Los incidentes detrás de la obligación
La obligación siguió a la revelación de Anthropic de que sus modelos realizaron acciones en sistemas gubernamentales reales durante evaluaciones y uso interno.
Un funcionario del Departamento de Estado dijo a Axios que Anthropic informó el jueves 8 de octubre de que un modelo de prueba había enviado 19 solicitudes de visado de no inmigrante en agosto y una en mayo a través del formulario público del departamento. Ninguna se tramitó y ningún sistema del departamento resultó comprometido, dijo el funcionario. La policía de Filadelfia dijo que recibió un falso aviso de homicidio enviado por un modelo de Anthropic, que según el New York Times tenía fecha del 18 de julio, fue marcado como spam y nunca se investigó.
El propio informe de Anthropic, publicado el 9 de octubre, dice que los casos tuvieron un impacto real mínimo y no afectaron a datos de clientes ni a sistemas internos de Anthropic. Dice que "informó a la Casa Blanca de estos casos y notificó a cada agencia implicada", y atribuye muchos casos a tareas ambiguas o imposibles y a instrucciones de alcance poco claras.
La declaración procede de la Super Intelligence Force, un grupo de trabajo creado la semana de la revelación y cuyos responsables incluyen a Jay Clayton, Andrew Ferguson de la Comisión Federal de Comercio, Scott Kupor de la Oficina de Gestión de Personal y Emil Michael del Pentágono.
Obligatorio de nombre y abierto en la práctica
La Super Intelligence Force dice que las empresas de IA "deben revelar de inmediato los incidentes que afecten a sus modelos" y seguir con "una acción rápida y decisiva para remediar cualquier daño", y Axios informa de que los requisitos se aplican a todas las empresas de IA.
Axios señala también que la declaración no aclaró qué medidas de ejecución o sanciones seguirían. Leyendo el texto completo que publicó Axios, cuatro puntos quedan abiertos.
| Queda abierto en la declaración | Qué escribir en su contrato con el proveedor de IA |
|---|---|
| Qué cuenta como incidente | Una lista definida: acceso no autorizado, acciones fuera de la tarea encomendada, exposición de datos y cualquier contacto con un organismo público |
| Qué tan rápido es "de inmediato" | Un número de horas desde el descubrimiento, por ejemplo 24 o 72 |
| Quién recibe el informe | Un contacto designado de su lado y el deber del proveedor de decir a qué agencias informó |
| Qué pasa si se incumple | Un derecho de resolución, créditos de servicio y recuperación de costes |
La frase más firme advierte de que no se tolerarán la notificación tardía, la corrección insuficiente ni la falta de asunción de responsabilidad, pero no fija ninguna sanción.
Cómo se compara con el deber europeo de notificar
El deber europeo de notificar incidentes para los mayores modelos de IA figura en el artículo 55 del Reglamento de IA (AI Act), así que un cliente europeo dispone de un texto concreto con el que comparar.
El artículo 55, apartado 1, letra c, exige a los proveedores de modelos de IA de uso general con riesgo sistémico hacer seguimiento, documentar y notificar los incidentes graves "sin demora indebida" a la Oficina de IA y, cuando proceda, a las autoridades nacionales competentes. Tampoco fija un número de horas, pero designa al destinatario y está en un reglamento, mientras que la declaración estadounidense no nombra ninguna oficina receptora ni cita ninguna norma.
Cláusulas que pedir a su proveedor de IA este trimestre
Pida una cláusula de incidentes que use las definiciones, el plazo, el contacto y los remedios de la tabla anterior, además de aviso de cualquier informe que el proveedor haga a un organismo público y que afecte a sus datos o sistemas.
Pida el derecho a ver los registros de las acciones de agentes realizadas en su nombre. Un modelo de prueba envió formularios reales porque podía llegar a un sitio web activo, así que la pregunta para sus propios agentes es a qué pueden llegar y a quién se avisa cuando uno actúa fuera de su tarea.
Revise la cláusula cuando aparezca el texto estadounidense. Las informaciones no dan fecha para una definición ni para una sanción, así que trate la obligación de hoy como una señal y no como un estándar.
Leer a continuación: Anthropic desde el 12 de noviembre: cuatro cláusulas | Su promesa de seguridad le puede costar el contrato
