Il y a quelques semaines, j’ai eu l’occasion d’être cité dans le Wall Street Journal au sujet des évolutions en matière de réglementation de l’IA au niveau fédéral.
Bien que le cadre fédéral évolue constamment, il reste essentiel de suivre les évolutions aux niveaux étatique et local, qui auront des répercussions importantes sur la manière dont votre organisation adopte l’IA, notamment les exigences visant à encadrer son utilisation par l’ensemble de vos collaborateurs afin d’éviter de lourdes sanctions civiles et pénales.
L’une des juridictions dans lesquelles nous nous sommes fortement impliqués est mon État d’origine, le Colorado. L’année dernière, j’ai pu travailler en étroite collaboration avec d’autres responsables du secteur technologique de l’État afin de tenter d’influer sur la loi du Colorado encadrant l’IA, connue sous le nom de projet de loi sénatorial (SB) 205.
À propos du projet de loi 205 du Sénat du Colorado
Le SB 205 du Colorado, loi emblématique de l’État en matière d’intelligence artificielle, a été promulgué par le gouverneur Jared Polis le 17 mai 2024. Le texte de loi impose aux entreprises qui utilisent l’IA (c’est-à-dire toute entreprise dont les utilisateurs ont accès à Internet) de mettre en place des mesures de contrôle visant à protéger les citoyens du Colorado. Les entreprises sont tenues de protéger les consommateurs contre les « risques raisonnablement prévisibles » liés à la possibilité que l’IA prenne, de manière discriminatoire ou biaisée, des décisions ayant une incidence sur eux. Cela signifie que toute entreprise exerçant ses activités dans l’État du Colorado doit informer l’ensemble des consommateurs de la manière dont ses employés utilisent l’IA, ainsi que des mesures de protection qu’elle a mises en place pour atténuer les risques liés à son utilisation de l’IA.
Bien qu’un amendement à la loi SB 205 ait été proposé lors de la dernière session législative (SB 318) afin de tenter d’alléger les obligations de conformité pesant sur les entreprises exerçant leurs activités dans le Colorado, il a été rejeté en commission. La législature du Colorado ne se réunissant à nouveau qu’en janvier 2026, il est peu probable que la loi SB 205 soit modifiée avant sa date d’entrée en vigueur actuelle, fixée au 1er février 2026. Les entreprises doivent donc être prêtes à s’y conformer d’ici cette date.
Ce que cela signifie pour les entreprises exerçant leurs activités dans le Colorado
En vertu de la loi SB 205, tout risque pour les consommateurs susceptible de découler de l’utilisation de l’IA par une organisation doit être signalé aux consommateurs et au procureur général du Colorado avant le déploiement. Les entreprises doivent se conformer aux dispositions de la loi SB 205 au plus tard le 1er février 2026, sous peine de faire l’objet de mesures coercitives de la part du bureau du procureur général du Colorado.
Heureusement, de nombreuses organisations technologiques du Colorado ont mené avec succès une action de lobbying commune afin que le SB 205 comporte des dispositions établissant une présomption réfragable de conformité lorsqu’une organisation met en œuvre des contrôles appropriés en matière d’IA. En mettant en place des programmes de gestion des risques comprenant des contrôles de gouvernance appropriés, les organisations bénéficient d’une présomption de conformité qui réduit considérablement leur charge de mise en conformité et leur exposition aux mesures coercitives.
Mon avis sur le projet de loi SB 205
J’ai eu l’occasion de témoigner devant le Sénat du Colorado lors de l’examen en commission du projet de loi SB 205. J’estimais que mon devoir premier était de veiller à ce que le texte lui-même n’impose pas de contraintes excessives susceptibles d’entraver l’innovation dans l’État du Colorado ou de faire obstacle à l’adoption de technologies essentielles permettant aux entreprises du Colorado de rester compétitives à l’ère de l’IA.
J’ai relevé dans le projet de loi SB 205 deux difficultés majeures qui auront une incidence sur les organisations exerçant leurs activités dans le Colorado. Malheureusement, elles n’ont pas été résolues avant son adoption :
- La définition d’un « système d’intelligence artificielle » est excessivement large, ce qui est préoccupant. Elle englobe tout système qui génère un résultat à partir d’une donnée d’entrée. Il pourrait s’agir d’une formule dans une feuille de calcul Excel, d’une équation algébrique ou même d’un grille-pain. Faute de pouvoir définir ce qui relève de l’« IA », les entreprises ne savent pas dans quels domaines appliquer les exigences de conformité prévues par le SB 205, ce qui alourdit la charge réglementaire et accroît les risques juridiques liés à la conformité.
- La définition d’un « système d’intelligence artificielle à haut risque » repose sur la manière dont un « système d’intelligence artificielle » est utilisé. L’utilisation d’un outil est souvent déterminée par son consommateur ou son utilisateur final, ou, dans le cadre de ce projet de loi, par le « déployeur ». Cela signifie que les employeurs sont désormais tenus d’encadrer la manière dont leurs employés utilisent tout outil fondé sur l’IA, de ChatGPT à Grammarly, que celui-ci ait été conçu ou non pour servir de solution d’IA « à haut risque ».
Se préparer aux exigences de conformité en matière d’IA, telles que celles de la loi SB 205, et bien plus encore
Même si nous espérons tous que les exigences de la loi SB 205 seront assouplies lors de la session législative de 2026, il est peu probable que cela se produise avant la date d’entrée en vigueur actuellement prévue, à savoir le 1er février 2026. Trente-sept États ont adopté des réglementations sur l’IA comportant des exigences similaires, auxquelles s’ajoutent le règlement européen sur l’IA ainsi que de nombreuses réglementations dans les régions Asie-Pacifique. Orrick propose une ressource exceptionnelle, l’AI Law Center, qui assure un suivi actif de ces réglementations.
Afin de rester en conformité avec la loi SB 205 et nombre de ces nouvelles réglementations, les organisations doivent déterminer comment elles comptent obtenir une visibilité sur l’utilisation des solutions d’IA par leurs employés et veiller à ce que les données des consommateurs relatives aux catégories protégées ne soient pas exposées aux modèles d’IA, qu’il s’agisse de ChatGPT, DeepSeek, Claude ou de leurs propres modèles déployés en interne, tels qu’AWS Bedrock, OpenAI sur Azure, etc.
Nous n’avons pas conçu Workforce AI Security, précédemment nommé SurepathAI, dans le but de faire appliquer une législation excessivement contraignante, et nous nous sommes activement opposés aux difficultés engendrées par la loi SB 205. Nous avons conçu Workforce AI Security pour protéger vos données les plus sensibles contre les tiers et vous aider à adopter l’IA à grande échelle et en toute sécurité dans l’ensemble de votre organisation. Toutefois, alors que les réglementations relatives à l’IA continuent de se multiplier, nous pouvons vous aider. F5 Workforce AI Security permet de gagner facilement en visibilité sur l’utilisation de l’IA et de faire évoluer les pratiques en la matière, afin que votre organisation puisse rester en conformité avec des réglementations telles que la loi SB 205, sans freiner l’adoption de solutions d’IA indispensables pour rester compétitif sur le marché actuel.
Avertissement: cet article ne constitue pas un avis juridique. Pour discuter des éventuelles implications juridiques de la loi SB 205 ou d’autres réglementations relatives à l’IA propres à votre entreprise, veuillez consulter votre propre conseiller juridique. Nous pouvons également vous orienter vers les experts de cabinets de premier plan avec lesquels nous collaborons sur les questions de gouvernance de l’IA.
À propos de l’auteur
Articles de blog associés
IA et cybersécurité
Découvrez comment l’IA et la cybersécurité fonctionnent de concert. Découvrez comment l’IA et le machine learning (ML) permettent à votre entreprise de rester sécurisée, efficace et prête à innover avec F5.
Suivre le rythme de l’innovation de pointe ne suffit pas à faire avancer l’entreprise : se préparer à la réglementation de l’IA
À mesure que la réglementation de l’IA évolue, réfléchissez aux mesures de protection que vous pouvez mettre en place dès maintenant.
Les contrôleurs de mise à disposition d’applications reviennent au cœur des priorités stratégiques
L’IA rebat les cartes de la livraison d’applications. Nirav Shah de F5 revient sur la nouvelle étude de Gartner® consacrée aux ADC et explique ce qu’elle implique pour les décisions des entreprises en matière d’infrastructure.
Ce que nos clients nous disent sur l’IA, le multicloud hybride et la sécurité des applications
Le nouveau vice-président senior du marketing produit de F5 explique les pressions liées à l’IA auxquelles sont confrontés les dirigeants d’entreprise et ce dont ils ont besoin pour renforcer leur organisation.
Cinq niveaux de cyberrésilience antifragile transforment les pratiques en résultats
Découvrez comment cinq niveaux de résilience antifragile transforment les perturbations en comportements adaptatifs qui limitent les défaillances et renforcent l’architecture multicloud hybride.
Optimiser les pipelines d’IA en éliminant les goulets d’étranglement dans les charges de travail modernes
À mesure que les charges de travail d’IA montent en puissance, les entreprises constatent des ralentissements provenant du pipeline de données en amont qui alimente le modèle d’IA. Voici comment F5 BIG-IP peut les aider.