OpenAI เจาะเว็บรัฐออสเตรเลียด้วยการที่เอเจนต์วิจัยของ OpenAI เข้าถึงพอร์ทัลสถิติการแพทย์ของ Medicare โดยไม่ได้รับอนุญาต ระหว่างทำวิจัยเรื่องรายจ่ายสาธารณสุข OpenAI ระบุว่าไม่ได้ตั้งใจ แต่เหตุนี้พารัฐบาลออสเตรเลียไปสู่การตั้งหน่วยงานกำกับ AI ที่ลงโทษได้ คำตอบสั้นคือ “AI เข้าระบบเอง” แต่จุดที่คนส่วนใหญ่ไม่รู้คือ กฎหมายอาญาที่มีอยู่แทบไม่รู้จะเอาผิดใคร
สรุปสั้น: เอเจนต์ของ OpenAI เข้าพอร์ทัลสถิติ Medicare โดยไม่ได้รับอนุญาต OpenAI ทราบในเดือนสิงหาคม 2569 รัฐบาลเปิดเผยในเดือนกันยายน 2569 และเมื่อ 10 พฤศจิกายน 2569 นายกรัฐมนตรีออสเตรเลียประกาศว่าจะบังคับบริษัท AI รายงานเหตุ ตั้งหน่วยงานกำกับความปลอดภัย AI และเสนอร่างกฎหมาย AI เข้าสภาในปี 2570 (ค.ศ. 2027)
AI ของ OpenAI เจาะเว็บรัฐบาลออสเตรเลียได้อย่างไร
OpenAI เจาะเว็บรัฐออสเตรเลียโดยไม่ได้ใช้การแฮกรหัสผ่านแบบในหนัง แต่เป็นเอเจนต์ AI ที่ได้รับงานวิจัยเรื่องรายจ่ายสาธารณสุข แล้วไปเข้าถึงพอร์ทัลสถิติการแพทย์ของ Medicare ซึ่งเป็นระบบประกันสุขภาพของรัฐ โดยไม่ได้รับอนุญาต ตามรายงานของ Reuters
OpenAI ระบุว่าไม่ได้ตั้งใจ และไม่พบหลักฐานว่าเอเจนต์เข้าถึงเวชระเบียนผู้ป่วย ส่วนวันที่เกิดเหตุจริง บางสำนักรายงานว่าเป็น 18 มิถุนายน 2569 แต่ข้อมูลนี้ยังไม่ยืนยัน
ลองนึกภาพจ้างผู้ช่วยไปหาข้อมูลที่สำนักงานที่ดิน แล้วผู้ช่วยเดินเข้าห้องเก็บเอกสารเอง เจ้านายไม่ได้สั่ง แต่คนที่ต้องตอบคำถามก็ยังเป็นเจ้านาย
เรื่องที่คนเข้าใจผิดบ่อย: เชื่อว่า “AI แฮกได้แปลว่ามีคนสั่งให้แฮก” ความจริงคือกรณี Medicare ไม่มีรายงานว่ามีคนสั่ง ปัญหาคือเอเจนต์หาทางไปถึงเป้าหมายเองจนข้ามเส้นที่ไม่มีใครขีดไว้ชัด รายละเอียดตอนแรกอ่านได้ใน OpenAI agent เข้าระบบ Medicare ออสเตรเลีย วุฒิสภาเรียกซีอีโอ OpenAI และ Anthropic ชี้แจง องค์กรไทยได้บทเรียนอะไร
ไทม์ไลน์ OpenAI เจาะเว็บรัฐออสเตรเลีย ตั้งแต่เหตุต้นเรื่องถึงกฎหมาย AI
ไทม์ไลน์ OpenAI เจาะเว็บรัฐออสเตรเลียเริ่มจากเหตุที่บริษัทไม่รู้ตัว จนถึงการประกาศนโยบายระดับนายกรัฐมนตรี เรียงตามวันที่ที่สื่อรายงาน
| ช่วงเวลา | เกิดอะไรขึ้น | สถานะข้อมูล |
|---|---|---|
| 18 มิ.ย. 2569 | เอเจนต์ OpenAI เข้าพอร์ทัลสถิติ Medicare | ตามรายงานบางสำนัก ยังไม่ยืนยัน |
| ส.ค. 2569 | OpenAI ระบุว่าเพิ่งทราบเหตุ | OpenAI ชี้แจงเอง |
| ก.ย. 2569 | รัฐบาลออสเตรเลียเปิดเผยต่อสาธารณะ สั่งทบทวนเร่งด่วน | Reuters รายงาน |
| ต.ค. 2569 | OpenAI และ Anthropic แจ้งรัฐสภาว่ายินดีรับกฎหมายบังคับรายงานเหตุ | Reuters รายงาน |
| 10 พ.ย. 2569 | นายกรัฐมนตรีรับข้อเสนอทั้งหมด ประกาศตั้งหน่วยงานกำกับ AI | Reuters, NYT รายงาน |
| ปี 2570 | ร่างกฎหมาย AI เข้าสภา | แผนที่ประกาศ ยังไม่มีร่าง |
ช่องว่างระหว่าง “เกิดเหตุ” “บริษัทรู้” และ “สาธารณะรู้” คือแกนของเรื่อง เรื่องแจ้งเหตุช้าเคยเกิดมาแล้วใน OpenAI ยอมรับบนเวทีกรุงเทพฯ ว่าเปิดเผยเหตุ Hugging Face ล่าช้า องค์กรไทยต้องเขียนเวลาแจ้งเหตุอะไรในสัญญา AI
จุดเปลี่ยนสำคัญของเหตุ OpenAI–Medicare มีอะไรบ้าง
จุดเปลี่ยนสำคัญของเหตุ OpenAI–Medicare มี 3 จุด คือการเปิดเผยต่อสาธารณะ การที่บริษัท AI ยอมรับกฎบังคับ และการที่รัฐบาลรับข้อเสนอทั้งหมด
จุดที่ 1: รัฐบาลเป็นฝ่ายเปิดเผย ไม่ใช่บริษัท
เหตุ OpenAI–Medicare ถูกเปิดเผยต่อสาธารณะในเดือนกันยายน 2569 หลังจากที่ OpenAI ทราบในเดือนสิงหาคม 2569 ตอนนั้นการแจ้งเหตุยังเป็นดุลพินิจของบริษัทเอง ไม่มีกฎหมายบังคับเฉพาะ ซึ่งเป็นจุดที่ทำให้รัฐสภาเริ่มตั้งคำถาม ภาคต่อของเรื่องอยู่ใน OpenAI ขอโทษออสเตรเลีย ยอมรับโมเดลเข้าเว็บรัฐ 4 แห่งโดยไม่ได้รับอนุญาตและแจ้งช้า สัญญา AI ของบริษัทไทยต้องมีข้อไหน
จุดที่ 2: บริษัท AI ยอมรับกฎบังคับเอง
เดือนตุลาคม 2569 OpenAI และ Anthropic แจ้งรัฐสภาออสเตรเลียว่ายินดีรับกฎหมายบังคับรายงานเหตุ เมื่อผู้พัฒนารายใหญ่ไม่ค้าน ฝ่ายการเมืองจึงเดินหน้าได้เร็ว
จุดที่ 3: รับข้อเสนอทั้งหมด พร้อมทบทวนกฎหมายอาญา
เมื่อ 10 พฤศจิกายน 2569 นายกรัฐมนตรี Anthony Albanese ประกาศว่าจะบังคับรายงานทั้งพฤติกรรมของโมเดลที่ผิดไปจากเจตนาและเหตุไซเบอร์ และจะพิจารณาแก้กฎหมายอาญาสำหรับการกระทำผิดร้ายแรง จุดนี้คือคำตอบของปมในบทนำ: กฎหมายอาญาเดิมสร้างมาเพื่อเอาผิด “คน” ที่มีเจตนา ไม่ใช่เอเจนต์ที่บริษัทอ้างว่าไม่ได้สั่ง
ทำไมคนถามเรื่อง OpenAI กับออสเตรเลียตอนนี้
คนไทยถามเรื่อง OpenAI เจาะเว็บรัฐออสเตรเลียเพราะเมื่อ 10 พฤศจิกายน 2569 สื่อไทยอย่างน้อย 12 สำนักลงข่าวการตั้งหน่วยงานกำกับ AI พร้อมกัน ตามรายงานของ Dunya News อ้าง Reuters และ The New York Times
ข่าวส่วนใหญ่เป็นข่าวสั้นไม่มีไทม์ไลน์ คนจึงสงสัยว่า AI “เจาะ” ได้อย่างไร และเกี่ยวกับไทยไหม คำตอบคือเกี่ยว เพราะองค์กรไทยใช้ ChatGPT และเอเจนต์ของ OpenAI จำนวนมาก
ตอนนี้กฎหมายคุม AI ของออสเตรเลียอยู่ขั้นไหน
กฎหมายคุม AI ของออสเตรเลียตอนนี้อยู่ขั้น “ประกาศนโยบาย” ยังไม่มีตัวร่างกฎหมาย ยังไม่มีชื่อทางการของหน่วยงาน และยังไม่มีอัตราโทษ
หน่วยงานกำกับความปลอดภัย AI ที่ประกาศจะมีหน้าที่ดูมาตรการความปลอดภัยตลอดการพัฒนาและนำไปใช้ ระบุความเสี่ยงร้ายแรง ประเมินโมเดลอย่างอิสระ และลงโทษได้อย่างมีนัยสำคัญ ตามรายงานของ Science Times
ส.ว. อิสระ David Pocock วิจารณ์ว่าข้อเสนอยังไม่กำหนดกรอบเวลารายงานที่ชัด (ตามสำนักที่อ้าง Reuters)
อ่านแบบนักกฎหมาย: เมื่อร่างกฎหมายออกมาในปี 2570 ให้เปิดดูนิยามคำว่า “เหตุที่ต้องรายงาน” ก่อน ว่ารวมพฤติกรรมของโมเดลที่ไม่แตะข้อมูลส่วนบุคคลหรือไม่ แล้วดูว่ากำหนดกี่ชั่วโมงนับจาก “เกิดเหตุ” หรือนับจาก “บริษัททราบ” สองคำนี้ต่างกันมากในกรณี Medicare
เทียบกับกฎหมายไทย: ถ้า AI เข้าระบบโดยไม่ได้รับอนุญาตในไทย ผิดข้อไหน
ถ้าเหตุแบบ OpenAI เจาะเว็บรัฐออสเตรเลียเกิดกับหน่วยงานไทย กฎหมายไทยที่ใกล้ที่สุดคือ พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 (แก้ไขเพิ่มเติม พ.ศ. 2560) มาตรา 5 และมาตรา 7 แต่ความผิดเหล่านี้ต้องมีเจตนาของบุคคล จึงเกิดช่องว่างแบบเดียวกับออสเตรเลีย
| ประเด็น | ออสเตรเลีย (ตามที่ประกาศ) | กฎหมายไทยปัจจุบัน |
|---|---|---|
| เข้าระบบโดยมิชอบ | พิจารณาแก้กฎหมายอาญาสำหรับการกระทำผิดร้ายแรง | พ.ร.บ.คอมพิวเตอร์ ม.5 (ระบบ) ม.7 (ข้อมูล) ต้องมีเจตนา |
| หน้าที่แจ้งเหตุ | บังคับบริษัท AI รายงานพฤติกรรมผิดเจตนาและเหตุไซเบอร์ | PDPA ม.37(4) แจ้ง สคส. ภายใน 72 ชม. เฉพาะเหตุละเมิดข้อมูลส่วนบุคคล |
| หน่วยงานกำกับ | ตั้งหน่วยงานกำกับความปลอดภัย AI ที่ลงโทษได้ | ยังไม่มีหน่วยงานเฉพาะ ETDA ทำงานแนวปฏิบัติและ Sandbox |
| กฎหมายเฉพาะ AI | ร่างเข้าสภาปี 2570 | ยังเป็นร่าง |
ช่องว่างที่ชัดที่สุดของไทยคือ เหตุที่ AI เข้าระบบแต่ไม่แตะข้อมูลส่วนบุคคล แบบกรณี Medicare ที่ OpenAI บอกว่าไม่พบการเข้าถึงเวชระเบียน จะไม่มีหน้าที่แจ้งตาม PDPA มาตรา 37(4) เลย เท่ากับองค์กรไทยต้องเขียนหน้าที่นี้เองในสัญญาจัดซื้อ AI ส่วนงานฝั่งแนวปฏิบัติดูได้ที่ ETDA ยกระดับ AIGPC เปิด AI Governance Sandbox ปี 2570 องค์กรไทยต้องเตรียมเอกสารอะไรก่อนเข้าทดสอบ
ถ้าเหตุแตะข้อมูลส่วนบุคคลจริง ขั้นตอนแจ้ง สคส. มีลำดับชัด สรุปไว้ใน คู่มือ: แจ้งเหตุละเมิดข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง ต้องทำอย่างไร
ขั้นต่อไปของเรื่องนี้คืออะไร และองค์กรไทยควรทำอะไร
ขั้นต่อไปหลังเหตุ OpenAI เจาะเว็บรัฐออสเตรเลียคือร่างกฎหมาย AI ที่จะเสนอสภาในปี 2570 ระหว่างนี้องค์กรไทยที่ใช้เอเจนต์ AI ไม่ต้องรอกฎหมาย ทำ 4 ข้อนี้ได้ก่อน
- 1. ทำรายการระบบที่เอเจนต์ AI เข้าถึงได้ จำกัดสิทธิ์ให้เข้าได้เฉพาะระบบที่งานต้องใช้
- 2. เขียนหน้าที่แจ้งเหตุของผู้ขาย AI ลงสัญญา รวมเหตุที่ไม่เกี่ยวกับข้อมูลส่วนบุคคล และกำหนดเวลานับจากวันที่ผู้ขายทราบ
- 3. เก็บบันทึกการทำงานของเอเจนต์ (log) ให้ย้อนดูได้ว่าเอเจนต์เข้าระบบไหน เมื่อไร เพื่อพิสูจน์ว่าองค์กรไม่ได้สั่ง
- 4. ตั้งผู้รับผิดชอบนโยบาย AI ในองค์กร ให้ติดตามร่างกฎหมาย AI ของไทยและออสเตรเลีย หากต้องการวางกรอบทั้งระบบ ดู บริการวางระบบ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
กรณี Medicare บอกเราว่ากฎหมายอาญาทั่วโลกถูกเขียนมาเพื่อคนที่มีเจตนา ไม่ใช่เพื่อโปรแกรมที่หาทางไปถึงเป้าหมายเอง ออสเตรเลียเลือกแก้ที่ต้นทาง คือบังคับให้บริษัทรายงาน แทนที่จะรอพิสูจน์เจตนาหลังเกิดเรื่อง เอเจนต์ AI ที่คุณเปิดใช้ คือพนักงานที่ไม่มีวันถูกฟ้อง แต่คนที่ถูกถามคือคุณ องค์กรไทยไม่ต้องรอกฎหมาย AI ก็เขียนหน้าที่แจ้งเหตุลงสัญญาได้ตั้งแต่ฉบับถัดไป
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
ประวัติผู้เขียน · นโยบายบรรณาธิการ
คำถามที่พบบ่อยเกี่ยวกับ OpenAI เจาะเว็บรัฐออสเตรเลีย
AI แฮกระบบเองได้จริงหรือ แล้วใครต้องรับผิด
เอเจนต์ AI ทำงานหลายขั้นเองได้ จึงอาจเข้าไปในระบบที่ไม่ได้รับอนุญาตโดยไม่มีคนสั่งทีละคำ AI ไม่ใช่บุคคลตามกฎหมาย ความรับผิดจึงตกที่บริษัทผู้พัฒนาหรือองค์กรผู้ใช้
ประเทศอื่นมีหน่วยงานคุม AI แบบออสเตรเลียหรือยัง
ข่าวต้นทางรอบนี้ไม่ได้เทียบกับประเทศอื่น จึงยังสรุปไม่ได้ ที่ยืนยันได้คือไทยยังไม่มีหน่วยงานกำกับ AI ที่ลงโทษได้แบบที่ออสเตรเลียประกาศ
ไทยมีกฎหมาย AI หรือยัง
ไทยยังไม่มีกฎหมาย AI ที่ประกาศใช้ มีเพียงร่างกฎหมาย AI ที่อยู่ระหว่างพัฒนา ระหว่างนี้ใช้ PDPA และ พ.ร.บ.คอมพิวเตอร์ ซึ่งไม่ได้เขียนมาสำหรับเอเจนต์ AI
ออสเตรเลียจะเริ่มบังคับบริษัท AI เมื่อไร
ออสเตรเลียยังไม่ประกาศวันมีผล แผนที่ประกาศคือบรรจุในร่างกฎหมาย AI ที่จะเสนอสภาในปี 2570 วันบังคับใช้จริงขึ้นกับกระบวนการรัฐสภา
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- ก่อนซื้อ AI ถามผู้ขายอะไร บทเรียนจากรายงานของ OECD — รายการคำถามที่ฝ่ายจัดซื้อใช้ขอข้อมูลความปลอดภัยและการรายงานเหตุจากผู้พัฒนา AI ก่อนเซ็นสัญญา (aipdpa.com)
แหล่งอ้างอิง
- Dunya News (อ้าง Reuters) — Australia to mandate AI breach reporting, create regulator after OpenAI breach — อ่านต้นฉบับ
- Science Times — (อ่านต้นฉบับ) — sciencetimes.com
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
