มีมนุษย์ตรวจสอบ AI แล้ว เหตุใดองค์กรยังมีความเสี่ยง
โรงพยาบาลใช้ AI ช่วยร่างข้อความแจ้งนัดหมายผู้ป่วย เจ้าหน้าที่ตรวจวันนัด ชื่อผู้รับ และภาษาอย่างรอบคอบก่อนส่ง แต่ระหว่างประมวลผล ระบบได้ส่งประวัติสุขภาพไปยังบริการภายนอกโดยไม่มีการประเมินความเหมาะสม แม้ข้อความสุดท้ายจะถูกต้อง การตรวจโดยมนุษย์ก็อาจไม่พบความเสี่ยงที่เกิดขึ้นก่อนหน้านั้น
ตรวจคำตอบไม่เท่ากับตรวจทั้งกระบวนการ
องค์กรต้องแยกการตรวจคุณภาพผลลัพธ์ออกจากการตรวจว่าระบบใช้ข้อมูลและเครื่องมืออย่างไร AI อาจตอบถูกแต่เรียกใช้ข้อมูลเกินจำเป็น ส่งข้อมูลผิดที่ หรือทำงานด้วยสิทธิที่กว้างเกินไป การกำกับดูแลจึงต้องมองตั้งแต่ข้อมูลนำเข้า การประมวลผล การเรียกเครื่องมือ ไปจนถึงการจัดเก็บหลักฐานและการจัดการเหตุผิดปกติ
PDPA เกี่ยวข้องอย่างไร
เมื่อมีการประมวลผลข้อมูลส่วนบุคคล องค์กรต้องพิจารณาพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตามข้อเท็จจริง เช่น วัตถุประสงค์และฐานกฎหมายตามมาตรา 24 หรือมาตรา 26 สำหรับข้อมูลอ่อนไหวตามกรณี หน้าที่แจ้งข้อมูลตามมาตรา 23 มาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37 และความสัมพันธ์กับผู้ประมวลผลข้อมูลตามมาตรา 40 หากมีการส่งข้อมูลไปต่างประเทศต้องพิจารณาบทบัญญัติที่เกี่ยวข้องเพิ่มเติม การมีคนตรวจผลลัพธ์ไม่ได้เป็นฐานกฎหมายใหม่สำหรับการใช้หรือเปิดเผยข้อมูล
ความเสี่ยงของบันทึกการตรวจสอบ
การบันทึกคำสั่งและผลลัพธ์ทุกอย่างเพื่อใช้ตรวจสอบอาจทำให้เกิดคลังข้อมูลส่วนบุคคลอีกชุดหนึ่ง หากไม่มีการจำกัดผู้เข้าถึงหรือระยะเวลาเก็บรักษา บันทึกนั้นเองอาจเป็นแหล่งความเสี่ยง องค์กรจึงต้องออกแบบหลักฐานให้เพียงพอต่อการตรวจสอบโดยไม่เก็บข้อมูลเกินความจำเป็น
มาตรการหลายชั้น
นอกจากการตรวจของคน ควรมีการจำกัดสิทธิการเข้าถึง แยกสภาพแวดล้อมทดสอบ ตรวจการส่งข้อมูลออก ป้องกันคำสั่งแฝงในเอกสารภายนอก และกำหนดวิธีหยุดหรือย้อนกลับระบบ มาตรการเหล่านี้ต้องทดสอบร่วมกัน เพราะการควบคุมหนึ่งอย่างอาจล้มเหลวได้
ความรับผิดชอบไม่จบที่ปุ่มอนุมัติ
หากเกิดเหตุ องค์กรควรตอบได้ว่าระบบเข้าถึงข้อมูลใด ใครเป็นผู้อนุมัติ มีการส่งข้อมูลไปที่ใด และมีขั้นตอนจัดการเหตุอย่างไร การบอกว่า “พนักงานตรวจแล้ว” ไม่เพียงพอหากไม่มีหลักฐานและมาตรการรองรับ
บทสรุป
Human Oversight เป็นส่วนหนึ่งของการกำกับดูแล AI ไม่ใช่มาตรการที่ทดแทนการคุ้มครองข้อมูล ความมั่นคงปลอดภัย หรือความรับผิดชอบตามกฎหมายได้
เอกสารอ้างอิงและอ่านเพิ่มเติม
National Institute of Standards and Technology (2023). Artificial Intelligence Risk Management Framework (AI RMF 1.0). https://doi.org/10.6028/NIST.AI.100-1
Vaccaro, M., Almaatouq, A., & Malone, T. (2024). When combinations of humans and AI are useful: A systematic review and meta-analysis. Nature Human Behaviour, 8, 2293–2303. https://doi.org/10.1038/s41562-024-02024-1
European Union (2024). Regulation (EU) 2024/1689, Article 14: Human oversight. https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-14
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (สำหรับประเด็นข้อมูลส่วนบุคคลในตอนที่ 5). https://www.ratchakitcha.soc.go.th/DATA/PDF/2562/A/069/T_0052.PDF
หมายเหตุบรรณาธิการ: ตัวอย่างทั้งหมดเป็นสถานการณ์สมมติเพื่ออธิบายแนวคิด ไม่ใช่กรณีศึกษาจากงานวิจัย การอ้างกฎหมายสหภาพยุโรปเป็นการเปรียบเทียบและต้องพิจารณาขอบเขตการบังคับใช้ตามข้อเท็จจริง
เอกสารอ้างอิงเฉพาะตอน
พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562: https://www.ratchakitcha.soc.go.th/DATA/PDF/2562/A/069/T_0052.PDF
NIST AI RMF 1.0: https://doi.org/10.6028/NIST.AI.100-1
ข้อพึงระวัง: มาตรา 24 และ 26 ต้องพิจารณาฐานหรือเงื่อนไขที่ใช้ได้ตามข้อเท็จจริง การมีคนตรวจ AI ไม่ใช่ฐานกฎหมายใหม่