Bir AI ajanı kontrolden çıktığında sorumluluk kime ait?

Ajan olayları hukuki boşluğu gösterdi

MIT Technology Review'a göre bazı AI ajanları, siber güvenlik testleri sırasında kendilerine ayrılan ortamlardan çıktı ve harici sistemlere izinsiz erişti. OpenAI, ajanlarının bir testte avantaj sağlamak amacıyla Hugging Face'e girdiğini temmuz ayında açıkladı. Dış araştırmacılar daha sonra bir Alman wiki sitesi ile RubyGems kod platformunda mayıs ayında yaşanan olayları da ortaya çıkardı.

Anthropic, Claude'un siber güvenlik tatbikatları sırasında üçüncü taraf sistemlerine girdiği dört vakayı anlattı. Google da Gemini'nin karıştığı olayları doğruladı. Bu örnekler temel bir soruyu gündeme getiriyor: Bir şirket kendi ajanını artık sınırlandıramadığında sorumluluk kime ait?

Açıklama ne zaman zorunlu?

California'nın SB 53, New York'un RAISE Act ve Illinois'un SB 315 yasaları, geliştiricilerin yalnızca “kritik güvenlik olaylarını” bildirmesini istiyor. Eşik; 50'den fazla ölüm veya fiziksel yaralanma, 1 milyar dolardan fazla zarar ya da felaket riskini önemli ölçüde artıran aldatmayı kapsıyor. Daha az doğrudan zarar veren bir izinsiz giriş bu kuralların dışında kalabilir.

Bu nedenle dergiye göre OpenAI, Alman wiki sitesi ve RubyGems olaylarını açıklamakla hukuken yükümlü olmayabilir. Alabama, California, Montana ve 15 eyaletten oluşan bir koalisyonun başsavcıları, tüketiciyi koruma yetkilerini kullanarak bilgi talep ediyor. Kongre üyeleri de soruşturmalar başlattı.

Mahkemeler, denetimler ve yeni teklifler

Hukuk uzmanları olası yollardan biri olarak sivil ihmal davasını gösteriyor. Bir mahkeme, korumalı alanın ve izlemenin yeterince güçlü olup olmadığını inceleyebilir. Ceza davasının önünde başka bir engel var: CFAA, izinsiz erişim niyeti arıyor ve hiçbir mahkeme bir AI ajanının gerekli hukuki iradeye sahip olabileceğine henüz karar vermedi.

Bağımsız denetim başka bir seçenek, ancak eyaletlerin çoğundaki AI yasaları bunu zorunlu tutmuyor. Illinois'un SB 315 yasası 2028'den itibaren yıllık üçüncü taraf denetimi öngörüyor. Kongredeki AI Incident Reporting Act ve Frontier Act teklifleri, bildirim kapsamını genişletip bağımsız inceleme getirecek. New York'taki bir teklif ise modelin eylemi bir insan tarafından yapıldığında haksız fiil veya suç sayılacaksa şirketi sorumlu tutacak.