่ประมวลผล ตั้งแต่ขอบเขตการนำข้อมูลไปใช้ สิ่งที่สามารถหรือไม่สามารถดำเนินการได้ ตลอดจนมาตรการรักษาความมั่นคงปลอดภัยของข้อมูล
ดร.อุดมธิปกกล่าวว่า ปัจจุบันยังไม่พบ DPA ของโครงการจากข้อมูลที่เปิดเผยต่อสาธารณะ แม้กฎหมายไม่ได้กำหนดให้ต้องเผยแพร่เอกสารดังกล่าวก็ตาม ดังนั้น การยังไม่เห็นเอกสารจึงไม่สามารถสรุปได้ว่าโครงการไม่ได้จัดทำ แต่ประเด็นที่ต้องให้ความสำคัญคือ เนื้อหาในข้อตกลงต้องครอบคลุมการรักษาความปลอดภัยของข้อมูลอย่างเพียงพอ ไม่ใช่เพียงกำหนดหน้าที่ของผู้รับจ้างเท่านั้น
ยิ่งไปกว่านั้น การกำกับข้อมูลควรต่อเนื่องไปถึงผู้รับจ้างช่วงทุกทอด เพราะ TH-AI Passport ไม่ได้มีเฉพาะผู้ให้บริการระบบ AI แต่ยังอาจมีผู้จัดอีเวนต์ ผู้จัดฝึกอบรม ผู้ดูแลระบบเรียนออนไลน์ หรือผู้ให้บริการส่วนอื่นที่ต้องใช้หรือเข้าถึงข้อมูลส่วนบุคคล ดังนั้น ผู้รับจ้างหลักจึงจำเป็นต้องกำหนดเงื่อนไขด้านการคุ้มครองข้อมูลกับผู้เกี่ยวข้องในห่วงโซ่ทั้งหมดด้วย
อีกกลไกที่สภาผู้บริโภคให้ความสำคัญคือ DPIA (Data Protection Impact Assessment) หรือการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล ซึ่งใช้ประเมินตั้งแต่ความจำเป็นของการเก็บและใช้ข้อมูล ความเสี่ยงที่อาจเกิดขึ้นกับเจ้าของข้อมูล ไปจนถึงมาตรการลดหรือป้องกันความเสี่ยง
ดร.อุดมธิปกมองว่า โครงการขนาดใหญ่ที่นำเทคโนโลยี AI มาใช้ควบคู่กับข้อมูลส่วนบุคคลควรมีการทำ DPIA โดยแนวทางเกี่ยวกับการใช้ AI ที่เกี่ยวข้องกับข้อมูลส่วนบุคคลของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลก็เสนอให้หน่วยงานพิจารณาการประเมินในลักษณะดังกล่าว อย่างไรก็ตาม จากข้อมูลที่เปิดเผยต่อสาธารณะในขณะนี้ ยังไม่ปรากฏรายละเอียดชัดเจนว่า TH-AI Passport ได้ดำเนินการในส่วนนี้แล้วหรือไม่
ขณะเดียวกัน ขอบเขตของข้อมูลส่วนบุคคลไม่ได้จำกัดอยู่เฉพาะชื่อ นามสกุล หรือข้อมูลที่ใช้ตอนสมัครเท่านั้น เพราะเมื่อเริ่มใช้งาน AI ผู้ใช้อาจกรอกข้อมูลเกี่ยวกับตัวเองหรือบุคคลอื่นลงไปใน Prompt หรือบทสนทนากับระบบได้เช่นกัน ทำให้การประเมินความเสี่ยงจำเป็นต้องครอบคลุมข้อมูลที่เกิดขึ้นระหว่างการใช้งานด้วย
นอกจากนี้ การนำข้อมูลไปใช้ในอนาคตก็ต้องมีขอบเขตที่ชัดเจน โดยเฉพาะกรณีที่ข้อมูลจากโครงการอาจถูกส่งต่อไปยังหน่วยงานอื่น หรือถูกนำไปใช้ประกอบโครงการด้าน AI อื่นในภายหลัง ซึ่งจำเป็นต้องพิจารณาว่ามีฐานทางกฎหมายรองรับหรือไม่ ใช้เพื่อวัตถุประสงค์ใด และมีการจำกัดการเข้าถึงอย่างไร
อีกด้านหนึ่ง ความกังวลของผู้ใช้ไม่ได้มีเฉพาะความเสี่ยงจากการโจมตีทางไซเบอร์หรือเหตุข้อมูลรั่วไหลเท่านั้น แต่ยังรวมถึงการควบคุมบุคลากรหรือหน่วยงานที่มีสิทธิเข้าถึงข้อมูลอยู่แล้ว เพื่อป้องกันไม่ให้มีการเปิดดู นำไปใช้ หรือเปิดเผยเกินกว่าหน้าที่ที่ได้รับมอบหมาย
ดร.อุดมธิปกระบุว่า ที่ผ่านมาประชาชนเคยพบเหตุข้อมูลจากหน่วยงานรัฐรั่วไหล จึงส่งผลต่อระดับความเชื่อมั่น ขณะเดียวกัน ประชาชนยังต้องการความชัดเจนว่า ผู้ที่มีอำนาจเข้าถึงฐานข้อมูลจะถูกควบคุมอย่างไร และจะตรวจสอบย้อนหลังได้หรือไม่หากมีการเข้าถึงข้อมูลโดยไม่เหมาะสม
ดังนั้น ระบบควรมีการจัดเก็บ Log หรือประวัติการเข้าถึงข้อมูลอย่างละเอียด เพื่อให้ตรวจสอบย้อนหลังได้ว่า หน่วยงานหรือบุคคลใดเข้าถึงข้อมูล เมื่อใด เข้าถึงข้อมูลประเภทใด และมีเหตุผลหรืออำนาจหน้าที่รองรับอย่างไร ซึ่งจะช่วยให้ประชาชนมั่นใจได้มากขึ้นว่าข้อมูลจะถูกเปิดดูเฉพาะโดยผู้ที่จำเป็นต้องใช้ในการดำเนินโครงการจริง
อย่างไรก็ตาม การที่ภาครัฐมีโครงการซึ่งเก็บข้อมูลประชาชนจำนวนมากไม่ได้หมายความว่าจะต้องเกิดปัญหาเสมอไป เพราะที่ผ่านมาโครงการของรัฐหลายโครงการมีผู้ใช้งานจำนวนมากและยังสามารถสร้างความเชื่อมั่นได้ ประเด็นสำคัญจึงอยู่ที่มาตรการกำกับดูแล การตรวจสอบ และการสื่อสารให้ประชาชนเข้าใจว่าข้อมูลของตนจะถูกดูแลอย่างไรตลอดอายุโครงการ
ปัจจุบัน TH-AI Passport มีการเผยแพร่เงื่อนไขการใช้บริการ ประกาศความเป็นส่วนตัว หรือ Privacy Notice รวมถึงคำถามที่พบบ่อยแล้ว แต่จากข้อมูลที่เปิดเผยต่อสาธารณะ ยังไม่เห็นรายละเอียดของ DPA, DPIA และกลไกควบคุมผู้มีสิทธิเข้าถึงข้อมูลในระดับที่สามารถตรวจสอบได้อย่างชัดเจน
ดร.อุดมธิปกกล่าวว่า ประเด็นการคุ้มครองข้อมูลส่วนบุคคลจะเป็นหนึ่งในเรื่องที่อนุกรรมการด้านการสื่อสาร โทรคมนาคม และเทคโนโลยีสารสนเทศของสภาผู้บริโภคเตรียมนำมาขับเคลื่อนต่อ โดยจะให้ความสำคัญกับการเก็บ ใช้ ส่งต่อ และเข้าถึงข้อมูลของผู้บริโภคในบริการดิจิทัลและระบบ AI ที่มีผู้เกี่ยวข้องหลายฝ่าย
พร้อมกันนี้ จะผลักดันให้ผู้บริโภคเข้าใจสิทธิของตัวเองมากขึ้น ทั้งสิทธิในการรับรู้ว่ามีข้อมูลใดถูกจัดเก็บ ข้อมูลถูกนำไปใช้เพื่อวัตถุประสงค์ใด และถูกส่งต่อให้หน่วยงานหรือบุคคลใดบ้าง เนื่องจากข้อมูลส่วนบุคคลไม่ได้เป็นเรื่องไกลตัวอีกต่อไป แต่เป็นสิทธิที่ผู้ใช้งานควรสามารถตรวจสอบและตัดสินใจเกี่ยวกับข้อมูลของตัวเองได้ตลอดการใช้บริการดิจิทัลและ AI