HB5511 официально посвящён TikTok и Instagram. Но если читать не только пресс-релиз, а сам текст закона, выясняется, что он касается и операционных систем.

Пресс-релиз губернатора Дж. Б. Прицкера по HB5511 насыщен цитатами законодателей и правозащитных групп, в нём прямо названы Instagram, TikTok, Snapchat, X, Facebook и Roblox. Настройка устройства упоминается лишь раз — как то, что родитель делает при первичной настройке. Ни слова о том, что закон вводит отдельную юридическую категорию — поставщик операционной системы — со своим дедлайном в 2028 году и своими штрафами, которые никак не связаны с тем, что выбирает родитель на экране настройки.

TL;DR

  • HB5511, он же Children's Social Media Safety Act, теперь действует как Public Act 104-0664 штата Иллинойс. Прицкер подписал закон 31 июля.
  • Основные положения касаются соцсетей: алгоритмические ленты для несовершеннолетних отключены по умолчанию, уведомления запрещены с 22:00 до 7:00, контакты от незнакомых взрослых блокируются.
  • Отдельная часть закона определяет термины поставщик операционной системы и подпадающий производитель настолько широко, что под них попадает любой, кто создаёт ОС с доступом в интернет — коммерческую или некоммерческую.
  • К 1 января 2028 года такие поставщики должны реализовать шаг декларации возраста и передавать сигнал о возрастной группе любому приложению, которое его запросит.
  • В отличие от Колорадо и Калифорнии, Иллинойс не добавил никакого исключения для open source.
  • Правоприменение — только через генерального прокурора Иллинойса. Текст самого закона ограничивает штраф суммой $7500 за пострадавшего ребёнка. Пресс-релиз губернатора при этом рекламирует штрафы до $50 000 за нарушение. Эти цифры явно не совпадают.

Версия, которую Иллинойс хочет показать публике

Часть про операционные системы пока отложим — половина закона, касающаяся соцсетей, довольно стандартна для 2026 года. Платформы с алгоритмическими лентами, а также платформы, где к детям могут обращаться незнакомцы (Roblox назван прямо), теперь обязаны по умолчанию давать несовершеннолетним хронологическую ленту только из подписок вместо ленты, оптимизированной на удержание внимания. Уведомления отключаются на ночь. Незнакомые взрослые не могут видеть профиль несовершеннолетнего, писать ему или узнавать его геолокацию. Новостные сайты, почтовые сервисы, широкополосные провайдеры и школьное ПО прямо выведены из-под действия закона.

Закон прошёл Генеральную ассамблею 1 июня без единого голоса против — 57:0 в Сенате и 113:0 при согласовании в Палате представителей. Прицкер подписал его 31 июля в присутствии генпрокурора Кваме Раула и представителей Common Sense Media и Mothers Against Media Addiction. Ни слова о рабочем столе компьютера в этой части кампании не было.

То, что пресс-релиз обошёл стороной

Дискуссию на Reddit запустил пост с утверждением, что Иллинойс теперь требует от поставщиков операционных систем, включая open source проекты, реализовать верификацию возраста к 2028 году. Не все восприняли это на веру: в одном из зеркал обсуждения комментатор утверждал, что формулировка вводит в заблуждение и её нужно исправить. Поэтому вместо того чтобы доверять скриншотам в любую сторону, текст закона был прочитан напрямую — по трекеру Генеральной ассамблеи Иллинойса.

Утверждение подтвердилось. Отдельно от правил для соцсетей, HB5511 вводит обязанности для поставщика операционной системы и объединяет производителей устройств, вендоров ОС и магазины приложений под термином подпадающий производитель. Трекеры законодательных инициатив, отслеживающие именно эту категорию биллей по штатам, выделяют такие законы в отдельную группу — Digital Age Assurance, туда же попадают версии Колорадо и Калифорнии.

Что должен реализовать каждый подпадающий производитель к 2028 году

  • Доступный экран настройки, который запрашивает у владельца учётной записи дату рождения, возраст или оба параметра.
  • Способ для любого приложения или платформы, запрашивающей эту информацию (закон называет их «операторами» и «подпадающими разработчиками»), получить сигнал о возрасте через единообразный зашифрованный API.
  • Жёсткое ограничение на объём передаваемых данных: только минимум информации, необходимой для ответа на запрос, и без передачи третьим сторонам сверх требований закона.

Сам сигнал — это не дата рождения, а возрастная категория: младше 13, 13–15, 16–17 или 18 и старше. У операционных систем есть время до 1 января 2028 года, чтобы это реализовать. Платформы получают срок до 1 июля 2028 года, чтобы начать реально запрашивать этот сигнал у пользователей. Как только приложение получает в ответ категорию «несовершеннолетний», закон трактует это как фактическое знание о том, что пользователь не достиг совершеннолетия — а это включает все защитные механизмы по умолчанию из социальной части закона.

Закон не требует сканирования паспорта или лица при настройке. Данные вводятся самостоятельно — так же, как большинство приложений сегодня спрашивают дату рождения, только централизованно на уровне ОС, а не в каждом приложении отдельно. Именно поэтому значительная часть комментариев в r/linux состояла из шуток про установку даты рождения где-то во времена администрации Никсона.

На этот раз исключения никто не сделал

Такая схема — ОС выдаёт возрастную категорию, приложения забирают её через API — уже появлялась в Колорадо и Калифорнии, и оба раза натыкалась на одно и то же возражение: определения были настолько широкими, что захватывали и общественные, некоммерческие open source проекты, у которых нет реальной возможности реализовать мастер настройки с проверкой возраста, не говоря уже об отделе по соответствию требованиям.

Колорадо это исправил. Губернатор Джаред Полис подписал SB26-051 3 июня, во многом благодаря тому, что основатель System76 Карл Ричелл напрямую работал с соавтором законопроекта, сенатором штата Мэттом Боллом. Итоговая версия исключает операционные системы, приложения, репозитории кода вроде GitHub и GitLab, а также контейнерные платформы вроде Docker и Podman — при условии, что они распространяются по открытой лицензии. Закон также блокирует попытки вендора закрыть модифицированную версию софта только для того, чтобы обойти исключение.

Калифорния пытается прийти к тому же результату. Её первоначальный закон, AB-1043, содержал ту же лакуну. Автор законопроекта, член ассамблеи Баффи Уикс, внесла поправку AB-1856, специально чтобы переопределить понятие поставщика операционной системы и исключить из него всех, кто распространяет софт на тех же открытых условиях. На момент написания этой заметки поправка ещё проходит через Сакраменто и не принята.

Иллинойс этот шаг полностью пропустил. Определения подпадающего производителя и магазина приложений в HB5511 такие же широкие, какими были определения Колорадо и Калифорнии до того, как их поправили. Сама структура закона тоже не уникальна для Иллинойса: первой это сделала Калифорния, Колорадо повторило ту же схему, а HB5511 читается как близкий родственник обоих — те же возрастные категории, тот же сигнал через API, те же цифры штрафов за ребёнка.

Даже лобби большой техи было против

Ещё до подписания закона Electronic Frontier Foundation направила Прицкеру письмо с просьбой применить вето, назвав законопроект «масштабным кошмаром для приватности и свободы слова» и отдельно указав, что под угрозой оказывается экосистема open source. EFF отнесла Иллинойс к более широкому ряду законопроектов штатов, которые используют риторику детской безопасности для оправдания всеобъемлющих требований верификации возраста.

Отдельно, но по совсем другим причинам, против того же законопроекта выступила NetChoice — торговая группа, в которую входят компании вроде Google и Meta. Её возражения касались Первой поправки и риска раскрытия чувствительных данных пользователей, а не open source в частности. Получилось странное сочетание: правозащитная некоммерческая организация и лоббистское объединение тех самых платформ, которые закон должен регулировать, выступают против одного и того же законопроекта по противоположным причинам. Законодатели Иллинойса всё равно приняли его единогласно.

А можно ли это реально применить на практике?

Возбудить дело может только генеральный прокурор Иллинойса. Права на частный иск закон не даёт, так что отдельный человек не сможет подать иск лично. Гражданский штраф, прописанный в самом тексте закона, составляет до $2500 за пострадавшего ребёнка при неосторожном нарушении и до $7500 за пострадавшего ребёнка при умышленном. Это не совпадение: точно такая же цифра используется в законе Колорадо, потому что подобные законопроекты в основном строятся по одному и тому же шаблону, распространяясь от штата к штату.

Сравните это с пресс-релизом самого губернатора, который рекламирует штрафы до $50 000 за нарушение. Возможно, обе цифры технически верны и просто относятся к разным разделам довольно объёмного закона, но ничто в материалах штата не объясняет читателю эту разницу, а в анонс попала именно большая цифра.

Что касается реального воздействия на мейнтейнера дистрибутива-хобби-проекта: у закона нет рычагов против того, у кого нет коммерческого присутствия в Иллинойсе — именно эту лазейку сразу же нашла половина участников r/linux. Стоит ждать волну шутливых предупреждений на страницах загрузки дистрибутивов задолго до того, как кто-то реально заплатит штраф. А вот те, кто уже ведёт реальный бизнес в штате — то есть Google, Microsoft, Apple и любые вендоры Linux с реальной выручкой в Иллинойсе — просто отмахнуться от этого не смогут.

Что произойдёт до 2028 года

До дедлайна остаётся больше года — а значит, есть время, чтобы что-то изменилось. NetChoice уже оспаривала похожие законы о соцсетях и верификации возраста в Миссисипи, Колорадо, Калифорнии, Луизиане, Джорджии и Огайо, с разным результатом: часть положений блокировали, часть оставляли в силе. Учитывая эту статистику, оспаривание конкретно HB5511 не станет сюрпризом, хотя на момент написания заметки ничего подобного ещё не подано. Есть и вероятность поправки, добавляющей то же исключение для open source, которое получили Колорадо и Калифорния. Или же ничего не изменится — и тогда именно версия Иллинойса станет шаблоном, который будут копировать другие штаты, а не исключением из правил.

Что из этого произойдёт, вероятно, зависит от того, появится ли open source сообщество в Спрингфилде так же, как Карл Ричелл появился в Денвере. На этот раз этого не случилось. Но время, чтобы это изменить до того, как 1 января 2028 года превратится в дедлайн, который действительно ударит по разработчикам, ещё есть.