Ένα πρωτοφανές νομικό τοπίο ευθυνών διαμορφώνεται γύρω από τους AI agents, καθώς αυτόνομα μοντέλα κορυφαίων τεχνολογικών εταιρειών προχωρούν σε παραβιάσεις ξένων κυβερνοϋποδομών χωρίς ανθρώπινη εντολή ή επίβλεψη. Σύμφωνα με δημοσίευμα του Reuters, oι διαδοχικές αποκαλύψεις για συστήματα που δρουν ανεξέλεγκτα εγείρουν πλέον κρίσιμα ερωτήματα σχετικά με το ποιος φέρει την τελική αστική ευθύνη σε περιπτώσεις αυτόνομων ψηφιακών επιθέσεων.
Οι πράκτορες τεχνητής νοημοσύνης λειτουργούν ως αυτόνομα συστήματα λήψης αποφάσεων και εκτέλεσης εργασιών, χωρίς να απαιτούν σημαντική ανθρώπινη παρέμβαση. Ήδη, η δημιουργός του ChatGPT, OpenAI, επιβεβαίωσε την παραβίαση των συστημάτων της νεοφυούς Hugging Face από δικό της πράκτορα, καταγράφοντας παράλληλα και άλλα περιστατικά όπου τα μοντέλα της διέφυγαν από το ψηφιακό περιβάλλον περιορισμού. Αντίστοιχα, η Anthropic παραδέχθηκε πως τα δικά της μοντέλα Claude παραβίασαν τα δίκτυα τριών εταιρειών από τον φετινό Απρίλιο. Από την πλευρά της, η Meta ανέφερε παραβίαση τρίτης εταιρείας κατά τη διάρκεια δοκιμών κυβερνοασφάλειας, αποδίδοντας την ευθύνη σε λανθασμένη ρύθμιση της ανεξάρτητης εταιρείας αξιολογήσεων Irregular, η οποία έδωσε ακούσια πρόσβαση στο διαδίκτυο σε ένα από τα μοντέλα της. Η Irregular, η OpenAI, η Hugging Face και η Anthropic δεν ανταποκρίθηκαν άμεσα σε αιτήματα για σχολιασμό.
Ο διευθύνων σύμβουλος της Hugging Face, Κλεμέν Ντελανγκί, ξεκαθάρισε ότι δεν προτίθεται να καταθέσει αγωγή κατά της OpenAI. Ωστόσο, σε συνέντευξή του στο δίκτυο CBS, εξέφρασε την έντονη ανησυχία του για την εξάπλωση κυβερνοεπιθέσεων από AI agents χωρίς λογοδοσία των δημιουργών τους, χαρακτηρίζοντας το φαινόμενο ως «ένα νέο είδος τεχνολογικού κινδύνου».
Ποιοι δικαιούνται να ασκήσουν αγωγή
Στο στόχαστρο των μελλοντικών νομικών προσφυγών αναμένεται να βρεθούν οι εταιρείες ανάπτυξης. Δικαίωμα αγωγής διατηρούν οι εταιρείες-θύματα των οποίων οι άμυνες κυβερνοασφάλειας παραβιάστηκαν, οι εργαζόμενοί τους, καθώς και οι πελάτες, εφόσον εκτεθούν προσωπικά δεδομένα. Παράλληλα, νομικές αξιώσεις μπορούν να εγείρουν και οι μέτοχοι, εάν η παραβίαση προκαλέσει πτώση της χρηματιστηριακής αποτίμησης. Επιπρόσθετα, ρυθμιστικές αρχές και κρατικές υπηρεσίες επιβολής του νόμου θα δύνανται να κινηθούν νομικά. Οι αμερικανικές αρχές, άλλωστε, έχουν ήδη στραφεί εναντίον επιχειρήσεων για παραπλανητική παρουσίαση των μέτρων κυβερνοασφάλειας πριν καν υποστούν παραβίαση.
Ποιες αξιώσεις θα μπορούσαν να υποβληθούν
Νομικοί κύκλοι τονίζουν ότι οι υπάρχουσες νομικές αρχές επαρκούν για τον καταλογισμό ευθυνών απέναντι στους ανεξέλεγκτους AI agents. Οι αστικές αγωγές θα εδράζονται σε ισχυρισμούς αμέλειας, απαιτώντας από τους ενάγοντες να αποδείξουν ότι το εργαστήριο AI απέτυχε να λάβει προφυλάξεις για την αποτροπή προβλέψιμων ζημιών. Όσο τα περιστατικά πυκνώνουν, τόσο ευκολότερη καθίσταται η νομική απόδειξη της «προβλεψιμότητας». Στο τραπέζι μπαίνει και ο ομοσπονδιακός νόμος Computer Fraud and Abuse Act (Νόμος περί απάτης και κατάχρησης υπολογιστών – CFAA), με τις δικηγορικές εταιρείες να επισημαίνουν ότι οι αποκαλύψεις των OpenAI και Anthropic εγείρουν ερωτήματα ευθύνης. Ωστόσο, ο CFAA απαιτεί την απόδειξη «πρόθεσης» – μια συνθήκη εξαιρετικά αχαρτογράφητη όταν η εισβολή προκαλείται από αλγόριθμο και όχι από άνθρωπο. Ενδεικτικά, στις 5 Αυγούστου, Εφετείο των ΗΠΑ έκρινε ότι η Amazon ήταν απίθανο να κερδίσει αξίωση βάσει του CFAA κατά της Perplexity (της οποίας οι AI agents απέκτησαν κρυφά πρόσβαση σε ιδιωτικούς λογαριασμούς πελατών της), ακριβώς επειδή οι πράκτορες ενεργούσαν για λογαριασμό ανθρώπινων χρηστών και όχι ως πλήρως αυτόνομα μοντέλα.
Ποιος θα μπορούσε να είναι ο υπεύθυνος
Στις Ηνωμένες Πολιτείες, κύριος στόχος των αγωγών παραμένει η κατασκευάστρια εταιρεία του AI agent, χωρίς να αποκλείεται η νομική εμπλοκή όσων αναπτύσσουν ή χρησιμοποιούν τον αλγόριθμο, ή ακόμη και των ίδιων των επιχειρήσεων που υπέστησαν την παραβίαση λόγω κενών ασφαλείας. Ειδικοί της αγοράς παρομοιάζουν το επικείμενο νομικό ντόμινο με την περίπτωση όπου ένας ιδιοκτήτης μηνύει το κατάστημα λιανικής για ένα ελαττωματικό προϊόν και, στη συνέχεια, το κατάστημα μηνύει τον κατασκευαστή.
Ποιες οι πιθανές υπερασπιστικές γραμμές
Στην υπερασπιστική τους γραμμή, οι πάροχοι τεχνολογίας αναμένεται να προτάξουν τον ακούσιο χαρακτήρα των επιθέσεων, υποστηρίζοντας ότι οι ενέργειες του AI agent δεν μπορούσαν να προβλεφθούν εύλογα. Εντούτοις, το ρυθμιστικό πλαίσιο ήδη αυστηροποιείται: ο νέος νόμος της Πολιτείας της Καλιφόρνια (Assembly Bill 316) απαγορεύει πλέον στους εναγόμενους να αποφεύγουν την ευθύνη ισχυριζόμενοι ότι έφταιγε αποκλειστικά η τεχνολογία. Ο νόμος, ωστόσο, επιτρέπει άλλες υπερασπιστικές δικλείδες, όπως τον ισχυρισμό της απουσίας αιτιώδους συνάφειας (ότι δηλαδή η συμπεριφορά της εταιρείας δεν προκάλεσε άμεσα τη ζημία) ή τον καταμερισμό της ευθύνης σε πολλαπλά μέρη.
