La California ha firmato 13 disegni di legge sull'IA in un giorno. SB 1000 ha eliminato la soglia del milione di utenti.

Il 30 settembre, l'ufficio del governatore Gavin Newsom ha annunciato di aver firmato 13 disegni di legge sull'IA riguardanti lavoratori, sanità, trasparenza e deepfake, oltre a un ordine esecutivo. Il più rilevante del pacchetto per chi sviluppa IA generativa è SB 1000, che entra in vigore immediatamente tramite una clausola di urgenza.

SB 1000 non fa ripartire un nuovo termine. Modifica il California AI Transparency Act, già operativo dal 2 agosto. L'emendamento cambia chi quella legge vincola.

Cosa è cambiato

La definizione di fornitore coperto perde la soglia di un milione di utenti mensili medi. Secondo la vecchia legge, uno sviluppatore di un sistema di IA generativa accessibile al pubblico diventava fornitore coperto solo dopo aver superato quella soglia. SB 1000 rimuove del tutto la soglia, quindi uno sviluppatore di un prodotto di generazione di immagini, audio o video accessibile al pubblico e disponibile ai residenti della California è coperto indipendentemente dal numero di utenti.

Servizi di text-to-image più piccoli, servizi di clonazione vocale e servizi di generazione video che si trovavano sotto la soglia del milione di utenti secondo il quadro precedente perdono quella posizione e acquisiscono l'intero insieme di obblighi. Per una categoria di startup che presumeva di essere troppo piccola per essere regolamentata, quell'assunto è appena scaduto.

La seconda modifica sostituisce l'obbligo gratuito di “strumento di rilevamento dell'IA” con l'obbligo di offrire uno “strumento di verifica della divulgazione”. Si tratta di un requisito ingegneristico sostanzialmente diverso. Rilevamento significa analizzare un file a posteriori e indovinare se è stato generato. Verifica significa fornire a un utente uno strumento che può eseguire su un file per controllare i segnali di provenienza che il fornitore ha incorporato in primo luogo.

L'emendamento riguarda anche i contenuti che un sistema di IA generativa ha modificato in modo sostanziale, oltre ai contenuti generati da zero. I fornitori che avevano creato strumenti di rilevamento ai sensi della legge precedente ora devono lavorare per passare dal rilevamento a posteriori dei propri output a uno strumento di verifica che un terzo possa utilizzare.

I dettagli che contano

L'analisi della Commissione dell'Assemblea sulla privacy e la protezione dei consumatori riporta diverse precisazioni. Gli obblighi di divulgazione latente vincolano solo nella misura tecnicamente fattibile. Un fornitore può indirizzare gli utenti verso uno strumento di verifica di terze parti compatibile invece di crearne uno proprio. Una licenza deve essere revocata entro 72 ore da quando il fornitore scopre che un licenziatario ha rimosso la capacità di divulgazione latente.

Ci sono esclusioni per piattaforme di videogiochi, televisione, streaming e film che trasmettono solo contenuti non generati dai loro utenti. I sistemi la cui funzione principale è la tecnologia assistiva sono esenti fino al 1º gennaio 2029, con una sanzione di 50.000 dollari per violazione per chi dichiara falsamente l'esenzione. La sanzione generale resta a 5.000 dollari.

Vale la pena notare questa asimmetria. Dichiarare un'esenzione per cui non si è qualificati costa dieci volte tanto rispetto a una violazione ordinaria, il che suggerisce che i regolatori si aspettino che la linea dell'esenzione sia contestata.

Il resto del pacchetto

Due disegni di legge di accompagnamento firmati lo stesso giorno estendono il tema. AB 2713 vieta alle grandi piattaforme online, definite come quelle con più di due milioni di utenti unici mensili, di rimuovere consapevolmente dati di provenienza del sistema o firme digitali ove tecnicamente fattibile, a partire dal 1º gennaio 2027. SB 1111 rende una replica digitale parte della voce o dell'immagine di una persona ai sensi dell'azione civile sui diritti di immagine della California, e rende l'uso di una replica per impersonare qualcuno una forma di falsa impersonificazione ai sensi di una nuova sezione del Codice Penale.

All'inizio di settembre, Newsom ha firmato SB 813, che istituisce un quadro per organizzazioni di verifica indipendenti che valutano i sistemi di IA per la conformità legale, e AB 1405, che crea il primo quadro di registrazione della California per i revisori di IA. Insieme, indicano un ecosistema formale per la valutazione dell'IA da parte di terzi.

Non tutto è sopravvissuto. Newsom ha posto il veto ad AB 1542, SB 903 e AB 2575, citando disposizioni eccessivamente ampie e costi di attuazione. Ha respinto SB 903 in parte per definizioni imprecise che avrebbero potuto ostacolare il lavoro dei professionisti della psicoterapia. Su AB 1542, che avrebbe sostituito le protezioni rafforzate del consenso per i dati personali sensibili con un divieto categorico, ha messo in dubbio la rimozione completa dei consumatori dal processo e ha affermato che i costi di attuazione non erano stati affrontati nel bilancio statale.

C'è anche una questione pratica di tempistica. Gli obblighi di trasparenza si applicano al momento della disponibilità, ma la finestra di revoca di 72 ore e le regole sulla provenienza per le grandi piattaforme iniziano in date diverse. Un team di prodotto che pianifica un lancio deve tenere traccia di tre o quattro date di entrata in vigore contemporaneamente, e le sanzioni variano a seconda della disposizione. La stessa clausola di urgenza di SB 1000 rende immediata la prima di esse, il che non lascia margine di tempo ai fornitori che avevano operato sotto la vecchia soglia.

Il lato occupazionale del pacchetto

L'annuncio dello stesso giorno ha coperto più della trasparenza. Sulle decisioni sul posto di lavoro, il pacchetto afferma che i datori di lavoro non possono fare affidamento esclusivamente sull'IA per azioni disciplinari o licenziamenti, e devono divulgare quando un licenziamento collettivo, un trasferimento o una cessazione del rapporto è causato da un sistema di IA. Gli strumenti di sorveglianza sul posto di lavoro sono vietati nei bagni dei luoghi di lavoro. Queste disposizioni si affiancano a SB 947 e SB 951, i disegni di legge sulle decisioni automatizzate e sulla sostituzione tecnologica che hanno ricevuto elogi pubblici dalla California Federation of Labor Unions.

Sulla sanità, i medici e gli operatori autorizzati mantengono il loro giudizio professionale quando vengono utilizzati strumenti di IA o di decisione clinica, e gli sviluppatori di strumenti di decisione clinica devono adottare misure ragionevoli per ridurre pregiudizi noti o prevedibili. AB 1979 e SB 503 portano avanti questo tema. Il pacchetto tocca anche la sintesi genica, richiedendo ai produttori di apparecchiature e ai fornitori di seguire linee guida di sicurezza, verificare i clienti e controllare quale materiale genetico inviano.

Ciascuna di queste aree ha la propria associazione di categoria, il proprio stack di conformità e la propria tempistica. Un'azienda che distribuisce uno strumento di decisione clinica ora ha un obbligo di mitigazione dei pregiudizi, un fornitore che gestisce un servizio di generazione video ha un obbligo di provenienza, e un datore di lavoro che utilizza screening automatizzato ha un obbligo di divulgazione. Il tessuto connettivo è che la California sta costruendo obblighi attorno alla distribuzione, invece di aspettare un unico quadro federale.

Questa è la scommessa strategica dietro il volume. Con la legislazione federale bloccata, gli stati sono diventati il luogo in cui le regole sull'IA vengono effettivamente scritte, e la California ora ha più misure approvate di qualsiasi altro stato. Le aziende che operano a livello nazionale devono pianificare per lo stato più severo che servono, il che rende le scelte della California una politica nazionale di fatto per molti prodotti.

Cosa dovrebbero fare gli sviluppatori

Le conseguenze pratiche riguardano ingegneria e contratti. I team di distribuzione dei modelli devono lavorare sui termini di licenza per preservare la capacità di divulgazione e definire cosa succede quando un licenziatario la rimuove. I team di prodotto che si affidavano a uno strumento di rilevamento ora necessitano di un percorso di verifica, che di solito significa incorporare segnali di provenienza al momento della generazione invece di cercare di inferirli in seguito.

La rimozione della soglia cambia anche la pianificazione. Una startup che presumeva di non essere coperta fino a quando non avesse raggiunto un milione di utenti dovrebbe ora trattare la conformità come un requisito di lancio, non come un traguardo di scala. Gli obblighi si applicano al momento della disponibilità ai residenti della California.

La California ora ha 21 misure sull'IA approvate, più di qualsiasi altro stato. Lo schema nei disegni di legge del giorno è coerente: obblighi di trasparenza in ampliamento, provenienza trattata come una proprietà che deve sopravvivere alla distribuzione, e autorità di applicazione concentrata nelle agenzie statali e nel Procuratore generale. Per chiunque distribuisce immagini, audio o video generati agli utenti statunitensi, lo stato con il regolamento più dettagliato lo ha appena reso ancora più dettagliato.