读懂｜纽约让大模型公司自己写的安全框架可以被罚

纽约 11 月 10 日开放 RAISE 法注册门户。72 小时上报只管伤亡与失控这类事件，真正压在 OpenAI、Anthropic 身上的，是违反自家安全框架就可被罚。

纽约的注册门户一开，OpenAI 和 Anthropic 写在官网上的安全框架，就从自我承诺变成了 1 月 1 日起违反即可被罚的义务。

据纽约州长办公室 11 月 10 日的发布稿，新设的 DIGIT 办公室当天开放 RAISE 法注册门户，年营收超过 5 亿美元的前沿模型公司要在 2027 年 1 月 1 日前注册。州政府把 72 小时上报称作全国最严。沈规的判断是：这部法最咬人的是框架可罚，72 小时管的范围窄得多。

4 月砍掉九成罚款，1 月 1 日开始执法

把几份文件按时间排开：

2026 年 4 月：据 Morrison Foerster 的解读，修正案把首次违规罚款从 1,000 万美元降到 100 万美元，再犯从 3,000 万美元降到 300 万美元，执法推迟到 2027 年 1 月；
10 月 29 日：州议员提出 RAISE 法 2.0，拟授权州政府限制训练算力，本站在那篇稿子里写过，它要到 2027 年会期才审；
11 月 10 日：门户上线，TechCrunch 点名 OpenAI 和 Anthropic 都在注册之列；
2027 年 1 月 1 日：注册截止，安全框架、透明度报告与事故上报同时生效。

据纽约金融服务局的说明页，大公司还要在每季度结束后 30 天内，提交内部使用前沿模型带来的灾难性风险评估摘要。不注册怎么罚，州政府发言人对 TechCrunch 不愿细说；Morrison Foerster 依据条文写的是经通知和听证后每天 1,000 美元。

72 小时的起算点确实严：说明页写明，从公司认定事故，或掌握足以合理相信事故已发生的事实时起算，可能致死或重伤的，24 小时内要报给执法或公共安全机关。加州同类法给的是 15 天。

严的是时钟，范围却很窄。按 Morrison Foerster 列出的条文定义，「关键安全事故」只有四类：

本站报道过的 Anthropic 客户数据事件，外部公司看过企业账户信息，察觉 28 天后才通知客户。这是分析推断，依据是上面的定义：这类事件不落在其中任何一类，纽约的 72 小时管不到它。读者把 72 小时当成数据泄露通报规则，会高估这部法。

真正改变公司处境的条款在别处。Morrison Foerster 列出的罚则覆盖四种情形：发布义务、上报义务、虚假陈述，以及不遵守公司自己的安全框架。框架有实质改动，要在 30 天内连同理由公开；州长办公室还写明，宾汉姆顿大学的新研究中心会和 DIGIT 一起审读各家已公开的框架。

“The stakes are too high to simply take AI companies at their word.”

州长 Hochul 在发布稿里这样说。有人会说 100 万美元对年营收超过 5 亿美元的公司不痛不痒。对此的回答是，罚款的分量在其次：框架必须公开，公司承诺了什么、做到了什么，从此可以被州里的研究者逐条对照，再犯的上限也升到 300 万美元。

从 1 月 1 日起，Anthropic 每对自己的安全框架做一次实质改动，都要在 30 天内公开写明理由；做不到，或者做的和写的不一样，纽约总检察长就可以起诉追罚。承诺写成什么样，责任就落在写承诺的公司身上，再没有「只是内部政策」这个退路。