27 lois sur l'IA (AI Laws) promulguées dans 14 États américains entre 2023 et 2025

Le paysage réglementaire de l'intelligence artificielle (Artificial Intelligence) aux États-Unis a connu un changement sismique entre 2023 et 2025. Selon les données du Future of Privacy Forum (FPF), les législateurs de 14 États ont promulgué 27 textes législatifs distincts liés à l'IA, signalant l'abandon des cadres théoriques larges au profit d'une réglementation ciblée à fort impact.

Depuis le début de l'année 2026, la majorité de ces lois sont désormais en vigueur, créant des obligations de conformité immédiates pour les développeurs, les déployeurs et les plateformes. Cette vague législative aborde des domaines critiques allant de la sécurité des modèles de pointe (Frontier Models) et des risques catastrophiques à la transparence des agents conversationnels (Chatbots) et à la distribution non consensuelle d'imagerie intime. Pour les professionnels et les entreprises de l'IA, la compréhension de ce patchwork d'exigences étatiques et fédérales n'est plus une question de planification future, mais une nécessité juridique actuelle.

Le passage à une réglementation sectorielle

En 2024, la tendance législative s'orientait fortement vers des lois complètes sur la confidentialité des données des consommateurs intégrant des composantes d'IA. Cependant, 2025 a marqué un pivot distinct vers des mesures plus étroites basées sur le risque. Les législatures d'États, en particulier en Californie et à New York, ont pris l'initiative de combler le vide réglementaire fédéral en ciblant des technologies et des cas d'utilisation spécifiques.

La session législative de 2025 a été définie par une concentration sur les « modèles de pointe » — des systèmes d'IA hautement performants entraînés avec une puissance de calcul massive — et les risques spécifiques associés à l'IA générative (Generative AI), tels que les deepfakes et la manipulation émotionnelle par les chatbots. Cette approche ciblée reflète un consensus croissant parmi les législateurs sur le fait que les différentes modalités d'IA nécessitent des garde-fous réglementaires distincts.

Réglementer les modèles de pointe et le risque catastrophique

Deux des réalisations législatives les plus significatives de 2025 ont été le projet de loi SB 53 de la Californie et la loi RAISE Act de New York. Ces deux lois établissent les premiers régimes de conformité substantiels pour les développeurs des systèmes d'IA les plus avancés, fixant une norme nationale de facto pour la gouvernance des modèles de pointe.

California SB 53 : La loi sur la transparence de l'IA de pointe (Transparency in Frontier AI Act)

Signée en septembre 2025, la loi SB 53 de Californie est le premier statut américain spécifiquement conçu pour traiter le « risque catastrophique » lié à l'IA. La loi s'applique aux « développeurs de pointe » créant des modèles entraînés avec plus de 10^26 opérations en virgule flottante (FLOPs) — un seuil actuellement atteint uniquement par les modèles de fondation les plus avancés.

Les dispositions clés incluent :

• Cadres de sécurité : Les développeurs doivent mettre en œuvre et publier des cadres de sécurité complets détaillant comment ils empêchent leurs modèles de causer des dommages critiques, tels que des événements faisant de nombreuses victimes ou des cyberattaques contre des infrastructures critiques.
• Mécanismes d'arrêt d'urgence (Kill Switch) : Bien que controversée, la loi impose la capacité d'un arrêt complet d'un modèle s'il échappe au contrôle.
• Protections des lanceurs d'alerte : Des protections étendues sont codifiées pour les employés qui signalent des préoccupations de sécurité concernant le développement de l'IA.

New York's RAISE Act

Suivant de près, New York a promulgué la loi RAISE Act (Responsible AI Safety and Education) en décembre 2025. Entrant en vigueur le 1er janvier 2027, la loi RAISE Act calque les seuils de calcul de la Californie (>10^26 FLOPs) mais introduit un bureau de surveillance dédié au sein du Département des services financiers.

La loi RAISE Act exige :

• Signalement des incidents sous 72 heures : Les développeurs doivent signaler les « incidents de sécurité » — tels qu'un accès non autorisé ou une mauvaise utilisation du modèle — aux autorités de l'État dans les 72 heures.
• Sanctions civiles : La loi habilite le procureur général à demander des pénalités allant jusqu'à 1 million de dollars pour les violations initiales et 3 millions de dollars pour les infractions ultérieures.

Protection des consommateurs et sécurité des chatbots

Au-delà des modèles fondamentaux, l'année 2025 a vu une augmentation des lois régulant l'interaction des utilisateurs avec l'IA, en particulier concernant les chatbots et les contenus synthétiques.

Transparence des chatbots
Cinq États — la Californie, le Maine, le New Hampshire, New York et l'Utah — ont promulgué des lois traitant spécifiquement des chatbots d'IA. Ces réglementations imposent une divulgation claire lorsqu'un utilisateur interagit avec un système d'IA. La « AI Companion Model Law » de New York et la SB 243 de Californie vont plus loin, en se concentrant sur les protections de santé mentale. Elles exigent que les opérateurs de chatbots « compagnons » mettent en œuvre des protocoles de sécurité pour détecter et atténuer la détresse des utilisateurs ou les idées suicidaires, reflétant les inquiétudes concernant l'impact émotionnel de l'IA anthropomorphe.

Le TAKE IT DOWN Act
Au niveau fédéral, le « TAKE IT DOWN Act », signé en mai 2025, représente une rare victoire bipartisane pour la réglementation de l'IA. Cette loi criminalise la création et la distribution d'imagerie intime non consensuelle (NCII), y compris les deepfakes générés par IA. Elle impose des obligations strictes de « notification et retrait » (notice-and-takedown) aux plateformes, les obligeant à supprimer le contenu contrefaisant dans les 48 heures suivant une demande valide, sous peine de sanctions par la FTC.

Calendriers de conformité clés

Bien que de nombreuses lois soient déjà en vigueur, plusieurs réglementations critiques ont des dates de mise en œuvre progressives que les entreprises doivent suivre.

Dates d'entrée en vigueur des principales législations sur l'IA

Implications pour les développeurs et entreprises d'IA

La promulgation de ces 27 lois crée un environnement de conformité complexe pour l'audience de développeurs et de chefs d'entreprise de Creati.ai. L'ère de l'autorégulation volontaire est effectivement terminée pour les systèmes d'IA à haut risque et de pointe.

1. La provenance est obligatoire
Avec l'entrée en vigueur complète de l'AI Transparency Act amendée de Californie (AB 853) en 2026 et 2027, les développeurs d'outils d'IA générative doivent intégrer des normes de tatouage numérique (watermarking) et de détection de provenance (telles que le C2PA) dans leurs systèmes. Les plateformes hébergeant du contenu IA seront légalement tenues de l'étiqueter, ce qui nécessitera une gestion robuste des métadonnées.

2. L'« effet Bruxelles » aux États-Unis
Tout comme le RGPD a fixé une norme mondiale pour la protection de la vie privée, l'alignement entre la Californie et New York sur le seuil de 10^26 FLOPs pour les modèles de pointe suggère l'émergence d'une norme nationale unifiée. Même les entreprises non basées dans ces États adopteront probablement ces cadres de sécurité pour garantir l'accès au marché, nationalisant de fait ces exigences au niveau des États.

3. Responsabilité pour l'utilisation en aval
Le TAKE IT DOWN Act et les lois sur les chatbots au niveau des États introduisent une responsabilité importante pour les plateformes qui hébergent du contenu généré par les utilisateurs. Les entreprises doivent moderniser leur infrastructure de modération de contenu pour traiter les demandes de retrait rapide et détecter les médias synthétiques, sous peine de responsabilité pénale fédérale et d'amendes civiles substantielles.

À mesure que l'année 2026 progresse, nous anticipons une activité législative accrue se concentrant sur les applications sectorielles dans la santé et l'emploi. Pour l'heure, la priorité des organisations d'IA est d'auditer leurs modèles actuels par rapport à ces nouvelles définitions statutaires des systèmes « de pointe » et « à haut risque » afin de s'assurer qu'elles ne soient pas prises au dépourvu par les dates d'entrée en vigueur qui se profilent au second semestre de l'année.