Lei RAISE de Nova York: Lacunas de segurança em IA

Publicar uma política de segurança de IA é uma coisa. Provar que as medidas de segurança implementadas nessa política realmente funcionam é outra bem diferente.

À medida que os modelos de IA de ponta se tornam mais capazes, as organizações enfrentam novas questões sobre o que esses sistemas podem fazer, como podem ser mal utilizados e se os controles de segurança podem evitar resultados catastróficos.

O que acontece se um modelo poderoso facilitar um ataque cibernético em larga escala? Um desenvolvedor consegue identificar funcionalidades perigosas antes da implementação? Quem investiga quando um modelo burla as medidas de segurança? E com que rapidez a organização consegue reportar um incidente crítico de segurança?

Essas são as questões centrais de Nova York. Lei RAISE (Responsible AI Safety and Education).

Sancionada em dezembro de 2025 e substancialmente alterada em março de 2026, a Lei RAISE estabelece requisitos de transparência, estrutura de segurança e notificação de incidentes para desenvolvedores de IA de ponta qualificados. A estrutura alterada está prevista para entrar em vigor. 1º de janeiro de 2027.

Mas a lição mais ampla vai além dos desenvolvedores diretamente regulamentados pela lei.

A segurança da IA depende de mais do que apenas documentar os riscos. As organizações precisam de visibilidade sobre os modelos, dados, identidades, caminhos de acesso e controles que determinam se esses riscos podem se tornar incidentes reais.

Este guia explica os requisitos da Lei RAISE, quem deve cumpri-los, o que constitui risco catastrófico e as lacunas de governança que as organizações devem abordar à medida que as capacidades de IA de ponta continuam a evoluir.

O que é a Lei RAISE de Nova York?

O Lei de Segurança e Educação em IA Responsável, A Lei RAISE, também conhecida como RAISE Act, é uma lei de Nova Iorque criada para melhorar a transparência e a responsabilização em torno de modelos avançados de inteligência artificial.

Originalmente promulgada por meio de Projeto de Lei do Senado S6953B, A legislação estabeleceu uma estrutura para lidar com os graves riscos associados ao desenvolvimento e à implementação de IA de ponta.

Nova Iorque posteriormente promulgou S8828, uma emenda ao capítulo que revisou significativamente a lei.

A estrutura alterada alinha vários conceitos fundamentais mais de perto com a legislação pioneira da Califórnia sobre segurança da IA, ao mesmo tempo que estabelece mecanismos de supervisão e de reporte específicos para Nova Iorque.

Seu foco central é risco catastróficoA possibilidade de um modelo de IA de ponta contribuir para danos excepcionalmente graves.

A lei exige que os desenvolvedores qualificados disponibilizem informações específicas sobre suas práticas de segurança, avaliem as capacidades perigosas, abordem os riscos identificados e relatem incidentes críticos de segurança.

É importante ressaltar que a Lei RAISE não estabelece as mesmas obrigações para todos os aplicativos de IA, chatbots corporativos ou organizações que implementam um serviço de IA de terceiros.

Os requisitos diretos dependem de a organização atender às definições legais de desenvolvedora pioneira ou grande desenvolvedora pioneira e de o modelo relevante estar dentro do escopo estatutário de Nova York.

Quando entra em vigor a Lei RAISE?

A versão alterada da Lei RAISE está prevista para entrar em vigor. 1º de janeiro de 2027.

Compreender o cronograma legislativo é importante porque artigos mais antigos podem descrever requisitos da versão original que foram alterados pelas emendas de 2026.

Quem deve cumprir a Lei RAISE?

A lei estabelece duas categorias importantes: desenvolvedores de fronteira e grandes desenvolvedores de fronteira.

Essas categorias estão relacionadas, mas suas obrigações não são idênticas.

De acordo com a estrutura alterada, um modelo de fronteira é um modelo fundamental treinado usando mais de 10²⁶ operações de ponto inteiro ou flutuante, incluindo treinamento subsequente qualificado e modificações.

Uma grande empresa de desenvolvimento imobiliário de fronteira é aquela cuja receita bruta anual, juntamente com a de suas afiliadas, ultrapassou... $500 milhões no ano civil anterior.

A lei aplica-se a modelos pioneiros desenvolvidos, implementados ou em operação, total ou parcialmente, no Estado de Nova Iorque, sujeitos a exceções legais.

O que é risco catastrófico segundo a Lei RAISE?

A Lei RAISE concentra-se em consequências graves que vão além de erros comuns de modelos, respostas imprecisas ou preocupações rotineiras de governança de IA.

De acordo com a lei alterada, o risco catastrófico envolve um risco previsível e material de que um modelo de fronteira possa causar ou contribuir materialmente para um incidente que resulte em Mais de 50 mortes ou ferimentos graves, ou mais de 1 bilhão em danos materiais., sujeito às definições e condições da lei.

A lei preocupa-se particularmente com capacidades perigosas que possam contribuir para danos físicos ou económicos em larga escala.

Os possíveis cenários de risco incluem:

• Ameaças cibernéticas graves: Capacidades de IA de ponta que possibilitam, de forma substancial, operações cibernéticas excepcionalmente danosas.
• Ameaças biológicas ou químicas: Capacidades do modelo que poderiam facilitar significativamente o uso indevido perigoso.
• Perda de controle: Comportamento exemplar que burla os mecanismos de supervisão de maneiras que aumentam materialmente o risco catastrófico.
• Outros incidentes catastróficos: Eventos qualificados que atendam aos critérios de gravidade e causalidade da lei.

Esses exemplos não significam que todo incidente de segurança cibernética, resposta inadequada ou violação de política de IA constitua um risco catastrófico nos termos da lei.

O limite legal é intencionalmente elevado. O desafio operacional reside em determinar se as capacidades, o ambiente e as salvaguardas de um modelo criam um caminho plausível para esse nível de dano.

O que exige a Lei RAISE?

A lei alterada estabelece requisitos relacionados a estruturas de segurança, transparência do modelo, notificação de incidentes e supervisão.

1. Publicação de Estruturas de Segurança de IA de Fronteira

Os grandes desenvolvedores de tecnologias de ponta devem escrever, implementar, seguir e publicar um framework de IA de vanguarda que descreva como eles gerenciam riscos catastróficos.

A estrutura deve abordar áreas específicas, incluindo:

• Normas aplicáveis e melhores práticas do setor.
• Limiares para identificar capacidades perigosas do modelo.
• Avaliação e mitigação de riscos catastróficos.
• Análises de segurança antes da implementação ou uso interno extensivo.
• Utilização de terceiros para avaliar riscos e medidas de mitigação.
• Atualizações da estrutura e modificações de materiais.
• Práticas de cibersegurança que protegem os pesos dos modelos não divulgados.
• Identificação e resposta a incidentes críticos de segurança.
• Governança interna e prestação de contas.
• Riscos catastróficos associados ao uso de modelos internos.

Os grandes empreendedores em áreas de fronteira devem rever seus planos diretores pelo menos anualmente e publicar as modificações substanciais, acompanhadas de uma explicação, dentro do prazo legal aplicável.

2. Relatórios de Transparência do Modelo Fronteira

Antes ou simultaneamente à implementação de um novo modelo de fronteira ou de uma versão substancialmente modificada, os desenvolvedores do modelo de fronteira devem publicar informações específicas sobre o modelo.

Essas informações incluem o site do desenvolvedor, o mecanismo de contato, a data de lançamento do modelo, os idiomas e modalidades de saída suportados, os usos pretendidos e as restrições geralmente aplicáveis.

Grandes empresas de desenvolvimento de projetos de exploração e produção de petróleo e gás devem fornecer resumos adicionais sobre as avaliações de risco catastrófico, seus resultados, o envolvimento de avaliadores terceirizados e as medidas de segurança relacionadas.

3. Relatório de Incidentes Críticos de Segurança

Os desenvolvedores da Frontier devem relatar incidentes críticos de segurança qualificados ao escritório estadual designado dentro do prazo estipulado. 72 horas após determinar que um incidente ocorreu ou tomar conhecimento de fatos suficientes para estabelecer uma crença razoável de que ele ocorreu.

Quando um incidente representa um risco iminente de morte ou lesão física grave, a lei estabelece um procedimento separado. requisito de divulgação em 24 horas À autoridade competente, sujeita às condições legais.

Esses requisitos tornam a identificação de incidentes, a escalação, a documentação e a comunicação interna particularmente importantes.

4. Supervisão e Divulgação Regulatória

A lei estabelece responsabilidades de supervisão dentro do Departamento de Serviços Financeiros de Nova York.

Inclui também requisitos para que grandes empresas de desenvolvimento imobiliário em áreas de fronteira apresentem divulgações específicas ao órgão designado, identifiquem informações organizacionais relevantes e cumpram as avaliações aplicáveis e os requisitos de renovação.

Essas disposições são distintas da estrutura de IA de vanguarda voltada para o público e dos relatórios de transparência de modelos.

Por que as políticas de segurança publicadas não são suficientes?

Uma organização pode ter uma estrutura abrangente de segurança de IA e ainda assim ter dificuldades para demonstrar que seus controles estão operando de forma eficaz.

Considere um desenvolvedor que documenta restrições de acesso ao modelo, avaliações de segurança e procedimentos de resposta a incidentes.

A estrutura pode parecer completa. Mas questões importantes permanecem:

• Quem pode acessar dados de treinamento confidenciais e recursos de modelos não divulgados?
• Quais contas de serviço e identidades de máquina Possui permissões privilegiadas?
• É possível detectar movimentação de dados não autorizada ou alterações de acesso?
• As conclusões sobre a segurança do modelo estão relacionadas aos responsáveis pela remediação?
• As equipes conseguem investigar um possível incidente com rapidez suficiente para que seja possível elaborar um relatório?
• As evidências de governança refletem o ambiente atual ou uma avaliação passada?

A distinção é significativa.

Uma política descreve o que deveria acontecer. As evidências operacionais ajudam a estabelecer o que de fato está acontecendo.

É aí que a segurança da IA, a descoberta de dados, o contexto de identidade e a visibilidade contínua dos riscos se tornam importantes capacidades de suporte.

Como um incidente de segurança envolvendo IA expõe a lacuna

Imagine uma grande empresa de desenvolvimento imobiliário inovadora se preparando para lançar um novo modelo.

A organização publicou seu plano de segurança, concluiu as avaliações do modelo e documentou as medidas de mitigação relevantes.

Durante uma revisão de rotina, a equipe de segurança descobre que uma identidade de serviço associada a um ambiente de desenvolvimento possui um acesso mais amplo do que o esperado.

A identidade pode alcançar repositórios sensíveis e ativos relacionados ao modelo que deveriam ser restritos.

Não há evidências imediatas de um incidente catastrófico de segurança. Mas a descoberta levanta várias questões importantes:

• A quais sistemas e conjuntos de dados a identidade pode ter acesso?
• Será que as permissões poderiam expor informações sensíveis ou modelos não lançados?
• Quando ocorreu a alteração de acesso?
• Quais equipes são proprietárias dos recursos afetados?
• Ocorreu alguma atividade não autorizada?
• Que medidas corretivas são necessárias?
• Essa descoberta afeta as avaliações de segurança da organização?

A organização precisa investigar antes de poder determinar a importância da descoberta.

Este exemplo ilustra uma distinção importante: Uma vulnerabilidade de segurança não constitui automaticamente um incidente crítico de segurança nos termos da Lei RAISE.. Mas a baixa visibilidade pode dificultar a identificação, a avaliação e a resposta a riscos que podem se agravar.

Para desenvolvedores que operam com modelos robustos, essa distinção torna essencial um contexto de segurança confiável.

Quais são os prazos de entrega de relatórios da Lei RAISE?

A lei alterada estabelece requisitos de notificação distintos para incidentes críticos de segurança qualificados.

Esses requisitos não devem ser confundidos com as regras comuns de notificação de violação de dados. As disposições da Lei RAISE sobre incidentes críticos de segurança abordam riscos específicos de IA de vanguarda e definem gatilhos de notificação.

As organizações devem coordenar as equipes jurídicas, de segurança, de engenharia e de proteção ao estabelecer os processos de resposta.

Quais são as penalidades por violar a Lei RAISE?

A Lei RAISE alterada autoriza o Procurador-Geral de Nova York a instaurar ações civis envolvendo violações específicas.

As possíveis penalidades incluem:

• Até $1 milhão para uma primeira violação qualificada.
• Até $3 milhões para cada violação subsequente qualificada.

Essas penalidades se aplicam sob condições legais específicas, incluindo certas falhas relacionadas a documentos obrigatórios, relatórios de incidentes, declarações proibidas ou conformidade com a estrutura própria de uma grande empresa de desenvolvimento imobiliário.

Disposições adicionais abordam as divulgações obrigatórias para grandes empreendedores da fronteira, incluindo possíveis penalidades diárias por falhas específicas no arquivamento.

A lei não cria um novo direito de ação privada para violações da própria Lei RAISE.

O quadro de aplicação reforça um ponto central: a publicação de um quadro de segurança cria responsabilidades em torno do seu cumprimento e da representação precisa da sua implementação.

Como as organizações devem se preparar para a Lei RAISE?

O planejamento de conformidade direta deve começar com a determinação de se a organização se qualifica como desenvolvedora pioneira ou grande desenvolvedora pioneira.

A partir daí, as organizações podem conectar os requisitos legais com os controles operacionais necessários para dar suporte à segurança, proteção, transparência e relatórios.

Como a BigID oferece suporte à segurança e governança de IA

As obrigações diretas da Lei RAISE focam na segurança da IA de ponta e no risco catastrófico. O BigID aborda uma importante camada de suporte: a visibilidade empresarial dos ativos de IA, dados sensíveis, relações de acesso e exposição à segurança.

A BigID ajuda as organizações a conectar sistemas de IA com os dados e identidades que os cercam, permitindo que as equipes identifiquem riscos que, de outra forma, poderiam permanecer ocultos em ambientes fragmentados.

• Descoberta de ativos por IA: Identificar aplicações, modelos, agentes e IA paralela em ambientes empresariais.
• Descoberta de dados sensíveis: Encontre e classifique informações sensíveis e regulamentadas associadas a fluxos de trabalho de IA.
• Governança de acesso à IA: Investigar o acesso humano e não humano a dados sensíveis e sistemas conectados.
• Linhagem de dados: Compreender a origem, as relações e a movimentação dos dados em todos os ambientes suportados.
• Priorização de riscos: Conecte a sensibilidade, o acesso, as políticas e o contexto de negócios para identificar exposições que possam ser tomadas medidas.
• Evidências de governança: Apoiar avaliações, responsabilidade, remediação e supervisão com informações relevantes sobre segurança de dados.

Essas capacidades podem complementar avaliações especializadas de modelos de fronteira, controles de segurança ponderados por modelo e sistemas de notificação de incidentes.

A BigID não certifica de forma independente a conformidade com a Lei RAISE nem substitui as avaliações de risco catastrófico e as funções de relatório exigidas dos desenvolvedores abrangidos pela lei.

Seu valor reside em ajudar as organizações a compreender e governar o ambiente de dados e acesso corporativo que envolve seus sistemas de IA.

Por que a Lei RAISE é importante além dos desenvolvedores da Frontier Developments

A maioria das organizações não atenderá aos limites estabelecidos pela Lei RAISE para desenvolvedores pioneiros.

Mas muitas empresas estão adotando modelos cada vez mais sofisticados por meio de serviços em nuvem, APIs, aplicativos embarcados e agentes autônomos de IA.

Essas organizações podem não estar sujeitas às mesmas obrigações diretas da Lei RAISE, mas ainda assim precisam responder a importantes questões de segurança e governança.

Que informações sensíveis um sistema de IA pode acessar? Quais? identidades Como controlar isso? O sistema pode interagir com outros aplicativos corporativos? Como as permissões de risco são identificadas? O que acontece quando uma integração é alterada?

Essas questões tornam-se ainda mais importantes à medida que a IA passa de gerar conteúdo para executar ações em diversos ambientes de negócios.

A Lei RAISE de Nova York também se alinha com outras abordagens estaduais para a regulamentação da IA. A Califórnia adotou uma legislação pioneira em segurança da IA, enquanto outros estados se concentram em decisões automatizadas, divulgação ao consumidor ou transparência do conteúdo de IA.

As organizações devem evitar tratar essas diferentes leis como intercambiáveis.

Um programa de governança de IA sustentável estabelece uma base comum para visibilidade, segurança de dados, acesso e risco relacionados à IA, mapeando, em seguida, as obrigações legais específicas para os sistemas e atividades relevantes.

Explore o BigID Monitoramento da regulamentação global de IA Acompanhar os desenvolvimentos regulatórios nos estados dos EUA e em jurisdições internacionais.

Lei RAISE de Nova York: Perguntas Frequentes

O que é a Lei RAISE de Nova York?

A Lei de Segurança e Educação em IA Responsável (RAISE, na sigla em inglês) é uma lei do estado de Nova York que estabelece transparência, estrutura de segurança e requisitos de notificação de incidentes para desenvolvedores de IA de ponta qualificados. A legislação original foi promulgada em dezembro de 2025 e substancialmente alterada pela Lei S8828 em março de 2026.

Quando entra em vigor a Lei RAISE?

A Lei RAISE alterada está prevista para entrar em vigor em 1º de janeiro de 2027. As organizações devem revisar a estrutura alterada da Seção 8828 ao se prepararem para os requisitos da lei.

Quem deve cumprir a Lei RAISE?

A lei aplica-se a desenvolvedores de projetos pioneiros qualificados e a grandes desenvolvedores de projetos pioneiros cujos modelos de negócios pioneiros sejam desenvolvidos, implementados ou operem, total ou parcialmente, no Estado de Nova Iorque, sujeitos a exceções legais. Um grande desenvolvedor de projetos pioneiros deve atender aos critérios do modelo de negócios pioneiro e ter receita bruta anual superior a US$ 1.000.000 no ano anterior, incluindo empresas afiliadas.

O que caracteriza um modelo de IA de vanguarda?

De acordo com a lei alterada, um modelo de fronteira é um modelo fundamental treinado usando mais de 10²⁶ Operações com números inteiros ou de ponto flutuante, incluindo a qualificação de treinamentos subsequentes e modificações de materiais.

O que é risco catastrófico segundo a Lei RAISE?

O risco catastrófico refere-se a um risco previsível e material de que um modelo de fronteira possa causar ou contribuir materialmente para um incidente que resulte em mais de 50 mortes ou ferimentos graves, ou mais de 1 bilhão de dólares em danos materiais, sujeito às definições e condições da lei.

O que deve incluir uma estrutura de segurança de IA de ponta?

Grandes desenvolvedores de sistemas de ponta devem publicar e seguir estruturas que abordem limites de risco catastrófico, avaliações, mitigações, avaliações de terceiros, segurança de ponderação de modelos, resposta a incidentes críticos de segurança, governança interna e outros requisitos específicos.

Quais são os prazos para notificação de incidentes previstos na Lei RAISE?

Em geral, os desenvolvedores de projetos pioneiros devem relatar incidentes críticos de segurança qualificados ao órgão estadual designado dentro de 72 horas após a determinação relevante ou o gatilho de crença razoável. Certos incidentes que representam risco iminente de morte ou lesão física grave exigem notificação a uma autoridade competente dentro de 24 horas, sujeitos às condições legais.

Quais são as penalidades por violar a Lei RAISE?

O Procurador-Geral de Nova York pode buscar sanções civis de até US$ 1 milhão por uma primeira violação qualificada e até US$ 1 milhão por cada violação qualificada subsequente. A lei alterada também estabelece disposições separadas relativas às divulgações obrigatórias dos incorporadores e às penalidades relacionadas.

A Lei RAISE se aplica a todas as empresas que utilizam IA generativa?

Não. A Lei RAISE visa principalmente desenvolvedores de IA de ponta qualificados. O uso corporativo comum de um aplicativo de IA de terceiros não torna automaticamente uma organização um desenvolvedor de ponta, embora outras leis de IA, privacidade, segurança e proteção do consumidor possam ser aplicáveis.

Como a BigID pode ajudar na preparação para a Lei RAISE?

A BigID ajuda as organizações a descobrir ativos de IA, identificar dados sensíveis, compreender o acesso e a linhagem, avaliar os riscos de IA relacionados a dados e apoiar a supervisão da governança. Essas capacidades complementam avaliações especializadas de segurança de IA de ponta e processos de notificação de incidentes, mas não estabelecem, por si só, a conformidade com a Lei RAISE.

Fontes e Leitura Complementar

• Senado do Estado de Nova York: S8828, Emenda ao Capítulo da Lei RAISE
• Senado do Estado de Nova York: S6953B, Lei RAISE Original
• Governador de Nova York: Anúncio da assinatura da Lei RAISE
• Rastreador de regulamentação global de IA BigID

Este artigo fornece informações educacionais gerais e não constitui aconselhamento jurídico. As organizações devem consultar um advogado qualificado sobre a aplicabilidade da lei de Nova Iorque, definições legais, obrigações de reporte, isenções e requisitos de implementação.

Autor

Lonnie Ross

Líder de Marketing de Experiência Digital

Lonnie é a Líder de Marketing de Experiência Digital na BigID, trazendo consigo mais de uma década de experiência em SEO e marketing digital para empresas B2C e B2B nos setores de SaaS e e-commerce. Com atuação tanto no setor de tecnologia quanto em agências, Lonnie combina uma sólida base em estratégia de busca, UX e desenvolvimento de conteúdo com uma paixão pelo cenário em constante evolução da proteção de dados. Desde o alinhamento do conteúdo com a intenção de busca até o aprimoramento da voz da marca, Lonnie garante que as organizações não apenas se destaquem em um mercado SaaS competitivo, mas também construam confiança por meio de liderança de pensamento em questões críticas como conformidade, risco de dados e inovação responsável.