วันที่อิตาลีปลดล็อก ChatGPT: ทำตามกฎถูกก็ใช้ได้ และ PDPA ไทยก็ให้การบ้านข้อเดียวกันกับคุณ

เมื่อวานนี้คุณอาจเพิ่งเห็นข่าวในกลุ่มไลน์: ก่อนหน้านี้อิตาลีสั่งระงับ ChatGPT จนพนักงานต้องแอบใช้ผ่าน VPN แต่วันนี้ (28 เมษายน) อิตาลีประกาศปลดล็อกแล้ว โดยมีเงื่อนไขว่า OpenAI ต้องอธิบายให้ชัดว่า เราเอาข้อมูลของคุณไปทำอะไร และต้องให้ผู้ใช้เลือกไม่ให้นำข้อมูลไปฝึกโมเดลได้ คุณอาจโล่งใจ แต่แล้วความกังวลข้อต่อไปก็ผุดขึ้นมาทันที: ถ้าฉันทำอีคอมเมิร์ซหรือเปิดร้านในไทย พนักงานเอารายชื่อลูกค้าและบทสนทนาไปวางใน ChatGPT ทุกวัน วันหนึ่ง PDPA จะมาเคาะประตูฉันไหม

ในฐานะผู้บริหารเอสเอ็มอีที่ทำเองทุกอย่าง คุณไม่มีฝ่ายกฎหมาย ไม่มีหัวหน้าฝ่ายความปลอดภัย ต้องดูทั้งกระแสเงินสด การจัดส่ง และการร้องเรียนของลูกค้าคนเดียว และตอนนี้ยังต้องดูเรื่องการใช้ AI ให้ถูกกฎอีก แต่กรณีอิตาลีมีข่าวดีซ่อนอยู่: หน่วยงานกำกับไม่ได้ต้องการให้คุณเลิกใช้ AI แต่ต้องการให้คุณอธิบายทุกอย่างให้ชัด ทำถูกก็ใช้ได้อย่างเปิดเผย

อิตาลีให้ OpenAI ทำอะไรกันแน่

หน่วยงานคุ้มครองข้อมูลของอิตาลี (Garante) สั่งระงับ ChatGPT ปลายเดือนมีนาคมด้วยความกังวลเรื่องข้อมูลส่วนบุคคล พอถึงวันที่ 28 เมษายนที่ปลดล็อก สิ่งที่ OpenAI ทำจริงๆ ล้วนเป็นพื้นฐาน: อธิบายบนเว็บให้ชัดว่าเก็บข้อมูลอะไรและเอาไปทำอะไร มีช่องทางให้ผู้ใช้ปฏิเสธการนำข้อมูลไปฝึกโมเดล และเพิ่มการยืนยันอายุ จะเห็นว่าไม่มีข้อไหนเป็นเทคโนโลยีชั้นสูงเลย ทั้งหมดคือพูดให้ชัดและให้สิทธิเลือกแก่ผู้ใช้

พูดง่ายๆ การปฏิบัติตามกฎไม่ใช่กำแพงไฟ แต่คือคำอธิบายหนึ่งฉบับกับสวิตช์หนึ่งตัว และนี่คือตรรกะเดียวกับที่ PDPA ของไทยเรียกร้องจากคุณ

หัวใจของ PDPA: การแจ้งเพื่อขอความยินยอมและความโปร่งใสในการประมวลผลข้อมูล

PDPA มีผลบังคับใช้เต็มรูปแบบตั้งแต่เดือนมิถุนายน 2022 หัวใจของมันคล้ายกับข้อเรียกร้องของอิตาลีอย่างน่าตกใจ: เมื่อคุณเก็บชื่อ เบอร์โทร ไลน์ ที่อยู่ และประวัติการซื้อของลูกค้า คุณต้องแจ้งให้เขารู้ว่าเก็บอะไรและใช้ที่ไหน (Notice) ขอความยินยอมเมื่อจำเป็น (Consent) และให้เขาตรวจสอบ แก้ไข หรือขอให้ลบได้

พอเอา AI เข้ามา ก็แค่เพิ่มอีกชั้นเดียว: เมื่อคุณวางข้อมูลลูกค้าลงใน ChatGPT เท่ากับส่งข้อมูลให้ผู้ประมวลผลบุคคลที่สาม ณ เดือนเมษายน 2023 ChatGPT ทั้งเวอร์ชันฟรีและ Plus เป็นเครื่องมือสนทนาแบบข้อความเป็นหลัก สิ่งที่คุณวางลงไปอาจถูกนำไปปรับปรุงโมเดล เว้นแต่คุณจะปิดในการตั้งค่าหรือใช้ผ่าน API ดังนั้นความเสี่ยงที่แท้จริงไม่ได้อยู่ที่ใช้ AI หรือไม่ แต่อยู่ที่คุณได้ลบข้อมูลระบุตัวตนออกก่อนวางหรือเปล่า

สามกับดักที่ผู้บริหารอีคอมเมิร์ซและค้าปลีกเหยียบบ่อยที่สุด

กับดักที่หนึ่ง: วางตารางคำสั่งซื้อของลูกค้าทั้งหมดลงใน ChatGPT แล้วขอให้ช่วยวิเคราะห์ว่าลูกค้าคนไหนจะซื้อซ้ำ ในนั้นมีชื่อ เบอร์โทร ที่อยู่ นี่คือการส่งข้อมูลส่วนบุคคลให้บุคคลที่สาม และส่วนใหญ่ไม่มีความยินยอมของลูกค้า

กับดักที่สอง: พนักงานบริการลูกค้าเอาภาพหน้าจอหรือข้อความสนทนาทั้งหมดของลูกค้าโยนให้ AI ช่วยขัดเกลาคำตอบ ทำให้คำร้องเรียนและข้อมูลส่วนบุคคลถูกส่งออกไปพร้อมกัน

กับดักที่สาม: หน้าร้านส่งออกข้อมูลสมาชิกเป็นไฟล์ Excel แล้วขอให้ AI แบ่งกลุ่มการตลาด ตอนแนบหรือวางมีทั้งเลขบัตรประชาชนและวันเกิดติดไปด้วย ต้องย้ำว่า ณ เดือนเมษายน 2023 ChatGPT ยังไม่มีความสามารถอัปโหลดไฟล์และวิเคราะห์ข้อมูลอย่างเป็นทางการ พนักงานส่วนใหญ่จึงใช้วิธีคัดลอกและวางข้อความ ซึ่งกลับทำให้ความเสี่ยงซ่อนอยู่ในการวางประจำวันและสังเกตได้ยากขึ้น

เปลี่ยนการปฏิบัติตามกฎให้เป็นเช็กลิสต์ที่ใช้ได้ในสัปดาห์นี้

คุณไม่จำเป็นต้องมีคู่มือกฎหมาย 30 หน้า เริ่มจากสามอย่างก่อน: หนึ่ง กำหนดว่าก่อนวางลง AI ต้องลบข้อมูลระบุตัวตนก่อน เปลี่ยนชื่อเป็นลูกค้า A เบอร์โทรปิดเป็น 09xxxx ที่อยู่เหลือแค่เขต สอง เพิ่มข้อความหนึ่งบรรทัดในฟอร์มเก็บข้อมูลลูกค้า (บัญชีทางการไลน์ หน้าชำระเงินของเว็บ) อธิบายวัตถุประสงค์การใช้ข้อมูล พร้อมช่องทางติดต่อให้ลูกค้าขอลบข้อมูลได้ นี่คือ Notice และ Consent ของคุณ สาม ทำรายการเครื่องมือไหนแตะข้อมูลอะไรบ้าง ให้คุณเห็นความเสี่ยงในพริบตา

🔧 ลงมือทำกับ AI: ใช้ ChatGPT สร้างข้อความแจ้งการเก็บข้อมูลตาม PDPA

คุณไม่ต้องเสียเงินจ้างที่ปรึกษาเขียนข้อความแจ้ง ใช้ ChatGPT ณ เดือนเมษายน 2023 (แค่สนทนาข้อความ เวอร์ชันฟรี GPT-3.5 ก็ทำได้) วางพรอมต์ต่อไปนี้ มันจะสร้างข้อความสั้นสามภาษาที่เอาไปวางในไลน์หรือหน้าชำระเงินได้เลย จำไว้ว่านี่เป็นแค่ฉบับร่าง ฉบับทางการควรให้ทนายตรวจอีกครั้ง

คุณคือผู้ช่วยเขียนข้อความที่คุ้นเคยกับ PDPA (กฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทย)
ฉันทำธุรกิจอีคอมเมิร์ซเสื้อผ้าออนไลน์ในไทย เก็บข้อมูลลูกค้าผ่านบัญชีทางการไลน์และหน้าชำระเงินของเว็บ ได้แก่ ชื่อ เบอร์โทร ที่อยู่ และประวัติการซื้อ

ช่วยเขียนข้อความสั้น แจ้งการเก็บข้อมูลพร้อมขอความยินยอม โดยมีเงื่อนไข:
1. ระบุชัดเจนว่าเก็บข้อมูลอะไรบ้าง และใช้เพื่ออะไร (จัดส่ง บริการหลังการขาย แจ้งโปรโมชัน)
2. แจ้งว่าลูกค้าขอตรวจสอบ แก้ไข หรือลบข้อมูลได้ทุกเมื่อ พร้อมเว้นช่องกรอกช่องทางติดต่อ
3. น้ำเสียงเป็นมิตร กระชับ วางในข้อความไลน์หรือหน้าเว็บได้เลย
4. สร้างสามเวอร์ชัน: จีนตัวเต็ม จีนตัวย่อ และไทย

ขอผลลัพธ์เป็นข้อความที่ใช้ได้ทันที ไม่ต้องอธิบายเพิ่ม

เมื่อได้ฉบับร่างแล้ว เติมช่องทางติดต่อเป็นไลน์หรืออีเมลของคุณ ก็นำขึ้นใช้งานได้ก่อนเลย

ก้าวเดียวที่ลงมือทำได้ในสัปดาห์นี้

วันนี้ทำสิ่งเล็กที่สุดแต่รู้สึกได้: เปิดเครื่องมือ AI ที่ทีมคุณใช้ประจำ (ChatGPT เวอร์ชันฟรีก็พอ) ใช้เวลาห้านาทีเขียนประกาศในกลุ่มไลน์หนึ่งข้อว่า ก่อนวางข้อมูลลูกค้าลง AI ทุกครั้ง ให้เปลี่ยนชื่อเป็นรหัส ปิดเบอร์สี่ตัว และเหลือที่อยู่แค่เขต กฎประโยคเดียวก็กันความเสี่ยง PDPA ได้ถึงแปดสิบเปอร์เซ็นต์ อิตาลีใช้เวลาเจรจาหนึ่งเดือนกว่าจะปลดล็อก แต่คุณใช้แค่ห้านาที ก็ทำให้ทีมใช้ AI ได้อย่างเปิดเผยและสบายใจแล้ว