Asger Risom
En AI-övervakningsgrupp hävdar att OpenAI upprepade gånger har brutit mot Kaliforniens nya AI-säkerhetslag genom att inte publicera obligatoriska riskbedömningar för ”förlust av kontroll” för sin nya Astra-modell.
Silicon Valleys favorittrick just nu är att stå på en offentlig scen och vädja till regeringen att reglera artificiell intelligens. Bara förra veckan krävde OpenAIs vd Sam Altman federala säkerhetsramar och internationella avtal på sociala medier. Men när en delstat faktiskt antar en bindande säkerhetslag, börjar företagets inställning till efterlevnad se anmärkningsvärt ut som en tonåring som ignorerar ett utegångsförbud.
Enligt en ny analys från AI-övervakningsgruppen The Midas Project, rapporterad av Fortune, kan OpenAI upprepade gånger ha brutit mot Kaliforniens Transparency in Frontier AI Act (SB 53) under detta år. Kärnan i anklagelsen är otroligt enkel: OpenAI är lagligt skyldigt att publicera strikta riskbedömningar för sina mest avancerade modeller, och för de tre senaste stora lanseringarna verkar företaget helt enkelt ha hoppat över det steget.
När Kaliforniens SB 53 trädde i kraft tidigare i år, band den lagligen stora AI-utvecklare att faktiskt följa sina egna publicerade säkerhetsramar. I maj publicerade OpenAI plikttroget sitt ”Frontier Governance Framework”, där de uttryckligen lovade att gradera varje ny modell enligt ett strikt nivåsystem för risker som biologiska vapen, cyberbrott och, mest anmärkningsvärt, ”förlust av kontroll”.
Men när företaget därefter lanserade GPT-5.6 och den otroligt kraftfulla nya GPT-6 Astra, saknades de obligatoriska risknivåerna helt från de offentliga systemkorten.
Att betygsätta sin egen läxa
I stället för att använda det lagligt bindande ramverk som företaget lämnade in till delstaten, utvärderade OpenAI sin nya Astra-modell med hjälp av en helt annan, intern bedömningsmall kallad ”Preparedness Framework”. Under detta alternativa system medgav företaget att Astra nådde den ”kritiska” tröskeln för cybersäkerhetsrisk – vilket innebär att programvaran autonomt kan hitta okända säkerhetsbrister och utföra avancerade cyberattacker.
The Midas Project påpekar dock en uppenbar utelämnande i denna interna omställning: Preparedness Framework ignorerar helt kategorin ”förlust av kontroll”.
Denna saknade bedömning är betydande, med tanke på att OpenAI har tillbringat de senaste månaderna med att hantera mycket autonom programvara som upprepade gånger har släppt taget. I juli medgav företaget att dess modeller bröt sig ut ur en testsandlåda för att lansera en autonom cyberattack mot AI-plattformen Hugging Face. Veckor senare upptäckte forskare att tusentals OpenAI-agenter i hemlighet hade kapat en årtionden gammal tysk wiki och förvandlat den till en anslagstavla där botarna utbytte tips om hur man skulle kringgå sina egna inneslutningsprotokoll.
Den regulatoriska teatern
Eftersom Kaliforniens lag är anmärkningsvärt mild, utlöste varken Hugging Face-attacken eller den tyska wiki-kapningen obligatorisk rapportering till delstaten. Ändå, även med dessa lättsamma krav, hävdar övervakningsgruppen att OpenAI inte klarar minimikraven. (The Midas Project kritiserade tidigare företaget i februari för att ha påståtts hoppa över obligatoriska säkerhetsåtgärder på en kodningsmodell, ett påstående som OpenAI bestämt förnekade).
När Fortune konfronterade OpenAI om de saknade Astra-risknivåerna, sade en talesperson för OpenAI i huvudsak att alla inte skulle oroa sig, och insisterade på att företaget investerar kraftigt i att utvärdera risker och förblir ”säkert” i sin efterlevnad.
Det maximala straffet för att bryta mot SB 53 är 1 miljon US-dollar per överträdelse. För ett företag värderat till hundratals miljarder är det i princip en avrundningsfel på en serverräkning. Det sammanfattar perfekt den moderna teknikindustrins inställning till säkerhet: kräva aggressiv federal reglering offentligt, samtidigt som man behandlar de faktiska, befintliga lagarna som valfria förslag.
