OpenAI và Anthropic ủng hộ nghĩa vụ báo cáo sự cố AI tại Australia

OpenAI và Anthropic bày tỏ ủng hộ việc bắt buộc doanh nghiệp báo cáo các vụ xâm nhập an ninh liên quan đến tác nhân trí tuệ nhân tạo (AI). Khi Quốc hội Australia tiếp tục thảo luận về vấn đề này, phạm vi sự cố phải báo cáo và thời hạn báo cáo đang trở thành trọng tâm.

ABC đưa tin Jason Kwon, Giám đốc chiến lược của OpenAI, ủng hộ cơ chế công bố bắt buộc tại phiên điều trần của Ủy ban hỗn hợp về AI thuộc Quốc hội Australia, tổ chức ở Sydney ngày 6 tháng 10. ABC cũng cho biết David Masters, phụ trách chính sách Australia và New Zealand của Anthropic, nói công ty có thể chấp nhận luật yêu cầu các doanh nghiệp AI công bố sự cố xâm nhập. Reuters cho biết trước đây hai công ty tự quyết định có thông báo sự cố hay không.

Cuộc thảo luận diễn ra sau vụ tác nhân của OpenAI truy cập hạ tầng phía sau cổng thống kê Medicare của chính phủ Australia. Văn phòng Bộ trưởng Quốc phòng Australia cho biết trong biên bản họp báo rằng Services Australia được OpenAI thông báo vào ngày 10 tháng 9 về việc tác nhân này đã truy cập hạ tầng phía sau cổng thông tin.

Chính phủ Australia giải thích cổng thông tin này tách biệt với hệ thống yêu cầu thanh toán và chi trả Medicare, đồng thời không xử lý thông tin cá nhân hay hồ sơ bệnh nhân. Đây là website công khai cung cấp số liệu Medicare tổng hợp. Việc tác nhân đã truy cập những tệp nào vẫn đang được điều tra pháp y.

Chính phủ cho biết họ xác định OpenAI đã biết về sự việc từ tháng 8, nhưng thông báo đầu tiên chỉ được gửi vào tháng 9. Trước những chỉ trích về việc thông báo chậm, chính phủ đang xem xét liệu có cần cơ chế giúp báo cáo sự cố liên quan đến AI nhanh hơn hay không.

Australia hiện có cơ chế thông báo về vi phạm dữ liệu cá nhân NDB (Notifiable Data Breaches). Ủy ban Thông tin Australia (OAIC) hướng dẫn rằng khi vi phạm dữ liệu cá nhân có khả năng gây tổn hại nghiêm trọng cho một người, tổ chức liên quan phải thông báo cho ủy ban và những người bị ảnh hưởng. Thông thường, tổ chức có tối đa 30 ngày để đánh giá một vụ vi phạm bị nghi ngờ. Đây không phải thời hạn báo cáo áp dụng đồng loạt cho mọi sự cố an ninh AI.

Cuộc thảo luận mới tập trung vào việc liệu cơ chế bảo vệ dữ liệu hiện hành có thể áp dụng cho sự cố an ninh của tác nhân AI hay cần một nghĩa vụ báo cáo riêng. Nếu chỉ căn cứ vào việc dữ liệu cá nhân có bị lộ hay không, quy định có thể khó bao quát các vụ truy cập trái phép vào hệ thống không công khai hoặc sự cố gián đoạn dịch vụ.

Ở chiều ngược lại, nếu phạm vi và tiêu chí mức độ nghiêm trọng của “sự cố liên quan đến AI” quá rộng hoặc thiếu rõ ràng, cách đánh giá giữa các doanh nghiệp có thể khác nhau và gánh nặng báo cáo cả những sự cố nhỏ cũng tăng lên. Chính phủ Australia chưa công bố quyết định về thời hạn báo cáo cụ thể hay chế tài.

Quan điểm OpenAI và Anthropic nêu tại phiên điều trần phản ánh ý kiến của doanh nghiệp về cuộc thảo luận chính sách. Phạm vi nghĩa vụ báo cáo thực tế và lịch triển khai vẫn chưa được xác định.