La IA generativa abarata las acciones legales - y las empresas deben prepararse

El año pasado, con el fin de mejorar el cumplimiento de las obligaciones fiscales, el Departamento del Tesoro de EE.UU. propuso una norma destinada a aumentar la divulgación de información sobre las criptodivisas. La industria de las criptomonedas pensó que las obligaciones eran demasiado amplias y se opuso con fuerza, con el apoyo de un aliado poco convencional. El "Ejército LexPunk", una comunidad de abogados y desarrolladores que proporcionan apoyo legal de código abierto para la industria de las finanzas descentralizadas, lanzó un bot de IA que cualquiera podía utilizar para presentar comentarios sobre la norma propuesta. El efecto fue triple: En primer lugar, cualquiera que tuviera un comentario podía presentarlo fácilmente en el formato correcto. En segundo lugar, una avalancha de comentarios ralentizó la acción del Tesoro, retrasando potencialmente o poniendo en peligro la norma. En tercer lugar, los comentarios sentaban las bases para un futuro desafío legal. El número medio de comentarios sobre un nuevo reglamento es de tres, pero en este caso la norma suscitó 120.000 comentarios. Cuando se finalizó la propuesta, se suavizó en lo que la Asociación Blockchain describió como un "testimonio de la voz increíblemente poderosa de nuestra industria y comunidad". ¿Se trata de una victoria puntual de un grupo de nicho conocedor de la tecnología y la ley? ¿O es indicativo de una disrupción más amplia en la forma en que los particulares y las empresas se relacionarán con la ley? Creemos que es lo segundo: un ejemplo prototípico de cómo la tecnología amplificará los servicios y procesos jurídicos de nuevas formas que plantean grandes promesas y grandes retos tanto a los gobiernos como a las empresas. Un mundo en llamas No es sólo la digitalización del derecho lo que está cambiando. El mundo se encuentra actualmente sumido en la volatilidad geopolítica y el declive del Estado de Derecho, lo que aumenta la exposición legal de forma más general. Las barandillas legales tradicionales para el comportamiento corporativo se están cayendo: El proceso de adjudicación de la OMC ha sido neutralizado. Nuevas guerras significan nuevas sanciones. Los países van a su aire en materia de regulación, creando tazones de espaguetis de normas que cumplir. Los políticos persiguen a sus rivales y amenazan con impugnar las elecciones en jurisdicciones tradicionalmente libres y justas. Toda esta agitación proporciona nuevas exposiciones para las empresas globales. Según una encuesta realizada en 2022, el 99% de los asesores internos afirmaron que se enfrentan a un volumen "considerablemente" mayor de asuntos jurídicos que, además, son más complicados. Las acciones legales pueden provenir de competidores, empleados, clientes o reguladores gubernamentales que buscan un día de pago económico o político. Colapso de los costes legales Las empresas pueden gastar cientos de millones de dólares al año en servicios jurídicos. Estas empresas, cuyos abogados pueden costar miles de dólares por hora, probablemente no sienten que el coste legal esté disminuyendo. Pero esto está a punto de cambiar radicalmente. Tomemos el ejemplo de comentar la propuesta de norma sobre criptomoneda del Departamento del Tesoro, que tenía aproximadamente 100.000 palabras. A 225 palabras por minuto, una persona media tardaría casi ocho horas sólo en leer la normativa. Luego podrían tardar otras dos en redactar una respuesta. Ni siquiera estamos hablando del tiempo de análisis, sino del tiempo que se tarda en digerir y formular una respuesta. Con unas tarifas horarias corporativas medias de 500 dólares, esas 10 horas de trabajo supondrían 5.000 dólares. Con abogados más caros haciendo un trabajo más extenso, podría ser mucho más. Compartimos la propuesta de norma sobre criptomoneda con una serie de grandes modelos lingüísticos (LLM) orientados al consumidor, que generaron resúmenes concisos y comprensibles de la propuesta en cuestión de minutos. Cuando le dijimos al LLM que adoptara diferentes personajes -un corredor de Bitcoin, un comprador de Bitcoin- nos explicó por qué debería importarnos y redactó los comentarios que podríamos haber presentado. Esto no nos llevó prácticamente ni tiempo ni dinero. Imagínese que estas herramientas se convierten en un arma contra su empresa. Digamos que se ha expandido a un nuevo mercado en el que un competidor se siente amenazado y decide pasar a la ofensiva legal. Utilizan una herramienta de IA para peinar la información pública sobre su empresa y presentar cientos de casos de infracción de derechos de autor, propiedad intelectual y robo de secretos comerciales. La escala significa que no puede simplemente ignorarlo o conformarse con una cantidad simbólica. O tal vez dirija un restaurante o una cafetería. ¿Y si cada smartphone que entrara en el restaurante estuviera a unos clics de captar el comportamiento de sus empleados y presentar una demanda por discriminación? Su exposición al riesgo aumenta enormemente. Por último, imagine que uno de sus clientes presenta una reclamación contra su empresa. Tradicionalmente, siguen su proceso de atención al cliente porque el coste de una acción legal es prohibitivo. Pero, ¿y si pudieran utilizar una plataforma para hacer clic en unos pocos botones y presentar una reclamación que les llevara a un pago mayor y a usted le costara más en honorarios legales defenderles que llegar a un acuerdo? Apostamos a que harían clic en ese botón. Las empresas de hoy en día a menudo pueden salirse con la suya con un mal comportamiento porque es demasiado caro hacer que se cumpla. Sus empleados, clientes o competidores tienen que pensárselo mucho antes de pasar a la ofensiva porque las batallas legales consumen mucho tiempo, son caras y distraen. Cuando las acciones legales sean mucho más fáciles, se emprenderán muchas más acciones. Nivela el campo de juego al eliminar la ventaja asimétrica que tienen hoy en día las empresas de disponer de mayores recursos y conocimientos jurídicos a su alcance. En algunos casos, esto es bueno para la justicia, y en otros permite a los agresores injustificados. En cualquier caso, crea un nuevo mundo de riesgos legales para las empresas. El nuevo riesgo cibernético Este mundo es nuevo para el riesgo legal, pero no para la ciberseguridad, que lleva décadas haciendo frente a riesgos de gran volumen y ofrece lecciones útiles para hacer frente a la próxima oleada de acciones legales. Imagine que cientos de empresas compartieran datos sobre los tipos de acciones legales a las que se enfrentan y los motores tecnológicos que las producen. O si incluso invirtieran en tecnología para facilitar conjuntamente el intercambio y reducir las vulnerabilidades. Esto es habitual en ciberseguridad. Desde el sistema de Vulnerabilidades y Exposiciones Comunes (CVE ) hasta la Base Nacional de Datos sobre Vulnerabilidades, gobiernos, empresas, académicos y cazadores de recompensas por fallos han aprendido a compartir. Es difícil imaginar a una multitud de CEO y asesores generales que piensen que es una buena idea compartir las vulnerabilidades y exposiciones legales de su empresa. Tendrían objeciones inmediatas basadas en el privilegio y la confidencialidad, así como preocupaciones por la defensa de la competencia. Éstas tienen su origen en un cálculo del riesgo basado en la forma familiar del riesgo legal: Un actor claro emprende una acción legal específica. Los riesgos legales del futuro serán expediciones de pesca legales parecidas a los ataques de "phishing" en Internet: acciones menos personales, producidas en masa e iniciadas por muchos actores. Cuando se coordinen, se parecerán mucho más a los ataques distribuidos de denegación de servicio (DDoS), que consisten en abrumar un objetivo con una avalancha de tráfico para dejarlo fuera de servicio. Esto es similar a intentar abrumar a Hacienda con comentarios para ralentizarla. Los ataques DDoS son molestias menores... hasta que dejan de serlo. Las peticiones a los servidores forman parte de Internet del mismo modo que los comentarios sobre una propuesta de norma no son más que una parte del derecho administrativo o la presentación de quejas de los clientes no es más que la ejecución de un derecho del consumidor. Pero cuando llegan demasiadas peticiones a la vez, el sistema se colapsa. En ciberseguridad, la posición por defecto es que la ciberseguridad es mala para todos excepto para los delincuentes y los adversarios. Aunque ciertamente se puede responsabilizar a las empresas por no tomar medidas para protegerse a sí mismas -y a los datos sensibles de los clientes- de los ataques, en la mayoría de los casos se sigue considerando a las empresas como víctimas. Por ejemplo, Petya (2016) y NotPetya (2017) fueron ataques que explotaron vulnerabilidades similares y llevaron a cabo la misma acción -encriptar los archivos de los usuarios-, pero con propósitos diferentes. Petya fue desplegado por los delincuentes como ransomware. Pague una cantidad y recupere sus datos. NotPetya, por otro lado, se cree que fue desplegado por Rusia simplemente para destruir datos. En ambos casos, las empresas atacadas, como el gigante naviero Maersk, fueron consideradas víctimas. ¿Hay alguna razón para pensar que Rusia u otro actor estatal no desplegaría ataques similares a sistemas jurídicos a través de empresas o de los ya sobrecargados sistemas jurídicos de los que dependen? Corea del Norte, Rusia e Irán, por ejemplo, han condenado a Estados Unidos por racismo y desigualdad en el acceso a la justicia. ¿Podrían intentar avergonzar a EE.UU. y socavar a sus empresas más prósperas proporcionando litigios como servicio potenciados por la IA a clientes o competidores molestos? Mientras que a muchos aspirantes a extorsionadores les ahoga la amenaza de ir a la cárcel por sus acciones, una estrategia legal ofensiva es muy legal de llevar a cabo. De hecho, no es difícil convencerse de que pasar a la ofensiva es simplemente una forma más eficaz de obtener justicia y reequilibrar la dinámica de poder. A medida que aumente la avalancha de amenazas legales, será cada vez más difícil determinar quién busca un pago y quién busca hacer pasar a la empresa objetivo por fases de descubrimiento dolorosas y embarazosas a un coste reducido para el atacante. Averiguar qué es señal y qué es ruido es difícil en una avalancha y las empresas necesitarán nuevas técnicas de filtrado del riesgo legal. Sin duda, combatir la IA con IA será un resultado natural. La nueva armadura legal En la actualidad, es más probable que las empresas interactúen con riesgos jurídicos importantes en la sala de juntas, donde las acciones y los casos legales llegan al radar de riesgos de la empresa sólo cuando alcanzan un umbral de materialidad. Ese no es el mecanismo de filtrado correcto para el riesgo jurídico en el futuro. Para prepararse para esta nueva realidad, las empresas necesitan tomar una página de la preparación para la ciberseguridad. En concreto, las empresas tendrán que tomar medidas rápidamente para comprender mejor sus vulnerabilidades, las amenazas emergentes y su impacto potencial, las medidas de mitigación de riesgos que quieren tomar y sus estrategias de comunicación a los stakeholders internos y externos. Por ejemplo, el bufete jurídico DLA Piper trabaja con empresas en un ejercicio de"red teaming jurídico"para identificar vulnerabilidades. Empiece por establecer un enfoque y una estrategia básicos. Puede que decida invertir en tecnología para gestionar el creciente volumen de riesgos jurídicos. Por supuesto, arrojar seres humanos al problema también es un enfoque antiguo: aumentar el número de abogados internos o subcontratar a un bufete de abogados también podría funcionar, al menos durante un tiempo. A continuación, conecte la estrategia corporativa y los equipos jurídicos para reflexionar sobre la huella actual de la empresa. ¿Cuáles son sus mercados clave? ¿Dónde hay competidores feroces que harían cualquier cosa por una cuota de mercado? ¿A qué sistemas jurídicos está expuesta la empresa y cómo se comportarán ante ataques jurídicos de mayor volumen generados por la IA? ¿Hay lugares que merezca la pena abandonar para proteger aquellos en los que la empresa mantendrá un punto de apoyo? ¿Existen mitigaciones que pueda adoptar ahora para reducir sus vulnerabilidades? Además, vigilar lo que ocurre en el mundo es crucial. Aunque no existe un sistema CVE para los riesgos jurídicos, los esfuerzos por digitalizar el trabajo jurídico y hacer más transparente el funcionamiento del sistema legal, al menos en algunos países, significa que no hay escasez de datos disponibles para empezar. Añada a esto los datos que ya tiene sobre los riesgos jurídicos existentes y tendrá un punto de partida decente. Una vez identificados los riesgos, puede identificar a su equipo de respuesta y diseñar sistemas y procesos para responder a los riesgos. Revise los marcos de mejores prácticas para la ciberseguridad, como el NIST CSF 2.0, y hable con sus equipos internos de ciberseguridad. Los CG pueden descubrir que pueden aprender mucho de cómo los CISO operan sus centros de operaciones de seguridad (SOC). Busque socios externos que deseen colaborar. Se puede recurrir a grupos industriales, empresas asociadas y algunas agencias gubernamentales para el desarrollo de respuestas más holísticas a determinados tipos de ataques. Por ejemplo, una avalancha de demandas frívolas sobre propiedad intelectual podría servir de base para presionar en busca de apoyo normativo o legislativo. Una última advertencia: No subestime este riesgo. El Departamento del Tesoro tuvo que dar sentido a 120.000 comentarios porque la IT se lo facilitó. Prepárese para su avalancha legal antes de que llegue.

La IA generativa abarata las acciones legales - y las empresas deben prepararse

Resumen.

Partner Center