California e New York Introducono le Leggi AI più Rigorose
California e New York hanno attivato le normative più severe negli Stati Uniti riguardanti l’intelligenza artificiale, trasformando le misure di sicurezza volontarie in obblighi vincolanti per le aziende che sviluppano e implementano modelli su larga scala. Esperti legali affermano che questo cambiamento rende più incisivi i requisiti di trasparenza e sicurezza, senza però congelare l’innovazione, e prepara il terreno per un inevitabile conflitto con le autorità federali che desiderano un quadro normativo più leggero e uniforme.
Cosa Cambia
In primo luogo, viene introdotta la responsabilità. Sviluppatori di modelli e principali piattaforme AI devono divulgare come intendono mitigare i rischi catastrofici, riferire incidenti gravi in tempo reale e proteggere i whistleblower che segnalano problemi. Il risultato è una nuova base di conformità per qualsiasi azienda AI con ambizioni nazionali, poiché ignorare i due mercati tecnologici più significativi del paese non è un’opzione praticabile.
Leggi di California SB 53 e RAISE Act di New York
La legge SB 53 della California richiede agli sviluppatori di pubblicare piani di mitigazione dei rischi per i loro modelli più avanzati e di segnalare “incidenti di sicurezza” che potrebbero abilitare intrusioni informatiche, uso improprio chimico o biologico, danni radiologici o nucleari, lesioni gravi o perdita di controllo su un sistema. Le aziende hanno 15 giorni per notificare lo stato e rischiano multe fino a 1 milione di dollari per non conformità.
Il RAISE Act di New York rispecchia le regole di divulgazione ma si muove più rapidamente e va oltre in termini di enforcement. Gli incidenti di sicurezza devono essere segnalati entro 72 ore, e le multe possono arrivare a 3 milioni di dollari dopo la prima violazione. Introduce anche audit annuali da parte di terzi, aggiungendo un controllo indipendente che la California non richiede.
Entrambe le leggi mirano a imprese con oltre 500 milioni di dollari di fatturato annuo, coinvolgendo così le grandi aziende tecnologiche e i fornitori AI di grandi dimensioni, escludendo molte startup nella fase iniziale. I regolatori hanno scelto un approccio incentrato sulla trasparenza dopo che una proposta più robusta della California, SB 1047, era fallita; questa precedente legge prevedeva “kill switch” obbligatori e test di sicurezza per modelli oltre una certa soglia di costo di addestramento.
Implicazioni per gli Sviluppatori AI e le Imprese
In pratica, le nuove regole costringono a costruire una governance sulla sicurezza piuttosto che fermare la ricerca e sviluppo. Le aziende necessitano di piani di risposta agli incidenti che definiscano cosa conta come un evento AI segnalabile, escalation in caso di emergenze e preservazione delle prove. Si prevede un maggiore rigore nel red-teaming, registrazione centralizzata del comportamento dei modelli e documentazione formale dei “casi di sicurezza” su cui i team di prodotto e legali possono fare affidamento.
Poiché molte aziende globali sono già allineate con la legge EU sull’AI, esperti legali affermano che l’impatto marginale potrebbe essere minore del previsto, specialmente per quanto riguarda le divulgazioni. Le leggi non cambieranno drasticamente la ricerca quotidiana, ma rappresentano un primo passo cruciale rendendo l’oversight sui rischi catastrofici esigibile negli Stati Uniti.
Rischi Legali e Conformità
Le leggi richiedono documentazione che potrebbe emergere in procedimenti legali o cause collettive. Con le protezioni per i whistleblower in California, le aziende dovranno implementare politiche anti-ritorsione robuste e canali più chiari per sollevare preoccupazioni sulla sicurezza AI. Gli investitori stanno già integrando la governance, la privacy e la prontezza alla cybersicurezza nelle decisioni di finanziamento, allineando ulteriormente gli incentivi di mercato con la conformità.
Conclusione
Monitorare le prime azioni di enforcement, le sfide federali da parte del nuovo task force e come le agenzie statali definiscono “incidenti di sicurezza” è cruciale. Le aziende dovranno trattare queste leggi come una base minima, costruendo registri centralizzati degli incidenti, espandendo la copertura del red-team ai malfunzionamenti catastrofici, registrando la provenienza dei modelli e i dati di affinamento, stabilendo soglie di rischio a livello di consiglio e rafforzando la supervisione dei whistleblower e dei fornitori. La trasparenza da sola non garantirà sistemi sicuri, ma California e New York hanno reso questo aspetto non negoziabile, cambiando così il modo in cui le principali aziende AI operano.
