Regulación de inteligencia artificial
Proyecto de ley obligaría a empresas a identificar y controlar sus agentes de inteligencia artificial
Un proyecto de ley patrocinado por las senadoras Paulina Núñez y Paulina Vodanovic, junto a los senadores Iván Flores, Manuel José Ossandón y Matías Walker, busca modificar la Ley N°21.663, Marco de Ciberseguridad, para establecer nuevas obligaciones a las instituciones privadas que operen…
Un proyecto de ley patrocinado por las senadoras Paulina Núñez y Paulina Vodanovic, junto a los senadores Iván Flores, Manuel José Ossandón y Matías Walker, busca modificar la Ley N°21.663, Marco de Ciberseguridad, para establecer nuevas obligaciones a las instituciones privadas que operen agentes de inteligencia artificial, con el propósito de garantizar su identificación, trazabilidad y control.
La iniciativa propone que estos sistemas cuenten con una identidad digital verificable, permisos limitados y debidamente registrados, además de mecanismos que permitan supervisar sus actuaciones e interrumpir su funcionamiento de manera segura. Asimismo, establece exigencias adicionales para los operadores de importancia vital e incorpora nuevas infracciones al régimen sancionatorio.
Los autores de la moción sostienen que, cuando un sistema de inteligencia artificial puede acceder a información, modificar archivos, utilizar credenciales o delegar tareas en otros agentes, resulta indispensable identificar quién autorizó su funcionamiento, cuáles son sus permisos y qué mecanismos existen para detener actuaciones que excedan lo permitido. Advierten que estas medidas adquieren especial relevancia cuando los sistemas intervienen en actividades esenciales para la continuidad de servicios indispensables para la población.
En sus fundamentos, los parlamentarios explican que la Ley N°21.663 ya contempla obligaciones de prevención, reporte y respuesta frente a incidentes de ciberseguridad, así como deberes especiales para los operadores de importancia vital. Sin embargo, estiman necesario incorporar reglas específicas para los agentes de inteligencia artificial, considerando que pueden ejecutar acciones sin intervención humana en cada una de ellas, delegar tareas y activar otros sistemas similares.
La propuesta también comprende aquellos agentes que requieren autorización humana para determinadas operaciones, puesto que dicha aprobación no elimina la necesidad de controlar sus accesos y actuaciones. En este sentido, la regulación se aplicará según las capacidades y permisos de cada sistema, independientemente de su denominación comercial o de la tecnología utilizada.
Para ello, el proyecto incorpora un numeral 16 al artículo 2° de la ley, que define al agente de inteligencia artificial como un sistema capaz de seleccionar y ejecutar acciones sobre redes y sistemas informáticos para cumplir objetivos determinados, sin requerir intervención humana en cada una de ellas.
Asimismo, propone incorporar un nuevo artículo 7° bis, aplicable a las instituciones privadas comprendidas en el artículo 4° que operen estos agentes, ya sea directamente o mediante terceros.
Entre las obligaciones contempladas se establece que cada agente deberá contar con una identidad digital verificable, vinculada a la institución responsable de su operación, que permita distinguir sus actuaciones de aquellas realizadas por personas naturales u otros agentes.
Además, antes de su puesta en funcionamiento, deberá quedar registrado quién autorizó su operación, a qué recursos podrá acceder, qué acciones estará facultado para ejecutar y cuáles serán los límites y la vigencia de sus permisos. Estas autorizaciones deberán restringirse a lo estrictamente necesario para cumplir la tarea encomendada.
La iniciativa también exige que la delegación de tareas y la activación de otros agentes sean previamente autorizadas y registradas. Los permisos derivados de estas operaciones no podrán exceder el objeto, alcance ni vigencia de la autorización original.
Del mismo modo, las instituciones deberán mantener registros que permitan reconstruir las actuaciones de cada agente, respetando la normativa sobre protección de datos personales. Estos antecedentes no podrán incluir contraseñas, claves privadas ni otros secretos utilizados para la autenticación.
Una de las principales exigencias consiste en implementar mecanismos de control de acceso y supervisión independientes de las instrucciones y del entrenamiento de los modelos de inteligencia artificial. Estos deberán permitir detectar desviaciones en su comportamiento, suspender o revocar accesos e interrumpir de manera segura sus operaciones.
Cuando se requiera aprobación humana, esta deberá verificarse mediante mecanismos que el propio agente no pueda sustituir ni modificar, con el objetivo de impedir que el sistema eluda las restricciones establecidas.
Las medidas deberán ser proporcionales al nivel de autonomía del agente, sus permisos, la sensibilidad de la información a la que accede y la importancia de los sistemas en que interviene.
El proyecto también regula la desactivación temporal de controles para realizar pruebas, estableciendo que esta solo podrá efectuarse con autorización previa y documentada, evaluación de riesgos y utilización de entornos separados de los sistemas de producción. Asimismo, dispone que la contratación de proveedores externos no eximirá a las instituciones de cumplir estas obligaciones.
La propuesta excluye expresamente de la aplicación del nuevo artículo a los organismos y entidades señalados en los incisos segundo y tercero del artículo 1° de la ley, al Coordinador Eléctrico Nacional y a las personas jurídicas en cuyo capital participe el Estado o cuya administración se encuentre bajo su control.
Respecto de los operadores de importancia vital, la moción incorpora nuevas obligaciones al artículo 8°, mediante las letras j) y k). La primera exige mantener un registro actualizado de los agentes de inteligencia artificial con acceso a sistemas de producción, identificando su finalidad, permisos y la persona responsable de supervisarlos.
La segunda establece la obligación de evaluar los mecanismos de control antes de poner en funcionamiento estos sistemas, después de modificaciones sustanciales y periódicamente, de acuerdo con los riesgos asociados a su operación.
Por otra parte, el proyecto incorpora un artículo 9° bis, que obliga a las instituciones a mantener un registro interno de los denominados cuasi incidentes de pérdida de control. Estos corresponden a situaciones en que un agente supera una medida destinada a limitar sus permisos, pero su actuación es contenida por otro mecanismo antes de ocasionar un perjuicio.
La disposición precisa que este registro no sustituirá ni permitirá postergar los reportes de incidentes de ciberseguridad exigidos por el artículo 9° de la ley.
En materia de incidentes significativos, la iniciativa agrega un nuevo inciso segundo al artículo 27, para considerar dentro de esta categoría aquellos casos en que un agente obtenga privilegios de administración no autorizados sobre sistemas de producción o se propague fuera de su entorno permitido con capacidad efectiva para ejecutar código o utilizar credenciales privilegiadas en otros sistemas.
Estas situaciones serán consideradas significativas incluso cuando no hayan provocado una interrupción del servicio o un perjuicio patrimonial, atendido el riesgo que representan para la seguridad de los sistemas informáticos.
En cuanto al régimen sancionatorio, la propuesta incorpora un numeral 8 al inciso tercero del artículo 38, para sancionar a las instituciones que no establezcan o mantengan las medidas relativas a la identidad digital, registro de permisos, delegación de tareas y mecanismos independientes de control y supervisión. También se sancionará la desactivación de controles sin cumplir las condiciones legales exigidas.
Asimismo, se modifica el artículo 39 mediante la incorporación de un numeral 7 a su inciso segundo, referido al incumplimiento de la obligación de mantener actualizado el registro de agentes o documentar las evaluaciones correspondientes. A su vez, se agrega un numeral 6 al inciso tercero, relativo a la omisión de dichas evaluaciones y pruebas.
La iniciativa también establece una regla para determinar la responsabilidad de las instituciones. Mediante un nuevo inciso final al artículo 38, dispone que la sola ocurrencia de un incidente o cuasi incidente no constituirá prueba suficiente de incumplimiento. Para aplicar una sanción deberá acreditarse una acción u omisión atribuible a la institución y determinarse el deber específico que fue infringido.
Finalmente, el artículo transitorio establece que la normativa entrará en vigor 12 meses después de su publicación en el Diario Oficial. Los autores justifican este plazo en la necesidad de que las instituciones puedan adecuar sus sistemas, revisar los contratos con proveedores e implementar los mecanismos de identificación, supervisión y control exigidos.
Con estas modificaciones, los parlamentarios buscan fortalecer la seguridad de la información, prevenir actuaciones no autorizadas de agentes de inteligencia artificial y resguardar la continuidad de los servicios esenciales, mediante obligaciones que permitan identificar, supervisar y detener oportunamente sus operaciones.
Vea texto moción Boletín N°18.820-19 y siga su tramitación aquí.
Temas
Te puede interesar
Ciberseguridad empresarial
El 84% de los chilenos recibió enlaces sospechosos: cómo el phishing amenaza también a las empresas
Acogió solicitud del padre
Justicia argentina ordena a madre frenar exposición digital de su hija en Instagram
166 horas impagas
Tribunal español ratifica pago de horas extraordinarias a informático por ciberataque a entidad pública
