美国最严的 AI 法律还没生效就被改写了

有两年时间，科罗拉多州的 AI 法案（SB 24-205）是所有人都会指着说的那部法律——美国第一部全面的 AI 监管，那部本该对作出工作、住房、医疗和信贷等重大决策的「高风险」系统强加真正问责的法律。公司围着它建立了合规项目。咨询顾问兜售就绪清单。倒计时滴答滴答地走向 2026 年的实施日期。

然后，在短短几周之内，它基本上就蒸发了。一位联邦治安法官 在 4 月 27 日叫停了执法， 5 月 14 日州长签署了一部替代法律 SB 26-189，它 把生效日期推到 2027 年 1 月，并剥离了这部法律最硬的部分—— 防止算法歧视的注意义务、强制性的风险管理项目、年度影响评估。美国最严的 AI 法律，还没生效就被改写了。

如果你在开发任何带 AI 的东西，这种急转弯里有一个真正有用的教训，而且它不是「无视监管」。

截止日期是个移动靶。它们通常都是。

在这件事里受伤最重的团队，是那些把某部具体法律的具体要求当成目标的团队——是那些为这部法规、在这个日期、用这些评估模板做了一本合规活页夹的团队。他们围着一个会移动的靶子做优化，如今那部分工作里有一大块瞄准的是一部不再存在的法律。

这就是当下 AI 监管的常态，不是例外。规则正在被实时地撰写、挑战、冻结、改写，往往比你交付一个合规项目还要快。科罗拉多只是最戏剧化的例子：一部里程碑式的法律在上线几周前被它自己的立法机构掏空。如果你的策略是「精确合规于任何即将生效的东西」，那未来好几年你都会为每一份新草案不停地重建。截止日期是个错误的开发对象，因为截止日期一直在变。

为每次改写都能存活的东西做开发

这才是更有用的招数。看看哪些没有被砍掉。即便是在被削减后的替代法律里，也有几条义务存活了下来： 当 AI 被用在关于某人的决策中时告知本人、给本人一份通知和一条对不利决策提出申诉的途径、并让本人更正系统所用的错误数据。 不歧视。保留关于这玩意儿如何运作的文档记录。

注意这些东西的共同点：它们不是官僚式的打勾走过场。它们就是好的工程实践和基本的体面，就算没有任何法律要求你也会想要的那种。一个作出重大决策的 AI 应该能解释它自己，一个受影响的人应该能对它提出异议，而它背后的数据应该是可以更正的。这跟我一直就其本身价值在论证的东西是一回事—— 高风险领域里的智能体需要事实依据、需要审计追踪、需要一个能推翻它的人—— 也正是同样的原因，「是 AI 干的」不能被允许成为一场对话的终点。

这就是为什么这些是能存活下来的部分。监管者在每一个司法辖区、每一次改写中都不断落到它们身上，因为它们是不可再削减的内核：透明、可异议、可问责、不歧视。争吵的是围绕这个内核的那些纸面文书，不是内核本身。

一个开发者实际上该做什么

你不需要一个法务团队就能照着这个行动。这套耐用的打法很小：

• 把原则建进去，而不是把纸面文书建进去。 让每一个重大的 AI 决策都可解释、可申诉、有记录——从一开始就按设计如此。这就满足了基本上每一部 AI 法律的精神，无论现行的还是将来的，而且当法规变化时不必重做。
• 别过度拟合某一个司法辖区的模板。 具体的评估表格和申报格式恰恰是最可能变的部分。让你的合规工作保持模块化，这样一个新框架只是一次重新映射，而不是一次重建。
• 让人们能看到并更正自己的数据，并告诉他们 AI 参与其中。 这些在原法律里出现过，也在改写后存活了下来。它们也会出现在下一部里。直接照做就行。
• 盯着方向，别盯着日期。 有用的信号不是「这个在 6 月 30 日生效」。而是「每一份认真的 AI 提案，无论在这里还是在欧盟，都指向同样的那几条义务」。朝着方向去开发，日期就不再重要了。

归根结底

科罗拉多刚刚以最大的音量证明了，你不能围着一部具体日期的具体法律来构建你的 AI 策略——因为这个国家最有名的那部 AI 法律在落地几周前就被改写了。那些追赶截止日期的人现在手里攥着一本作废法规的活页夹。

那些会安然无恙的开发者，是那些从未为截止日期做开发的人。他们构建了这样的系统：AI 决策可以被解释、被申诉、被更正，没有一个可问责的人和一份「为什么」的记录就不会发生任何重要的事——因为不管这个月哪个立法机构干了什么，那本来就是正确的构建方式。监管会继续踉踉跄跄。它底下的那些原则几乎纹丝不动。为那些原则做开发，你就同时合规于那部通过的法律、那部被改写的法律，以及那部还没起草出来的法律。