จากโครงการ TH-AI Passport สู่ AiPASS อ่าน TOR และ Privacy Notice เมื่อวันนี้โจทย์สำคัญของ PDPA ภาครัฐคือ “ความเชื่อมั่น”

เมื่อวันที่ 7 กรกฎาคม 2569 ผมเคยเขียน บทความวิจารณ์ TOR โครงการ TH-AI Passport ในมุมของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

https://tpdpa.or.th/tor-th-ai-passport-pdpa-analysis/

ตอนนั้นผมตั้งคำถามหลายเรื่อง ตั้งแต่ใครเป็นผู้ควบคุมข้อมูล ใช้ฐานกฎหมายอะไร ข้อมูลจะถูกส่งไปไหน ไปจนถึงการใช้ Prompt, File และข้อมูลพฤติกรรมของผู้ใช้

วันที่ 19 สิงหาคม 2569 โครงการเปิดให้ลงทะเบียนล่วงหน้าผ่าน AiPASS และมีเอกสารเพิ่มเติมให้ศึกษา ทั้ง Terms and Conditions, Privacy Notice ฉบับที่ 1.0 และ FAQ ทำให้หลายคำถามที่เคยมีเริ่มเห็นคำตอบมากขึ้น

ภายหลังมีการเผยแพร่รายละเอียดของสัญญาแก้ไขเพิ่มเติม ทำให้ทราบว่า TOR เป็นเอกสารแนบท้ายสัญญา ผนวก 1 ของสัญญาหลัก และมีการแก้ไข TOR บางข้อผ่านสัญญาแก้ไขเพิ่มเติม ขณะที่ข้อความในสัญญาหลักที่ไม่ได้แก้ไขยังคงมีผลผูกพันต่อไป

อย่างไรก็ตาม ผมยังไม่ได้เห็นสัญญาหลักและเอกสารแนบท้ายทั้งหมด การวิเคราะห์ในบทความนี้จึงไม่ควรนำ TOR หรือสัญญาแก้ไขเพิ่มเติมเพียงส่วนใดส่วนหนึ่งมาสรุปว่าการดำเนินงานผิดสัญญา แต่จะใช้เอกสารเหล่านี้ประกอบกับ Terms and Conditions, Privacy Notice และ FAQ เพื่อพิจารณาเฉพาะประเด็นที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล

อีกเรื่องที่ต้องแยกให้ชัดคือ TH-AI Passport เป็นชื่อโครงการ ส่วน AiPASS เป็นแพลตฟอร์มภายใต้โครงการ ดังนั้นบทความนี้ไม่ได้พยายามสรุปว่าโครงการผิด PDPA หรือผิดสัญญา แต่จะดูว่า จากสิ่งที่เปิดเผยต่อประชาชน วันนี้มีคำตอบเรื่องข้อมูลส่วนบุคคลแค่ไหน และยังมีอะไรที่ควรอธิบายให้ชัดขึ้น

1.หลายคำถามจาก TOR วันนี้มีคำตอบแล้ว

เรื่องแรกที่ชัดขึ้นคือ ใครเป็นผู้ควบคุมข้อมูล โดย Terms and Conditions ข้อ 4 และ Privacy Notice ข้อ 1.2 ระบุว่า สดช. เป็นผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) เรื่องนี้จึงไม่ต้องคาดเดาเหมือนตอนอ่าน TOR

Privacy Notice ยังแยกวัตถุประสงค์ ประเภทข้อมูล ระยะเวลาเก็บ ผู้รับข้อมูล การส่งข้อมูลต่างประเทศ และสิทธิของเจ้าของข้อมูลไว้ละเอียดกว่าที่เห็นใน TOR มาก ถือว่าเป็นพัฒนาการที่ดี

แต่ยังมีบางจุดที่ควรทำให้สอดคล้องกัน เช่น บางวัตถุประสงค์เขียนว่าใช้ทั้งฐานสัญญาและฐานภารกิจเพื่อประโยชน์สาธารณะ แต่ระบุมาตรา 24(4) เพียงมาตราเดียว ขณะที่ฐานสัญญาอยู่ในมาตรา 24(3) ส่วนการวิจัยและพัฒนา National LLM ปัจจุบัน Privacy Notice ระบุมาตรา 24(4) จึงควรอธิบายให้ชัดว่าการวิจัยดังกล่าวอยู่ภายใต้ภารกิจของ สดช. อย่างไร และมีส่วนใดที่ต้องพิจารณาฐานการวิจัยตามมาตรา 24(1) เพิ่มเติมหรือไม่

สำหรับผม ประเด็นเหล่านี้แก้ได้ด้วยการทำ Lawful Basis Mapping ให้ตรงกับการทำงานจริง และยังไม่ใช่เหตุที่จะสรุปว่าโครงการใช้ข้อมูลได้หรือไม่ได้

2.ข้อมูลไม่ได้อยู่แค่ในระบบ AiPASS และความรับผิดชอบก็ไม่ได้อยู่ที่ผู้รับจ้างหลักเพียงรายเดียว

สิ่งที่สำคัญกว่า Privacy Notice คือ เมื่อข้อมูลเดินทางต่อไปหาองค์กรอื่น ใครรับผิดชอบอะไรในแต่ละช่วง

ผู้รับจ้างหลักซึ่งพัฒนาและดูแลระบบน่าจะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) ในกิจกรรมที่ทำตามคำสั่งของ สดช. มาตรา 40 กำหนดหน้าที่ไว้ทั้งการทำตามคำสั่ง การรักษาความมั่นคงปลอดภัย การแจ้ง Data Controller เมื่อเกิดเหตุละเมิด และการจัดทำบันทึกกิจกรรมการประมวลผล ดังนั้นหน้าที่ของผู้รับจ้างไม่ได้มีแค่ทำให้ระบบใช้งานได้ แต่ต้องทำให้ข้อมูลถูกใช้ตามคำสั่งและวัตถุประสงค์ที่กำหนดด้วย

Privacy Notice ข้อ 4.4 ก็ระบุว่าผู้ให้บริการระบบหรือ Cloud ที่ประมวลผลตามคำสั่งของโครงการเป็น Data Processor ขณะที่ TOR ข้อ 4.10 ห้ามผู้รับจ้างนำข้อมูลของโครงการไปใช้เพื่อกิจการอื่นนอกเหนือจากที่ สดช. อนุญาต แต่การให้ผู้รับจ้างดำเนินการไม่ได้ทำให้หน้าที่ของ สดช. ในฐานะ Data Controller หายไป สดช. ยังต้องกำกับและสามารถพิสูจน์ได้ว่าผู้รับจ้างทำตามสิ่งที่ได้รับมอบหมายจริง

เรื่องนี้สำคัญเพราะ FAQ ระบุว่า AiPASS เชื่อม AI จาก 14 ค่าย มากกว่า 30 โมเดล และโครงการยังอาจมี Cloud ผู้จัดอบรม Call Center ผู้จัดกิจกรรม หรือบริษัทที่ดูแลระบบบางส่วนเข้ามาเกี่ยวข้อง ผู้ให้บริการเหล่านี้อาจเป็น Sub-processor หากประมวลผลตามคำสั่งที่ส่งต่อมาจากผู้รับจ้างหลัก หรืออาจมีสถานะอื่นในบาง Processing Activity หากใช้ข้อมูลเพื่อวัตถุประสงค์ที่ตนกำหนดเอง

ดังนั้น DPA ระหว่าง สดช. กับผู้รับจ้างหลักต้องเข้มพอที่จะทำให้ข้อกำหนดเรื่องการใช้ข้อมูล การรักษาความปลอดภัย การลบข้อมูล การแจ้งเหตุละเมิด และการห้ามนำข้อมูลไปใช้ต่อ ไหลลงไปถึงผู้ให้บริการในทุกทอดได้จริง ผู้รับจ้างหลักก็ควรรู้ว่า Sub-processor มีใครบ้าง ได้ข้อมูลอะไร เก็บที่ไหน ใครเข้าถึงได้ และเมื่อจบงานต้องลบหรือคืนข้อมูลอย่างไร ทั้งนี้ Processor มีหน้าที่จัดทำบันทึกตามมาตรา 40(3) อยู่แล้ว ส่วน Processor/Sub-processor Register เป็นเครื่องมือกำกับที่ช่วยให้ตรวจสอบสายการประมวลผลได้ง่ายขึ้น

อีกกลุ่มหนึ่งที่ต้องแยกออกมาคือสมาคม สถานศึกษา หรือหน่วยงานที่ช่วยประชาสัมพันธ์หรือรวบรวมผู้สมัคร หากเพียงส่ง Link หรือ QR Code แล้วประชาชนสมัคร AiPASS เอง ก็แทบไม่มีการแบ่งปัน Personal Data ระหว่างองค์กร แต่ถ้ามีการรวบรวมรายชื่อส่งเข้าโครงการ หรือมีคะแนน ผลการเรียน หรือข้อมูลการใช้บริการส่งกลับไปยังต้นสังกัด ก็เกิด Data Sharing ขึ้นแล้ว และต้องตอบให้ได้ว่าแต่ละฝ่ายมีบทบาทอะไร ใช้ฐานกฎหมายใด ใช้ข้อมูลเพื่อวัตถุประสงค์อะไร และได้แจ้งเจ้าของข้อมูลไว้อย่างไร

แต่การมีผู้รับจ้างหรือผู้รับจ้างช่วงไม่ได้ทำให้หน้าที่ของ สดช. ในฐานะ Data Controller หายไป ขณะเดียวกันผู้รับจ้างและผู้รับจ้างช่วงก็มีหน้าที่ของตนตามบทบาทและ Processing Activity ที่ทำจริง

3.ส่งข้อมูลไปต่างประเทศ ควรอธิบายให้ชัด

อีกประเด็นที่ถูกตั้งคำถามมากคือ Data Localization กับการส่งข้อมูลไปต่างประเทศ

TOR มีทั้งวัตถุประสงค์ให้ข้อมูลส่วนบุคคลและข้อมูลพฤติกรรมการใช้ AI ถูกจัดเก็บและประมวลผลในประเทศไทย ข้อกำหนดเฉพาะให้ข้อมูลการลงทะเบียนอยู่ในประเทศไทย และกำหนดให้ Main Data Center ตั้งอยู่ในประเทศไทย ขณะที่ Privacy Notice ระบุว่า Prompt และ File อาจถูกส่งไปประมวลผลกับ AI Provider ต่างประเทศ จึงมีคนตั้งข้อสังเกตว่าการทำงานแบบนี้อาจไม่สอดคล้องกับ TOR

จากรายละเอียดสัญญาแก้ไขเพิ่มเติมที่เผยแพร่ ไม่ปรากฏว่ามีการแก้ข้อความใน TOR ส่วนที่ผมยกมาวิเคราะห์เรื่องการจัดเก็บและประมวลผลข้อมูลในประเทศไทย ดังนั้น เมื่อทราบแล้วว่า TOR เป็นส่วนหนึ่งของสัญญา คำถามเรื่อง Cross-border Processing จึงไม่ใช่เพียงเรื่องที่ Privacy Notice ต้องอธิบายตาม PDPA แต่ยังควรอธิบายด้วยว่าการดำเนินงานดังกล่าวสอดคล้องกับข้อกำหนดในสัญญาทั้งชุดอย่างไร

สิ่งที่ควรชี้แจงให้ประชาชนเข้าใจได้ง่ายคือ ข้อมูลประเภทใดอยู่ในประเทศไทย ข้อมูลประเภทใดถูกส่งออก Provider ใดรับข้อมูล ประมวลผลที่ Region ไหน เก็บไว้นานเท่าใด และใช้กลไกตามมาตรา 28 หรือ 29 ของ PDPA อย่างไร เพราะ PDPA ไม่ได้ห้ามการส่งข้อมูลไปต่างประเทศโดยเด็ดขาด แต่กำหนดเงื่อนไขและมาตรการที่ต้องปฏิบัติตาม

ขณะเดียวกัน การปฏิบัติให้ถูกต้องตาม PDPA กับการปฏิบัติให้สอดคล้องกับสัญญาเป็นคนละเรื่องกัน การส่งข้อมูลอาจผ่านเงื่อนไขตาม PDPA แต่ยังต้องตรวจอีกชั้นว่าสอดคล้องกับสัญญาที่ลงนามจริงหรือไม่

ถ้าอธิบาย Data Flow ตรงนี้ได้ชัด ความกังวลเรื่อง “ข้อมูลออกนอกประเทศ” จะลดลงมาก เพราะคนจะเห็นภาพว่าอะไรออก อะไรไม่ออก และออกไปเพื่อทำอะไร

4.National LLM ต้องแยกจากการที่ AI Provider นำข้อมูลไป Train

ใน TOR เดิมผมยังไม่พบเรื่อง National LLM โดยตรง แต่ Terms and Conditions และ Privacy Notice ปัจจุบันระบุชัดว่า ข้อมูลที่เกิดจากการใช้ AiPASS อาจถูกนำไปใช้เพื่อการวิจัยและพัฒนา รวมถึงการพัฒนา National LLM

อย่างไรก็ตาม ไม่ควรตีความว่าระบบจะนำ Prompt หรือ Chat ที่ยังระบุตัวบุคคลได้ไป Train National LLM โดยตรง เพราะ Terms ข้อ 9.2 ระบุว่า User Content ที่ใช้เพื่อ National LLM จะใช้เฉพาะข้อมูลที่ผ่าน De-identification หรือ Anonymization แล้ว

สิ่งที่ควรอธิบายคือ จากข้อมูลที่เกิดขึ้นระหว่างใช้ AiPASS ไปจนถึง Dataset สำหรับ National LLM มีขั้นตอนอย่างไร Anonymization เกิดเมื่อใด และกรณีที่ Terms ข้อ 6.8 กล่าวถึง Pseudonymisation มีการใช้ข้อมูลลักษณะนี้ในขั้นตอนใด

ส่วน Sensitive Personal Data ยิ่งต้องอธิบายให้ชัด เพราะ Privacy Notice ระบุว่า หากผู้ใช้ป้อนเข้ามา จะใช้เพียงเพื่อสร้างคำตอบ ดังนั้นข้อมูลประเภทนี้ก็ควรถูกกันออกจาก Research หรือ National LLM ด้วย

อีกเรื่องที่ต้องแยกคือ FAQ ระบุว่า AI Provider ถูกห้ามนำข้อมูลของผู้ใช้ไป Train Model ของตน ซึ่งเป็นคนละเรื่องกับการที่โครงการนำข้อมูลที่ผ่านกระบวนการตามที่กำหนดไปพัฒนา National LLM อย่างไรก็ดี FAQ ใช้ถ้อยคำว่ามีข้อตกลงห้าม AI Provider นำข้อมูลไป Train Model ขณะที่ Terms ข้อ 6.8 ใช้ถ้อยคำว่า Opt-out ในทุกกรณีที่ Provider เปิดให้ดำเนินการได้ ถ้อยคำสองส่วนนี้จึงควรอธิบายให้ตรงกัน ทั้งนี้ Terms ข้อ 6.8 ยังให้สิทธิผู้ใช้คัดค้านการประมวลผลเพื่อพัฒนาโมเดล จึงควรอธิบายด้วยว่าเมื่อผู้ใช้คัดค้านแล้วมีผลต่อ Data Pipeline อย่างไร

5.Prompt Monitoring และ Temporary Chat เป็นเรื่องที่ต้องอธิบายมากกว่าแค่ Privacy Notice

Privacy Notice วัตถุประสงค์ข้อ 13 ระบุถึงการตรวจสอบการใช้งานที่อาจขัดต่อกฎหมาย ความสงบเรียบร้อย หรือความมั่นคง และระบุว่าอาจมี Human Review ก่อนจำกัดสิทธิหรือส่งข้อมูลต่อ

ข้อมูลนี้เพียงพอให้ประชาชนตั้งคำถาม แต่ยังไม่เพียงพอให้สรุปว่า “เจ้าหน้าที่อ่านทุก Prompt”

สิ่งที่ควรอธิบายคือ ระบบตรวจทุกข้อความหรือเฉพาะบางกรณี ใช้อะไรเป็น Trigger เจ้าหน้าที่เห็นข้อมูลแค่ไหน ใครมีสิทธิเปิดดู และการเปิดดูทุกครั้งมี Audit Trail หรือไม่

อีกเรื่องที่ควรอธิบายคือ หากผู้ใช้ต้องการตรวจสอบว่าข้อมูลของตนถูกเปิดเผยหรือส่งต่อให้หน่วยงานใด จะสามารถขอข้อมูลดังกล่าวได้ในขอบเขตใดตาม PDPA

Temporary Chat ก็มีประเด็นคล้ายกัน Privacy Notice ระบุว่าสามารถเก็บข้อมูลการสนทนาไว้ภายใน 1 ปี แม้ชื่อ Temporary อาจทำให้คนทั่วไปเข้าใจว่าไม่เก็บหรือเก็บเพียงช่วงสั้น ๆ

เรื่องนี้จึงไม่ใช่แค่ Retention Policy แต่เป็นเรื่องการสื่อสารด้วย แม้ Privacy Notice จะบอกระยะเวลาเก็บแล้ว แต่ยังควรอธิบายให้ผู้ใช้เข้าใจว่า Temporary Chat ต่างจาก Chat ปกติอย่างไร และคำว่า Temporary หมายถึงอะไรในทางปฏิบัติ

เช่นเดียวกับสิทธิของเจ้าของข้อมูล แม้กฎหมายจะมีข้อยกเว้นบางกรณี เช่น ประโยชน์สาธารณะ แต่ข้อยกเว้นเหล่านี้ไม่ได้หมายความว่าสามารถปฏิเสธสิทธิหรือเก็บข้อมูลต่อได้โดยไม่ต้องอธิบายเหตุผล ความจำเป็น และฐานกฎหมาย

6.ปัญหาใหญ่ของโครงการนี้ ณ ตอนนี้ อาจไม่ใช่ Privacy Notice แต่คือ Privacy Trust

เมื่อมองทุกประเด็นรวมกัน ผมคิดว่ากิจกรรมประมวลผลหลายอย่างของ AiPASS ไม่ใช่เรื่องผิดปกติ การยืนยันตัวตน การเก็บ Log การส่ง Prompt ไปยัง AI Provider การตรวจจับ Abuse หรือการเก็บข้อมูลไว้ระยะหนึ่ง เป็นสิ่งที่พบได้ในบริการดิจิทัลทั่วไป

คำถามที่สำคัญกว่าคือ ทำไปเพื่ออะไร จำเป็นแค่ไหน ใครเข้าถึง และตรวจสอบได้หรือไม่

ความกังวลของประชาชนจึงมาจากสองเรื่องพร้อมกัน เรื่องแรกคือการสื่อสารของโครงการ ซึ่งบางส่วนยังเป็นภาษากฎหมายหรือภาษาระบบมากเกินไป อีกเรื่องคือความเชื่อมั่นต่อหน่วยงานผู้ถือข้อมูล โดยเฉพาะความกังวลว่าข้อมูลจะรั่ว หรือคนที่มีสิทธิเข้าถึงจะนำข้อมูลไปใช้ผิดวัตถุประสงค์ ดังที่เคยปรากฏเป็นข่าวมาก่อน

ความเสี่ยงจึงไม่ได้มีเฉพาะ Hacker แต่รวมถึงคนที่ “มีสิทธิ” เข้าถึงข้อมูลด้วย

ตรงนี้ผมอยากเห็นมากกว่าคำว่า “ระบบมีมาตรฐานความปลอดภัย” แต่อยากรู้ว่าใครเปิดดูข้อมูลได้ เปิดดูได้เมื่อไร ทุกการเข้าถึงถูกบันทึกหรือไม่ มีการทบทวนสิทธิหรือไม่ และถ้ามีคนใช้ข้อมูลผิดวัตถุประสงค์ ระบบจะตรวจพบและจัดการอย่างไร รวมถึงประชาชนที่ลงทะเบียนใช้บริการมีสิทธิอะไรบ้างตาม PDPA

เพราะนี่คือสิ่งที่จะสร้างความเชื่อมั่นได้มากกว่า Privacy Notice ที่ยาวขึ้นอีกหลายหน้า

นอกจากนี้ผมยังเห็นว่า การจัดการโครงการที่เกี่ยวกับข้อมูลส่วนบุคคลของรัฐควรนำหลัก Privacy by Design / by Default มาใช้ รวมถึงการทำ DPIA อย่างจริงจัง ซึ่งจะมีประโยชน์มากกับโครงการลักษณะนี้ เพราะมีทั้งการเชื่อมตัวตน การใช้ AI หลาย Provider, National LLM, Cross-border Processing, Profiling และ Content Monitoring หากโครงการได้ทำแล้ว ไม่จำเป็นต้องเปิดเผยทั้งฉบับ แต่อาจเปิดเผย Summary ว่าประเมินเรื่องอะไร พบความเสี่ยงอะไร และมีมาตรการลดความเสี่ยงอย่างไร

และจากเอกสารสาธารณะที่ผมตรวจสอบได้จนถึงขณะนี้ ยังไม่เห็นข้อมูลว่าเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือ DPO ของ สดช. ได้มีบทบาทหรือให้คำแนะนำเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของโครงการนี้อย่างไร

7.ในฐานะสมาคมวิชาชีพ ผมยังอยากได้คำตอบจาก สดช. 6 เรื่อง

1. เมื่อ TOR เป็นส่วนหนึ่งของสัญญาหลักและมีสัญญาแก้ไขเพิ่มเติมแล้ว ข้อกำหนดเรื่อง Personal Data, Data Localization, Cross-border Processing และ AI Provider เมื่ออ่านเอกสารสัญญาทั้งชุดประกอบกันควรตีความและนำไปปฏิบัติอย่างไร
2. Data Flow จริงเป็นอย่างไร ใครเข้าถึง Prompt, File, Conversation และข้อมูลระบุตัวตนได้ ข้อมูลถูกส่งต่อให้ผู้รับจ้างช่วงหรือหน่วยงานใดบ้าง มีข้อมูลอะไรส่งกลับไปยังสมาคม สถานศึกษา หรือต้นสังกัดหรือไม่ และทุกการเข้าถึงตรวจสอบย้อนหลังได้หรือไม่
3. DPA ระหว่าง สดช. กับผู้รับจ้างครอบคลุม AI Provider, Cloud และ Sub-processor ทุกทอดหรือไม่ รวมถึงเรื่อง No-training, Breach Notification การลบข้อมูล และการกำกับว่าผู้รับจ้างช่วงใช้ข้อมูลได้เพียงใด
4. ข้อมูลจาก AiPASS ถูกคัดเลือกและผ่าน De-identification หรือ Anonymization ณ จุดใดก่อนนำไปพัฒนา National LLM, Sensitive Personal Data ถูกกันออกอย่างไร และเมื่อผู้ใช้คัดค้านการใช้ข้อมูลเพื่อพัฒนาโมเดล ระบบดำเนินการอย่างไร
5. Temporary Chat, Content Monitoring และคำว่า “จำเป็นเพื่อประโยชน์สาธารณะ” มีหลักเกณฑ์ในทางปฏิบัติอย่างไร ไม่ใช่เพียงเขียนไว้ใน Privacy Notice
6. มีการทำ DPIA แล้วหรือไม่ และหากทำแล้ว สามารถเปิดเผยสาระสำคัญในระดับที่ประชาชนเข้าใจได้หรือไม่

สำหรับผม การที่โครงการยังไม่ตอบคำถามเหล่านี้ ไม่ใช่เหตุให้สรุปว่า AiPASS ทำผิด PDPA แต่ก็คงไม่เหมาะที่จะบอกประชาชนว่าไม่มีอะไรต้องกังวล

เมื่อ Privacy Notice มีหน้าที่บอกประชาชนว่าจะทำอะไรกับข้อมูล ส่วน Accountability คือการพิสูจน์ว่าสิ่งที่บอกนั้นเกิดขึ้นจริง และ Trust จะเกิดขึ้นก็ต่อเมื่อประชาชนเชื่อได้ว่า ข้อมูลของเขาจะถูกใช้ตามวัตถุประสงค์ คนที่ไม่ควรเห็นจะไม่เห็น คนที่มีสิทธิเห็นจะเปิดดูได้เฉพาะเมื่อมีเหตุ และทุกอย่างตรวจสอบย้อนหลังได้

ดังนั้น สิ่งที่โครงการควรทำต่ออาจไม่ใช่เขียน Privacy Notice ให้ยาวขึ้น แต่คืออธิบายเรื่องที่ประชาชนกำลังกังวลให้ชัด และแสดงให้เห็นว่าระบบจริงทำตามสิ่งที่บอกไว้อย่างไร

ถ้า TH-AI Passport ทำเรื่องนี้ได้ โครงการนี้อาจไม่เพียงช่วยให้คนไทยเข้าถึง AI แต่ยังเป็นตัวอย่างว่าโครงการ AI ของรัฐจะใช้ข้อมูลไปพร้อมกับสร้างความเชื่อมั่นของประชาชนได้อย่างไร

หมายเหตุ: บทความนี้วิเคราะห์จาก TOR รายละเอียดสัญญาแก้ไขเพิ่มเติมในส่วนที่เผยแพร่ รวมถึง Terms and Conditions, Privacy Notice และ FAQ ที่ผู้เขียนสามารถและการแถลงข่าวของโครงการนี้ของ สดช. ซึ่งตรวจสอบได้ถึงวันที่ 23 สิงหาคม 2569 หากมีข้อมูลหรือเอกสารเพิ่มเติมที่ทำให้ข้อเท็จจริงเปลี่ยนแปลง ผู้เขียนพร้อมปรับปรุงเนื้อหาให้ถูกต้องต่อไป