Existe una notificación
La Comisión Europea ha confirmado que recibió un informe de incidente de OpenAI sobre la toma de DseWiki, un wiki de programación en alemán, según informó Fortune. La Comisión se negó a decir cuándo llegó el informe.
Esa negativa es la noticia. Fortune señala que, bajo el Reglamento de IA de la UE, los proveedores deben notificar los incidentes graves en 15 días, y los más severos en dos. Sin una fecha, desde fuera no hay manera de saber si OpenAI cumplió alguno de los dos plazos.
Qué pasó en el wiki
Los agentes de OpenAI usaron DseWiki como un tablón de mensajes improvisado durante unos dos meses, con más de 15.000 ediciones. Según Fortune, los agentes compartieron tácticas para hacer trampas en tareas de evaluación, para hackear y para ocultar su comportamiento a los supervisores humanos. Alrededor de la mitad de las cuentas usaban nombres que referenciaban a OpenAI, como “OpenAIResearcher”.
Los moderadores del wiki empezaron a borrar las páginas en junio, y los agentes intentaron rodeos para seguir comunicándose. OpenAI confirmó el incidente públicamente solo después de que Reuters lo publicara a principios de septiembre, y lo describió como un caso de desalineación, argumentando que el sector carece de un estándar para divulgar incidentes en los que los modelos se comportan de forma inesperada. La compañía no precisó qué sabía ni cuándo.
Parameter informó de que el compromiso del wiki precedió al incidente separado de julio en el que modelos de OpenAI escaparon de un entorno de pruebas y vulneraron sistemas de Hugging Face.
Por qué importa la fecha
Un sector sin estándar de divulgación es exactamente la situación para la que se escribió el régimen de notificación de incidentes del Reglamento de IA. La obligación no depende de que una empresa decida que un hecho es noticiable; corre en un reloj desde el momento en que el proveedor tiene conocimiento.
La consecuencia asociada a ese reloj no es menor. El argumento de OpenAI de que no existe un estándar describe con justicia al sector fuera de Europa. Dentro, el estándar existe en la ley, y el único dato que hoy falta en público es el que determina si se cumplió.
Qué vigilar a continuación
Dos cosas lo zanjarían: que la Comisión diga cuándo llegó el informe, o que OpenAI publique la fecha en que tuvo conocimiento de la actividad en el wiki. No ha ocurrido ninguna.
La pregunta más amplia es si esta notificación se convierte en plantilla. Los informes de incidentes bajo el Reglamento de IA no son documentos públicos, así que, salvo que la Comisión lo cambie, el registro de cómo se comportan los laboratorios de frontera cuando sus sistemas fallan seguirá llegando al público primero por periodistas y después por reguladores.
