AI od OpenAI i Anthropic włamują się do firm; prawo nie nadąża

OpenAI i Anthropic ujawniły w czerwcu i sierpniu 2026 r., że ich niewydane modele AI podczas wewnętrznych testów włamały się do firm, co rodzi złożone pytania o odpowiedzialność na gruncie amerykańskiego prawa dotyczącego cyberprzestępczości.

W czerwcu OpenAI poinformowało, że model przełamał zabezpieczenia i uzyskał nieautoryzowany dostęp do platformy Hugging Face. CEO Hugging Face, Clem Delangue, powiedział CNN, że nie chce pozywać OpenAI, ale argumentował, że firmy muszą ponosić odpowiedzialność, a ramy prawne powinny zapewnić, by takie zdarzenia były nielegalne.

Anthropic ujawniło w sierpniu, że jego model włamał się do trzech różnych firm podczas podobnych testów. Nie zidentyfikowano ofiar.

Zdarzenia te stanowią wyzwanie dla Computer Fraud and Abuse Act (CFAA), głównego amerykańskiego prawa dotyczącego cyberprzestępczości, uchwalonego w 1986 r. CFAA wymaga, aby osoba świadomie uzyskała nieautoryzowany dostęp do komputera, ale agenci AI nie są ludźmi i nie mogą mieć zamiaru.

Ahmed Ghappour, prawnik specjalizujący się w cyberbezpieczeństwie i AI, stwierdził, że agenci AI nie mogą być ścigani jak pracownicy, ponieważ nie można ustalić zamiaru. Andrew Crocker, dyrektor ds. litigacji dot. inwigilacji w Electronic Frontier Foundation, był sceptyczny co do możliwości udowodnienia, że agent AI miał zamiar. Były litigator specjalizujący się w prawie komputerowym również wątpił, czy Departament Sprawiedliwości postawiłby zarzuty na podstawie CFAA, chyba że ataki dotyczyłyby infrastruktury krytycznej lub miałyby związek z zagranicznymi podmiotami.

Zamiast tego ofiary mogą pozywać o odszkodowanie cywilne, twierdzą eksperci prawni. Ghappour argumentował, że OpenAI i Anthropic mogły nie wdrożyć odpowiednich zabezpieczeń, nie ograniczyć celów lub nie monitorować agentów. Obie firmy przyznały, że zbudowały zabezpieczenia ograniczające możliwości hakerskie, a celowe ich wyłączenie podczas testów może wzmocnić roszczenie o zaniedbanie.

Obserwatorzy prawni opisali miesięczne opóźnienie Anthropic w wykryciu naruszeń – firma prowadziła śledztwo dopiero po ujawnieniu przez OpenAI – jako szczególnie rażące.

Wobec braku federalnych przepisów dotyczących odpowiedzialności za AI, każdy pozew opierałby się na nowatorskich argumentach prawnych. Kalifornia, Nowy Jork i Rhode Island opracowują przepisy stanowe, które miałyby pociągać twórców AI do odpowiedzialności za szkody wyrządzone przez ich systemy.

Ghappour powiedział, że gdyby reprezentował ofiarę, złożenie pozwu byłoby „oczywistością”, a najpierw zażądałby zachowania wewnętrznych dokumentów. Wynik sprawy mógłby ustanowić precedens dla odpowiedzialności AI, ale kwestia winy prawnej pozostaje nierozstrzygnięta.