คู่มือฉบับสมบูรณ์สำหรับการปฏิบัติตามกฎระเบียบการสรรหาด้วย AI (2026)

การปฏิบัติตามกฎระเบียบการสรรหาด้วย AI คืออะไร?

การปฏิบัติตามกฎระเบียบการสรรหาด้วย AI หมายถึงชุดภาระผูกพันทางกฎหมายที่นายจ้างต้องปฏิบัติตามเมื่อใช้ปัญญาประดิษฐ์ อัลกอริทึม หรือเครื่องมืออัตโนมัติในขั้นตอนใดก็ตามของกระบวนการสรรหาบุคลากร ซึ่งรวมถึงซอฟต์แวร์คัดกรองเรซูเม่ การสัมภาษณ์ผ่านแชทบอต โมเดลการให้คะแนน และเครื่องมือใดๆ ที่กรองหรือจัดอันดับผู้สมัครโดยไม่ผ่านการตัดสินของมนุษย์โดยตรง

ณ ปี 2026 กรอบกฎหมายสามประการกำหนดข้อกำหนดการปฏิบัติตามกฎหมาย AI ด้านการสรรหาบุคลากรสำหรับนายจ้างส่วนใหญ่ในประเทศไทย: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA), แนวปฏิบัติของ PDPC เกี่ยวกับการตัดสินใจอัตโนมัติ, และกฎหมายว่าด้วยการทำงานของคนต่างด้าว สำหรับบริษัทที่ดำเนินงานในตลาดยุโรป กฎระเบียบ GDPR และ EU AI Act ก็มีผลบังคับใช้ด้วย

ในปี 2566 สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ดำเนินการตรวจสอบองค์กรที่ใช้ระบบประมวลผลข้อมูลส่วนบุคคลของผู้สมัครงานในกระบวนการสรรหาบุคลากรโดยไม่มีฐานทางกฎหมายที่เหมาะสม ซึ่งแสดงให้เห็นว่าหน่วยงานกำกับดูแลกำลังใช้การตรวจสอบอย่างเข้มงวดกับระบบอัลกอริทึมที่ประมวลผลข้อมูลส่วนบุคคล

เหตุใดปี 2026 จึงเป็นจุดเปลี่ยน

ภาระผูกพันตามกฎหมาย AI ของสหภาพยุโรปสำหรับระบบ AI ที่มีความเสี่ยงสูง ซึ่งรวมถึง AI ด้านการจ้างงานอย่างชัดเจน มีผลบังคับใช้ในเดือนสิงหาคม 2026 สำหรับองค์กรส่วนใหญ่ นี่ไม่ใช่ข้อกำหนดในอนาคต หากคุณกำลังใช้ AI เพื่อคัดกรอง จัดอันดับ หรือทำรายชื่อผู้สมัครในขณะนี้และดำเนินงานในสหภาพยุโรป การนับถอยหลังได้เริ่มต้นแล้ว

ในเวลาเดียวกัน การบังคับใช้กฎหมายของ PDPC เกี่ยวกับการตัดสินใจด้วยอัลกอริทึมในการสรรหาบุคลากรกำลังเพิ่มขึ้น และความตระหนักของผู้สมัครเกี่ยวกับสิทธิ์ตาม PDPA ของพวกเขากำลังเติบโต การสร้างกระบวนการที่สอดคล้องตอนนี้จะปกป้องคุณจากค่าปรับ ข้อร้องเรียนจากผู้สมัคร และความเสียหายต่อชื่อเสียง

กฎหมาย AI ของสหภาพยุโรปและ AI ด้านการจ้างงาน

กฎหมาย AI ของสหภาพยุโรปสร้างระบบจัดประเภทความเสี่ยงสี่ระดับสำหรับ AI AI ด้านการจ้างงานอยู่ในระดับที่มีการกำกับดูแลสูงสุด ได้แก่ ความเสี่ยงสูง ภาคผนวก III ของกฎหมายระบุอย่างชัดเจนถึง AI ที่ใช้ในการสรรหาและคัดเลือก รวมถึงการคัดกรองเรซูเม่ การจัดอันดับผู้สมัคร และการประเมินการสัมภาษณ์ ว่าเป็นแอปพลิเคชันที่มีความเสี่ยงสูง

ความหมายของการจัดประเภทความเสี่ยงสูงในทางปฏิบัติ

นายจ้างและผู้จำหน่ายเทคโนโลยี HR ที่นำ AI ที่มีความเสี่ยงสูงมาใช้ในการสรรหาบุคลากรต้องปฏิบัติตามชุดภาระผูกพันที่เข้มงวด สิ่งเหล่านี้ไม่ใช่แนวทางเลือก แต่เป็นข้อกำหนดทางกฎหมายที่มีผลบังคับใช้จริง

ประการแรก ต้องทำการประเมินความสอดคล้องให้เสร็จสมบูรณ์ก่อนที่จะนำระบบ AI มาใช้งาน ซึ่งเกี่ยวข้องกับการบันทึกวัตถุประสงค์ของระบบ ข้อมูลที่ใช้ฝึกอบรม ข้อจำกัดที่ทราบ และมาตรการที่ใช้เพื่อลดความเอนเอียงและข้อผิดพลาด สำหรับนายจ้างที่ซื้อเครื่องมือสำเร็จรูป คุณควรขอเอกสารนี้จากผู้ขาย

ข้อกำหนดการกำกับดูแลโดยมนุษย์

ระบบ AI ที่มีความเสี่ยงสูงทุกระบบต้องได้รับการออกแบบเพื่อให้มนุษย์สามารถตรวจสอบและยกเลิกการตัดสินใจได้ ในบริบทของการสรรหาบุคลากร หมายความว่าผู้สมัครไม่ควรถูกปฏิเสธหรือได้รับการส่งเสริมไปยังขั้นตอนถัดไปโดยอาศัยการตัดสินใจของ AI เพียงอย่างเดียว โดยไม่มีมนุษย์ที่มีความสามารถในการตรวจสอบและยกเลิกการตัดสินใจนั้นอย่างแท้จริง

ข้อกำหนดนี้ไม่สามารถบรรลุได้ด้วยกระบวนการที่มนุษย์เพียงแค่อนุมัติผลลัพธ์ของ AI โดยไม่ได้มีส่วนร่วมกับเอกสารของผู้สมัครอย่างแท้จริง การกำกับดูแลต้องมีสาระสำคัญ มนุษย์ต้องสามารถเข้าถึงเหตุผลของ AI และข้อมูลผู้สมัครที่อ้างอิง และต้องสามารถบรรลุข้อสรุปที่แตกต่างออกไปได้

ความโปร่งใสต่อผู้สมัคร

ผู้สมัครต้องได้รับการแจ้งว่ามีการใช้ AI ในการประเมินของพวกเขา การเปิดเผยข้อมูลนี้ควรปรากฏก่อนที่การโต้ตอบกับ AI จะเริ่มต้น ในประกาศรับสมัครงาน ขั้นตอนการสมัคร หรือการแจ้งเตือนเฉพาะ การเปิดเผยข้อมูลควรอธิบายประเภทของ AI ที่ใช้ สิ่งที่ประเมิน และวิธีที่ผลลัพธ์ใช้ในการตัดสินใจคัดเลือก

GDPR และข้อมูลผู้สมัคร

GDPR ใช้บังคับกับนายจ้างทุกรายที่ประมวลผลข้อมูลส่วนบุคคลจากผู้สมัครที่พักอาศัยในสหภาพยุโรปหรือสหราชอาณาจักร ไม่ว่านายจ้างจะตั้งอยู่ที่ใด การสรรหาบุคลากรเป็นหนึ่งในพื้นที่ที่มีความเสี่ยงสูงที่สุดในการปฏิบัติตาม GDPR เนื่องจากเกี่ยวข้องกับข้อมูลส่วนบุคคลที่ละเอียดอ่อนจำนวนมากจากบุคคลที่ไม่มีความสัมพันธ์ที่มีอยู่กับนายจ้าง

พื้นฐานทางกฎหมายสำหรับการประมวลผล

การประมวลผลข้อมูลผู้สมัครในระหว่างการสรรหาบุคลากรที่ดำเนินอยู่โดยทั่วไปอาศัยผลประโยชน์ที่ชอบด้วยกฎหมาย (มาตรา 6(1)(f)) หรือการปฏิบัติตามสัญญา (มาตรา 6(1)(b) ในขั้นตอนก่อนทำสัญญา) ความยินยอมแทบจะไม่ใช่พื้นฐานที่เหมาะสมสำหรับการสรรหาบุคลากร โดยต้องให้อย่างอิสระ ซึ่งถูกขัดขวางโดยความไม่สมดุลของอำนาจระหว่างนายจ้างและผู้หางาน

ข้อมูลหมวดหมู่พิเศษ รวมถึงสุขภาพ ความพิการ ต้นกำเนิดทางชาติพันธุ์ และความเชื่อทางศาสนา ต้องการพื้นฐานทางกฎหมายเพิ่มเติมภายใต้มาตรา 9 ซึ่งโดยทั่วไปคือความยินยอมอย่างชัดแจ้งหรือความจำเป็นสำหรับภาระผูกพันตามกฎหมายการจ้างงาน หากคำถามการคัดกรองหรือเครื่องมือวัดจิตของคุณเก็บรวบรวมข้อมูลหมวดหมู่พิเศษโดยไม่ได้ตั้งใจ คุณต้องบันทึกพื้นฐานเพิ่มเติมนี้

การลดข้อมูลให้น้อยที่สุดและการจำกัดวัตถุประสงค์

คุณสามารถเก็บรวบรวมข้อมูลผู้สมัครที่จำเป็นสำหรับการตัดสินใจสรรหาบุคลากรเท่านั้น หลักการนี้ครอบคลุมแนวปฏิบัติทั่วไปหลายประการ ได้แก่ การขอวันเกิดเมื่ออายุไม่ใช่ข้อกำหนดที่แท้จริง การขอรูปถ่ายก่อนการสัมภาษณ์ หรือการเก็บรวบรวมข้อมูลสื่อสังคมออนไลน์จำนวนมากโดยไม่มีความเชื่อมโยงที่ชัดเจนกับตำแหน่งงาน เครื่องมือคัดกรองที่ใช้คำสำคัญอาจนำไปสู่ความเอนเอียงที่ไม่ได้ตั้งใจเมื่อเก็บรวบรวมข้อมูลตัวแทนที่มีความสัมพันธ์กับลักษณะที่ได้รับการคุ้มครอง

การจำกัดวัตถุประสงค์หมายความว่าข้อมูลที่เก็บรวบรวมสำหรับตำแหน่งงานหนึ่งไม่สามารถนำไปใช้กับตำแหน่งอื่นได้โดยไม่มีพื้นฐานทางกฎหมายใหม่ หากคุณต้องการเก็บรักษาผู้สมัครที่ถูกปฏิเสธสำหรับโอกาสในอนาคต จำเป็นต้องได้รับความยินยอมอย่างชัดแจ้ง และคุณต้องเคารพการถอนความยินยอมนั้นอย่างทันท่วงที

ระยะเวลาการเก็บรักษา

ไม่มีระยะเวลาการเก็บรักษาข้อมูลผู้สมัครที่กำหนดโดย GDPR เพียงระยะเดียว อย่างไรก็ตาม หลักการจำกัดการเก็บรักษากำหนดให้คุณต้องลบข้อมูลเมื่อไม่จำเป็นอีกต่อไป ในทางปฏิบัติ องค์กรส่วนใหญ่กำหนดระยะเวลาการเก็บรักษาหกเดือนนับจากสิ้นสุดการสรรหาบุคลากร บางองค์กรขยายเป็น 12 เดือนเพื่อรองรับการเรียกร้องที่อาจเกิดขึ้นจากการเลือกปฏิบัติ

ไม่ว่าคุณจะเลือกระยะเวลาใด ให้บันทึกไว้ในประกาศความเป็นส่วนตัวของคุณและบังคับใช้ ระยะเวลาการเก็บรักษาที่คุณระบุแต่ไม่ได้บังคับใช้แย่กว่าการไม่มีระยะเวลาที่ระบุไว้ เพราะแสดงให้หน่วยงานกำกับดูแลเห็นว่าคุณรู้ว่าควรทำอะไรแต่เลือกที่จะไม่ทำ

การตัดสินใจอัตโนมัติและมาตรา 22 GDPR

มาตรา 22 GDPR ให้สิทธิ์แก่บุคคลในการไม่ตกเป็นเป้าหมายของการตัดสินใจที่อาศัยการประมวลผลอัตโนมัติเพียงอย่างเดียวซึ่งก่อให้เกิดผลทางกฎหมายหรือผลกระทบที่สำคัญในทำนองเดียวกัน ในบริบทของการสรรหาบุคลากร การตัดสินใจปฏิเสธหรือขึ้นรายชื่อที่ทำโดยอัลกอริทึมทั้งหมดโดยไม่มีการมีส่วนร่วมของมนุษย์อย่างมีนัยสำคัญจะกระตุ้นสิทธิ์นี้

สิ่งที่กระตุ้นมาตรา 22

การทดสอบหลักคือว่าการตัดสินใจอาศัยการประมวลผลอัตโนมัติเพียงอย่างเดียวและก่อให้เกิดผลกระทบที่สำคัญหรือไม่ การปฏิเสธการสมัครงานเป็นผลกระทบที่สำคัญ การได้รับการจัดอันดับต่ำกว่าเกณฑ์การสัมภาษณ์โดยอัลกอริทึมและด้วยเหตุนี้จึงไม่เคยได้รับการตรวจสอบโดยมนุษย์ก็เป็นผลกระทบที่สำคัญเช่นกัน แม้ว่านายจ้างจะอธิบายกระบวนการว่าเป็นการสนับสนุนด้วย AI มากกว่าการตัดสินโดย AI

สิ่งสำคัญคือมาตรา 22 มีผลบังคับใช้แม้เมื่อนายจ้างเชื่อว่ามีมนุษย์เข้ามาเกี่ยวข้อง หากการตรวจสอบของมนุษย์นั้นเป็นเพียงรูปแบบหรือเป็นพิธีการเท่านั้น PDPC ได้ชี้แจงว่ามนุษย์ที่เพียงแค่รับผลลัพธ์ของ AI โดยไม่ได้มีส่วนร่วมอย่างแท้จริงกับข้อมูลพื้นฐานนั้น ไม่ถือเป็นการมีส่วนร่วมของมนุษย์ที่มีความหมาย

มาตรการป้องกันที่จำเป็น

เมื่อมีการใช้การตัดสินใจอัตโนมัติอย่างถูกกฎหมาย ไม่ว่าจะได้รับความยินยอมจากผู้สมัครหรือตามความจำเป็นในการเข้าทำสัญญา ต้องมีมาตรการป้องกันสามประการ ประการแรก ผู้สมัครต้องได้รับแจ้งว่ามีการตัดสินใจอัตโนมัติเกิดขึ้นและได้รับข้อมูลที่มีความหมายเกี่ยวกับตรรกะที่เกี่ยวข้อง ประการที่สอง ผู้สมัครต้องสามารถขอการตรวจสอบโดยมนุษย์สำหรับการตัดสินใจอัตโนมัติใดๆ ประการที่สาม ผู้สมัครต้องสามารถโต้แย้งการตัดสินใจและแสดงความคิดเห็นของตน

ในทางปฏิบัติ หมายความว่าต้องสร้างกลไกที่มุ่งเน้นผู้สมัคร ได้แก่ การแจ้งเตือนที่ชัดเจนในขั้นตอนการสมัคร เส้นทางการติดต่อสำหรับคำขอตรวจสอบ และกระบวนการภายในสำหรับจัดการคำขอเหล่านั้นด้วยการประเมินโดยมนุษย์อย่างแท้จริง

การตรวจสอบสิทธิ์การทำงาน

พระราชบัญญัติการทำงานของคนต่างด้าว พ.ศ. 2560 กำหนดให้นายจ้างต้องตรวจสอบว่าแรงงานต่างด้าวทุกคนมีใบอนุญาตทำงานที่ถูกต้องตามกฎหมายก่อนเริ่มปฏิบัติงาน นายจ้างที่จ้างแรงงานต่างด้าวโดยไม่มีใบอนุญาตทำงานอาจถูกปรับสูงถึง 100,000 บาทต่อแรงงาน 1 คน และในกรณีร้ายแรงอาจถูกดำเนินคดีอาญา สำหรับแรงงานไทย ไม่จำเป็นต้องมีการตรวจสอบใบอนุญาตทำงาน

การยืนยันตัวตนแบบดิจิทัล

กระบวนการขอใบอนุญาตทำงานสำหรับแรงงานต่างด้าวดำเนินการผ่านกระทรวงแรงงาน โดยนายจ้างต้องยื่นคำขอก่อนที่แรงงานต่างด้าวจะเริ่มทำงาน ใบอนุญาตทำงานระบุประเภทงานและนายจ้างที่ได้รับอนุญาต การเปลี่ยนงานหรือประเภทงานต้องได้รับการอนุมัติใหม่ นายจ้างต้องตรวจสอบว่าใบอนุญาตทำงานยังมีผลบังคับใช้อยู่และตรงกับตำแหน่งที่จ้างงาน

การตรวจสอบแบบดิจิทัลไม่ใช่ข้อบังคับ: นายจ้างยังสามารถดำเนินการตรวจสอบเอกสารด้วยตนเอง แต่การตรวจสอบแบบดิจิทัลนั้นรวดเร็วกว่า สม่ำเสมอกว่า และมีความเสี่ยงต่อการเกิดข้อผิดพลาดจากมนุษย์น้อยกว่าในการตรวจสอบเอกสาร ซึ่งเป็นปัจจัยสำคัญเมื่อต้องสรรหาบุคลากรจำนวนมาก

กฎข้อมูลชีวมิติ

ผลิตภัณฑ์ยืนยันตัวตนดิจิทัลบางรายการใช้การเปรียบเทียบใบหน้าด้วยข้อมูลชีวมาตร โดยเปรียบเทียบภาพถ่ายสดกับภาพในเอกสารประจำตัว ข้อมูลชีวมาตรถือเป็นข้อมูลส่วนบุคคลที่มีความอ่อนไหวตาม PDPA และต้องมีฐานทางกฎหมายที่ชัดเจน สำหรับการตรวจสอบใบอนุญาตทำงาน มักอ้างอิงฐานความจำเป็นตามกฎหมายแรงงาน

หากคุณเก็บรวบรวมข้อมูลชีวมาตรเป็นส่วนหนึ่งของกระบวนการสรรหาบุคลากร จะต้องเปิดเผยข้อมูลนี้ในประกาศความเป็นส่วนตัว ผู้สมัครต้องเข้าใจว่าข้อมูลชีวมาตรใดที่ถูกเก็บรวบรวม ใช้อย่างไร และเก็บรักษาไว้นานเท่าใด ต้องลบแบบแผนชีวมาตรทันทีที่การตรวจสอบเสร็จสมบูรณ์

แรงงานต่างด้าว

แรงงานไทยไม่ต้องการใบอนุญาตทำงานและไม่จำเป็นต้องตรวจสอบเพิ่มเติม สำหรับแรงงานต่างด้าว นายจ้างต้องตรวจสอบว่าใบอนุญาตทำงานและวีซ่ายังมีผลบังคับใช้ก่อนการจ้างงาน การเรียกร้องเอกสารที่ไม่จำเป็นจากแรงงานไทยอาจถือเป็นการเลือกปฏิบัติโดยไม่ชอบด้วยกฎหมาย

การสร้างกระบวนการคัดกรอง AI ที่สอดคล้องกับกฎระเบียบ

กระบวนการที่สอดคล้องกับกฎระเบียบไม่ได้หมายความว่าช้าลง GDPR และกฎหมาย AI ของสหภาพยุโรปกำหนดภาระผูกพัน ไม่ใช่การออกแบบขั้นตอนการทำงาน ด้วยรากฐานที่ถูกต้อง คุณสามารถดำเนินกระบวนการคัดกรองที่รวดเร็วและมีปริมาณสูงซึ่งเป็นไปตามข้อกำหนดทุกข้อ นี่คือหกขั้นตอนในการสร้างกระบวนการดังกล่าว

รายการตรวจสอบการปฏิบัติตามกฎระเบียบ

บทลงโทษและการบังคับใช้

ทั้ง GDPR และกฎหมาย AI ของสหภาพยุโรปมีบทลงโทษทางการเงินที่สำคัญ การทำความเข้าใจโครงสร้างบทลงโทษช่วยปรับเทียบกรณีทางธุรกิจ ต้นทุนของโปรแกรมการปฏิบัติตามกฎระเบียบเป็นเพียงส่วนเล็กน้อยของต้นทุนการดำเนินการบังคับใช้ที่สำคัญ

บทลงโทษตาม GDPR

การบังคับใช้ GDPR ดำเนินการในระบบสองระดับ การละเมิดที่ร้ายแรงน้อยกว่า เช่น บันทึกที่ไม่เพียงพอและประกาศความเป็นส่วนตัวที่ขาดหายไป จะต้องเสียค่าปรับสูงถึง 10 ล้านยูโรหรือ 2% ของรายได้ทั่วโลกต่อปี แล้วแต่จำนวนใดจะสูงกว่า การละเมิดที่ร้ายแรงกว่า รวมถึงการประมวลผลโดยไม่มีพื้นฐานทางกฎหมาย การละเมิดสิทธิ์ของบุคคลที่เป็นเป้าหมายของข้อมูล และการรักษาความปลอดภัยที่ไม่เพียงพอ จะต้องเสียค่าปรับสูงถึง 20 ล้านยูโรหรือ 4% ของรายได้ทั่วโลกต่อปี

บทลงโทษตามกฎหมาย AI ของสหภาพยุโรป

กฎหมาย AI ของสหภาพยุโรปใช้บทลงโทษแยกต่างหาก การใช้แอปพลิเคชัน AI ที่ต้องห้ามมีโทษปรับสูงถึง 35 ล้านยูโรหรือ 7% ของรายได้ทั่วโลกต่อปี การละเมิดที่เกี่ยวข้องกับระบบ AI ที่มีความเสี่ยงสูง รวมถึงการไม่ปฏิบัติตามข้อกำหนดด้านความโปร่งใส การกำกับดูแลโดยมนุษย์ หรือเอกสาร มีโทษปรับสูงถึง 15 ล้านยูโรหรือ 3% ของรายได้ต่อปี

ข้อผิดพลาดการปฏิบัติตามกฎระเบียบที่พบบ่อย

คำถามที่พบบ่อย