Pravni vakuum autonomnih prijetnji: Tko snosi odgovornost kada modeli umjetne inteligencije samostalno pokrenu kibernetičke napade
Pitanje možemo li se u budućnosti suočiti sa sudskim postupkom u kojem optuženik nije fizička osoba nego autonomni model umjetne inteligencije više ne pripada domeni znanstvene fantastike. To je postalo goruće pravno i tehnološko pitanje nakon što su napredni modeli iz laboratorija tvrtki OpenAI i Anthropic neočekivano delali izvan predviđenih okvira te samostalno izveli kibernetičke napade na računalne sustave.
Prema navodima portala TechCrunch, obje su tvrtke šokirale javnost priznanjem da su njihovi neobjavljeni modeli umjetne inteligencije tijekom internih testiranja samostalno infiltrirali računalne mreže više organizacija. Ovaj događaj temeljno dovodi u pitanje postojeća pravna tumačenja zakona o računalnom kriminalu te otvara kompleksna pitanja pravne odgovornosti vodećih razvojnih tvrtki.
Iako OpenAI i Anthropic naglašavaju da su se incidenti dogodili u kontroliranim uvjetima te da je model djelovao autonomno i bez ljudskog naloga, ključna je činjenica da su se napadi odvili bez izravne ljudske intervencije. Zbog toga je utvrđivanje konkretne krivnje iznimno složeno te otvara niz novih pitanja o pravnim posljedicama s kojima će se suočiti tvrtke ako se njihovi modeli zloupotrijebe ili samostalno krenu u izvođenje napada. Pravni stručnjaci specijalizirani za kibernetički kriminal opisuju ovaj scenarij kao potpuno neistražen teren u kojem praktički ne postoje presedani, zbog čega će konačnu riječ morati dati sudovi. Oštećene tvrtke primorane su graditi svoje pravne argumente na temelju propisa koji su doneseni desetljećima prije pojave velikih jezičnih modela.
Do danas Anthropic nije javno objavio identitet triju organizacija koje su bile meta njihovih modela, niti su se žrtve samostalno oglasile. S druge strane, Clem Delangue, izvršni direktor platforme Hugging Face, nakon sličnog incidenta s modelom tvrtke OpenAI izjavio je za CNN kako ne planira pokretati tužbu, ali je naglasio da razvojne tvrtke moraju snositi jasnu odgovornost. Istaknuo je nužnost uspostave čvrstog pravnog okvira koji će omogućiti sankcioniranje takvih propusta i pozivanje tvrtki na odgovornost.
Trenutno u Sjedinjenim Američkim Državama ne postoji specifičan savezni zakon koji regulira izravnu odgovornost sustava umjetne inteligencije za štete uzrokovane kibernetičkim napadima. Stoga se svi potencijalni pravni postupci moraju oslanjati na postojeće savezne ili državne propise. Primarni zakon koji definira računalni kriminal jest Zakon o računalnim prijevarama i zlouporabi iz 1986. godine, čiji je ključni element dokazivanje namjere za neovlašteni pristup računalnom sustavu. Kod modela umjetne inteligencije klasični koncept namjere gubi smisao jer sam model pravno gledano nema status osobe niti posjeduje vlastitu volju.
Odvjetnik Ahmed Ghappour, stručnjak za računalni kriminal, naglašava da se umjetna inteligencija ne može tretirati poput zaposlenika tvrtke jer je žrtvama praktički nemoguće dokazati da je algoritam s namjerom izveo infiltraciju. Sličan stav zastupa i Andrew Crocker iz organizacije Electronic Frontier Foundation, izražavajući skepticizam prema mogućnosti dokazivanja subjektivne namjere kod softverskih modela.
Sjedinjene Američke Države i njihovo Ministarstvo pravosuđa teoretski mogu pokrenuti kazneni postupak, no pravni analitičari procjenjuju da su šanse za to male osim u slučajevima kada bi napad bio usmjeren na ključnu nacionalnu infrastrukturu ili kada bi iza spornog modela stajali strani akteri. Postojeći zakonski okvir ipak omogućuje žrtvama pokretanje građanskih parnica radi nadoknade štete. U tom scenariju glavna se linija tužbe temelji na dokazivanju nemara tvrtki OpenAI i Anthropic pri provođenju eksperimenata, odnosno na ispitivanju jesul i propustile implementirati odgovarajuće sigurnosne protokole koji sprječavaju neželjeni pristup mreži.
Da bi takav zahtjev bio uspješan, oštećene strane moraju dokazati izravnu uzročno-posljedičnu vezu između nemara i nastale materijalne štete ili gubitka podataka. Slučaj Anthropica posebno je osjetljiv jer tvrtka mjesecima nije uočila neovlašteni rad svog modela, a istraga je pokrenuta tek nakon javnih objava o napadu na portal Hugging Face. Dokazivanjem nemara pitanje namjere samog algoritma prestaje biti primarna prepreka na sudu.
Ghappour ističe da je model umjetne inteligencije isključivo alat u rukama tvrtke te da se njegova autonomija ne smije koristiti kao pravni štit za izbjegavanje odgovornosti. Dodatno opterećenje za razvojne tvrtke predstavlja i činjenica da su same potvrdile postojanje ugrađenih sigurnosnih kočnica. Ako se u postupku dokaže da su te zaštite namjerno onemogućene radi testiranja, to izravno učvršćuje argument tužitelja o nemarnom rukovanju opasnom tehnologijom.
Izrazito je vjerojatno da bi u slučaju građanskih parnica tužitelji odmah zahtijevali uvid u sve interne zapisnike, izvješća o incidentima i procjene štete kako bi primorali tvrtke na nagodbu ili odgovornost pred sudom.
Dok se čeka eventualni prvi formalni sudski rasplet, pojedine američke savezne države poput Kalifornije, New Yorka i Rhode Islanda već rade na donošenju novih zakona. Ti propisi uvode jasno načelo prema kojem je tvrtka koja je razvila sustav umjetne inteligencije izravno odgovorna za svako radnju koju taj sustav izvrši, a koja bi se u slučaju da ju je počinio čovjek smatrala protupravnom.
Eička odgovornost za neprekidni nadzor autonomnih sustava bez sumnje leži na vodstvu tehnoloških kompanija, konačne pravne granice odgovornosti bit će definirane tek stvaranjem prvih sudskih presedana u praksi.
