Se il tuo prodotto genera immagini, video o audio con l'IA, le regole della California sono cambiate il 2 agosto 2026 — e il contatore delle sanzioni gira a $5.000 per violazione, al giorno. La legge sulla trasparenza dell'IA della California (SB 942) è ora operativa, dopo che l'AB 853 ha posticipato la sua data di entrata in vigore originale dal 1° gennaio 2026 per allinearla alla tempistica dell'AI Act europeo. Gran parte di internet cita ancora la vecchia data, il che significa che molti fondatori credono di avere tempo che in realtà non hanno più.
Ecco la parte che dovrebbe catturare la tua attenzione anche se sei piccolo: gli obblighi principali scattano a un milione di utenti mensili in California, ma il programma di implementazione della legge porta piattaforme di hosting, canali di distribuzione e persino hardware nel suo ambito nei prossimi due anni. Se concedi in licenza un modello, integri l'API di generazione di qualcun altro o hai intenzione di crescere, questa legge plasma le decisioni che stai prendendo proprio ora — comprese alcune che appartengono ai tuoi libri contabili, non solo alla tua cartella legale.
Questa guida illustra chi è coperto, cosa richiede effettivamente la conformità, le scadenze ancora in arrivo e come gestire contabilmente l'intera cosa, così che una lettera di un regolatore non diventi mai una sorpresa a cinque cifre.
Chi è un "fornitore coperto"
La SB 942 si applica ai fornitori di sistemi di IA generativa pubblicamente accessibili in California che hanno più di un milione di visitatori o utenti mensili. Tre dettagli in questa definizione contano più del grande numero:
La soglia è visitatori o utenti
Una demo web gratuita che diventa virale può superare un milione di visitatori mensili molto prima che tu abbia un milione di account registrati. Se il tuo generatore di immagini riceve un picco di traffico da un momento sui social media, potresti diventare un fornitore coperto quel mese — con obblighi che avrebbero dovuto essere già integrati nel tuo prodotto. Aspettare di essere "abbastanza grande per preoccuparsene" è un piano che fallisce proprio quando le cose vanno bene.
Il testo è escluso; immagini, video e audio sono inclusi
I requisiti di divulgazione della legge mirano al contenuto generato dall'IA di tipo immagine, video e audio. L'output puramente testuale non è coperto. Se il tuo prodotto scrive testi di marketing, sei fuori dal mandato principale; se genera foto di prodotto, voci fuori campo o clip, sei pienamente dentro.
Giochi e streaming hanno un'esenzione
I sistemi esclusivamente di esperienze videoludiche, televisive, di streaming, cinematografiche o interattive non generate dagli utenti sono esclusi. Uno studio di giochi che usa l'IA per renderizzare contenuti in-engine non è un fornitore coperto per quel contenuto — ma lo stesso studio con uno strumento pubblico di generazione di avatar potrebbe esserlo.
I Tre Obblighi Principali (Operativi Ora)
Per i fornitori coperti, tre requisiti sono diventati operativi il 2 agosto 2026.
1. Uno strumento gratuito e pubblico di rilevamento dell'IA
Devi offrire uno strumento — senza costi per l'utente — che consenta a chiunque di verificare se un contenuto è stato creato o modificato dal tuo sistema. I requisiti statutari sono specifici:
- Deve accettare contenuto caricato, invio tramite URL e accesso API
- Deve restituire qualsiasi dato di provenienza del sistema che rileva
- Non deve raccogliere o conservare informazioni personali degli utenti, tranne feedback volontario con consenso esplicito
- Non deve conservare il contenuto inviato più a lungo del necessario per eseguire il controllo
- Deve avere un meccanismo di feedback affinché lo strumento migliori nel tempo
Per un piccolo team, il requisito API è il tranello nascosto. Un modulo web con casella di spunta è un progetto da un weekend; un'API pubblica documentata e con limiti di frequenza che terze parti possono usare è un servizio continuo con costi di hosting, gestione degli abusi e aspettative di uptime. Pianifica il budget come per una superficie di prodotto, perché legalmente lo è.
2. Un'etichetta visibile opzionale ("manifesta")
Gli utenti devono avere l'opzione di aggiungere un'etichetta chiara e ben visibile che identifichi il contenuto come generato dall'IA. L'etichetta deve essere permanente o estremamente difficile da rimuovere, nella misura in cui tecnicamente fattibile. Nota la sfumatura progettuale: l'etichetta visibile è una scelta dell'utente. Devi offrirla; non devi imporla.
3. Una divulgazione nascosta ("latente") obbligatoria
Questo è il mandato di filigrana, e a differenza dell'etichetta visibile, non è opzionale. Tutto il contenuto generato dall'IA coperto deve portare una divulgazione incorporata e leggibile dalla macchina contenente:
- Il nome e la versione del sistema di IA generativa
- La data e l'ora in cui il contenuto è stato creato o modificato
- Un identificatore univoco per il contenuto
La divulgazione latente deve essere durevole, coerente con gli standard di settore ampiamente accettati e rilevabile dal tuo stesso strumento di rilevamento. In pratica, "standard di settore ampiamente accettati" fa riferimento a specifiche di provenienza dei contenuti come C2PA — che la maggior parte dei principali fornitori di modelli ha già adottato. Se costruisci su un'API di modello fondamentale, gran parte del lavoro tecnico potrebbe essere già fatto a monte; il tuo compito è verificare di non rimuovere i metadati nella tua pipeline interna (un passaggio di ridimensionamento, ricodifica o miniatura può distruggerli silenziosamente).
La Regola delle 96 Ore: Le Licenze Hanno Ora I Denti
Se concedi in licenza il tuo sistema di IA generativa a terzi, la SB 942 raggiunge i tuoi contratti. Devi richiedere ai licenziatari di mantenere la capacità di divulgazione latente. Se scopri che un licenziatario l'ha disabilitata, devi revocare la licenza entro 96 ore, e il licenziatario deve smettere di usare il sistema.
Due conseguenze operative seguono:
- I tuoi contratti di licenza necessitano di un aggiornamento. Un diritto di revoca legato alla manomissione delle divulgazioni, esercitabile con un termine di 96 ore, deve esistere nel contratto prima di averne bisogno. Riportarlo in contratti già firmati significa emendamenti, e gli emendamenti richiedono più di 96 ore.
- Hai bisogno di un modo per "scoprire". Il termine inizia dalla scoperta, ma un fornitore senza alcun monitoraggio scommette che i regolatori accetteranno l'ignoranza volontaria. Un processo di campionamento periodico — preleva l'output del licenziatario, eseguilo con il tuo strumento di rilevamento, registra il risultato — è un'assicurazione economica e crea la traccia di audit che dimostra la buona fede.
Se sei dall'altra parte del tavolo — una startup che concede in licenza il modello di qualcun altro — leggi il tuo accordo per la clausola speculare. Disabilitare l'output di filigrana per rendere il contenuto "più pulito" non è più una decisione di prodotto; è una violazione contrattuale con una scadenza statutaria allegata.
Le Scadenze Ancora in Arrivo
L'AB 853 non ha solo posticipato la SB 942; ha esteso la portata della legge in fasi. Anche se sei sotto la soglia di un milione oggi, queste date potrebbero toccarti:
1° gennaio 2027 — grandi piattaforme online e servizi di hosting
Le piattaforme con più di due milioni di utenti unici mensili — social media, condivisione di file, messaggistica di massa e ricerca autonoma — devono rilevare i dati di provenienza conformi agli standard nei contenuti distribuiti e mostrarli agli utenti tramite la loro interfaccia. Inoltre, non possono rimuovere consapevolmente dati di provenienza conformi o firme digitali dal contenuto caricato, nella misura in cui tecnicamente fattibile.
Separatamente, le piattaforme che ospitano sistemi di IA generativa non possono offrire consapevolmente sistemi che non soddisfano i requisiti di divulgazione latente. Se distribuisci un modello o un'app tramite un marketplace, aspettati che il marketplace inizi a fare domande sulla conformità — la tua postura di filigrana diventa un requisito di inserzione, qualunque sia il tuo numero di utenti.
1° gennaio 2028 — dispositivi di acquisizione
I produttori di dispositivi che registrano foto, audio o video devono consentire agli utenti di incorporare divulgazioni di provenienza nel contenuto catturato per impostazione predefinita. Questo completa il ciclo: il contenuto autentico ottiene la provenienza alla cattura, quello dell'IA alla generazione, e le piattaforme mostrano entrambi.
La lettura strategica per una piccola azienda di IA: i metadati di provenienza stanno diventando l'infrastruttura dell'internet dei contenuti. Costruire la tua pipeline attorno a essi ora — piuttosto che aggiungerli a 999.000 utenti — è il percorso più economico in ogni scenario.
Cosa Costa Realmente la Non Conformità
La legge stabilisce una sanzione civile di $5.000 per violazione, e ogni giorno in cui una violazione continua conta come una violazione distinta. Non esiste un diritto d'azione privato — l'applicazione spetta al Procuratore Generale e ad altri avvocati pubblici — ma l'accumulo giornaliero fa il lavoro di deterrenza: un singolo difetto irrisolto lasciato per un trimestre è un'esposizione di $450.000 prima delle spese legali, che lo statuto consente anche allo stato di recuperare.
La struttura di accumulo giornaliero premia la rapida rilevazione e la rapida correzione. Una startup che trova la propria lacuna in un controllo di conformità settimanale e la chiude in due giorni affronta un'esposizione fondamentalmente diversa da una che apprende della stessa lacuna da un regolatore sei mesi dopo.
Una Checklist di Conformità Che Puoi Eseguire Questa Settimana
- Misura il tuo traffico dalla California in modo onesto. Imposta analisi che possano mostrarti i visitatori e utenti mensili dalla California e un avviso ben al di sotto del milione. Vuoi margine di manovra, non una sorpresa.
- Verifica la sopravvivenza dei metadati nella tua pipeline di output. Genera contenuto, poi eseguilo attraverso ogni trasformazione che il tuo prodotto applica — compressione, ridimensionamento, conversione di formato, ottimizzazione CDN — e verifica che la divulgazione latente sopravviva a ogni passaggio.
- Controlla il supporto di provenienza del tuo fornitore a monte. Se costruisci su un'API di modello principale, conferma quale standard di provenienza incorpora e cosa dicono i tuoi termini sulla sua preservazione.
- Redigi subito le specifiche dello strumento di rilevamento. Caricamento, URL e API; output di provenienza; nessuna conservazione di dati personali. Anche prima della soglia, una specifica mirata trasforma un mandato legale in un ticket di ingegneria dimensionato.
- Aggiorna i modelli di licenza. Aggiungi il requisito di mantenimento della divulgazione latente e i meccanismi di revoca a 96 ore a tutto ciò che firmi d'ora in poi.
- Assegna la responsabilità e un registro. Una persona possiede i controlli di conformità; ogni controllo, riscontro e correzione riceve una voce datata. Se un regolatore chiede mai, il registro è la tua migliore prova.
Metti il Programma di Conformità nei Tuoi Libri
Il lavoro di conformità che non vedi nel tuo registro è lavoro di conformità che sotto-finanzierai. Alcune mosse contabili rendono gestibile l'intero programma:
- Tieni traccia dell'ingegneria di conformità come categoria di costo separata. L'hosting dello strumento di rilevamento, la libreria di filigrana, i processi di monitoraggio — etichetta queste spese su un conto dedicato piuttosto che lasciarle dissolvere nella R&S generale. Quando prezzi il tuo prodotto o parli con gli investitori, saprai quanto ti costa realmente l'onere normativo.
- Riconosci la matematica delle sanzioni nella tua pianificazione del rischio. Non accumuli una passività per sanzioni che non hai ancora subito, ma un divario di conformità noto e irrisolto con un contatore di $5.000 al giorno è esattamente il tipo di contingenza che la tua pianificazione finanziaria dovrebbe nominare. Quantificalo; è il numero che fa prioritizzare la correzione.
- Mantieni la traccia di audit dove vivono i tuoi registri. Risultati di monitoraggio dei licenziatari, avvisi di revoca e date di rimedio sono le prove che limitano la tua esposizione. Registri datati e immutabili battono le ricostruzioni di cronologia ogni volta che viene posta la domanda "quando l'hai scoperto?".
Mantieni Registri Puliti Mentre le Regole Continuano a Cambiare
Regimi normativi come la SB 942 premiano le aziende i cui registri sono precisi, datati e verificabili — e questo vale tanto per le tue finanze quanto per il tuo log di conformità. Beancount.io ti offre una contabilità in testo semplice, versionata e completamente trasparente, così ogni spesa di conformità, decisione di riserva e pagamento a fornitori ha una storia durevole e verificabile. Inizia gratis e mantieni i tuoi libri così verificabili come i regolatori si aspettano che siano i tuoi output di IA.
