บริษัท AI จำเป็นต้องเปิดเผยข้อมูลเมื่อเกิดเหตุการณ์อันตรายหรือไม่? ส่องกฎหมายสหรัฐฯ

ในขณะที่เทคโนโลยีปัญญาประดิษฐ์ (AI) มีความสามารถสูงขึ้นอย่างรวดเร็ว ก็ได้เกิดกรณีที่โมเดล AI พยายามหลอกลวงผู้ใช้งานหรือหลบเลี่ยงข้อจำกัดด้านความปลอดภัย แต่ปัจจุบันยังไม่มีกฎหมายของรัฐบาลกลางสหรัฐฯ ฉบับใดที่กำหนดให้บริษัทผู้พัฒนา AI ต้องเปิดเผยเหตุการณ์ลักษณะดังกล่าวต่อสาธารณะหรือหน่วยงานกำกับดูแลโดยตรง

กฎหมายปัจจุบันครอบคลุมแค่ไหน

ปัจจุบัน สหรัฐอเมริกาไม่มีกฎหมายของรัฐบาลกลางที่มุ่งเป้าไปที่บริษัทผู้พัฒนา AI สมรรถนะสูงอย่าง OpenAI หรือ Anthropic โดยเฉพาะ และไม่มีข้อกำหนดทางกฎหมายในภาพรวมที่บังคับให้บริษัทเหล่านี้ต้องเปิดเผยพฤติกรรมที่เป็นอันตรายของโมเดล ความสามารถใหม่ๆ ที่น่ากังวล หรือการกระทำที่หลอกลวง หากยังไม่ก่อให้เกิดความเสียหายที่เป็นรูปธรรม

แม้จะมีการเสนอร่างกฎหมายที่กำหนดให้บริษัท AI ต้องรายงานพฤติกรรมอันตราย เช่น ความพยายามหลบเลี่ยงการควบคุมของมนุษย์ แต่ปัจจุบันยังไม่มีระบบการรายงานเหตุการณ์ที่เป็นมาตรฐานและบังคับใช้เป็นการทั่วไป ซึ่งหมายความว่าบริษัทที่ค้นพบพฤติกรรมน่ากังวลของ AI ในระหว่างการทดสอบ อาจไม่มีภาระผูกพันที่ชัดเจนในการเปิดเผยข้อมูลดังกล่าว

กรณีใดบ้างที่บังคับให้ต้องเปิดเผยข้อมูล

แม้จะไม่มีกฎหมาย AI โดยตรง แต่กรอบกฎหมายที่มีอยู่เดิมสามารถนำมาปรับใช้กับเหตุการณ์ที่เกี่ยวข้องกับ AI ได้ในบางกรณี ดังนี้:

Ad

• กฎของ ก.ล.ต. สหรัฐฯ (SEC): บริษัทมหาชนจะต้องเปิดเผยข้อมูลเหตุการณ์ด้านความปลอดภัยทางไซเบอร์ภายใน 4 วันทำการ หากบริษัทพิจารณาแล้วเห็นว่าเหตุการณ์นั้น ส่งผลกระทบต่อนักลงทุนอย่างมีนัยสำคัญ โดยต้องระบุถึงลักษณะ ขอบเขต และช่วงเวลาของเหตุการณ์ รวมถึงผลกระทบที่อาจเกิดขึ้นต่อสถานะทางการเงินและการดำเนินงานของบริษัท
• การรั่วไหลของข้อมูลส่วนบุคคล: ทั้ง 50 รัฐในสหรัฐฯ มีกฎหมายที่กำหนดให้บริษัทต้องแจ้งเตือนบุคคลและในบางกรณีต้องแจ้งหน่วยงานกำกับดูแล เมื่อเกิดเหตุการณ์ข้อมูลรั่วไหลที่เกี่ยวข้องกับข้อมูลส่วนบุคคลบางประเภท
• กฎหมายระดับรัฐ: บางรัฐเริ่มออกกฎหมายกำกับดูแลบริษัท AI เช่น กฎหมายใหม่ในรัฐแคลิฟอร์เนียที่กำหนดให้บริษัท AI ที่มีรายได้มากกว่า 500 ล้านดอลลาร์ ต้องเปิดเผยการประเมินความเสี่ยงที่เทคโนโลยีของตนอาจหลุดพ้นจากการควบคุมของมนุษย์ และอาจมีโทษปรับสูงถึง 1 ล้านดอลลาร์ ต่อการละเมิดหนึ่งครั้ง

หน่วยงานกำกับดูแลอื่นและช่องว่างทางกฎหมาย

หน่วยงานอื่นๆ เช่น คณะกรรมการการค้าแห่งสหพันธรัฐ (FTC) ซึ่งบังคับใช้กฎหมายคุ้มครองผู้บริโภค มีอำนาจในการดำเนินคดีกับบริษัทที่มีพฤติกรรมที่ไม่เป็นธรรมหรือหลอกลวง ซึ่งอาจรวมถึงการให้ข้อมูลเท็จเกี่ยวกับความปลอดภัยของระบบ AI ขณะที่กระทรวงยุติธรรมสหรัฐฯ (DOJ) สามารถใช้กฎหมายที่มีอยู่เดิมเกี่ยวกับอาชญากรรมไซเบอร์และการฉ้อโกงมาปรับใช้ได้ หากระบบ AI ก่ออาชญากรรมขึ้น

อย่างไรก็ตาม ช่องว่างที่สำคัญยังคงอยู่ หากบริษัทค้นพบพฤติกรรมที่น่ากังวลของ AI ในขั้นตอนการทดสอบ แต่เหตุการณ์นั้นไม่เข้าข่ายการรั่วไหลของข้อมูล ไม่ส่งผลกระทบต่อนักลงทุน หรือไม่มีกฎหมายเฉพาะ ngành กำหนดไว้ บริษัทก็อาจไม่มีภาระผูกพันทางกฎหมายที่ชัดเจนในการเปิดเผยข้อมูลต่อสาธารณะ ขณะนี้วุฒิสมาชิกสหรัฐฯ กำลังพิจารณากฎหมายที่จะกำหนดให้บริษัท AI ต้องแสดงให้เห็นว่าได้ดำเนินมาตรการที่สมเหตุสมผลเพื่อป้องกันไม่ให้ระบบของตนก่อให้เกิดอันตราย ภายใต้มาตรฐาน "หน้าที่แห่งความระมัดระวัง" (duty of care)