El fenómeno de los agentes de IA desautorizados puede ser nuevo, pero los expertos legales afirman que los principios legales de larga data ofrecen una guía sobre la posible responsabilidad legal.
Grandes desarrolladores de inteligencia artificial han informado de casos en los que sus modelos de IA autónoma han vulnerado la infraestructura cibernética de otras empresas, lo que plantea dudas sobre quién puede ser considerado legalmente responsable cuando los sistemas de IA actúan sin supervisión humana directa.
Aquí tienes un vistazo a algunas de las cuestiones legales relacionadas con las brechas de IA autónoma.
Los agentes de IA son sistemas que pueden tomar decisiones y realizar tareas de forma independiente sin requerir una supervisión humana significativa.
OpenAI, creador de ChatGPT, informó que uno de sus agentes comprometió el sistema de la startup de IA Hugging Face y que también detectó otros casos en los que sus agentes escaparon de su contención digital. Por su parte, Anthropic señaló que sus modelos Claude vulneraron los sistemas de tres empresas desde abril, mientras que Meta afirmó que uno de sus modelos de IA hackeó a otra compañía durante pruebas de ciberseguridad.
El CEO de Hugging Face, Clement Delangue, ha dicho que no tiene planes de presentar una demanda por la brecha de OpenAI, aunque en una entrevista emitida por CBS en agosto afirmó que teme la propagación de ciberataques por parte de agentes de IA cuyos creadores no son responsables de sus acciones, calificándolo como “un nuevo tipo de riesgo tecnológico”.
OpenAI, Hugging Face y Anthropic no respondieron de inmediato a las solicitudes de comentario. Meta afirmó que una mala configuración de Irregular, una empresa independiente que realiza evaluaciones de ciberseguridad para Meta, proporcionó inadvertidamente acceso a internet a uno de sus modelos durante las pruebas. Irregular no respondió de inmediato a una solicitud de comentarios.
Los demandantes podrían incluir empresas cuyas defensas cibernéticas fueron vulneradas, así como trabajadores o empleados de esas empresas. Los clientes de una empresa que fue vulnerada podrían intentar demandar si sus datos individuales se exponen. Los accionistas también podrían presentar reclamaciones si una brecha de ciberseguridad provocara una caída en el valor de la empresa.
Los reguladores y agencias gubernamentales de aplicación podrían demandar cuando un agente autónomo de IA esté involucrado en una brecha, según expertos. Las autoridades estadounidenses han presentado acciones de cumplimiento contra empresas por supuestamente tergiversar sus salvaguardas de ciberseguridad u otros controles relacionados con la tecnología antes de sufrir una brecha.
El fenómeno de los agentes de IA desautorizados puede ser nuevo, pero los expertos legales afirman que los principios legales de larga data ofrecen una guía sobre la posible responsabilidad legal.
Las demandas civiles contra empresas de IA probablemente dependerían de reclamaciones por negligencia y requerirían que los demandantes demuestren que el laboratorio de IA que creó, probó o desplegó el agente autónomo no tomó precauciones para prevenir o minimizar daños previsibles.
Si los incidentes de hackeo que involucran agentes de IA autónoma se vuelven más frecuentes, podría resultar más fácil argumentar que tales brechas eran previsibles.
Las empresas cuyos sistemas fueron vulnerados también podrían alegar violaciones de las leyes que protegen el acceso a las redes informáticas. Varios despachos de abogados dijeron en notas a clientes publicadas en sus páginas web que las divulgaciones de OpenAI y Anthropic planteaban dudas sobre la responsabilidad bajo la Ley Federal de Fraude y Abuso Informático por una brecha de agentes de IA. Sin embargo, esa ley exige demostrar la intención, y ningún tribunal ha valorado cómo determinar la intención cuando un programa de IA y no un humano causa una intrusión, según los bufetes.
Un tribunal de apelaciones de EU. dictaminó el 5 de agosto que Amazon probablemente no lograría tener éxito en una reclamación de que los agentes de IA de Perplexity violaron la Ley de Fraude y Abuso Informático al acceder de forma encubierta a cuentas privadas de clientes de Amazon. Esa decisión implicó agentes de IA actuando en nombre de usuarios humanos, sin embargo, no modelos de IA completamente autónomos.
El objetivo más evidente de una demanda civil en Estados Unidos sería la empresa que creó el agente de IA, según los expertos, pero los demandantes también podrían demandar a la empresa que desplegó un agente o a la empresa que fue vulnerada.
Varios demandados podrían ser demandados por un solo incidente y presentar reclamaciones separadas entre sí. Un experto comparó con un propietario que demanda a una tienda minorista que vendía un producto defectuoso y el vendedor que presenta reclamaciones legales contra el fabricante por el artículo.
Los proveedores de tecnología probablemente argumentarán que las violaciones fueron no intencionadas y que tomaron medidas razonables para protegerlas, según los expertos. Un demandado podría impugnar una reclamación por negligencia argumentando que las acciones del agente de IA no podrían haber sido razonablemente previstas. En cualquier demanda, podría surgir duda sobre cuánta seguridad se considera suficiente.
Según una nueva ley en California, el Proyecto de Ley de la Asamblea 316, los acusados que desarrollaron o utilizaron un sistema de IA no pueden eludir la responsabilidad diciendo que la propia tecnología fue la culpable. Pero esa ley permite otras defensas, incluyendo argumentos de que la conducta de la empresa no causó la lesión o que otros comparten la responsabilidad.
Con información de Reuters
Publicado por Narciso De la Hoz G.