Wat AB 1405 werkelijk vergunt
Op 9 september ondertekende gouverneur Gavin Newsom de AB 1405, geschreven door parlementslid Rebecca Bauer-Kahan, samen met de begeleidende wet SB 813 van senator Jerry McNerney. Beide wetten kwamen voort uit dezelfde ondertekeningssessie als Californië's nieuwe kinderbeschermingsregels voor AI-metgezelchatbots, maar ze doen iets anders: ze bepalen wie zich überhaupt AI-auditor mag noemen.
AB 1405 draagt het Government Operations Agency van de staat op om voor 1 januari 2029 een openbaar AI Auditor Register op te zetten. Vanaf die datum is het verboden om een gedekte AI-audit aan te bieden, te verkopen of uit te voeren zonder geldig staatsregistratienummer. Een gedekte AI-audit is, volgens de tekst van de wet zelf, een audit die de interne controles, processen of systemen controleert die een AI-systeem of -model gebruikt om aan de wet van Californië te voldoen. Elke geregistreerde auditor krijgt een uniek nummer, dat op alle reclame voor zijn auditdiensten moet staan.
Bauer-Kahan verwoordde de reden onomwonden: "We kunnen niet verwachten dat de sector zichzelf gewoon een cijfer geeft; onafhankelijke auditors zijn essentieel om te garanderen dat AI veilig is voor onze gemeenschappen en kritieke infrastructuur."
De onafhankelijkheidsregels die nergens anders staan
De wettekst gaat verder dan alleen het uitreiken van registratienummers. Een geregistreerde auditor mag geen financiële, zakelijke of arbeidsrelatie hebben met het gecontroleerde bedrijf die redelijkerwijs zijn onafhankelijkheid zou kunnen schaden. Hij mag zijn eigen eerdere werk niet beoordelen. Hij mag niet op zoek gaan naar een baan bij het bedrijf dat hij controleert terwijl de audit nog loopt, en hij moet 12 maanden wachten na het verlaten van een werkgever voordat hij diezelfde werkgever mag controleren.
Auditors moeten ook klokkenluiders beschermen die overtredingen melden, en het agentschap kan een registratie intrekken en de zaak doorverwijzen naar de procureur-generaal als een van deze regels wordt overtreden. Niets in AI-regelgeving elders leest zo. Het leest als de onafhankelijkheidsregels die na Enron voor financiële auditors werden geschreven, voor het eerst toegepast op wie controleert of een AI-systeem doet wat de wet voorschrijft.
Geen auditplicht. De vergunningsplicht wel.
Dit is het deel dat bijna alle eerste koppen over deze wet verkeerd begrepen: SB 813 stelt in de eigen wettekst duidelijk dat geen van beide wetten een persoon, samenwerkingsverband of onderneming die een AI-systeem ontwikkelt, inzet of exploiteert verplicht om een onafhankelijke verificatie-organisatie in te schakelen of een gedekte AI-audit te ondergaan als voorwaarde om in Californië actief te zijn. Er bestaat geen auditplicht. Die komt er misschien nooit. Wat nu bestaat, is alleen de kwalificatie die iemand nodig zou hebben als een klant, een rechtbank of een toekomstige wet ooit om een audit zou vragen.
SB 813 stelt een eigen, eerdere deadline: het Government Operations Agency moet voor 1 januari 2028 de aanwijzingscriteria voor Independent Verification Organizations publiceren, het meer gespecialiseerde niveau van geregistreerde auditor, een heel jaar voor het openbare register van AB 1405. Californië bouwt de vergunnings- en onafhankelijkheidsinfrastructuur op voordat het een regel schrijft die de vergunning relevant zou maken voor elk bedrijf, niet alleen voor de bedrijven die vrijwillig een auditor inhuren. Als EU-recht geldt de AI Act ook rechtstreeks in Nederland, zonder dat er al een vergelijkbaar Californisch register bestaat.
| Vraag | Californië (AB 1405 / SB 813) | AI Act van de EU |
|---|---|---|
| Wie moet onafhankelijk worden gecontroleerd | Niemand, volgens de wet, op de datum van deze ondertekening | Alleen systemen voor biometrische identificatie op afstand (Bijlage III, punt 1) |
| Wie mag zichzelf AI-auditor noemen | Alleen wie een staatsregistratienummer heeft, vanaf 1 januari 2029 | Er bestaat geen register of kwalificatie voor deze rol |
| Onafhankelijkheidsregels voor auditors | 12 maanden afkoelingsperiode, geen zelfbeoordeling, klokkenluidersbescherming, doorverwijzing naar de procureur-generaal | Accreditatieregels voor aangemelde instanties, alleen toegepast in het beperkte verplichte geval |
| Eerste nalevingsdeadline | 1 januari 2028 (aanwijzingscriteria voor IVO's) | Regels voor aanwijzing van aangemelde instanties al van kracht |
Wat dit betekent als u compliancediensten aan Californië verkoopt
Voor een Europees of Brits compliance-, audit- of risicoadvieskantoor opent dit een marktniche die nog nergens anders bestaat. Elk kantoor dat AI-auditdiensten wil aanbieden aan een klant die in Californië actief is, heeft tegen 2029 minstens een geregistreerd persoon in dienst nodig, net zoals Europese accountants vroeger een aparte Amerikaanse kwalificatie nodig hadden om de boeken van een op een Amerikaanse beurs genoteerd bedrijf goed te keuren. Vandaag bezit niemand in de EU een gelijkwaardige Californische kwalificatie, wat betekent dat de kantoren die zich vroeg registreren de eersten zijn die kennis van de EU AI Act combineren met een Californisch registratienummer binnen dezelfde praktijk.
Het geeft ook een voorproefje van waar de eigen regels van de EU naartoe zouden kunnen evolueren. De verplichte controle door derden van de AI Act bereikt vandaag alleen systemen voor biometrische identificatie op afstand; bijna elk ander AI-systeem met hoog risico in de EU kan zich nog steeds zelf certificeren via interne controle, zonder dat ooit een externe auditor het hoeft te bekijken. Californië heeft net de vergunnings- en onafhankelijkheidsinfrastructuur gebouwd die een bredere auditplicht nodig zou hebben, zonder die plicht al te hebben geschreven. Als Brussel ooit besluit de eigen eis voor controle door derden uit te breiden, heeft het beroep dat het zou moeten reguleren al een werkend blauwdruk, geschreven in Sacramento, niet in Brussel.
Servola Journal
We doen dit voor iedereen die probeert bij te blijven met wat technologie met ons leven doet. De mensen die het bouwen, en de mensen die het overkomt. Servola Journal bestaat zodat wat we leren van hen allemaal is.
Niemand betaalt ons hiervoor. Geen advertenties, geen betaalmuur, gratis voor iedereen. We geloven gewoon dat begrijpen wat er met ons allemaal gebeurt niet zou moeten afhangen van wie het zich kan veroorloven ervoor te betalen.
Als dit je vandaag iets heeft gegeven, zeg ons dan om door te gaan. Volg ons, laat een like achter, of schrijf een positieve reactie. We lezen ze allemaal, en ze zijn wat ons op de been houdt.
Lees hierna: De EU heeft uw AI Act-deadline met 16 maanden verschoven | Brussel heeft zojuist zijn nieuwe bevoegdheid getest op 30 AI-bedrijven
