ใช้ AI coding agent ในบริษัท: ค่าใช้จ่าย ความปลอดภัย และ PDPA

หลายทีมเริ่มใช้ AI coding agent กันเองก่อนบริษัทจะมีนโยบาย บางคนจ่ายด้วยบัตรส่วนตัว บางคนวาง log ที่มีข้อมูลลูกค้าลงในแชต บทความนี้รวมเรื่องที่ CTO หัวหน้าทีม และเจ้าของบริษัทควรตัดสินใจก่อนเปิดให้ทั้งทีมใช้

บริษัทควรจ่ายค่า AI coding agent แบบไหน

วิธีจ่ายค่า AI coding agent มีสามแบบหลัก คือแพ็กรายที่นั่ง (per-seat) ที่จ่ายต่อคนต่อเดือน API ที่จ่ายตามจำนวน token ที่ใช้จริง และบริการเหมาจ่ายรายเดือนที่ไม่คิดตาม token แต่ละแบบเหมาะกับทีมคนละแบบ และมีความเสี่ยงด้านงบคนละจุด

ณ 5 พฤศจิกายน 2569 หน้าราคาของ Anthropic แสดง Claude Team ที่นั่ง Standard 25 ดอลลาร์สหรัฐต่อคนต่อเดือนถ้าจ่ายรายเดือน หรือ 20 ดอลลาร์ถ้าจ่ายรายปี ขั้นต่ำ 2 ที่นั่ง ส่วน Claude Enterprise คิดค่าที่นั่ง 20 ดอลลาร์ต่อเดือนแบบรายปี ขั้นต่ำ 20 ที่นั่ง บวกค่าใช้งานตามราคา API แยกต่างหาก ฝั่ง OpenAI หน้าราคาของ Codex แสดง ChatGPT Business ที่ 25 ดอลลาร์ต่อคนต่อเดือนแบบรายเดือน หรือ 20 ดอลลาร์แบบรายปี สำหรับ 2 คนขึ้นไป ราคาเปลี่ยนได้ ควรเช็กหน้าราคาอีกครั้งก่อนซื้อ

ไม่ว่าเลือกแบบไหน ให้มีคนรับผิดชอบงบและตั้งเพดานรายเดือนตั้งแต่วันแรก ถ้าใช้ API ให้แยก key ตามโปรเจกต์ จะได้รู้ว่ายอดมาจากไหน เหตุผลที่งาน agent กิน token มากอ่านได้ที่ Token คืออะไร ส่วนเรื่องลิมิตของแพ็กรายที่นั่งดูที่ Claude Code ติด limit

ตั้งค่าความปลอดภัยของ AI coding agent ในทีมอย่างไร

หลักความปลอดภัยของ AI coding agent ในบริษัทคือให้ agent เข้าถึงเท่าที่งานต้องใช้ ไม่มี secret ของ production อยู่ในที่ที่ agent อ่านได้ เริ่มจากโหมดที่ถามก่อนแก้ไฟล์และรันคำสั่ง ให้ทุกการแก้ผ่าน pull request ที่คนรีวิว และยกเลิก key ทันทีเมื่อคนออก

1. secret ของ production อยู่นอกระยะ agent เก็บใน secret manager ไม่ใช่ไฟล์ .env บนเครื่อง dev แล้วตั้ง deny rule ห้าม agent อ่านไฟล์ลับ (ตัวอย่างอยู่ใต้รายการนี้)
2. โหมดสิทธิ์และ sandbox ช่วงแรกให้ agent ถามก่อนแก้ไฟล์และรันคำสั่ง ใน Codex CLI ใช้ approval_policy = "on-request" คู่กับ sandbox_mode = "workspace-write" ส่วนโหมดที่ข้ามการขออนุญาตทั้งหมดให้ใช้ใน container หรือเครื่องที่แยกไว้เท่านั้น
3. branch และ pull request เปิด branch protection ห้าม push เข้า main ตรงๆ ให้ CI รันเทสต์ และให้คนรีวิวทุก PR ที่ agent เขียน
4. ตรวจย้อนหลังได้ แยก key ต่อคนหรือต่อโปรเจกต์ เปิด audit log ถ้าแพ็กมีให้ (Claude Enterprise มี) และให้ commit ระบุว่างานส่วนไหนมาจาก agent
5. offboarding ถอนที่นั่ง ยกเลิก API key ของคนที่ออก และเปลี่ยน key ที่เคยใช้ร่วมกัน ใส่ขั้นนี้ไว้ใน checklist ลาออกของฝ่ายบุคคล

ตัวอย่าง .claude/settings.json ของ Claude Code ที่ commit ให้ทั้งทีมใช้ ถ้าจะบังคับทั้งองค์กรให้ใส่ค่าเดียวกันใน managed settings ซึ่งผู้ใช้แก้ทับไม่ได้

{
  "permissions": {
    "deny": ["Read(./.env)", "Read(./.env.*)", "Read(./secrets/**)"],
    "disableBypassPermissionsMode": "disable"
  }
}

ถ้าทีมใช้ Cline หรือเครื่องมือใน VS Code ตัวอื่น หลักเดียวกันใช้ได้ ดูการตั้ง auto-approve แบบระวังได้ที่ ตั้งค่า Cline และ Roo Code

ใช้ AI เขียนโค้ดต้องทำตาม PDPA อย่างไร

PDPA หรือ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เกี่ยวข้องทันทีที่สิ่งที่ส่งให้ AI มีข้อมูลส่วนบุคคล เช่น อีเมลลูกค้าใน log ฐานข้อมูลจริงที่ dump มาทำ test data หรือชื่อและเบอร์โทรที่วางลงใน prompt บริษัทในฐานะผู้ควบคุมข้อมูลส่วนบุคคลยังต้องรับผิดชอบข้อมูลนั้น แม้ผู้ประมวลผลจะเป็นผู้ให้บริการ AI

ข้อมูลส่วนบุคคลมักหลุดเข้า prompt ทางเหล่านี้

• log และ stack trace ที่มีอีเมล เบอร์โทร หรือเลขบัตรประชาชน
• ไฟล์ dump จาก production ที่เอามาทำ test data หรือ seed
• ticket จากฝ่ายบริการลูกค้าที่ก๊อปมาให้ agent ช่วยแก้บั๊ก
• ภาพหน้าจอที่มีข้อมูลผู้ใช้จริง

มาตรา 37 กำหนดให้ผู้ควบคุมข้อมูลจัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม เมื่อส่งข้อมูลให้คนอื่นต้องป้องกันไม่ให้ผู้รับใช้หรือเปิดเผยโดยมิชอบ และต้องแจ้งเหตุละเมิดต่อสำนักงานภายใน 72 ชั่วโมงนับแต่ทราบเหตุ ส่วนมาตรา 40 กำหนดให้ผู้ประมวลผลข้อมูลทำตามคำสั่งของผู้ควบคุมเท่านั้น และวรรคสามบังคับให้ผู้ควบคุมจัดทำข้อตกลงกับผู้ประมวลผล ข้อตกลงนี้คือสิ่งที่เรียกกันว่า DPA (Data Processing Agreement)

เมื่อผู้ให้บริการ AI ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งของบริษัท ให้ขอ DPA แล้วอ่านเรื่องระยะเวลาเก็บข้อมูล การลบ การนำข้อมูลไปเทรนโมเดล และผู้รับช่วงประมวลผล ทางที่ง่ายกว่านั้นคือไม่ส่งข้อมูลส่วนบุคคลตั้งแต่แรก ใช้ข้อมูลสังเคราะห์หรือข้อมูลที่ปิดบังแล้วในการเทสต์ และกรอง log ก่อนส่ง โดยเฉพาะข้อมูลอ่อนไหวตามมาตรา 26 เช่น ข้อมูลสุขภาพ ซึ่งมีเงื่อนไขเข้มกว่าข้อมูลทั่วไป

ส่งข้อมูลให้ AI ที่อยู่ต่างประเทศผิด PDPA ไหม

การส่งข้อมูลส่วนบุคคลให้ผู้ให้บริการ AI ในต่างประเทศไม่ผิดในตัวเอง แต่ต้องเข้าเงื่อนไขมาตรา 28 หรือ 29 ของ PDPA คือประเทศปลายทางมีมาตรฐานคุ้มครองที่เพียงพอ เข้าข้อยกเว้นที่กฎหมายกำหนด หรือมีมาตรการคุ้มครองที่เหมาะสมตามที่คณะกรรมการประกาศ

คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลออกประกาศหลักเกณฑ์ตามมาตรา 28 และมาตรา 29 แล้ว โดยมีผลตั้งแต่ 24 มีนาคม 2567 ในทางปฏิบัติ ให้ถามผู้ให้บริการ AI ว่าประมวลผลข้อมูลที่ประเทศไหน และ DPA มีข้อสัญญาเรื่องการโอนข้อมูลข้ามประเทศที่ใช้กับกฎหมายไทยได้หรือไม่

รายละเอียดขึ้นกับประเภทข้อมูลและสัญญาแต่ละฉบับ ก่อนส่งข้อมูลส่วนบุคคลจริงให้ AI ตัวใด ควรปรึกษาฝ่ายกฎหมายหรือเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ของบริษัท และอ่านประกาศฉบับเต็มบนเว็บไซต์ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล บทความนี้เป็นข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย

ซื้อ AI จากผู้ให้บริการต่างประเทศ ต้องทำเอกสารภาษีอย่างไร

บริษัทที่จด VAT และซื้อบริการ AI จากผู้ให้บริการต่างประเทศ ต้องยื่นแบบ ภ.พ.36 นำส่ง VAT เอง แล้วใช้ใบเสร็จของกรมสรรพากรเป็นหลักฐานหักภาษีซื้อ ส่วนผู้ให้บริการ e-Service ต่างประเทศที่จด VAT ในไทยจะเก็บ VAT จากผู้ใช้ที่ไม่ได้จด VAT และไม่มีสิทธิออกใบกำกับภาษี

ภาษี e-Service เริ่มใช้ 1 กันยายน 2564 ตามกฎกระทรวงฉบับที่ 377 (พ.ศ. 2564) ผู้ให้บริการต่างประเทศที่ขายบริการให้ผู้ใช้ในไทยที่ไม่ได้จด VAT และมีรายได้เกิน 1.8 ล้านบาท ต้องจด VAT ผ่านระบบ VES ของกรมสรรพากร ส่วนกำหนดยื่น ภ.พ.36 ตามคำสั่งกรมสรรพากรที่ ป.104/2544 คือภายใน 7 วันนับแต่สิ้นเดือนที่จ่ายเงิน และนำ VAT ไปเป็นภาษีซื้อในเดือนภาษีที่ยื่นแบบ

เก็บใบแจ้งหนี้ในนามบริษัท หลักฐานการจ่ายเงิน และใบเสร็จ ภ.พ.36 ไว้ด้วยกันทุกเดือน การจ่ายเงินไปต่างประเทศบางประเภทอาจมีเรื่องภาษีหัก ณ ที่จ่ายด้วย ให้นักบัญชีของบริษัทพิจารณาตามลักษณะของรายจ่ายก่อนจ่ายรอบแรก

เริ่มใช้ AI coding agent ทั้งทีมควรทำอย่างไร

ทางที่เสี่ยงน้อยที่สุดคือเริ่มจาก pilot 2–3 คนในโปรเจกต์ที่ไม่มีข้อมูลลูกค้า 4–6 สัปดาห์ เขียนนโยบายการใช้งานเป็นลายลักษณ์อักษรระหว่างนั้น ใส่กฎของโปรเจกต์ไว้ใน AGENTS.md หรือ CLAUDE.md แล้ววัดผลก่อนขยายให้ทั้งทีม

1. เลือกคนและโปรเจกต์ pilot คนที่อยากลองและรีวิวโค้ดเก่ง กับโปรเจกต์ภายในที่มีเทสต์พอสมควร
2. เขียนนโยบายหนึ่งหน้า ระบุเครื่องมือและบัญชีที่อนุญาต ห้ามใช้บัญชีส่วนตัว ข้อมูลที่ห้ามส่ง (ข้อมูลลูกค้า secret และโค้ดที่ติด NDA) ทุกการแก้ต้องผ่าน PR ใครถือ key และต้องทำอะไรเมื่อสงสัยว่าข้อมูลรั่ว
3. เขียนกฎของโปรเจกต์ ให้ agent อ่านทุกครั้งที่เริ่มงาน ดูวิธีเขียนที่ CLAUDE.md และ AGENTS.md เขียนอย่างไร
4. วัดผล เทียบกับช่วงก่อนใช้ เช่น เวลาตั้งแต่เปิดจนปิด PR สัดส่วน PR ที่ต้องแก้ซ้ำ บั๊กที่หลุดถึงผู้ใช้ ค่าใช้จ่ายต่อคน และความเห็นของทีม
5. ขยายทีละกลุ่ม อบรมสั้นๆ ก่อนเปิดสิทธิ์ แล้วทบทวนนโยบายทุกไตรมาส

# AGENTS.md
## คำสั่ง
- รันเทสต์: pnpm test
## ข้อห้าม
- ห้ามเปิดไฟล์ใน data/prod/ และไฟล์ .env
- ใช้ข้อมูลทดสอบจาก fixtures/ เท่านั้น ห้ามใช้ข้อมูลลูกค้าจริง

buzzAI สำหรับทีมและบริษัท

buzzAI เป็น API แบบเหมาจ่ายสำหรับ coding agent ใช้กับ Claude Code, Codex CLI และเครื่องมือที่ตั้ง base URL แบบ OpenAI-compatible ได้ ไม่คิดค่า token และไม่มีโควตารายวันหรือรายสัปดาห์ แพ็กบริษัท (Studio, Starter, Team, Business) รัน agent ได้ 1–8 ตัวพร้อมกันตามแพ็ก ทุกแพ็กได้ context 256K ออกใบเสร็จและใบกำกับภาษีในนามบริษัทได้ มี DPA ตั้งแต่แพ็ก Starter ขึ้นไป และเริ่มต้นที่ ฿7,900 ต่อเดือนก่อน VAT สิ่งที่มีขอบเขตคือจำนวน agent ที่รันพร้อมกัน ขนาด context และคิวในช่วงที่คนใช้เยอะ เราไม่เอาข้อมูลหรือโค้ดของคุณไปเทรนโมเดล

ตอนนี้ API ยังไม่เปิดใช้ทั่วไป เรากำลังเปิดให้ขอร่วมทดสอบรอบที่ 1 และจะส่ง API key ให้ทางอีเมลเมื่อมีผู้สมัครครบโควต้าที่กำหนด ดูรายละเอียดแพ็กบริษัทได้ที่หน้าราคา