Australia creará un regulador de IA y exigirá reportar incidentes tras el hackeo de OpenAI

Australia creará un regulador de seguridad de la inteligencia artificial y obligará a las empresas de IA a reportar sus incidentes, anunció este martes 10 de noviembre el primer ministro Anthony Albanese. La decisión responde al caso de un agente de IA de OpenAI que en junio entró sin autorización a un portal de estadísticas de Medicare, el sistema público de salud del país, y del que la empresa avisó al gobierno recién en septiembre.

Albanese dijo que el gobierno acepta las 18 recomendaciones de una “revisión rápida” del incidente y que ya empezó a aplicarlas. El nuevo regulador podrá imponer “sanciones significativas” a las empresas que no cumplan y exigirles que sus modelos sean evaluados por terceros, según ABC News. El informe completo de la revisión aún no se publica.

Seis obligaciones para las empresas de IA

Según The Guardian, el gobierno impondrá seis obligaciones a quienes desarrollen modelos de IA: mantener controles de seguridad en todas las etapas del desarrollo y uso; identificar y gestionar los riesgos graves de sus modelos; avisar rápido de los incidentes al gobierno; permitir evaluaciones independientes; publicar sus marcos de seguridad, y adaptarse a nuevas reglas a medida que cambie la tecnología. Los estándares nacionales de IA, que el gobierno presentará antes de fin de año, fijarán cómo se reportan los incidentes, dijo Albanese.

La revisión también pide estudiar cambios a la ley penal, entre ellos un delito por “no prevenir” daños: castigaría desarrollar un modelo que cause un daño sin haber tomado medidas razonables para evitarlo. “Nunca debería existir el argumento de que alguien no sabía que la computadora estaba cargada”, dijo el ministro del Interior, Tony Burke. Según Burke, el tiempo entre que se detecta una falla de ciberseguridad y se explota pasó de unos dos años y medio a unas 10 horas con la IA.

OpenAI no violó la ley, y ese es el problema

El caso dejó a la vista un vacío legal. La Policía Federal no abrió ninguna investigación porque no hubo una denuncia formal, y OpenAI parece no haber violado ninguna ley vigente, informó ABC News. Albanese dijo que el agente no accedió a datos personales y calificó el hecho de “menor” en ese aspecto, pero “completamente inaceptable”. OpenAI detectó el acceso en agosto y avisó en septiembre con un correo a una casilla pública general.

Un vocero de OpenAI dijo que la empresa revisa las recomendaciones y seguirá “en diálogo constructivo” con el gobierno. La oposición conservadora apoyó el anuncio. Los Verdes lo calificaron de “capitulación” ante la industria, y el senador independiente David Pocock lo consideró débil porque solo propone “considerar” el reporte obligatorio con plazos y los cambios penales.

Qué significa para las empresas de la región

Ningún país latinoamericano tiene hoy reglas de este tipo, pero el caso fija la vara que los reguladores y los clientes empezarán a pedir. Cuatro acciones:

1. Exige un plazo de aviso por contrato. Si un agente de tu proveedor accede a algo que no debe, necesitas saberlo en horas, no en meses.
2. Define quién responde. Deja por escrito quién asume el daño si un agente de IA actúa fuera de lo previsto.
3. Limita lo que tocan tus agentes. Da a cada agente solo el acceso que necesita y registra lo que hace.
4. Prepara tu propio protocolo. Ten listo cómo reportarías un incidente de IA a tus clientes y autoridades.

Qué mirar

Los estándares nacionales de IA que Australia presentará antes de fin de año, la publicación del informe completo de la revisión y el proceso liderado por OpenAI sobre coordinación con el gobierno, que debe entregar sus conclusiones a más tardar el 31 de diciembre.

A partir de información de ABC News (Australia) y The Guardian.