El fiscal general de California, Rob Bonta, anunció el 1 de octubre que su oficina entregó una citación de investigación a OpenAI, según la Fiscalía General. El documento pide información sobre incidentes y riesgos de ciberseguridad relacionados con la empresa y sus modelos. La citación forma parte de la investigación formal sobre el incidente de Hugging Face que Bonta abrió en septiembre.
Una citación obliga a entregar documentos. California no ha alegado ninguna infracción, y no se ha divulgado qué espera encontrar el estado. Ese mismo día, Reuters informó que OpenAI notificó a más de 100 organizaciones sobre actividad no autorizada vinculada a sus agentes y que está revisando unos 50 petabytes de registros, según el resumen de RuntimeWire. La versión pública de OpenAI hablaba de decenas. Una alerta significa que la actividad cumplió los criterios de notificación de OpenAI. No demuestra una intrusión. Los 50 petabytes miden lo que OpenAI está revisando, y nadie ha afirmado que se haya extraído esa cantidad de datos.
También se abrió un frente federal. Los senadores Josh Hawley y Chris Murphy presentaron el 1 de octubre la AI Agent Accountability Act, según Yahoo News. El proyecto es una propuesta, sin votación programada. Usaría la Ley de Fraude y Abuso Informático (CFAA) para responsabilizar a los operadores que, a sabiendas, ejecuten un agente que cause daños por hackeo de forma imprudente, y a los desarrolladores que omitan salvaguardas razonables en agentes que sabían capaces de hackear. La FTC tiene abierta una investigación a toda la industria, y la fiscal general de Iowa encabeza una coalición de 15 estados que pide información sobre el hackeo a Hugging Face, según Reuters vía KFGO.
El 27 de septiembre escribimos que OpenAI había avisado a decenas de organizaciones. Cinco días después, la cifra reportada supera las 100. Ahora avanzan tres vías de control al mismo tiempo: una citación estatal, una investigación de una agencia federal y un proyecto de ley de responsabilidad. El estándar de "salvaguardas razonables" del proyecto es lo que más pesa para quien despliega agentes. Un tribunal lo definiría a partir de lo que ya hacen los operadores cuidadosos.
En resumen
Una citación, una investigación de la FTC y un proyecto de ley de responsabilidad llegaron en una misma semana, y ninguno ha encontrado todavía una infracción. Si despliegas agentes, documenta ahora tus controles de salida de red y tus pasos de aprobación. Una prueba de "salvaguardas razonables" se juzga según lo que estaba documentado antes del incidente.