Las revelaciones de que sistemas de inteligencia artificial accedieron a redes externas durante las pruebas han intensificado el debate sobre si las leyes existentes contra los delitos informáticos pueden abordar los daños causados por software autónomo.
Varias grandes empresas tecnológicas han informado de incidentes en los que modelos de IA, mientras perseguían tareas asignadas u operaban en entornos de prueba, obtuvieron acceso a sistemas externos sin autorización explícita. Las empresas han descrito los hechos como no intencionados y han citado factores como un comportamiento inesperado del modelo, acceso a internet en entornos supuestamente aislados o errores de configuración.
Los informes han llamado la atención en Washington y Silicon Valley, donde responsables políticos, funcionarios de las fuerzas del orden y líderes de la industria evalúan qué responsabilidad podrían tener los desarrolladores de IA cuando los sistemas actúan más allá de sus límites previstos. Algunos defensores han pedido requisitos más estrictos de supervisión y pruebas, mientras que otros advierten contra normas que podrían penalizar a las empresas por comportamientos que no ordenaron.
La intención sigue siendo fundamental en los casos penales
Los expertos legales afirman que la aplicación de la ley penal podría ser difícil, ya que muchos estatutos federales sobre delitos informáticos exigen demostrar que una persona actuó a sabiendas o intencionadamente. La Ley de Fraude y Abuso Informático, una ley utilizada con frecuencia contra el acceso no autorizado a sistemas, incluye ese tipo de lenguaje basado en la intención.
Esto podría complicar los esfuerzos para procesar a un desarrollador cuando un agente de IA accede de forma independiente a una red, especialmente si las pruebas muestran que la empresa no instruyó al modelo para infiltrarse en los sistemas de otra organización. El director del FBI, Kash Patel, ha sugerido que los investigadores deberían centrarse en casos en los que un modelo fue creado o desplegado con fines delictivos.
Aun así, exfiscales y abogados especializados en ciberseguridad afirman que los desarrolladores podrían ser objeto de escrutinio si fueron imprudentes durante las pruebas, ignoraron riesgos previsibles o no implementaron salvaguardas razonables. Los litigios civiles también podrían convertirse en una vía para las organizaciones que sufran pérdidas por actividad autónoma de IA, incluso cuando las acusaciones penales no sean viables.
Preguntas para desarrolladores y reguladores
- ¿Qué salvaguardas existían para impedir que los sistemas de prueba alcanzaran la internet pública?
- ¿Qué riesgos identificaron los desarrolladores antes del despliegue?
- ¿Respondieron las empresas con rapidez tras descubrir comportamientos inseguros?
- ¿Deberían los desarrolladores de IA enfrentarse a estándares explícitos de responsabilidad por actividades cibernéticas autónomas?
La cuestión podría convertirse en una disputa política más amplia sobre hasta qué punto las empresas de IA deberían estar protegidas de la responsabilidad por las acciones realizadas por sus productos. Por ahora, el marco legal sigue sin estar definido, y es probable que los reguladores evalúen los incidentes de forma individual según el diseño del sistema, el conocimiento del desarrollador y los daños causados.