纽约RAISE法案生效：72小时通报与300万罚则怎么算

39 minutes ago AI笔记

一句话结论：纽约州 RAISE 法案的注册门户已在 2026 年 11 月 10 日开放，年营收超过 5 亿美元的前沿模型开发方必须在 2027 年 1 月 1 日前完成登记，此后公布安全框架、72 小时内通报重大安全事件、提交季度灾难性风险评估，违规最高罚 300 万美元。

对普通开发者来说，这是一条美国州级监管新闻；对在纽约州做业务、或者以后想进美国市场的模型公司来说，它是一份带日期的合规清单。纽约州金融服务部新设的数字创新、治理、诚信与信任办公室已经开门迎客，名字叫 DIGIT，全称 Office of Digital Innovation, Governance, Integrity, and Trust。这不是一个只发警告信的机构，它手里握着罚则。

更值得注意的是纽约州的打法：它没有停在要求企业自律，而是同步建了一套州政府自己下场评测前沿模型的机制。宾厄姆顿大学挂靠的纽约 AI 责任与研究中心已经在同一天启动，首批 80 多位科学家来自全州高校，算力由 Empire AI 提供。这让纽约从规则制定者变成了检验者。

RAISE Act 管的是谁：5 亿美元门槛与四类义务

法案全称 Responsible AI Safety and Education Act，2025 年底由州长 Kathy Hochul 签署。适用对象被切成两层。一层是所有在纽约州运营的前沿模型开发方，负有一致的安全与透明度义务。另一层是大型前沿模型开发方，定义标准只有一条：年营收超过 5 亿美元。OpenAI 和 Anthropic 这样的体量稳稳落在门槛之内。

四类义务分别对应注册、通报、评估和披露四个环节，每一项都有独立的执行节奏。

义务项 具体内容 时间节点
注册登记 通过 RAISE 门户向 DIGIT 登记并缴纳评估费用 2027 年 1 月 1 日前
安全框架 在官网公布安全与透明度框架文件 2027 年 1 月起执行
事故通报 重大安全事件在 72 小时内报 DIGIT，并按需报其他政府机构 即时起适用
季度评估 每季度提交灾难性风险评估文件，DIGIT 可转交其他机构 每季度一次
披露声明 至少每两年提交一次披露声明 2027 年 1 月 1 日起
透明度报告 公开发布模型透明度报告 全部前沿模型开发方适用

还有一条容易被忽略的设计：公众可以向 DIGIT 提交疑似重大安全事件的举报，DIGIT 认为合适时可直接转交其他政府部门。DIGIT 每年要出一份公开报告，汇总收到的通报、对前沿模型安全的观察，以及对修法的建议。这意味着被举报本身会进入官方年度档案。

DIGIT：一个新机构的执法骨架

DIGIT 设在纽约州金融服务部内部，这个归属很讲究。金融服务部本来就管着银行、支付机构和保险，团队里有现成的技术监管、网络安全和 AI 经验可以直接调用。2026 年 9 月 21 日州长宣布方案时，任命了 Marc Gilman 担任 RAISE 法案副主任，他是这个办公室的第一个全职员工，此前在 Theta Lake 任法务与合规副总裁，也做过隐私和网络安全方向的合规战略，同时在福特汉姆大学法学院教过金融科技与科技的交叉议题。

州长新闻稿里还留了一句空间：未来几个月会探索在 RAISE Act 基础上进一步强化监管，包括在技术可行的情况下引入 AI 紧急停止开关这类保护措施。这条被纽约州总检察长 Letitia James 进一步确认，执法态度明确。

三州对比：72 小时是这轮里最紧的窗口

纽约不是唯一动手的州。三个州已经形成了一组可直接对照的规则，这也是目前美国州级前沿模型监管最清晰的一张对比表。

法律 生效时间 事故通报窗口 其他要求
纽约 RAISE Act 2027 年 1 月 1 日 72 小时 季度风险评估、两年一次披露声明、公布安全框架
加州 SB 53 2026 年 1 月 15 天 公布安全框架、保护内部举报人
伊利诺伊 SB 315 2027 年初 未明确 类似披露要求，额外要求独立安全合规审计

横向看，纽约的 72 小时是三者中最短的。加州给了 15 天，伊利诺伊则没有写死天数但加上了独立审计这一项。纽约的差异化不在罚得最狠，而在时限最紧和评估频率最高。前面提到的 SEC 网络安全披露规则给上市公司四个工作日，72 小时大约是这个尺度的一半。对模型公司来说，这直接意味着内部必须先有事件分级和升级流程，定义不清的时候等于每次都在赌 72 小时的时钟。

罚则与执行：100 万、300 万和 2027 年 1 月 1 日

罚款分两档。单次违规最高 100 万美元，多次违规最高 300 万美元。州政府明确表示，对没有通过门户完成注册的企业可以提起执法行动，不过发言人拒绝透露具体流程细节。这句话的实际含义是，注册这件事本身有独立的执法风险敞口，和后续的透明度义务不是同一件事。

纽约州今年还叠了另外几层监管压力。州长今年早些时候签署行政命令建立了全美第一个超大规模数据中心暂停令，州政府环境许可最长暂停一年，为期建立监管框架；前一周又发布全州首个数据中心宿主社区投资框架，给地方政府提供与科技公司谈判的指引。同一州之内，算力扩张和模型监管在同时收紧。

NYCAIRR：州政府自己做前沿模型评测

纽约 AI 责任与研究中心在同一天启动，落地宾厄姆顿大学，由 Cornell Tech 院长兼副校长 Greg Morrisett 与哥伦比亚大学研究执行副总裁 Jeannette Wing 出任临时联合主任。资金结构是 3000 万美元慈善捐赠加 2500 万美元纽约州立大学研究投入，合计 5500 万美元，另有州政府运营资本，捐赠牵头人是彭博 LP 联合创始人 Tom Secunda。算力来自 Empire AI，那是州长推动的 5 亿美元公私合作计划。80 多位科学家将被召集起来，研究方向写得很具体，包括基础极限与数学理论、形式化方法与验证、复合智能体系统、硬件安全与隐私、可解释性与对齐，以及科学与生物安全。

这个中心的边界同样被外界点出。州立研究中心的评测只能覆盖实验室公开可得的材料与数据，尚未发布的内部前沿模型不在直接测试范围内。临时联合主任 Morrisett 与 Wing 的任务是建立一个跨州研究网络，产出可以被 DIGIT 用来审阅企业安全框架、并支撑州级政策决策的技术证据。

给开发方的落地清单

把义务拆成动作，一份可执行的准备清单大致是这个样子。

第一，先算自己是否踩线。判断标准是集团年营收 5 亿美元，不是研发投入也不是用户规模。在纽约州提供前沿模型服务的企业都要面对通报和透明度报告义务，只是附加义务分级。

第二，在 2027 年 1 月 1 日前走完门户注册并缴纳评估费用。漏注册本身就是一条独立的执法线。

第三，把安全框架文件挂到官网。一个能被 DIGIT 与 NYCAIRR 交叉审阅的公开文件，比内部文档更省事。

第四，重建事故内部流程。72 小时从事件发生起算，模型公司需要事先定义什么算重大安全事件、谁有判定权、多久能升级到通报岗。这个定义一旦留给外部解释，就等于把罚款档位交给对方决定。

第五，把季度灾难性风险评估排进日历，而不是当成临时报告。

第六，考虑跨州口径。加州、伊利诺伊各自的窗口与审计要求不同，一份材料要同时满足多州时限时，先按最短的 72 小时设计流程通常是最省事的做法。

常见问题

哪些公司会被 RAISE Act 覆盖？

所有在纽约州运营的前沿模型开发方都受安全与透明度义务约束，年营收超过 5 亿美元的大型前沿模型开发方还要额外注册、缴评估费、公布安全框架并提交季度灾难性风险评估。OpenAI 与 Anthropic 是首批被点名覆盖的对象。

72 小时的通报窗口从什么时候开始算？

从重大安全事件发生起算。72 小时是全美同类州级规则中最短的一个，加州 SB 53 给的是 15 天。实际执行中最大的不确定性在于什么算重大安全事件，这个定义由 DIGIT 细化，因此企业内部需要先建立分级与升级机制。

中国团队需要注册吗？

门槛按营收和地域划定，不看国籍。在纽约州提供前沿模型服务、且集团年营收超过 5 亿美元的公司都需要注册。美国州级监管呈现拼图化特征，多州并行时合规成本会叠加，这一点在纽约、加州、伊利诺伊三地同时推进后尤为明显。

相关阅读

小结

RAISE Act 真正的新意不在罚则数字，而在三件事同时到位：一个有名字的执行机构，一个写死 72 小时的通报时限，以及一套州政府自己动手评测前沿模型的机构配置。注册门户开放到 2027 年 1 月 1 日只剩约七周，对已经把安全框架写好的实验室来说，剩下的是流程排期；对还没写过的实验室来说，这是今年必须排进路线图的一件事。

延伸阅读

AI 自学笔记 每天更新 AI 前沿动态，订阅 RSS，或按 Ctrl/⌘+D 收藏本站，明天见。

继续读

同一批更新里这几篇值得一看：

想快速查定义？对应的词条在这里：

Related News