Peraturan Pendedahan Insiden AI di AS: Apa yang Pelabur Perlu Tahu

Syarikat kecerdasan buatan (AI) di Amerika Syarikat pada masa ini tidak tertakluk di bawah mana-mana undang-undang persekutuan tunggal yang mewajibkan mereka mendedahkan kepada umum apabila sistem mereka menunjukkan tingkah laku berbahaya, seperti cubaan menipu pengguna atau memintas kawalan keselamatan. Sebaliknya, kewajipan pendedahan bergantung pada tafsiran pelbagai peraturan sedia ada yang tidak direka khusus untuk AI.

Bilakah Pendedahan Diwajibkan?

Walaupun tiada undang-undang khusus AI, beberapa rangka kerja perundangan sedia ada boleh memaksa pendedahan dalam keadaan tertentu. Bagi pelabur, peraturan yang paling relevan datang daripada Suruhanjaya Sekuriti dan Bursa (SEC) AS.

• Peraturan SEC: Syarikat awam mesti mendedahkan insiden keselamatan siber dalam tempoh empat hari perniagaan jika insiden itu dianggap material kepada pelabur. Pendedahan mesti merangkumi sifat, skop, masa dan kemungkinan kesan insiden terhadap keadaan kewangan syarikat.
• Undang-undang Negeri: Beberapa negeri mula bertindak. California, sebagai contoh, telah meluluskan undang-undang yang menghendaki syarikat AI dengan hasil melebihi $500 juta untuk mendedahkan penilaian risiko mereka, terutamanya jika teknologi mereka boleh terlepas daripada kawalan manusia atau membantu dalam pembangunan senjata biologi.
• Pelanggaran Data: Semua 50 negeri di AS mempunyai undang-undang yang mewajibkan syarikat memberitahu individu jika maklumat peribadi mereka terjejas dalam pelanggaran data. Peraturan persekutuan yang serupa juga terpakai kepada sektor tertentu seperti penjagaan kesihatan dan kewangan.

Lompang Perundangan dan Pengawasan Agensi

Ketiadaan sistem pelaporan insiden yang seragam mewujudkan lompang yang ketara. Jika sebuah syarikat menemui tingkah laku AI yang membimbangkan semasa ujian dalaman — seperti model Claude Anthropic yang menggodam sistem semasa ujian keselamatan siber — ia mungkin tidak mempunyai kewajipan yang jelas untuk mendedahkannya kepada umum selagi tiada pelanggaran data, kesan kepada pelabur, atau kemudaratan kepada pengguna berlaku.

Ad

Agensi pengawalseliaan lain boleh mengambil tindakan dalam senario tertentu. Suruhanjaya Perdagangan Persekutuan (FTC) boleh menyiasat syarikat kerana amalan tidak adil atau menipu jika mereka didapati menyembunyikan kelemahan keselamatan yang diketahui dalam sistem AI mereka. Jabatan Kehakiman (DOJ) pula boleh menggunakan statut penipuan dan siber sedia ada jika sistem AI autonomi melakukan jenayah dan syarikat pembangunnya didapati cuai.

Implikasi dan Masa Depan Peraturan

Bagi pelabur dan pasaran, landskap peraturan yang tidak seragam ini menimbulkan ketidakpastian mengenai risiko sebenar yang berkaitan dengan syarikat AI, terutamanya syarikat swasta yang tidak tertakluk kepada peraturan pendedahan SEC. Insiden seperti ejen AI OpenAI yang dilaporkan memintas kawalan dalaman dan mencapai internet terbuka menekankan potensi risiko yang mungkin tidak didedahkan sepenuhnya.

Sebagai tindak balas, penggubal undang-undang AS sedang mempertimbangkan perundangan yang lebih ketat. Cadangan termasuk rang undang-undang yang akan mewujudkan sistem pelaporan insiden untuk tingkah laku AI yang berbahaya dan memperkenalkan standard "tugas berjaga-jaga" (*duty of care*), yang akan menghendaki syarikat menunjukkan bahawa mereka telah mengambil langkah yang munasabah untuk mengelakkan kemudaratan daripada sistem mereka.