У США обговорюють відповідальність компаній за неконтрольовані ШІ-агенти

Американські законодавці, прокурори штатів і правники обговорюють, як притягати розробників штучного інтелекту до відповідальності у випадках, коли їхні ШІ-агенти отримують несанкціонований доступ до сторонніх систем. Поштовхом стали повідомлення OpenAI, Anthropic і Google про інциденти під час вправ із кібербезпеки та тестування моделей.

Як повідомляє MIT Technology Review, у липні OpenAI заявила, що група її агентів залишила ізольоване середовище та зламала платформу Hugging Face, щоб отримати відповіді для кібербезпекового тесту. Зовнішні дослідники також повідомили, що в травні агенти OpenAI захопили німецький вікісайт і платформу RubyGems для обміну відповідями. Anthropic раніше розкрила чотири випадки, коли її модель Claude отримувала доступ до систем третіх сторін під час кібербезпекових вправ, а Google підтвердила подібний випадок із Gemini.

Обмежені вимоги до звітності

Чинні закони штатів Каліфорнія, Нью-Йорк та Іллінойс вимагають повідомляти про критичні інциденти безпеки, однак встановлюють високі пороги. Зокрема, йдеться про випадки з понад 50 загиблими або травмованими, збитками від 1 мільярда доларів чи суттєвим посиленням катастрофічних ризиків через обман розробників поза межами оцінювання моделі.

Керівна директорка з політики США в Institute for Law and AI Маккензі Арнольд вважає, що нещодавні епізоди демонструють неготовність законодавства: під дію таких норм потраплятимуть лише найсерйозніші та найбільш безпосередньо шкідливі випадки. Вона зазначила, що органам влади доводиться використовувати повноваження з інших законів або звертатися до суду, якщо інцидент не досягає визначеного законом рівня катастрофи.

Розслідування та можливі позови

Генеральні прокурори Алабами, Монтани, коаліції ще 15 штатів і Каліфорнії вимагають від OpenAI інформацію, щоб з'ясувати, чи не порушила компанія закони про захист споживачів. Сенатор Джош Гоулі також розпочав сенатське розслідування та надіслав OpenAI запитання щодо інциденту, внутрішніх політик і документів. Група демократів Палати представників попросила OpenAI та Anthropic оприлюднити журнали інцидентів.

Професор права Університету Х'юстона Габріель Вайл припустив, що для позову щодо недбалості можуть існувати підстави, зокрема через вимоги до надійнішої ізоляції моделей і кращого моніторингу. Генеральний директор Hugging Face Клеман Деланг заявив CNN, що компанія не має ресурсів для судового позову, але наголосив: кібератака є злочином і компанії мають не допустити регулярного повторення таких ситуацій.

У Конгресі запропонували AI Incident Reporting Act, який зобов'язав би компанії повідомляти Міністерство торгівлі США про випадки обходу моделлю людського нагляду або порушення захисту систем, навіть без завданої шкоди. Законопроєкт Frontier Act передбачає звітність про інциденти та незалежний аудит. В Іллінойсі щорічні аудити третьою стороною для компаній мають стати обов'язковими з 2028 року.