Nowy Jork pilnuje OpenAI i Anthropic. Co z tego dla firmy

Nowy Jork zaczyna egzekwować swoje prawo o bezpieczeństwie AI. Duzi twórcy modeli, w tym OpenAI i Anthropic, muszą się zarejestrować, ujawnić, jak dbają o bezpieczeństwo swoich systemów, i zgłaszać poważne incydenty. Kto tego nie zrobi, zapłaci karę.

Dlaczego to ma znaczenie

Do tej pory to, co firmy AI mówiły o bezpieczeństwie swoich modeli, było w dużej mierze dobrowolne. Publikowały raporty wtedy, kiedy chciały, i w takim zakresie, jaki im pasował. Prawo stanowe to zmienia. Ujawnienie praktyk przestaje być gestem PR i staje się obowiązkiem, za którego złamanie grozi kara.

Najciekawsza część to zgłaszanie incydentów. Jeśli coś pójdzie poważnie nie tak, firma ma to zgłosić, a nie tylko po cichu załatać. Z opisu w źródle nie wynika, co dokładnie liczy się jako incydent krytyczny ani czy zgłoszenia będą jawne. To ważne zastrzeżenie. Od tego zależy, czy zwykły użytkownik w ogóle kiedykolwiek się o czymś dowie.

Kto zyskuje, kto traci? Duzi gracze mają działy prawne i już dziś publikują dokumenty o bezpieczeństwie, więc dla nich to głównie dodatkowa papierologia. Klient nie traci nic. Prawo dotyczy twórców modeli, a nie firm, które z tych modeli korzystają.

Co to znaczy dla polskiej firmy

Bezpośrednio: nic. To prawo stanu Nowy Jork i nakłada obowiązki na producentów modeli, a nie na użytkowników. Nie musisz niczego rejestrować, zgłaszać ani zmieniać w umowach. Twoja subskrypcja ChatGPT czy Claude działa tak samo i kosztuje tyle samo.

W Unii Europejskiej obowiązuje AI Act, który stawia własne wymagania dostawcom dużych modeli. Dla firmy w Polsce amerykańskie prawo stanowe niewiele do tego dokłada.

Mała firma usługowa B2B, która odpisuje na maile z pomocą AI, przygotowuje w czacie oferty i wyceny, a czasem wkleja tam dane klientów, w tym tygodniu nie zrobi nic inaczej. Pośrednio może zyskać jedno: więcej publicznych informacji o tym, jak dostawca dba o bezpieczeństwo. Jeśli ujawniane dokumenty będą ogólnodostępne, posłużą do porównania narzędzi przed wyborem. To jednak zależy od szczegółów, których źródło nie podaje.

Uważaj na marketing. Kiedy prawo wymusza ujawnienie praktyk, producenci chętnie robią z tego argument sprzedażowy w stylu „spełniamy najwyższe standardy regulacyjne”. Zgodność z prawem jednego stanu w USA nie mówi nic o tym, gdzie trafiają dane Twoich klientów i kto ma do nich dostęp. To musisz sprawdzić sam, w ustawieniach i warunkach usługi.

Co z tym zrobić

• W procesach na razie nic. Żadna procedura w Twojej firmie się przez to nie zmienia.
• Sprawdź, co wklejasz do AI. Niezależnie od amerykańskich regulacji, zajrzyj do ustawień narzędzia, z którego korzystasz najczęściej. Zobacz, czy rozmowy mogą służyć do trenowania modelu i czy pracujesz na planie firmowym, czy na prywatnym koncie. To realnie wpływa na bezpieczeństwo danych klientów, w przeciwieństwie do tego newsa.
• Obserwuj, czy pojawią się publiczne raporty. Jeśli dostawcy zaczną publikować dokumenty wymagane przez nowe prawo, przeczytaj ten od narzędzia, któremu powierzasz najwięcej danych. Kwadrans lektury wystarczy, żeby wiedzieć więcej niż z reklam.

Źródło: TechCrunch AI