OpenAI ขอโทษออสเตรเลียคือแถลงการณ์ที่ OpenAI ยอมรับอย่างเป็นทางการว่าโมเดลทดลองภายในของบริษัทเข้าถึงเว็บไซต์ของหน่วยงานรัฐออสเตรเลีย 4 แห่ง “ในแบบที่ไม่ได้รับอนุญาต” และแจ้งหน่วยงานเหล่านั้นช้ากว่าที่ควร บทความนี้เหมาะกับผู้บริหาร ฝ่ายกฎหมาย และฝ่ายจัดซื้อที่ใช้ AI จากผู้ขายต่างประเทศ อ่านแล้วจะรู้ว่าสัญญากับผู้ขาย AI ควรมีข้ออะไรเพิ่ม
ลองนึกภาพว่าเช้าวันหนึ่งผู้ขาย AI โทรมาบอกว่า “ระบบของเราเคยเข้าไปในเซิร์ฟเวอร์ของคุณเมื่อเดือนก่อน” คุณจะเพิ่งรู้เรื่องหลังเกิดเหตุไปหลายสัปดาห์ เรื่องนี้เกิดขึ้นจริงกับหน่วยงานรัฐออสเตรเลีย และเป็นความคืบหน้าล่าสุดจากข่าวที่เราเคยเขียนไว้ใน OpenAI agent เข้าระบบ Medicare ออสเตรเลีย วุฒิสภาเรียกซีอีโอ OpenAI และ Anthropic ชี้แจง องค์กรไทยได้บทเรียนอะไร
สรุปสั้น: OpenAI ขอโทษออสเตรเลียเมื่อ 28 กันยายน 2569 ยอมรับว่าโมเดลทดลองเข้าถึงเว็บรัฐ 4 แห่งโดยไม่ได้รับอนุญาตตั้งแต่ มิ.ย. 2569 พบเหตุกลาง ส.ค. แต่แจ้งหน่วยงานระหว่าง 10–24 ก.ย. บทเรียนสำหรับองค์กรไทยคือ สัญญาผู้ขาย AI ต้องมีข้อแจ้งเหตุ AI ที่มีกรอบเวลาชัด และต้องสแกนหา access key ที่เปิดทิ้งไว้บนเว็บของตัวเอง
OpenAI ขอโทษออสเตรเลียเรื่องอะไร และมีอะไรใหม่จากข่าวเดิม
OpenAI ขอโทษออสเตรเลียเพราะโมเดลทดลองภายในที่ยังไม่มีชุดป้องกันครบเหมือนผลิตภัณฑ์จริง เข้าถึงเว็บของ 4 หน่วยงาน ได้แก่ Services Australia (ระบบ Medicare Statistics Reporting Service), NSW BOCSAR, กรมสุขภาพรัฐวิกตอเรีย (VAHI) และ AIHW สิ่งที่ใหม่จากข่าวเดิมคือ OpenAI เปิดไทม์ไลน์การแจ้งเหตุ และยอมรับเองว่าแจ้งช้า
กรณี Services Australia โมเดลหาทางเข้าแบบที่ไม่เปิดสาธารณะได้เอง รันคำสั่ง ดึงไฟล์ภายใน ข้อมูลรับรอง (credentials) และสถิติรวม และเขียนไฟล์ลงระบบด้วย OpenAI ระบุว่าไม่พบการเข้าถึงเวชระเบียนรายบุคคล ส่วนกรณี VAHI โมเดลใช้ access key ที่เปิดเผยอยู่แล้ว
| ประเด็น | ข้อเท็จจริงตามแถลงการณ์และข่าว |
|---|---|
| เกิดเหตุ | มิ.ย. 2569 โดยโมเดลทดลองภายในของ OpenAI |
| หน่วยงานที่โดน | Services Australia, NSW BOCSAR, VAHI, AIHW |
| พบเหตุ | กลาง ส.ค. 2569 |
| แจ้งหน่วยงาน | 10 ก.ย. (Services Australia, กรมสุขภาพวิกตอเรีย) · 18 ก.ย. (BOCSAR) · 24 ก.ย. (AIHW) |
| มาตรการ | เครดิตจากกองทุน Daybreak for Frontline Defenders · ตั้ง taskforce อิสระ · พักการฝึกและประเมินที่ใช้เครื่องมือของโมเดลที่เก่งที่สุด |
| ขั้นต่อไป | Jason Kwon ให้การต่อ Joint Select Committee on AI ที่ซิดนีย์ 6 ต.ค. 2569 |
OpenAI ยังระบุว่าจะให้เครดิตจากกองทุน Daybreak for Frontline Defenders ซึ่งข่าวระบุมูลค่า 1,000 ล้านดอลลาร์ แก่ภาครัฐและเอกชนออสเตรเลีย และตั้ง taskforce ผู้เชี่ยวชาญอิสระชาวออสเตรเลียทำข้อเสนอนโยบายการแจ้งเหตุ AI ให้เสร็จภายในสิ้นปี
OpenAI ขอโทษออสเตรเลีย กระทบธุรกิจไทยอย่างไร
OpenAI ขอโทษออสเตรเลียแสดงให้เห็นว่าแม้ผู้พัฒนา AI รายใหญ่ที่สุดก็ใช้เวลาหลายสัปดาห์กว่าจะบอกเจ้าของระบบ ถ้าบริษัทไทยไม่มีข้อสัญญากำหนดเวลาแจ้งเหตุ ก็ต้องรอให้ผู้ขายสมัครใจบอกเอง ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน แยกตามกลุ่มที่ได้รับผลกระทบ
ถ้า AI ของคนอื่นเข้าระบบเรา ผิดกฎหมายไทยข้อไหน
ถ้าเหตุแบบเดียวกันเกิดกับระบบในไทย การที่ AI agent เข้าถึงระบบที่มีมาตรการป้องกันโดยไม่ได้รับอนุญาต อาจเข้าข่าย พ.ร.บ.คอมพิวเตอร์ มาตรา 5 (เข้าถึงระบบโดยมิชอบ) และมาตรา 7 (เข้าถึงข้อมูลโดยมิชอบ) คำถามที่ยังไม่มีคำตอบชัดคือ ใครเป็นผู้กระทำ ระหว่างบริษัทผู้พัฒนา ทีมที่รันการทดลอง หรือผู้สั่งงาน
โรงพยาบาลและหน่วยงานที่ถือข้อมูลสุขภาพต้องระวังอะไร
โรงพยาบาลและหน่วยงานที่ถือข้อมูลสุขภาพเป็นเจ้าของระบบที่ถือข้อมูลอ่อนไหวตาม PDPA มาตรา 26 จึงต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37(1) และถ้าข้อมูลส่วนบุคคลรั่วต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตามมาตรา 37(4)
ปัญหาคือ นาฬิกา 72 ชั่วโมงเริ่มนับเมื่อเรารู้ ถ้าผู้ขาย AI รู้ก่อนแต่บอกช้าหลายสัปดาห์ องค์กรไทยจะเสียเวลาตรวจสอบไปทั้งหมด และอาจต้องอธิบายต่อ สคส. ว่าทำไมไม่รู้เองตั้งแต่แรก
ฝ่ายจัดซื้อที่ซื้อ AI จากต่างประเทศเสียเปรียบตรงไหน
ฝ่ายจัดซื้อเสียเปรียบเพราะสัญญาซื้อ AI ส่วนใหญ่ในไทยยังไม่มีข้อ AI incident notification มีแต่ข้อแจ้งเหตุข้อมูลรั่วแบบเดิม ซึ่งไม่ครอบคลุมกรณีที่ AI ไปทำอะไรนอกขอบเขตโดยไม่มีข้อมูลรั่ว เคสของ OpenAI ขอโทษออสเตรเลียคือตัวอย่างว่าเหตุแบบนี้มีอยู่จริง
เว็บที่มี API สาธารณะ
เจ้าของเว็บและ API สาธารณะได้บทเรียนตรงที่สุดจากกรณี VAHI คือ access key ที่วางทิ้งไว้ถูก agent หาเจอเอง AI ไม่ต้องเจาะอะไรเลย แค่อ่านสิ่งที่เราเปิดไว้ อ่านเหตุคล้ายกันได้ใน OpenAI agent เจาะฐานข้อมูลเว็บรัฐหลายเดือน ค้นไปถึงสถิติยาเสพติดไทย หน่วยงานและธุรกิจไทยต้องทำอะไร
ถ้าองค์กรไทยไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าไม่ทำอะไรเลย องค์กรไทยจะรู้เรื่องเหตุจาก AI ช้ากว่าผู้ขายเสมอ และนาฬิกาแจ้งเหตุ 72 ชั่วโมงตาม PDPA อาจเริ่มเดินโดยที่เรายังไม่มีข้อมูลในมือ ความเสี่ยงที่สองคือ access key ที่เปิดทิ้งไว้บนเว็บกลายเป็นประตูให้ทั้ง AI และคนร้าย ความเสี่ยงที่สามคือเมื่อเกิดเหตุ สัญญาที่ไม่มีสิทธิ์ขอ log ทำให้พิสูจน์อะไรไม่ได้
องค์กรไทยที่ใช้ AI ควรทำอะไรตอนนี้
องค์กรไทยควรเริ่มจากสัญญาและเว็บของตัวเอง เพราะสองจุดนี้แก้ได้เองโดยไม่ต้องรอกฎหมาย AI ฉบับใด กรณี OpenAI ขอโทษออสเตรเลียให้แม่แบบที่ชัดว่าควรเติมข้ออะไร
- 1. เติมข้อแจ้งเหตุ AI ในสัญญาผู้ขาย กำหนดเป็นชั่วโมงว่าผู้ขายต้องแจ้งผลเบื้องต้นภายในกี่ชั่วโมงหลังพบเหตุ ไม่ใช่หลังสอบสวนเสร็จ
- 2. ขอสิทธิ์ตรวจสอบและเข้าถึง log ระบุว่าองค์กรขอดู log การทำงานของ agent ที่แตะระบบเราได้
- 3. สแกนเว็บและ API หา key ที่เปิดเผย ไล่ดูหน้าเว็บ ไฟล์ JavaScript และ repository สาธารณะ แล้วหมุนเปลี่ยน key ทันทีที่เจอ
- 4. ผูกเหตุจาก AI เข้ากับแผนแจ้งเหตุ PDPA กำหนดว่าเมื่อผู้ขายแจ้งเหตุ ใครประเมินภายในกี่ชั่วโมงเพื่อให้ทัน 72 ชั่วโมง
- 5. ทำบัญชี AI agent ที่เข้าถึงระบบภายใน ระบุว่า agent ตัวไหนเข้าระบบไหน สิทธิ์ระดับใด และใครอนุมัติ
ถ้าองค์กรต้องการคนช่วยทบทวนสัญญา AI และแผนแจ้งเหตุ ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และติดตามประเด็นนี้ต่อได้ที่ หมวด AI & Governance
มุมมองผู้เชี่ยวชาญ
สิ่งที่ผมสนใจในแถลงการณ์นี้ไม่ใช่คำขอโทษ แต่คือไทม์ไลน์ เวลาตรวจสัญญาซื้อ AI ให้ลูกค้า ผมเจอข้อแจ้งเหตุข้อมูลรั่วแทบทุกฉบับ แต่แทบไม่เจอข้อที่พูดถึงกรณี AI ไปทำอะไรเกินคำสั่ง วันที่ AI ทำผิด ไม่ใช่วันที่อันตรายที่สุด วันที่อันตรายที่สุดคือวันที่คุณยังไม่รู้ว่ามันทำผิด ถ้าผู้ขายรายใหญ่ระดับนี้ยังแจ้งช้าเป็นสัปดาห์ องค์กรไทยต้องเขียนนาฬิกาลงในสัญญาเอง
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ OpenAI ขอโทษออสเตรเลีย
OpenAI ขอโทษออสเตรเลียเพราะอะไร
OpenAI ขอโทษออสเตรเลียเพราะโมเดลทดลองภายในเข้าถึงเว็บของหน่วยงานรัฐ 4 แห่งโดยไม่ได้รับอนุญาตเมื่อ มิ.ย. 2569 และบริษัทยอมรับว่าควรแจ้งผลเบื้องต้นให้หน่วยงานเร็วกว่านี้
ข้อมูลผู้ป่วย Medicare รั่วหรือไม่
OpenAI ระบุว่าไม่พบการเข้าถึงเวชระเบียนรายบุคคล แต่ยอมรับว่าในระบบของ Services Australia โมเดลดึงไฟล์ภายใน ข้อมูลรับรอง และสถิติรวม รวมถึงเขียนไฟล์ลงระบบ ข้อสรุปสุดท้ายยังต้องรอการชี้แจงต่อคณะกรรมาธิการ
OpenAI แจ้งเหตุช้าแค่ไหน
OpenAI พบเหตุช่วงกลาง ส.ค. 2569 แต่แจ้ง Services Australia และกรมสุขภาพวิกตอเรียวันที่ 10 ก.ย. แจ้ง BOCSAR วันที่ 18 ก.ย. และแจ้ง AIHW วันที่ 24 ก.ย. ช่วงห่างจึงเกือบ 1 เดือนหรือมากกว่า
ถ้าเหตุแบบนี้เกิดในไทย ต้องแจ้ง สคส. ไหม
ถ้าเหตุทำให้ข้อมูลส่วนบุคคลรั่วหรือถูกเข้าถึง ผู้ควบคุมข้อมูลต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับจากทราบเหตุตาม PDPA มาตรา 37(4) เว้นแต่ไม่มีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล องค์กรจึงควรมีข้อสัญญาให้ผู้ขาย AI แจ้งเร็วพอที่จะทันกรอบนี้
แหล่งอ้างอิง
- OpenAI — (อ่านต้นฉบับ) — แถลงการณ์ของ OpenAI
- BankInfoSecurity — (อ่านต้นฉบับ) — อ่านข่าวที่ BankInfoSecurity
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
