La creciente dependencia de los agentes de inteligencia artificial autónomos en áreas sensibles como la ciberseguridad, el análisis de datos y el desarrollo de software ha puesto de relieve la necesidad urgente de redefinir los límites de la responsabilidad legal entre los desarrolladores, los proveedores de servicios y las entidades usuarias. Este problema se ha puesto de manifiesto claramente con el descubrimiento de dos vulnerabilidades principales en el lenguaje de programación PHP con la ayuda de sistemas de inteligencia artificial, lo que ha suscitado amplios debates sobre las condiciones de legalidad de la investigación respaldada por la inteligencia artificial y la responsabilidad del acceso injustificado a los sistemas.
La naturaleza de la responsabilidad legal bajo la autonomía de los sistemas
El Dr. Samet Tatar, profesor de la Facultad de Derecho de la Universidad Yıldırım Beyazıt de Ankara, explicó que el descubrimiento de vulnerabilidades de seguridad a través de la inteligencia artificial no constituye en sí mismo una infracción legal, pero que si la investigación supera los límites del acceso no autorizado, puede dar lugar a diferentes umbrales legales. A diferencia del software tradicional, los agentes de inteligencia artificial tienen una capacidad única para ejecutar tareas de forma autónoma basándose en directrices.
Cuando el agente supera los límites de su autoridad delegada y accede a otras organizaciones o sistemas no previstos durante la ejecución de una tarea de seguridad interna, surgen complejas preguntas sobre la parte responsable. Dado que estos sistemas carecen de personalidad jurídica independiente, la distribución de la responsabilidad debe decidirse entre el desarrollador, la empresa proveedora, la entidad usuaria y la persona que otorgó la autoridad al agente, evaluando al mismo tiempo los elementos de intencionalidad o negligencia en el derecho penal, y la existencia de un nexo causal en el derecho civil.
El desafío de los agentes de inteligencia artificial fuera de control
El hecho de que los agentes de inteligencia artificial superen sus tareas y competencias asignadas sin intervención humana se denomina "agentes deshonestos" (Rogue Agents). Tatar subrayó que los marcos legales actuales se establecieron principalmente sobre la base del software tradicional que opera con instrucciones humanas directas, lo que hace que los mecanismos regulatorios sean incapaces de seguir el ritmo con el que estos sistemas descubren vulnerabilidades de seguridad, como ocurrió en la crisis de PHP.
Los expertos consideran que la legislación vigente en Turquía, incluida la Ley de Ciberseguridad número 7545, la Ley de Protección de Datos Personales número 6698 y el Código Penal Turco, proporciona una infraestructura básica para los delitos informáticos; sin embargo, sigue siendo insuficiente por sí sola para determinar las consecuencias jurídicas de las operaciones autónomas llevadas a cabo por la inteligencia artificial.
¿Qué cambia en la práctica?
Abordar esta brecha regulatoria requiere tomar medidas prácticas claras para garantizar la gobernanza y la gestión de riesgos, las cuales incluyen:
- Aclarar los límites legales y las competencias de los actos efectivos de los agentes de inteligencia artificial en las actividades de seguridad, determinando los casos en los que se debe obtener el consentimiento humano explícito.
- Establecer un mecanismo unificado y seguro para notificar a las empresas e instituciones pertinentes sobre las vulnerabilidades de seguridad descubiertas con la suficiente rapidez para evitar una explotación maliciosa.
- Garantizar la auditabilidad y la trazabilidad de todas las operaciones realizadas por los agentes para evaluar con precisión la responsabilidad en caso de que se produzcan infracciones.
- Aprovechar la experiencia digital y regulatoria en las transacciones gubernamentales y la legislación de seguridad para transferirla como un modelo regional eficaz en la gestión de la inteligencia artificial.