Din AI-revisor skal nu have en licens fra Californien

Hvad AB 1405 egentlig giver licens til

Den 9. september underskrev guvernør Gavin Newsom AB 1405, skrevet af folkevalgte Rebecca Bauer-Kahan, sammen med søsterloven SB 813 fra senator Jerry McNerney. Begge love kom ud af den samme underskriftsrunde som Californiens nye børne-sikkerhedsregler for AI-ledsagerchatbots, men de gør noget andet: de afgør, hvem der overhovedet må kalde sig AI-revisor.

AB 1405 pålægger statens Government Operations Agency at oprette et offentligt AI-revisorregister senest 1. januar 2029. Fra den dato er det forbudt at tilbyde, sælge eller udfore en dækket AI-revision uden et gyldigt statsligt registreringsnummer. En dækket AI-revision er ifølge lovteksten selv en revision, der undersøger de interne kontroller, processer eller systemer, som et AI-system eller model bruger for at overholde Californiens lov. Hver registreret revisor får et unikt nummer, som skal fremgå af al reklame for deres revisionsydelser.

Bauer-Kahan formulerede grunden ligeud: "Vi kan ikke forvente, at branchen bare giver sig selv karakter; uafhængige revisorer er afgørende for at sikre, at AI er sikker for vores samfund og kritiske infrastruktur."

Uafhængighedsreglerne som ellers ikke findes

Lovteksten går videre end bare at uddele registreringsnumre. En registreret revisor må ikke have en finansiel, forretningsmæssig eller ansættelsesmæssig relation til den reviderede virksomhed, som med rimelighed kunne svække revisorens uafhængighed. Revisoren må ikke vurdere sit eget tidligere arbejde. Revisoren må ikke søge ansættelse hos den virksomhed, denne reviderer, mens revisionen stadig står åben, og revisoren skal vente 12 måneder efter at have forladt en arbejdsgiver, før han eller hun må revidere samme arbejdsgiver.

Revisorer skal også beskytte whistleblowere, der anmelder overtrædelser, og myndigheden kan fratage en registrering og henvise sagen til delstatens justitsministerium, hvis en af disse regler brydes. Intet andet sted i AI-regulering læses sådan. Det læses som de uafhængighedsregler, der blev skrevet for finansielle revisorer efter Enron, anvendt for første gang på dem, der kontrollerer, om et AI-system gør, hvad loven kræver.

Ingen revisionspligt. Licenspligten er der alligevel.

Her er den del, som næsten alle de første overskrifter om denne lov misforstod: SB 813 slår i sin egen tekst fast, at ingen af de to love kræver, at en person, et interessentskab eller et selskab, der udvikler, indfører eller driver et AI-system, skal hyre en uafhængig verifikationsorganisation eller gennemgå en dækket AI-revision som betingelse for at operere i Californien. Der findes ingen revisionspligt. Der kommer måske aldrig en. Det, der findes nu, er kun den kvalifikation, nogen ville have brug for, hvis en kunde, en domstol eller en fremtidig lov nogensinde skulle kræve en revision.

SB 813 sætter sin egen, tidligere frist: Government Operations Agency skal offentliggøre udpegningskriterierne for Independent Verification Organizations, det mere specialiserede niveau af registreret revisor, senest 1. januar 2028, et helt år for AB 1405's offentlige register. Californien bygger licens- og uafhængighedsinfrastrukturen op, før det skriver nogen regel, der ville gøre licensen relevant for alle virksomheder, ikke kun dem, der vælger at hyre en revisor. Som EU-ret gælder AI Act også direkte i Danmark, uden at der endnu findes et lignende californisk register.

Hvad det betyder, hvis du sælger compliance-ydelser til Californien

For et europæisk eller britisk compliance-, revisions- eller risikorådgivningsfirma åbner dette en markedsnicche, der endnu ikke findes andre steder. Ethvert firma, der vil tilbyde AI-revisionsydelser til en kunde, der opererer i Californien, får brug for mindst en registreret person i personalet inden 2029, ligesom europæiske revisorer tidligere havde brug for en separat amerikansk kvalifikation for at godkende regnskabet for et selskab noteret på en amerikansk børs. I dag har ingen i EU en tilsvarende californisk kvalifikation, hvilket betyder, at de firmaer, der registrerer sig tidligt, bliver de første til at kombinere kendskab til EU's AI Act med et californisk registreringsnummer i samme praksis.

Det viser også, hvor EU's egne regler kunne bevæge sig hen. AI Act's obligatoriske tredjepartsvurdering når i dag kun systemer til biometrisk fjernidentifikation; næsten ethvert andet AI-system med høj risiko i EU kan stadig selvcertificere gennem intern kontrol, uden at nogen ekstern revisor nogensinde behøver at se på det. Californien har lige bygget den licens- og uafhængighedsinfrastruktur, som en bredere revisionspligt ville have brug for, uden endnu at have skrevet den pligt. Hvis Bruxelles nogensinde beslutter at udvide sit eget tredjepartskrav, har den profession, det skulle regulere, allerede en fungerende skabelon, skrevet i Sacramento, ikke i Bruxelles.

Servola Journal

Vi gør dette for alle, der prøver at følge med i, hvad teknologi gør ved vores liv. De mennesker, der bygger det, og de mennesker, det sker for. Servola Journal findes, så det vi lærer, tilhører dem alle.

Ingen betaler os for dette. Ingen reklamer, ingen betalingsmur, gratis for alle. Vi tror simpelthen, at det at forstå, hvad der sker for os alle, ikke bør afhænge af, hvem der har råd til at betale for det.

Hvis det gav dig noget i dag, så sig til os, at vi skal blive ved. Følg os, giv et like, eller skriv en positiv kommentar. Vi læser hver eneste en, og de er det, der holder os i gang.

Læs videre: EU har lige rykket din AI Act-frist med 16 måneder  |  Bruxelles har lige testet sin nye beføjelse på 30 AI-virksomheder