Politico meldde op 2 september 2026 dat meerdere Amerikaanse staten AI-wetten hebben ingevoerd ondanks lobby van nationale techbranchegroepen die liever één lichte federale standaard willen. Volgens TechPolicy.Press hadden halverwege 2026 al 29 staten AI-wetgeving aangenomen, over onderwerpen als geautomatiseerde besluitvorming, synthetische media en consumentenbescherming. Concrete voorbeelden zijn Texas HB 149 (TRAIGA, van kracht sinds 1 januari 2026), Californische transparantie- en frontier-modelwetten en de New Yorkse RAISE Act, die volgens Orrick ontwikkelaars van frontier-modellen verplicht veiligheidskaders te publiceren en ernstige incidenten binnen 72 uur te melden.
Voor organisaties betekent dit dat Amerikaanse AI-naleving geen toekomstig federaal debat meer is, maar een lappendeken van staatsverplichtingen die per workflow in kaart moet worden gebracht: welke staat geldt, welke plichten gelden en waar zit de bewijslast.
Wat heeft Politico precies gemeld en waarom is het relevant?
De kern van de Politico-berichtgeving is de botsing tussen twee bewegingen. Aan de ene kant zetten nationale techbranchegroepen en handelsverenigingen zich in voor een enkele, lichtere federale standaard; aan de andere kant hebben afzonderlijke staten hun eigen AI-regels doorgevoerd. Politico beschreef eerder, in mei 2024, in het stuk over techbranchelobby tegen AI-wetsvoorstellen van staten hoe een coalitie van techbelangenbehartigers — waaronder TechNet en BSA — zich verzette tegen vroege AI-wetsvoorstellen van staten. Toch gingen die voorstellen in Colorado en andere jurisdicties door.
Het patroon is daarmee bevestigd: georganiseerde industriele oppositie heeft de opkomst van staatsregimes niet tegengehouden. Naar onze inschatting is dat het praktisch relevante signaal voor wie met gevoelige informatie werkt: het zwaartepunt van Amerikaanse AI-governance verschuift richting een verzameling staatsplichten, niet richting één overkoepelend federaal kader. Dat contrasteert met het Amerikaanse pleidooi voor lichte AI-regulering op de G20-innovatietop, dat op federaal niveau een andere richting bepleit dan de staten in de praktijk kiezen.
Welke AI-wetten hebben afzonderlijke staten aangenomen?
De verificatietracker van Glacis en de wetgevingssamenvatting van de National Conference of State Legislatures (NCSL) geven concrete, controleerbare voorbeelden. Volgens de US State AI Laws Tracker van Glacis zijn diverse staatswetten in 2026 daadwerkelijk in werking getreden. Een paar wetten die het huidige beeld illustreren:
- Texas HB 149 (TRAIGA): volgens Glacis in werking getreden op 1 januari 2026, met civielrechtelijke handhaving door de procureur-generaal. NCSL vermeldt deze wet als "Enacted".
- Californie: Glacis beschrijft dat verschillende Californische AI-wetten en transparantieregels in 2026 in werking zijn getreden, waaronder verplichtingen rond frontier-modellen en trainingsdata-transparantie.
- New York (RAISE Act): Orrick beschrijft dat deze wet ontwikkelaars van "AI frontier models" verplicht om veiligheidskaders te publiceren en incidenten met ernstige schade binnen 72 uur te melden.
- Colorado: een van de vroege staten die volgens Politico ondanks industrielobby doorzette met AI-wetgeving.
TechPolicy.Press plaatst deze afzonderlijke wetten in een breder verband: met 29 staten die halverwege 2026 AI-wetgeving hadden aangenomen, zijn dit geen geisoleerde experimenten maar een wijdverbreid patroon. Onderwerpen lopen uiteen van geautomatiseerde besluitvorming tot synthetische media en consumentenbescherming.
Wat betekent dit staten-patchwork praktisch voor organisaties met gevoelige data?
De praktische verschuiving is dat generieke "AI-compliance" niet meer volstaat. Een organisatie kan niet langer in het algemeen zeggen dat ze aan de AI-regels voldoet; ze moet per workflow weten onder welke staatsregels een AI-toepassing valt en waar activiteiten in meerdere staten tot gestapelde verplichtingen leiden. Dat legt volgens Orrick concrete plichten neer op het niveau van veiligheidskaders en incidentmeldingen, niet alleen op het niveau van eindresultaten.
Analyse: voor sectoren die met vertrouwelijke informatie werken — juridisch, financieel, zorg — betekent dit dat AI-governance zich onder de bestaande privacy-, beveiligings- en sectorplichten schuift in plaats van die te vervangen. De New Yorkse termijn van 72 uur voor incidentmeldingen laat zien dat verificatie niet alleen bij de inrichting nodig is, maar ook op het moment dat er iets misgaat. Dit sluit aan bij de bredere verschuiving die we eerder beschreven, waarin AI-governance van principes naar concrete controleplichten beweegt. Een pragmatische lijn is om privacy, cyber en AI niet in aparte silo's te beheren maar te bundelen, zoals in onze bespreking van geintegreerde governance voor privacy, cyber en AI.
Hoe breng je per workflow in kaart welke staatsverplichtingen gelden?
Een verifieerbare aanpak begint bij het zichtbaar maken van welke AI-systemen en datastromen door welke jurisdicties lopen. Een werkbare volgorde:
- Inventariseer per workflow welke AI-modellen worden gebruikt en of het om frontier-modellen of hoog-risico geautomatiseerde besluiten gaat.
- Bepaal welke staten van toepassing zijn op basis van waar gebruikers, data en beslissingen zich bevinden.
- Koppel per staat de concrete plichten: veiligheidskaders, transparantie over trainingsdata, consumententoelichtingen en incidentmelding.
- Leg vast welke logs, meldingen en bewijsstukken elke staat verwacht, inclusief termijnen zoals de 72-uursmelding uit de RAISE Act.
- Toets waar verificatiegaten zitten en hoe dit samenhangt met bredere privacy- en sectorregels.
Onze themahub over AI-governance verzamelt de bredere context rond dit soort controleplichten. Voor juridische teams die AI operationaliseren onder toenemende druk is ook de execution-gap tussen kantoren relevant, omdat naleving en operationalisering hier samenkomen.
In dit landschap kan een verificatielaag als Vera helpen om per gevoelige workflow zichtbaar te maken welke AI-systemen en datastromen door welke jurisdicties lopen en welke controlestappen zijn uitgevoerd. Vera is geen chatbot en geen eigen taalmodel, maar maakt verificatiestappen, correcties en bronnen inspecteerbaar. De Semantic Privacy Shield kan gevoelige documentwaarden voor verwerking vervangen door synthetische, sessiegebonden equivalenten op EU-infrastructuur; de workflow is ontworpen om alleen geanonimiseerde inhoud door te sturen en is fail-closed, zodat bij een mislukte privacycontrole niets wordt verzonden. Dat geeft meer zicht op de uitgevoerde controlestappen, maar het professionele eindoordeel — welke staatsregels gelden en of eraan is voldaan — blijft bij de gebruiker.
Bronnen en referenties
Bronnen: Het artikel steunt op berichtgeving van Politico en TechPolicy.Press, de wettentracker van Glacis, de wetgevingssamenvatting van NCSL en de State Attorney General Update van Orrick.