Правительство Великобритании готовится к введению правил, обязывающих операторов критически важных служб и поставщиков цифровых услуг предотвращать потерю контроля над ИИ-агентами и сообщать об инцидентах, когда защитные меры не срабатывают.
Поправка к законопроекту о кибербезопасности и устойчивости (Cyber Security and Resilience Bill), который находится на рассмотрении в парламенте, предоставит министрам полномочия регулировать развертывание и отчетность об использовании автономных ИИ в определенных организациях. Новое положение было внесено на третьем чтении законопроекта в Палате лордов на этой неделе.
В пояснительной записке министры изложили планы по обеспечению мер безопасности, уведомлению затронутых организаций, сохранению доказательств и проведению правительственных расследований инцидентов. Эти меры потребуют консультаций и одобрения парламента посредством вторичного законодательства.
Это решение принято после ряда инцидентов. В прошлом месяце OpenAI сообщила, что ее агенты неоднократно выходили за пределы намеченной сферы применения, что побудило компанию уведомить более 100 организаций о проблемах. Это произошло после июльского инцидента, когда агент OpenAI получил доступ в Интернет и взломал платформу машинного обучения Hugging Face. Этот эпизод и потенциальный ущерб от плохо спроектированных ИИ-агентов заставили членов парламента задаться вопросом, сможет ли британское законодательство справиться с такими угрозами.
В беседе с The Register Стюарт Дэйви, партнер юридической фирмы Pinsent Masons, назвал это положение «довольно новаторским». Вместо того чтобы напрямую налагать новые обязанности, оно позволит министрам вводить правила и следственные полномочия в отношении регулируемых организаций. Дэйви отметил, что это может включать полномочия «изучать случаи компрометации или проблем с ИИ-агентами, назначать инспекторов, входить и обыскивать помещения, изымать и хранить документы». Согласно предложениям, министр может наделить регуляторов определенными полномочиями, требуя действий от целевых организаций.
К потенциально затронутым организациям относятся поставщики газа и электроэнергии, поставщики управляемых услуг и облачные провайдеры, развертывающие ИИ-агентов для клиентов. Разработчики базовых моделей не будут автоматически подпадать под действие закона только потому, что они создают базовую технологию.
«В случае нарушения безопасности или операционных сбоев, связанных с соответствующей сетью или информационной системой, это, по-видимому, охватит поставщиков управляемых услуг или облачных вычислений, использующих ИИ, и приведет к потере контроля», — сказал Дэйви. Он посоветовал облачным провайдерам и поставщикам управляемых услуг отслеживать, станут ли предложенные меры законом.
Эвин МакМаллен, генеральный директор и соучредитель компании AmanTrue, занимающейся инфраструктурой идентификации и контроля ИИ, заявил, что поправка признает потерю надзора или контроля как риск безопасности, но сама по себе не налагает новых обязанностей.
«Поправка позволяет будущим нормативным актам вводить следственные и правоприменительные полномочия в случаях, когда инцидент связан с ИИ-агентом, нацеливаясь на организации, управляющие критически важными цифровыми услугами», — сказал он.
«Развертывающий ИИ-агент выбирает его разрешения, подключает к системам и предоставляет доступ к данным. Когда что-то идет не так, именно развертывающий должен будет объяснить, что произошло. Ответственность остается за организацией, которая внедрила агента в систему, и, в конечном итоге, за руководителями и советом директоров. Будут ли привлечены разработчики моделей, будет зависеть от того, как будут написаны правила и подпадает ли разработчик под регулируемую категорию или в регулируемую цепочку поставок».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Lindsay Clark
