Illinois verpflichtet große Frontier-Entwickler nach Inkrafttreten von SB315 dazu, „ein umfassendes KI-Rahmenwerk zu erstellen, umzusetzen und jährlich zu aktualisieren, das die Bewertung katastrophaler Risiken, Gegenmaßnahmen, Governance, Cybersicherheit, Prüfungen durch Dritte und Risiken der internen Nutzung abdeckt“. Zudem müssen sie vor der Bereitstellung neuer oder wesentlich veränderter Modelle Transparenzberichte einreichen.
In New York tritt der im vergangenen Dezember unterzeichnete RAISE Act (Responsible AI Safety and Education Act) ebenfalls zum 1. Januar 2027 in Kraft. Das Gesetz schafft eine Aufsichtsstelle im Department of Financial Services des Bundesstaats, die große Frontier-Entwickler bewerten und für mehr Transparenz sorgen soll. Gouverneurin Kathy Hochul erklärte bei der Unterzeichnung, das Gesetz baue auf dem Rahmenwerk Kaliforniens auf und solle dazu beitragen, einen nationalen Maßstab für KI-Sicherheit zu schaffen, nachdem die Bundesregierung dies nicht geleistet habe.
Kaliforniens Gouverneur Gavin Newsom hatte bereits im vergangenen September den Frontier Artificial Intelligence Act (TFAIA) unterzeichnet. Das Gesetz setzt Leitplanken für die Entwicklung von Frontier-KI-Modellen. Trotz ähnlicher Grundanforderungen unterscheiden sich Illinois, Kalifornien und New York laut dem Bericht in Details wie Prüfungen durch Dritte und Fristen für Offenlegungen. Für Entwickler entsteht dadurch ein Flickenteppich an Compliance-Vorgaben.
Sachin Jade von Cyware sieht darin einen ersten, wenn auch nicht standardisierten Schritt. Gegenüber Dark Reading sagte er: „Im Moment gibt es keine Standardisierung, aber meiner Meinung nach ist es ein Anfang, und genau das wird gebraucht.“ Zugleich verwies er darauf, dass die Risiken mit der stärkeren Verbreitung solcher Modelle sichtbarer geworden seien und dass sich gezeigt habe, dass sie nicht „zu groß zum Scheitern“ seien.
Der Text verweist darauf, dass Organisationen der kritischen Infrastruktur, darunter auch die US-Regierung, solche Modelle zunehmend in ihren Umgebungen einsetzen. Gleichzeitig greifen die Modelle auf höherwertige Informationen zu, die Entwickler und Unternehmen zum Training verwenden, während Menschen immer weniger direkt eingebunden seien. Ein Bericht habe kürzlich den ersten von KI ausgeführten Ransomware-Angriff genannt. Jade betont zudem, Regulierer wollten sicherstellen, dass Beschäftigte in Frontier-KI-Organisationen Sicherheitsbedenken melden können, weil sich die Risiken auch auf kritische Infrastruktur auswirken könnten.
Auch bei den Meldefristen gehen die Bundesstaaten auseinander. Illinois und New York erlauben es Frontier-Entwicklern, kritische Sicherheitsvorfälle innerhalb von 72 Stunden nach Entdeckung an die zuständige Behörde und die Generalstaatsanwälte zu melden. In Kalifornien beträgt diese Frist 15 Tage. Wenn ein Vorfall nach der Gesetzgebung von Illinois „ein unmittelbares Risiko für Tod oder schwere körperliche Verletzungen darstellt“, verkürzt sich das Zeitfenster auf 24 Stunden.
Unklar bleibt nach Jades Einschätzung, wie die Folgen für nachgelagerte Nutzer aussehen. Die Gesetze gelten für Frontier-KI-Entwickler mit mehr als 500 Millionen US-Dollar Umsatz, lassen aber Grauzonen offen. Als Beispiel nennt er Open-Source-Modelle, die Nutzer zum Bau eigener Bots und Agenten weiterentwickeln. „Was ist, wenn ich dieses Modell in mein Ökosystem oder meinen Arbeitsablauf eingebettet habe? Was mache ich dann?“, fragt Jade. „Das regeln die Gesetze bisher nicht.“