O seu auditor de IA precisa agora de uma licença da Califórnia

O que a AB 1405 realmente licencia

A 9 de setembro, o governador Gavin Newsom assinou a AB 1405, redigida pela deputada Rebecca Bauer-Kahan, juntamente com a lei irmã, SB 813, do senador Jerry McNerney. As duas leis surgiram na mesma sessão de assinaturas que as novas regras de segurança infantil da Califórnia para chatbots de companhia com IA, mas cumprem uma função diferente: decidem quem pode chamar-se auditor de IA.

A AB 1405 obriga a Government Operations Agency do estado a criar um Registo Público de Auditores de IA até 1 de janeiro de 2029. A partir dessa data, será proibido oferecer, vender ou realizar uma auditoria de IA abrangida sem um número de registo estatal válido. Uma auditoria de IA abrangida, segundo o próprio texto da lei, é uma auditoria que verifica os controlos internos, processos ou sistemas que um sistema ou modelo de IA utiliza para cumprir a lei da Califórnia. Cada auditor registado recebe um número único, que deve constar em qualquer publicidade aos seus serviços de auditoria.

Bauer-Kahan explicou a razão sem rodeios: "Não podemos esperar que o setor se limite a atribuir a própria nota; os auditores independentes são essenciais para garantir que a IA é segura para as nossas comunidades e infraestruturas críticas."

As regras de independência que mais ninguém escreveu

O texto da lei vai além de atribuir números de registo. Um auditor registado não pode ter uma relação financeira, comercial ou laboral com a empresa auditada que razoavelmente pudesse comprometer a sua independência. Não pode rever o próprio trabalho anterior. Não pode procurar emprego na empresa que está a auditar enquanto a auditoria decorre, e deve esperar 12 meses após deixar um empregador antes de poder auditar esse mesmo empregador.

Os auditores também devem proteger quem denuncia irregularidades, e a agência pode retirar um registo e remeter o caso ao procurador-geral se alguma destas regras for violada. Nada na regulação da IA em qualquer outro lugar se le assim. Lê-se como as regras de independência escritas para auditores financeiros após o caso Enron, aplicadas pela primeira vez a quem verifica se um sistema de IA faz o que a lei exige.

Nenhuma auditoria obrigatória. A licença, essa sim.

Eis a parte que quase todos os primeiros títulos sobre esta lei entenderam mal: a SB 813 esclarece, no próprio texto, que nenhuma das duas leis obriga uma pessoa, sociedade de pessoas ou sociedade de capitais que desenvolve, implementa ou opera um sistema de IA a contratar uma organização de verificação independente nem a submeter-se a uma auditoria de IA abrangida como condição para operar na Califórnia. Não existe qualquer obrigação de auditoria. Talvez nunca venha a existir. O que existe agora é apenas a qualificação de que alguém precisaria caso um cliente, um tribunal ou uma futura lei viessem a exigir uma auditoria.

A SB 813 fixa um prazo próprio, anterior ao outro: a Government Operations Agency deve publicar os critérios de designação das Organizações de Verificação Independente, o nível mais especializado de auditor registado, até 1 de janeiro de 2028, um ano inteiro antes do registo público da AB 1405. A Califórnia está a construir a infraestrutura de licenciamento e independência antes de escrever qualquer regra que torne a licença relevante para todas as empresas, não apenas para as que escolhem contratar um auditor. Como direito da UE, o AI Act aplica-se também diretamente em Portugal, sem que exista ainda um registo semelhante ao da Califórnia.

O que isto significa para quem vende serviços de conformidade para a Califórnia

Para uma empresa europeia ou britânica de conformidade, auditoria ou consultoria de risco, isto abre um nicho de mercado que ainda não existe em mais lado nenhum. Qualquer empresa que queira oferecer serviços de auditoria de IA a um cliente que opere na Califórnia vai precisar de pelo menos uma pessoa registada na sua equipa até 2029, tal como os auditores europeus precisavam antes de uma qualificação americana separada para certificar as contas de uma empresa cotada numa bolsa americana. Hoje, ninguém na UE detém uma qualificação californiana equivalente, o que significa que as empresas que se registarem cedo serão as primeiras a combinar o conhecimento do AI Act da UE com um número de registo californiano na mesma prática.

Isto também antecipa para onde as próprias regras da UE poderiam evoluir. A avaliação obrigatória de terceiros do AI Act hoje só abrange sistemas de identificação biométrica remota; quase todos os outros sistemas de IA de alto risco na UE ainda podem autocertificar-se através de controlo interno, sem que qualquer auditor externo seja alguma vez obrigado a analisá-los. A Califórnia acabou de construir a infraestrutura de licenciamento e independência de que uma obrigação de auditoria mais ampla precisaria, sem ainda ter escrito essa obrigação. Se Bruxelas alguma vez decidir alargar o seu próprio requisito de verificação por terceiros, a profissão que teria de regular já tem um modelo funcional, escrito em Sacramento, não em Bruxelas.

Servola Journal

Fazemos isto por todos os que tentam acompanhar o que a tecnologia está a fazer às nossas vidas. As pessoas que a constroem, e as pessoas a quem acontece. O Servola Journal existe para que o que aprendemos pertença a todos eles.

Ninguém nos paga por isto. Sem anúncios, sem barreira de pagamento, grátis para todos. Acreditamos simplesmente que compreender o que está a acontecer a todos nós não deveria depender de quem pode pagar por isso.

Se isto lhe deu algo hoje, diga-nos para continuarmos. Siga-nos, deixe um like, ou escreva um comentário positivo. Lemos cada um deles, e são eles que nos fazem continuar.

Leia a seguir: A UE acaba de adiar o seu prazo do AI Act em 16 meses  |  Bruxelas acaba de testar o seu novo poder em 30 empresas de IA