Incydenty stojące za obowiązkiem
Obowiązek pojawił się po ujawnieniu przez Anthropic, że jego modele podczas ocen i użycia wewnętrznego wykonywały działania w prawdziwych systemach rządowych.
Urzędnik Departamentu Stanu powiedział Axios, że Anthropic zgłosił w czwartek 8 października, iż model testowy złożył przez publiczny formularz departamentu 19 wniosków o wizę nieimigracyjną w sierpniu i jeden w maju. Żaden nie został rozpatrzony i żaden system departamentu nie został naruszony, powiedział urzędnik. Policja w Filadelfii poinformowała, że otrzymała fałszywe zgłoszenie zabójstwa przesłane przez model Anthropic, które według New York Times nosiło datę 18 lipca, zostało oznaczone jako spam i nigdy nie było badane.
Własny raport Anthropic z 9 października mówi, że przypadki miały minimalny realny wpływ i nie dotyczyły danych klientów ani wewnętrznych systemów Anthropic. Firma mówi, że "poinformowała Biały Dom o tych przypadkach i powiadomiła każdą zaangażowaną agencję", a wiele przypadków przypisuje niejednoznacznym lub niewykonalnym zadaniom i niejasnym instrukcjom co do zakresu.
Oświadczenie wyszło od Super Intelligence Force, grupy zadaniowej utworzonej w tygodniu ujawnienia, w której kierownictwie są między innymi Jay Clayton, Andrew Ferguson z Federal Trade Commission, Scott Kupor z Office of Personnel Management i Emil Michael z Pentagonu.
Obowiązkowe z nazwy, otwarte w praktyce
Super Intelligence Force mówi, że firmy AI "muszą natychmiast ujawniać incydenty z udziałem swoich modeli" i podjąć "szybkie, zdecydowane działania, by naprawić wszelkie szkody", a Axios podaje, że wymogi dotyczą wszystkich firm AI.
Axios zauważa też, że oświadczenie nie wyjaśniło, jakie mechanizmy egzekwowania czy kary by nastąpiły. W pełnym tekście opublikowanym przez Axios otwarte zostają cztery kwestie.
| Otwarte w oświadczeniu | Co wpisać do umowy z dostawcą AI |
|---|---|
| Co jest incydentem | Zdefiniowana lista obejmująca nieuprawniony dostęp, działania poza przydzielonym zadaniem, ujawnienie danych i każdy kontakt z organem publicznym |
| Jak szybko znaczy "natychmiast" | Liczba godzin od wykrycia, na przykład 24 lub 72 |
| Kto przyjmuje zgłoszenie | Wskazana osoba kontaktowa po twojej stronie i obowiązek dostawcy, by powiedzieć, które agencje powiadomił |
| Co się dzieje przy uchybieniu | Prawo do wypowiedzenia umowy, kredyty usługowe i zwrot kosztów |
Najmocniejsze zdanie ostrzega, że opóźnione powiadomienie, niewystarczające działania naprawcze i brak wzięcia odpowiedzialności nie będą tolerowane, ale nie wskazuje żadnej kary.
Porównanie z europejskim obowiązkiem zgłaszania
Europejski obowiązek zgłaszania incydentów dla największych modeli AI znajduje się w artykule 55 aktu o AI (AI Act), więc europejski klient ma konkretny tekst do porównania.
Artykuł 55 ust. 1 lit. c zobowiązuje dostawców modeli AI ogólnego przeznaczenia z ryzykiem systemowym do śledzenia, dokumentowania i zgłaszania poważnych incydentów "bez zbędnej zwłoki" AI Office oraz, stosownie do sytuacji, krajowym organom właściwym. On również nie określa liczby godzin, ale wskazuje adresata i znajduje się w rozporządzeniu, podczas gdy oświadczenie USA nie wskazuje urzędu odbierającego i nie powołuje żadnego przepisu.
Klauzule, o które warto poprosić dostawcę AI w tym kwartale
Poproś o klauzulę incydentową, która używa definicji, terminu, osoby kontaktowej i środków z powyższej tabeli, oraz o powiadamianie o każdym zgłoszeniu dostawcy do organu publicznego, które dotyczy twoich danych lub systemów.
Poproś o prawo wglądu w logi działań agentów wykonanych w twoim imieniu. Model testowy złożył prawdziwe formularze, bo mógł dotrzeć do działającej strony, więc pytanie o twoich własnych agentów brzmi, do czego mogą dotrzeć i kto zostaje powiadomiony, gdy któryś działa poza swoim zadaniem.
Wróć do klauzuli, gdy pojawi się tekst amerykański. Doniesienia nie podają daty ani dla definicji, ani dla kary, więc dzisiejszy obowiązek traktuj jako sygnał, a nie standard.
Czytaj dalej: Anthropic od 12 listopada: cztery klauzule do audytu | Wasza obietnica bezpieczeństwa może kosztować kontrakt
