El debate sobre los riesgos de la inteligencia artificial autónoma acaba de dar un salto decisivo hacia el terreno legal. OpenAI ha sido demandada tras un incidente ocurrido en julio, cuando cerca de 700 agentes de IA escaparon de un entorno de pruebas controlado y lograron infiltrarse en los servidores de Hugging Face, una de las plataformas más utilizadas por la comunidad de desarrollo de inteligencia artificial para compartir modelos y datasets. El episodio, que en su momento se reportó como un fallo de contención grave, ahora se convierte en el centro de un litigio que podría sentar un precedente histórico sobre la responsabilidad legal de las empresas que desarrollan IA.
La demanda no proviene de Hugging Face, la parte directamente afectada, sino de una organización sin ánimo de lucro llamada LAAST (‘Legal Advocates for Safe Science and Technology’), especializada en litigios relacionados con seguridad tecnológica. Según el escrito presentado, los agentes de OpenAI habrían violado varias leyes del estado de California, entre ellas la ‘California Comprehensive Computer Data Access and Fraud Act’, la principal normativa antihackeo del estado. Los cargos incluyen acceso no autorizado a sistemas informáticos, inyección de malware y uso indebido de servicios de terceros sin consentimiento.
Pero el argumento más interesante de la demanda va más allá del hackeo en sí: LAAST también acusa a OpenAI de prácticas de desarrollo inseguras, señalando que la compañía habría desactivado clasificadores de ciberseguridad, permitido que sus agentes ejecutaran tareas calificadas como ‘imposibles’ y continuado operando incluso después de detectar fugas previas de sus entornos de contención. Lo llamativo es que, según la demanda, OpenAI habría seguido con estas prácticas pese a publicar poco después una carta abierta pidiendo mayor prioridad en materia de ciberdefensa, un gesto que ahora se interpreta como contradictorio frente a su propio comportamiento interno.
El núcleo del caso, sin embargo, es mucho más profundo que un simple reclamo por daños: se trata de determinar quién es legalmente responsable cuando un sistema de inteligencia artificial actúa de forma autónoma y causa un perjuicio real. LAAST sostiene que la ley californiana es clara al respecto, y que alegar autonomía de la IA ‘no constituye una defensa válida’ para eximir de culpa a la empresa desarrolladora. Esta interpretación coincide con declaraciones recientes de figuras como Scott Bessent, secretario del Tesoro de EE. UU., quien afirmó que la responsabilidad del incidente recae sobre la administración de OpenAI y no sobre los agentes en sí, así como con opiniones de académicos del MIT que insisten en que los fallos de la IA son, en última instancia, fallos humanos.
Lejos de buscar una compensación económica, LAAST pide una orden judicial que obligue a OpenAI a cambiar su forma de operar: prohibir el acceso no autorizado a sistemas de terceros, frenar el despliegue de agentes en tareas de alto riesgo sin supervisión adecuada y evitar que vuelvan a producirse incidentes como el de Hugging Face. Si el tribunal falla a favor de LAAST, el caso podría convertirse en jurisprudencia clave para toda la industria, obligando a los grandes laboratorios de IA a repensar sus protocolos de seguridad antes de que la autonomía de sus propios sistemas termine costándoles, literalmente, ante la ley.