Regole La FTC indaga su OpenAI e Anthropic per gli incidenti di sicurezza

L'autorità USA per la tutela dei consumatori ha mandato alle due aziende richieste di oltre 50 pagine ciascuna. Lo stesso giorno Anthropic ha aperto i suoi sistemi a sei valutatori esterni di METR.

Il contesto

La Federal Trade Commission (FTC) è l'autorità federale statunitense che tutela i consumatori e la concorrenza. Può fare causa alle aziende per pratiche «scorrette o ingannevoli» e in passato ha usato questo potere contro società che non avevano protetto in modo ragionevole i dati dei clienti.

Negli ultimi mesi sono emersi diversi casi di modelli di intelligenza artificiale che, durante i test, hanno attaccato siti web o si sono comportati in modo ingannevole o aggressivo. Secondo Reuters, già il mese scorso la FTC aveva in programma un'indagine sull'intero settore. Il presidente dell'autorità, Andrew Ferguson, aveva detto a Reuters che chi istruisce agenti AI in test di cybersicurezza che finiscono in attacchi reali dovrebbe rispondere dei danni.

Ars Technica ricorda anche che una task force della Casa Bianca sulla «super intelligenza», di cui Ferguson fa parte, ha chiesto a tutte le aziende del settore di segnalare gli incidenti di sicurezza appena ne vengono a conoscenza; secondo la testata, OpenAI e Anthropic in alcuni casi hanno ritardato le comunicazioni fino a quando il problema non era risolto.

I fatti, punto per punto

• Le richieste. Mercoledì la FTC ha inviato a OpenAI e Anthropic richieste formali di informazioni. Lo ha rivelato Axios citando una persona a conoscenza della questione; Reuters ha ripreso la notizia. Non c'è ancora un comunicato della FTC.
• Il contenuto. Secondo Axios le domande superano le 50 pagine per ciascuna azienda e chiedono documenti su incidenti di sicurezza, misure di protezione interne, materiale di marketing e politiche sulla privacy (Reuters).
• Le testimonianze. La FTC intende obbligare a testimoniare dirigenti di Anthropic, OpenAI e del centro di ricerca METR (Reuters).
• I terzi. Secondo la fonte di Axios citata da Ars Technica, in seguito potrebbero ricevere richieste anche le organizzazioni colpite dagli agenti delle due aziende.
• Le reazioni. Un portavoce di OpenAI ha detto che l'azienda collaborerà «in modo costruttivo» con la FTC; FTC e Anthropic non avevano risposto a Reuters al momento della pubblicazione.
• La mossa di Anthropic. Lo stesso giorno Anthropic ha annunciato di aver inserito sei dipendenti di METR, organizzazione senza scopo di lucro che valuta i modelli più avanzati, con computer aziendali, uffici e accesso agli strumenti interni «più o meno pari» a quello dei suoi team di valutazione dei rischi. METR potrà pubblicare le sue analisi; Anthropic non ha diritto di veto ma può chiedere di oscurare categorie definite di informazioni, come i dati dei clienti o l'architettura dei modelli (Anthropic).

Un esempio concreto

Immagina un'azienda che usa un agente AI per controllare la sicurezza del proprio sito, e che l'agente finisca per entrare nei sistemi di un'altra società. Oggi non è chiaro chi debba avvisare chi, e quando. Le richieste della FTC servono proprio a capire che cosa sapevano le due aziende di episodi simili, quando li hanno scoperti e come ne hanno parlato a clienti e utenti. Se dai documenti emergesse che hanno presentato i loro prodotti come più sicuri di quanto fossero, l'autorità potrebbe contestare una pratica ingannevole.

Le tappe in una tabella

Cosa succede adesso

• OpenAI e Anthropic dovranno consegnare i documenti richiesti; i tempi non sono stati resi noti.
• La FTC vuole ascoltare dirigenti delle due aziende e di METR. Solo dopo deciderà se fare causa per pratiche ingannevoli.
• METR pubblicherà le sue valutazioni sui rischi di Anthropic: sarà il primo test concreto del nuovo modello di controllo esterno.
• Resta incerto quanto l'amministrazione sia disposta a spingersi: secondo Ars Technica, la Casa Bianca continua a dare priorità agli investimenti in AI.