Resumo

  • A partir de 1º de janeiro de 2029, a AB 1405 proíbe oferecer, vender ou realizar uma auditoria de IA coberta sem registro na Government Operations Agency. O regime inclui dados públicos, independência, canal de denúncia, retirada do cadastro e guarda de evidências por dez anos.
  • A SB 813 exige até 2028 critérios separados para designar organizações independentes de verificação. Ela não obriga desenvolvedores a contratar auditoria e estabelece que uma auditoria segundo um padrão é relevante, mas não conclusiva, em ação por dano.

Dois portões jurídicos para perguntas diferentes

O governador Gavin Newsom sancionou a AB 1405 e a SB 813 em 9 de setembro de 2026. O anúncio do governo apresenta as duas normas como um marco conjunto de avaliação por terceiros. O texto aprovado, porém, não cria um único selo californiano.

A AB 1405 trata de acesso ao mercado. Auditoria coberta é a avaliação dos controles internos, processos ou sistemas necessários para que uma IA cumpra a legislação estadual. Até 1º de janeiro de 2029, a GovOps terá de abrir um cadastro online, fixar taxa anual limitada ao custo razoável de administração e oferecer um meio para pessoas físicas relatarem má conduta. A partir dessa data, quem não estiver registrado não poderá oferecer, vender nem executar esse tipo de serviço.

A SB 813 formula uma pergunta mais exigente: quais auditores demonstraram competência, método e independência para receber o título de independent verification organization, ou IVO? Até 1º de janeiro de 2028, a agência deverá definir candidatura, critérios, suspensão e encerramento da designação. O calendário coloca a arquitetura de verificação um ano antes do cadastro obrigatório, sem transformar automaticamente o registrado em IVO.

O vínculo de diretório deste artigo permanece propositalmente não resolvido. As duas leis entregam a função à California Government Operations Agency, órgão de gabinete que se apresenta em sua descrição oficial como responsável por iniciativas estratégicas transversais. As entradas existentes na BTW para o Department of Technology e para o State of California representam objetos diferentes ou com conflito de identidade. Indicar a entidade correta ainda ausente é preferível a emprestar autoridade a outra instituição.

O número permite operar; não premia a qualidade

Para entrar no cadastro da AB 1405, o auditor deverá informar nome e contato comercial, leis e regulamentos da Califórnia sob os quais realiza auditorias, certificações relevantes e uma descrição de serviços. Também entregará procedimento operacional padrão que identifique os padrões utilizados e a base das alegações sobre precisão, confiabilidade ou validade dos protocolos. Mudanças materiais que afetem a informação publicada terão de ser atualizadas em 90 dias.

A página pública exibirá número e dados apresentados pelo auditor. O número também terá de aparecer de forma clara e destacada em toda publicidade que ofereça ou solicite serviços de auditoria cobertos. No cadastro haverá ainda uma ressalva visível: o registro não constitui recomendação nem endosso pelo estado. O capítulo repete essa fronteira no encerramento. Assim, uma autorização regulada para atuar não pode ser tratada como julgamento de superioridade, competência em qualquer setor ou correção de um trabalho específico.

Há obrigações substantivas. O registrado não pode avaliar sistema, processo, controle ou avaliação que tenha materialmente projetado, desenvolvido, implantado ou operado. Uma relação financeira, empresarial, trabalhista ou de outro tipo que possa razoavelmente prejudicar a independência impede o trabalho. A remuneração normal, sozinha, não é conflito proibido. Já negociar emprego com o auditado durante a missão é vedado, assim como designar alguém que teve, nos 12 meses anteriores, responsabilidade material sobre o objeto examinado.

O relatório entregue ao auditado deve registrar escopo, objetivos, resultados e documentos que sustentam as conclusões. Inclui deficiências, medidas técnicas, operacionais ou de governança que possam corrigi-las, adesão a protocolos internos de segurança dentro do escopo e limitações — inclusive assuntos não examinados e lacunas de evidência, informação, sistemas ou acesso. Uma declaração assinada e datada confirma a observância do capítulo. Relatório e base probatória ficam guardados por pelo menos dez anos.

Isso não torna cada relatório público. A AB 1405 manda publicar os dados cadastrais, não os resultados de cada contratação. Denúncias serão preservadas enquanto o auditor permanecer registrado e por mais dez anos, e poderão ser compartilhadas com órgãos de fiscalização. Não há obrigação de divulgar cada relato, investigação ou conclusão. Quem consultar apenas o número pode saber que a empresa está habilitada sem descobrir uma apuração em curso, uma limitação decisiva ou mesmo qual sistema foi avaliado.

A designação IVO examina capacidade comprovada

Pela SB 813, o candidato a IVO apresentará qualificações, elementos que respondam aos futuros critérios e os benchmarks, tecnologias, métricas e métodos que pretende empregar. A GovOps deverá considerar perícia técnica, capacidade de mensurar risco, administração de conflitos e independência operacional e gerencial em relação ao avaliado. É permitido cobrar preço de mercado, mas pagamento ou valor não podem depender da conclusão.

Os procedimentos de suspensão ou encerramento devem alcançar descumprimento de padrões, declaração materialmente falsa, conflito que comprometa independência, documentação insuficiente, conduta que questione integridade ou competência e falha de cibersegurança. A designação, portanto, não é uma segunda ficha cadastral: representa uma avaliação estatal mais forte sobre capacidade de verificação segundo critérios publicados e atualizáveis.

O IVO designado reportará anualmente à GovOps e ao Legislativo, pela primeira vez não antes de doze meses após a designação. O documento resume padrões e métodos e registra mudanças de governança, financiamento ou candidatura relevantes para a independência. Segredo comercial, cibersegurança, segurança pública, segurança nacional ou dever legal podem justificar tarjas. Em eventual versão pública, a natureza e a justificativa da supressão devem ser descritas na medida possível; o material integral será mantido por cinco anos.

Mesmo assim, a designação não funciona como licença de produto. A SB 813 não obriga desenvolvedor, implantador ou operador a contratar IVO. A simples falta de adesão a um padrão não cria responsabilidade. A publicação dos critérios não endossa sistema ou modelo. Em processo que atribua dano a uma IA, uma auditoria feita segundo padrão identificado é pertinente, mas não decide sozinha causalidade, culpa ou segurança.

Falta ligar os estados numa leitura pública

As leis especificam muitas informações valiosas, porém não exigem expressamente uma ficha pública que una tudo. A AB 1405 mostrará o número e as declarações do registrado. A SB 813 publicará requisitos e critérios e receberá relatórios periódicos dos IVOs. O cidadão não recebe necessariamente uma visão que mostre se um auditor registrado também tem designação válida, qual seu prazo e alcance, se há suspensão contestada e qual trabalho sustenta uma alegação comercial.

Nesse espaço, cinco afirmações podem parecer equivalentes. “Registrado” quer dizer apto a vender auditoria coberta depois de 2029. “IVO designado” deve significar capacidade demonstrada segundo critérios vigentes. “Auditoria concluída” informa que houve um trabalho com data e perímetro. “Em conformidade” vale apenas para a lei, o método e a evidência examinados. “Seguro” é uma conclusão mais ampla que nenhum dos diplomas concede automaticamente.

Um recibo público de asseguração poderia preservar essas diferenças: número e situação do registro; designação IVO e vigência, quando houver; versão do padrão e do método; mudança relevante de financiamento ou conflito; auditado, sistema e versão do modelo; legislação estadual no escopo; data de corte da prova; exclusões e limitações; data da assinatura; correções posteriores e a frase exata sustentada pelo trabalho. Identidades de denunciantes e detalhes técnicos podem ficar protegidos sem ocultar a cronologia do status.

Esse recibo é um teste de implementação, não uma promessa já escrita nas leis. A GovOps diz liderar o trabalho de IA da administração em seu programa oficial de GenAI. Em 2028 e 2029, será possível avaliar se dois regimes formam uma trilha de evidência legível ou apenas produzem credenciais desconectadas.

A disciplina do espelho de políticas, de Heng Lu, pede que a superfície pública revele autoridade, base da decisão e caminho de correção. A defesa do código em funcionamento desloca o teste para as transições: registro, designação, denúncia, investigação, suspensão, contestação, correção e expiração. A credibilidade dependerá de manter data e significado em cada passagem, não do brilho de um emblema.

Fontes

  1. California AB 1405 — texto sancionado
  2. California SB 813 — texto sancionado
  3. Governo da Califórnia — anúncio da sanção
  4. California Government Operations Agency — missão
  5. GovOps — trabalho estadual com GenAI
  6. Lu Heng — The Policy Mirror
  7. Lu Heng — Running Code Primary
  8. Lu Heng — Why BTW Media Exists