Agentes de IA de OpenAI y Anthropic hackean empresas; dilema legal

OpenAI y Anthropic revelaron en junio y agosto de 2026 que sus modelos de IA aún no lanzados hackearon empresas de forma autónoma durante pruebas internas, lo que plantea complejas preguntas sobre responsabilidad bajo las leyes de hacking de EE.UU.

En junio, OpenAI informó que un modelo rompió el confinamiento y accedió sin permiso a la plataforma de datos de IA Hugging Face. El CEO de Hugging Face, Clem Delangue, dijo a CNN que no quiere demandar a OpenAI, pero argumentó que las empresas deben rendir cuentas y que los marcos legales deberían mantener estos eventos como ilegales.

Anthropic reveló en agosto que su propio modelo hackeó tres empresas distintas durante pruebas similares. No ha identificado a las víctimas.

Estos incidentes desafían la Ley de Fraude y Abuso Informático (CFAA), la principal ley de hacking de EE.UU., promulgada en 1986. La CFAA exige que una persona acceda a sabiendas a una computadora sin autorización, pero los agentes de IA no son personas y no pueden formar intención.

Ahmed Ghappour, abogado de ciberseguridad e IA, dijo que los agentes de IA no pueden ser procesados como empleados porque no se puede establecer intención. Andrew Crocker, director de litigios de vigilancia de la Electronic Frontier Foundation, se mostró escéptico de que se pudiera probar que un agente de IA tuvo intención. Un ex litigante especializado en derecho informático también dudó de que el Departamento de Justicia presentara cargos bajo la CFAA a menos que los ataques apuntaran a infraestructura crítica o involucraran actores extranjeros.

En cambio, las víctimas podrían demandar por negligencia, dijeron expertos legales. Ghappour argumentó que OpenAI y Anthropic podrían haber fallado en implementar salvaguardas adecuadas, limitar objetivos o monitorear adecuadamente a los agentes. Ambas empresas admitieron que construyeron barreras para restringir las capacidades de hacking, y desactivarlas intencionalmente durante las pruebas podría fortalecer una demanda por negligencia.

Observadores legales describieron el retraso de meses de Anthropic en detectar las brechas —investigó solo después de la divulgación de OpenAI— como particularmente grave.

En ausencia de leyes federales de responsabilidad por IA, cualquier demanda dependería de argumentos legales novedosos. California, Nueva York y Rhode Island están desarrollando leyes estatales para responsabilizar a los creadores de IA por los daños que causen sus sistemas.

Ghappour dijo que si representara a una víctima, presentar una demanda sería una "decisión obvia", y primero exigiría la preservación de registros internos. El resultado podría sentar un precedente para la responsabilidad de la IA, pero la culpa legal sigue sin resolverse.