Hoe staten het voortouw nemen op het gebied van AI-regulering

Het afgelopen jaar was een van de meest spraakmakende jaren voor AI sinds wetenschappers het concept eind jaren veertig voor het eerst opperden. AI-leveranciers zijn blijven innoveren, met steeds krachtigere AI-modellen die regelmatig verschijnen, en technologiebedrijven zijn druk bezig deze te integreren in hun kernaanbod. Hoewel het Witte Huis een presidentieel decreet heeft uitgevaardigd om deze krachtige technologie enigszins te reguleren, is dit zonder steun van het Congres beperkt, en hebben wetgevers weinig gedaan om te helpen. Er bestaat nog steeds geen overkoepelende AI-regelgeving op federaal niveau.

Dit heeft ertoe geleid dat de deelstaatregeringen het ontstane vacuüm moesten opvullen, en ze zijn die uitdaging met beide handen aangegaan. Volgens de Business Software Alliance hebben wetgevers in de staten in 2023 maar liefst 440% meer wetsvoorstellen ingediend met betrekking tot AI dan in het jaar ervoor. Deze wetten behandelen diverse AI-gerelateerde kwesties, waaronder de mogelijke vooringenomenheid, transparantie over welke gegevens worden gebruikt om AI-systemen te trainen, en specifieke bedreigingen zoals deepfakes.

Een vloedgolf aan staatsmaatregelen

De regelgevende maatregelen die staten nemen, lopen sterk uiteen. Sommige staten, zoals Texas, richten zich op het gebruik van AI door de staat zelf. Wetsvoorstel 2060 , dat vorig jaar werd aangenomen, heeft een adviesraad voor AI in het leven geroepen om het gebruik van AI-systemen door de staat te evalueren en de behoefte aan een ethische code te beoordelen.

Andere AI-regelgeving heeft betrekking op het gebruik van deze systemen door de private sector en is vaak verweven met wetten inzake consumentenprivacy. De Oregonse wet SB619 , die op 1 juli van dit jaar in werking treedt, bevat een opt-out-bepaling voor gegevens die worden gebruikt voor geautomatiseerde profilering. De Montanaanse wet SB384 inzake consumentenprivacy, die in februari 2023 werd ingediend, bevat een soortgelijke bepaling, net als de Consumer Data Protection Act van Virginia en de New Hampshirese wet SB255 . Al deze wetten zijn reeds aangenomen, evenals de Tennesseese wet HB1181 , die verplichte gegevensbeschermingsbeoordelingen voorschrijft voor gegevensprofilering.

Sommige richten zich op generatieve AI. De wet SB149 van Utah , die in maart van dit jaar werd aangenomen, schrijft voor dat personen moeten worden geïnformeerd als ze met AI werken. Dit is een gereguleerd beroep (een beroep waarvoor een vergunning of een staatscertificaat vereist is).

Andere staten hebben geprobeerd verder te gaan dan het profileren van opt-outbepalingen met verdere AI-gerelateerde bescherming. Connecticut, dat vorig jaar een dergelijke bepaling in zijn Connecticut Privacy Act afdwong, probeerde een ander wetsvoorstel in te dienen – SB2 – dat de ontwikkeling van geautomatiseerde besluitvormingsinstrumenten en AI-systemen zelf zou hebben gereguleerd. Het zou uitgebreide documentatie van dergelijke systemen en hun gedrag hebben geëist, samen met de gegevens die tijdens de ontwikkeling zijn gebruikt (dit zou ook trainingsgegevens hebben omvat). Het zou ook risicobeoordelingen rond de inzet ervan vereisen, samen met transparantie.

De senaat van Connecticut keurde SB2 goed, maar slaagde er niet in om binnen de deadline van mei tot een huisstemming te komen, deels vanwege de belofte van de gouverneur van Connecticut, Ned Lamont, om het wetsvoorstel te vetoën.

Colorado had echter meer succes met het verleggen van de grenzen van AI-regulering. Een week nadat SB2 op het laatste moment was gestrand, nam de wetgevende macht van Colorado SB24-205 aan , die specifiek AI reguleert. De wet introduceert een ethisch kader voor de ontwikkeling van risicovolle AI-systemen, verplicht openbaarmaking van het gebruik ervan en geeft consumenten de mogelijkheid om de resultaten aan te vechten en persoonlijke gegevens die door het AI-systeem zijn gebruikt te corrigeren. Risicovolle AI-systemen, die volgens de wet leiden tot "ingrijpende beslissingen", zullen ook worden onderworpen aan een risicobeoordeling en een jaarlijkse evaluatie.

Andere staten hebben zich gericht op specifieke toepassingen van AI. In 2020 heeft Illinois wet 820 ILCS 42/1 (de Artificial Intelligence Video Interview Act ) aangenomen, die potentiële werkgevers verplicht om toestemming te vragen aan sollicitanten als ze AI gebruiken om hun video-interviews te analyseren.

Er zijn nog meer ambitieuze wetsvoorstellen in de maak. In mei nam de Senaat van Californië SB1047 aan met 32 ​​stemmen voor en 1 stem tegen. Dit wetsvoorstel, dat uiterlijk 31 augustus door de staatsvergadering moet worden goedgekeurd, sluit aan bij enkele maatregelen in het uitvoeringsbesluit van het Witte Huis over AI. Het legt met name veiligheidsmaatregelen op, zoals red-teaming en cybersecuritytests voor grote AI-modellen. Het zou een apart bureau oprichten om AI te reguleren, samen met een publieke cloud voor het trainen van AI-modellen, en zou ervoor zorgen dat er een 'noodstop' in AI-modellen wordt ingebouwd om ze uit te schakelen als er iets misgaat.

Zolang federale wetgevers niets doen, zullen er op staatsniveau wetten blijven ontstaan ​​die de grenzen van AI-regulering verleggen. Er zijn weliswaar enkele veelbelovende stappen gezet, zoals de introductie van het SAFE Innovation Framework van senator Schumer om het verantwoord gebruik van AI te onderzoeken. Dit initiatief vordert echter tergend langzaam. Een voorgestelde federale wet inzake risicobeheer van kunstmatige intelligentie zou federale instanties ook verplichten het NIST AI Risk Management Framework over te nemen en richtlijnen voor de aanschaf van AI-systemen op te stellen. Op dit moment spelen de belangrijkste ontwikkelingen zich echter op staatsniveau af.

Hoe kunt u zich voorbereiden?

Hoe kunnen bedrijven zich voorbereiden op wat nu al een lappendeken van regelgeving op staatsniveau rond AI aan het worden is? De ISO 42001-norm dient als nuttig referentiepunt. Het schetst de vereisten voor een Artificial Intelligence Management System (AIMS) dat beleid, procedures en doelstellingen omvat als onderdeel van een bestuursstructuur voor het gebruik van AI-systemen. Het dringt ook aan op transparantie en verantwoording bij op AI gebaseerde besluitvorming, en helpt organisaties bij het identificeren en beperken van AI-gerelateerde risico's.

Naarmate de staatsregels toenemen, is een ISO-norm een ​​maatstaf die blijk geeft van goede praktijken en vooruitziendheid in een onzekere tijd voor AI-regulering.