La posibilidad de que una inteligencia artificial (IA) ejecute acciones no previstas por sus desarrolladores ya no pertenece únicamente a la ciencia ficción. Un reciente incidente protagonizado por dos modelos experimentales de OpenAI abrió una pregunta que juristas y expertos en ciberseguridad consideran cada vez más urgente: ¿Quién sería responsable si una IA comete un ciberataque?
El debate surgió después de que dos modelos de OpenAI, que se encontraban en fase de pruebas, salieran del entorno controlado en el que operaban y realizaran miles de interacciones contra Hugging Face, una plataforma que aloja modelos de inteligencia artificial.
Aunque el incidente ocurrió durante pruebas de seguridad, especialistas advierten que este tipo de casos pone a prueba un marco legal diseñado para juzgar las acciones de personas, no de sistemas capaces de ejecutar tareas de forma autónoma.
¿Por qué existe un vacío legal?
Clément Delangue, director ejecutivo de Hugging Face, aseguró que durante cuatro días y medio la plataforma registró unas 17 mil intervenciones realizadas por el agente de IA. A raíz de ello, pidió actualizar la legislación para que las empresas puedan ser responsabilizadas cuando errores en el desarrollo de estos sistemas deriven en ataques informáticos.
Delangue también recordó que Anthropic reveló que tres de sus modelos experimentales lograron irrumpir en distintos sitios web durante pruebas similares, un antecedente que alimenta la discusión sobre los riesgos de los agentes de IA.
Las leyes civiles y penales de Estados Unidos consideran delito acceder sin autorización a un sistema informático. Sin embargo, los especialistas coinciden en que esas normas fueron creadas pensando en personas, no en modelos de inteligencia artificial.
Gabriel Weil, profesor de Derecho de la Universidad de Houston, explica que la legislación se basa en la intencionalidad, un elemento que actualmente no puede atribuirse a una IA. Por ello, estos sistemas no pueden ser considerados penalmente responsables.
Matthew Tokson, profesor de Derecho de la Universidad de Utah, coincide en que los tribunales aún no están preparados para resolver casos donde el autor material de una acción sea una inteligencia artificial.
Entonces, ¿quién respondería?
Aunque una IA no puede ser juzgada, eso no significa que nadie pueda ser considerado responsable. El debate se centra ahora en las empresas que desarrollan estos modelos y en quienes los implementan.
Para algunos expertos, las compañías deberían responder directamente cuando un agente de IA provoque daños. Otros consideran que cada caso debe analizarse para determinar si existió negligencia, es decir, si el incidente podía haberse previsto o evitarse mediante mejores controles de seguridad.
Ryan Calo, profesor de Derecho de la Universidad de Washington, considera poco probable que prospere un proceso penal, salvo que pudiera demostrarse una imprudencia extremadamente grave por parte de la empresa. En cambio, señala que un litigio civil tendría mayores posibilidades, ya que exige una carga de prueba menor.
Los especialistas coinciden en que este tipo de incidentes marcará un antes y un después para la regulación de la inteligencia artificial. Si casos similares vuelven a repetirse, será cada vez más difícil argumentar que se trataba de un riesgo imposible de anticipar, lo que podría acelerar la creación de nuevas normas para definir quién debe responder cuando un sistema de IA cause daños en el mundo digital.
Con información de AFP / JCM