Kalifornian kuvernööri Gavin Newsom allekirjoitti keskiviikkona kaksi lakia, jotka siirtävät tekoälyjärjestelmien turvallisuusarvioinnin pois yhtiöiden omista käsistä. SB 813 ja AB 1405 luovat yhdessä Yhdysvaltain ensimmäisen viranomaisrekisterin riippumattomille tekoälyauditoijille. Takaraja on tarkka: rekisterin on oltava pystyssä 1. tammikuuta 2029.
Newsom itse pysyi yleisellä tasolla. "Tekoälyllä on mahdollisuus parantaa elämäämme, mutta ilman toimivia suojakaiteita se aiheuttaa merkittäviä riskejä", kuvernööri sanoi oman toimistonsa tiedotteessa. Lain kirjoittaja oli suorasanaisempi.
“Emme voi odottaa, että toimiala yksinkertaisesti arvostelee omat kotiläksynsä; kolmannen osapuolen auditoijat ovat välttämättömiä sen varmistamiseksi, että tekoäly on turvallista yhteisöillemme ja kriittiselle infrastruktuurille.”
Tämän jutun päivämäärät ja velvoitteet on tarkistettu lakiteksteistä Kalifornian osavaltion lainsäädäntötietokannasta. Sitaatit sen sijaan tulevat kuvernöörin toimiston tiedotteesta, eli lain säätäjiltä itseltään, eikä ulkopuolista arviota lain vaikutuksista ole toistaiseksi julkaistu.
Mitä auditoija oikeastaan tekee
Riippumaton tekoälyauditoija tekee mallille ja sitä käyttävälle organisaatiolle suunnilleen saman kuin tilintarkastaja kirjanpidolle. Hän on ulkopuolinen, joka käy läpi yhtiön omat väitteet ja tarkistaa, pitävätkö ne. Onko malli testattu niillä syötteillä, joilla yhtiö kertoo testanneensa? Onko dokumentoitu riskiarvio olemassa vai onko olemassa vain kalvosarja siitä?
Tähän asti valtaosa vastauksista on tullut yhtiöiltä itseltään. Mallikortit, järjestelmäkuvaukset ja turvallisuusraportit ovat kehittäjän omaa tuotantoa, ja ne julkaistaan silloin kun kehittäjä katsoo hyväksi. Asetelmassa ei ole mitään laitonta. Ongelma on se, että arvioija ja arvioitava saavat palkkansa samasta kassasta, ja lukija joutuu luottamaan siihen, että kiusallinen tulos päätyy raporttiin siinä missä imarteleva.
Kaksi lakia, kaksi takarajaa
AB 1405 on laeista konkreettisempi. Se lisää osavaltion hallintolakiin uuden luvun ja velvoittaa hallinnon kehittämisviraston Government Operations Agencyn perustamaan tekoälyauditoijien rekisterin 1. tammikuuta 2029 mennessä. Samasta päivästä alkaen rekisteröimätön taho ei saa tarjota lakisääteisiä tekoälyauditointeja. Rekisterinumero on liitettävä auditoijan markkinointiaineistoihin, ja auditointiraporttiin on liitettävä allekirjoitettu vakuutus lain vaatimusten noudattamisesta.
Riippumattomuus on kirjoitettu lakiin tarkasti. Auditoija ei saa arvioida omaa aiempaa työtään, hakea töitä auditoitavasta yhtiöstä auditoinnin aikana eikä ylläpitää suhteita, jotka vaarantavat objektiivisuuden. Kalifornian tilintarkastajalautakunnan hyväksymät tilintarkastajat on vapautettu rekisteröinnistä, jos he noudattavat oman alansa ammattieettisiä sääntöjä. Rikkomuksesta voi seurata poisto rekisteristä ja asian siirtäminen oikeusministerille tai muulle valvontaviranomaiselle.
SB 813, senaattori Jerry McNerneyn (D-Pleasanton) esitys, rakentaa rinnalle toisen kerroksen: riippumattomat verifiointiorganisaatiot eli IVO:t, joiden kelpoisuusehdot saman viraston on määriteltävä 1. tammikuuta 2028 mennessä. Laki on siltä osin varovainen, että se ei velvoita ketään palkkaamaan IVO:ta eikä anna auditoinnista vastineeksi vastuuvapautta. Tuomioistuin saa pitää auditointia merkityksellisenä mutta ei ratkaisevana silloin, kun tekoälyn aiheuttamaa vahinkoa puidaan oikeudessa.
EU vaatii ulkopuolista silmää harvemmin kuin luulisi
Euroopassa vastaava rakenne on ollut olemassa pidempään, mutta se kattaa kapeamman alueen kuin moni olettaa. EU:n tekoälyasetuksen 43. artikla, jota sovelletaan korkean riskin järjestelmiin 2. elokuuta 2026 alkaen, edellyttää ilmoitetun laitoksen eli ulkopuolisen arvioijan mukanaoloa käytännössä vain biometriikkaa koskevissa järjestelmissä. Muissa korkean riskin luokissa riittää sisäinen valvonta, siis valmistajan oma arvio.
Kalifornia lähestyy samaa ongelmaa toisesta suunnasta. Se ei pakota auditointiin, mutta säätelee tiukasti sitä, kuka auditoinnin saa tehdä. EU pakottaa arviointiin mutta sallii useimmiten sen tekemisen itse. Kumpikin jättää saman aukon auki, vain eri kohtaan.
Suomalaiselle ohjelmistotalolle, joka myy tekoälytuotetta Yhdysvaltoihin, muutos ei näy heti hinnassa. Se näkyy siinä, keneltä auditointiraportin voi ostaa. Jos yhtiö on jo rakentanut EU:n vaatimustenmukaisuusdokumentaation, iso osa aineistosta kelpaa sellaisenaan pohjaksi; auditoijan on vain oltava Kalifornian rekisterissä, jos raporttia käytetään lakisääteiseen tarkoitukseen. Vuoden 2029 jälkeen kalifornialaisen julkishallinnon tai suuryrityksen hankintaan tuskin kelpaa arvio, jonka on tehnyt rekisteröimätön konsultti.
