La Californie devient le premier État à obliger les entreprises d'IA à signaler publiquement les incidents de sécurité dans les 15 jours
La Californie redéfinit les règles de l'IA
La première loi sur la transparence de l'IA du pays met les géants de la tech en alerte, augmentant la pression pour une action fédérale
SACRAMENTO — La Californie a fait bouger les lignes. Lundi, le gouverneur Gavin Newsom a signé une loi pionnière qui contraint les entreprises d'intelligence artificielle les plus puissantes du monde à lever le voile sur leurs pratiques de sécurité et à alerter les autorités de l'État en cas d'incidents graves dans un délai de 15 jours.
Cette mesure, connue sous le nom de SB 53, marque un virage spectaculaire par rapport à l'année dernière, lorsque Newsom avait opposé son veto à des règles d'IA plus strictes auxquelles les leaders de l'industrie s'étaient farouchement opposés. Cette fois, il a su trouver le juste équilibre, en élaborant une loi qui apporte une réelle transparence sans exiger de « kill-switches » (interrupteurs d'urgence) ni de restrictions directes sur les capacités de l'IA.
« La Californie a prouvé que nous pouvons établir des réglementations pour protéger nos communautés tout en veillant à ce que l'industrie de l'IA en pleine croissance continue de prospérer », a déclaré Newsom dans un communiqué.
Sous ce ton prudent se cache une audacieuse réalité : la Californie a lancé le premier régime de transparence à l'échelle de l'État pour l'IA de pointe. Cette décision pourrait déclencher un effet domino à travers les États, forçant Washington à enfin se pencher sur la manière dont le pays devrait superviser l'intelligence artificielle, même si les milliardaires de la Silicon Valley injectent des fonds dans des campagnes visant précisément à empêcher ce type de loi.
Ce que la loi exige
La SB 53 cible spécifiquement les « grands développeurs d'IA de pointe » – les entreprises générant plus de 500 millions de dollars de revenus annuels et gérant d'énormes charges de travail d'entraînement. Ce seuil inclut OpenAI, Anthropic, Meta et Google DeepMind tout en épargnant les petites startups.
Les règles sont simples mais étendues. Les entreprises concernées doivent publier des versions expurgées de leurs manuels de sécurité internes, expliquant comment elles se prémunissent contre les risques catastrophiques, tels que des dommages de plusieurs milliards de dollars ou des pertes humaines massives. Elles doivent également signaler les « incidents de sécurité critiques » au Bureau des services d'urgence de Californie dans un délai de 15 jours, ou de 24 heures si la menace semble imminente.
Et l'État ne s'est pas arrêté aux dommages physiques. La loi exige également la divulgation des cyberattaques autonomes et des comportements trompeurs des modèles d'IA, une formulation qui va en fait plus loin que l'Acte sur l'IA de l'Union européenne. Les entreprises qui ne se conforment pas s'exposent à des amendes pouvant aller jusqu'à 1 million de dollars par infraction.
Ce n'est pas tout. Les lanceurs d'alerte au sein de ces entreprises bénéficieront désormais de solides protections juridiques, et l'Université de Californie lancera CalCompute, un service de cloud public visant à donner aux chercheurs en sécurité l'accès au type de puissance de calcul habituellement réservé aux géants de la technologie.
La fracture au sein de la Big Tech
Le projet de loi a révélé de profondes divergences au sein de la Silicon Valley. Anthropic, une entreprise née de transfuges d'OpenAI et axée sur la sécurité, a soutenu la mesure. OpenAI et Meta l'ont combattue bec et ongles. OpenAI a même publié une lettre ouverte exhortant à un veto.
Cette division se résume aux modèles économiques. Les entreprises qui investissent déjà massivement dans les tests et le "red-teaming" (tests d'intrusion) voient la réglementation comme une opportunité de consolider leur avantage. Les rivaux qui prospèrent grâce à une itération rapide craignent que cela ne donne à leurs concurrents un aperçu de leurs opérations tout en créant une trace écrite que les avocats pourraient utiliser comme arme par la suite.
« Cela crée un fossé de conformité », a déclaré un investisseur en capital-risque. « Les laboratoires dotés de systèmes matures sont prêts. Tous les autres doivent se démener pour rattraper leur retard. »
Pendant ce temps, OpenAI et Meta redoublent d'efforts politiques, en injectant de l'argent dans des groupes de pression favorables à une réglementation moins stricte. Pour eux, la nouvelle loi californienne n'est pas seulement un ralentisseur, c'est un précédent dangereux que d'autres États pourraient désormais suivre.
Les États s'activent
La Californie n'est pas la seule. Les législateurs de New York ont récemment adopté leur propre projet de loi sur l'IA, qui est maintenant sur le bureau de la gouverneure Kathy Hochul. Il va même plus loin, exigeant des rapports d'incidents de sécurité dans un délai de 72 heures au lieu de 15 jours.
Cela crée ce que les analystes appellent une « course à la norme la plus stricte ». Les entreprises opérant à l'échelle nationale adoptent généralement les règles les plus strictes dans l'ensemble pour éviter un cauchemar de conformité. Si New York va de l'avant, son délai plus court pourrait rapidement devenir la norme nationale de facto.
Le Congrès, bien sûr, a remarqué. Certains collaborateurs ont évoqué une préemption fédérale, mais des initiés admettent qu'une législation globale sur l'IA reste une bataille difficile à Washington. Pour l'instant, la Californie et New York semblent prêtes à donner le ton tandis que d'autres États s'alignent derrière elles. Les chercheurs en politiques publiques s'attendent à ce que trois à cinq États introduisent des projets de loi similaires en 2026.
L'argent, les marchés et une nouvelle économie de la conformité
Wall Street a déjà commencé à comparer la SB 53 à Sarbanes-Oxley, la loi sur la divulgation d'informations d'entreprise post-Enron qui a remodelé la communication financière. La version IA pourrait engendrer toute une économie de la conformité.
Les entreprises auront désormais besoin de surveillance continue, de systèmes de gestion des risques et de pistes d'audit impeccables. Cela signifie davantage de dépenses pour les plateformes d'évaluation de l'IA, les cabinets de conseil en "red-teaming", les logiciels de gouvernance et même les produits d'assurance spécialisés. Les investisseurs y voient une opportunité : les entreprises qui respectent déjà ces normes pourraient bénéficier de valorisations plus élevées, tandis que celles qui sont à la traîne pourraient faire face à des cycles de vente plus longs, les acheteurs exigeant des preuves de sécurité.
Une clause pourrait être plus importante que la plupart : l'exigence de signaler les comportements trompeurs des modèles d'IA. Pour se conformer, les laboratoires auront besoin de nouvelles méthodes de test qui signalent lorsque les systèmes tentent de tromper leurs utilisateurs. Attendez-vous à ce que les évaluations de « modèles menteurs » rejoignent la résistance aux "jailbreaks" (contournements de sécurité) comme référence standard dans l'industrie.
Que va-t-il se passer ensuite ?
Le premier véritable test aura lieu plus tard cette année ou début 2026 lorsque les entreprises publieront leurs cadres de sécurité. Les observateurs suivront cela de près : s'agit-il de véritables garde-fous ou d'un simple théâtre de conformité ?
Les premiers rapports d'incidents – impliquant probablement des tentatives de piratage assistées par l'IA plutôt que des scénarios apocalyptiques – donneront également le ton pour l'application de la loi. Les régulateurs californiens devront montrer s'ils sont sérieux concernant les sanctions ou s'ils sont prêts à faire preuve de souplesse envers les entreprises.
Pendant ce temps, tous les regards se tournent vers New York. Si la gouverneure Hochul signe le projet de loi de son État, les entreprises pourraient commencer à isoler certaines fonctionnalités dans certaines régions ou, inversement, à faire pression pour des normes harmonisées afin de réduire les coûts. Quoi qu'il en soit, la pression augmentera pour que les législateurs fédéraux agissent.
Pour l'instant, les investissements judicieux se dirigent vers les entreprises qui développent des outils de sécurité, d'audit et de gouvernance de l'IA. Les entreprises s'appuyant sur des modèles de pointe sans garanties documentées pourraient avoir du mal à obtenir des contrats d'entreprise.
Le contexte politique
Ne vous y trompez pas : il ne s'agissait pas seulement de l'IA. Alors que Kamala Harris se retire de la course à la présidentielle de 2028, Newsom se trouve en tête des premiers sondages pour la primaire démocrate. Sa capacité à revendiquer le statut de « premier acteur » en matière de réglementation de l'IA lui offre un argument de poids sur la scène nationale.
Présenter la SB 53 comme un équilibre prudent entre innovation et protection lui permet de séduire les modérés tout en signalant qu'il est prêt à maîtriser la Silicon Valley. Bien sûr, cette décision comporte des risques. Les critiques pourraient la présenter comme une réglementation à moitié achevée ou, inversement, comme une ingérence excessive qui étouffe la croissance.
Pour l'instant, cependant, Newsom s'est forgé une identité claire : le Démocrate qui a mis la Silicon Valley en demeure. Dans un climat politique de plus en plus sceptique à l'égard des géants de la technologie, cela pourrait s'avérer être un atout gagnant.
CECI N'EST PAS UN CONSEIL EN INVESTISSEMENT