2026 年 9 月 21 日，纽约州州长凯西·霍楚尔公布了纽约 RAISE 法案（《负责任 AI 安全与教育法案》）的执行时间表：今年 11 月起，年收入超过 5 亿美元的前沿 AI 开发商须向纽约州登记；2027 年 1 月 1 日法案正式生效后，公开安全框架、72 小时内上报关键安全事件、按季度提交灾难性风险评估等义务将逐项落地。这是美国第一个针对前沿模型开发商给出明确合规日历的州级监管动作，但它的效力只在纽约州内，不适用于联邦层面，更不是全球通用规则。
发生了什么：一张分两步走的合规日历
霍楚尔在 9 月 21 日的新闻发布会上划出了两条线。第一步在 2026 年 11 月：州政府将通过金融服务部的登记通道，要求符合条件的前沿 AI 开发商完成登记——这一步本身不产生新的实质义务，目的是让监管方先拿到"谁在训练先进系统"的名单。第二步在 2027 年 1 月 1 日法案生效后：被覆盖的开发商必须在官网上公开安全与透明度框架，向新设的"数字创新、治理、诚信与信任办公室"（DIGIT，设在金融服务部内）在 72 小时内报告关键安全事件，每季度提交灾难性风险评估，并至少每两年提交一次披露声明。马克·吉尔曼被任命为 DIGIT 办公室副主任，负责牵头这套体系的运转。
违规的代价也已摆明：州总检察长办公室可对未合规或虚假陈述的企业提起民事诉讼，州长办公室披露的处罚标准是首次违规最高 100 万美元、后续违规最高 300 万美元。霍楚尔还放话欢迎不服的企业"法庭上见"，并表示纽约不排除跟进前沿 AI"急停开关"——加州前沿 AI 急停开关的立法进展值得一并关注。
谁在范围内，谁不在
这部法案的瞄准镜很窄：只覆盖年收入超过 5 亿美元的大型前沿 AI 开发商，多家媒体点名的典型代表是 OpenAI、Anthropic 这一量级的公司。普通的 AI 应用公司、个人开发者、学术机构都不在登记和上报义务之内。
但"不在义务内"不等于"不受影响"。纽约的银行和金融科技公司大量把这类前沿模型用在客服、欺诈识别和支付流程里——一旦供应商按 72 小时规则上报关键安全事件并展开调查、调整模型访问权限，下游机构的业务流程可能被迫同步调整。纽约市议会也在推进自己的 AI 法案（纽约市议会拟推 AI 法案：强制第三方验证与 kill switch），州和市两套规则叠加，意味着在纽约运营的 AI 相关企业要同时看两本账。
还有一个必须划清的边界：这是纽约州的州法。霍楚尔自己把这套动作包装成对联邦不作为的回应——国会本届会期没有通过任何实质性的 AI 立法。把它理解成"美国新规"或"全球趋势"都是错的，出了纽约州，它没有约束力。
该怎么做：三件现在就要准备的事
第一，在纽约有业务或模型服务触达纽约用户的前沿模型公司，现在就要把 11 月的登记当作硬性节点：整理公司主体信息、训练活动说明和合规联系人。州政府已承诺在 11 月前公布登记细则，留出对接窗口。
第二，把 72 小时上报机制写进内部流程：定义什么算"关键安全事件"、谁有权拍板上报、证据和日志保留多久。DIGIT 办公室明确表示会审查企业公开的安全框架，框架写得太空等于把把柄递给监管。
第三，做模型服务的企业客户——尤其是金融、医疗等强监管行业——要在供应商合同里补上事件通知条款：供应商上报事件后多少小时内通知你、服务降级或模型变更时你有什么选择权。等事件真的发生再谈，主动权就不在你手里了。
风险在哪里
最大的风险不是某一条义务太重，而是规则正在碎片化。加州 9 月 18 日刚签了推进独立审计和急停开关的行政令，纽约的 RAISE 法案 11 月启动登记、明年 1 月生效，纽约市还有自己的法案在路上——前沿模型公司很快就要同时满足好几套州级规则，合规成本是叠加的，不是替代的。
其次是执法的不确定性。登记和上报的实施细则还没公布，DIGIT 办公室刚搭班子，企业现在准备的每一份材料都可能要按细则返工。州长已经明示要打官司，企业法务团队大概率也在准备挑战法案的合宪性——在法院给出结论前，这套时间表存在被推迟或修改的可能。
最后是"名单效应"本身：11 月的登记会让监管方第一次拿到"谁是被监管的前沿 AI 公司"的完整名单。这意味着被覆盖的公司从此活在聚光灯下——合规做得好的公司能把登记变成信任资产，做得差的会被放大检视。
