ใช้ AI จดบันทึกการประชุม ผิด PDPA ไหม? 4 ความเสี่ยงที่ SME ต้องรู้

สวัสดีครับผู้ประกอบการทุกท่าน ในยุคที่การประชุมออนไลน์ผ่าน Zoom หรือ Microsoft Teams กลายเป็นเรื่องปกติ ผมเชื่อว่าหลายท่านคงเคยเห็น “แขกไม่ได้รับเชิญ” ที่ชื่อแปลกๆ อย่าง Otter.ai, Fireflies หรือ Laxis เข้ามาร่วมในห้องประชุมพร้อมกับสถานะ “Recording” (กำลังบันทึก)

เราทุกคนทราบดีว่าเครื่องมือเหล่านี้มีประโยชน์มหาศาล มันช่วยถอดเสียง (Transcribe) สรุปประเด็น (Summarize) และส่ง Action Plan ให้เราทันทีที่จบการประชุม แต่ในฐานะคนที่คลุกคลีกับกฎหมายและเทคโนโลยีมากว่า 20 ปี ผมต้องขอเตือนด้วยความหวังดีว่า: “ของฟรีไม่มีในโลก และความสะดวกสบายอาจแลกมาด้วยความลับทางการค้าของคุณ”

ล่าสุดในปี 2025 ในสหรัฐอเมริกา มีคดีฟ้องร้องใหญ่ (Class Action) ระหว่างผู้ใช้งานกับ Otter.ai ในข้อหาดักฟังและนำข้อมูลไปใช้โดยไม่ได้รับความยินยอม สิ่งนี้คือสัญญาณเตือนภัยระดับสีแดงที่ SME, โรงพยาบาล และ Tech Startup ในไทยต้องหันมามองนโยบายการใช้ AI ของตัวเองเดี๋ยวนี้ ก่อนที่จะทำผิด พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) โดยไม่รู้ตัว

AI จดบันทึกการประชุม (AI Notetaker) คืออะไร? ทำไมจึงเป็นดาบสองคม

รู้จักการทำงานของ AI Bot ในห้องประชุมออนไลน์

AI Notetaker คือซอฟต์แวร์ที่ใช้ Generative AI ในการแปลงเสียงเป็นข้อความ (Speech-to-Text) และสรุปเนื้อหาการประชุม เครื่องมือยอดนิยมอย่าง Otter.ai หรือ Fireflies มักจะเชื่อมต่อกับปฏิทิน (Calendar) ของผู้ใช้ และสามารถ “Auto-join” หรือกระโดดเข้าห้องประชุมได้เองโดยที่เจ้าของอาจลืมปิด

ความสะดวกสบายที่แลกมาด้วยความเสี่ยงด้านข้อมูล (Data Privacy)

เหรียญมีสองด้านเสมอ แม้ AI จะช่วยเพิ่ม Productivity แต่ในมุมของความปลอดภัยข้อมูล (Data Privacy) มันคือ “เครื่องดักฟังอัจฉริยะ” ที่บันทึกทุกคำพูด รวมถึงเรื่องส่วนตัว ความลับทางการค้า และข้อมูลอ่อนไหว (Sensitive Data) ส่งขึ้นไปประมวลผลบน Cloud Server ซึ่งส่วนใหญ่อยู่ในต่างประเทศ

4 ความเสี่ยงทางกฎหมายเมื่อใช้ AI จดบันทึกการประชุมโดยไม่ระวัง

หากคุณปล่อยให้พนักงานใช้ AI bot ตัวไหนก็ได้เข้าประชุม นี่คือระเบิดเวลาที่คุณกำลังนั่งทับอยู่:

1. กับดัก PDPA: การบันทึกเสียงโดยไม่ขอความยินยอม (Consent)

ในประเทศไทย การบันทึกเสียงหรือการสนทนาโดยที่คู่สนทนา “ไม่ทราบ” หรือ “ไม่ยินยอม” เป็นเรื่องละเอียดอ่อนมาก

• กฎหมาย: ตาม PDPA มาตรา 19 การเก็บรวบรวมข้อมูลส่วนบุคคล (เสียงสนทนา) ต้องได้รับความยินยอม (Consent) จากเจ้าของข้อมูลก่อนหรือในขณะเก็บรวบรวม
• ความเสี่ยง: หาก AI เข้ามาบันทึกทันทีโดยไม่มีการแจ้งเตือน (Notification) หรือไม่มีการกดปุ่มยอมรับ (Opt-in) อย่างชัดเจน จะถือว่าเป็นการเก็บข้อมูลโดยมิชอบ นอกจากโทษทางปกครองที่ปรับสูงสุดถึง 7 ล้านบาท (อ้างอิงเคสปี 2024 ที่มีการปรับบริษัทฐานละเมิดความปลอดภัยข้อมูล) ยังอาจเข้าข่ายความผิดตามกฎหมายอาญาเรื่องการดักฟังได้อีกด้วย

2. ข้อมูลรั่วไหล: เมื่อความลับทางการค้าถูกนำไปเทรน AI Model

คุณเคยอ่าน Terms of Service ของแอปฯ ฟรีพวกนี้ไหมครับ? แอปฯ ส่วนใหญ่ระบุว่าข้อมูลการสนทนาของคุณอาจถูกนำไปใช้เพื่อ “พัฒนาและเทรนโมเดล AI”

• ความเสี่ยง: ลองนึกภาพว่าคุณกำลังประชุมเรื่อง “สูตรยาลับ” หรือ “กลยุทธ์เข้าซื้อกิจการ (M&A)” แล้วข้อมูลนี้ถูกส่งไปเทรน AI วันดีคืนดี คู่แข่งของคุณอาจไปถาม ChatGPT หรือ AI ตัวนั้น แล้วได้ข้อมูลที่คล้ายกับความลับของคุณออกมา กรณีศึกษาจากต่างประเทศอย่างคดีฟ้องร้อง Otter.ai ในแคลิฟอร์เนีย ระบุชัดเจนว่ามีการนำข้อมูลเสียงไปใช้เทรนโมเดลโดยที่ผู้เข้าร่วมประชุม (Non-users) ไม่ได้ยินยอม

3. หลักฐานมัดตัวในชั้นศาล (Discoverability): เมื่อ AI สรุปความผิดพลาด

ในทางกฎหมาย สิ่งที่ AI จดบันทึกถือเป็น “พยานหลักฐานทางอิเล็กทรอนิกส์” (Electronic Evidence)

• ปัญหา: AI ไม่ใช่มนุษย์ มันไม่เข้าใจบริบท “การประชดประชัน” หรือ “มุกตลก”
• ความเสี่ยง: หากเกิดคดีฟ้องร้อง (เช่น คดีเลิกจ้างไม่เป็นธรรม) อีกฝ่ายสามารถใช้กระบวนการเรียกพยานหลักฐาน (Discovery) ขอบันทึกนี้ได้ หาก AI Hallucinate (มโน) สรุปผิดๆ ว่า “บริษัทยอมรับความผิด” ทั้งที่คุณพูดเล่น สิ่งนี้จะกลายเป็นหลักฐานมัดตัวคุณทันที

4. การสูญเสียเอกสิทธิ์ความคุ้มครอง (Privilege Waiver)

สำหรับผู้บริหารโรงพยาบาลหรือทนายความ ข้อนี้สำคัญที่สุด

• ความเสี่ยง: การคุ้มครองข้อมูลระหว่าง ทนาย-ลูกความ (Attorney-Client Privilege) จะศักดิ์สิทธิ์เมื่อเป็น “ความลับ” การมี AI (บุคคลที่ 3) เข้ามาบันทึกและเก็บข้อมูลบน Cloud อาจถูกตีความทางกฎหมายว่าคุณได้ “สละ” (Waive) สิทธิ์ในการรักษาความลับนั้นไปแล้ว เพราะคุณอนุญาตให้บุคคลภายนอกเข้าถึงข้อมูล

กรณีศึกษา (Case Study): บทเรียนราคาแพงจากการใช้ AI ผิดวิธี

เพื่อให้เห็นภาพชัดเจน ผมขอยกตัวอย่างสถานการณ์จำลองที่สะท้อนจากเคสจริง (เช่น กรณีโรงพยาบาลใน Ontario ที่ข้อมูลคนไข้รั่วไหลผ่าน Otter.ai):

สถานการณ์: บริษัท “สยามเฮลท์เทค จำกัด” (นามสมมติ) เป็น Startup พัฒนาแอปฯ สุขภาพ กำลังประชุมออนไลน์กับ “โรงพยาบาลเอกชนชื่อดัง”

1. ผู้กระทำ: “น้องเอ” ฝ่ายการตลาด ใช้ AI Notetaker
   
   
2. ตัวฟรี (Free Tier) เพื่อช่วยจดบันทึก เพราะไม่อยากจดเอง โดยไม่ได้แจ้งโรงพยาบาล
   
   
3. เหตุการณ์: AI Bot เข้าห้องประชุมอัตโนมัติ ระหว่างประชุมมีการพูดถึง รายชื่อคนไข้ VIP และ ตัวเลขงบประมาณลับ
   
   
4. ผลกระทบ:
   
   PDPA Breach: โรงพยาบาลฟ้องสยามเฮลท์เทคฐานละเมิดข้อมูลส่วนบุคคลคนไข้ เพราะมีการบันทึกเสียงโดยไม่ขอ Consent
   
   Data Leak: ข้อมูลการเงินของโรงพยาบาลถูก AI นำไปประมวลผลบน Server ต่างประเทศ ซึ่งขัดต่อนโยบายความปลอดภัย ตาม PDPA มาตรา 37 ที่กำหนดมาตรการรักษาความมั่นคงปลอดภัย
   
   ความเสียหาย: ดีลล่ม และสยามเฮลท์เทคถูกปรับและเสียชื่อเสียงอย่างหนัก
   
   

5.