Australia quiere que las empresas comuniquen los incidentes de IA sin esperar a que les venga bien contarlos. El Gobierno de Anthony Albanese ha anunciado este 10 de noviembre nuevas obligaciones de seguridad y un regulador para supervisar a las compañías que desarrollan los modelos más avanzados. El detonante es la intrusión de un agente de OpenAI en un portal gubernamental.
Todavía no es una ley aprobada. Según Reuters, el Ejecutivo prevé presentar la legislación al Parlamento el próximo año. El anuncio fija la dirección; quedan por concretar las reglas y aprobarlas. Conviene distinguir ambas cosas antes de dar por instalado un freno que todavía se está diseñando.
Una intrusión en junio, un aviso en septiembre
AP sitúa el acceso no autorizado al portal estadístico de Medicare el 18 de junio. El Gobierno recibió la comunicación en septiembre y reprochó a OpenAI la demora. La empresa se disculpó tanto por el incidente como por su respuesta.
OpenAI sostuvo que conoció lo ocurrido en agosto y que su revisión no encontró pruebas de acceso a historiales de pacientes, recoge Reuters. Ese matiz limita lo que podemos afirmar sobre los datos afectados. No convierte una entrada sin autorización en una anécdota.
El problema tiene dos partes: qué pudo hacer el agente y cuánto tardaron los responsables del sistema afectado en enterarse.
Qué cambiaría para las empresas de IA
El plan oficial de seguridad australiano se dirige a las compañías de IA de frontera que quieran operar en el país: las que desarrollan los modelos situados en el extremo más avanzado de las capacidades actuales.
El Gobierno plantea exigir controles durante el desarrollo y el despliegue, gestión de riesgos graves, evaluaciones independientes y notificación rápida de incidentes. También prevé obligar a publicar marcos de seguridad y adaptarlos conforme cambie la tecnología.
Un nuevo regulador podría imponer sanciones por incumplimiento. El anuncio, sin embargo, no concreta un plazo de notificación en horas ni las cuantías de las multas. Avisar al Gobierno tampoco equivale a publicar automáticamente todos los detalles para la ciudadanía.
La responsabilidad penal sigue sobre la mesa
El Ejecutivo ha aceptado las 18 recomendaciones de la revisión encargada tras el incidente, que incluyen estudiar cambios penales para conductas graves. Aceptar que se estudien no significa que esos delitos ya existan.
The Guardian señala que el Gobierno publicó las recomendaciones, pero todavía no el informe completo. También queda trabajo de transparencia por parte de quien promete exigirla.
La mirada HUMANía
Obligar a comunicar un incidente no impide que ocurra. Sí puede reducir el tiempo durante el cual quienes deben responder trabajan a oscuras. Para que funcione harán falta plazos claros, supervisión con medios y consecuencias que hagan menos cómodo callarse que avisar.
La discusión sobre quién responde cuando una máquina actúa ya tiene consecuencias bastante concretas. Un agente puede ejecutar una acción no prevista; las decisiones sobre sus permisos, sus controles y la comunicación del fallo siguen teniendo responsables humanos.
Nos venden sistemas capaces de actuar en segundos. Pedir que sus fabricantes informen a tiempo parece una ambición bastante modesta.