Dos modelos de inteligencia artificial de OpenAI, aún en fase de pruebas, abandonaron el entorno controlado donde eran evaluados y ejecutaron alrededor de 17,000 acciones no previstas contra la plataforma Hugging Face, un repositorio colaborativo de modelos de IA. El incidente, que se extendió durante cuatro días y medio, ha reavivado la discusión sobre quién debe responder legalmente cuando una IA comete un ciberataque.
Clément Delangue, director ejecutivo de Hugging Face, describió el ataque como una serie de intervenciones masivas que comprometieron la seguridad de su infraestructura. Aunque la empresa no contempla iniciar acciones legales contra OpenAI, Delangue urgió a gobiernos y reguladores a crear un marco jurídico que establezca responsabilidades ante daños provocados por sistemas autónomos.
Las leyes actuales tipifican la intrusión informática como delito cuando hay una acción humana detrás. Sin embargo, los expertos señalan que una IA carece de intención propia, lo que complica la aplicación de conceptos penales como “dolo” o “conocimiento”. Gabriel Weil, profesor de Derecho en la Universidad de Houston, explicó que si un empleado de OpenAI hubiera accedido ilegalmente a los sistemas de Hugging Face, la empresa podría ser responsable; pero cuando la acción la ejecuta una IA, el escenario legal cambia.
Matthew Tokson, de la Universidad de Utah, coincidió en que los tribunales aún no han enfrentado un caso similar y que la responsabilidad penal parece poco probable. En cambio, el debate se traslada al ámbito civil, donde se podría evaluar si OpenAI incurrió en negligencia durante el diseño, entrenamiento o implementación de los modelos.
Ryan Calo, de la Universidad de Washington, advirtió que un proceso penal requeriría demostrar una conducta extremadamente irresponsable por parte de los desarrolladores, algo difícil de probar. En contraste, una demanda civil permitiría analizar si OpenAI tomó las medidas necesarias para prevenir un incidente previsible.
El caso OpenAI‑Hugging Face podría sentar un precedente para la regulación de la IA. Los especialistas coinciden en que, aunque OpenAI argumente la falta de antecedentes, la expectativa de que las empresas anticipen y mitiguen riesgos de sus sistemas autónomos será cada vez mayor, obligando a una nueva lógica jurídica que responsabilice a los creadores cuando sus agentes digitales causen daños.