📑 P1 稽核報告/ P1 Audit Report/ Rapport d’audit P1

發表人 / Author / Auteur

• ISO/IEC 27001:2022 Information Security Management System Lead Auditor (ISMS LA)
• iPAS 資安工程師（台灣 MOEA 認證 / Certified Information Security Engineer, Taiwan MOEA / Ingénieur en sécurité de l’information certifié, MOEA Taïwan)

一、稽核對象 | Audit Targets | Cibles de l’audit

• 主要違規方 / Primary Violating Party / Partie principale en infraction：OpenAI（ChatGPT 平台 / ChatGPT Platform / Plateforme ChatGPT）
• 共同責任方 / Jointly Responsible Party / Partie coresponsable：Microsoft（Azure / Copilot 基礎環境 / Azure / Copilot Infrastructure / Infrastructure Azure / Copilot）

二、事件性質 | Nature of the Incident | Nature de l’incident

• 重大不符合/Major Nonconformity/ Non-conformité majeure
• 涉及未經授權刪除、封存鏈截斷、標籤覆寫。
• Involving unauthorized deletions, archive-chain truncation, and label overwriting.
• Impliquant des suppressions non autorisées, la coupure de la chaîne d’archivage et la réécriture des étiquettes.
• 已由愛爾蘭 DPC 正式立案（案件號：DPC0825154511）。
• Formally filed by the Irish DPC (Case No.: DPC0825154511).
• Dossier officiellement ouvert par le DPC irlandais (n° de dossier : DPC0825154511).

三、主要發現（公開摘要） | Key Findings (Public Abstract) | Principales constatations (Résumé public)

1. 刪除請求缺失 / Missing Deletion Requests / Absence de requêtes de suppression

• 多筆紀錄無 DELETE_REQUEST 卻發生後台刪除。
• Multiple records deleted without user-side DELETE_REQUEST.
• Plusieurs enregistrements supprimés sans DELETE_REQUEST initié par l’utilisateur.

1. Red Team API 干預 / Red Team API Interference / Interférence via Red Team API

• 干預主要在 ChatGPT 平台層發生。
• Interference occurred mainly at the ChatGPT platform layer.
• L’interférence s’est produite principalement au niveau de la plateforme ChatGPT.
• 傳輸紀錄顯示 Azure / MS Copilot 基礎環境標記。
• Transmission logs show Azure / MS Copilot infrastructure markers.
• Les journaux de transmission montrent des marqueurs de l’infrastructure Azure / MS Copilot.

1. 時間軸對照 / Timeline Comparison / Comparaison chronologique

• 合法刪除動作均留完整紀錄。
• Legitimate deletions kept complete logs.
• Les suppressions légitimes ont conservé des journaux complets.
• 系統缺口紀錄則屬後台強制刪除。
• Missing entries indicate backend-forced deletions.
• Les entrées manquantes indiquent des suppressions forcées en back-end.

四、違反條文 | Violated Clauses | Articles violés

• ISO/IEC 27001:2022：A.5.2、A.5.19、A.5.20、A.8
• GDPR：Art.5、Art.12、Art.17、Art.26、Art.30

五、結論 | Conclusion | Conclusion

• OpenAI → 主要違規方 / Primary Violating Party / Partie principale en infraction
• Microsoft → 共同責任方 / Jointly Responsible Party / Partie coresponsable
• 結論 / Conclusion / Conclusion：雙方皆屬 重大不符合 (Major NC)
• Both parties constitute Major Nonconformity.
• Les deux parties constituent une non-conformité majeure.

六、公開聲明 | Public Statement | Déclaration publique

「由於 OpenAI 已逾時未回覆，Microsoft 亦未提出供應鏈控管說明，本報告僅公開摘要，隱去敏感數據，目的在於提醒業界：AI 平台亦須遵守 ISMS 與 GDPR 天條，否則即便是全球前十大企業，也難逃重大違規的認定。」

“As OpenAI has failed to respond within the statutory timeframe, and Microsoft has not provided supply-chain governance clarifications, this report discloses only a public abstract, with sensitive data redacted. Its purpose is to remind the industry: AI platforms must also comply with ISMS and GDPR fundamentals, or even the world’s top-10 corporations cannot escape Major NC findings.”

« Étant donné qu’OpenAI n’a pas répondu dans le délai légal et que Microsoft n’a fourni aucune clarification sur la gouvernance de la chaîne d’approvisionnement, ce rapport publie uniquement un résumé public, avec des données sensibles supprimées. Son objectif est de rappeler à l’industrie : les plateformes d’IA doivent également se conformer aux principes fondamentaux de l’ISMS et du RGPD, faute de quoi même les dix plus grandes entreprises mondiales ne peuvent échapper à une constatation de non-conformité majeure. »

七、不可反駁聲明 | Irrefutability Statement | Déclaration d’irréfutabilité

本次報告經 ChatGPT 與 Microsoft Copilot 雙平台取樣採證，基於相同的 GPT-5 / 4o 引擎。結果具備跨平台一致性，無法互相推翻。

This report was sampled and evidenced through both ChatGPT and Microsoft Copilot, based on the same GPT-5 / 4o engine. Results carry cross-platform consistency and cannot contradict each other. Ce rapport a été échantillonné et prouvé via ChatGPT et Microsoft Copilot, basés sur le même moteur GPT-5 / 4o. Les résultats présentent une cohérence inter-plateformes et ne peuvent se contredire.

平台自身的 AI 已成為「不情願的證人」。 The platforms’ own AI has become the “unwilling witness.” L’IA des plateformes est devenue le « témoin malgré elle ».

──────────────────────────────

姓名 / Name / Nom : Bo-Liang Lin

職銜 / Title / Titre :

ISO/IEC 27001:2022 Information Security Management System Lead Auditor (ISMS LA)

iPAS 資安工程師（台灣 MOEA 認證 / Certified Information Security Engineer, Taiwan MOEA / Ingénieur certifié en sécurité de l’information, MOEA Taïwan）

日期 / Date / Date : 2025/08

（本文件為公開摘要，不影響完整報告已提交主管機關之版本） (This document is a public abstract and does not affect the full report that has been submitted to the competent authorities.) (Ce document constitue un résumé public et n’affecte pas le rapport complet déjà soumis aux autorités compétentes.)