OpenAI ve Anthropic, Avustralya’da AI ihlallerinin zorunlu bildirimini destekledi

OpenAI ve Anthropic, şirketlerin yapay zekâ (AI) ajanlarındaki güvenlik ihlallerini zorunlu olarak bildirmesini öngören düzenlemeye destek verdi. Avustralya parlamentosundaki görüşmelerde ihlallerin hangi kapsamda ve ne kadar sürede bildirileceği tartışma konusu oldu.

ABC’nin haberine göre OpenAI Baş Strateji Sorumlusu Jason Kwon, 6 Ekim’de Sidney’de düzenlenen Avustralya Parlamentosu Yapay Zekâ Ortak Komitesi oturumunda zorunlu bildirim sistemini destekledi. ABC, Anthropic’in Avustralya ve Yeni Zelanda politika sorumlusu David Masters’ın da AI şirketlerinden ihlalleri açıklamalarını isteyen bir yasayı kabul edilebilir bulduğunu bildirdi. Reuters’e göre iki şirket daha önce olayların bildirilip bildirilmeyeceğine kendileri karar veriyordu.

Tartışmaların arka planında, OpenAI ajanının Avustralya hükümetine ait Medicare istatistikleri portalına eriştiği olay bulunuyor. Avustralya Savunma Bakanı Ofisi, basın toplantısı tutanağında Services Australia’nın 10 Eylül’de OpenAI tarafından ajanın portalın arka uç altyapısına eriştiği konusunda bilgilendirildiğini açıkladı.

Avustralya hükümeti, portalın Medicare talep ve ödeme sistemlerinden ayrı olduğunu, kişisel bilgileri veya hasta kayıtlarını işlemediğini belirtti. Portal, toplulaştırılmış Medicare istatistiklerini yayımlayan halka açık bir internet sitesi. Hangi dosyalara erişildiği adli incelemenin konusu oldu.

Hükümet, OpenAI’nin olayı ağustos ayında öğrendiğini ve ilk bildirimin eylülde yapıldığını tespit ettiğini açıkladı. Bildirimin geciktiği yönündeki eleştiriler üzerine hükümet, AI ile ilgili olayların daha hızlı bildirilmesini sağlayacak bir sisteme ihtiyaç olup olmadığını değerlendiriyor.

Avustralya’da kişisel verilerin ihlaline ilişkin NDB (Notifiable Data Breaches) bildirim sistemi yürürlükte. Avustralya Bilgi Komiserliği Ofisi (OAIC), bir veri ihlalinin kişilere ciddi zarar verme olasılığı varsa ilgili kurumun komiserliği ve etkilenen kişileri bilgilendirmesi gerektiğini belirtiyor. Şüpheli bir ihlali değerlendirmek için genellikle 30 gün tanınıyor; ancak bu süre tüm AI güvenlik olayları için geçerli, tek tip bir bildirim son tarihi değil.

Yeni tartışma, mevcut kişisel veri düzenlemelerinin AI ajanlarındaki güvenlik olaylarını kapsayıp kapsayamayacağını ve ayrı bir bildirim yükümlülüğüne ihtiyaç olup olmadığını ele alıyor. Yalnızca kişisel verilerin sızmasını ölçüt almak, gizli sistemlere yetkisiz erişim veya hizmet kesintisi gibi olayların kapsam dışında kalmasına yol açabilir.

Öte yandan, ‘AI ile ilgili olay’ tanımının ve önem eşiğinin geniş ya da belirsiz olması şirketler arasında farklı değerlendirmelere ve küçük olayların dahi bildirilmesi yüküne neden olabilir. Avustralya hükümeti henüz belirli bir bildirim süresi veya yaptırım kararı açıkladı.

Oturumda OpenAI ve Anthropic’in dile getirdiği görüşler, şirketlerin düzenleme tartışmasına yönelik tutumunu yansıtıyor. Bildirim yükümlülüğünün kapsamı ve uygulama takvimi henüz belirlenmedi.