คำตอบสั้น — Quick Answer / TL;DR
สรุป 3 ประเด็นทางกฎหมายสำคัญ:
- ข้อห้ามนำข้อมูลอินพุตและพรอมต์ของลูกค้าไปฝึกฝนโมเดล (No-Training Covenant และการลบข้อมูลตามระยะเวลาที่กำหนด): สัญญาต้องกำหนดชัดเจนว่าผู้ให้บริการ AI ห้ามนำข้อมูลธุรกิจ พรอมต์ หรือเอกสารที่ส่งเข้าประมวลผลผ่าน API ไปใช้เทรนหรือปรับปรุงโมเดลพื้นฐาน (Foundation Model) เพื่อมิให้ความลับทางการค้ารั่วไหลสู่สาธารณะ
- สิทธิในผลลัพธ์ที่ปัญญาประดิษฐ์สร้างขึ้น (AI Output Ownership & IP Allocation): คู่สัญญาควรตกลงให้ผู้ให้บริการโอนหรืออนุญาตสิทธิทั้งหมดเท่าที่ตนอาจมีในผลลัพธ์ (Output) ให้แก่ลูกค้า และไม่เรียกร้องสิทธิใดในผลลัพธ์นั้น พร้อมข้อสัญญาชดใช้ค่าเสียหาย (IP Infringement Indemnification) หากผลลัพธ์ของ AI ไปละเมิดลิขสิทธิ์ของบุคคลภายนอก ทั้งนี้ กฎหมายไทยยังไม่ยุติว่าผลลัพธ์ที่ปัญญาประดิษฐ์สร้างขึ้นเป็นงานอันมีลิขสิทธิ์หรือไม่ และยังไม่ยุติว่าการฝึกโมเดลด้วยงานอันมีลิขสิทธิ์เป็นการละเมิดหรือไม่ ข้อสัญญาจึงเป็นเครื่องมือจัดสรรความเสี่ยงระหว่างคู่สัญญา ไม่ใช่การยืนยันสิทธิตามกฎหมาย
- การจำกัดความรับผิดจากข้อผิดพลาดของปัญญาประดิษฐ์ (AI Hallucination & Accuracy Disclaimers): การกำหนดว่าผลลัพธ์ของ AI เป็นเพียงเครื่องมือช่วยสนับสนุนการตัดสินใจ (Advisory Tool) ซึ่งลูกค้าต้องมีมนุษย์ตรวจสอบก่อนนำไปใช้งานจริง (Human-in-the-Loop)
สถานการณ์ที่ผู้ประกอบการมักพบจริง
- เหตุการณ์: บริษัทนำข้อมูลกลยุทธ์ธุรกิจที่ยังไม่เปิดเผย ป้อนเข้าไปในระบบ AI ของผู้ให้บริการรายหนึ่งผ่าน API เพื่อให้ช่วยร่างแผนงานรายปี
- ความเข้าใจผิด: ผู้ประกอบการเชื่อว่าเมื่อจ่ายค่าบริการรายเดือนแล้ว ข้อมูลทุกอย่างที่ป้อนเข้าไปจะเป็นความลับและ AI จะไม่ "จดจำ" ไปบอกต่อผู้อื่น
- จุดพลิก: ปรากฏว่าผู้ใช้อื่นที่ใช้งานโมเดลเดียวกันจากอีกบริษัทหนึ่ง สามารถ Prompt จนโมเดลแสดงข้อมูลที่มีความคล้ายคลึงกับกลยุทธ์ของบริษัทตนเองออกมา เนื่องจากสัญญาไม่ได้ระบุข้อห้าม "Opt-out" จากการนำข้อมูลไปเทรนโมเดล (Training Data)
- สิ่งที่ได้จากบทความ: แนวทางการร่างสัญญาเพื่อปิดช่องโหว่การรั่วไหลของข้อมูลความลับ และการบริหารจัดการความเสี่ยงด้านทรัพย์สินทางปัญญาในยุค Generative AI
ภูมิทัศน์สัญญาให้บริการปัญญาประดิษฐ์ระดับองค์กรและโมเดลภาษาขนาดใหญ่ในประเทศไทย
การใช้ AI ในภาคธุรกิจไทยปัจจุบันอยู่ภายใต้การกำกับดูแลของหลายกลไก โดยมีกฎหมายหลักที่เกี่ยวข้องคือ พระราชบัญญัติลิขสิทธิ์ พ.ศ. 2537 (ในส่วนของการสร้างสรรค์เนื้อหา), พระราชบัญญัติความลับทางการค้า พ.ศ. 2545 (การคุ้มครองข้อมูลธุรกิจ), พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (การประมวลผลข้อมูลส่วนบุคคลที่ส่งเข้าระบบ) และแนวปฏิบัติจากสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) เรื่องธรรมาภิบาลปัญญาประดิษฐ์ ซึ่งเป็นแนวปฏิบัติ มิใช่กฎหมายที่มีสภาพบังคับ [ต้องยืนยันแหล่งที่มา: ชื่อฉบับ วันที่ และหน่วยงานผู้ออก] สัญญาบริการ AI จึงไม่ใช่เพียงสัญญาเช่าใช้ซอฟต์แวร์ (SaaS) ทั่วไป แต่เป็นสัญญาที่มีความเฉพาะตัวสูงในแง่การไหลเวียนของข้อมูล (Data Flow) และการเรียนรู้ของเครื่อง (Machine Learning) ทั้งนี้ สถานะของกฎหมายหรือร่างกฎหมายเฉพาะด้านปัญญาประดิษฐ์ ณ วันที่เผยแพร่ ต้องตรวจจากแหล่งทางการก่อนอ้างอิง
ผลกระทบเชิงธุรกิจ Business Consequences
การละเลยรายละเอียดใน Enterprise AI Agreement นำไปสู่ความเสี่ยงร้ายแรง 3 ประการ:
- ข้อมูลความลับรั่วไหล: ข้อมูลภายในองค์กรหรือข้อมูลส่วนบุคคล (ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562) อาจถูกนำไปใช้ปรับปรุงโมเดล ทำให้คู่แข่งที่ใช้ AI รายเดียวกันเข้าถึงข้อมูลเหล่านั้นผ่านการทำ Prompt Engineering การที่ผู้ให้บริการใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ของตนเองต้องมีฐานตามกฎหมายแยกต่างหากหรือห้ามไว้ในสัญญา
- ความเสี่ยงจากการละเมิดสิทธิ: หาก AI สร้างผลลัพธ์ที่ไปละเมิดลิขสิทธิ์หรือเครื่องหมายการค้าของผู้อื่น องค์กรผู้ใช้อาจตกเป็นจำเลยโดยไม่มีสิทธิเรียกให้ผู้ให้บริการชดใช้ตามข้อสัญญา หากสัญญาไม่มีข้อสัญญาชดใช้ (Indemnity) ซึ่งข้อสัญญาดังกล่าวไม่ผูกพันเจ้าของลิขสิทธิ์และไม่ทำให้องค์กรผู้ใช้พ้นความรับผิดต่อเจ้าของลิขสิทธิ์
- ความเสียหายจากการตัดสินใจผิดพลาด: AI Hallucination หรือการที่ AI สร้างข้อมูลเท็จที่ดูเหมือนจริง อาจนำไปสู่การสูญเสียทางการเงินหรือความน่าเชื่อถือหากไม่มีข้อสัญญาจำกัดความรับผิดที่ชัดเจน
กรอบกฎหมายและ Claim Ledger Legal Framework
| Claim ID | Legal Claim | Primary Legal Reference | Description |
|---|---|---|---|
| C-SHIELD-31-01 | Ownership of Inputs | ข้อสัญญา และพระราชบัญญัติความลับทางการค้า พ.ศ. 2545 มาตรา 3 และมาตรา 6 | การกำหนดในสัญญาให้ข้อมูลนำเข้า (Prompts/Datasets) เป็นข้อมูลลับของลูกค้า ผู้ให้บริการมีหน้าที่รักษาความลับและใช้เฉพาะเพื่อให้บริการตามสัญญา กฎหมายความลับทางการค้าคุ้มครองข้อมูลที่เข้าองค์ประกอบของความลับทางการค้า มิได้ให้กรรมสิทธิ์ในข้อมูลโดยตัวมันเอง |
| C-SHIELD-31-02 | Ownership of Outputs | พระราชบัญญัติลิขสิทธิ์ พ.ศ. 2537 มาตรา 4 มาตรา 6 และมาตรา 17 | การกำหนดให้สิทธิในผลลัพธ์ที่ปัญญาประดิษฐ์สร้างขึ้นตกแก่ลูกค้าโดยข้อสัญญา: พระราชบัญญัติลิขสิทธิ์ไม่มีบทบัญญัติเฉพาะเรื่องผลลัพธ์ที่ปัญญาประดิษฐ์สร้างขึ้น และมาตรา 4 นิยามผู้สร้างสรรค์ว่าเป็นผู้ทำหรือผู้ก่อให้เกิดงานสร้างสรรค์ จึงต้องพิจารณาเป็นรายกรณีว่าผลลัพธ์ใดเป็นงานอันมีลิขสิทธิ์และผู้ใดเป็นผู้สร้างสรรค์ สัญญาควรกำหนดให้ผู้ให้บริการโอนสิทธิทั้งปวงเท่าที่ตนมีหรืออาจมีในผลลัพธ์ให้แก่ลูกค้า โดยทำเป็นหนังสือลงลายมือชื่อผู้โอนและผู้รับโอน และระบุว่าโอนตลอดอายุแห่งการคุ้มครองลิขสิทธิ์ เพราะมาตรา 17 ให้ถือว่าการโอนที่ไม่กำหนดระยะเวลามีกำหนดสิบปี พร้อมทั้งให้ผู้ให้บริการรับรองว่าจะไม่เรียกร้องสิทธิใดในผลลัพธ์นั้น ทั้งนี้ ข้อสัญญาผูกพันเฉพาะคู่สัญญา และไม่อาจทำให้ผลลัพธ์ที่มิใช่งานอันมีลิขสิทธิ์กลายเป็นงานอันมีลิขสิทธิ์ได้ |
| C-SHIELD-31-03 | No-Training Restriction | ข้อสัญญา และ ป.พ.พ. มาตรา 194 (มาตรา 368 เฉพาะเรื่องการตีความ) | ข้อสัญญาจำกัดสิทธิผู้ให้บริการในการนำข้อมูลไปปรับปรุงโมเดล (Negative Covenant) ซึ่งเป็นหน้าที่งดเว้นการกระทำที่ชำระหนี้ได้ด้วยการงดเว้นตามมาตรา 194 และตีความตามความประสงค์ในทางสุจริตตามมาตรา 368 หากผู้ให้บริการไม่ปฏิบัติตามสัญญา ลูกค้าเรียกให้ปฏิบัติตามหรือเรียกค่าสินไหมทดแทนได้ตามมาตรา 213 และมาตรา 215 |
| C-SHIELD-31-04 | IP Indemnification | ข้อสัญญาชดใช้ที่คู่สัญญาตกลงกัน และ ป.พ.พ. มาตรา 215 (มาตรา 420 เฉพาะสิทธิเรียกร้องของเจ้าของสิทธิต่อผู้ละเมิด) | ข้อสัญญารับประกันว่าผลลัพธ์ไม่ละเมิดสิทธิผู้อื่นและภาระการชดใช้ค่าเสียหายเป็นสิทธิเรียกร้องตามสัญญา เมื่อผู้ให้บริการผิดสัญญา ลูกค้าเรียกค่าสินไหมทดแทนตามมาตรา 215 ได้ ส่วนมาตรา 420 เป็นฐานของสิทธิเรียกร้องในมูลละเมิดของเจ้าของสิทธิต่อผู้ละเมิด |
| C-SHIELD-31-05 | Liability Disclaimer | ป.พ.พ. มาตรา 373 และพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 4 และมาตรา 8 | ข้อสัญญาจำกัดความรับผิดจากข้อผิดพลาดของปัญญาประดิษฐ์ (Hallucination) ใช้บังคับไม่ได้ในกรณีกลฉ้อฉลหรือประมาทเลินเล่ออย่างร้ายแรงของผู้ให้บริการ (มาตรา 373) และจะนำมาอ้างเพื่อยกเว้นหรือจำกัดความรับผิดต่อความเสียหายต่อชีวิต ร่างกาย หรืออนามัยอันเกิดจากความจงใจหรือประมาทเลินเล่อไม่ได้ (พระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 8 วรรคหนึ่ง) ส่วนในกรณีอื่นซึ่งไม่เป็นโมฆะ มีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณี (มาตรา 8 วรรคสอง) ไม่ว่าจะอยู่ในสัญญาสำเร็จรูปหรือไม่ นอกจากนี้ หากอยู่ในสัญญาสำเร็จรูปและทำให้ผู้ให้บริการซึ่งเป็นผู้กำหนดสัญญาสำเร็จรูปได้เปรียบลูกค้าเกินสมควร ย่อมเป็นข้อสัญญาที่ไม่เป็นธรรมตามมาตรา 4 ด้วย |
เจาะลึกสิทธิในข้อมูลและผลลัพธ์: Customer Data (Inputs), Tuned Weights (Fine-tuned Model), และ Generated Outputs
ในสัญญามาตรฐานควรแยกประเภททรัพย์สินทางปัญญาดังนี้:
- Customer Data (Inputs): ข้อมูลนำเข้าและพรอมต์ของลูกค้าควรได้รับการกำหนดในสัญญาให้เป็นข้อมูลลับของลูกค้า ผู้ให้บริการมีหน้าที่รักษาความลับและใช้เฉพาะเพื่อให้บริการตามสัญญา และห้ามนำไปเทรนโมเดล ทั้งนี้ พระราชบัญญัติความลับทางการค้า พ.ศ. 2545 มาตรา 3 และมาตรา 6 คุ้มครองข้อมูลที่เข้าองค์ประกอบของความลับทางการค้า มิได้ให้กรรมสิทธิ์ในข้อมูลโดยตัวมันเอง และการส่งข้อมูลให้ผู้ให้บริการโดยไม่มีข้อผูกพันรักษาความลับอาจกระทบการรักษาความลับ (พระราชบัญญัติความลับทางการค้า พ.ศ. 2545 มาตรา 3) ส่วนพรอมต์จะเป็นงานอันมีลิขสิทธิ์ได้เมื่อเป็นงานสร้างสรรค์ แต่การคุ้มครองลิขสิทธิ์ไม่คลุมถึงความคิด ขั้นตอน กรรมวิธีหรือระบบ หรือวิธีใช้หรือทำงาน (พระราชบัญญัติลิขสิทธิ์ พ.ศ. 2537 มาตรา 6) พรอมต์ที่เป็นเพียงคำสั่งหรือขั้นตอนจึงอาจไม่ได้รับความคุ้มครอง และหากข้อมูลนำเข้ามีข้อมูลส่วนบุคคล ต้องปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ด้วย
- Tuned Weights: กรณีมีการทำ Fine-tuning สัญญาควรระบุว่า "ค่าน้ำหนัก" ที่เกิดขึ้นจากการใช้ข้อมูลลูกค้าเป็นของใคร ทั้งนี้ ยังไม่ยุติว่าค่าน้ำหนักของโมเดลที่ผ่านการปรับจูนเป็นทรัพย์สินที่มีเจ้าของได้ตามกฎหมายไทยหรือไม่ คู่สัญญาจึงควรกำหนดด้วยข้อสัญญา เช่น ให้ลูกค้ามีสิทธิใช้แต่เพียงผู้เดียว ห้ามผู้ให้บริการนำไปใช้กับลูกค้ารายอื่น และกำหนดการลบหรือส่งคืนเมื่อสิ้นสุดสัญญา โดยพิจารณาผลของการเป็นเจ้าของรวมตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 1357 และมาตรา 1360 ก่อนเลือกใช้ เพราะเจ้าของรวมสันนิษฐานว่ามีส่วนเท่ากัน และเจ้าของรวมแต่ละคนมีสิทธิใช้ทรัพย์สินได้ ผู้ให้บริการจึงอาจใช้ค่าน้ำหนักนั้นได้ด้วยเช่นกัน
- Generated Outputs: ผลลัพธ์ที่ระบบสร้างขึ้นตามคำสั่งของลูกค้า สัญญาควรกำหนดให้สิทธิทั้งปวงเท่าที่ผู้ให้บริการมีหรืออาจมีในผลลัพธ์ตกแก่ลูกค้าโดยการโอนเป็นหนังสือตลอดอายุแห่งการคุ้มครองลิขสิทธิ์ตามพระราชบัญญัติลิขสิทธิ์ พ.ศ. 2537 มาตรา 17 และให้ผู้ให้บริการรับรองว่าจะไม่เรียกร้องสิทธิในผลลัพธ์นั้น ทั้งนี้ กฎหมายไทยยังไม่ยุติว่าผลลัพธ์ดังกล่าวเป็นงานอันมีลิขสิทธิ์หรือไม่
ข้อสัญญาห้ามเทรนโมเดล (Model Training Opt-Out) และการลบข้อมูลชั่วคราว Ephemeral Processing
สัญญาในระดับ Enterprise ต้องระบุข้อความ "Strict No-Training Policy" โดยผู้ให้บริการต้องให้คำมั่นไว้ในสัญญาว่า:
- จะไม่นำข้อมูล Input/Output ไปใช้ในการ Re-train หรือ Improve Foundation Model
- มีการแยกเก็บข้อมูล (Data Isolation) ในระดับ Tenant
- กำหนดระยะเวลาและวัตถุประสงค์ของการจัดเก็บข้อมูลในหน่วยความจำชั่วคราว (Cache) หากมี และการลบข้อมูลอย่างถาวรเมื่อพ้นระยะเวลาดังกล่าวหรือเมื่อสิ้นสุดสัญญา
- สิทธิตรวจสอบ (Right to Audit) ว่าผู้ให้บริการปฏิบัติตามข้อสัญญาทั้งสามข้อข้างต้น ทั้งนี้ การลบข้อมูลชุดใดชุดหนึ่งออกจากค่าพารามิเตอร์ (Parameter) ของโมเดลที่ฝึกไปแล้วเป็นภาระอีกประเภทหนึ่ง ซึ่งควรตกลงแยกไว้ให้ชัดเจน
การจัดการความเสี่ยงด้านลิขสิทธิ์และข้อสัญญาชดใช้ความเสียหาย Third-Party IP Indemnity
เนื่องจากโมเดล AI อาจถูกเทรนมาจากข้อมูลที่ละเมิดลิขสิทธิ์ องค์กรควรระบุข้อสัญญาให้ผู้ให้บริการ (AI Vendor) ต้องชดใช้ค่าเสียหาย (Indemnification) หากผลลัพธ์ที่ลูกค้าได้รับไปใช้แล้วถูกบุคคลภายนอกฟ้องร้องว่าละเมิดลิขสิทธิ์ โดยครอบคลุมถึงค่าวิชาชีพทนายความและค่าเสียหายตามคำพิพากษา ทั้งนี้ กฎหมายไทยยังไม่ยุติว่าการฝึกโมเดลด้วยงานอันมีลิขสิทธิ์เป็นการละเมิดหรือไม่ และผลลัพธ์ที่คล้ายกับงานของบุคคลภายนอกเป็นการทำซ้ำหรือดัดแปลงหรือไม่ ต้องพิจารณาตามข้อเท็จจริง ข้อสัญญาชดใช้ความเสียหายผูกพันเฉพาะคู่สัญญา ไม่ผูกพันเจ้าของลิขสิทธิ์ และมีขอบเขตและข้อยกเว้นตามที่ตกลง เช่น กรณีลูกค้าเป็นผู้สั่งพรอมต์ให้ทำซ้ำงานของผู้อื่น
LAS Practice Note: การออกแบบข้อสัญญา Human-in-the-Loop Disclaimer และ DPA
การป้องกันความเสี่ยงด้าน Hallucination ต้องระบุว่า:
- Advisory Status: ผลลัพธ์จาก AI เป็นเพียง "ร่างเบื้องต้น" ไม่ถือเป็นคำแนะนำที่เป็นที่สิ้นสุด ข้อสัญญานี้มีผลเพียงเท่าที่กฎหมายยอมรับ มิใช่การยกเว้นความรับผิดโดยอัตโนมัติ
- ขอบเขตของข้อสัญญาจำกัดความรับผิด: ข้อสัญญาจำกัดความรับผิดจากข้อผิดพลาดของปัญญาประดิษฐ์ใช้บังคับไม่ได้ในกรณีกลฉ้อฉลหรือประมาทเลินเล่ออย่างร้ายแรงของผู้ให้บริการ (ป.พ.พ. มาตรา 373) และจะนำมาอ้างเพื่อยกเว้นหรือจำกัดความรับผิดต่อความเสียหายต่อชีวิต ร่างกาย หรืออนามัยอันเกิดจากความจงใจหรือประมาทเลินเล่อไม่ได้ (พระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 8 วรรคหนึ่ง) ส่วนในกรณีอื่นซึ่งไม่เป็นโมฆะ มีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณี (มาตรา 8 วรรคสอง) ไม่ว่าจะอยู่ในสัญญาสำเร็จรูปหรือไม่ นอกจากนี้ หากอยู่ในสัญญาสำเร็จรูปและทำให้ผู้ให้บริการซึ่งเป็นผู้กำหนดสัญญาสำเร็จรูปได้เปรียบลูกค้าเกินสมควร ย่อมเป็นข้อสัญญาที่ไม่เป็นธรรมตามมาตรา 4 ด้วย
- Human-in-the-loop: ลูกค้าตกลงที่จะจัดให้มีบุคลากรที่มีความรู้ตรวจสอบ (Verify) ผลลัพธ์ก่อนการนำไปเผยแพร่หรือใช้งานจริง
- PDPA Alignment: หากผู้ให้บริการประมวลผลข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุม ผู้ควบคุมต้องจัดให้มีข้อตกลงตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 40 (Data Processing Agreement - DPA) ส่วนการที่ผู้ให้บริการใช้ข้อมูลเพื่อวัตถุประสงค์ของตนเอง เช่น ปรับปรุงหรือเทรนโมเดล ต้องมีฐานตามกฎหมายแยกต่างหากหรือห้ามไว้ในสัญญา เพราะผู้ให้บริการจะถือเป็นผู้ควบคุมสำหรับการใช้นั้นตามมาตรา 40 วรรคสอง และการเปิดเผยข้อมูลให้แก่ผู้ควบคุมรายอื่นต้องมีฐานตามมาตรา 19 หรือมาตรา 24 และมาตรา 27 และต้องเป็นไปตามวัตถุประสงค์ที่แจ้งไว้ตามมาตรา 21 หากพรอมต์มีข้อมูลตามมาตรา 26 ต้องมีฐานเฉพาะ และหากมีการส่งข้อมูลไปต่างประเทศต้องปฏิบัติตามมาตรา 28
ข้อต่อสู้ของผู้ให้บริการ AI Platform กับองค์กรผู้ใช้งาน Devil's Advocate
ผู้ให้บริการมักจะอ้างว่า:
- ไม่สามารถรับผิดชอบต่อความถูกต้อง 100% ได้เนื่องจากธรรมชาติของความน่าจะเป็น (Probabilistic) ในโมเดลภาษา
- หากต้องโอนสิทธิใน Weights ที่เกิดจากการ Fine-tune ทั้งหมด อาจกระทบต่อความสามารถในการให้บริการแก่ลูกค้ารายอื่นที่มีโมเดลพื้นฐานเดียวกัน
- ข้อจำกัดความรับผิด (Limitation of Liability) มักจะถูกจำกัดไว้ไม่เกินค่าบริการที่จ่ายจริงในรอบ 12 เดือน ซึ่งเป็นข้อเสนอของผู้ให้บริการที่ลูกค้าเจรจาได้ มิใช่เพดานที่กฎหมายกำหนด
ตัวอย่างสถานการณ์จำลอง (Worked Example): กรณีธนาคารและ LLM
- สถานการณ์: ธนาคารแห่งหนึ่งนำข้อมูลลูกค้าและสัญญาเงินกู้เชื่อมต่อกับ LLM ผ่าน API เพื่อสรุปสาระสำคัญ
- ปัญหา: พนักงานพบว่าเมื่อถามคำถามเกี่ยวกับการวิเคราะห์ความเสี่ยงในวันต่อมา LLM แสดงข้อมูลที่ดึงมาจากสัญญาเงินกู้ของลูกค้าที่ถูกส่งไปประมวลผลเมื่อวานให้พนักงานคนอื่นเห็น
- การบังคับสัญญา: ธนาคารตรวจสอบสัญญาและพบว่ามีข้อสัญญา "No-Training Covenant" ธนาคารต้องตรวจสอบสาเหตุก่อนว่าข้อมูลถูกนำไปเทรนหรือเปิดเผยแก่บุคคลภายนอกหรือไม่ เพราะข้อเท็จจริงเพียงว่า LLM แสดงข้อมูลให้พนักงานอีกคนเห็นยังไม่พอสรุปว่าผู้ให้บริการผิดสัญญา หากเป็นพนักงานของธนาคารเอง สาเหตุอาจมาจากการตั้งค่าบริบท การเก็บข้อมูลชั่วคราวในระบบ หรือการควบคุมสิทธิเข้าถึงของธนาคารเอง หากพิสูจน์ได้ว่าผู้ให้บริการฝ่าฝืนข้อสัญญาห้ามเทรนโมเดล ผู้ให้บริการอาจต้องรับผิดตามสัญญา และธนาคารเรียกให้ปฏิบัติตามสัญญาหรือเรียกค่าสินไหมทดแทนตามมาตรา 213 และมาตรา 215 ได้ตามสภาพแห่งหนี้ ส่วนการละเมิดความลับทางการค้าต้องเข้าองค์ประกอบของพระราชบัญญัติความลับทางการค้า พ.ศ. 2545 มาตรา 3 และมาตรา 6
- ผลลัพธ์: ธนาคารอาจเรียกค่าเสียหายและร้องขอต่อศาลให้สั่งบังคับให้ผู้ให้บริการลบข้อมูลชุดนั้นออกจาก Parameter ของโมเดล (หากทำได้ในทางเทคนิค ทั้งนี้ ตามมาตรา 213 ศาลสั่งบังคับชำระหนี้ได้เว้นแต่สภาพแห่งหนี้ไม่เปิดช่องให้ทำเช่นนั้นได้) หรือต้องชดเชยตามที่สัญญากำหนด
- ประเด็นข้อมูลส่วนบุคคล: ข้อมูลลูกค้าและสัญญาเงินกู้ที่ส่งให้ผู้ให้บริการเป็นข้อมูลส่วนบุคคล ธนาคารในฐานะผู้ควบคุมต้องมีฐานในการเปิดเผยข้อมูลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19 หรือมาตรา 24 และมาตรา 27 และหากมีข้อมูลตามมาตรา 26 ต้องมีฐานเฉพาะ หากผู้ให้บริการอยู่ต่างประเทศ ธนาคารต้องพิจารณามาตรา 28 เรื่องมาตรฐานการคุ้มครองของประเทศปลายทาง นอกจากนี้ ธนาคารในฐานะผู้ควบคุมมีหน้าที่ตามมาตรา 37 (1) ที่ต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และต้องประเมินว่าเหตุนี้เป็นการละเมิดข้อมูลส่วนบุคคลหรือไม่ หากเป็น ต้องแจ้งเหตุแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล และหากการละเมิดมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล ต้องแจ้งเหตุการละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบพร้อมกับแนวทางการเยียวยาโดยไม่ชักช้าด้วย (มาตรา 37 (4))
Checklist 10 จุดตรวจสัญญา Enterprise AI & LLM API Services
- มีข้อกำหนดชัดเจนเรื่องการโอนหรืออนุญาตสิทธิใน Output ให้แก่ลูกค้าหรือไม่?
- มีข้อสัญญาห้ามนำข้อมูลไปเทรนหรือปรับปรุงโมเดล (No-Training Covenant) พร้อมระยะเวลาเก็บข้อมูลชั่วคราว การลบข้อมูล และสิทธิตรวจสอบหรือไม่?
- ผู้ให้บริการรับประกันการชดใช้ความเสียหายจากการละเมิดทรัพย์สินทางปัญญา (IP Indemnity) หรือไม่?
- มีการระบุขอบเขตความรับผิด (Liability Cap) ที่สมเหตุสมผลหรือไม่?
- มีการกำหนดสิทธิในการตรวจสอบ (Right to Audit) ด้านความมั่นคงปลอดภัยหรือไม่?
- ข้อสัญญาสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือไม่ (ผู้ให้บริการประมวลผลตามคำสั่งของผู้ควบคุมและมีข้อตกลงตามมาตรา 40 หรือไม่ และหากส่งข้อมูลไปต่างประเทศเป็นไปตามมาตรา 28 หรือไม่)?
- มีการระบุเรื่องการจัดการ AI Hallucination ว่าเป็นความรับผิดชอบของใคร?
- สัญญากำหนดสิทธิใช้ การห้ามนำไปใช้กับลูกค้ารายอื่น และการลบหรือส่งคืน "Fine-tuned Weights" เมื่อสิ้นสุดสัญญาหรือไม่?
- มีเงื่อนไขการเลิกสัญญาและการส่งคืน/ทำลายข้อมูล (Data Exit Strategy) หรือไม่?
- มีการระบุ Jurisdiction และกฎหมายที่ใช้บังคับ (ไทย/ต่างประเทศ)?
คำถามที่พบบ่อย Frequently Asked Questions
ถ้า AI สร้างเนื้อหาที่ละเมิดลิขสิทธิ์ ใครต้องรับผิดชอบในกฎหมายไทย?
ผู้ที่ทำซ้ำ ดัดแปลง หรือเผยแพร่ต่อสาธารณชนซึ่งงานอันมีลิขสิทธิ์โดยไม่ได้รับอนุญาตอาจต้องรับผิดต่อเจ้าของลิขสิทธิ์ตามพระราชบัญญัติลิขสิทธิ์ พ.ศ. 2537 มาตรา 27 ทั้งนี้ ผลลัพธ์ของปัญญาประดิษฐ์จะเป็นการทำซ้ำหรือดัดแปลงหรือไม่ ต้องพิจารณาตามข้อเท็จจริง และประเด็นเฉพาะของปัญญาประดิษฐ์ในกฎหมายไทยยังไม่ยุติ หากสัญญามีข้อสัญญาชดใช้ (Indemnity) ลูกค้าอาจเรียกให้ผู้ให้บริการชดใช้ตามขอบเขตของข้อสัญญานั้น แต่ข้อสัญญาไม่ผูกพันเจ้าของลิขสิทธิ์
อ้างอิง — References
- ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 194 มาตรา 213 มาตรา 215 มาตรา 368 มาตรา 373 มาตรา 1357 และมาตรา 1360
- พระราชบัญญัติลิขสิทธิ์ พ.ศ. 2537 และที่แก้ไขเพิ่มเติม มาตรา 4 มาตรา 6 มาตรา 17 และมาตรา 27
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 19 มาตรา 21 มาตรา 24 มาตรา 26 มาตรา 27 มาตรา 28 มาตรา 37 และมาตรา 40
- พระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 4 และมาตรา 8
- พระราชบัญญัติความลับทางการค้า พ.ศ. 2545 มาตรา 3 และมาตรา 6
- แนวปฏิบัติตามหลักธรรมาภิบาลปัญญาประดิษฐ์ (AI Governance Guideline) โดยสำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA) [ต้องยืนยันแหล่งที่มา: ชื่อฉบับ วันที่ และหน่วยงานผู้ออก]
- สำนักงานคณะกรรมการกฤษฎีกา — ระบบสืบค้นกฎหมาย (OCS)
บทความที่เกี่ยวข้อง
ข้อสงวน (Disclaimer): บทความนี้จัดทำโดย Legal Advance Solution Co., Ltd. เพื่อเป็นข้อมูลทั่วไปด้านกฎหมายเท่านั้น ไม่ถือเป็นคำปรึกษากฎหมายเฉพาะกรณี และไม่ก่อให้เกิดความสัมพันธ์ทนาย-ลูกความ กฎหมายอาจมีการเปลี่ยนแปลง กรุณาปรึกษาทนายความที่มีใบอนุญาตก่อนดำเนินการใด ๆ ตามกฎหมาย | LAS Legal Hub — ข้อมูลกฎหมายเพื่อธุรกิจ