Din AI-revisor behöver nu en licens från Kalifornien

Vad AB 1405 faktiskt ger licens för

Den 9 september undertecknade guvernör Gavin Newsom AB 1405, skriven av ledamoten Rebecca Bauer-Kahan, tillsammans med systerlagen SB 813 från senator Jerry McNerney. Båda lagarna kom ur samma undertecknandetillfälle som Kaliforniens nya barnsäkerhetsregler för AI-sällskapschattbottar, men de gör något annat: de avgör vem som överhuvudtaget får kalla sig AI-revisor.

AB 1405 ålägger delstatens Government Operations Agency att bygga upp ett offentligt AI-revisorregister senast den 1 januari 2029. Från och med det datumet blir det förbjudet att erbjuda, sälja eller utföra en omfattad AI-revision utan ett giltigt statligt registreringsnummer. En omfattad AI-revision är, enligt lagtexten själv, en revision som granskar de interna kontroller, processer eller system som ett AI-system eller AI-modell använder för att uppfylla Kaliforniens lag. Varje registrerad revisor får ett unikt nummer, som måste synas i all reklam för deras revisionstjänster.

Bauer-Kahan formulerade skälet rakt på sak: "Vi kan inte förvänta oss att branschen bara sätter sitt eget betyg; oberoende revisorer är avgörande för att säkerställa att AI är säker för våra samhällen och kritisk infrastruktur."

Oberoendereglerna som ingen annanstans finns

Lagtexten går längre än att bara dela ut registreringsnummer. En registrerad revisor får inte ha en finansiell, affärsmässig eller anställningsrelaterad relation till det granskade företaget som rimligen skulle kunna försvaga revisorns oberoende. Revisorn får inte granska sitt eget tidigare arbete. Revisorn får inte söka anställning hos det företag hen granskar medan revisionen fortfarande pågår, och revisorn måste vänta 12 månader efter att ha lämnat en arbetsgivare innan han eller hon får granska samma arbetsgivare.

Revisorer måste också skydda visselblåsare som anmäler överträdelser, och myndigheten kan återkalla en registrering och hänskjuta ärendet till delstatens justitieminister om någon av dessa regler bryts. Inget annat inom AI-reglering läses så här. Det läses som de oberoenderegler som skrevs för finansiella revisorer efter Enron, tillämpade för första gången på dem som kontrollerar om ett AI-system gör vad lagen kräver.

Inget revisionskrav. Licenskravet finns ändå.

Här är delen som nästan alla de första rubrikerna om den här lagen missförstod: SB 813 slår fast, i sin egen text, att ingen av de båda lagarna kräver att en person, ett handelsbolag eller ett aktiebolag som utvecklar, inför eller driver ett AI-system ska anlita en oberoende verifieringsorganisation eller genomgå en omfattad AI-revision som villkor för att verka i Kalifornien. Något revisionskrav finns inte. Det kanske aldrig kommer att finnas. Det som finns nu är bara den kvalifikation någon skulle behöva om en kund, en domstol eller en framtida lag någonsin skulle kräva en revision.

SB 813 sätter en egen, tidigare deadline: Government Operations Agency måste offentliggöra utnämningskriterierna för Independent Verification Organizations, den mer specialiserade nivån av registrerad revisor, senast den 1 januari 2028, ett helt år före AB 1405:s offentliga register. Kalifornien bygger upp licens- och oberoendeinfrastrukturen innan man skriver någon regel som skulle göra licensen relevant för alla företag, inte bara de som väljer att anlita en revisor. Som EU-rätt gäller AI Act också direkt i Sverige, utan att något liknande kaliforniskt register ännu finns.

Vad det betyder om du säljer efterlevnadstjänster till Kalifornien

För en europeisk eller brittisk byrå inom efterlevnad, revision eller riskrådgivning öppnar detta en marknadsnisch som ännu inte finns någon annanstans. Varje byrå som vill erbjuda AI-revisionstjänster till en kund som verkar i Kalifornien kommer att behöva minst en registrerad person i personalen senast 2029, precis som europeiska revisorer tidigare behövde en separat amerikansk kvalifikation för att godkänna räkenskaperna för ett företag noterat på en amerikansk börs. I dag har ingen i EU en motsvarande kalifornisk kvalifikation, vilket betyder att de byråer som registrerar sig tidigt blir de första att kombinera kunskap om EU:s AI Act med ett kaliforniskt registreringsnummer i samma verksamhet.

Det ger också en föraning om vart EU:s egna regler skulle kunna utvecklas härnäst. AI Act:s obligatoriska tredjepartsbedömning når i dag bara system för biometrisk fjärridentifiering; nästan alla andra AI-system med hög risk i EU kan fortfarande självcertifiera genom intern kontroll, utan att någon extern revisor någonsin behöver granska det. Kalifornien har just byggt den licens- och oberoendeinfrastruktur som ett bredare revisionskrav skulle behöva, utan att ännu ha skrivit det kravet. Om Bryssel någonsin bestämmer sig för att utvidga sitt eget tredjepartskrav har den yrkeskår man skulle behöva reglera redan en fungerande ritning, skriven i Sacramento, inte i Bryssel.

Servola Journal

Vi gör detta för alla som försöker hålla jämna steg med vad tekniken gör med våra liv. Människorna som bygger den, och människorna det händer med. Servola Journal finns så att det vi lär oss tillhör dem alla.

Ingen betalar oss för detta. Inga annonser, ingen betalvägg, gratis för alla. Vi tror helt enkelt att förståelse av vad som händer oss alla inte borde bero på vem som har råd att betala för det.

Om det gav dig något idag, säg till oss att fortsätta. Följ oss, lämna en gilla-markering, eller skriv en positiv kommentar. Vi läser varenda en, och de är det som håller oss igång.

Läs vidare: EU har just flyttat din AI Act-deadline med 16 månader  |  Bryssel har just testat sin nya befogenhet på 30 AI-företag