Nueva York comenzará a registrar a los grandes desarrolladores de inteligencia artificial de vanguardia en noviembre, lo que abrirá un plazo de dos meses para que cumplan con la normativa antes de que la Ley RAISE del estado entre en vigor el 1 de enero de 2027. Esta implementación traslada la ley de la legislación a la administración: las empresas cubiertas deben identificarse ante el estado, publicar marcos de seguridad y prepararse para informar sobre incidentes críticos en un plazo de 72 horas.
El anuncio de la gobernadora Kathy Hochul asigna la implementación a la nueva Oficina de Innovación Digital, Gobernanza, Integridad y Confianza (DIGIT, por sus siglas en inglés), dentro del Departamento de Servicios Financieros. El estado nombró a Marc Gilman como subdirector de la Ley RAISE, el primer empleado a tiempo completo de la oficina, mientras que otros miembros del personal del DFS trabajan en ciberseguridad, regulación tecnológica e inteligencia artificial.
La ley es deliberadamente más restrictiva que una norma general aplicable a todas las empresas que utilizan IA. Un análisis jurídico indica que las obligaciones más extensas se aplican a los desarrolladores de modelos de vanguardia entrenados con más de 10²⁶operaciones cuando el desarrollador y sus afiliados superaron los 500 millones de dólares en ingresos brutos del año anterior. Las empresas comunes que adquieren herramientas de IA de terceros generalmente no están reguladas directamente por el mero hecho de utilizarlas.
Los desarrolladores sujetos a esta normativa deben publicar y seguir marcos de trabajo de IA de vanguardia que aborden los controles de riesgo catastrófico, la ciberseguridad, la respuesta a incidentes y la gobernanza interna. Asimismo, deben publicar informes de transparencia al implementar modelos nuevos o modificados sustancialmente, presentar de forma confidencial evaluaciones internas de riesgo catastrófico trimestralmente, a menos que DIGIT apruebe otro calendario, y mantener una declaración de divulgación que se renueve al menos cada dos años.
El texto de la ley exige la presentación de un informe de incidentes críticos de seguridad dentro de las 72 horas posteriores a que el promotor determine, o crea razonablemente, que ocurrió un incidente. Si un incidente presenta un riesgo inminente de muerte o lesiones físicas graves, el promotor debe notificar a la autoridad competente dentro de las 24 horas, según lo exige la ley. El público también puede reportar incidentes sospechosos a DIGIT.
La aplicación de la ley recae principalmente en la Fiscal General Letitia James y DIGIT. La Fiscal General puede solicitar sanciones civiles de hasta 1 millón de dólares por la primera infracción y de hasta 3 millones de dólares por infracciones posteriores. Un promotor que opere sin una declaración de divulgación actualizada puede enfrentar una multa adicional de 1000 dólares diarios tras recibir una notificación y celebrar una audiencia. La ley no crea ningún derecho de acción privada.
Parte de la información permanecerá confidencial. Los informes de incidentes y las evaluaciones internas de riesgos están exentos de divulgación pública, aunque DIGIT podrá compartirlos con otras entidades gubernamentales. A partir de 2028, la oficina deberá publicar un informe anual con información anonimizada sobre incidentes, observaciones sobre la seguridad en entornos de alto riesgo y recomendaciones para la modificación de la legislación.
Por lo tanto, la campaña de registro de noviembre tiene una importancia que va más allá del papeleo. Determinará qué desarrolladores considera Nueva York cubiertos, proporcionará a los reguladores puntos de contacto antes de que la ley entre en vigor y pondrá a prueba si una agencia de servicios financieros puede crear un sistema de supervisión eficaz para modelos avanzados. Para las empresas neoyorquinas que no se encuentran directamente dentro del ámbito de aplicación de la ley, la información divulgada aún puede convertirse en un referente práctico para evaluar las afirmaciones de los proveedores de IA sobre seguridad y ciberseguridad.
