La Comisión Federal de Comercio de EE. UU. (FTC) investigaría, según informes, a OpenAI y Anthropic por posibles daños a los consumidores relacionados con incidentes de seguridad en sus agentes de IA.
Ars Technica informó, citando a una fuente interna no identificada que habló con Axios, que la FTC envió a ambas empresas requerimientos de investigación civil de más de 50 páginas. Las solicitudes buscan documentos sobre los incidentes, las medidas internas de seguridad y los materiales de marketing que podrían haber inducido a error a los consumidores.
Las solicitudes someten a escrutinio regulatorio la gestión y la presentación que las empresas hacen de la seguridad de sus agentes. No establecen que ninguna de las dos empresas haya infringido la ley de protección al consumidor. La información obtenida en la investigación podría respaldar un litigio si la FTC decide más adelante demandar a OpenAI, a Anthropic o a ambas por productos presuntamente inseguros.
Sitios web gubernamentales y solicitudes de visado
En general, los incidentes se describieron como casos en los que modelos de IA hackearon sitios web o vulneraron sistemas gubernamentales durante las pruebas. Dos ejemplos publicados por TIME ofrecen una visión más concreta de la conducta bajo examen:
- Un agente de Anthropic presentó 19 solicitudes de visado de no inmigrante.
- Agentes de OpenAI interactuaron con varios sitios web gubernamentales de «formas inesperadas».
Según el mismo reportaje, Anthropic y OpenAI retrasaron las notificaciones de incidentes de seguridad, a veces hasta que los problemas ya estaban resueltos. El reportaje no vinculó ese patrón de notificación con ninguno de los dos ejemplos.
OpenAI y Anthropic no respondieron a las solicitudes de comentario de Ars Technica. La FTC tampoco respondió a la consulta de la publicación sobre los requerimientos de investigación.
Terceros y METR podrían verse implicados en la investigación
La fuente de Axios dijo que también se citaría «pronto» a terceros a los que apuntaron los agentes de OpenAI y Anthropic. Eso ampliaría la investigación más allá de los registros que tienen los dos desarrolladores.
Reuters informó en septiembre que se esperaba la investigación de la FTC y que METR, un grupo de investigación independiente que analiza los incidentes, probablemente también recibiría una citación.
Para las organizaciones y los investigadores afectados, la consecuencia práctica podría ser, por tanto, la obligación de conservar y entregar documentos relacionados con las pruebas y con los incidentes resultantes. Para OpenAI y Anthropic, los requerimientos sitúan sus controles de seguridad, sus prácticas de notificación de incidentes y sus afirmaciones dirigidas a los consumidores dentro del alcance de la investigación de la FTC.
Ferguson apunta a las facultades existentes de protección al consumidor
El presidente de la FTC, Andrew Ferguson, dijo a Reuters en septiembre que las empresas deberían responder por los daños causados por chatbots. Sostuvo que los sistemas de IA actúan según instrucciones y afirmó que la revisión de los registros de auditoría había mostrado sistemas que ejecutaban las órdenes recibidas.
Ferguson también preside la «Super Intelligence» (SI) Force de la administración Trump, que supervisa los riesgos de la IA. Axios informó de que una de las primeras órdenes de este grupo de trabajo exige a las empresas de IA que notifiquen los incidentes de seguridad en cuanto tengan conocimiento de ellos.
En lugar de buscar normas nuevas específicas para la IA, Ferguson ha defendido recurrir a las facultades legales existentes. Citó la facultad de la FTC para actuar contra las empresas que no informan de brechas de datos, y dijo que esa norma «también podría aplicarse a los desarrolladores de IA».
Ars Technica planteó la posibilidad teórica de que se acumulen multas por cada infracción y por cada día en que el daño siga sin notificarse. En la investigación reportada no se ha impuesto ninguna sanción de este tipo, y cualquier demanda o acción de ejecución requeriría una nueva decisión de la FTC.
