Il Legislativo della California approva il disegno di legge sulla verifica indipendente della sicurezza dell’IA

Il Legislativo della California ha dato l’approvazione finale il 30 agosto 2026 a SB 813, una normativa redatta dal senatore Jerry McNerney che prevede di incaricare l’Agenzia per le Operazioni Governative di designare organizzazioni di verifica indipendenti — auditor esterni qualificati a valutare i rischi di sicurezza dei sistemi e dei modelli di IA. Il disegno di legge ora è sottoposto al governatore Gavin Newsom.

L’Assemblea ha approvato il disegno di legge in terza lettura il 30 agosto 2026, e il Senato ha concordato con gli emendamenti dell’Assemblea lo stesso giorno, completando il percorso legislativo, secondo il registro ufficiale dei voti. L’Assemblea ha registrato 67 voti favorevoli, 6 contrari e 6 membri astenuti; il Senato ha approvato la concordanza con 39 voti favorevoli, nessuna opposizione e un membro astenuto.

Cosa richiederebbe SB 813

Il disegno di legge aggiunge un nuovo capitolo al Codice Governativo della California, denominato Organizzazioni di Verifica Indipendente della Sicurezza dell’Intelligenza Artificiale della California. Entro il 1° gennaio 2028, l’Agenzia per le Operazioni Governative deve elaborare i requisiti di domanda per la designazione come organizzazione di verifica indipendente, o IVO; le procedure per sospendere o revocare una designazione; e i criteri per determinare se un auditor di IA è qualificato. L’agenzia deve pubblicare pubblicamente tali requisiti e criteri, rivederli e aggiornarli man mano che la tecnologia e gli standard di settore evolvono e, dove possibile, allinearli agli standard professionali e normativi esistenti di audit e assicurazione.

Secondo la definizione contenuta nel disegno di legge, un IVO è un auditor di IA che ha dimostrato competenza nella valutazione dei rischi posti da un sistema o modello di IA e nell’identificazione delle metriche e delle metodologie alla base di tale valutazione. Un IVO designato non deve avere alcuna dipendenza finanziaria, operativa o gestionale dalla parte che valuta. Può accettare pagamenti dalla parte valutata a tariffe di mercato ragionevoli, ma non può accettare condizioni che subordinino il pagamento ai risultati della sua valutazione.

Le procedure di sospensione e revoca devono coprire le violazioni degli standard appropriati, le dichiarazioni false o ingannevoli nelle domande o nelle divulgazioni richieste, i conflitti di interesse che compromettono l’indipendenza, le mancanze nella conservazione di una documentazione adeguata, le lacune nella sicurezza informatica e i comportamenti che ragionevolmente mettono in dubbio l’integrità, l’obiettività o la competenza di un IVO.

L’agenzia deve inoltre convocare gruppi di lavoro che includano ingegneri di aziende concorrenti nel settore dell’IA e esperti di sicurezza dell’IA per raccogliere il contributo delle parti interessate sugli standard, e deve riferire i risultati dei gruppi di lavoro al Legislativo. Ogni IVO designato deve presentare un rapporto annuale, non prima di 12 mesi dalla sua designazione iniziale, riepilogando i propri standard e metodologie e divulgando eventuali modifiche alle politiche di governance o alle fonti di finanziamento rilevanti per la sua indipendenza. Gli IVO possono redigere parti del rapporto per proteggere segreti commerciali, la sicurezza informatica, la sicurezza pubblica o la sicurezza nazionale, ma devono conservare le informazioni non redatte per cinque anni.

Il quadro è volontario. Il disegno di legge afferma che non obbliga alcun sviluppatore, distributore o operatore di un sistema o modello di IA a coinvolgere un IVO o a sottoporsi a un audit, non stabilisce responsabilità esclusivamente per il mancato rispetto di uno standard e non costituisce una raccomandazione o un endorsement statale di alcun sistema o modello di IA. In caso di contenzioso che sostiene che un sistema di IA abbia causato danni, il disegno di legge prevede che un audit effettuato conformemente a uno standard identificato nel capitolo sia rilevante, ma non definitivo, per la causa.

Dichiarazioni dell’Autore e dello Sponsor

L’ufficio di McNerney ha descritto la misura come il primo quadro nazionale per valutazioni indipendenti, di terze parti, dei potenziali rischi di sicurezza posti dai sistemi di IA. Il suo annuncio riportava il voto del Senato come 37–0 e quello dell’Assemblea come 53–4; il registro legislativo ufficiale indica la concordanza del Senato a 39–0 con un membro astenuto e il voto dell’Assemblea a 67–6 con sei membri astenuti.

“Il Legislativo della California ha inviato oggi un messaggio chiaro: è tempo che la California assuma la guida nella valutazione dei potenziali rischi di sicurezza dell’IA, poiché Washington, D.C., è incapace o non vuole farlo,” ha dichiarato McNerney in una dichiarazione che annuncia il voto. Il suo ufficio ha anche affermato che l’istituzione di valutazioni indipendenti e di terze parti dell’IA era una delle raccomandazioni principali del panel di alto livello di Newsom sull’intelligenza artificiale, e ha citato sondaggi che indicano che due terzi degli americani hanno poca o nessuna fiducia nel governo federale per regolare efficacemente l’IA.

SB 813 è sponsorizzato da Fathom, un’organizzazione senza scopo di lucro che afferma di aver sviluppato e promosso il modello IVO e di collaborare con i responsabili politici di tutto il paese per metterlo in pratica. L’organizzazione descrive gli IVO come esperti esterni qualificati in grado di valutare in modo indipendente il rischio dei modelli e dei sistemi di IA utilizzando test e analisi credibili, e ha dichiarato che il disegno di legge consentirebbe di valutare indipendentemente i potenziali rischi posti dalla tecnologia anziché accettarli sulla base della fede.

“Il potere del modello di verifica indipendente è che consente a esperti indipendenti e qualificati di valutare il rischio delle capacità dell’IA, e mantiene il passo con la tecnologia invece di fissare un unico test nella legge,” ha affermato Andrew Freedman, CEO di Fathom, nella dichiarazione dell’organizzazione.

La dichiarazione di Fathom ha anche collocato il disegno di legge accanto a SB 53, che, secondo l’organizzazione, ora richiede ai grandi sviluppatori di frontiera di pubblicare un quadro di sicurezza e segnalare incidenti critici. L’organizzazione ha affermato che SB 813 avvierà la costruzione di un ulteriore livello di responsabilità perché le determinazioni di sicurezza dipendono ancora in gran parte dalle aziende che valutano i propri sistemi, e che continuerà a collaborare con i responsabili politici della California, gli esperti tecnici e le parti interessate del settore per far progredire il quadro.

Versioni precedenti della misura

McNerney ha introdotto SB 813 il 21 febbraio 2025, con i membri dell’Assemblea Bauer‑Kahan e Lowenthal come coautori, e il disegno di legge è stato modificato ripetutamente in entrambe le camere, con emendamenti dell’Assemblea fino al 26 agosto 2026, secondo il registro legislativo. Il Senato ha approvato una versione precedente del disegno di legge 31–7 il 27 gennaio 2026. L’annuncio di McNerney all’epoca diceva che quella versione avrebbe creato una Commissione per gli Standard e la Sicurezza dell’Intelligenza Artificiale della California per designare panel di esperti IVO che avrebbero stabilito standard volontari, certificato sviluppatori e fornitori di IA, e monitorato la conformità, con il potere di revocare la certificazione.

Se Newsom firma il disegno di legge, l’Agenzia per le Operazioni Governative dovrà rispettare la scadenza del 1° gennaio 2028 per costruire il sistema di designazione, con i risultati dei gruppi di lavoro da riferire al Legislativo e i primi rapporti annuali IVO da presentare non prima di 12 mesi dalla designazione iniziale dell’organizzazione.