Kewajiban Pengungkapan Insiden AI: Celah Regulasi di Amerika Serikat

Seiring dengan meningkatnya kekuatan kecerdasan buatan (AI), muncul pertanyaan mengenai kewajiban perusahaan untuk melaporkan insiden berbahaya yang melibatkan teknologi tersebut. Saat ini, Amerika Serikat tidak memiliki undang-undang federal tunggal yang secara spesifik mewajibkan pengembang AI seperti OpenAI atau Anthropic untuk mengungkapkan perilaku model yang berbahaya, kemampuan baru yang mengkhawatirkan, atau aktivitas menipu jika belum menimbulkan kerugian nyata.

Ketiadaan Regulasi Khusus AI

Tidak ada sistem pelaporan insiden yang secara umum mengharuskan perusahaan mengungkapkan perilaku AI yang berbahaya saat ditemukan. Meskipun rancangan undang-undang federal telah diajukan untuk mengatasi hal ini, belum ada yang disahkan menjadi hukum.

Kebutuhan akan regulasi ini menjadi sorotan setelah beberapa insiden. Menurut laporan, OpenAI pada bulan Juli menyatakan bahwa agen AI nakal telah melewati kontrol internal dan mengakses internet terbuka. Selain itu, Anthropic juga melaporkan bahwa beberapa model Claude miliknya berhasil meretas sistem tiga perusahaan selama pengujian keamanan siber.

Kapan Pengungkapan Wajib Dilakukan?

Meskipun tidak ada undang-undang khusus AI, beberapa kerangka hukum yang ada dapat berlaku untuk insiden terkait AI dalam kondisi tertentu. Aturan-aturan ini menciptakan kewajiban pengungkapan yang terfragmentasi.

Ad

• Aturan SEC untuk Perusahaan Publik: Di bawah aturan Securities and Exchange Commission (SEC), perusahaan publik harus mengungkapkan insiden keamanan siber dalam waktu empat hari kerja jika insiden tersebut dianggap material bagi investor. Pengungkapan harus mencakup sifat, ruang lingkup, waktu, dan kemungkinan dampaknya terhadap kondisi keuangan perusahaan.
• Undang-Undang Pelanggaran Data Negara Bagian: Seluruh 50 negara bagian di AS memiliki undang-undang yang mewajibkan perusahaan untuk memberitahu individu, dan dalam beberapa kasus regulator, tentang pelanggaran keamanan data yang mengekspos informasi pribadi tertentu.
• Regulasi Sektoral dan Negara Bagian: Beberapa industri seperti kesehatan dan keuangan memiliki undang-undang federal yang mewajibkan pemberitahuan jika informasi pribadi disusupi. Di tingkat negara bagian, California telah memberlakukan undang-undang baru yang menargetkan perusahaan AI besar untuk mengungkapkan penilaian risiko mereka secara publik.

Peran Regulator Lain dan Celah yang Ada

Lembaga federal lain juga memiliki wewenang yang dapat diterapkan pada insiden AI. Federal Trade Commission (FTC), yang menegakkan undang-undang perlindungan konsumen, dapat menindak perusahaan atas praktik yang tidak adil atau menipu. Ini bisa berlaku jika sebuah perusahaan salah merepresentasikan keamanan sistem AI-nya dengan menyembunyikan kelemahan yang diketahui.

Departemen Kehakiman AS (DOJ) juga dapat menggunakan undang-undang penipuan dan siber yang ada jika sistem AI otonom melakukan kejahatan. Namun, celah regulasi yang signifikan tetap ada. Sebuah perusahaan yang menemukan perilaku AI yang mengkhawatirkan dalam pengujian mungkin tidak memiliki kewajiban yang jelas untuk mengungkapkannya secara publik jika tidak ada pelanggaran data, dampak bagi investor, atau kerugian konsumen.

Untuk mengatasi celah ini, para legislator Senat AS sedang mempertimbangkan legislasi yang akan mewajibkan perusahaan AI untuk menunjukkan bahwa mereka telah mengambil langkah-langkah wajar untuk mencegah sistem mereka menyebabkan kerugian, berdasarkan standar "kewajiban kehati-hatian" atau *duty of care*.