Il tuo revisore IA ora ha bisogno di una licenza californiana

Cosa autorizza davvero l'AB 1405

Il 9 settembre il governatore Gavin Newsom ha firmato l'AB 1405, scritta dalla deputata Rebecca Bauer-Kahan, insieme alla legge collegata SB 813 del senatore Jerry McNerney. Entrambe le leggi sono nate nella stessa sessione di firme delle nuove regole californiane sulla sicurezza dei minori per i chatbot compagni basati su IA, ma svolgono un compito diverso: stabiliscono chi può definirsi revisore IA in primo luogo.

L'AB 1405 ordina alla Government Operations Agency dello stato di creare un Registro Pubblico dei Revisori IA entro il 1 gennaio 2029. Da quella data sarà vietato offrire, vendere o condurre una verifica IA coperta senza un numero di registrazione statale valido. Una verifica IA coperta, secondo il testo stesso della legge, è una verifica dei controlli interni, dei processi o dei sistemi che un modello o sistema IA usa per rispettare la legge della California. Ogni revisore registrato riceve un numero univoco, che deve comparire su qualsiasi pubblicità dei suoi servizi di verifica.

Bauer-Kahan ha spiegato la ragione senza giri di parole: "Non possiamo aspettarci che il settore si dia semplicemente il proprio voto; i revisori indipendenti sono essenziali per garantire che l'IA sia sicura per le nostre comunità e le infrastrutture critiche."

Le regole di indipendenza che nessun altro ha mai scritto

Il testo della legge va oltre la semplice assegnazione di numeri di registrazione. Un revisore registrato non può avere una relazione finanziaria, commerciale o lavorativa con l'azienda verificata che potrebbe ragionevolmente comprometterne l'indipendenza. Non può valutare il proprio lavoro precedente. Non può cercare un impiego presso l'azienda che sta verificando mentre la verifica è ancora aperta, e deve attendere 12 mesi dopo aver lasciato un datore di lavoro prima di poter verificare quello stesso datore di lavoro.

I revisori devono anche proteggere chi segnala violazioni, e l'agenzia può revocare una registrazione e rinviare il caso al procuratore generale se una di queste regole viene violata. Niente, nella regolamentazione dell'IA altrove, si legge così. Sembra scritto come le regole di indipendenza redatte per i revisori finanziari dopo Enron, applicate per la prima volta a chi controlla se un sistema IA fa ciò che la legge richiede.

Nessun obbligo di verifica. La licenza sì.

Ecco la parte che quasi tutti i primi titoli su questa legge hanno frainteso: la SB 813 chiarisce, nel proprio testo, che nessuna delle due leggi obbliga una persona, una società di persone o una società di capitali che sviluppa, distribuisce o gestisce un sistema IA ad assumere un'organizzazione di verifica indipendente o a sottoporsi a una verifica IA coperta come condizione per operare in California. Non esiste un obbligo di verifica. Potrebbe non esistere mai. Ciò che esiste ora è solo la qualifica di cui qualcuno avrebbe bisogno se un cliente, un tribunale o una futura legge dovessero mai richiedere una verifica.

La SB 813 fissa una propria scadenza anticipata: la Government Operations Agency deve pubblicare i criteri di designazione per le Organizzazioni di Verifica Indipendente, il livello più specializzato di revisore registrato, entro il 1 gennaio 2028, un anno intero prima del registro pubblico dell'AB 1405. La California sta costruendo l'infrastruttura di licenze e indipendenza prima di scrivere qualsiasi regola che renda la licenza rilevante per ogni azienda, non solo per quelle che scelgono di assumere un revisore. In quanto legge dell'UE, l'AI Act si applica direttamente anche in Italia, senza che esista ancora un registro simile a quello californiano.

Cosa significa per chi vende servizi di conformità in California

Per una società di consulenza europea o britannica su conformità, verifiche o rischio, questo apre una nicchia di mercato che ancora non esiste da nessun'altra parte. Qualsiasi studio che voglia offrire servizi di verifica IA a un cliente operante in California avrà bisogno di almeno una persona registrata nel proprio organico entro il 2029, così come un tempo i revisori europei avevano bisogno di una qualifica statunitense separata per certificare i conti di una società quotata su una borsa americana. Oggi nessuno nell'UE possiede una qualifica californiana equivalente, il che significa che gli studi che si registrano per primi diventano i primi a unire la conoscenza dell'AI Act dell'UE a un numero di registrazione californiano nella stessa attività.

Questo anticipa anche dove potrebbero evolversi le stesse regole dell'UE. La valutazione obbligatoria di terzi prevista dall'AI Act oggi riguarda solo i sistemi di identificazione biometrica a distanza; quasi ogni altro sistema IA ad alto rischio nell'UE può ancora autocertificarsi tramite controllo interno, senza che nessun revisore esterno debba mai esaminarlo. La California ha appena costruito l'infrastruttura di licenze e indipendenza di cui avrebbe bisogno un obbligo di verifica più ampio, senza aver ancora scritto quell'obbligo. Se Bruxelles decidesse mai di ampliare il proprio requisito di verifica da parte di terzi, la professione che dovrebbe regolamentare ha già un modello funzionante, scritto a Sacramento, non a Bruxelles.

Servola Journal

Lo facciamo per tutti quelli che cercano di stare al passo con ciò che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui capita. Il Servola Journal esiste perché ciò che impariamo appartenga a tutti loro.

Nessuno ci paga per questo. Niente pubblicità, nessun muro a pagamento, gratis per tutti. Crediamo semplicemente che capire ciò che sta succedendo a tutti noi non debba dipendere da chi può permettersi di pagarlo.

Se oggi ti ha dato qualcosa, dicci di continuare. Seguici, lascia un like, o scrivi un commento positivo. Li leggiamo tutti, e sono ciò che ci fa andare avanti.

Da leggere ora: L'UE ha spostato la vostra scadenza dell'AI Act di 16 mesi  |  Bruxelles ha appena testato il suo nuovo potere su 30 aziende di IA