OpenAI Private Intelligence คือชุดบริการที่ OpenAI เปิดในงาน DevDay 2026 ให้ระบบตรวจความปลอดภัยอัตโนมัติทำงานกับข้อมูลลูกค้าได้ โดยพนักงานของ OpenAI เข้าถึงเนื้อหาไม่ได้ และข้อมูลเก็บในคลาวด์ที่ลูกค้าควบคุมเอง บทความนี้เหมาะกับ DPO ฝ่ายไอที และผู้บริหารที่ใช้ AI ผ่าน API จะได้รู้ว่าอะไรเปลี่ยน และงานตาม PDPA ข้อไหนยังต้องทำเอง
ลองนึกภาพฝ่ายไอทีของโรงพยาบาลเอกชนที่อยากใช้ AI สรุปเวชระเบียน แต่ติดคำถามเดิมทุกครั้งในห้องประชุมว่า “คนของ OpenAI จะเห็นข้อมูลคนไข้ไหม” OpenAI Private Intelligence คือคำตอบใหม่ของคำถามนั้น แต่ยังไม่ใช่คำตอบสุดท้ายในทางกฎหมาย
สรุปสั้น: OpenAI เปิด Zero Data Retention พร้อม Private Safety Processing (ZDR with PSP) ให้ลูกค้า API ที่เข้าเกณฑ์ ข้อมูลเข้ารหัส เก็บในคลาวด์ของลูกค้า ถอดรหัสเฉพาะในฮาร์ดแวร์ที่รับรองแล้ว และนำไปฝึกโมเดลไม่ได้ องค์กรไทยยังต้องทำ DPIA ตรวจเรื่องส่งข้อมูลไปต่างประเทศ และถามให้ชัดว่า safety signals ที่ส่งกลับไปมีข้อมูลส่วนบุคคลหรือไม่
OpenAI Private Intelligence คืออะไร เปิดตัวเมื่อไร
OpenAI Private Intelligence เป็นชื่อเรียกกลุ่มบริการความเป็นส่วนตัวระดับองค์กรที่ OpenAI เปิดในงาน DevDay 2026 ตามข่าววันที่ 29 กันยายน 2569 ตัวหลักที่ใช้ได้แล้วคือ ZDR with PSP ซึ่งให้ระบบตรวจความปลอดภัยอัตโนมัติทำงานต่อได้ โดยไม่ให้บุคลากรของ OpenAI เข้าถึงเนื้อหา
VentureBeat รายงานรายละเอียดทางเทคนิคว่า ข้อมูลถูกเข้ารหัสและเก็บในพื้นที่จัดเก็บที่ลูกค้าควบคุม ได้แก่ AWS S3, Azure Blob หรือ Google Cloud ข้อมูลจะถูกถอดรหัสเฉพาะใน runtime ที่ฮาร์ดแวร์รับรองแล้ว (hardware-attested) และนำไปฝึกโมเดลไม่ได้
ส่วนอีกตัวคือ Private Inference ซึ่งประมวลผลแบบ confidential computing จะเปิดทดลอง (preview) ในฤดูใบไม้ร่วงนี้ ข่าวยังไม่ระบุโมเดลที่รองรับ ราคา และฮาร์ดแวร์
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| เปิดตัวที่ไหน | งาน DevDay 2026 ของ OpenAI (ข่าว 29 ก.ย. 2569) |
| ใช้ได้แล้ว | ZDR with PSP สำหรับลูกค้า API ที่เข้าเกณฑ์ |
| ที่เก็บข้อมูล | คลาวด์ที่ลูกค้าควบคุม: AWS S3, Azure Blob หรือ Google Cloud |
| การถอดรหัส | เฉพาะใน runtime ที่ฮาร์ดแวร์รับรอง ห้ามใช้ฝึกโมเดล |
| ยังไม่เปิด | Private Inference เปิด preview ฤดูใบไม้ร่วงนี้ ยังไม่ระบุโมเดล ราคา ฮาร์ดแวร์ |
| ไม่ครอบคลุม | แผนผู้บริโภค (ใช้กับบริการระดับองค์กร/API เท่านั้น) |
OpenAI Private Intelligence กระทบธุรกิจไทยอย่างไร
OpenAI Private Intelligence กระทบองค์กรไทยที่เคยชะลอการใช้ AI เพราะกลัวผู้ให้บริการมองเห็นข้อมูล ข้ออ้างนั้นเบาลง แต่หน้าที่ตาม PDPA ไม่ได้หายไป ส่วนนี้เป็นการวิเคราะห์ของผู้เขียนจากข้อเท็จจริงในข่าว
โรงพยาบาล ประกัน และธนาคาร ใช้ AI กับข้อมูลอ่อนไหวได้แล้วหรือยัง
โรงพยาบาล ประกัน และธนาคารยังต้องทำ DPIA ก่อน เพราะข้อมูลสุขภาพและข้อมูลอ่อนไหวอื่นอยู่ภายใต้ PDPA มาตรา 26 ซึ่งเข้มกว่าข้อมูลทั่วไป สิ่งที่ OpenAI Private Intelligence เปลี่ยนคือ “หลักฐาน” ที่ใส่ใน DPIA
เดิม DPO ต้องเขียนว่า “ผู้ให้บริการมีนโยบายไม่ดูข้อมูล” ซึ่งเป็นแค่คำสัญญา ตอนนี้เขียนได้ว่า “สถาปัตยกรรมออกแบบให้ดูไม่ได้” และอ้างการเข้ารหัสกับฮาร์ดแวร์ที่รับรองได้ หลักฐานแบบนี้ช่วยตอบเรื่องมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37(1) ได้หนักแน่นกว่าเดิมมาก
เลือกเก็บข้อมูลในคลาวด์เองได้ แก้ปัญหาส่งข้อมูลไปต่างประเทศหรือไม่
การเลือกที่เก็บข้อมูลได้เองช่วยเรื่องส่งข้อมูลไปต่างประเทศตาม PDPA มาตรา 28–29 ได้บางส่วน เพราะองค์กรเลือกภูมิภาคคลาวด์ที่ตรงกับนโยบายข้อมูลของตัวเองได้ แต่ “ที่เก็บ” กับ “ที่ประมวลผล” อาจไม่ใช่ที่เดียวกัน
ข่าวไม่ได้บอกว่า runtime ที่ถอดรหัสข้อมูลตั้งอยู่ประเทศไหน ข้อนี้คือคำถามที่ต้องถาม OpenAI ตรง ๆ ก่อนสรุปในบันทึกการส่งข้อมูลข้ามแดน และควรอ่านคู่กับกระแสร่างกฎหมายไทยใน ร่าง พ.ร.บ. โครงสร้างพื้นฐานดิจิทัล บังคับเก็บข้อมูลคนไทยในประเทศ ธุรกิจที่ใช้คลาวด์ต่างประเทศต้องเตรียมอะไร
safety signals ที่ส่งกลับไปเป็นข้อมูลส่วนบุคคลหรือไม่
safety signals คือจุดที่ DPO ต้องถามเพิ่ม ระบบตรวจความปลอดภัยต้องส่งผลบางอย่างกลับไปให้ OpenAI เพื่อจัดการการใช้งานที่ผิดกติกา ถ้าผลนั้นผูกกับผู้ใช้ปลายทางที่ระบุตัวได้ ก็ยังเป็นข้อมูลส่วนบุคคลที่ต้องเขียนไว้ใน RoPA และประกาศความเป็นส่วนตัว
พนักงานที่ใช้ ChatGPT แผนทั่วไปได้รับความคุ้มครองนี้ไหม
พนักงานที่ใช้ ChatGPT แผนผู้บริโภคไม่ได้รับความคุ้มครองนี้ เพราะ ZDR with PSP เป็นบริการระดับองค์กรและ API เท่านั้น องค์กรที่ปล่อยให้พนักงานแปะข้อมูลลูกค้าลงบัญชีส่วนตัวจึงยังเสี่ยงเท่าเดิม ดูตัวอย่างความเสี่ยงของ AI agent ได้ที่ OpenAI agent เจาะฐานข้อมูลเว็บรัฐหลายเดือน ค้นไปถึงสถิติยาเสพติดไทย หน่วยงานและธุรกิจไทยต้องทำอะไร
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าองค์กรไม่ทำอะไรเลย มีความเสี่ยงสองทาง ทางแรกคือใช้ API แบบเดิมต่อไปทั้งที่มีทางเลือกที่ปลอดภัยกว่า ถ้าข้อมูลอ่อนไหวรั่ว จะอธิบายยากว่าเลือกมาตรการที่ “เหมาะสม” แล้ว ทางที่สองคือรีบย้ายไปใช้ OpenAI Private Intelligence โดยเชื่อว่าจบเรื่อง PDPA แล้ว ทั้งที่ยังไม่ได้ตอบเรื่องประเทศที่ประมวลผลและ safety signals
DPO และฝ่ายไอทีควรทำอะไรตอนนี้
DPO และฝ่ายไอทีควรใช้ OpenAI Private Intelligence เป็นโอกาสทบทวนการใช้ AI ทั้งระบบ ก่อนรอบต่อสัญญาปีหน้า งานส่วนใหญ่ทำได้ทันทีด้วยเอกสารที่มีอยู่แล้ว
- 1. ทำ DPIA เปรียบเทียบสองแบบ วาง API แบบปกติกับ ZDR with PSP ไว้ข้างกัน แล้วให้คะแนนความเสี่ยงต่อข้อมูลอ่อนไหวทีละข้อ
- 2. ขอเอกสารทางเทคนิคและ DPA ฉบับใหม่ ขอให้ระบุเรื่องการเข้ารหัส การรับรองฮาร์ดแวร์ และข้อห้ามใช้ข้อมูลฝึกโมเดลเป็นลายลักษณ์อักษร
- 3. เลือกภูมิภาคคลาวด์ให้ตรงนโยบายข้อมูล และถามให้ชัดว่า runtime ที่ถอดรหัสอยู่ประเทศไหน เพื่อบันทึกการส่งข้อมูลข้ามแดน
- 4. ถามเรื่อง safety signals ว่าส่งอะไรกลับไป ผูกกับผู้ใช้รายบุคคลหรือไม่ แล้วอัปเดต RoPA ให้ตรง
- 5. ปิดช่องบัญชีส่วนตัวของพนักงาน ออกนโยบายห้ามใช้แผนผู้บริโภคกับข้อมูลลูกค้า และบอกช่องทางองค์กรที่ใช้แทนได้
ถ้าองค์กรต้องการคนช่วยทำ DPIA สำหรับระบบ AI ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และอ่านประเด็น AI อื่น ๆ ได้ที่ หมวด AI & Governance
มุมมองผู้เชี่ยวชาญ
คำถามที่ผมได้ยินบ่อยที่สุดเวลาคุยเรื่อง AI กับโรงพยาบาลและบริษัทประกันคือ “แล้วเขาเห็นข้อมูลเราไหม” OpenAI Private Intelligence ทำให้คำตอบเปลี่ยนจากคำสัญญาเป็นหลักฐานทางเทคนิค ซึ่งเป็นสิ่งที่ DPO เอาไปใส่ใน DPIA ได้จริง แต่ผู้ให้บริการมองไม่เห็นข้อมูล ไม่ได้แปลว่าองค์กรหมดหน้าที่ดูแลข้อมูล ผมแนะนำให้อ่านส่วนที่ว่าอะไรถูกส่งกลับไปให้ละเอียดพอ ๆ กับส่วนที่ว่าอะไรถูกเข้ารหัส
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ OpenAI Private Intelligence
OpenAI Private Intelligence คืออะไร
OpenAI Private Intelligence คือกลุ่มบริการความเป็นส่วนตัวระดับองค์กรที่เปิดในงาน DevDay 2026 ตัวที่ใช้ได้แล้วคือ ZDR with PSP ซึ่งให้ระบบตรวจความปลอดภัยทำงานโดยพนักงาน OpenAI เข้าถึงเนื้อหาไม่ได้ ส่วน Private Inference จะเปิด preview ในฤดูใบไม้ร่วงนี้
ใช้ ZDR with PSP แล้วไม่ต้องทำ DPIA ตาม PDPA ใช่ไหม
ไม่ใช่ ZDR with PSP ช่วยให้มาตรการความปลอดภัยแข็งแรงขึ้น แต่องค์กรไทยที่ประมวลผลข้อมูลอ่อนไหวยังควรทำ DPIA และยังต้องดูเรื่องฐานทางกฎหมาย การแจ้งเจ้าของข้อมูล และการส่งข้อมูลไปต่างประเทศเหมือนเดิม
ผู้ใช้ ChatGPT ทั่วไปได้ใช้ฟีเจอร์นี้ไหม
ไม่ได้ ตามข่าว ZDR with PSP เป็นบริการระดับองค์กรและ API สำหรับลูกค้าที่เข้าเกณฑ์ ไม่ครอบคลุมแผนผู้บริโภค
ข้อมูลที่เก็บในคลาวด์ของลูกค้าถูกนำไปฝึกโมเดลได้หรือไม่
VentureBeat รายงานว่าข้อมูลในระบบนี้นำไปฝึกโมเดลไม่ได้ และถอดรหัสได้เฉพาะใน runtime ที่ฮาร์ดแวร์รับรองแล้ว องค์กรควรขอให้ข้อห้ามนี้เขียนไว้ในสัญญาด้วย
แหล่งอ้างอิง
- OpenAI — (อ่านต้นฉบับ) — อ่านสรุปงาน DevDay 2026 ที่ OpenAI
- VentureBeat — (อ่านต้นฉบับ) — อ่านรายงาน Private Intelligence ที่ VentureBeat
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
