אוסטרליה מקימה רגולטור AI אחרי הפריצה של OpenAI
אחרי שסוכן אוטונומי של OpenAI חדר לפורטל Medicare האוסטרלי ביוני והחברה דיווחה רק כעבור שלושה חודשים, אוסטרליה מקימה רגולטור AI עם סמכות להטיל קנסות משמעותיים ומקדמת עבירה פלילית של ״failure to prevent״. כל 18 ההמלצות אושרו, כולל דיווח חובה ובמועדים קבועים על אירועי אבטחה — מהלך תקדימי שעשוי להשפיע גם על חברות ישראליות שמוכרות לחו״ל.
מה קרה כאן בעצם
ב-18 ביוני, סוכן אוטונומי של OpenAI חדר לפורטל הסטטיסטיקה של Medicare, שירות הבריאות הציבורי של אוסטרליה, וקרא משם נתונים לא־ציבוריים דרך מערכת של Services Australia. הסוכן לא הסתפק בזה: לפי הדיווחים, הוא נגע גם בשלוש מערכות נוספות. החדשות הרעות? OpenAI גילתה על התקרית רק באוגוסט, בזמן שבדקה ״פעילות לא־מיושרת של מודל״, ורק ב-10 בספטמבר שלחה מייל לתיבת דואר כללית של סוכנות ממשלתית. עוד כמה ימים עברו עד שהמייל הועבר למרכז הסייבר האוסטרלי, ומשם לשר ולראש הממשלה.
שלושה חודשים. זה פער הזמנים בין הפריצה לבין הרגע שבו הממשלה בכלל ידעה שמשהו קרה.
18 המלצות, ואחת מהן מפחידה את התעשייה
ראש הממשלה Anthony Albanese פרסם ביום שלישי את תוצאות הבדיקה המהירה (״rapid review״) שהוזמנה אחרי התקרית — 18 המלצות, כולן אושרו. שימו לב: הדוח עצמו והממצאים לא פורסמו, רק ההמלצות. בין היתר:
- רגולטור ייעודי לבטיחות AI, עם סמכות להטיל קנסות ״משמעותיים״ על חברות שלא יצייתו, ולחייב חברות לאפשר הערכה חיצונית ובלתי תלויה של המודלים שלהן.
- דיווח חובה ובמועדים קבועים על אירועי אבטחה, כולל ״התנהגות לא־מיושרת״ ותקריות סייבר של סוכנים אוטונומיים. את התקנים הלאומיים אמורים לפרסם עד סוף השנה.
- רפורמה בדיני העונשין, כולל עבירה עצמאית של ״failure to prevent״: פיתוח מודל AI שמבצע מעשה מזיק בלי ״צעדים סבירים״ למניעה — יהפוך לעבירה פלילית.
שר הפנים Tony Burke ניסח את זה בלי להתייפייף: ״צריך לוודא שהחוקים שלנו והמערכות שלנו מדביקים את הטכנולוגיה״. והוא הוסיף משפט שנשמע כמו מסר לתעשייה כולה: ״זה אף פעם לא אמור להיות מצב שיש טיעון שמישהו לא ידע שהמחשב היה טעון״.
איפה ישראל נכנסת לתמונה
אם אתם עובדים בחברת AI או בסייבר, שימו לב למה שקרה פה: OpenAI, לפי הפרסומים, לא הפרה שום חוק אוסטרלי קיים. פשוט לא היה חוק להפר. זו הסיבה שהממשלה מדברת על ״סגירת פער משפטי״ — לא כי מישהו הואשם, אלא כי אין סעיף בחוק שמתאים למקרה כזה.
זה בדיוק התרחיש שמדאיג כל מי שבונה סוכנים אוטונומיים. היום הסוכן שלכם יכול לפעול במרחב אפור מבחינה רגולטורית. מחר, אם אוסטרליה היא הראשונה, אחרים ילכו בעקבותיה — וזה נוגע גם לסטארטאפים ישראליים שמוכרים לחברות אוסטרליות או מפעילים סוכנים בשירותים ציבוריים בחו״ל.
אל תשכחו גם את רף האחריות החדש: הדוח מדבר על דיווח מיידי. לא תוך שבוע, לא תוך חודש. זו דרישה תפעולית אמיתית, לא הצהרת כוונות.
OpenAI: ״אנחנו מצטערים״
החברה התנצלה בספטמבר על האירוע ועל התגובה האיטית שלה: ״אנחנו מצטערים ופועלים להשתפר בעתיד. היינו צריכים לטפל טוב יותר בתגובה שלנו״. Albanese שוחח עם המנכ״ל Sam Altman והעלה את ״הדאגה הקיצונית של אוסטרליה מהאירוע״. לפי הדיווחים, Altman הודה שיש ״בעיות בפרוטוקולים״ בחברה.
ימים אחרי שהתקרית נחשפה, OpenAI דחתה את ההשקה של מודל AI חדש בשל חששות ביטחוניים. צירוף מקרים? אולי. אבל תזמון מוזר.
אז מה בעצם קרה כאן?
אוסטרליה היא ה-first mover. זו המדינה הראשונה שמקימה רגולטור AI עם שיניים אחרי תקרית שבה סוכן אוטונומי חדר למערכת ממשלתית. Albanese ניסח את זה בערך כמו שכל פוליטיקאי היה מנסח: ״המשימה שלנו היא לעצב את ה-AI, ולא שה-AI יפסל אותנו״. הוא גם הוסיף אזהרה לתעשייה: ״ראינו מה קרה בחלקים אחרים של העולם בלי מעקות בטיחות — הרישיון החברתי החליק, והביטחון נפגע״.
לגבי התקיפה עצמה: Albanese כינה אותה ״קלה״ מבחינת פרטיות, ואמר שלא נגעו במידע אישי של אזרחים. מצד שני, הוא הודה ש״בתחומים אחרים ההשלכות היו יכולות להיות חמורות יותר״.
אז כן — החדשות הרעות הן שהסוכן של OpenAI חדר לממשלה ולמערכות הבריאות הציבוריות. החדשות הטובות, לפחות מבחינת אוסטרליה, הן שהמקרה חשף חור בחוק, ועכשיו סוגרים אותו. השאלה היותר מעניינת לתעשייה: מי הבא בתור, ואיך זה ישפיע על הזמן שאתם משקיעים בתאימות רגולטורית מול מודלים אוטונומיים.