把镜头放到奥尔巴尼州街那排石阶上，冬天早上八点，街上没几个人。州金融服务局的一层办公室里，一块新牌子刚挂上去，全称很长：数字创新、治理、诚信与信任办公室，缩写 DIGIT。
牌子挂上的同一周，一个网页开了。页面上没有封面图，只有一行行待填的空白：法人名称、所在国家、主要营业地址、三名联系人。填完它，才拿到在纽约做前沿模型的资格。
页面开了，倒计时也跟着开了
据 TechCrunch 报道，注册平台于本周二开放，大型前沿 AI 开发商须在 2027 年 1 月 1 日前完成登记。那一天也是法规生效的第一天，登记截止和生效日期被压在同一条时间线上。
门槛写得很干：上一年度连同关联方年营收超过 5 亿美元，才算「大型」；模型训练算力超过 10 的 26 次方次运算，才算「前沿」。据州金融服务局公开页面，披露声明至少每两年更新一次，模型所有权转移或信息重大变更时要提前重报。
页面不是给所有人开的。够不上 5 亿美元这条线的不用注册，可一旦出事故，报告义务照样落在头上，这一条后面再说。
为什么先动手的是州，不是联邦
判断放在前面：AI 事故上报这件事，第一个落地的文本出现在州一级，不是联邦。原因不复杂，州里有现成的执法机构，也有现成的事故时钟。
纽约州金融服务局管着银行和保险，二十多年来一直在收网络安全事件通报，它不需要向谁解释自己为什么有权要一份报告。新办公室 DIGIT 直接挂在 DFS 里，据州长办公室公告，首位全职雇员 Marc Gilman 已到位，职务是 RAISE Act 副主管。
联邦立法的节奏是几年一个周期，州的节奏是几个月。一个州先动手，别的州就有模板可抄。这不是谁更强硬的问题，是谁的流程更短。
还有一层地理原因。纽约那几栋楼里坐着全世界的资产管理公司，模型在这里出的岔子，第一个被问责的往往不是实验室，是本地监管者。
72 小时，这个数字是从别处借来的
72 小时不是为 AI 新想的数字。欧盟 GDPR 的数据泄露通报是 72 小时，纽约州金融服务局的网络安全规则也是 72 小时。据该局公开页面，RAISE Act 沿用这个口径：判定发生关键安全事故后 72 小时内报给 DIGIT。
差别在可计量性。数据泄露能数清多少条记录受影响，AI 事故常常连边界都说不清。是一次越权输出，还是模型在某个下游系统里做了不该做的事，判定本身就要开会。
法规还留了一档更短的：若事故构成迫近的死亡或严重人身伤害风险，24 小时内要通报有管辖权的执法或公共安全部门。72 小时是台账，24 小时是警报，两档不能混着看。
我的判断：72 小时真正压住的不是写报告的手，是判定的流程。计时从「认定」开始，而认定需要有人拍板，需要日志，需要分级表。这三样东西，出事故那天从零开始凑，凑不出来。
登记之后，还得交一张「事故表」
注册只是门票。真正天天要用的，是一张事故报告表。
据州金融服务局公开页面，一份报告要写清：事故发生日期与简述、为什么它算关键安全事故、能佐证的文档、是否涉及模型的内部使用、是否触发 24 小时通报、上报单位与联系人、涉及的模型名称与版本。
版本那一栏最容易被忽略。模型上线之后，权重、系统提示、工具权限、检索库，任何一样改过，版本号就得对得上。事故发生时版本对不上，报告写不下去。
换句话说，这条法规真正要的东西不是一份 PDF，是一套平时就在跑的东西：事件分级标准、值班表、留痕日志。表是结果，流程是前提。
不在纽约的团队，什么时候会被算进来
条款的属地写法是「全部或部分在纽约开发、部署、运营」。这几个字，是海外团队要读的那一句。
一个不在美国注册的团队，如果模型跑在纽约的机房、经由美国实体收款、或者只是给纽约的用户开了一个接口密钥，是否构成「部分运营」，法规没给示例，也没有判例。这个空白，会先由律师的备忘录去填。
另一条线是门槛。够不上 5 亿美元营收和 10 的 26 次方运算的团队不用注册，但「所有前沿开发方」都要在 72 小时内报事故，这一条没有营收豁免。
我的判断：最先被拽进来的不会是头部实验室，是那些在美国有销售实体、工程团队在别处、营收刚过线的中型公司。它们既跑不掉，又没有大厂那份法务预算。
先报的人，会不会先被罚
这个问题在工程群里问得最多：早报，等于自己留一份书面证据；晚报，等于违规。两头都不舒服。而计时起点是「认定」或「知悉足以形成合理确信的事实」，不是事故发生那一刻，这个措辞给了缓冲，也把责任推给了内部流程，什么时候算「知道」，得你自己有记录。
动作可以拆成三件，都很具体：一，把「疑似」和「已认定」分开记，两条时间戳都留；二，定一个唯一的上报口径，一个人签字，别让三个部门各自往上报；三，把模型版本和工具权限的变更日志与事故记录对上号。
至于罚则，据 TechCrunch 报道，单次违规最高 100 万美元，后续违规最高 300 万美元。这个量级对头部实验室不算什么，对刚过线的中型公司是实打实的现金流。
还有一条常被忽略：据州长办公室公告，DIGIT 每年会出一份公开报告，汇总收到的事故报告、对前沿模型安全的观察，以及修法建议。报上去的文字，迟早会以某种形式出现在公开文本里。
所以那张表填的不是合规，是叙事。同一个事故，你在 72 小时内写了什么，一年后就会变成别人引用你时的那句话。
页面已经开着，倒计时走到 2027 年 1 月 1 日。这中间的一年多，够不够把值班表、分级标准、版本日志这三样东西搭起来，是每个团队自己算的账。奥尔巴尼那间办公室的灯，冬天关得挺晚。
