Illinois wprowadza pierwsze w USA obowiązkowe coroczne audyty bezpieczeństwa AI

Gubernator Illinois JB Pritzker podpisał 6 lipca ustawę Artificial Intelligence Safety Measures Act, która jako pierwsza w Stanach Zjednoczonych wprowadza obowiązek corocznych niezależnych audytów bezpieczeństwa dla największych twórców modeli sztucznej inteligencji. Prawo dołącza Illinois do Kalifornii i Nowego Jorku w grupie stanów, które same regulują AI wobec braku federalnej ustawy.

Ustawa definiuje ryzyko katastroficzne jako prawdopodobieństwo incydentu, który mógłby spowodować śmierć lub poważne obrażenia u ponad 50 osób albo szkody majątkowe przekraczające milion dolarów. Twórcy objętych nią modeli muszą publikować ramy bezpieczeństwa opisujące, jak identyfikują i oceniają takie ryzyko, zanim model trafi na rynek.

Audyt raz w roku

Kluczową różnicą względem wcześniejszych przepisów kalifornijskich i nowojorskich jest wymóg corocznego niezależnego audytu prowadzonego przez zewnętrzny podmiot. Nowy Jork w swojej ustawie Responsible AI Safety and Education Act, podpisanej pod koniec 2025 roku, wymaga tylko jednorazowego audytu. Illinois idzie o krok dalej, każąc firmom wracać do niezależnej weryfikacji co roku, dopóki model pozostaje w użyciu.

Za egzekwowanie przepisów odpowiada biuro prokuratora generalnego stanu. Naruszenia będą karane cywilnie, z rosnącą stawką przy powtarzających się przypadkach niezgodności.

Kongres nie chciał działać, ponieważ wielu jego członków jest zależnych od interesów branży, która czerpie zyski z braku regulacji - JB Pritzker, gubernator Illinois

Nie jesteśmy skłonni czekać, aż Kongres zacznie działać - Mary Edly-Allen, senator stanowa Illinois

Wsparcie i sprzeciw branży

Co znamienne, ustawę poparły OpenAI i Anthropic, czyli dwie z największych firm objętych jej zakresem. Sprzeciw zgłosiła za to organizacja branżowa TechNet, argumentując, że coroczne audyty wprowadzają subiektywne kryteria zgodności bez jednolitego standardu krajowego, co w praktyce oznacza inne wymagania w każdym stanie z osobna.

Republikański kongresmen Daniel Didech, współautor ustawy, bronił jej konieczności, podkreślając że każda transformacyjna technologia niosła ze sobą realne ryzyka obok korzyści i wymagała odpowiednich ram nadzoru zanim skutki uboczne stały się nieodwracalne.

Efekt patchworku stanowego

Brak jednej ustawy federalnej regulującej AI w USA sprawia, że to właśnie duże stany jak Kalifornia, Nowy Jork i teraz Illinois faktycznie wyznaczają standard rynkowy dla całej branży, ponieważ żaden liczący się dostawca modeli nie może pozwolić sobie na pominięcie tych rynków. Prawnicy zajmujący się compliance mówią wprost o powstającym patchworku przepisów, w którym firmy muszą jednocześnie spełniać wymogi kilku różnych jurysdykcji stanowych, zanim Kongres w ogóle podejmie temat na poziomie krajowym.

Dla polskich firm i deweloperów korzystających z modeli OpenAI, Anthropic czy Google zmiana ma znaczenie pośrednie, ale realne. Rosnące wymogi audytowe w USA zwykle przekładają się na bardziej szczegółowe raporty bezpieczeństwa publikowane globalnie przez dostawców, z których korzystają też firmy w Europie, a praktyki wypracowane w Illinois czy Kalifornii bywają później punktem odniesienia w dyskusjach o wdrażaniu unijnego AI Act.

Co dalej

Ustawa wchodzi w życie dopiero 1 stycznia 2028 roku, co daje firmom ponad rok na przygotowanie procedur audytowych i raportowych. W międzyczasie uwaga branży w USA skupi się na tym, czy inne stany pójdą śladem Illinois, oraz czy administracja federalna zdecyduje się w końcu na własną, jednolitą regulację, która mogłaby zastąpić rosnącą liczbę odrębnych przepisów stanowych.

Źródła: Capitol News Illinois (capitolnewsillinois.com), Chicago Sun-Times (chicago.suntimes.com), Washington Post (washingtonpost.com)