FTC CID คือคำสั่งเรียกข้อมูลเพื่อสอบสวนทางแพ่ง (Civil Investigative Demand) ที่คณะกรรมาธิการการค้าสหรัฐ (FTC) ใช้ให้บริษัทส่งเอกสารและตอบคำถามระหว่างสอบสวน Axios รายงานว่า FTC ส่ง CID ถึง OpenAI และ Anthropic แล้ว เรื่องเหตุด้านความปลอดภัยของ AI agent บทความอัปเดตนี้เหมาะกับองค์กรไทยที่ใช้ API ของสองบริษัท อ่านแล้วจะรู้ว่าต้องตรวจสัญญา AI ตรงไหน
ลองนึกภาพบริษัทไทยขนาด 50 คน (ตัวอย่างสมมติ) ที่ต่อ AI agent เข้ากับระบบ CRM ผ่าน API ของผู้ให้บริการสหรัฐ แล้ววันหนึ่งผู้ให้บริการรายนั้นถูกสอบสวน เรื่องแบบนี้กระทบสัญญา บันทึกการใช้งาน และเงื่อนไขที่บริษัทเซ็นไว้ เหตุการณ์เริ่มต้นของการสอบสวนอ่านได้ใน FTC สอบสวน OpenAI, Anthropic และแล็บ AI เรื่องความปลอดภัยของ AI agent เตรียมออกคำสั่งเรียกเอกสารและผู้บริหาร องค์กรไทยที่ใช้ AI agent ต้องแก้สัญญาอะไร บทความนี้เล่าเฉพาะสิ่งที่เพิ่มขึ้นมา
สรุปสั้น: Axios รายงานว่า FTC ส่ง FTC CID ถึง OpenAI และ Anthropic แล้ว แต่ละฉบับยาวเกิน 50 หน้า และ FTC วางแผนเรียกผู้บริหารระดับสูงให้ถ้อยคำ CID เป็นขั้นเก็บพยานหลักฐานก่อนตัดสินใจฟ้อง ไม่ใช่ข้อสรุปว่าผิด องค์กรไทยที่พึ่งผู้ขายสองรายนี้ควรตรวจสัญญาเรื่องการแจ้งเหตุ สิทธิ์ตรวจสอบ สิทธิ์ยกเลิก และบันทึกการใช้งานของตัวเอง
FTC CID คืออะไร และ FTC ส่งอะไรถึง OpenAI กับ Anthropic แล้ว
FTC CID คือหนังสือบังคับให้บริษัทที่ถูกสอบสวนส่งเอกสาร ข้อมูล และคำตอบเป็นลายลักษณ์อักษรให้หน่วยงาน ใช้ในขั้นสอบสวนทางแพ่งก่อนจะมีการฟ้องหรือไม่ฟ้อง Axios เป็นต้นข่าวที่รายงานการส่ง CID ครั้งนี้ และ CBS News รายงานว่าโฆษกของ FTC ยืนยันว่ามีการสอบสวนอยู่
ข่าวนี้ต่อจากเดิมตรงที่ FTC ไม่ได้เพียงเปิดสอบสวนและเตรียมออกคำสั่งอีกแล้ว แต่ส่งคำสั่งออกไปแล้ว ตามแหล่งข่าวของ Axios แต่ละฉบับยาวเกิน 50 หน้า รายงานของสื่อแต่ละแห่งระบุวันที่ต่างกันเล็กน้อยในช่วง 14–15 ตุลาคม 2569 (ค.ศ. 2026)
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ผู้ส่งคำสั่ง | FTC สหรัฐ |
| ผู้รับคำสั่ง | OpenAI และ Anthropic |
| ความยาว | แต่ละฉบับเกิน 50 หน้า (ตามแหล่งข่าวของ Axios) |
| ขอบเขต | เหตุด้านความปลอดภัย มาตรการป้องกัน เอกสารการตลาด นโยบายความเป็นส่วนตัว |
| ขั้นต่อไปที่รายงาน | บังคับให้ผู้บริหารระดับสูงให้ถ้อยคำ และขอข้อมูลจาก METR กับองค์กรบุคคลที่สาม |
| ที่ยังไม่ทราบ | กำหนดเวลาตอบกลับ และบทบัญญัติที่ FTC อ้าง ต้นข่าวไม่ระบุ |
ฝั่งบริษัท ตามที่ Axios รายงาน OpenAI ระบุว่าจะ “engage constructively” กับการสอบสวน ส่วนคำชี้แจงของ Anthropic ยังไม่พบในรายงานที่ใช้อ้างอิงบทความนี้ ต้นข่าวยังไม่อ้างบทบัญญัติเฉพาะ และยังไม่มีกำหนดเวลาตอบกลับที่เปิดเผย ทุกอย่างจึงยังเป็นขั้นสอบสวน ไม่ใช่ข้อสรุปว่าบริษัทใดละเมิดกฎหมาย
สื่อรายงานด้วยว่าช่วงเวลาใกล้กัน มี 8 รัฐสหรัฐฟ้อง OpenAI เรื่องความปลอดภัยเด็ก ซึ่งเป็นคนละเรื่องกับ CID อ่านเรื่องนั้นได้ใน 8 รัฐสหรัฐฯ ฟ้อง OpenAI พร้อมกัน อ้าง ChatGPT หลอกผู้ปกครองเรื่องความปลอดภัยเด็ก ผู้ให้บริการ AI ไทยต้องเช็กอะไร
FTC CID ถึง OpenAI และ Anthropic กระทบธุรกิจไทยอย่างไร
FTC CID ถึง OpenAI และ Anthropic ไม่ได้ทำให้องค์กรไทยมีหน้าที่ใหม่ตามกฎหมายไทย เพราะไทยไม่ใช่คู่ความ แต่กระทบทางอ้อมผ่านสัญญา ผู้ให้บริการ และหลักฐานที่ลูกค้าไทยเก็บไว้ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน ไม่ใช่ข้อความจากต้นข่าว
สัญญา AI vendor ของบริษัทไทยถูกดึงเข้าเรื่องนี้ได้หรือไม่
สัญญากับผู้ให้บริการ AI อาจถูกอ้างเป็นเอกสารประกอบได้ในทางปฏิบัติ เพราะขอบเขตของ CID ครอบคลุมเอกสารการตลาดและนโยบายความเป็นส่วนตัวของผู้ให้บริการ เมื่อผู้ให้บริการต้องรวบรวมเอกสารจำนวนมาก สิ่งที่โฆษณาไว้กับลูกค้าก็อยู่ในสายตาของผู้สอบสวนไปด้วย
องค์กรไทยจึงควรเก็บสำเนาข้อเสนอขาย เอกสารแนะนำผลิตภัณฑ์ และเงื่อนไขการใช้งานฉบับที่เซ็นไว้ ถ้าวันหนึ่งผู้ให้บริการแก้ข้อความ บริษัทจะเทียบได้ว่าอะไรเปลี่ยนไป
ผู้ให้บริการอาจแก้ข้อกำหนดการใช้งานหรือการเก็บ log อย่างไร
ผู้ให้บริการที่ถูกสอบสวนมักทบทวนข้อกำหนดการใช้งาน นโยบายความปลอดภัย และวิธีบันทึกเหตุของตัวเอง ข้อนี้เป็นการคาดการณ์ ไม่ใช่สิ่งที่ต้นข่าวยืนยัน แต่เป็นความเสี่ยงที่ลูกค้าควรเตรียมรับ
ผลที่ตามมาแบบใกล้ตัวคือ การแจ้งแก้เงื่อนไขทางอีเมลที่มีผลภายในเวลาสั้น ๆ ถ้าไม่มีใครในบริษัทรับผิดชอบอ่านประกาศพวกนี้ บริษัทอาจถือว่ายอมรับเงื่อนไขใหม่โดยไม่รู้ตัว โดยเฉพาะเรื่องการเก็บข้อมูล ระยะเวลาเก็บ log และสิทธิ์ของลูกค้าเมื่อเกิดเหตุ
องค์กรที่ใช้ AI agent กับข้อมูลลูกค้าควรอ่านสัญญาณนี้อย่างไร
สัญญาณคือการกำกับ AI ในสหรัฐเริ่มเดินจากแนวสมัครใจไปสู่การใช้กฎหมายคุ้มครองผู้บริโภคที่มีอยู่แล้ว ตามมุมมองของผู้เขียน ตัวเอกสาร CID เป็นขั้นเก็บพยานก่อนฟ้อง และการเรียกผู้บริหารให้ถ้อยคำเป็นขั้นที่หนักกว่าการขอเอกสาร
สำหรับองค์กรไทย ข้อสรุปคือการอ้างว่า “ผู้ขายรับรองว่าปลอดภัย” อาจไม่พอเมื่อมีเรื่องจริง ทิศทางที่ควรเตรียมคือบันทึกการใช้งานของตัวเอง และเงื่อนไขในสัญญาที่ให้ลูกค้าได้รับแจ้งเหตุ แนวทางคุมสิทธิ์ของ AI agent ฝั่งองค์กรเองอ่านเพิ่มได้ใน Agentic AI Governance: ธุรกิจไทยต้องควบคุมสิทธิ์ AI Agent อย่างไร
บริบทฝั่งทำเนียบขาวซึ่งให้บริษัท AI ลงนามข้อตกลงกำกับตัวเองสรุปไว้ใน ทำเนียบขาวให้ 6 บริษัท AI ลงนามข้อตกลงกำกับตัวเอง พร้อมคำสั่งเรียก AI ว่า Super Intelligence องค์กรไทยที่ใช้ AI สหรัฐฯ ต้องเตรียมเอกสารอะไร
ถ้าไม่ทำอะไรเลย องค์กรไทยเสี่ยงอะไร
ถ้าไม่ทำอะไร องค์กรเสี่ยงสามเรื่อง เรื่องแรก สัญญาไม่มีข้อให้ผู้ขายแจ้งเหตุหรือแจ้งการสอบสวน บริษัทจึงรู้ข่าวจากสื่อก่อนรู้จากผู้ขาย เรื่องที่สอง ไม่มีสิทธิ์ตรวจสอบหรือยกเลิกสัญญาเมื่อผู้ขายถูกสอบสวนหนักขึ้น ต้องใช้บริการต่อไปทั้งที่ความเสี่ยงเปลี่ยน
เรื่องที่สาม บันทึกการใช้งานอยู่ที่ผู้ขายฝ่ายเดียว ถ้าผู้ขายเปลี่ยนวิธีเก็บหรือระยะเวลาเก็บ บริษัทจะพิสูจน์ย้อนหลังไม่ได้ว่า agent ทำอะไรกับข้อมูลลูกค้า ซึ่งเป็นปัญหาโดยตรงเมื่อต้องอธิบายต่อ สคส. ในกรณีข้อมูลส่วนบุคคลรั่ว
องค์กรไทยที่ใช้ AI agent ควรทำอะไรตอนนี้
องค์กรไทยที่ใช้ API หรือ AI agent ของ OpenAI และ Anthropic ควรทำ 4 เรื่องกับสัญญาและระบบของตัวเอง ทำได้โดยไม่ต้องรอผลการสอบสวน
- 1. ตรวจข้อแจ้งเหตุในสัญญา หาข้อที่ให้ผู้ขายแจ้งเมื่อเกิดเหตุด้านความปลอดภัยหรือเมื่อถูกหน่วยงานรัฐสอบสวน ถ้าไม่มี ให้ขอเพิ่มตอนต่ออายุ
- 2. ตรวจสิทธิ์ตรวจสอบและสิทธิ์ยกเลิก ดูว่าบริษัทขอรายงานความปลอดภัยได้หรือไม่ และเลิกสัญญาได้โดยไม่เสียค่าปรับเมื่อความเสี่ยงของผู้ขายเปลี่ยนไปหรือไม่
- 3. เก็บบันทึกการใช้งานของตัวเอง ให้ระบบฝั่งบริษัทจดว่า agent เรียกใช้อะไร ใช้ข้อมูลชุดไหน ไม่พึ่งบันทึกของผู้ขายอย่างเดียว
- 4. ตั้งคนอ่านประกาศแก้เงื่อนไข กำหนดผู้รับผิดชอบติดตามอีเมลและหน้าข้อกำหนดของผู้ขาย พร้อมเก็บสำเนาเงื่อนไขทุกฉบับที่เคยใช้
ถ้าต้องการคนช่วยทบทวนสัญญาและนโยบายกำกับ AI ดูได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ CID ยังไม่ใช่คำตัดสิน แต่เป็นสัญญาณว่าคำโฆษณาเรื่องความปลอดภัยของบริษัท AI กำลังถูกตรวจเหมือนคำโฆษณาสินค้าทั่วไป ถ้าผู้ขายต้องพิสูจน์ต่อรัฐว่าที่พูดกับลูกค้าเป็นความจริง ลูกค้าก็ควรขอให้เขียนคำพูดนั้นลงสัญญาด้วย จุดที่องค์กรมักพลาดคือเชื่อหน้าเว็บของผู้ขายแทนที่จะเขียนเป็นข้อผูกพัน
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ FTC CID
FTC CID แปลว่าอะไร และเท่ากับการฟ้องหรือไม่
FTC CID คือคำสั่งเรียกข้อมูลเพื่อสอบสวนทางแพ่ง ไม่เท่ากับการฟ้อง เป็นขั้นหาข้อเท็จจริงก่อนที่ FTC จะตัดสินใจว่าจะดำเนินการต่อหรือไม่ การได้รับ CID จึงไม่ใช่ข้อสรุปว่าบริษัทผิด
Axios รายงานว่า FTC ขออะไรจาก OpenAI และ Anthropic
ตามรายงานของ Axios คำสั่งแต่ละฉบับยาวเกิน 50 หน้า ครอบคลุมเหตุด้านความปลอดภัย มาตรการป้องกัน เอกสารการตลาด และนโยบายความเป็นส่วนตัว FTC ยังวางแผนเรียกผู้บริหารระดับสูงให้ถ้อยคำ และขอข้อมูลจาก METR กับองค์กรบุคคลที่สาม
องค์กรไทยที่ใช้ ChatGPT หรือ Claude ต้องทำอะไรเพราะข่าวนี้หรือไม่
ไม่มีหน้าที่ใหม่ตามกฎหมายไทยจากข่าวนี้ แต่ควรตรวจสัญญาเรื่องการแจ้งเหตุ สิทธิ์ตรวจสอบ สิทธิ์ยกเลิก และเก็บบันทึกการใช้งานของตัวเอง เพราะผู้ให้บริการอาจแก้ข้อกำหนดหรือวิธีบันทึกเหตุระหว่างการสอบสวน
การสอบสวนนี้มีกำหนดเวลาตอบกลับเมื่อไร
ยังไม่พบกำหนดเวลาตอบกลับที่เปิดเผยในรายงานที่ใช้อ้างอิง ต้นข่าวไม่อ้างบทบัญญัติเฉพาะด้วย ผู้อ่านควรติดตามประกาศของ FTC และคำชี้แจงของแต่ละบริษัท
แหล่งอ้างอิง
- The Next Web — FTC subpoenas OpenAI and Anthropic over AI safety incidents (อ่านต้นฉบับ) — อ่านข่าวที่ The Next Web
- Axios — ต้นข่าวการส่ง CID (อ่านต้นฉบับ) — อ่านข่าวที่ Axios
- Forkast — FTC shifts AI oversight toward structural safety discovery (อ่านต้นฉบับ) — อ่านข่าวที่ Forkast
- CBS News — รายงานคำยืนยันของโฆษก FTC (ตามที่ระบุใน brief ไม่มีลิงก์เฉพาะ)
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
