La gouverneure Kathy Hochul vient de faire de New York le deuxième État du pays à imposer une réglementation complète en matière de sécurité de l’IA.
Le RAISE Act est devenu loi après des mois de négociations, instaurant de nouvelles règles strictes pour les entreprises d’IA les plus puissantes opérant aux États-Unis.
Hochul a signé le projet de loi peu après President Trump a pris un décret visant précisément à bloquer ce type de réglementation de l’IA au niveau des États. La promulgation défiante de Hochul montre que les États ne renoncent pas à réglementer l’IA, même sous la pression fédérale.
« Cette loi s’appuie sur le cadre récemment adopté par la Californie et crée une référence commune entre les principaux États technologiques du pays, alors que le gouvernement fédéral reste à la traîne et ne met pas en place de réglementations de bon sens pour protéger le public », a déclaré Hochul dans l’ annonce.
La règle des 72 heures
La loi de New York cible les modèles d’IA entraînés avec une puissance de calcul supérieure à 10^26 opérations en virgule flottante, c’est-à-dire essentiellement les systèmes les plus avancés d’entreprises comme OpenAI, Google et Meta. Les entreprises doivent désormais rendre publics leurs protocoles de tests de sécurité et signaler les incidents de sécurité critiques dans un délai de 72 heures.
Ce délai de 72 heures est en réalité plus strict que celui de 15 jours prévu en Californie. Mais le véritable coup de tonnerre concerne les sanctions : elles peuvent atteindre 1 million de dollars US pour une première infraction et 3 millions de dollars US pour les infractions suivantes.
La loi crée également un nouveau bureau de réglementation au sein du Department of Financial Services, chargé spécifiquement de surveiller le développement de l’IA. Les entreprises sont désormais soumises à une surveillance 24 h/24 et 7 j/7 pour les applications à haut risque susceptibles de permettre des cyberattaques ou de générer des contenus nuisibles.
La riposte fédérale n’a pas pu stopper l’action des États
Le conflit entre le gouvernement fédéral et les États couvait depuis plusieurs semaines. Le décret présidentiel du 11 décembre de Trump vise spécifiquement à créer un « cadre de politique nationale uniforme et peu contraignant pour l’IA » et établit un groupe de travail chargé de contester la constitutionnalité des lois des États sur l’IA.
Le décret critique explicitement la législation similaire de la Californie et charge l’Attorney General de contester les lois des États sur l’IA. Hochul a pourtant poursuivi sa démarche, laissant penser que les États se préparent à une confrontation juridique d’ampleur sur le pouvoir réglementaire.
Le décret de Trump utilise même les financements fédéraux comme moyen de pression contre les États récalcitrants. Mais la décision audacieuse de New York montre que les États ne se laissent pas intimider par les pressions financières lorsqu’il s’agit de protéger leurs habitants contre les risques liés à l’IA.
Ce qui a changé par rapport au projet de loi initial
En coulisses, une bataille intense entre groupes de pression a remodelé le texte final par rapport à sa version initiale. Les premières propositions de Hochul auraient considérablement affaibli le projet de loi, notamment en réduisant les sanctions de 10 à 30 millions de dollars US à seulement 1 million de dollars US et en faisant passer les délais de signalement des incidents de 72 heures à 15 jours.
Les négociations ont révélé d’intenses campagnes de pression. Les groupes du secteur qui avaient organisé des collectes de fonds pour Hochul ont insisté pour obtenir ces changements. Le compromis final a maintenu l’obligation cruciale de signalement sous 72 heures, tout en ajustant d’autres dispositions.
La loi transforme les « protocoles » de sécurité en « cadres » décrivant des approches générales plutôt que des exigences précises de mise en conformité. Ce changement stratégique offre davantage de souplesse aux entreprises tout en maintenant leurs obligations de transparence.
Les lignes de front sont déjà tracées
Les syndicats et les associations de défense des droits civiques ont apporté leur soutien, considérant cette loi comme une protection contre la suppression d’emplois et les discriminations. De leur côté, certains développeurs s’inquiètent de la charge administrative liée aux nouvelles obligations de signalement.
Les recours en justice semblent inévitables. Les experts s’attendent à une riposte des entreprises technologiques, qui pourraient faire valoir que la loi empiète sur les prérogatives fédérales ou porte atteinte aux secrets commerciaux. Les entreprises doivent désormais relever le défi de surveiller les systèmes d’IA 24 h/24 et 7 j/7 afin de détecter les incidents dans le délai de 72 heures.
Le mécanisme d’application de la loi habilite l’Attorney General de l’État à infliger des sanctions civiles, créant une voie directe pour engager une action réglementaire contre les entreprises non conformes. New York rejoint ainsi la Californie dans la mise en place d’un nouveau paysage réglementaire susceptible de transformer la manière dont l’ensemble du secteur de l’IA aborde la sécurité et la transparence.
OpenAI a promis de faire de la sécurité des enfants une priorité avec la sortie de son dernier modèle d’IA, GPT-5.2.