New York consolide le mur réglementaire de l'IA sur les deux côtes
Le paysage de la gouvernance de l'intelligence artificielle (IA) aux États-Unis a radicalement changé cette semaine avec l'entrée de New York dans l'arène de la réglementation des modèles de pointe (frontier models). Avec la promulgation de la loi sur la sécurité et l'éducation responsables en matière d'IA (Responsible AI Safety and Education - RAISE Act), New York a rejoint la Californie pour établir un cadre de sécurité rigoureux au niveau de l'État pour les systèmes d'IA les plus avancés au monde. Cette initiative signale l'émergence d'une norme nationale de facto portée par les deux plus grandes économies technologiques du pays, comblant le vide laissé par un processus réglementaire fédéral au point mort.
Pour l'industrie de l'IA, le message est clair : l'ère de l'autorégulation volontaire pour les modèles de pointe touche à sa fin. Alors que les développeurs sont aux prises avec les implications du projet de loi 53 du Sénat de Californie (Senate Bill 53 - SB 53), signé à la fin de l'année dernière, la loi RAISE Act de New York ajoute une deuxième couche d'obligations de conformité, légèrement différente. Bien que la gouverneure Kathy Hochul ait souligné « l'alignement » entre les deux États, les nuances de la législation de New York créent un environnement de conformité complexe qui exigera un ajustement stratégique significatif de la part des principaux laboratoires d'IA.
Le RAISE Act : un examen plus approfondi
Le RAISE Act (S6953B/A6453B) se concentre explicitement sur les « modèles de pointe » (frontier models), définis par un seuil de calcul de $10^{26}$ opérations à virgule flottante (floating-point operations - FLOPs). Cette barre haute ne concerne actuellement que les systèmes les plus puissants développés par les géants de l'industrie, tels que les successeurs de GPT-4, Claude 3 et Gemini Ultra. En ciblant cette strate spécifique de la technologie, New York vise à atténuer les risques catastrophiques — tels que le potentiel de l'IA à aider à des cyberattaques ou à la création d'armes biologiques — sans étouffer l'innovation dans l'écosystème de l'IA plus large et à moindre risque.
Mandats clés pour les développeurs de modèles de pointe
En vertu de la nouvelle loi, les développeurs des modèles concernés doivent adhérer à un ensemble strict de protocoles de sécurité et de transparence. La législation impose à ces entreprises de faire preuve d'un « soin raisonnable » (reasonable care) pour empêcher leurs modèles de causer des dommages critiques. Cela inclut des tests rigoureux avant le déploiement, la mise en œuvre de mesures de cybersécurité pour prévenir le vol de modèles, et la capacité d'arrêter rapidement un modèle s'il se comporte de manière dangereuse — une disposition souvent appelée exigence de « bouton d'arrêt d'urgence » (kill switch).
De manière cruciale, le RAISE Act établit un bureau de surveillance dédié au sein du Département des services financiers de l'État de New York (Department of Financial Services - DFS). Ce bureau est habilité à enregistrer les développeurs de modèles de pointe, à examiner leurs certifications annuelles de conformité et à émettre des réglementations interprétant les larges mandats de sécurité du statut. Le choix du DFS, un régulateur connu pour son application agressive dans le secteur financier, suggère que New York a l'intention d'adopter une approche proactive de « surveillance policière » de la sécurité de l'IA.
New York vs Californie : un alignement avec des distinctions
Bien que le RAISE Act ait été rédigé en tenant compte du SB 53 de Californie pour éviter une mosaïque réglementaire chaotique, « alignement » ne signifie pas « identité ». Les deux lois partagent le même seuil de calcul ($10^{26}$ FLOPs) et la philosophie centrale de « transparence et préparation », mais elles divergent dans les mécanismes d'application et les délais de rapport spécifiques. Ces différences sont celles où les équipes juridiques des principaux laboratoires d'IA seront probablement confrontées aux frictions les plus importantes.
Le tableau suivant présente les différences critiques entre les deux cadres étatiques :
| Caractéristique | New York (RAISE Act) | Californie (SB 53) |
|---|---|---|
| Champ d'application cible | Modèles de pointe (> $10^{26}$ FLOPs) | Modèles de pointe (> $10^{26}$ FLOPs) |
| Délai de signalement d'incident | 72 heures à compter de la détermination | 15 jours (standard) ; 24 heures (menace imminente) |
| Organe de surveillance principal | Département des services financiers (DFS) | Procureur général et Agence des opérations gouvernementales |
| Mécanisme d'application | Action civile par le Procureur général ; règles administratives du DFS | Action civile par le Procureur général |
| Sanctions civiles | Jusqu'à 1 million $ (1re violation) ; 3 millions $ (suivantes) | Jusqu'à 1 million $ par violation (plafonné) |
| Droit d'action privé | Non | Non |
Le défi de la conformité : naviguer dans la mosaïque
La différence opérationnelle la plus significative réside dans le délai de signalement des incidents. L'exigence de New York selon laquelle les développeurs doivent signaler les « incidents de sécurité critiques » dans les 72 heures est considérablement plus agressive que le délai standard de 15 jours de la Californie. Ce calendrier compressé exige que les entreprises d'IA disposent de capacités de réponse aux incidents matures, 24h/24 et 7j/7, capables non seulement de détecter les anomalies, mais aussi de les évaluer juridiquement et de les signaler en temps quasi réel.
De plus, l'implication du DFS de New York introduit un nouveau régulateur dans l'espace technologique. Contrairement à la Californie, qui s'appuie largement sur le procureur général pour l'application, New York a créé une structure administrative qui pourrait promulguer des règles détaillées sur la manière dont les tests de sécurité doivent être effectués. Cela soulève la perspective d'un régime de conformité à « double voie » où un modèle pourrait satisfaire aux exigences de transparence de la Californie mais échouer aux protocoles de sécurité spécifiques de New York si le DFS adopte une interprétation plus prescriptive du « soin raisonnable ».
Les analystes du secteur ont noté que si les définitions de « dommage critique » sont harmonisées, la divergence procédurale crée un effet de « plus haut dénominateur commun ». Pour être prudents, les développeurs adopteront probablement par défaut la norme de rapport de 72 heures plus stricte de New York et la documentation de transparence plus large de la Californie, fusionnant ainsi efficacement les aspects les plus rigoureux des deux lois en un seul protocole de conformité interne.
Le contexte fédéral
La promulgation du RAISE Act intervient à un moment d'incertitude importante au niveau fédéral. Alors que l'administration actuelle revient sur les décrets précédents sur la sécurité de l'IA pour poursuivre un programme davantage axé sur la déréglementation, les États sont intervenus pour combler le vide. Ce phénomène reflète « l'effet Bruxelles » (Brussels Effect), où une juridiction réglementaire stricte définit la norme pour le marché plus large. Dans ce cas, il s'agit d'un « effet bi-côtier », Sacramento et Albany rédigeant de fait le manuel de règles national pour la sécurité de l'IA.
Les experts juridiques avertissent que cette approche dirigée par les États, tout en fournissant des garde-fous nécessaires, risque de se fragmenter si d'autres États comme le Colorado, le Texas ou le Massachusetts promulguent leurs propres lois sur les modèles de pointe avec des seuils ou des définitions différents. Cependant, compte tenu du poids économique de New York et de la Californie — qui abritent la grande majorité de l'industrie de l'IA aux États-Unis — il est probable que leur cadre combiné devienne la norme nationale de facto pour l'avenir prévisible.
Implications pour l'industrie et prochaines étapes
Pour l'industrie de l'IA, le compte à rebours est maintenant lancé jusqu'aux dates d'entrée en vigueur en 2027. La priorité immédiate pour les directeurs technologiques (Chief Technology Officers - CTO) et les directeurs juridiques (General Counsels) des laboratoires de pointe est de mener une « analyse des écarts » (gap analysis) entre leurs pratiques de sécurité internes actuelles et les exigences statutaires du RAISE Act et du SB 53.
Les priorités stratégiques pour 2026 incluent :
- Cadres de conformité unifiés : Développer une structure de gouvernance de sécurité unique qui satisfait à la fois aux exigences du DFS de New York et aux mandats de transparence de la Californie.
- Améliorations de la réponse aux incidents : Construire l'infrastructure technique et juridique pour respecter le délai de rapport de 72 heures.
- Préparation à l'audit : Se préparer aux audits annuels indépendants requis par les nouvelles lois, ce qui nécessitera une vérification par des tiers des affirmations en matière de sécurité.
- Lobbying pour la clarté de la réglementation : S'engager avec le DFS de New York alors qu'il commence le processus d'élaboration des règles pour garantir que les définitions techniques des « tests de sécurité » restent pratiques et fondées sur la réalité de l'ingénierie.
Au fur et à mesure que l'année 2026 avance, la mise en œuvre du RAISE Act sera un cas d'école critique pour déterminer si une réglementation au niveau de l'État peut régir efficacement une technologie aussi fluide et mondiale que l'intelligence artificielle. Pour l'instant, New York a posé ses jalons, garantissant que le chemin vers l'intelligence artificielle générale (Artificial General Intelligence - AGI) passe autant par Albany que par la Silicon Valley.
