ส่งเอกสารบริษัทให้ AI อ่าน ข้อมูลรั่วไหม — สิ่งที่สัญญาผู้ให้บริการและ PDPA เขียนไว้จริง

การส่งเอกสารองค์กรให้ AI อ่านจะปลอดภัยหรือไม่ ขึ้นกับสามคำถามที่ตรวจสอบได้ด้วยเอกสาร ไม่ใช่ด้วยความรู้สึก — ข้อมูลถูกส่งไปประมวลผลที่ไหน ถูกเก็บไว้นานเท่าไร และถูกนำไปฝึกโมเดลหรือไม่ ผู้ให้บริการ AI รายใหญ่ประกาศคำตอบทั้งสามข้อไว้เป็นลายลักษณ์อักษรแล้ว และคำตอบต่างกันชัดเจนระหว่างแพ็กเกจฟรีกับช่องทางเชิงพาณิชย์

บทความนี้รวมสิ่งที่ผู้ให้บริการเขียนไว้จริงในนโยบายของตัวเอง สิ่งที่กฎหมายไทยกำหนดเมื่อเอกสารมีข้อมูลส่วนบุคคล และคำถามที่ควรให้ผู้ขายตอบเป็นลายลักษณ์อักษรก่อนเริ่มโครงการ

เอกสารที่ส่งเข้า AI ถูกเอาไปฝึกโมเดลหรือเปล่า

โดยค่าเริ่มต้น ไม่ — ถ้าใช้ผ่านช่องทางเชิงพาณิชย์ ทั้งสามรายที่องค์กรไทยใช้มากที่สุดระบุตรงกันในเอกสารของตัวเอง แต่คำว่า "โดยค่าเริ่มต้น" มีเงื่อนไขกำกับอยู่ และเงื่อนไขนั้นคือจุดที่ต้องอ่าน

• OpenAI — ข้อมูลที่ส่งเข้า API จะไม่ถูกนำไปฝึกหรือปรับปรุงโมเดล เว้นแต่ผู้ใช้เลือกแบ่งปันข้อมูลเอง
• Anthropic — โดยค่าเริ่มต้น จะไม่นำ input หรือ output จากผลิตภัณฑ์เชิงพาณิชย์ไปฝึกโมเดล ยกเว้นกรณีที่ผู้ใช้กดให้ feedback หรือให้ความยินยอมชัดแจ้ง
• Google Gemini API — เฉพาะบริการแบบเสียเงินเท่านั้นที่ระบุว่าไม่นำ prompt หรือคำตอบไปปรับปรุงผลิตภัณฑ์ ส่วนบริการที่ไม่เสียเงิน เนื้อหาที่ส่งเข้าไปถูกนำไปพัฒนาผลิตภัณฑ์ของ Google ได้

ข้อสุดท้ายคือจุดที่พลาดกันบ่อยที่สุด และมักไม่ได้พลาดตอนเซ็นสัญญา แต่พลาดตอนทดลอง — ทีมงานหยิบเอกสารจริงไปลองกับแพ็กเกจฟรีเพื่อดูว่าใช้ได้ไหม ก่อนที่ฝ่ายกฎหมายจะเข้ามาเกี่ยวข้องด้วยซ้ำ

ความต่างของสองแพ็กเกจไม่ได้อยู่ที่ความสามารถของโมเดล — อยู่ที่สิ่งที่ผู้ให้บริการทำกับข้อมูลของคุณได้

ถ้าไม่ได้เอาไปฝึกโมเดล แล้วเก็บ log ไว้ทำไม

เพื่อตรวจจับการใช้งานที่ผิดเงื่อนไข ซึ่งเป็นคนละเรื่องกับการฝึกโมเดล OpenAI ระบุว่า log สำหรับตรวจการใช้งานผิดถูกเก็บไว้ไม่เกิน 30 วัน เว้นแต่กฎหมายกำหนดให้เก็บนานกว่านั้น และมีตัวเลือก Zero Data Retention ที่ตัดเนื้อหาของลูกค้าออกจาก log ดังกล่าว โดยต้องผ่านการอนุมัติจาก OpenAI ก่อน ฝั่ง Google ระบุว่าสำหรับบริการแบบเสียเงิน จะเก็บ prompt และคำตอบไว้ในระยะเวลาจำกัดเพื่อตรวจสอบการละเมิดนโยบายและรักษาความปลอดภัยของบริการเท่านั้น

แปลว่าคำถามที่ถูกต้องไม่ใช่ "เก็บข้อมูลไหม" เพราะคำตอบคือเก็บ แต่คือ "เก็บนานเท่าไร ใครเข้าถึงได้ และตัดออกได้หรือไม่"

PDPA กำหนดอะไรบ้าง เมื่อเอกสารมีข้อมูลส่วนบุคคล

ใบกำกับภาษี ใบแจ้งหนี้ สัญญา และหนังสือราชการ ล้วนมีชื่อบุคคล เลขประจำตัว ที่อยู่ หรือลายเซ็นปนอยู่ เมื่อเอกสารเหล่านี้ถูกส่งเข้าระบบ AI องค์กรยังคงเป็นผู้ควบคุมข้อมูลส่วนบุคคล และผู้ให้บริการอยู่ในฐานะผู้ประมวลผลข้อมูลตามที่องค์กรสั่ง ความรับผิดชอบจึงไม่ได้ย้ายไปพร้อมกับไฟล์

เมื่อการประมวลผลเกิดขึ้นนอกประเทศ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำกับเรื่องนี้ไว้ในมาตรา 28 และมาตรา 29 และคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ออกประกาศหลักเกณฑ์ตามมาตรา 29 ซึ่งมีผลบังคับใช้ตั้งแต่ 21 กุมภาพันธ์ 2568 องค์กรที่ใช้บริการ AI จากต่างประเทศจึงต้องระบุให้ได้ว่าอาศัยฐานใดในการโอนข้อมูล และมีข้อตกลงการประมวลผลรองรับหรือยัง

สามรูปแบบการวางระบบ และสิ่งที่ต้องแลก

รูปแบบ	เอกสารออกนอกองค์กร	ถูกใช้ฝึกโมเดล	สิ่งที่ต้องทำเพิ่มตาม PDPA
ติดตั้งในองค์กร (on-premise)	ไม่ออก	ไม่	ยังต้องมีนโยบายเก็บรักษา สิทธิเจ้าของข้อมูล และการควบคุมสิทธิ์เข้าถึงภายใน
Cloud OCR API	ออก ไปยัง region ที่เลือก	ตามสัญญาของผู้ให้บริการ	ข้อตกลงการประมวลผลข้อมูล และฐานการโอนข้อมูลไปต่างประเทศ
LLM API เชิงพาณิชย์	ออก	ไม่ ตามนโยบายค่าเริ่มต้น	เหมือนข้างบน บวกการยืนยันเป็นลายลักษณ์อักษรว่าปิดการใช้ข้อมูลฝึกโมเดล และระยะเก็บ log
LLM แพ็กเกจฟรี	ออก	ได้ ตามเงื่อนไขบริการ	ไม่เหมาะกับเอกสารที่มีข้อมูลส่วนบุคคล

การติดตั้งในองค์กรไม่ใช่คำตอบเดียวของคำว่าปลอดภัย และไม่ใช่ตัวเลือกที่ไม่มีต้นทุน — องค์กรต้องดูแลเครื่อง อัปเดตโมเดลเอง และมักได้ความแม่นยำกับเอกสารที่ไม่มีรูปแบบตายตัวต่ำกว่า สิ่งที่ตัดสินความเสี่ยงจริงคือเอกสารที่เซ็นกำกับไว้ ไม่ใช่ตำแหน่งของเครื่อง

คนตรวจไม่ได้มีไว้แค่กันอ่านผิด แต่มีไว้ให้ตรวจสอบย้อนหลังได้

ระบบที่ให้คนตรวจเฉพาะฟิลด์ที่โมเดลไม่มั่นใจ จะทิ้งร่องรอยไว้ว่าใครแก้ฟิลด์ไหน เมื่อไร และแก้จากค่าอะไรเป็นค่าอะไร ร่องรอยชุดนี้คือสิ่งที่ผู้ตรวจสอบภายในและฝ่ายกำกับดูแลขอดู และเป็นสิ่งที่กระบวนการคีย์ข้อมูลด้วยมือแทบไม่เคยมี

6 คำถามที่ควรได้คำตอบเป็นลายลักษณ์อักษร

• เอกสารของเราถูกส่งไปประมวลผลที่ประเทศใด และผ่านผู้ให้บริการโมเดลรายใดบ้าง
• ข้อมูลของเราถูกนำไปฝึกหรือปรับปรุงโมเดลหรือไม่ และระบุไว้ในสัญญาข้อใด
• log ถูกเก็บไว้นานเท่าไร ใครเข้าถึงได้ และขอให้ไม่เก็บเนื้อหาของเราได้หรือไม่
• มีข้อตกลงการประมวลผลข้อมูลส่วนบุคคลให้เซ็นหรือไม่ และอาศัยฐานใดในการโอนข้อมูลไปต่างประเทศ
• ระบบบันทึกหรือไม่ว่าใครแก้ค่าฟิลด์ไหน เมื่อไร และขอ export ออกมาตรวจได้ไหม
• ถ้าเลิกใช้บริการ ข้อมูลที่สกัดไว้และเอกสารต้นทางถูกลบเมื่อไร และยืนยันการลบอย่างไร

คำถามหกข้อนี้ต่อยอดจากเช็คลิสต์ก่อนเซ็นสัญญาที่เราเคยเขียนไว้ใน "7 คำถามที่ควรถามผู้ขาย AI อ่านเอกสาร ก่อนเซ็นสัญญา" — ชุดนั้นว่าด้วยความแม่นยำและการต่อเข้าระบบปลายทาง ชุดนี้ว่าด้วยข้อมูลและกฎหมาย

แล้วฝั่ง LuminexDoc ตอบว่าอย่างไร

LuminexDoc ใช้ AI สามตัวตรวจทานกันทุกฟิลด์ เฉพาะฟิลด์ที่ทั้งสามไม่เห็นตรงกันหรือไม่มั่นใจเท่านั้นที่ถูกส่งถึงคน ไม่ต้องสร้าง template ต่อรูปแบบเอกสาร และรองรับเอกสารมากกว่า 100 ภาษา ปัจจุบันอยู่ใน production จริงกับเอกสาร 5 ประเภทตามกฎหมายไทย ได้แก่ ใบกำกับภาษี ใบแจ้งหนี้ ใบเสร็จรับเงิน ใบเพิ่มหนี้ และใบลดหนี้

ส่วนคำถามหกข้อข้างบน เราตอบเป็นเอกสารให้ก่อนเริ่ม POC เสมอ ไม่ใช่ตอบปากเปล่าในห้องประชุม — เพราะเป็นคำถามที่ฝ่ายกำกับดูแลขององค์กรคุณจะถามซ้ำอยู่ดี