พนักงานใช้ AI ทำงานแล้วใส่ข้อมูลลูกค้า บริษัทควรเขียนข้อบังคับอย่างไร

พนักงานใช้ AI ทำงานแล้วใส่ข้อมูลลูกค้า บริษัทควรเขียนข้อบังคับอย่างไร

ทีมขายนำอีเมลลูกค้าไปให้ AI ช่วยร่างคำตอบ ทีม HR อัปโหลดประวัติผู้สมัครเพื่อให้ช่วยสรุป ส่วนผู้บริหารใช้เครื่องมืออีกตัววิเคราะห์รายงานภายใน พอฝ่ายกฎหมายถามว่าองค์กรอนุญาตเครื่องมือไหน และข้อมูลชนิดใดห้ามใส่ กลับไม่มีใครตอบตรงกัน ปัญหานี้แก้ด้วยคำสั่งสั้น ๆ ว่า “ห้ามใช้ AI” ได้ยาก เพราะพนักงานใช้เครื่องมือไปแล้ว สิ่งที่บริษัทต้องทำคือเขียนกติกาที่บอกวิธีใช้และวิธีรับมือเมื่อข้อมูลถูกส่งออกไป

ทำไมคำว่า “ห้ามเปิดเผยความลับ” ในสัญญาจ้างยังไม่พอ

สัญญาจ้างส่วนใหญ่เขียนเรื่องรักษาความลับไว้กว้าง ๆ แต่ไม่ได้บอกว่าการวางข้อความในช่อง Prompt คือการส่งข้อมูลไปยังระบบภายนอกหรือไม่ พนักงานอาจเข้าใจว่าแค่ใช้เครื่องมือช่วยเขียน ยังไม่ได้ “เปิดเผย” ให้ใครเห็น ขณะที่บริษัทอาจมองว่าไฟล์ถูกนำออกจากระบบที่ควบคุมแล้ว เมื่อเอกสารไม่ระบุชนิดข้อมูลและขั้นตอนอนุมัติ ความเห็นสองฝ่ายจึงชนกันหลังเกิดเหตุ

คู่มือออกแบบสัญญาจ้างและข้อบังคับการทำงาน อธิบายภาพรวมของเอกสารสองชั้นนี้ไว้แล้ว สำหรับเรื่อง AI ให้แยกบทบาทให้ชัด: สัญญาจ้างกำหนดหน้าที่รักษาความลับและส่งคืนข้อมูล ส่วนนโยบายหรือภาคผนวกข้อบังคับอธิบายขั้นตอนใช้เครื่องมือที่เปลี่ยนได้ตามระบบจริงของบริษัท

กฎหมายบังคับอะไร และอะไรเป็นกติกาที่บริษัทควรออกแบบเอง

พระราชบัญญัติคุ้มครองแรงงาน มาตรา 108 กำหนดให้นายจ้างที่มีลูกจ้างตั้งแต่ 10 คนขึ้นไปจัดทำข้อบังคับเกี่ยวกับการทำงานเป็นภาษาไทย โดยมีเรื่องวินัยและโทษทางวินัยอยู่ในรายการขั้นต่ำ หากแก้ไขข้อบังคับ มาตรา 110 กำหนดเรื่องการประกาศข้อบังคับที่แก้ไขเพิ่มเติมตามรายละเอียดที่กระทรวงแรงงานอธิบายไว้ กฎหมายไม่ได้กำหนดให้ทุกบริษัทต้องมี “หมวด AI” โดยเฉพาะ การเพิ่มนโยบายจึงเป็นการจัดการความเสี่ยงให้ตรงกับงานและข้อมูลที่องค์กรถืออยู่

ถ้าข้อมูลที่พนักงานป้อนทำให้ระบุตัวบุคคลได้ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลเข้ามาเกี่ยวข้อง โดยมาตรา 37 กำหนดหน้าที่ของผู้ควบคุมข้อมูลในการจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม รายชื่อลูกค้า ประวัติผู้สมัคร และข้อมูลพนักงานจึงต้องถูกประเมินตามหน้าที่นี้ด้วย ไม่ควรตีความว่าพนักงานกดยอมรับเงื่อนไขของเครื่องมือแล้วบริษัทหมดความรับผิดชอบ สามารถอ่านตัวบทกฎหมายที่หน่วยงานรัฐเผยแพร่ประกอบ

แนวทาง Generative AI สำหรับองค์กรของ ETDA เสนอให้มีนโยบายการใช้ที่ครอบคลุมพนักงานและผู้ปฏิบัติงาน รวมถึงการรักษาความลับและข้อมูลส่วนบุคคล เอกสารนี้เป็นแนวทาง ไม่ใช่บทบัญญัติที่บังคับให้ทุกองค์กรใช้ถ้อยคำเดียวกัน

ข้อบังคับหรือนโยบาย AI ควรตอบคำถามใด

เริ่มจากบัญชีเครื่องมือที่องค์กรอนุมัติ บางบริการมีสัญญาระดับองค์กรและตั้งค่าการเก็บข้อมูลต่างจากบัญชีส่วนตัว ถัดมาคือชั้นความลับ: ข้อมูลสาธารณะอาจใช้ช่วยร่างได้ แต่ไฟล์ลูกค้า ข้อมูลสุขภาพ รหัสผ่าน หรือเอกสารที่ยังไม่เปิดเผยควรมีกติกาที่เข้มกว่า อย่าเขียนเพียง “ข้อมูลสำคัญ” เพราะแต่ละแผนกจะตีความไม่เหมือนกัน

นโยบายต้องบอกด้วยว่าใครตรวจผลลัพธ์ก่อนส่งให้ลูกค้า ใครอนุมัติการใช้ข้อมูลจริง และเมื่อลูกจ้างเผลอป้อนข้อมูลผิดประเภทต้องแจ้งใครภายในบริษัท การแจ้งเหตุเร็วช่วยให้ฝ่ายที่รับผิดชอบตรวจข้อเท็จจริงและประเมินหน้าที่ตามกฎหมายได้ การเขียนว่า “ใครทำผิดต้องรับผิดทั้งหมด” โดยไม่มีขั้นตอนสอบสวน ไม่ช่วยให้บริษัททราบว่าข้อมูลไปอยู่ที่ไหน

ถ้าพนักงานฝ่าฝืน บริษัทลงโทษได้ทันทีหรือไม่

อย่าตัดสินจากคำว่า “ใช้ AI” เพียงคำเดียว ต้องแยกว่าใช้เครื่องมือใด ใส่ข้อมูลอะไร มีคำสั่งห้ามที่ชัดและรับทราบแล้วหรือไม่ ข้อมูลถูกเข้าถึงต่อหรือไม่ และพนักงานรายงานเหตุเองหรือปกปิดไว้ การลงโทษควรเดินตามข้อบังคับและข้อเท็จจริงที่ตรวจได้ หากจะอ้างเป็นเหตุเลิกจ้างโดยไม่จ่ายค่าชดเชย ต้องตรวจเงื่อนไขตามกฎหมายคุ้มครองแรงงานอย่างเคร่งครัด ไม่ใช่ติดป้ายในนโยบายว่า “ผิดร้ายแรงทุกกรณี” แล้วถือว่าจบ

ลูกจ้างอาจโต้แย้งว่าบริษัทไม่เคยกำหนดเครื่องมือที่ห้ามใช้ หัวหน้างานส่งลิงก์ AI ให้ใช้ หรือข้อมูลที่ป้อนไม่ใช่ข้อมูลลับ ข้อโต้แย้งเหล่านี้แก้ด้วยหลักฐานการสื่อสาร นโยบายที่ชัด และบันทึกการสอบสวน ไม่ใช่เพิ่มโทษให้แรงขึ้นหลังเหตุเกิด อ่านเรื่องข้อบังคับเกี่ยวกับการทำงานที่กฎหมายกำหนดประกอบก่อนปรับหมวดวินัย

ถ้าพบว่ามีการป้อนข้อมูลลูกค้าไปแล้ว ควรทำอะไรตามลำดับ

1. หยุดการส่งข้อมูลชุดเดียวกันเพิ่มเติม และเก็บหลักฐานเท่าที่จำเป็น เช่น วันเวลา เครื่องมือ บัญชีผู้ใช้ และชนิดข้อมูล โดยไม่คัดลอกข้อมูลส่วนบุคคลกระจายไปอีกหลายแชต
2. ตรวจว่าข้อมูลนั้นเป็นข้อมูลส่วนบุคคล ความลับตามสัญญา หรือเอกสารภายในที่มีข้อจำกัดอื่นหรือไม่
3. ให้ฝ่าย IT และผู้รับผิดชอบข้อมูลตรวจการตั้งค่า บัญชีที่ใช้ เงื่อนไขผู้ให้บริการ และทางเลือกในการลบหรือจำกัดการเข้าถึง
4. ประเมินหน้าที่แจ้งเหตุหรือดำเนินการอื่นตามกฎหมายข้อมูลส่วนบุคคลจากข้อเท็จจริงที่พบ อย่าตัดสินจากภาพหน้าจอเพียงภาพเดียว
5. สอบถามพนักงานและหัวหน้างานว่ามีคำสั่งหรือแนวปฏิบัติเดิมอย่างไร แยกข้อเท็จจริงเรื่องระบบออกจากเรื่องวินัย
6. จึงค่อยพิจารณาการสื่อสารกับลูกค้า การแก้ระบบ และมาตรการทางวินัยที่เหมาะกับพฤติการณ์

หากข้อมูลเป็นรายชื่อลูกค้าจำนวนมาก มีข้อมูลอ่อนไหว หรือคู่สัญญากำหนดหน้าที่แจ้งเหตุไว้ ควรให้ทนายและผู้ดูแลข้อมูลส่วนบุคคลตรวจเอกสารทันที ข้อสรุปเรื่อง “ต้องแจ้งใครภายในเมื่อไร” ขึ้นอยู่กับลักษณะเหตุจริง ไม่ควรใช้ข้อความสำเร็จรูปตอบทุกกรณี

ไทยธนา ลอว์เฟิร์มช่วยตรวจเอกสารส่วนไหน

สำนักงานช่วยตรวจสัญญาจ้าง ข้อบังคับเดิม และนโยบายรักษาข้อมูลให้ใช้ถ้อยคำสอดคล้องกัน ก่อนร่างกติกา AI จะถามวิธีทำงานจริงของแต่ละแผนกและสิทธิที่ผู้ให้บริการเครื่องมือได้รับ หากมีเหตุเกิดขึ้นแล้ว ต้องแยกงานสอบสวนทางวินัยออกจากการประเมินหน้าที่ด้านข้อมูลส่วนบุคคล เพื่อไม่ให้การแก้ปัญหาหนึ่งสร้างปัญหาอีกด้าน ดูรายละเอียดบริการร่างข้อบังคับเกี่ยวกับการทำงานของบริษัท

❓ คำถามที่พบบ่อย

บทความนี้เป็นข้อมูลกฎหมายทั่วไป ไม่ใช่คำวินิจฉัยเฉพาะคดี เพราะแต่ละกรณีต้องพิจารณาจากข้อเท็จจริง เอกสาร และพยานหลักฐานประกอบ