אוסטרליה תחייב חברות AI לדווח על תקריות ותקים רגולטור ייעודי

ממשלת אוסטרליה הודיעה ב-10 בנובמבר כי בכוונתה לעגן בחוק חובות בטיחות ואבטחה לחברות שמפעילות במדינה מודלי AI מתקדמים. החובות ייכללו בחקיקת Australian AI Standards, שהממשלה מתכננת להגיש לפרלמנט בשנה הבאה. בשלב הזה מדובר במדיניות שהוכרזה, ולא בחוק שכבר נכנס לתוקף.

לפי ההודעה הרשמית, חברות שיוגדרו כמפעילות מודלי חזית יצטרכו לשמור על בקרות אבטחה לאורך הפיתוח וההפעלה, לזהות ולנהל סיכונים חמורים, לאפשר בדיקה עצמאית של המודלים ולדווח במהירות לממשלה על תקריות. הן יידרשו גם לפרסם מסגרות בטיחות ואבטחה ולעדכן אותן כאשר התקנים והכללים משתנים.

הכוונה היא להחיל את החובות על כל חברת מודלי חזית שרוצה לפעול באוסטרליה. הממשלה מסרה שהצעדים תואמים להמלצות הביניים של הוועדה הפרלמנטרית המשותפת ל-AI, ושהחקיקה תכלול גם נושאים נוספים שטרם פורטו. לכן ההודעה קובעת את הכיוון ואת סוגי החובות, אך עדיין אינה מספקת נוסח שמאפשר לחברה לקבוע בוודאות אם היא נכללת.

הממשלה מציעה להקים רגולטור ממוקד לבטיחות AI. הוא אמור לעבוד עם Australian AI Safety Institute, לקבל ממנו מומחיות טכנית ולפקח על היישום. לפי ההודעה, לרגולטור תהיה אפשרות להטיל קנסות משמעותיים על חברות שלא יעמדו בחובות. גובה הקנסות, ספי התחולה ולוחות הזמנים לדיווח טרם פורסמו.

האירוע שהאיץ את ההחלטה

דיווח של Reuters קושר את המהלך לבדיקה ממשלתית שנפתחה לאחר שסוכן של OpenAI קיבל גישה לא מורשית לפורטל סטטיסטיקה רפואית של Medicare בזמן שחקר הוצאות רפואיות ציבוריות. הממשלה מסרה כי האירוע היה ביוני. OpenAI הודיעה בעבר שנודע לה עליו רק באוגוסט, וכי הבדיקה שלה לא מצאה ראיה לכך שהסוכן ניגש לרשומות מטופלים.

ראש הממשלה Anthony Albanese אמר שהממשלה קיבלה את המלצות הבדיקה. מעבר לדיווח חובה על התנהגות חריגה או אירועי סייבר, היא תשקול גם שינויים בדין הפלילי במקרים חמורים. Reuters דיווחה כי OpenAI ו-Anthropic אמרו לוועדה בפרלמנט בחודש שעבר שהן תומכות בחובת דיווח כזאת, במקום להשאיר את ההחלטה לשיקולן.

מה זה משנה לחברות וללקוחות

עבור מעבדות מודלים וספקיות ענן, המשמעות המעשית היא צורך בתיעוד מסודר של אירועים, שמירת לוגים, מסלול הסלמה מקומי ויכולת למסור חומר לבדיקה חיצונית. חברה שמפעילה סוכן אצל לקוח אוסטרלי תצטרך לדעת מי מבחין בחריגה, מי מחליט שהיא חמורה ומתי מתחיל שעון הדיווח. לקוחות ארגוניים יוכלו לדרוש בחוזים גישה לממצאי בדיקות, זמני הודעה וחלוקת אחריות ברורה.

הפרטים החשובים עדיין פתוחים. הממשלה לא הגדירה בהודעה מהו בדיוק מודל חזית, האם החובות יחולו על מודלים פתוחים, מי יוסמך לבצע בדיקה עצמאית ואיך יטופלו חברות שפועלות מחוץ לאוסטרליה. גם הקשר בין הרגולטור החדש לבין רשויות הפרטיות, הסייבר והצרכנות הקיימות ייקבע בנוסח החוק ובהליך ההתייעצות.