สิงคโปร์ยกระดับกฎข้อมูล AI บริษัทต้องบอกผู้ใช้อย่างไรเมื่อใช้ข้อมูลฝึก GenAI

แนวทางเรื่องข้อมูลส่วนบุคคลกับปัญญาประดิษฐ์เชิงสร้างสรรค์ (GenAI) ของสิงคโปร์ไม่ได้หยุดอยู่แค่ขั้นตอนรับฟังความคิดเห็นอีกต่อไป เพราะคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลสิงคโปร์ หรือ PDPC ออก Advisory Guidelines on the Use of Personal Data in Generative AI ฉบับสมบูรณ์เมื่อวันที่ 20 กรกฎาคม 2026

สาระสำคัญคือ หากบริษัทจำเป็นต้องขอความยินยอมเพื่อนำข้อมูลส่วนบุคคลไปพัฒนาหรือปรับปรุงโมเดล GenAI บริษัทไม่ควรใช้ถ้อยคำกว้าง ๆ ในประกาศความเป็นส่วนตัว แต่ต้องบอกตรง ๆ ว่าข้อมูลจะถูกนำไปใช้เพื่อพัฒนาโมเดล AI

สรุปสั้น ๆ

เมื่อการใช้ข้อมูลต้องอาศัยความยินยอม ประกาศที่ระบุเพียงว่าอาจใช้ข้อมูลเพื่อ “พัฒนาผลิตภัณฑ์ใหม่” ยังไม่เพียงพอ บริษัทต้องแจ้งวัตถุประสงค์ด้านการพัฒนาโมเดล AI โดยเฉพาะ

อย่างไรก็ตาม แนวทางดังกล่าวเป็นคำแนะนำภายใต้กรอบกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสิงคโปร์ หรือ PDPA ไม่ใช่คำสั่งห้ามฝึก AI โดยอัตโนมัติ กฎหมายยังมีข้อยกเว้นที่อาจอนุญาตให้ใช้ข้อมูลบางประเภทได้โดยไม่ต้องขอความยินยอม เช่น ข้อมูลส่วนบุคคลบางส่วนที่เปิดเผยต่อสาธารณะและเข้าเงื่อนไขที่กำหนด

ประกาศเกี่ยวกับ AI ควรบอกอะไรบ้าง

PDPC ต้องการให้ผู้ใช้เข้าใจทั้งตัวผลิตภัณฑ์และเส้นทางการไหลของข้อมูล ไม่ใช่เพียงเห็นประโยคทางกฎหมายที่ซ่อนอยู่ในนโยบายความเป็นส่วนตัวยาวหลายหน้า โดยประกาศที่เหมาะสมควรอธิบายอย่างน้อยว่า

• โมเดลทำอะไรและพัฒนาขึ้นเพื่อวัตถุประสงค์ใด
• ใช้ข้อมูลส่วนบุคคลประเภทใด เช่น ข้อมูลติดต่อ ข้อมูลธุรกรรม ข้อมูลตำแหน่ง วิดีโอ หรือเสียงบันทึก
• ข้อมูลมีส่วนช่วยโมเดลอย่างไร ไม่ใช่ระบุเพียงว่าบริษัท “ประมวลผล” ข้อมูล
• ผู้ใช้จะปฏิเสธการใช้ข้อมูลหรือถอนความยินยอมได้อย่างไร โดยต้องมีขั้นตอนที่เข้าถึงได้จริงและทำตามได้ไม่ยุ่งยาก

รูปแบบที่เสนออาจเป็นการแจ้งเตือนเด่นชัดภายในผลิตภัณฑ์ หรือหน้าเว็บไซต์เฉพาะสำหรับการใช้ข้อมูลฝึก AI

ตัวอย่าง: ใช้เสียงเพื่อพัฒนาระบบแปลงข้อความเป็นเสียง

หากบริษัทกำลังพัฒนาฟังก์ชันแปลงข้อความเป็นเสียง บริษัทควรระบุว่าเสียงบันทึกของลูกค้าจะถูกนำไปใช้ฝึกโมเดล และอธิบายว่าเสียงเหล่านั้นช่วยให้ระบบเรียนรู้รูปแบบการพูดและจดจำเสียงได้ดีขึ้น

การเขียนเช่นนี้ชัดเจนกว่าการใช้คำกว้าง ๆ ว่า “นำข้อมูลไปปรับปรุงผลิตภัณฑ์”

การแจ้งให้ทราบไม่เท่ากับการขอความยินยอม

จุดที่ธุรกิจต้องแยกให้ออกคือ การแจ้งว่าจะเกิดอะไรขึ้น กับ การมีฐานทางกฎหมายในการใช้ข้อมูล

ตามกรอบทั่วไปของ PDPA องค์กรต้องแจ้งวัตถุประสงค์แก่เจ้าของข้อมูลและขอความยินยอมก่อนเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เว้นแต่จะเข้าเงื่อนไขข้อยกเว้นตามกฎหมาย

แนวทางฉบับสมบูรณ์ชี้แจงว่า เมื่อกรณีใดต้องขอความยินยอม การแจ้งต้องระบุการนำข้อมูลไปพัฒนาโมเดล AI โดยตรง แต่ไม่ได้หมายความว่าการใช้ข้อมูลส่วนบุคคลฝึก AI ทุกกรณีจะต้องได้รับความยินยอมโดยชัดแจ้งเสมอไป เพราะคำตอบขึ้นอยู่กับข้อยกเว้นที่เกี่ยวข้องของ PDPA รวมถึงกฎเกี่ยวกับข้อมูลที่เปิดเผยต่อสาธารณะ

ในทางปฏิบัติ บริษัทควรบันทึกฐานทางกฎหมายของชุดข้อมูลแต่ละชุดแยกกัน ประกาศที่ชัดเจนไม่สามารถทดแทนความยินยอมในกรณีที่กฎหมายกำหนด และบริษัทก็ไม่ควรถือว่าผู้ใช้ยินยอมจากข้อความที่กว้างจนไม่สะท้อนการใช้งาน AI จริง

คำถามสำคัญจากช่วงร่างแนวทาง

ในช่วงเปิดรับฟังความคิดเห็น ร่างแนวทางทำให้เกิดคำถามด้านปฏิบัติหลายประเด็น แม้แนวทางฉบับสมบูรณ์จะช่วยทำให้ฐานทางกฎหมายและหน้าที่ในการแจ้งชัดเจนขึ้นแล้วก็ตาม

ต้องขอความยินยอมโดยชัดแจ้งทุกครั้งหรือไม่

ร่างแนวทางไม่ได้ระบุอย่างชัดเจนว่าการฝึก GenAI ทุกสถานการณ์ต้องใช้ความยินยอมโดยชัดแจ้ง ผู้เกี่ยวข้องจึงตั้งคำถามว่าเมื่อใดจึงใช้รูปแบบให้ผู้ใช้ปฏิเสธภายหลังได้ และเมื่อใดอาจอาศัยข้อยกเว้นของ PDPA

แนวทางฉบับสมบูรณ์ทำให้การระบุฐานทางกฎหมายมีความสำคัญมากขึ้น บริษัทจึงไม่ควรนำประกาศเฉพาะด้าน AI มาใช้เสมือนเป็นตัวแทนของความยินยอมในทุกกรณี

หากทำข้อมูลให้เป็นนิรนามแล้ว ยังต้องแจ้งแบบเฉพาะ AI หรือไม่

อีกประเด็นที่ยังต้องพิจารณาคือ หน้าที่ในการแจ้งแบบเฉพาะ AI จะใช้กับข้อมูลที่ถูกทำให้เป็นนิรนามก่อนนำไปฝึกโมเดลหรือไม่

การวิเคราะห์ด้านความเป็นส่วนตัวอาจแตกต่างกันตามว่า ข้อมูลยังเชื่อมโยงกลับไปยังบุคคลที่ระบุตัวได้หรือไม่ รวมถึงวิธีการทำให้ข้อมูลเป็นนิรนามและเอกสารที่บริษัทจัดทำไว้ แนวทางจากข้อมูลที่มีอยู่ยังไม่สนับสนุนให้มองคำว่า “ข้อมูลนิรนาม” เป็นคำตอบอัตโนมัติสำหรับทุกชุดข้อมูล บริษัทควรประเมินข้อมูลและกระบวนการจริงเป็นรายกรณี

ปฏิเสธการใช้ข้อมูลแล้วจะถูกตัดสิทธิ์จากบริการหรือไม่

ยังมีคำถามว่าธนาคาร บริษัทประกัน แพลตฟอร์ม หรือผู้ให้บริการรายอื่นจะระงับหรือไม่ให้บริการแก่บุคคลที่ไม่ยอมให้นำข้อมูลไปฝึก AI ได้หรือไม่

ประเด็นนี้สะท้อนช่องว่างระหว่าง “ทางเลือก” ที่มีอยู่บนกระดาษกับต้นทุนในชีวิตจริง หากการปฏิเสธทำให้ผู้ใช้เสียประโยชน์อย่างมาก การมีปุ่มยกเลิกเพียงอย่างเดียวอาจยังไม่ถือเป็นทางเลือกที่มีความหมาย

หน้าที่ในการแจ้งช่วยให้ผู้คนมองเห็นการใช้ข้อมูลมากขึ้น แต่ไม่ได้ตอบคำถามทั้งหมดเกี่ยวกับความเป็นธรรม การเข้าถึงบริการ หรืออำนาจต่อรองระหว่างผู้บริโภคกับผู้ให้บริการ

ทำไมอุปกรณ์ AI จึงอยู่ในประเด็นถกเถียงเดียวกัน

ความสนใจของ PDPC ต่อ GenAI เป็นส่วนหนึ่งของความกังวลที่กว้างกว่า นั่นคือผลิตภัณฑ์และระบบที่เก็บข้อมูลโดยผู้คนอาจไม่ทันสังเกต รายงานเกี่ยวกับประเด็นที่ Denise Wong ให้ความสำคัญกล่าวถึงอุปกรณ์อย่างแว่นตาอัจฉริยะ นาฬิกาอัจฉริยะ และระบบชำระเงินที่สแกนฝ่ามือ

อุปกรณ์เหล่านี้อาจเกี่ยวข้องกับข้อมูลอ่อนไหว เช่น ลักษณะใบหน้า ลายนิ้วมือ ข้อมูลเสียง และรูปแบบเส้นเลือดบริเวณฝ่ามือ ความเสี่ยงที่ถูกรายงานครอบคลุมตั้งแต่การบันทึกภาพหรือเสียงโดยที่ผู้อื่นไม่รู้ การเปิดเผยหรือใช้ข้อมูลชีวมิติในทางที่ไม่เหมาะสม ไปจนถึงการใช้แว่นตาอัจฉริยะบันทึกข้อสอบหรือข้อมูลอื่นเพื่อช่วยการทุจริต

กระทรวงการพัฒนาดิจิทัลและสารสนเทศของสิงคโปร์ยังเคยตอบคำถามเกี่ยวกับไฟแสดงสถานะบนแว่นตาอัจฉริยะ รวมถึงการเก็บข้อมูลชีวมิติหรือข้อมูลสภาพแวดล้อมของคนรอบข้างที่ไม่ได้เป็นผู้ใช้อุปกรณ์

ปัญหาพื้นฐานจึงอยู่ที่การทำให้ผู้คนรับรู้ได้อย่างแท้จริง ไฟบันทึกขนาดเล็กหรือข้อกำหนดการใช้งานที่ซ่อนอยู่ในเอกสาร อาจไม่เพียงพอให้คนที่อยู่รอบข้างเข้าใจว่าเกิดอะไรขึ้นและตัดสินใจได้

สิ่งที่องค์กรควรทำตั้งแต่ตอนนี้

ทีมที่พัฒนาหรือนำระบบ GenAI ไปใช้ในสิงคโปร์สามารถใช้แนวทางนี้เป็นเช็กลิสต์ด้านธรรมาภิบาลข้อมูลได้ดังนี้

1. จับคู่ชุดข้อมูลกับกรณีใช้งาน AI ที่ชัดเจน ระบุว่าข้อมูลใช้สำหรับฝึกโมเดล ปรับแต่งโมเดล ทดสอบ เฝ้าติดตาม หรือวัตถุประสงค์อื่น
2. เลือกและบันทึกฐานทางกฎหมายตาม PDPA ระบุว่าต้องขอความยินยอมหรืออาศัยข้อยกเว้นตามกฎหมาย
3. ปรับปรุงประกาศที่ใช้ถ้อยคำกว้างเกินไป หากวัตถุประสงค์คือการพัฒนาหรือปรับปรุงโมเดล GenAI ต้องเขียนให้ชัดเจนเช่นนั้น
4. อธิบายประเภทข้อมูลและหน้าที่ของโมเดล ผู้ใช้ควรเข้าใจว่าบริษัทใช้ข้อมูลอะไร และข้อมูลนั้นช่วยให้โมเดลทำงานอย่างไร
5. ทำให้การเลือกของผู้ใช้ใช้งานได้จริง อธิบายวิธีปฏิเสธหรือถอนความยินยอม พร้อมจัดเก็บและติดตามการดำเนินการตามคำขอ
6. ทบทวนอุปกรณ์ที่เชื่อมต่อแยกต่างหาก แว่นตาอัจฉริยะ อุปกรณ์สวมใส่ กล้อง และระบบชีวมิติ อาจสร้างประเด็นการแจ้งและความยินยอมของคนที่ไม่ได้เป็นผู้ใช้อุปกรณ์โดยตรง

ท้ายที่สุด การเปลี่ยนแปลงของสิงคโปร์ไม่ได้มุ่งห้ามใช้ข้อมูลส่วนบุคคลกับ GenAI แต่ต้องการให้การใช้งานนั้น มองเห็นได้ ระบุวัตถุประสงค์ชัดเจน และเชื่อมโยงกับฐานทางกฎหมายที่ตรวจสอบได้ แนวทางฉบับสมบูรณ์ช่วยลดช่องว่างระหว่างประกาศความเป็นส่วนตัวแบบเดิมกับกระบวนการพัฒนา AI สมัยใหม่ ขณะที่คำถามยากที่สุด โดยเฉพาะเรื่องทางเลือกที่มีความหมายและการจัดการข้อมูลอ่อนไหวหรือข้อมูลที่ถูกเก็บจากคนรอบข้างโดยอ้อม ยังคงเป็นโจทย์สำคัญด้านธรรมาภิบาลข้อมูลต่อไป