มาตรา 88c ของ EU: AI จะใช้ข้อมูลส่วนบุคคลฝึกโมเดลได้โดยไม่ขอความยินยอมหรือไม่

ประเด็นที่ว่ากฎหมาย Digital Omnibus ของสหภาพยุโรป (EU) จะเปิดทางให้บริษัทฝึก AI ด้วยข้อมูลส่วนบุคคลโดยไม่ต้องขอความยินยอมนั้น เป็นการสรุปที่กว้างเกินจริง

ข้อที่ถูกจับตาคือ มาตรา 88c ของ GDPR ซึ่งเป็น ข้อเสนอ ให้รับรองอย่างชัดแจ้งว่า “ผลประโยชน์โดยชอบธรรม” (legitimate interest) ตาม GDPR มาตรา 6(1)(f) อาจเป็นฐานกฎหมายสำหรับการประมวลผลข้อมูลส่วนบุคคลที่จำเป็นในเชิงหน้าที่ต่อการออกแบบ พัฒนา หรือใช้งานระบบหรือโมเดล AI อย่างถูกกฎหมายได้13

แต่คำว่า “อาจ” สำคัญมาก: มาตรานี้จะไม่ล้มเลิก GDPR ไม่ทำให้การขูดข้อมูลจากเว็บถูกกฎหมายโดยอัตโนมัติ และไม่ทำให้การขอความยินยอมหมดความจำเป็นในกรณีที่กฎหมาย EU หรือกฎหมายของประเทศสมาชิกยังกำหนดให้ต้องขอความยินยอม13

ที่สำคัญ นี่คือส่วนหนึ่งของ Digital Omnibus ด้านข้อมูล ซึ่งยังอยู่ในกระบวนการออกกฎหมายของ EU ไม่ใช่ Digital Omnibus on AI ที่ผ่านเป็นกฎหมายไปแล้ว ดังนั้น ถ้อยคำสุดท้ายและผลลัพธ์ของมาตรา 88c ยังไม่แน่นอน

มาตรา 88c จะเปลี่ยนอะไร

หากใช้ถ้อยคำตามข้อเสนอ ผู้ควบคุมข้อมูลหรือบุคคลที่สามอาจอ้างฐานผลประโยชน์โดยชอบธรรมได้ตลอดวงจรชีวิตของระบบหรือโมเดล AI หากการประมวลผลนั้นจำเป็นในเชิงหน้าที่ต่อการออกแบบ การพัฒนา หรือการใช้ที่ชอบด้วยกฎหมาย3

กล่าวอีกแบบหนึ่ง คือทำให้ช่องทางที่มีอยู่ได้ในบางสถานการณ์ภายใต้ GDPR มีความชัดเจนขึ้นเมื่อเกี่ยวกับ AI คณะกรรมการคุ้มครองข้อมูลยุโรป (EDPB) เคยระบุอยู่แล้วว่า ผลประโยชน์โดยชอบธรรมอาจเป็นฐานกฎหมายที่เหมาะสมได้ในบางกรณีสำหรับการพัฒนาและนำโมเดลหรือระบบ AI ไปใช้45

อย่างไรก็ดี บริษัทไม่สามารถเพียงประกาศว่า “การสร้าง AI เป็นผลประโยชน์ของเรา” แล้วถือว่าชนะโดยอัตโนมัติ ยังต้องผ่านการประเมินตามกรอบปกติของ legitimate interest ได้แก่

• มีผลประโยชน์ที่ชอบด้วยกฎหมายจริง
• การใช้ข้อมูลจำเป็นต่อผลประโยชน์นั้นจริง
• ต้องชั่งดุลผลประโยชน์ดังกล่าวกับสิทธิและเสรีภาพของบุคคลที่ข้อมูลถูกนำไปใช้15

กฎหมาย EU หรือกฎหมายระดับประเทศที่บังคับให้ต้องขอความยินยอมยังคงใช้บังคับ มาตรา 88c จึงไม่ใช่อนุญาตทั่วไปให้เก็บข้อมูลส่วนบุคคลทุกชนิด ทั้งจากพื้นที่สาธารณะหรือพื้นที่ปิด เพื่อนำไปเทรนโมเดลได้1

รั้วคุ้มครองที่ถูกเสนอ: จุดชี้ขาดของมาตรานี้

ข้อถกเถียงไม่ได้อยู่แค่ว่า legitimate interest ใช้กับ AI ได้หรือไม่ แต่อยู่ที่ว่าต้องวางหลักคุ้มครองใดไว้ควบคู่กัน

แนวทางที่ถูกหารือประกอบด้วย การลดการใช้ข้อมูลให้เหลือเท่าที่จำเป็นตั้งแต่การคัดเลือกแหล่งข้อมูลและระหว่างการฝึกโมเดล มาตรการทางเทคนิคและองค์กร ความโปร่งใสที่มีความหมาย และกลไกยอมรับการคัดค้านหรือการเลือกไม่เข้าร่วม (opt-out) ที่อ่านได้ด้วยเครื่อง นอกจากนี้ ยังมีแนวคิดให้เจ้าของข้อมูลมีสิทธิคัดค้านการประมวลผล AI ที่เกี่ยวข้องได้โดยไม่มีเงื่อนไข13

ในทางปฏิบัติ กลไกเหล่านี้เป็นตัวตัดสินว่าการอ้าง legitimate interest มีเนื้อหาจริงหรือเป็นเพียงคำกล่าวอ้าง การลดข้อมูลทำให้ผู้พัฒนาอ้างไม่ได้ว่าเก็บทุกอย่างไว้ก่อนเพราะ “อาจมีประโยชน์ในอนาคต” ส่วนความโปร่งใสและสิทธิคัดค้านจะมีความหมายก็ต่อเมื่อประชาชนหาเจอ เข้าใจได้ และใช้ได้จริง ไม่ใช่แค่ตัวเลือกที่ซ่อนไว้ลึกในหน้าตั้งค่า

ข้อมูลอ่อนไหวไม่ใช่พื้นที่ปลอดข้อจำกัด

การหารือของคณะมนตรียุโรปเกี่ยวกับข้อยกเว้นสำหรับข้อมูลอ่อนไหว เน้นกรณีที่แคบกว่า คือการประมวลผลข้อมูลประเภทพิเศษแบบ เกิดขึ้นโดยบังเอิญและเหลือค้างอยู่ (incidental and residual) หมายถึง ผู้ควบคุมข้อมูลไม่ได้ตั้งใจประมวลผลข้อมูลอ่อนไหวตั้งแต่แรก แต่ข้อมูลดังกล่าวปะปนอยู่ในกระบวนการหลักอย่างหลีกเลี่ยงไม่ได้ ซึ่งต่างจากการตั้งใจรวบรวมข้อมูลอ่อนไหวเพื่อเป็นวัตถุดิบฝึก AI2

เหตุใด EDPB และ EDPS จึงกังวล

EDPB และผู้กำกับดูแลการคุ้มครองข้อมูลยุโรป (EDPS) ไม่ได้ปฏิเสธว่า legitimate interest ใช้กับงาน AI ได้ในบางกรณี แต่เห็นว่าการสร้างมาตรา 88c เฉพาะทางนั้นไม่จำเป็น เพราะการวิเคราะห์ภายใต้ GDPR เดิมก็เปิดทางให้ทำได้ในสถานการณ์ที่เหมาะสมอยู่แล้ว45

ข้อกังวลจึงเป็นทั้งเรื่องกฎหมายและการบังคับใช้: บทบัญญัติใหม่เฉพาะ AI อาจถูกตีความว่าไปไกลกว่าการ “ย้ำให้ชัด” จนสร้างความไม่แน่นอนต่อหลักคุ้มครองข้อมูลที่มีอยู่ ความเห็นของสองหน่วยงานนี้เป็นความเห็นเชิงปรึกษา ไม่ได้ผูกมัดผู้ร่างกฎหมาย แต่มีน้ำหนักต่อการเจรจา5

มาตรา 88c กลับมาแล้วหรือยัง: สถานะยังไม่ยุติ

เอกสารด้านกระบวนการนิติบัญญัติที่มีอยู่ชี้ว่า การทำงานในคณะมนตรี EU ยังมีข้อถกเถียง การลงมติใน COREPER เพื่ออนุมัติอำนาจเจรจาของคณะมนตรี ซึ่งเดิมกำหนดไว้ ถูกยกเลิกเพราะยังตกลงประเด็นค้างไม่ได้ ก่อนที่งานจะดำเนินต่อภายใต้ประธานคณะมนตรีของไอร์แลนด์

โครงการประธานคณะมนตรีของไอร์แลนด์ระบุเป้าหมายที่จะบรรลุข้อตกลงกับรัฐสภายุโรปต่อชุด Digital Omnibus ภายในสิ้นปี 2026 อย่างไรก็ตาม เอกสารทางการที่ให้มายังไม่ยืนยันโดยอิสระว่ามาตรา 88c ได้รับการนำกลับมาใส่ในจุดยืนสุดท้ายของคณะมนตรีแล้ว

คำอธิบายที่ปลอดภัยที่สุดจึงคือ: มาตรา 88c ยังเป็นประเด็นการเมืองที่มีข้อโต้แย้งและเจรจาได้ บริษัทจึงยังไม่อาจถือเป็นฐานกฎหมายที่มีผลใช้บังคับเพื่อแทนที่ข้อกำหนดเดิมของ GDPR

อย่าสับสนระหว่าง Digital Omnibus สองฉบับ

ความสับสนส่วนหนึ่งเกิดจากมีมาตรการอีกฉบับ คือ Digital Omnibus on AI ซึ่งผ่านเป็นกฎหมายแล้วในชื่อ Regulation (EU) 2026/1744

กฎหมายฉบับนี้ปรับตารางเวลาการบังคับใช้บางส่วนของ EU AI Act โดยข้อกำหนดสำหรับระบบ AI ความเสี่ยงสูงแบบแยกเดี่ยวตาม Annex III จะเริ่มใช้วันที่ 2 ธันวาคม 2027 ส่วนระบบความเสี่ยงสูงที่ฝังอยู่ในผลิตภัณฑ์ที่อยู่ภายใต้การกำกับ มีกรอบเวลาภายหลัง1920

เมื่อข้อกำหนด Annex III เริ่มใช้ ผู้ให้บริการจะต้องมีมาตรการ เช่น การประเมินและลดความเสี่ยง ชุดข้อมูลคุณภาพสูงเพื่อลดผลลัพธ์เลือกปฏิบัติ ระบบบันทึกและตรวจสอบย้อนกลับ เอกสารประกอบ การให้ข้อมูลแก่ผู้ใช้งานเชิงวิชาชีพ การกำกับโดยมนุษย์ ความแข็งแกร่งของระบบ และความมั่นคงปลอดภัยไซเบอร์20

ทั้งหมดนี้เป็นคนละประเด็นกับคำถามภายใต้ GDPR ว่าจะประมวลผลข้อมูลส่วนบุคคลเพื่อฝึก AI ได้หรือไม่ การเลื่อนเส้นตายสำหรับ AI ความเสี่ยงสูงไม่ได้ทำให้มาตรา 88c กลายเป็นกฎหมาย

ความหมายต่อผู้พัฒนา AI และเจ้าของข้อมูล

สำหรับผู้พัฒนา มาตรา 88c อาจเพิ่มความชัดเจนในตัวบท แต่ไม่ใช่ทางลัดด้านการปฏิบัติตามกฎหมาย แนวทางที่ตั้งรับได้ยังต้องมีเอกสารอธิบายความจำเป็นและการชั่งดุลผลประโยชน์ ลดการใช้ข้อมูล แจ้งข้อมูลอย่างโปร่งใส และมีกระบวนการรองรับการคัดค้านที่ใช้งานได้จริง

สำหรับเจ้าของข้อมูล ประเด็นสำคัญคือ กฎหมายสุดท้ายจะรักษาขอบเขตคุ้มครองที่มีความหมายหรือไม่: การใช้ข้อมูลจำเป็นจริงเพียงใด ข้อมูลอ่อนไหวถูกจำกัดอย่างแคบเพียงใด และการคัดค้านส่งผลทางเทคนิคจริงหรือเป็นเพียงสิทธิเชิงสัญลักษณ์

ภาพรวมจึงไม่ใช่ว่ายุโรปเลิกใช้การกำกับ AI เชิงป้องกันล่วงหน้า แต่เป็นการเดินสองทางพร้อมกัน: กฎหมาย AI Omnibus ที่ผ่านแล้วเลื่อนกำหนดบางส่วนสำหรับ AI ความเสี่ยงสูง ขณะที่ข้อเสนอด้านข้อมูลกำลังพิจารณาเส้นทางที่ชัดเจนขึ้นสำหรับการประมวลผลข้อมูลบางประเภทที่เกี่ยวข้องกับ AI บทสรุปสุดท้ายขึ้นอยู่กับการเจรจาระหว่างคณะมนตรีกับรัฐสภายุโรป รวมถึงการตีความและการบังคับใช้หากมีการรับรองกฎหมายในท้ายที่สุด19