Il Colorado ha promulgato una legge sostitutiva sull'intelligenza artificiale il 14 maggio 2026. SB 26-189 abroga e rimette in vigore la parte del Colorado Consumer Protection Act creata da SB 24-205.. Il nuovo testo regola la tecnologia del processo decisionale automatizzato, o ADMT, quando il suo output influenza materialmente una decisione consequenziale in materia di istruzione, occupazione, alloggio, servizi finanziari, assicurazioni, assistenza sanitaria o servizi governativi essenziali.
La maggior parte dell'SB 26-189 entra in vigore a partire da 1 gennaio 2027 e si applica alle decisioni consequenziali prese a partire da tale data. Diverse disposizioni necessarie per avviare la regolamentazione sono entrate in vigore quando il governatore ha approvato il disegno di legge. La pagina normativa del procuratore generale del Colorado afferma che la normativa formale non è iniziata a partire dal 27 luglio 2026.
Questa guida separa i requisiti emanati dalle regole future e traduce lo statuto in lavoro per sviluppatori e distributori. Si tratta di informazioni generali e non forniscono consulenza legale.
SB 26-189 ha abrogato e rimesso in vigore la parte Colorado 17
La legge sulla sessione emanata utilizza la frase "abrogazione e promulgazione, con modifiche". Pertanto il Colorado ha ancora una legge in vigore che regola le decisioni automatizzate. SB 26-189 sostituisce il quadro creato dalla legge sulla sessione 2024, SB 24-205 con una parte diversa 17 intitolata "Tecnologia decisionale automatizzata nelle decisioni consequenziali".
SB 24-205 è stato approvato il 17 maggio 2024. I suoi compiti principali erano originariamente previsti per 1 febbraio 2026. L'Assemblea Generale ha poi promulgato SB 25B-004 in agosto 2025, spostando tali compiti a 30 giugno 2026. SB 26-189 è stato approvato il 14 maggio 2026, prima del ritardo data e fornito i requisiti di sostituzione applicabili a partire da 1 gennaio 2027.
La data stampata sulla pagina di una fattura può descrivere l'atto, una sezione particolare o la condotta regolamentata. Qui, la data di approvazione è 14 maggio 2026. Le disposizioni sulla regolamentazione, sull'appropriazione, sulla data di entrata in vigore e sulla clausola di sicurezza sono entrate in vigore al momento dell'approvazione. La maggior parte degli obblighi sostanziali entrano in vigore il 1 gennaio 2027, e la legge si applica alle decisioni consequenziali prese a partire da tale data.
| Data | Evento | Effetto giuridico |
|---|---|---|
| 17 Maggio 2024 | Il Governatore approva l'SB 24-205 | Crea la parte 17 e pianifica i suoi principali compiti IA ad alto rischio per 1 febbraio 2026 |
| 28 Agosto 2025 | Il Governatore approva l'SB 25B-004 | Sposta i compiti principali di SB 24-205 a 30 giugno 2026 |
| 14 Maggio 2026 | Il Governatore approva l'SB 26-189 | Abroga e ripristina la parte 17; le sezioni normative e amministrative specificate entrano in vigore al momento dell'approvazione |
| 1 Gennaio 2027 | Entrano in vigore gli obblighi sostitutivi | La maggior parte dell'SB 26-189 si applica alle decisioni consequenziali prese a partire da tale data |
Il cover test: ADMT, influenza materiale, decisione consequenziale
Il testo emanato definisce ADMT come una tecnologia che elabora i dati personali e utilizza il calcolo per generare un output utilizzato per prendere, guidare o assistere una decisione su un individuo. Previsioni, raccomandazioni, classificazioni, classifiche e punteggi sono esempi indicati. Le definizioni complete e le esclusioni si trovano nella sezione 6-1-1701.
Un ADMT diventa un ADMT coperto quando viene utilizzato per influenzare materialmente una decisione consequenziale. L'influenza materiale richiede che l'output sia un fattore non de minimis utilizzato nella decisione e che influisca sul suo esito, ad esempio vincolando, classificando, assegnando un punteggio, raccomandando o classificando. Gli usi accessori, banali e clericali non rientrano in tale definizione.
I sette ambiti coperti sono: iscrizione o opportunità di istruzione; opportunità di lavoro che creano o possono creare un rapporto di lavoro dipendente; la locazione o l'acquisto di immobili residenziali in Colorado; Servizi finanziari o di prestito; assicurazione; servizi sanitari; e servizi governativi essenziali o benefici pubblici.
Lo statuto esclude diverse categorie dalla definizione di decisione consequenziale. Questi includono processi di routine a bassa posta in gioco, pubblicità e marketing, riepilogo amministrativo che non produce alcuna inferenza influente, elaborazione procedurale ristretta, sicurezza informatica, antiriciclaggio, finanziamento del terrorismo, sanzioni e attività di prevenzione delle frodi e amministrazione accademica di routine. Ogni esclusione ha delle condizioni nel testo emanato.
| Domanda | Prove da raccogliere | Perché è importante |
|---|---|---|
| La tecnologia elabora i dati personali e genera un output su un individuo? | Scopo del sistema, categorie di input, schema di output, mappa del flusso di dati | Stabilisce se il sistema è ADMT |
| L'output viene utilizzato in uno dei sette domini coperti? | Processo aziendale, catalogo decisionale, Colorado nexus, popolazione dei consumatori | Stabilisce se la decisione riguarda un dominio coperto |
| L’output è un fattore non de minimis che influenza il risultato? | Logica decisionale, pesi, soglie, istruzioni del revisore, test di esito | Stabilisce l'influenza materiale e lo stato di ADMT coperto |
| Si applica un'esclusione legale? | Uso documentato, contratto, configurazione, politica di utilizzo accettabile, progettazione sottoposta a revisione umana | Supporta un'analisi di esclusione limitata |
Cosa è cambiato rispetto a SB 24-205
La legge 2024 regolamentava i "sistemi di intelligenza artificiale ad alto rischio" che prendevano o costituivano un fattore sostanziale nelle decisioni consequenziali. Ha imposto doveri di ragionevole attenzione legati alla discriminazione algoritmica, programmi di gestione del rischio per gli operatori, valutazioni di impatto almeno annuali e dichiarazioni pubbliche sulla gestione del rischio.
La sostituzione 2026 utilizza l'ADMT coperto e l'influenza materiale come trigger centrale. La sua parte emanata 17 omette il precedente programma di gestione del rischio, la valutazione dell’impatto annuale e i requisiti di dichiarazione pubblica del rischio. Si concentra sulla documentazione degli sviluppatori, sugli aggiornamenti, sui registri triennali, sugli avvisi per i consumatori, sulle spiegazioni dopo gli esiti avversi, sulle procedure di correzione e su una revisione umana significativa.
Si applicano ancora le leggi esistenti sulla discriminazione e sulla tutela dei consumatori. La sezione 6-1-1707 affronta la responsabilità ai sensi della legge statale antidiscriminazione e attribuisce la colpa tra uno sviluppatore e un distributore in base alla relativa colpa. La conformità alla parte 17 non fornisce alcuna difesa per la violazione di un'altra legge applicabile.
| Argomento | Quadro SB 24-205 | Sostituzione SB 26-189 |
|---|---|---|
| Tecnologia regolamentata | Sistema di intelligenza artificiale ad alto rischio che determina o costituisce un fattore sostanziale in una decisione consequenziale | ADMT era solito influenzare materialmente una decisione consequenziale |
| Governo del rischio | Doveri di assistenza ragionevole, programma di gestione dei rischi dell'operatore, valutazioni di impatto annuali | I doveri della parte 17 sono omessi dal testo sostitutivo |
| Pacchetto per sviluppatori | Ampia documentazione, supporto alla valutazione dell’impatto, dichiarazioni pubbliche, segnalazione dei rischi di discriminazione | Usi previsti e dannosi, categorie di dati di addestramento, limitazioni note, istruzioni per l'uso e la revisione, avvisi di aggiornamento del materiale |
| Processo di consumo | Avviso pre-decisione e informativa sulla decisione sfavorevole | Avviso sul punto di interazione, spiegazione dell'esito negativo del 30-day, istruzioni per la correzione, revisione umana significativa e riconsiderazione |
| Record | I registri della valutazione dell'impatto sono conservati per almeno tre anni dopo l'implementazione finale | I registri di conformità dello sviluppatore e i registri delle decisioni del distributore conservati per almeno tre anni |
Doveri dello sviluppatore da 1 gennaio 2027
La sezione 6-1-1702 della legge sulla sessione richiede che uno sviluppatore renda disponibile un pacchetto ragionevolmente comprensibile a ciascun distributore per gli usi coperti. Il pacchetto deve proteggere i segreti commerciali e le informazioni protette dalla legge statale o federale.
La confezione deve descrivere gli usi previsti e gli usi dannosi o inappropriati noti; le categorie conosciute di dati di formazione, compresi i dati personali; limitazioni, rischi e circostanze noti in cui l'ADMT non deve essere utilizzato; istruzioni per l'uso appropriato, il monitoraggio e una revisione umana significativa, ove applicabile; e le informazioni di cui l'operatore ha ragionevolmente bisogno per i suoi obblighi di divulgazione.
Uno sviluppatore deve notificare a ciascun distributore aggiornamenti materiali, modifiche intenzionali e sostanziali e cambiamenti all'uso previsto, limitazioni o mitigazione del rischio entro un tempo ragionevole. Le note di rilascio pubbliche possono riportare il contenuto quando lo sviluppatore fornisce anche a ciascun distributore un avviso diretto del rilascio.
La documentazione dello sviluppatore ragionevolmente necessaria per dimostrare la conformità deve essere conservata per almeno tre anni dopo la creazione o più a lungo quando un'altra legge lo richiede. Lo statuto nomina gli identificatori della versione del sistema, i registri delle modifiche, la documentazione e gli avvisi di aggiornamento dei materiali.
- Ambito dell'uso coperto: registra il modo in cui ADMT è stato commercializzato, configurato, contrattato, venduto o concesso in licenza per decisioni consequenziali.
- Versionare la documentazione: vincolano l'uso previsto, le limitazioni, le categorie di input, il monitoraggio e le istruzioni di revisione umana a una versione del sistema.
- Avvisa i distributori: registra l'aggiornamento, le versioni interessate, i destinatari, i tempi di consegna e qualsiasi mitigazione modificata.
- Conservare la documentazione: conservare il pacchetto di conformità e le prove di consegna per il periodo legale.
Avviso, spiegazione e obblighi di tenuta dei registri da parte dell'operatore
Prima di utilizzare un ADMT coperto per influenzare materialmente una decisione consequenziale, l'operatore deve fornire al consumatore un avviso chiaro ed evidente. Un avviso ben visibile posizionato ragionevolmente vicino all'interazione può soddisfare questo requisito del punto di interazione. La Sezione 6-1-1704 richiede che l'avviso indichi che l'ADMT coperto è stato o sarà utilizzato e spiega come ottenere ulteriori informazioni.
Quando tale utilizzo comporta un esito negativo, l'utente che distribuisce ha 30 giorni dopo aver preso la decisione per fornire una descrizione in linguaggio semplice della decisione e del ruolo ADMT. L'avviso deve inoltre fornire un processo semplice per richiedere informazioni sull'ADMT e sugli input, incluso il nome, la versione ove applicabile, lo sviluppatore e i tipi, le categorie e le fonti dei dati personali, nella misura in cui lo sviluppatore ha fornito le informazioni necessarie. L'operatore deve spiegare i diritti del consumatore nella sezione 6-1-1705 e come esercitarli.
Gli avvisi e le divulgazioni richieste devono essere ragionevolmente accessibili ai consumatori con disabilità e ai consumatori con una conoscenza limitata dell'inglese, in conformità con la legge applicabile. Lo statuto comprende disposizioni settoriali specifiche per il credito, l'istruzione ai sensi della FERPA, gli assicuratori, gli enti coperti dall'HIPAA e i dispositivi medici.
Gli operatori devono conservare la documentazione ragionevolmente necessaria per dimostrare la conformità per almeno tre anni dopo la conseguente decisione. Gli identificatori di versione, i log delle modifiche e la documentazione sulla mitigazione dei materiali sono esempi denominati.
| Palcoscenico | Operazione statutaria | Prove consigliate da conservare |
|---|---|---|
| Prima dell'influenza materiale | Fornire un avviso chiaro e ben visibile sul punto di interazione | Versione dell'avviso, posizionamento, impostazioni locali, stato di accessibilità, timestamp di consegna |
| Decisione | Registrare l'ADMT e il contesto decisionale umano | Sistema e versione, input e fonti, output, revisore, risultato, timestamp |
| Entro 30 giorni dopo un esito negativo | Fornire la decisione in un linguaggio semplice e la descrizione del ruolo, il processo di richiesta e la spiegazione dei diritti | Copia divulgativa, record di consegna, canale di richiesta, documentazione di origine |
| Per almeno tre anni | Conservare la documentazione ragionevolmente necessaria per dimostrare la conformità | Record di decisioni, versioni, registri delle modifiche, avvisi, modifiche di mitigazione, record di revisione |
Una revisione umana significativa è un diritto definito del consumatore
Dopo un esito negativo di una decisione consequenziale influenzata sostanzialmente da un ADMT coperto, un consumatore può richiedere due forme di ricorso ai sensi della sezione 6-1-1705. L'operatore deve fornire istruzioni per richiedere i dati personali utilizzati e correggere i dati personali sostanzialmente errati o sostanzialmente inesatti. L'operatore deve inoltre offrire l'opportunità di una significativa revisione e riconsiderazione umana, nella misura commercialmente ragionevole.
La revisione umana significativa ha una definizione legale. L'operatore designa una persona con l'autorità di approvare, modificare o ignorare la decisione consequenziale. Quella persona considera le prove primarie disponibili, è formata per la revisione, valuta il caso senza inadempienza rispetto all'output del sistema e riceve informazioni sufficienti per comprendere l'uso previsto dell'output, le limitazioni materiali, le categorie di input e i fattori principali.
Il diritto di correzione non prevede la correzione di opinioni, pronostici, punteggi o valutazioni protette. Gli operatori didattici soggetti al FERPA possono utilizzare procedure di appello e registrazione degli studenti qualificanti. Il procuratore generale deve chiarire e attuare i requisiti più ampi di correzione, revisione e riconsiderazione attraverso norme entro 1 gennaio 2027.
Un processo di revisione praticabile necessita quindi di un’autorità denominata, di un pacchetto di prove, di revisori formati, di una fase decisionale indipendente, di un risultato riconsiderato e di una documentazione durevole. Il modello di supervisione umana mostra come indirizzare un'azione consequenziale a una persona con autorità decisionale esplicita, mentre la mappatura di controllo lega il dovere statutario al suo controllo operativo e alle prove.
- Autorità: il revisore può approvare, modificare o ignorare la decisione.
- Prova primaria: il revisore riceve il materiale di partenza pertinente al caso.
- Formazione: il revisore comprende la decisione, il metodo di revisione e l'ADMT trattato.
- Giudizio indipendente: il processo richiede la valutazione delle prove e registra la logica del revisore.
- Contesto del sistema: l'uso previsto, le limitazioni, le categorie di input e i fattori principali sono disponibili al momento della revisione.
- Record di riconsiderazione: la richiesta, le prove, il revisore, la motivazione, l'esito e la consegna vengono conservati.
Obblighi emanati e future regole della Procura Generale
Nello statuto sono scritte due norme obbligatorie. Il Procuratore generale deve adottare norme entro 1 gennaio 2027 per la divulgazione post-esito avverso ai sensi della sezione 6-1-1704(4) e per la correzione, revisione significativa e riconsiderazione ai sensi della sezione 6-1-1705(3).. Il Procuratore generale ha anche l'autorità di adottare altre norme di attuazione, comprese le norme che chiariscono "l'influenza materiale".
La pagina normativa sull'IA del procuratore generale afferma che l'ufficio ha completato un periodo informale di commenti pre-normativa il 13 luglio 2026 e che la regolamentazione formale non è ancora iniziata. Le regole proposte, i dettagli dell'udienza, le regole adottate e le date di entrata in vigore saranno pubblicate lì. Gli argomenti di discussione informale e l'eventuale linguaggio delle regole non comportano alcun obbligo esecutivo.
La legge emanata fissa già il dovere principale, l'attore, il valore limite e la data limite. Le norme possono chiarire contenuto, formato, esempi di settore, descrizione del ruolo di ADMT, categorie di dati personali, procedure di revisione e applicazione insieme ad altre leggi. I team di implementazione possono creare subito la base di riferimento legale e mantenere i dettagli configurabili sotto il controllo delle modifiche per le regole formali.
| Argomento | Linea di base emanata | Stato normativo al 27 luglio 2026 |
|---|---|---|
| Divulgazione post-avversa | Entro 30 giorni; decisione in linguaggio semplice e ruolo dell'ADMT; processo di richiesta; spiegazione dei diritti | Norme chiarificatrici obbligatorie dovute entro 1 gennaio 2027 |
| Correzione e revisione umana | Istruzioni per l'accesso e la correzione dei dati; opportunità di revisione e riconsiderazione significative nella misura commercialmente ragionevole | Norme di attuazione obbligatorie dovute entro 1 gennaio 2027 |
| Influenza materiale | Fattore non de minimis utilizzato e che influenza il risultato; esclusi usi accessori, banali e d'ufficio | Il procuratore generale può aggiungere presunzioni, esempi e indicatori oggettivi |
| Proposte formali | Nessuno nella legge di sessione | Secondo il procuratore generale, la regolamentazione formale non è ancora iniziata |
Applicazione e piano pratico di preparazione
Il procuratore generale ha l'autorità esclusiva per far rispettare gli obblighi di divulgazione e i diritti dei consumatori in parte 17 attraverso il Colorado Consumer Protection Act. Una violazione è una pratica commerciale ingannevole. La legge non crea alcun nuovo diritto d'azione privato. I diritti e i rimedi statali e federali esistenti rimangono disponibili.
Quando il Procuratore Generale ritiene che una violazione sia sanabile, l'ufficio deve emettere un avviso prima dell'esecuzione e concedere 60 giorni per sanare. Un periodo di guarigione non è necessario quando il Procuratore Generale può dimostrare una violazione consapevole o ripetuta. È prevista l'abrogazione dell'intera sottosezione contenente il presente regime pre-applicativo e i relativi obblighi di rendicontazione annuale a partire dal 1 gennaio 2030.
La preparazione inizia con un inventario delle decisioni consequenziali del Colorado e della tecnologia che le influenza. Per ciascun candidato, registrare il dominio, il nesso Colorado, i dati personali, l'output, il ruolo decisionale, l'analisi dell'esclusione, lo sviluppatore, la versione, il punto di contatto del consumatore, il percorso degli esiti negativi, l'autorità di revisione e il proprietario della conservazione.
Quindi vincola la decisione ai controlli di runtime: mostra l'avviso nel punto di interazione, preserva l'esatta versione del sistema e gli input, genera la spiegazione quando si verifica un risultato negativo, instrada una richiesta di revisione a una persona autorizzata e conserva il record completo per tre anni. La guida ai requisiti dell'EU AI Act fornisce una mappa degli obblighi separata per le organizzazioni che operano in Europa; mantieni distinte le due analisi giurisdizionali.
- Inventario: trova ogni decisione del Colorado nei sette domini coperti e identifica ogni input computazionale.
- Classificare: documentare lo stato ADMT, l'influenza materiale, lo stato delle decisioni consequenziali, le esclusioni, lo sviluppatore e il distributore.
- Contratto: ottieni documentazione per sviluppatori con versione, limitazioni, avvisi di aggiornamento e informazioni sull'origine dei dati.
- Funzionamento: inserire avvisi, spiegazioni, assunzione di correzioni e revisioni significative all'interno del processo decisionale.
- Conservare: conservare avvisi, versioni, input, risultati, divulgazioni, richieste, revisioni e modifiche per almeno tre anni.
- Regole di monitoraggio: monitora la pagina normativa del procuratore generale del Colorado e aggiorna i controlli rispetto al testo adottato.
Domande frequenti
Il Colorado ha abrogato la sua legge sull’intelligenza artificiale?
SB 26-189 abrogato e rimesso in vigore gli Statuti rivisti del Colorado, titolo 6, articolo 1, parte 17. Il quadro 2024 è stato sostituito con un quadro ADMT emanato i cui compiti principali entrano in vigore a partire dal 1 gennaio 2027.
Quando entra in vigore Colorado SB 26-189?
La maggior parte delle disposizioni entrano in vigore a partire dal 1 gennaio 2027 e si applicano alle decisioni consequenziali prese a partire da tale data. Le disposizioni specifiche sulla regolamentazione, sull'appropriazione, sulla data di entrata in vigore e sulle clausole di sicurezza sono entrate in vigore quando il disegno di legge è stato approvato il 14 maggio 2026.
Quale tecnologia copre SB 26-189?
Copre la tecnologia decisionale automatizzata che elabora i dati personali, genera un output su un individuo e influenza materialmente una decisione consequenziale in uno dei sette ambiti coperti. Lo statuto contiene tecnologie dettagliate ed esclusioni di casi d'uso.
Cosa deve fornire un distributore dopo un esito negativo?
Entro 30 giorni, l'addetto alla distribuzione deve fornire una descrizione in linguaggio semplice della decisione e del ruolo di ADMT, un processo semplice per richiedere informazioni di sistema e di input e una spiegazione della correzione del consumatore e dei diritti di revisione umana.
Cosa richiede una revisione umana significativa?
Il revisore deve avere l'autorità di approvare, modificare o annullare la decisione; considerare le prove primarie pertinenti; essere addestrato; valutare il caso senza default rispetto all'output del sistema; e comprendere l'uso previsto, le limitazioni, gli input e i fattori principali.
Le regole del procuratore generale del Colorado sono definitive?
No. La pagina pubblica del procuratore generale afferma che la regolamentazione formale non è iniziata a partire dal 27 luglio 2026. Lo statuto richiede norme sulle divulgazioni post-avverse e sui diritti di revisione dei consumatori entro 1 gennaio 2027.
Punti chiave
SB 26-189 offre al Colorado una legge ADMT sostitutiva per le decisioni consequenziali da 1 gennaio 2027. Il suo modello operativo è concreto: documentare il sistema, informare il consumatore, preservare il registro delle decisioni, spiegare un risultato negativo, supportare la correzione e fornire una significativa revisione e riconsiderazione umana. Basarsi sulla legge sulla sessione emanata e monitorare la pagina normativa del procuratore generale per le regole formali.