Cuando un puente falla, los abogados ya saben cómo buscar al responsable. Cuando falla una pila de IA que abarca modelo, nube e integrador, la búsqueda se estanca. Las normas de responsabilidad que no pueden nombrar a un demandado no pueden disuadir el siguiente fallo. Ese es un problema de gobernanza, no metafísico.
Un tratado que no puede asignar responsabilidad por una violación es un tratado que no puede hacerse cumplir, y estas preguntas son genuinamente difíciles para una tecnología como la IA.
Dos problemas distintos
Ayuda a separar dos cosas que a menudo se confunden. Responsabilidad es la cuestión legal de quién es responsable y debe asumir el costo cuando ocurre un daño, un asunto de asignar responsabilidad a lo largo de la cadena que va del desarrollador al implementador y al usuario. Atribución es la cuestión fáctica y técnica de establecer qué sucedió realmente y quién lo hizo, rastreando una acción dañina hasta un sistema, modelo o actor específico. La gobernanza necesita respuestas para ambas: reglas que asignen responsabilidad, y la capacidad forense para determinar los hechos a los que se aplican esas reglas.
Por qué la IA complica ambos
- La cadena causal es larga y difusa. Un solo resultado dañino puede implicar a un desarrollador de modelos fundacionales, a una empresa que adaptó el modelo, al implementador y al usuario final, cada uno de los cuales puede señalar plausiblemente a los demás.
- El comportamiento es emergente y opaco. Cuando un sistema hace algo que ninguno de sus creadores pretendía o preveía específicamente, las nociones tradicionales de culpa y negligencia se tensan.
- La atribución puede resultar técnicamente esquiva. Determinar qué sistema produjo una salida o acción dada (especialmente donde los modelos se copian, se ajustan finamente o se ejecutan de forma privada) puede ser genuinamente difícil sin medidas deliberadas de trazabilidad.
- Los daños pueden cruzar fronteras. Un sistema desarrollado en un país, desplegado en otro y que causa daños en un tercero plantea cuestiones jurisdiccionales para las que el derecho ordinario de responsabilidad no está preparado.
La dimensión internacional
A nivel de los Estados, el derecho internacional ya cuenta con un marco de responsabilidad. Según las normas de larga data sobre responsabilidad de los Estados (codificadas en los Artículos de la Comisión de Derecho Internacional), un Estado responde por los actos internacionalmente ilícitos, incluidos, en circunstancias definidas, los actos de agentes privados que dirige, controla o no regula. Un tratado sobre IA se basaría en esto: los Estados serían responsables de garantizar que los actores en su territorio cumplan las normas y de las consecuencias de no hacerlo. Así es como un tratado que obliga a los Estados se traduce en rendición de cuentas para las empresas privadas que realmente construyen la IA de frontera.
Pero la responsabilidad del Estado depende de la atribución, de probar que se produjo una violación y que se originó dentro de la jurisdicción de un Estado determinado. Aquí es donde la gobernanza se encuentra con la verificación: las mismas herramientas de monitoreo y trazabilidad que detectan el incumplimiento son las que hacen posible la atribución y, por tanto, la responsabilidad. Las disposiciones de aplicación de un tratado solo son tan creíbles como su capacidad para establecer quién hizo qué.
Qué necesita un régimen de gobernanza
Reglas claras de asignación
Leyes que establezcan quién, a lo largo de la cadena de desarrollo y despliegue, responde por qué daños, de modo que la responsabilidad no se diluya hasta quedar en manos de nadie. Marcos emergentes, como el trabajo del EU sobre la responsabilidad en IA, son intentos iniciales.
Trazabilidad por diseño
Medidas técnicas (registros, identificación de modelos, registros a nivel de hardware) integradas para que las acciones dañinas puedan rastrearse hasta su origen, convirtiendo la atribución de conjeturas en evidencia.
Un estándar de atención
Obligaciones definidas para los desarrolladores de frontera, de modo que no cumplirlas establezca culpa, desplazando la carga hacia quienes crean el riesgo.
Capacidad internacional de atribución
Verificación compartida y capacidad forense, para que las violaciones puedan establecerse a través de fronteras y vincularse a estados y actores responsables.
Una norma que nadie puede cumplir no es una norma. Antes de poder imponer límites a la IA peligrosa, tenemos que responder a dos preguntas: quién es responsable y cómo lo demostramos. Esas respuestas son la base oculta de todo tratado creíble.
Los cimientos bajo el tratado
La responsabilidad y la atribución rara vez aparecen en los llamados principales a la gobernanza de la ASI, pero determinan si algo de ello funciona. Un tratado con umbrales y prohibiciones pero sin forma de asignar responsabilidad por una violación es una declaración de intenciones, no una norma exigible. Construir los marcos jurídicos que asignen responsabilidad a lo largo de la cadena de suministro de la IA, y la capacidad técnica para rastrear los daños hasta su origen, forma por tanto parte de los cimientos del proyecto de tratado, no algo separado de él. Son también ámbitos en los que se puede avanzar ahora, mediante el derecho de responsabilidad civil interno y normas de trazabilidad, antes de cualquier acuerdo internacional y en apoyo de este. La arquitectura visible de la gobernanza (las líneas rojas, el órgano de monitoreo) se sostiene sobre este trabajo de base más silencioso. Sin él, la aplicación es una promesa que nadie puede cumplir.