Amerikaanse staten voeren AI-wetten in ondanks lobby van techindustrie

U moet per AI-workflow kunnen aantonen welke Amerikaanse staten uw gegevensverwerking raken en welke meldingsplichten daarbij horen — dit is geen toekomstig federaal debat meer, maar een huidige staatsrechtelijke verplichting.

De aanleiding is een analyse van 4 september 2026 van staatsgebonden AI-wetten in Amerika, die aantoont dat nationale techlobby's hun verzet tegen staatsregulering niet hebben kunnen stoppen. Concrete voorbeelden zijn Texas HB 149 (van kracht sinds 1 januari 2026), Californische transparantie- en frontier-modelwetten en de New Yorkse RAISE Act, die frontier-modelontwikkelaars verplicht veiligheidskaders openbaar te maken en ernstige incidenten binnen 72 uur te melden. In onze beoordeling betekent dit dat Amerikaanse AI-compliance zich niet naar één federaal kader ordent, maar naar een verzameling staatsplichten die per workflow in kaart moet worden gebracht: welke staat geldt, welke controles gelden en waar zit de bewijslast.

Waarom is staatsgebonden AI-wetgeving niet voorbijgegaan?

Nationale techbranchegroepen hebben zich jarenlang ingespannen voor één lichte federale standaard in plaats van een lappendeken van staatsregels. Die inspanning is niet geslaagd. Halverwege 2026 hadden al 29 Amerikaanse staten AI-wetgeving aangenomen, over onderwerpen als geautomatiseerde besluitvorming, synthetische media en consumentenbescherming. Dit is geen geisoleerd experiment in enkele staten, maar een wijdverbreid patroon dat zich tegen industrielobby's door heeft gezet. Het signaal voor wie met gevoelige informatie werkt is helder: het zwaartepunt van Amerikaanse AI-governance ligt bij de staten, niet bij federale regelgeving.

Welke concrete plichten leggen deze staten op?

De plichten verschillen per staat en per use case. De New Yorkse RAISE Act verplicht ontwikkelaars van frontier-modellen veiligheidskaders te publiceren en incidenten binnen 72 uur te melden. Texas HB 149 richt zich op geautomatiseerde besluitvorming. Californische wetten adresseren transparantie en frontier-modellen. Voor sectoren die met vertrouwelijke informatie werken — juridisch, financieel, zorg — schuift AI-governance zich onder bestaande privacy-, beveiligings- en sectorplichten in plaats van die te vervangen. Dit betekent dat verificatie niet alleen bij de inrichting van AI-systemen nodig is, maar ook op het moment dat er iets misgaat.

Welke foutmodes en risico's ontstaan uit deze versnippering?

• Jurisdictieblindheid — niet weten onder welke staatsregels een AI-workflow valt omdat activiteiten meerdere staten raken.
• Gestapelde meldingsplichten — dezelfde incident moet mogelijk onder verschillende staatsregels en met verschillende termijnen worden gemeld.
• Onvolledig toezicht op datastromen — gevoelige informatie die door meerdere AI-systemen en staten loopt zonder zichtbaarheid van controlestappen.
• Naleving zonder verificatie — zeggen dat je aan AI-regels voldoet zonder per workflow aan te tonen welke controles zijn uitgevoerd.
• Operationalisering zonder governance — AI-teams die systemen inzetten zonder dat privacy, cyber en AI-compliance zijn geïntegreerd.

Welke controlestappen moet je kunnen aantonen?

1. Zichtbaarheid van AI-systemen per jurisdictie — document welke AI-modellen en datastromen door welke Amerikaanse staten lopen.
2. Meldingsplicht per staat — bepaal voor elke relevante staat welke incidenten moeten worden gemeld en binnen welke termijn.
3. Veiligheidskader waar vereist — publiceer of onderhoud veiligheidskaders voor frontier-modellen in staten waar dit wettelijk is vereist.
4. Geïntegreerde governance — zorg dat privacy, cyber en AI-compliance niet in aparte silo's worden beheerd maar gezamenlijk worden geverifieerd.
5. Inspecteerbare controlestappen — maak verificatiestappen, correcties en bronnen traceerbaar zodat je kunt aantonen wat is gecontroleerd en wat niet.

Hoe begin je met praktische naleving?

Een werkbare aanpak begint met zichtbaarheid. Maak in kaart welke gevoelige workflows AI gebruiken, welke staten relevant zijn en welke meldingsplichten daaruit voortvloeien. Voor juridische teams die AI operationaliseren onder toenemende druk is dit het moment waarop naleving en operationalisering samenkomen. Zorg dat je per workflow kunt aantonen welke AI-systemen betrokken zijn, welke controles zijn uitgevoerd en waar gevoelige gegevens worden verwerkt. Dit is niet eenmalig; de 72-uurstermijn voor incidentmeldingen in New York laat zien dat verificatie ook op het moment van een incident moet werken.

Verificatietools kunnen zichtbaarheid en inspectie van controlestappen ondersteunen, maar het professionele eindoordeel — welke staatsregels gelden, of eraan is voldaan en hoe incidenten moeten worden gemeld — blijft bij jou. Tooling kan je helpen om datastromen te traceren en controlestappen te documenteren; het kan niet bepalen wat naleving in jouw context betekent.