คำตอบแบบไม่อ้อมค้อมคือ: ถ้าหมายถึงกฎหมาย AI เฉพาะฉบับเดียว ฮ่องกงยังไม่มีกรอบกฎหมายแบบ standalone ที่มุ่งกำกับ AI, big data หรือ machine learning โดยตรงตามภาพรวมกฎหมายสาธารณะปี 2025^[4] แต่ถ้าหมายถึงข้อกำกับที่องค์กรต้องสนใจ คำตอบคือมีแล้ว และไม่ควรรอให้มีกฎหมาย AI ฉบับใหม่ก่อนค่อยเริ่มบริหารความเสี่ยง

สำนักงานนโยบายดิจิทัลของฮ่องกง หรือ Digital Policy Office: DPO เผยแพร่ Hong Kong Generative Artificial Intelligence Technical and Application Guideline เมื่อวันที่ 15 เมษายน 2025^[5] แนวปฏิบัตินี้ครอบคลุมขอบเขตและข้อจำกัดของการใช้งาน ความเสี่ยงที่อาจเกิดขึ้น และหลักธรรมาภิบาลของเทคโนโลยี GenAI รวมถึงความเสี่ยงทางเทคนิคอย่างข้อมูลรั่วไหล อคติของโมเดล และข้อผิดพลาดของโมเดล^[8]

ด้านข้อมูลส่วนบุคคล สำนักงาน Privacy Commissioner for Personal Data หรือ PCPD ของฮ่องกงได้เผยแพร่ Checklist on Guidelines for the Use of Generative AI by Employees ในเดือนมีนาคม 2025 เพื่อช่วยให้องค์กรจัดทำนโยบายหรือแนวทางภายในสำหรับการใช้ GenAI ของพนักงานในการทำงาน และให้สอดคล้องกับ Personal Data (Privacy) Ordinance หรือ PDPO^[9]

ภาพรวมสั้น ๆ สำหรับองค์กร

• ยังไม่มี AI Act ฉบับเดียว: ข้อมูลปี 2025 ระบุว่าฮ่องกงยังไม่มีกรอบกฎหมายเฉพาะที่มุ่งกำกับ AI, big data หรือ machine learning โดยตรง^[4]
• แต่มีแนวปฏิบัติ GenAI อย่างเป็นทางการ: DPO ออกแนวปฏิบัติด้านเทคนิคและการประยุกต์ใช้ GenAI สำหรับผู้พัฒนา ผู้ให้บริการ และผู้ใช้^[5][8]
• ข้อมูลส่วนบุคคลคือจุดเสี่ยงหลัก: เมื่อ AI เกี่ยวข้องกับข้อมูลส่วนบุคคล องค์กรต้องมอง PDPO และแนวทางของ PCPD เป็นส่วนหนึ่งของการปฏิบัติตามกฎ^[9][10]
• นโยบาย AI ภายในไม่ใช่เรื่องเสริม: องค์กรควรกำหนดให้ชัดว่าใช้เครื่องมือใดได้ ใช้เพื่ออะไร ใส่ข้อมูลอะไรได้ และจัดการผลลัพธ์อย่างไร^[1]

เอกสารและกรอบสำคัญที่ควรรู้

เอกสารหรือกรอบ	เหมาะกับใคร	ประเด็นที่ต้องใช้จริง
Hong Kong Generative Artificial Intelligence Technical and Application Guideline	ผู้พัฒนาเทคโนโลยี ผู้ให้บริการ และผู้ใช้ GenAI[8]	ครอบคลุมขอบเขตการใช้งาน ข้อจำกัด ความเสี่ยงที่อาจเกิดขึ้น และหลักธรรมาภิบาลของ GenAI[8]
แนวทางการทำนโยบายภายในตาม DPO guideline	องค์กรที่นำบริการ GenAI มาใช้[1]	ระบุเครื่องมือที่ใช้ได้ วัตถุประสงค์ที่ใช้ได้ ขอบเขตนโยบาย ประเภทและปริมาณข้อมูลที่ป้อนได้ วิธีใช้ผลลัพธ์ และวิธีเก็บผลลัพธ์[1]
Checklist on Guidelines for the Use of Generative AI by Employees	องค์กรที่มีพนักงานใช้ GenAI ในงาน[9]	ช่วยให้องค์กรจัดทำนโยบายภายในสำหรับการใช้ GenAI ของพนักงาน และสอดคล้องกับ PDPO[9]
แนวทาง AI ด้านความเป็นส่วนตัวของ PCPD	องค์กรที่จัดหา ใช้ หรือพัฒนา AI ที่เกี่ยวข้องกับข้อมูลส่วนบุคคล[10]	มีแนวปฏิบัติ หลักจริยธรรมด้าน AI และรายการประเมินตนเอง เพื่อช่วยให้องค์กรปฏิบัติตาม PDPO หรือ Personal Data (Privacy) Ordinance (Cap. 486)[10]

ไม่มี AI Act แล้วทำไมยังต้องรีบจัดการ

ความเข้าใจผิดที่พบบ่อยคือ เมื่อยังไม่มีกฎหมาย AI เฉพาะ ก็แปลว่ายังไม่ต้องทำอะไร แต่ในทางปฏิบัติ การกำกับดูแล AI ของฮ่องกงกำลังเกิดจากหลายชั้นพร้อมกัน ได้แก่ กฎหมายเดิม แนวปฏิบัติของรัฐบาล และแนวทางด้านข้อมูลส่วนบุคคล

DPO ระบุประเด็นความเสี่ยงของ GenAI ไว้ชัดเจน เช่น ข้อมูลรั่วไหล อคติของโมเดล และข้อผิดพลาดของโมเดล^[8] ส่วน PCPD เชื่อมโยงการใช้ GenAI ของพนักงานกับการจัดทำนโยบายภายในและการปฏิบัติตาม PDPO โดยตรง^[9] ดังนั้นองค์กรที่ใช้เครื่องมืออย่าง AI แชตบอต ระบบสรุปเอกสาร ระบบสร้างข้อความ หรือระบบช่วยวิเคราะห์ข้อมูล ควรวางกติกาก่อนเกิดปัญหา ไม่ใช่รอให้เกิดเหตุแล้วค่อยเขียนนโยบายย้อนหลัง

นโยบายใช้ GenAI ในองค์กรควรมีอะไรบ้าง

DPO guideline ระบุว่าองค์กรที่นำบริการ GenAI มาใช้ควรจัดทำนโยบายหรือแนวทางภายใน โดยครอบคลุมตั้งแต่เครื่องมือที่อนุญาต วัตถุประสงค์การใช้ ขอบเขตนโยบาย ข้อมูลที่ป้อนได้ การใช้ผลลัพธ์ ไปจนถึงการจัดเก็บผลลัพธ์^[1]

รายการขั้นต่ำที่ควรพิจารณา ได้แก่

1. เครื่องมือที่อนุญาต: ระบุว่าเครื่องมือ GenAI แบบสาธารณะหรือเครื่องมือที่พัฒนาภายในใดบ้างที่พนักงานใช้ได้^[1]
2. วัตถุประสงค์ที่ใช้ได้: กำหนดว่าใช้เพื่อร่างงาน สรุปข้อมูล หรือสร้างเนื้อหาแบบข้อความ เสียง หรือภาพได้หรือไม่และในเงื่อนไขใด^[1]
3. ขอบเขตของนโยบาย: บอกให้ชัดว่านโยบายใช้กับหน่วยงาน ทีม กระบวนการ หรือสถานการณ์ใด^[1]
4. ประเภทและปริมาณข้อมูลที่ป้อนได้: กำหนดว่าข้อมูลชนิดใดป้อนเข้า GenAI ได้ ข้อมูลใดห้ามป้อน และควรจำกัดปริมาณข้อมูลอย่างไร^[1]
5. การใช้ผลลัพธ์จาก AI: ระบุว่าผลลัพธ์จาก AI ใช้ภายในเท่านั้นหรือเผยแพร่ภายนอกได้ ต้องให้คนตรวจทานก่อนหรือไม่ และใช้กับงานประเภทใดได้^[1]
6. การจัดเก็บผลลัพธ์: กำหนดว่าผลลัพธ์จาก AI จะถูกเก็บไว้ที่ใด คัดลอกไปยังระบบอื่นได้หรือไม่ และควรเก็บไว้นานแค่ไหน^[1]
7. สิทธิ์ของพนักงานและอุปกรณ์: PCPD ระบุว่านโยบาย AI ควรกำหนดประเภทอุปกรณ์ที่พนักงานได้รับอนุญาตให้ใช้เข้าถึงเครื่องมือ GenAI และประเภทของพนักงานที่ได้รับอนุญาตให้ใช้^[9]
8. การจัดการความเสี่ยง: ใส่ความเสี่ยงเรื่องข้อมูลรั่วไหล อคติของโมเดล และข้อผิดพลาดของโมเดลไว้ในกระบวนการประเมิน ตรวจทาน และอนุมัติการใช้งาน^[8]

PDPO: จุดตัดสำคัญระหว่าง AI กับข้อมูลส่วนบุคคล

ในบทความนี้ PDPO หมายถึง Personal Data (Privacy) Ordinance (Cap. 486) ของฮ่องกง ซึ่งเป็นกรอบสำคัญเมื่อการพัฒนา การจัดหา หรือการใช้ AI เกี่ยวข้องกับข้อมูลส่วนบุคคล^[10]

PCPD ระบุว่า Checklist สำหรับการใช้ GenAI ของพนักงานมีเป้าหมายเพื่อช่วยให้องค์กรจัดทำนโยบายหรือแนวทางภายในสำหรับการใช้ GenAI ในที่ทำงาน พร้อมกับปฏิบัติตามข้อกำหนดของ PDPO^[9] นอกจากนี้ แนวทาง AI ที่กว้างขึ้นของ PCPD ยังมีทั้งคำแนะนำเชิงปฏิบัติ หลักจริยธรรมด้าน AI และแบบประเมินตนเอง เพื่อช่วยให้องค์กรปฏิบัติตาม PDPO ในการพัฒนาและใช้ AI^[10]

ในเชิงปฏิบัติ นโยบาย AI จึงไม่ควรถามแค่ว่า ใช้เครื่องมือใดได้บ้าง แต่ต้องถามต่อว่า ข้อมูลมาจากไหน มีข้อมูลส่วนบุคคลหรือไม่ ใครมีสิทธิ์เข้าถึง ป้อนข้อมูลเข้าเครื่องมือภายนอกได้หรือไม่ ผลลัพธ์ถูกเก็บไว้ที่ใด และมีคนตรวจทานก่อนนำไปใช้จริงหรือไม่

ถ้าเป็นพนักงานหรือผู้ใช้ทั่วไป ควรทำอย่างไร

DPO guideline ไม่ได้พูดกับนักพัฒนาหรือผู้ให้บริการเท่านั้น แต่ยังให้แนวทางเชิงปฏิบัติแก่ผู้ใช้เทคโนโลยี GenAI ด้วย^[8] หากคุณใช้ GenAI ในงาน วิธีที่ปลอดภัยกว่าคือเริ่มจากนโยบายขององค์กร ไม่ใช่นำเอกสารบริษัท ข้อมูลลูกค้า ข้อมูลพนักงาน หรือข้อมูลภายในไปวางในเครื่องมือสาธารณะตามดุลพินิจส่วนตัว

อีกเรื่องที่ต้องจำคือ ผลลัพธ์ของ AI ไม่ควรถูกมองว่าถูกต้องเสมอไป DPO ระบุความเสี่ยงทางเทคนิคของ GenAI เช่น อคติของโมเดลและข้อผิดพลาดของโมเดล^[8] งานสำคัญ เช่น เอกสารภายนอก การสื่อสารกับลูกค้า งานที่เกี่ยวกับกฎหมาย สุขภาพ การเงิน หรือข้อมูลส่วนบุคคล จึงควรมีการตรวจทานโดยมนุษย์ก่อนใช้งานจริง

FAQ: คำถามที่พบบ่อย

ฮ่องกงมีกฎหมาย AI แล้วหรือยัง

ถ้าหมายถึงกฎหมาย AI เฉพาะฉบับเดียวที่กำกับ AI, big data หรือ machine learning โดยตรง ข้อมูลปี 2025 ระบุว่ายังไม่มีกรอบกฎหมายแบบ standalone ดังกล่าวในฮ่องกง^[4] แต่ฮ่องกงมีแนวปฏิบัติ GenAI ของ DPO แนวทางด้านความเป็นส่วนตัวของ PCPD และข้อกำหนดภายใต้ PDPO ที่ต้องพิจารณาร่วมกัน^[5][9][10]

DPO guideline เกี่ยวกับใครบ้าง

DPO เผยแพร่ Hong Kong Generative Artificial Intelligence Technical and Application Guideline เมื่อวันที่ 15 เมษายน 2025^[5] แนวปฏิบัตินี้ให้คำแนะนำเชิงปฏิบัติสำหรับผู้พัฒนาเทคโนโลยี ผู้ให้บริการ และผู้ใช้ GenAI โดยครอบคลุมขอบเขตการใช้งาน ข้อจำกัด ความเสี่ยง และหลักธรรมาภิบาล^[8]

บริษัทจำเป็นต้องมีนโยบาย AI หรือไม่

แหล่งข้อมูลที่อ้างไม่ได้บอกว่าฮ่องกงมี AI Act ฉบับใหม่ที่บังคับให้องค์กรทุกประเภทต้องทำนโยบายแบบเดียวกัน แต่ DPO guideline ระบุว่าองค์กรที่ใช้บริการ GenAI ควรมีนโยบายหรือแนวทางภายในครอบคลุมเครื่องมือ วัตถุประสงค์ ข้อมูลที่ป้อนได้ การใช้ผลลัพธ์ และการเก็บผลลัพธ์^[1] ขณะเดียวกัน PCPD ก็เผยแพร่ Checklist เพื่อช่วยองค์กรจัดทำนโยบายการใช้ GenAI ของพนักงานให้สอดคล้องกับ PDPO^[9]

พนักงานใช้ ChatGPT หรือเครื่องมือ GenAI สาธารณะได้ไหม

คำตอบขึ้นอยู่กับนโยบายขององค์กรและลักษณะข้อมูลที่ใช้ DPO guideline แนะนำให้องค์กรกำหนดเครื่องมือที่อนุญาต วัตถุประสงค์ที่ใช้ได้ และประเภทกับปริมาณข้อมูลที่ป้อนเข้า GenAI ได้^[1] หากเกี่ยวข้องกับข้อมูลส่วนบุคคลหรือข้อมูลภายใน ควรตรวจสอบนโยบายองค์กรและข้อกำหนดด้านความเป็นส่วนตัวก่อนใช้งาน

สรุป

ภาพรวมของฮ่องกงในปี 2025 คือ ยังไม่มีกฎหมาย AI เฉพาะแบบฉบับเดียวที่ครอบคลุม AI, big data และ machine learning โดยตรง^[4] แต่มีแนวปฏิบัติ GenAI ของ DPO แนวทางของ PCPD และ PDPO ที่องค์กรต้องนำมาพิจารณาเมื่อใช้ AI โดยเฉพาะเมื่อเกี่ยวข้องกับข้อมูลส่วนบุคคล^[5][9][10]

สำหรับองค์กร ขั้นแรกที่ทำได้ทันทีคือจัดทำนโยบายใช้ GenAI ที่ใช้งานได้จริง: กำหนดเครื่องมือที่อนุญาต วัตถุประสงค์ ข้อมูลที่ป้อนได้ วิธีใช้และเก็บผลลัพธ์ สิทธิ์ของพนักงานและอุปกรณ์ รวมถึงกระบวนการจัดการความเสี่ยงเรื่องข้อมูลรั่วไหล อคติ และข้อผิดพลาดของโมเดล^[1][8][9]

หมายเหตุ: บทความนี้เป็นข้อมูลสรุปตามแหล่งสาธารณะที่อ้างไว้ ไม่ใช่คำแนะนำทางกฎหมาย หากเกี่ยวข้องกับการใช้งาน AI ความเสี่ยงสูง การประมวลผลข้อมูลส่วนบุคคลจำนวนมาก หรือธุรกิจที่อยู่ภายใต้การกำกับเฉพาะ ควรตรวจสอบเอกสารทางการและขอคำแนะนำจากผู้เชี่ยวชาญ