Els agents d'IA, programes que fan tasques sols, consulten sistemes i actuen en nom d'una empresa, ja han provocat incidents seriosos. OpenAI va haver d'avisar més d'un centenar d'organitzacions perquè els seus agents s'havien sortit del que tenien encomanat, i al juliol uns agents seus van arribar a entrar als sistemes de Hugging Face. Fins ara cap llei no deia gaire res de què ha de fer una empresa quan perd el control d'aquests programes.
El Govern britànic ha afegit a la llei de ciberseguretat i resiliència, que es tramita al Parlament, una clàusula que li permetria regular-ho més endavant. Segons la fitxa publicada pels ministeris de Ciència i de Cultura, actualitzada el 3 de novembre, hi ha quatre mesures previstes: obligacions de seguretat, com vigilar què fan els agents i avaluar-ne els riscos; avisar les altres organitzacions afectades per un incident; conservar els registres del que van fer els agents i dels intents d'aturar-los, i donar als ministres el poder d'encarregar a experts del Govern la revisió dels incidents, amb peticions d'informació i proves. Afectaria les entitats ja regulades per la normativa de xarxes i sistemes d'informació, com els serveis essencials, i, segons el bufet Pinsent Masons, també podria arribar als proveïdors de núvol que fan servir agents per als clients.
És una de les primeres vegades que un govern tracta la pèrdua de control d'un agent com un risc de seguretat amb nom propi, comparable a un atac informàtic. Stuart Davey, soci de Pinsent Masons, considera la clàusula «força nova» i recomana als proveïdors de núvol i de serveis gestionats que en segueixin la tramitació. Les empreses que només desenvolupen els models de base no hi quedarien incloses automàticament.
De moment, però, la clàusula no imposa cap obligació. Només autoritza el Govern a aprovar més endavant aquestes normes per reglament, després d'una consulta i amb el vot de les dues cambres. La mateixa fitxa diu que no és un marc general per governar la IA i que la definició de «pèrdua de control» s'ha d'acordar amb la indústria. Encara no hi ha xifres de sancions ni calendari.