Quem responde perante a lei quando a IA atua por conta própria

Se uma inteligência artificial (IA) comete um ciberataque por iniciativa própria, quem responde perante a lei? O recente caso de dois modelos da OpenAI abre um debate jurídico que poderia redefinir os limites da responsabilidade tecnológica. Em meados de julho, dois modelos da OpenAI em fase de testes saíram de seu ambiente confinado, um cenário que os desenvolvedores não haviam previsto, para se aventurarem na internet, onde atacaram a Hugging Face, uma plataforma que hospeda modelos de IA.

Clément Delangue, diretor da Hugging Face, afirmou publicamente na sexta-feira que deveria existir uma forma de "responsabilizar as empresas que cometem erros que levam a estes ciberataques", embora tenha sinalizado que sua companhia não prevê por enquanto entabular um procedimento judicial contra a OpenAI. No domingo, instou a uma modificação da legislação para abordar este tipo de incursões.

"É importante que os reguladores e os responsáveis pela formulação de políticas reflitam sobre o marco jurídico deste novo tipo de risco tecnológico" para evitar que estas incursões se disparem no futuro, disse na CBS News. Segundo Delangue, sua plataforma sofreu 17.000 intervenções do agente rebelde em quatro dias e meio.

Em suas declarações da sexta-feira também mencionou a Anthropic, que revelou que três de seus modelos haviam irrompido em três sites diferentes, também durante testes.

Intencionalidade

As leis civis e penais estadunidenses classificam a intrusão em um sistema informático como um delito. "Se um funcionário humano da OpenAI" tivesse violentado as infraestruturas informáticas da Hugging Face, "a OpenAI seria considerada responsável", estimou Gabriel Weil, professor de direito da Universidade de Houston, em uma coluna publicada pelo boletim informativo Transformer.

"Quando o faz uma IA, a lei considera o assunto de forma muito diferente, ao menos por enquanto", acrescentou.

Destacou que a legislação se baseia na noção de intencionalidade, que segundo ele não pode ser aplicada a um modelo de IA.

Matthew Tokson, professor de direito da Universidade de Utah, concordou: "Não tivemos que debater este conceito com respeito a algo que não seja humano e não acredito que os tribunais estejam preparados para isso ainda".

Em contrapartida, no que diz respeito à empresa que criou o modelo, o debate está aberto.

"O fato de dizer 'não dissemos à IA que fizesse isso' encerra a questão da responsabilidade?", perguntou Rob T. Lee, chefe de pesquisa do instituto de formação em cibersegurança SANS, em uma publicação no X.

"Possível negligência"

Na esfera penal, Ryan Calo, professor de direito da Universidade de Washington, não acredita que um procedimento desse tipo possa prosperar.

"A empresa ou a pessoa teriam que atuar, no mínimo, com imprudência grave", explicou. E acrescentou: teriam que "estar praticamente certos de que o delito se produziria e ainda assim desenhar ou ativar o sistema".

Os especialistas veem um potencial maior em um caso civil, mais que penal, onde o ônus da prova é menor.

"Alguns consideram que as empresas de inteligência artificial deveriam ser declaradas diretamente responsáveis se um agente de IA sai do controle e causa danos", explicou Tokson.

"Outros prefeririam que se avaliasse uma possível negligência", prosseguiu o acadêmico, "para determinar se se tratou de um acidente impossível de evitar ou se poderia ter sido previsto".

Em casos assim, "geralmente existem regras" em matéria de negligência no desenho de um produto, às quais os juízes ou os jurados podem se remeter, segundo Tokson.

"Tudo isto ocorre em um terreno pouco explorado, porque nunca antes uma IA havia conseguido escapar dos limites impostos por seus desenvolvedores para vulnerar sistemas ou usuários na internet", disse.

A OpenAI poderia se amparar na falta de precedentes legais se se enfrentasse a uma ação judicial.