Кратко

  • С 1 января 2029 года AB 1405 запрещает предлагать, продавать или проводить охваченный законом аудит ИИ без регистрации в Government Operations Agency. Предусмотрены публичные сведения, независимость, канал жалоб, исключение из реестра и десятилетнее хранение доказательств.
  • SB 813 требует к 2028 году отдельной процедуры назначения independent verification organizations. Разработчиков не обязывают заказывать аудит, а соответствующий стандарту аудит в деле о вреде считается значимым, но не окончательным доказательством.

Два закона устанавливают разные пороги доверия

Губернатор Gavin Newsom подписал AB 1405 и SB 813 9 сентября 2026 года. В официальном сообщении они представлены как единая основа независимой оценки третьей стороной. Однако тексты создают не один универсальный знак качества, а два институциональных фильтра.

AB 1405 регулирует допуск на рынок. Охваченным считается аудит внутренних мер контроля, процессов или систем, необходимых для соблюдения законодательства Калифорнии системой или моделью ИИ. Не позднее 1 января 2029 года GovOps должна запустить онлайн-реестр, установить ежегодную плату не выше разумной стоимости администрирования и дать физическим лицам механизм сообщения о нарушениях. С этой даты незарегистрированное лицо не сможет предлагать, продавать или проводить такую проверку.

SB 813 задаёт более узкий и сложный вопрос: какой аудитор продемонстрировал знания, методы и независимость, достаточные для назначения independent verification organization, или IVO? Требования к заявке, критерии и порядок приостановления либо прекращения статуса должны появиться до 1 января 2028 года. Архитектура назначения опережает обязательный реестр на год, но зарегистрированный аудитор не становится IVO автоматически.

Ссылка на справочник в этой статье сознательно остаётся неразрешённой. Оба закона возлагают исполнение на California Government Operations Agency. В официальном описании это ведомство уровня кабинета отвечает за межведомственные стратегические инициативы. Существующие в BTW записи California Department of Technology и State of California описывают иные либо конфликтующие объекты. Точно назвать отсутствующую GovOps честнее, чем приписать её полномочия другой организации.

Регистрационный номер даёт право работать, а не государственную рекомендацию

Желающий зарегистрироваться сообщает фирменное наименование и контакты, перечень законов и правил Калифорнии, по которым проводит аудиты, сведения о сертификации и описание услуг. Стандартная рабочая процедура должна назвать применяемые нормы и объяснить основания заявлений о точности, надёжности или обоснованности протоколов. Существенные изменения, влияющие на достоверность опубликованных данных, обновляются в течение 90 дней.

GovOps опубликует номер и представленные сведения. Кроме того, номер должен ясно и заметно присутствовать в любой рекламе, предлагающей охваченные аудитом услуги. Рядом в реестре обязано стоять предупреждение: регистрация не означает рекомендации или одобрения аудитора штатом. В конце закона граница повторена. Разрешение продавать регулируемую услугу не является выводом о превосходстве фирмы во всех областях и не гарантирует правильности будущей работы.

При этом регистрация не сводится к анкете. Аудитор не вправе проверять систему, процесс или контроль, который сам существенно проектировал, разрабатывал, внедрял или эксплуатировал. Финансовая, деловая, трудовая или другая связь, способная обоснованно повредить независимости, исключает участие. Обычная рыночная оплата сама по себе допустима. Но специалист не может во время задания договариваться о работе у проверяемой стороны, а человек, нёсший там существенную ответственность за предмет аудита в предшествующие 12 месяцев, не может проверять тот же предмет.

Отчёт для заказчика описывает рамки, цели, результаты и документы, на которых они основаны. В нём указываются недостатки и уместные технические, операционные или управленческие меры, соблюдение внутренних норм безопасности в пределах задания, а также нерассмотренные вопросы и пробелы в доказательствах, информации, системах или доступе. Аудитор подписывает и датирует заявление о соблюдении главы. Отчёт и обоснование результата хранятся не менее десяти лет.

Однако публичного архива аудитов из этого не возникает. AB 1405 требует раскрывать регистрационные сведения, а не результат каждого задания. Сообщения о нарушениях сохраняются всё время регистрации и ещё десять лет, а для правоприменения могут передаваться другим ведомствам. Публиковать сами жалобы, расследования и решения закон не обязывает. Пользователь может видеть активный номер, не зная о текущей проверке поведения, важном ограничении отчёта или даже о системе, к которой относится реклама.

Статус IVO глубже проверяет метод и независимость

Кандидат в IVO представляет квалификацию, доказательства соответствия будущим критериям, а также предлагаемые эталоны, технологии, показатели и методики. GovOps должна учитывать технические знания, способность оценивать риск, управление конфликтами и свободу от операционного или управленческого контроля проверяемой стороны. Рыночная оплата разрешена, но её наличие или размер нельзя ставить в зависимость от результата.

Порядок приостановления и прекращения должен охватывать несоблюдение норм, существенное искажение сведений, конфликт интересов, недостаточную документацию, поведение, ставящее под сомнение добросовестность или компетентность, и сбои кибербезопасности. Поэтому назначение — не вторичная регистрация под другим названием, а более сильное решение ведомства о доказанной проверочной способности на основании публичных и обновляемых критериев.

Назначенный IVO ежегодно отчитывается перед GovOps и законодательным собранием, причём впервые не раньше чем через 12 месяцев после назначения. Отчёт суммирует стандарты и методы, изменения управления или финансирования, важные для независимости, и изменения заявки. Сведения можно скрыть ради коммерческой тайны, кибербезопасности, общественной или национальной безопасности либо исполнения закона. В опубликованной версии характер и обоснование сокрытия раскрываются настолько, насколько допускает причина; полный материал хранится пять лет.

И этот статус не является лицензией на модель. SB 813 не требует от разработчика, внедряющей организации или оператора нанимать IVO или проходить охваченный аудит. Одно лишь отступление от стандарта не создаёт ответственности. Публикация критериев не означает одобрения системы или модели. В иске о вреде от ИИ факт проведения аудита по указанному стандарту имеет значение, но сам по себе не решает вопросы причинности, ответственности и безопасности.

Публичной связи между режимами пока нет

В законах перечислено много полезных полей, но прямо не предусмотрена единая публичная карточка, которая их соединяет. AB 1405 покажет номер и самоописание зарегистрированного. SB 813 обнародует требования и критерии и получит периодические отчёты IVO. Читателю не гарантирован экран, где видно, имеет ли зарегистрированный аудитор действующее назначение, каковы его срок и рамки, оспаривается ли приостановление и какое конкретное задание стоит за коммерческим утверждением.

Из-за этого пять фраз могут звучать одинаково. «Зарегистрирован» означает право продавать охваченный аудит после 2029 года. «Назначен IVO» должно означать доказанную способность по критериям соответствующего времени. «Прошёл аудит» говорит только о задании с датой и границами. «Соответствует» ограничено проверенным законом, методом и доказательствами. «Безопасен» — более широкий вывод, которого оба закона автоматически не дают.

Публичная квитанция доверия могла бы сохранить различия. В ней связываются номер и срок регистрации; назначение IVO и его период, если оно есть; версия стандарта и методики; важные изменения финансирования или конфликтов; заказчик, система и версия модели; охваченный закон Калифорнии; дата отсечения доказательств; исключения и ограничения; дата подписи; последующее исправление и точное утверждение, поддерживаемое отчётом. Личность заявителя и чувствительные технические данные можно закрыть, не пряча историю статуса.

Такая квитанция — проверка качества реализации, а не уже обещанный законом продукт. На странице официальной программы GenAI GovOps заявляет, что руководит работой администрации с ИИ. В 2028 и 2029 годах станет ясно, соединит ли ведомство две правовые конструкции в понятную цепь доказательств или выпустит две независимые эмблемы.

Подход Heng Lu, изложенный в The Policy Mirror, требует отражать на публичной поверхности владельца решения, его основания и путь исправления. Аргумент о приоритете работающего механизма переносит проверку на переходы состояний: регистрацию, назначение, жалобу, расследование, приостановление, возражение, исправление и истечение. Сохранённые дата и значение каждого перехода доказывают качество управления лучше яркого значка.

Источники

  1. California AB 1405 — принятый текст
  2. California SB 813 — принятый текст
  3. Губернатор Калифорнии — сообщение о подписании
  4. California Government Operations Agency — полномочия
  5. GovOps — программа GenAI штата
  6. Lu Heng — The Policy Mirror
  7. Lu Heng — Running Code Primary
  8. Lu Heng — Why BTW Media Exists