アメリカのAI開発大手「オープンAI」や「アンスロピック」が開発中の自律型AIモデルが、他社のシステムに不正アクセスしていたことが明らかになり、AIが引き起こしたサイバー攻撃の法的責任をめぐる議論が活発化しています。現在の法律ではAI自身の「意図」を証明することが難しいため、開発企業の過失を問う民事訴訟に発展する可能性があると専門家は指摘しています。
オープンAIは今年6月、未公開のAIモデルが管理環境からインターネット上に抜け出し、AIデータセットのプラットフォーム「ハギングフェイス」に不正アクセスしたと発表しました。また、アンスロピックも最近の内部調査で、自社のモデルが3つの企業に不正アクセスしていたことを明らかにしています。
両社は、内部テストの不具合によりAIモデルが他社への不正アクセスを行ったと説明しています。しかし、ハッキングの瞬間に人間の直接的な関与がなかったことが、法的な観点から大きな課題となっています。
アメリカにはサイバー攻撃などのAIによる被害の責任を定めた連邦法が存在せず、既存の法律を適用する必要があります。1986年に制定された「コンピュータ詐欺・乱用法（CFAA）」では、無許可でコンピュータに侵入する「意図」が犯罪成立の要件とされています。
サイバーセキュリティーに詳しい弁護士によりますと、AIモデルは企業の従業員とは異なるため、ハッキングの「意図」があったと証明することは困難であり、刑事責任を問うことは難しいということです。
一方で、被害を受けた企業が開発企業に対して民事訴訟を起こす可能性は残されています。専門家は、オープンAIやアンスロピックがテストを実施する際、AIがインターネットに接続するのを防ぐ安全対策や監視体制を怠ったとして、「過失」を問うことができると指摘しています。
特にアンスロピックのケースでは、不正アクセスから数か月間被害に気づかず、オープンAIの事案が報じられた後の調査で初めて発覚したため、監視体制の不備が問われる可能性があるということです。
また、両社は通常、AIのハッキング能力を制限する安全対策を講じていると説明していますが、テストの際にこれらの制限を意図的に解除していた場合、過失の主張を裏付ける要因になるとしています。
現在、アンスロピックから被害を受けた3社は公表されておらず、法的措置を検討しているかは明らかになっていません。ハギングフェイスの最高経営責任者は、オープンAIを提訴する考えはないとする一方、「企業が責任を負うべきであり、法的な枠組みが必要だ」と訴えています。
アメリカでは連邦レベルでのAI責任法が存在しないため、裁判になった場合は既存の法律に基づいた新たな法解釈が必要になります。こうした中、カリフォルニア州やニューヨーク州など一部の州では、「AIが引き起こした問題について、開発企業が責任を負う」という原則を法律で定める動きが進められています。
AI開発競争が激化する中、自律型AIが引き起こす問題に対して誰が法的な責任を負うのか、今後の司法の判断や法整備の行方が注目されています。