ไลก์ไม่ลับ: เมื่อ AI บนฟีดโซเชียลมีเดียอาจกลายเป็นเครื่องมืออนุมานข้อมูลอ่อนไหว

เนื้อหาที่คุณเลื่อนผ่านบนฟีดโซเชียลมีเดียทุกวันนี้ ไม่ว่าจะเป็นวิดีโอที่ทำให้คุณหยุดดูจนจบคลิป โฆษณาที่ขึ้นมาโชว์คุณเหมือนรู้ใจว่าคุณอยากได้อะไรอยู่ เนื้อหาเหล่านี้ส่วนหนึ่งเกิดจากการประมวลผลของ AI เพื่อปรับแต่งเนื้อหาให้ตรงกับความชอบของคุณมากที่สุด จากการกดไลก์หรือกดดูเนื้อหานั้นซ้ำ ๆ ของคุณ

แต่อย่างไรก็ดี การใช้ AI ในการคัดสรรเนื้อหาทำให้เกิดข้อกังวลคือ AI อาจสามารถอนุมานข้อมูลส่วนบุคคลอ่อนไหวได้ เช่น ความคิดเห็นทางการเมือง ข้อมูลสุขภาพ ความเชื่อทางศาสนา จากข้อมูลพฤติกรรมการเล่นโซเชียลมีเดียทั่วไปที่ไม่ได้มีอันตรายอะไร

บทความนี้จึงอยากชวนทุกคนรู้จักการการประมวลผลข้อมูลของ AI พร้อมทั้งคำนิยามของ “ข้อมูลส่วนบุคคลอ่อนไหว” ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล และข้อควรระวังของทุกคนในฐานะเจ้าของข้อมูลส่วนบุคคล

AI มีการคัดเลือกเนื้อหาขี้นฟีดอย่างไรและเกี่ยวข้องกับข้อมูลส่วนบุคคลอ่อนไหวอย่างไร? 

ในการคัดเลือกเนื้อหาขึ้นฟีดนั้น แต่ละแพลตฟอร์มจะมีแนวทางในการคัดเลือกเนื้อหาบนฟีดที่แตกต่างกันไปตามลักษณะเนื้อหาและเป้าหมายทางธุรกิจ แต่สิ่งที่มีคล้ายกัน คือ ระบบจะสร้างโปรไฟล์ความสนใจของผู้ใช้แต่ละรายขึ้นมาโดยอาศัยสัญญาณพฤติกรรมหลากหลายรูปแบบ เช่น ระยะเวลาที่หยุดดูเนื้อหาหนึ่ง ๆ การกดไลก์หรือกดถูกใจ การแชร์ต่อ การคอมเมนต์ ลักษณะสำคัญของกระบวนการนี้คือเป็นกระบวนการแบบ personalized กล่าวคือ ผู้ใช้สองคนที่ติดตามบัญชีเดียวกันอาจเห็นเนื้อหาบนฟีดที่แตกต่างกันโดยสิ้นเชิง เพราะระบบปรับผลลัพธ์ตามโปรไฟล์เฉพาะของแต่ละคน ตัวอย่างเช่น TikTok ใช้ระบบแนะนำที่เรียกว่า “For You Page” ซึ่งขึ้นชื่อเรื่องความสามารถในการเรียนรู้ความสนใจของผู้ใช้ได้อย่างรวดเร็วจากสัญญาณพฤติกรรมเพียงไม่กี่ครั้ง แม้ผู้ใช้จะยังไม่ได้ติดตามบัญชีใดเลยก็ตาม หรือ Facebook ที่ใช้ระบบจัดอันดับเนื้อหาบน News Feed ที่พิจารณาทั้งความสัมพันธ์ระหว่างผู้ใช้กับผู้โพสต์ ประเภทของเนื้อหา และแนวโน้มการมีปฏิสัมพันธ์ในอดีต เพื่อคาดการณ์ว่าเนื้อหาใดที่ผู้ใช้มีแนวโน้มจะสนใจมากที่สุด 

ซึ่งการประมวลผลเหล่านี้แม้ไม่มีข้อมูลใดเป็นข้อมูลอ่อนไหว แต่ผลลัพธ์ที่ได้กลับสามารถเปิดเผยข้อมูลอ่อนไหวออกมาได้ เช่น การกดไลก์เพจหรือโพสต์ที่เกี่ยวข้องกับพรรคการเมือง นักการเมือง หรือประเด็นทางนโยบายของพรรคใดพรรคหนึ่ง ระบบอาจสามารถประมวลผลรวมกันจนอนุมานหรือคาดการณ์แนวโน้มเกี่ยวกับ “ความคิดเห็นทางการเมือง” ของผู้ใช้ได้ หรือ การติดตามเพจหรือกลุ่มที่เกี่ยวข้องกับศาสนาหรือลัทธิความเชื่อใดความเชื่อหนึ่งอย่างสม่ำเสมอ อาจทำให้ระบบอนุมาน “ความเชื่อทางศาสนา” ได้

อะไรคือข้อมูลส่วนบุคคลอ่อนไหว

พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ได้กำหนดชนิดของข้อมูลที่เป็น “ข้อมูลส่วนบุคคลอ่อนไหว” ไว้ในมาตรา 26 ได้แก่ ข้อมูลส่วนบุคคลที่เกี่ยวข้องกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ

ซึ่งจากมาตรา 26 จะพบได้ว่าข้อมูลเหล่านี้เป็นข้อมูลที่มีความละเอียดอ่อนสูง ซึ่งหากมีการรั่วไหลออกไปอาจนำไปสู่การเลือกปฏิบัติจากผู้อื่นได้ กฎหมายจึงต้องการคุ้มครองข้อมูลเหล่านี้เป็นพิเศษ

ประเด็นที่ต้องพิจารณาต่อมาคือ ข้อมูลที่ AI ประมวลผลออกมานั้นถือเป็นการอนุมานข้อมูล จนเกิดผลลัพธ์เป็นข้อมูลส่วนบุคคลอ่อนไหวตามกฎหมายหรือไม่ ซึ่ง PDPA ไม่มีบทบัญญัติที่กล่าวถึง “ข้อมูลที่ถูกอนุมาน” ไว้โดยตรง แต่เมื่อพิจารณานิยามของ “ข้อมูลส่วนบุคคล” ซึ่งกำหนดว่า “ข้อมูลส่วนบุคคล” หมายถึงข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม 

ดังนั้น ข้อมูลที่ AI อนุมานขึ้นมา หากสามารถระบุตัวบุคคลได้ ก็เข้าข่ายเป็น “ข้อมูลส่วนบุคคล” ตามกฎหมายได้เช่นกัน และหากผลลัพธ์จากการประมวลผลของ AI มีลักษณะเป็นข้อมูลตามมาตรา 26 เช่น ข้อมูลเชื้อชาติ ศาสนา สุขภาพ หรือพฤติกรรมทางเพศของบุคคล ก็อาจเข้าข่ายการประมวลผล “ข้อมูลส่วนบุคคลอ่อนไหว” แม้ข้อมูลนั้นจะไม่ได้มาจากการที่เจ้าของข้อมูลส่วนบุคคลเปิดเผยโดยตรงก็ตาม

ตัวอย่าง

ตัวอย่างเช่นเมื่อปี 2016 ProPublica เปิดเผยว่า Facebook ให้ผู้ลงโฆษณาเลือกกำหนดเป้าหมายหรือ “ยกเว้น” ผู้ใช้ตามหมวดหมู่ “Ethnic Affinity” กล่าวคือ Facebook เคยมีฟีเจอร์ที่ให้ผู้ที่ต้องการลงโฆษณาสามารถเลือกให้ผู้ที่มีชาติพันธุ์ใดชาติพันธุ์หนึ่งเห็นหรือไม่เห็นโฆษณานั้นได้ แต่ Facebook ไม่เคยเก็บข้อมูลเชื้อชาติจากผู้ใช้โดยตรง แต่อนุมานจากพฤติกรรมทั่วไปของผู้ใช้งานเพียงเท่านั้น 

หรือกรณีของ Meta v Bundeskartellamt ที่ได้มีการกล่าวถึงกรณี Facebook อาจสามารถรวบรวมข้อมูลส่วนบุคคลอ่อนไหวได้โดยที่ผู้ใช้ไม่รู้หรือยินยอม เนื่องจากตามนโยบายความเป็นส่วนตัวของ Facebook ผู้ใช้ที่สมัครใช้แพลตฟอร์มโซเชียลมีเดียของ Facebook จะต้องอยู่ภายใต้การเก็บรวบรวมข้อมูลในบริการอื่น ๆ ของ Facebook เช่น Instagram, WhatsApp, Oculus และ Facebook Business Tools ซึ่ง Facebook อาจสามารถได้มาหรืออนุมานซึ่งข้อมูลอ่อนไหวผ่านช่องทางที่ไม่ชัดเจนได้ด้วยผ่าน Facebook Business Tools ที่ฝังอยู่ในเว็บไซต์ของบุคคลที่สาม เช่น การเข้าเว็บไซต์พรรคการเมืองหนึ่งเพียงครั้งเดียวอาจไม่ได้บ่งบอกจุดยืนทางการเมืองชัดเจนนัก แต่หากเข้าซ้ำ ๆ พร้อมมีปฏิสัมพันธ์กับปุ่ม Like และ Share ที่ฝังอยู่ ก็อาจนำไปสู่การอนุมานแนวคิดทางการเมืองของบุคคลนั้นได้ โดยเฉพาะเมื่อนำไปรวมกับข้อมูลจุดอื่นที่ Facebook มีอยู่แล้ว

เจ้าของข้อมูลส่วนบุคคลต้องระวังอะไรบ้าง

บ่อยครั้งที่ผู้ใช้งานโซเชียลมีเดียซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลกดยอมรับเงื่อนไขของแพลตฟอร์มโดยไม่ได้อ่านรายละเอียดว่า แพลตฟอร์มนั้นอาจมีการนำข้อมูลพฤติกรรมไปประมวลผลเพื่อ “อนุมาน” ลักษณะเฉพาะบุคคลหรือไม่ เช่น ความสนใจ พฤติกรรมการบริโภค ซึ่งหากมีการอนุมานจนถึงขั้นข้อมูลอ่อนไหว แพลตฟอร์มอาจจำเป็นต้องได้รับความยินยอมที่ “ชัดแจ้ง”  

ดังนั้น หากเจ้าของข้อมูลส่วนบุคคลรู้สึกว่าการคัดเลือกเนื้อหาบนฟีด การนำเสนอโฆษณา กำลังล้ำเส้นความเป็นส่วนตัว หรืออาจเกี่ยวข้องกับข้อมูลส่วนบุคคลที่ไม่เคยเปิดเผยหรือไม่เคยให้ความยินยอมในการนำไปใช้ เจ้าของข้อมูลส่วนบุคคลสามารถใช้สิทธิตามกฎหมายได้ เช่น สิทธิในการถอนความยินยอม หรือสิทธิในการคัดค้านการประมวลผล

โดยแนวทางปฏิบัติเพื่อปกป้องความเป็นส่วนตัวเบื้องต้นอาจทำได้โดยการ เช่น 

1. ตรวจสอบ Privacy Settings:
   เข้าไปตรวจสอบการตั้งค่าความเป็นส่วนตัวในโซเชียลมีเดีย โดยเฉพาะส่วนที่เกี่ยวกับการปรับแต่งโฆษณา การแชร์ข้อมูลกับบุคคลที่สาม
2. ศึกษา Privacy Notice และเงื่อนไขการใช้งาน:
   ให้ครอบคลุม มองหาคำสำคัญเช่น “Profiling”, “Automated Decision-making” หรือ “Inference” หรือคำที่เกี่ยวข้องกับการวิเคราะห์พฤติกรรมและการสร้างโปรไฟล์ผู้ใช้งาน

ความท้าทายสำหรับองค์กร

ความท้าทายสำคัญสำหรับองค์กรไม่ได้อยู่เพียงแค่การพิจารณาว่า “องค์กรเก็บข้อมูลอะไร” แต่ต้องพิจารณาเพิ่มเติมว่า “องค์กรสามารถอนุมานอะไรจากข้อมูลที่มีอยู่ได้บ้าง” และข้อมูลที่อนุมานขึ้นมานั้นถูกนำไปใช้เพื่อวัตถุประสงค์ใด

องค์กรจึงควรพิจารณาประเด็นสำคัญอย่างน้อย ดังนี้

1. การระบุและจัดประเภทข้อมูลที่เกิดจากการอนุมาน:
   พิจารณาว่าข้อมูลที่เกิดจากการประมวลผลหรือการอนุมานนั้นยังคงสามารถเชื่อมโยงกลับไปยังบุคคลได้หรือไม่ หากสามารถระบุตัวบุคคลได้ ข้อมูลดังกล่าวอาจยังอยู่ภายใต้ขอบเขตของกฎหมายคุ้มครองข้อมูลส่วนบุคคล แม้จะไม่ใช่ข้อมูลที่เจ้าของข้อมูลส่วนบุคคลเป็นผู้ให้ไว้โดยตรงก็ตาม
2. การพิจารณาฐานทางกฎหมายและวัตถุประสงค์ในการประมวลผล:
   พิจารณาว่าการสร้างข้อมูลอนุมานและการนำข้อมูลดังกล่าวไปใช้มีฐานทางกฎหมายรองรับหรือไม่ รวมถึงสอดคล้องกับวัตถุประสงค์ที่ได้แจ้งแก่เจ้าของข้อมูลส่วนบุคคลไว้หรือไม่
3. ความเสี่ยงจากการอนุมานข้อมูลที่มีความอ่อนไหว:
   แม้องค์กรจะไม่ได้เก็บข้อมูลอ่อนไหวจากเจ้าของข้อมูลส่วนบุคคลโดยตรง แต่การประมวลผลด้วย AI อาจนำไปสู่การอนุมานข้อมูลที่มีความอ่อนไหวได้ องค์กรจึงควรประเมินความเสี่ยงและพิจารณาว่าการประมวลผลดังกล่าวอยู่ภายใต้เงื่อนไขที่กฎหมายอนุญาตหรือจำเป็นต้องมีมาตรการเพิ่มเติมหรือไม่

แหล่งอ้างอิง

• How TikTok recommends content
• Facebook Feed Ranking
• Facebook Lets Advertisers Exclude Users by Race
• CJEU, judgment of 4 july 2023, Case C-252/21, Meta v. Bundeskartellamt
• พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562, มาตรา 6
• พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562, มาตรา 26