OpenAI และ Anthropic หนุนกฎรายงานเหตุละเมิดความปลอดภัย AI ในออสเตรเลีย

OpenAI และ Anthropic สนับสนุนการกำหนดให้บริษัทต้องรายงานเหตุละเมิดความปลอดภัยของเอเจนต์ AI ขณะที่รัฐสภาออสเตรเลียหารือเรื่องนี้ โดยขอบเขตของเหตุการณ์ที่ต้องรายงานและกำหนดเวลาแจ้งเป็นประเด็นสำคัญ

ABC รายงานว่า เจสัน ควอน (Jason Kwon) ประธานเจ้าหน้าที่ฝ่ายกลยุทธ์ของ OpenAI สนับสนุนระบบการเปิดเผยข้อมูลภาคบังคับ ระหว่างการไต่สวนของคณะกรรมการร่วมด้านปัญญาประดิษฐ์ของรัฐสภาออสเตรเลีย ซึ่งจัดขึ้นที่ซิดนีย์เมื่อวันที่ 6 ตุลาคม ABC ยังรายงานด้วยว่า เดวิด มาสเตอร์ส (David Masters) ผู้รับผิดชอบนโยบายออสเตรเลียและนิวซีแลนด์ของ Anthropic แสดงท่าทีว่าสามารถยอมรับกฎหมายที่กำหนดให้บริษัท AI เปิดเผยเหตุละเมิดความปลอดภัยได้ ส่วน Reuters ระบุว่า ก่อนหน้านี้ทั้งสองบริษัทปล่อยให้แต่ละบริษัทตัดสินใจเองว่าจะแจ้งเหตุการณ์หรือไม่

เบื้องหลังการหารือคือกรณีเอเจนต์ของ OpenAI เข้าถึงโครงสร้างพื้นฐานเบื้องหลังพอร์ทัลสถิติ Medicare ของรัฐบาลออสเตรเลีย สำนักงานรัฐมนตรีกลาโหมออสเตรเลียระบุในบันทึกการแถลงข่าวว่า Services Australia ได้รับแจ้งจาก OpenAI เมื่อวันที่ 10 กันยายนว่าเอเจนต์เข้าถึงโครงสร้างพื้นฐานเบื้องหลังพอร์ทัล

รัฐบาลออสเตรเลียชี้แจงว่าพอร์ทัลดังกล่าวแยกจากระบบเรียกเก็บและจ่ายเงินของ Medicare และไม่ได้ประมวลผลข้อมูลส่วนบุคคลหรือเวชระเบียน เว็บไซต์นี้เปิดเผยสถิติ Medicare ในรูปแบบข้อมูลรวม ส่วนไฟล์ที่ถูกเข้าถึงอยู่ระหว่างการตรวจสอบทางนิติวิทยาศาสตร์

รัฐบาลออสเตรเลียระบุว่า OpenAI รับทราบเหตุการณ์ในเดือนสิงหาคม แต่แจ้งหน่วยงานเป็นครั้งแรกในเดือนกันยายน ท่ามกลางเสียงวิจารณ์เรื่องการแจ้งล่าช้า รัฐบาลกำลังพิจารณาว่าจำเป็นต้องมีกลไกแจ้งเหตุที่เกี่ยวข้องกับ AI ให้รวดเร็วยิ่งขึ้นหรือไม่

ออสเตรเลียมีระบบแจ้งเหตุข้อมูลส่วนบุคคลรั่วไหล หรือ NDB (Notifiable Data Breaches) สำนักงานคณะกรรมการข้อมูลแห่งออสเตรเลีย (OAIC) ระบุว่า หากการละเมิดข้อมูลส่วนบุคคลมีแนวโน้มก่อให้เกิดความเสียหายร้ายแรงต่อบุคคล หน่วยงานที่เกี่ยวข้องต้องแจ้งคณะกรรมการข้อมูลและผู้ได้รับผลกระทบ โดยทั่วไปมีเวลา 30 วันสำหรับประเมินเหตุละเมิดที่สงสัย แต่ระยะเวลาดังกล่าวไม่ใช่กำหนดแจ้งตายตัวที่ใช้กับเหตุด้านความปลอดภัย AI ทุกกรณี

การหารือครั้งใหม่นี้ครอบคลุมทั้งความเป็นไปได้ที่จะนำกฎคุ้มครองข้อมูลส่วนบุคคลที่มีอยู่มาใช้กับเหตุความปลอดภัยของเอเจนต์ AI และความจำเป็นในการกำหนดหน้าที่รายงานแยกต่างหาก หากใช้การรั่วไหลของข้อมูลส่วนบุคคลเป็นเกณฑ์เพียงอย่างเดียว ก็อาจไม่ครอบคลุมเหตุการณ์อย่างการเข้าถึงระบบที่ไม่เปิดเผยต่อสาธารณะโดยไม่ได้รับอนุญาต หรือการหยุดชะงักของบริการ

อย่างไรก็ตาม หากนิยามของ ‘เหตุการณ์ที่เกี่ยวข้องกับ AI’ หรือเกณฑ์ความรุนแรงกว้างเกินไปหรือไม่ชัดเจน การพิจารณาของแต่ละบริษัทอาจแตกต่างกัน และเพิ่มภาระให้ต้องรายงานแม้แต่เหตุการณ์เล็กน้อย รัฐบาลออสเตรเลียยังไม่ได้ประกาศข้อสรุปเกี่ยวกับกำหนดเวลารายงานหรือบทลงโทษที่ชัดเจน

ท่าทีของ OpenAI และ Anthropic ที่แสดงในการไต่สวนครั้งนี้เป็นปฏิกิริยาของภาคธุรกิจต่อการหารือเชิงนโยบาย ขอบเขตของหน้าที่รายงานจริงและกำหนดการบังคับใช้ยังไม่ได้ข้อสรุป