从美国第一部人工智能监管立法生效看联邦人工智能法的未来

今天，欧盟人工智能法终于获得欧盟理事会批准。大西洋彼岸，美国人工智能监管立法也有了一个标志性的立法进展。5月17日，美国科罗拉多州州长Jared Polis签署了“关于在与人工智能系统的互动中提供消费者保护的法案”（SB205），成为美国第一部对人工智能及其用例提出具体要求、真正长牙齿的综合性人工智能“监管立法”，尽管是州层面的。

联邦人工智能监管立法的走向

目前，民主、共和两党都想监管人工智能，但共和党整体更担心过度监管损害美国产业竞争力和国家安全，更支持light-touch监管、青睐企业的自愿指南和自我承诺；民主党则整体上更偏向严格的监管路径，主张建立强大的联邦机构来监管人工智能。以参议员沃伦、桑德斯以及拜登为代表的中左翼民主党政客已经意识到民主党因为和硅谷走得太近冷落了传统制造业，正尝试带领民主党回归罗斯福新政后代表劳工的那个时代，加强对大科技公司的监管。拜登的人工智能总统行政令援引《国防生产法》这样一个非常牵强的法律依据，要求美国企业上报红队测试结果等信息，是非同寻常的强监管信号。以前美国政府很少在缺乏直接法律依据的情况下，强行给企业施加这类信息报送的硬性义务，有限的情况也大多狭窄地针对联邦政府的承包商，也就是：你要赚我联邦政府的钱，那我就有抓手要求你承担一些义务。

在两党和国会两院都关注人工智能及其治理的态势下，过去两年来美国关于人工智能监管的讨论可谓热火朝天。仅去年一年，众议院和参议院委员会光是人工智能的听证会就有三十多场，本届国会也提出了三十几项不同形式、不同路径的人工智能监管法案。

但立法的阻力也越来越大。科技公司嘴上支持监管，实则已经动员起一个庞大的反监管游说网络，主力既有IBM和Meta这种传统科技企业，也加入了一些新贵：比如英伟达等AI芯片公司、Andreessen Horowitz这类聚焦AI机会的风投，以及Charles Koch这种倡导”小政府”保守派价值观及自由市场、又希望对其公司业务线做全面AI转型升级的亿万富翁。一些中小AI初创企业也纷纷表达自己的声音。这个游说网络努力向国会议员们传递两个核心信息：1、AI没你们想象的那么危险，更不会有什么“生存危险”，它是美国必须抓住的商业机会；2、中国正在AI领域穷追猛赶，如果你们管的太严了，美国就会被中国反超，好不容易获得的领先优势就会化为乌有。

作为国会AI监管立法的领头人，参议院多数党领袖舒默领导一个两党AI工作组忙活了几个月，连着开了九个了解AI技术和应用的“洞察论坛”，结果上周扔出来的根本不是一个监管法案，而是一份相当于“还要再想想怎么管”的“AI政策路线图”，重点是每年至少320亿美元的AI研究与开发投资。科技公司们很高兴，支持监管的进步科技组织很失望。

几天前，给舒默当了五年首席顾问的Reggie Babin（现为Akin Gump律师）和Politico Tech有个对话，对国会内部两党围绕联邦AI立法的博弈说得十分透彻。Babin指出，两党的AI立法需要妥协，所以得尽量暂时回避那些争议比较大的问题，聚焦在能能获得两党支持的方面，在不同政治力量之间寻找共同支点，再围绕这些支点构建政策。选举年对AI立法有很大影响，因为议员们更加关注选民的需求和期望，导致他们更倾向于推动那些能够立即带来可见成果的立法，以对选民展示自己办事麻利、有成果。联邦AI法案过于复杂，牵涉太广，显然不属于这种立竿见影的法律，在大选前暂时搁置不奇怪。整个立法过程可能不是一次性事件，而是迭代的，需要多个国会周期才能完成。

科技公司的游说也在发挥显著作用。现在国会看待AI监管的主流态度，正在从最开始担心AI像社交媒体一样不受控制因此要提前监管，变成觉得AI的风险可能被夸大了。美国的AI公司的表现也很争气，OpenAI、Anthropic、Google和Meta都在过去几个月发布了重大服务升级，并且很多大企业都同意自愿承诺确保系统的安全性、透明度和可问责，包括严格的内部和外部安全测试、分享AI技术的风险信息等，采取具体措施降低AI风险。在市场和投资者看来，通货膨胀、利率和中东冲突远比所谓AI的“存在性风险”更迫在眉睫、更真实。学术界的研究也没有多少证据支持AI存在很大风险的说法。

另外，中美在AI领域的竞争也帮助压制了联邦AI立法的势头。对两党议员来说，现在比较普遍的观点是不发展才是最大的不安全，因为过度监管导致美国在AI竞争中落后于中国才是最大的不安全。

我感觉，照这么下去，美国的联邦层面的AI监管国会立法，至少在本届国会的任期内恐怕是没戏了，长期看也不排除会落得跟联邦统一隐私法一样的命运，陷入“只听天雷响、不见雨下来”的状态。更有甚者，从舒默的AI政策路线图来看，国会原本的监管立法甚至可能会因为中国因素而变成一部“产业促进”立法。Reggie Babin在Politico Tech对话中指出：美国在AI领域与中国的竞争是两党的共同利益与合作基础，这种对华竞争的共识会推动AI立法继续推进，《芯片与科学法案》和《削减通胀法案》能通过就是因为背后有这股推力。而众所周知的是，芯片法案和削减通胀法案都是典型的产业促进立法，着眼点是和中国的科技竞争。

州层面的人工智能监管立法走向

在各州层面，立法监管人工智能的意识和动力似乎要更足，也有各自的算盘。最初，州长们和州议会实际希望国会能采取行动，也认为在全国范围内有统一的联邦监管标准是最理想的，但许多州对国会的情况也看得越来越清楚，觉得短期内很难有实质行动，转而开始考虑在AI监管方面先发制人，彰显保护本州民众免受AI风险侵害的政绩，有的甚至还抱有为联邦立法提供示范的雄心。一些州也希望靠自行立法解决一些没有被联邦法规充分覆盖、但本州十分看重的问题。例如，加州和纽约州拥有多元化的人口结构和复杂的社会经济环境，人口和种族多样性使得算法歧视少数族裔和弱势群体的问题格外敏感，因此它们极为关注打击算法歧视并确保AI系统在做出聘、医疗和住房等重大决策时的透明度，希望确保AI能提供更公平的机会和服务。

目前，美国大概有40多个州正在考虑制定自己的AI监管法案，大有复现数据隐私保护州法先行、倒逼联邦的势头，其中大部分是传统蓝州，也有佛罗里达和佐治亚这样的摇摆州。

在数据隐私保护法上曾经取得辉煌成绩的加州率先行动，该州民主党议员Rebecca Bauer-Kahan去年发起了一项法案（AB-331），尽管法案切口狭窄，聚焦AI自动化决策及所生的算法歧视，但加州的科技行业和反监管的力量实在是太强，法案最终折戟州议会。

今年，另外两个民主党主导的传统蓝州康涅狄格和科罗拉多先后推出了AI法案，成为州级AI立法的两个领头羊。康州的法案一度势头很猛，提案人民主党州参议员James Maroney专门成立了一个立法工作组，请了前IBM高管以及亚马逊、TechNet、BSAI软件联盟的代表，以及来自律所、智库、高校的AI专家参与，还专门和加利福尼亚、弗吉尼亚、科罗拉多、佛蒙特、罗德岛等几个也有AI立法计划的州进行了交流。但在5月初，州长Ned Lamont威胁要否决这个法案，这种鲜明的否定态度最终导致法案未能在众议院得到审议。但James Maroney还没有放弃，计划明年重新引入一个新的法案版本。科罗拉多的法案是该州民主党议员、州议会参院多数党领袖Robert Rodriguez发起，参考了很多康州法案的内容。

对各州监管AI的立法计划，科技行业表达了比较强的反对意见，主要的论点是：1、人工智能是一项新兴技术，还处在快速发展阶段，过早的立法可能会限制技术的创新和进步。2、州法先行的思路是错的，不同州的法律差异可能会造成法律环境的复杂性，类似于数据隐私法在各州引起的“法律拼凑”问题，这种复杂性对于小型企业尤其构成挑战，因为他们没有足够的财务和法律资源来应对。

尽管面临来自美国商会和进步商会在内的几个行业团体和科技公司的压力，科州州长Jared Polis最终还是签署了该法案，从而实现了美国人工智能监管立法在州层面的突破。不过Polis也认为科技行业的关切不无道理，担心这项法律可能影响行业发展和技术进步。所以，他一直强调法案的一些核心条款要到2026年才能生效，州议会将依托2022年成立的一个审查人脸识别问题的特别工作组研究该法律如何在实践中发挥作用，呼吁州议会根据研究的结果，在法案核心条款正式生效前进行必要的修正。

有了第一个州级人工智能监管立法，是一个具有标志性意义的事件，其他那四十多个州的立法进程估计会加快，未来我们或许会看到更多州层面的人工智能法，科技行业不希望看到的“逐州监管”和立法碎片化可能最终难以避免，而这势必导致美国AI监管法律环境变得复杂和具有不确定性，跨多个州运营的公司，特别是中小公司不得不在不同的州实施不同的流程、系统和控制措施，提升合规成本。特别是，科罗拉多向欧盟人工智能法看齐的倾向，如果成为各州共同的参照，对美国人工智能产业发展和联邦统一立法也不是好事。

科罗拉多人工智能法案的主要内容

本质上，SB205是一部从防止算法歧视切入、针对AI场景的消费者保护法案，借鉴了欧盟人工智能法的不少思路。例如，和欧盟一样，法案也框定了一类“高风险人工智能系统”予以重点规制。所谓“高风险人工智能系统”，指的是用于做出对个人或群体具有显著影响的决策的系统，例如在教育、就业、金融服务、基本政府服务、医疗服务、住房、保险或法律服务等领域的决策。SB205还规定，有一些条款即时生效，有一些则要到2026年2月1日起才生效，这也是大家很熟悉的欧盟式科技立法的生效条款。

针对“高风险人工智能系统”，SB205给系统开发者和部署者分别设定了相应的法律义务。作为部署者的小企业在有限的情况下可能会被豁免某些义务，但整体上这些义务是普遍适用的，没有企业营收或数据量的门槛，也不像一些州隐私法一样对医疗保健或金融机构等实体做出豁免。具体而言：

开发者要承担“避免算法歧视”和“透明度”义务：“避免算法歧视”方面，SB205要求开发者尽到合理注意义务，采取合理措施，保护消费者免受算法歧视风险。“透明度”方面，SB205明显参考了欧盟人工智能法附件八要求通用人工智能模型提供者向下游部署者提交的“技术文档”，要求开发者向部署者提供相关文件和信息，包括：1）一般声明，描述系统的合理预见用途及已知的有害或不当用途。2）文件披露，包括训练数据类型的高级摘要、系统的已知或合理可预见的限制、系统的目的、预期收益和用途，以及部署者遵守第6-1-1703条要求所需的所有其他信息。3）文件描述，包括系统的性能评估和算法歧视缓解措施、数据治理措施、预期输出、采取的缓解措施，以及系统使用和监控的方法。4）任何能够帮助部署者理解系统输出并监控其性能的、其他合理必要的文件。此外，SB205还要求开发者必须向州总检察长披露任何因系统预期用途引起的已知或合理可预见的算法歧视风险。

部署者要承担“避免算法歧视”的义务，以及制定和实施风险管理政策计划、影响评估、通知、透明和算法可解释等义务：具体来说：1）部署者自2026年2月1日起，必须实施风险管理政策和计划，明确并纳入识别、记录和减轻算法歧视风险的原则、过程和人员。2）部署者或其雇佣的第三方在部署高风险人工智能系统时，应完成该系统的影响评估，以后至少每年评估一次；如果对系统有实质性修改，要在修改后九十天内再做评估。3）在高风险人工智能系统用于做出关于消费者的重要决策前，部署者应通知消费者并提供相关信息。4）如果重要决策对消费者不利，部署者应向消费者披露决策理由的声明、提供纠正错误个人数据的机会，赋予消费者对不利决策申诉的机会。5）部署者应在其网站上公布声明，摘要说明高风险人工智能系统类型、管理算法歧视风险的方式，以及收集和使用信息的性质、来源和范围。

交互式人工智能系统开发者和部署者的一般性披露要求：虽然SB205的大多数条款侧重高风险人工智能系统，但它也确立了一项所有人工智能系统都要遵守的规则，即如果相关系统“旨在与消费者互动”，那么要通知消费者让其知晓，除非是一个正常人基于合理的假设能够了解自己正在和人工智能系统互动。

SB205的执行机制：法案没有赋予私人诉权，这应该是照顾到了科技企业的利益，防止未来出现大量诉讼，包括滥诉，使AI企业不堪重负。具体由科罗拉多州总检察长执行，违反本法将构成Colo. Rev.Stat.第6-1-105节的不公平贸易行为，最高可处以2万美元的罚款。总检察长可以根据需要制定实施法案的具体规则，包括对开发者的文档披露要求，风险管理政策和计划、影响评估的内容和要求等。

安全港条款：首先，如果开发者、部署者或其他人能够证明他们通过鼓励反馈、对抗性测试或内部审查过程发现并纠正了违反法案的行为，并且符合美国商务部国家标准与技术研究院发布的最新版本《人工智能风险管理框架》和国际标准化组织ISO/IEC 42001标准或其他被认可的框架，那么他们可以提出积极抗辩寻求免责。其次，如开发者或部署者提供、许可或使用高风险人工智能系统的唯一目的是自我测试以识别、减轻或防止歧视，或者确保符合州和联邦法律，或者扩大申请人、客户或参与者的范围以增加多样性或纠正历史歧视，则不构成算法歧视。最后，法案还列出了不被视为高风险人工智能系统的一些特定技术，如反欺诈技术、反恶意软件、反病毒软件等，除非这些技术在部署时做出或在做出重要决策中起重要作用。

加入知识星球获取科罗拉多州人工智能法、康涅狄格州人工智能法草案中文翻译版、舒默首席法律顾问Reggie Babin与Politico Tech对话全文实录中英文版。