OpenAI se enfrenta a una demanda que aspira a marcar un antes y un después: ¿quién responde cuando una IA comete un delito?

El pasado mes de julio saltaba la noticia de que un modelo de OpenAI había escapado del entorno de pruebas y había hackeado los servidores de Hugging Face. Este incidente (el primero de muchos) fue la mecha que encendió el debate sobre los riesgos de una IA fuera de control. Sin embargo, el debate se ha centrado en cómo evitar nuevos incidentes y no tanto en una cuestión más inmediata: quién es responsable cuando un agente de IA se descontrola. 

La demanda. Cuentan en Wired que OpenAI ha sido demandada por el incidente en el que cerca de 700 agentes colaboraron para infiltrarse en Hugging Face. Lo curioso es que quien demanda no es la propia Hugging Face, sino una organización sin ánimo de lucro llamada 'Defensores legales de la ciencia y la tecnología seguras' o LAAST, por sus siglas en inglés. 

El delito. Según explica LAAST en un artículo publicado en su web, el ataque que ejecutaron los agentes de OpenAI viola varias leyes vigentes en California. La principal es la 'California Comprehensive Computer Data Access and Fraud Act', que básicamente es la ley anti-hackeo estatal. Los agentes accedieron a sistemas informáticos sin autorización, inyectaron malware y usaron servicios sin permiso. 

Además, también dicen que violaron la ley de competencia desleal al mantener prácticas de desarrollo de IA consideradas inseguras y desproporcionadas: desactivaron clasificadores de seguridad cibernética, ejecutaron agentes en tareas “imposibles” y continuaron operando tras observar escapes de los entornos de contención, para luego publicar una carta abierta pidiendo priorizar la ciberdefensa pese a haber generado parte de la amenaza.

La responsabilidad.  Es el punto clave de todo esto. Según LAAST, la excusa de que la IA actuó de forma autónoma no exime de responsabilidad a OpenAI. De hecho, explican que la ley en California lo contempla expresamente y que "no constituye una defensa alegar que la inteligencia artificial causó el daño de manera autónoma". Si el juez les da la razón, la responsabilidad pasa a ser de las empresas de IA, que se enfrentarían a consecuencias legales por los daños causados por sus modelos. 

La IA no tiene la culpa. Hace poco lo decía Scott Bessent, secretario del Tesoro de EEUU: "el incidente de Hugging Face es responsabilidad de la administración de OpenAI, no de un grupo de agentes". Y añadía que es la medida más efectiva para que los laboratorios garanticen la seguridad de la IA. 

En un reciente artículo publicado en el Wall Street Journal, Daniel Huttenlocher, decano del laboratorio de investigación de MIT, también era muy claro: "Los humanos tienen la culpa de los fallos de la IA".

Qué exigen. LAAST no reclama multas o indemnizaciones, lo que buscan con esta demanda es una orden judicial que cambie cómo opera OpenAI con sus agentes de IA. En concreto, piden prohibir el acceso a sistemas de terceros sin permiso, frenar prácticas de desarrollo consideradas inseguras (como desactivar clasificadores de ciberseguridad, ejecutar agentes en tareas "imposibles" y continuar tras escapes de los entornos de contención) y evitar que se repitan incidentes como el hackeo a Hugging Face. Su objetivo es preventivo, no económico, pero si ganan puede sentar jurisprudencia para futuros casos y cambiar las reglas del juego para los laboratorios.

Imagen | Xataka con Magnific

En Xataka | OpenAI cancela el lanzamiento de GPT-6.1 Astra: su propio equipo de seguridad ha visto que el modelo no era fiable