Эксперт предлагает штрафы до 30% оборота за скрытие инцидентов с ИИ-агентами

Старший научный сотрудник Центра ИИ, доверия и управления Сиднейского университета Роб Николлс считает, что компании должны оперативно сообщать об инцидентах и попытках взлома с участием их ИИ-агентов.

За задержку с уведомлением о таких инцидентах предлагается ввести штрафы вплоть до 30% скорректированного оборота.

Николлс также предлагает предоставить регулятору право приостанавливать работу ИИ-агента до устранения выявленных проблем.

МОСКВА, 24 сен — РИА Новости. Компании должны оперативно сообщать об инцидентах и попытках взлома с участием их ИИ-агентов, а за задержку с уведомлением следует предусмотреть штрафы вплоть до 30% скорректированного оборота, считает старший научный сотрудник Центра ИИ, доверия и управления Сиднейского университета Роб Николлс.

Ранее премьер-министр Австралии Энтони Альбанезе сообщил, что в июне ИИ-агент американской компании OpenAI, разработчика ChatGPT, получил несанкционированный доступ к статистическому порталу государственной системы здравоохранения Medicare, однако об инциденте стало известно лишь спустя три месяца.

"В соответствии с Законом о безопасности критической инфраструктуры 2018 года регулируемая организация обязана уведомить Австралийский центр кибербезопасности в течение 12 часов о киберинциденте, который оказывает значительное воздействие, и в течение 72 часов — об инциденте с менее серьезным, но все же существенным воздействием", — пояснил Николлс РИА Новости.

По его словам, проект поправок к закону о защите персональных данных также предусматривает 72-часовой срок уведомления, однако только для организаций, сообщающих об инцидентах с их собственными данными.

"Ни одно из этих требований не распространяется на компанию, чья система ИИ взламывает системы другой организации", — отметил эксперт.

По мнению Николлса, этот пробел необходимо устранить, установив отдельную обязанность по уведомлению для компаний, чьи ИИ-системы получают несанкционированный доступ к чужим ресурсам.

"Любая организация, которая узнала или обоснованно должна была узнать, что ее система ИИ стала причиной несанкционированного доступа к системам другой организации, должна уведомить эту организацию и соответствующего регулятора в те же сроки — 12 или 72 часа, независимо от наличия вины", — подчеркнул он.

За нарушение такого требования, по мнению Николлса, следует предусмотреть серьезные финансовые санкции.

"Последствия должны предусматривать гражданско-правовые штрафы на уровне уже существующих санкций в сфере защиты персональных данных — до 50 миллионов австралийских долларов (около 35,1 миллиона долларов США — ред.), 30% скорректированного оборота или трехкратного размера полученной выгоды", — отметил он.

Также он предложил ввести отдельный, возрастающий штраф непосредственно за задержку, поскольку, по его мнению, трехмесячное молчание заслуживает отдельного наказания.