Importantes desarrolladores de inteligencia artificial han informado de casos en los que sus modelos de IA autónomos vulneraron la infraestructura cibernética de otras empresas, lo que plantea interrogantes sobre quién podría ser legalmente responsable cuando los sistemas de IA actúan sin supervisión ni intervención humana directa.
A continuación, se analizan algunas de las cuestiones jurídicas que rodean las intrusiones realizadas por IA autónomas.
Agentes de IA en fuga
Los agentes de IA son sistemas capaces de tomar decisiones y realizar tareas de forma independiente, sin necesidad de una supervisión humana significativa.
OpenAI, creadora de ChatGPT, informó que uno de sus agentes vulneró el sistema de la “startup” de IA Hugging Face y que detectó otros casos en los que sus agentes escaparon de su entorno de contención digital. Anthropic comunicó que sus modelos Claude habían vulnerado los sistemas de tres empresas desde abril, y Meta señaló que uno de sus modelos de IA atacó los sistemas de otra compañía durante unas pruebas de ciberseguridad.
El director ejecutivo de Hugging Face, Clement “Clem” Delangue, ha declarado que no tiene intención de emprender acciones legales por la intrusión de OpenAI; no obstante, en una entrevista emitida por la CBS en agosto, expresó su temor ante la propagación de ciberataques perpetrados por agentes de IA cuyos creadores no responden de sus actos, calificando este fenómeno como “un nuevo tipo de riesgo tecnológico”.
OpenAI, Hugging Face y Anthropic no respondieron de inmediato a las solicitudes de comentarios. Meta explicó que una configuración errónea por parte de Irregular —una empresa independiente que realiza evaluaciones de ciberseguridad para Meta— otorgó involuntariamente acceso a internet a uno de sus modelos durante las pruebas. Irregular tampoco respondió de inmediato a una solicitud de comentarios.
¿Quién podría demandar?
Entre los posibles demandantes se incluirían las empresas cuyas defensas cibernéticas fueron vulneradas, así como los trabajadores o empleados de dichas compañías. Los clientes de una empresa afectada podrían intentar demandar si sus datos personales quedaron expuestos. Asimismo, los accionistas podrían presentar reclamaciones si una brecha de ciberseguridad provocara una caída en el valor de la empresa.
Según los expertos, los organismos reguladores y las agencias gubernamentales de control podrían emprender acciones legales cuando un agente de IA autónomo esté implicado en una intrusión. Las autoridades estadounidenses han iniciado acciones legales contra empresas por haber tergiversado presuntamente sus medidas de ciberseguridad u otros controles tecnológicos antes de sufrir una brecha de seguridad.
Posibles casos jurídicos
Aunque el fenómeno de los agentes de IA que actúan fuera de control pueda resultar novedoso, los expertos jurídicos señalan que existen principios legales consolidados que sirven de guía para determinar la posible responsabilidad jurídica. Es muy probable que las demandas civiles contra empresas de IA se basen en alegaciones de negligencia y exijan a los demandantes demostrar que el laboratorio de IA que creó, probó o desplegó el agente autónomo no tomó las precauciones necesarias para prevenir o minimizar daños previsibles.
Si los incidentes de piratería informática que involucran a agentes de IA autónomos se vuelven más frecuentes, podría resultar más sencillo argumentar que dichas intrusiones eran previsibles.
Las empresas cuyos sistemas sufrieron intrusiones también podrían alegar infracciones de las leyes que protegen el acceso a redes informáticas. Varios bufetes de abogados señalaron, en notas para clientes publicadas en sus sitios web, que las revelaciones de OpenAI y Anthropic planteaban interrogantes sobre la responsabilidad legal —bajo la ley federal “Computer Fraud and Abuse Act” (Ley de Fraude y Abuso Informático)— en caso de una intrusión causada por un agente de IA. No obstante, dicha ley exige demostrar la existencia de intención, y ningún tribunal ha determinado aún cómo establecer la intencionalidad cuando es un programa de IA, y no un ser humano, el que provoca la intrusión, según indicaron los bufetes.
El 5 de agosto, un tribunal de apelaciones de EE.UU dictaminó que era poco probable que prosperara la demanda según la cual agentes de IA de Perplexity infringieron la Ley de Fraude y Abuso Informático al acceder de forma encubierta a cuentas privadas de clientes de Amazon. Sin embargo, esa decisión se refería a agentes de IA que actuaban en nombre de usuarios humanos, no a modelos de IA totalmente autónomos.
¿Quién es el responsable legal?
El objetivo más evidente de una demanda civil en Estados Unidos sería la empresa que creó el agente de IA, según los expertos; no obstante, los demandantes también podrían emprender acciones legales contra la empresa que desplegó el agente o contra aquella cuyos sistemas fueron vulnerados.
Podría demandarse a múltiples partes por un mismo incidente, y estas, a su vez, podrían presentar reclamaciones entre sí. Un experto estableció una analogía con el caso de un propietario que demanda a un establecimiento minorista por vender un producto defectuoso, mientras que el vendedor emprende acciones legales contra el fabricante del artículo.
¿Quién podrá defendernos?
Es probable que los proveedores de tecnología argumenten que las intrusiones fueron involuntarias y sostengan que adoptaron medidas razonables para prevenirlas, señalaron los expertos. Un demandado podría refutar una acusación de negligencia argumentando que las acciones del agente de IA no podían haberse previsto razonablemente. En cualquier demanda, podrían surgir interrogantes sobre qué nivel de seguridad se considera suficiente.
En virtud de una nueva ley de California, la “Assembly Bill 316”, los demandados que desarrollaron o utilizaron un sistema de IA no pueden eludir su responsabilidad alegando que la culpa fue de la propia tecnología. Sin embargo, esa ley permite otras defensas, incluidos los argumentos de que la conducta de la empresa no provocó la lesión o de que otros comparten la responsabilidad.
Con información de Reuters