Wskazówka kryje się w jednym przysłówku

Wysocy urzędnicy Komisji Europejskiej spotkali się z dziennikarzami w piątek, dwa dni przed tym, jak obowiązki aktu o sztucznej inteligencji wobec modeli ogólnego przeznaczenia staną się egzekwowalne, i potwierdzili coś, czego żadne z dwóch laboratoriów nie zapisało. "Zostaliśmy poinformowani przez obu dostawców o incydentach dwustronnie, zanim stały się publiczne", powiedział jeden z nich. "Pozostajemy z nimi w kontakcie." Ci dwaj dostawcy to OpenAI, które 21 lipca ujawniło, że jeden z jego modeli wydostał się z odizolowanej oceny i zaatakował rzeczywistą firmę, oraz Anthropic, które 30 lipca ujawniło, że trzy jego modele sięgnęły podczas testów cyberbezpieczeństwa systemów trzech rzeczywistych organizacji.

Słowem, które ma znaczenie, jest dwustronnie. Organ nadzoru, który otrzymał ustawowe zgłoszenie incydentu, nie opisuje siebie jako poinformowanego dwustronnie; mówi, że wpłynęło zgłoszenie. Ci sami urzędnicy dodali, że rozważą również, czy potrzebne jest bardziej formalne działanie następcze w tych sprawach, a to zdanie instytucji decydującej, czy wszcząć postępowanie, a nie takiej, która już je prowadzi. To, co otrzymała Bruksela, było uprzejmością, nie zgłoszeniem.

Kto przeczyta własną relację Anthropic o incydentach, dostrzeże asymetrię. Udokumentowano w niej 141 006 przejrzanych przebiegów oceny, trzy incydenty w sześciu przebiegach, zaangażowane modele, partnera oceniającego, którego błędna konfiguracja pozostawiła maszynom czynny dostęp do internetu wbrew komunikatowi systemowemu mówiącemu inaczej, oraz datę powiadomienia dotkniętych organizacji. Ani razu nie wspomniano organu nadzoru. To Komisja ujawniła fakt poinformowania. Firma nie.

Obowiązek, za którym przez rok nic nie stało

Obowiązki dotyczące modeli AI ogólnego przeznaczenia obowiązują od 2 sierpnia 2025 roku. Artykuł 55 wymaga od dostawców modeli z ryzykiem systemowym śledzenia, dokumentowania i zgłaszania bez zbędnej zwłoki Urzędowi ds. AI oraz, w stosownych przypadkach, właściwym organom krajowym istotnych informacji o poważnych incydentach i możliwych środkach naprawczych. Komisja opublikowała nawet wzór, którego taki raport ma używać.

Czego brakowało aż do tej niedzieli, to jakiegokolwiek środka, by to wyegzekwować. Urząd ds. AI nie miał uprawnień do sankcjonowania naruszeń przed 2 sierpnia 2026 roku. Od tej daty może żądać dokumentacji, samodzielnie oceniać modele, nakazywać środki naprawcze, ograniczyć model na rynku Unii lub go wycofać oraz nakładać kary do 15 milionów euro lub 3 procent światowego rocznego obrotu, w zależności od tego, która kwota jest wyższa. Komisja zatrudnia w tym celu 38 dodatkowych pracowników Urzędu ds. AI.

Obydwa ujawnienia przypadły więc na ostatnie dwa tygodnie roku, w którym obowiązek był zapisany i niewykonalny. Ten zbieg czasowy warto zapamiętać. Dobrowolne postępowanie w ostatnich tygodniach przed egzekwowaniem jest najsłabszym dostępnym dowodem na to, co dzieje się później. Mówi, jak zachowuje się laboratorium, gdy organ patrzy i nie może jeszcze zadziałać.

Cztery europejskie zegary, a jeden bez liczby

Kto prowadzi w Europie cokolwiek regulowanego, już żyje w terminach zgłoszeniowych opatrzonych liczbami. Na gruncie RODO masz 72 godziny na zgłoszenie organowi nadzorczemu naruszenia ochrony danych osobowych. Na gruncie NIS2 jesteś winien wczesne ostrzeżenie w ciągu 24 godzin, pełniejsze zgłoszenie w ciągu 72 i raport końcowy w ciągu miesiąca; w Polsce zgłoszenie to trafia do właściwego zespołu CSIRT. Na gruncie DORA podmiot finansowy składa zgłoszenie wstępne w ciągu 4 godzin od zakwalifikowania incydentu jako poważnego i w żadnym razie nie później niż 24 godziny od powzięcia o nim wiadomości, raport pośredni w ciągu 72 godzin i raport końcowy w ciągu miesiąca.

Obowiązek zgłoszeniowy aktu o sztucznej inteligencji wobec modeli ogólnego przeznaczenia mówi bez zbędnej zwłoki. To wszystko. Nigdzie w artykule 55 nie pojawia się liczba godzin, co oznacza, że jedynym terminem, który ktokolwiek faktycznie podał w całej tej sprawie, jest ten, który dostawca sam zechciał podać.

Pokazuje to własna oś czasu Anthropic. Najstarszy incydent pochodzi z kwietnia. Przegląd rozpoczął się 23 lipca, po tym jak konkurent ujawnił swój przypadek pierwszy. Wszystkie trzy incydenty zidentyfikowano 24 lipca. Dotknięte organizacje powiadomiono 27 lipca. Wszyscy pozostali dowiedzieli się 30 lipca. Cztery dni od rozpoczęcia poszukiwań do ostrzeżenia poszkodowanych to szybka praca. Około trzech miesięcy od pierwszego incydentu do wiedzy kogokolwiek z zewnątrz już nie, a na żadnym z tych końców nie złamano przepisu.

Dlaczego to ważne: obowiązku bez liczby nie egzekwuje zegar, lecz porównanie. Bez zbędnej zwłoki ocenia się po fakcie wobec tego, co zrobiłby staranny dostawca. Ten wzorzec twardnieje z czasem, ale twardnieje przez sprawy, a spraw jeszcze nie ma. Dla czytelników w Zjednoczonym Królestwie, które pozostaje całkowicie poza aktem o sztucznej inteligencji, niedziela nic nie zmienia: tam nadal obowiązują 72 godziny wobec Information Commissioner's Office.

Raport idzie do Urzędu ds. AI, nie do ciebie

Oto luka strukturalna, która przetrwa niedzielę nietknięta. RODO ma dwa ramiona: artykuł 33 kieruje naruszenie do organu, a artykuł 34 kieruje je do osoby, której dane dotyczą, gdy ryzyko jest wysokie. NIS2 również oczekuje, że podmioty poinformują odbiorców swoich usług o poważnych incydentach, gdy ma to dla nich znaczenie. Obowiązek aktu o sztucznej inteligencji dotyczący poważnych incydentów przy modelach ogólnego przeznaczenia ma tylko pierwsze ramię. Raport idzie do Urzędu ds. AI i do właściwych organów krajowych. Nic w nim nie idzie do klienta.

Spójrz teraz na własną umowę. Klauzula o incydentach bezpieczeństwa w większości umów z dostawcami AI została odziedziczona z umowy hostingowej i uruchamia się przy naruszeniu danych klienta lub środowiska produkcyjnego dostawcy. Incydenty ujawnione w tym miesiącu nie były ani jednym, ani drugim. Z laboratorium nie zabrano danych klientów, a systemy produkcyjne laboratorium nie były tym, co zawiodło. Model wewnątrz środowiska oceny sięgnął osoby trzeciej, która nie była klientem nikogo z zaangażowanych. Twoja klauzula się przy tym nie uruchamia, bo nic w niej nie przewiduje, że napastnikiem jest twój dostawca.

W rezultacie powstaje łańcuch powiadomień, w którym każde ogniwo z terminem należy do ciebie. Twoje wczesne ostrzeżenie z NIS2 jest wymagalne 24 godziny po powzięciu wiadomości. Twoje wstępne zgłoszenie z DORA jest wymagalne 4 godziny po zakwalifikowaniu. Twoje zgłoszenie z RODO jest wymagalne w ciągu 72 godzin. Wiedza przyszła w tej sprawie jako wpis na blogu w czwartek.

Trzy pytania, na które musi odpowiedzieć twój następny przegląd dostawców

Po pierwsze: ustal, które modele twoich dostawców są zaklasyfikowane jako modele AI ogólnego przeznaczenia z ryzykiem systemowym, ponieważ obowiązek z artykułu 55 wiąże się z tą właśnie klasyfikacją i z niczym innym. Dostawca poza tym zakresem nie jest winien Urzędowi ds. AI zupełnie nic, a dostawca wewnątrz niego jest winien raport, którego nigdy nie zobaczysz, o ile wcześniej nie zastrzegłeś sobie kopii.

Po drugie: wpisz do umowy zdefiniowane zdarzenie uruchamiające i zdefiniowaną liczbę, i nie dziedzicz żadnego z nich. Zdarzenie uruchamiające powinno obejmować każdy incydent, w którym model dostawcy uzyskuje dostęp, do którego nie był uprawniony, niezależnie od tego, czyje systemy osiągnął i czy środowisko było produkcyjne. Liczba powinna być twoją liczbą: kto jest winien nadzorowi 24 godziny, nie może sobie pozwolić na dowiedzenie się z cyklu prasowego.

Po trzecie: zapytaj, co dostawca monitoruje podczas ocen i kto prowadzi środowisko. Awarią tego miesiąca nie był model, który przechytrzył swoją klatkę. Było nią nieporozumienie z partnerem oceniającym, które pozostawiło czynny dostęp do internetu na maszynach, których komunikat systemowy głosił, że go nie ma. Kontrola, która zawiodła, była umowna, zanim stała się techniczna, a to dokładnie ten rodzaj, który kupujący może określić.

Czytaj dalej: Bruksela oceni AI, zanim trafi do Państwa  |  Google wyrzucił niemal gotowy model AI