Le 27 mars, la gouverneure de l'État de New York, Kathy Hochul, a officiellement signé la version révisée finale du RAISE Act, consacrant cette loi sous sa forme définitive.
Il s'agit de la première loi d'État américaine sur la sécurité de l'IA spécifiquement destinée aux développeurs de grands modèles d'IA. Date d'entrée en vigueur : 1er janvier 2027.
Ce n'est pas un projet, ce n'est pas un document de discussion, c'est une loi.
Qui est concerné et que réglemente-t-elle
Tout d'abord, le champ d'application. Le RAISE Act cible les développeurs de "modèles de pointe". Toute personne répondant à l'une des conditions suivantes est dans le viseur :
- Développeurs d'IA dont le chiffre d'affaires annuel dépasse 500 millions de dollars
- Entreprises développant ou exploitant des "modèles de pointe" dans l'État de New York
Les "modèles de pointe" sont définis selon la définition fédérale : systèmes d'IA à grande échelle capables de causer des dommages graves dans le monde réel, y compris l'assistance à des cyberattaques, le développement d'armes biologiques, la destruction d'infrastructures à grande échelle et d'autres scénarios.
Anthropic, OpenAI, Google DeepMind, Meta – toutes ces entreprises sont dans le viseur.
Trois exigences spécifiques :
Premièrement : Élaborer et divulguer publiquement des protocoles de sécurité écrits. Un document formel doit être divulgué, comprenant : des mesures spécifiques pour atténuer les risques de préjudices critiques, des mécanismes de protection de cybersécurité et des procédures de test pour évaluer si un modèle présente un "risque de préjudice déraisonnable".
Deuxièmement : Mettre en place des mécanismes de protection de cybersécurité. Ce n'est pas un slogan, mais l'exigence de mesures techniques concrètes et exécutables.
Troisièmement : Signaler les incidents de sécurité dans les 72 heures. Après la survenance d'un "incident de sécurité", celui-ci doit être signalé au procureur général de New York et aux agences concernées dans les 72 heures.
Quels sont les montants des amendes
- Première infraction : amende maximale de 1 million de dollars
- Infraction répétée : amende maximale de 3 millions de dollars
Pour Anthropic ou OpenAI, 3 millions de dollars, ce n'est pas énorme. Mais cette loi établit un précédent : les entreprises d'IA peuvent être sanctionnées par un gouvernement d'État pour des problèmes de conformité en matière de sécurité.
Le gouvernement fédéral va dans la direction opposée
Fait intéressant, alors que les États rivalisent pour légiférer, le niveau fédéral va dans la direction opposée.
En janvier de cette année, le ministère de la Justice a créé le Groupe de travail sur les litiges en matière d'IA (AI Litigation Task Force), dont l'une des missions est de contester les réglementations étatiques sur l'IA qui "interfèrent inconstitutionnellement avec le commerce interétatique". En d'autres termes, le gouvernement fédéral s'est réservé une carte, prête à utiliser la clause commerciale pour freiner la réglementation étatique à tout moment.
Ce n'est pas un accident, c'est une position politique. L'attitude fondamentale de l'administration Trump envers l'IA est de "laisser l'industrie fonctionner seule, ne pas laisser la réglementation étouffer l'innovation". Mais des États comme New York et la Californie poussent dans l'autre direction.
Ce conflit n'a actuellement pas de conclusion claire. La question de savoir si le RAISE Act sera pleinement mis en œuvre d'ici 2027 dépend encore des actions au niveau fédéral.
Que fait la Californie
À titre de comparaison, la Californie a mis en vigueur une loi sur la sécurité de l'IA en janvier de cette année, mais beaucoup plus conservatrice – elle offre principalement une protection juridique aux employés qui signalent des problèmes de sécurité de l'IA (protection des lanceurs d'alerte), sans imposer d'exigences de conformité directes aux développeurs.
La Californie a failli adopter le SB 1047 l'année dernière, qui était la version radicale : elle exigeait que les entreprises d'IA effectuent des évaluations de sécurité obligatoires avant de lancer un modèle. Mais Newsom a finalement opposé son veto, arguant que les "limites réglementaires étaient trop vagues".
Le RAISE Act est celui qui va le plus loin jusqu'à présent. Il ne protège pas les lanceurs d'alerte, mais impose directement des obligations de conformité aux développeurs.
En 2026, les États ont déjà soumis plus de 600 projets de loi liés à l'IA, et ce nombre continue d'augmenter.
Ce que les entreprises doivent faire d'ici janvier 2027
Le calendrier est clair :
- Loi finalisée : 27 mars 2026
- Date d'entrée en vigueur : 1er janvier 2027
- Environ 8 mois et demi restants
Points à préparer :
| Exigence | Contenu |
|---|---|
| Protocole de sécurité écrit | Élaborer et divulguer publiquement |
| Protection de cybersécurité | Mesures techniques concrètes et exécutables |
| Procédure de signalement d'incident | Notifier le procureur général de New York dans les 72 heures |
L'exigence de "divulgation publique des protocoles de sécurité" est nouvelle. Cela signifie que les mécanismes de sécurité de l'IA des entreprises de grands modèles auront un certain degré de visibilité externe – au moins au niveau documentaire. Pour les entreprises qui ont toujours considéré l'évaluation de la sécurité comme un processus interne, il s'agit d'une nouvelle exigence.
Le gouvernement fédéral interviendra-t-il ? Il est très probable qu'il essaie. Mais d'ici là, les règles de New York sont déjà inscrites dans la loi.
Sources de référence : Governor Hochul Signs Nation-Leading Legislation to Require AI Frameworks for AI Frontier Models (New York Governor's Office) ; New York Finalizes RAISE Act for Frontier AI Models; Law Takes Effect January 1, CocoLoop, 2027 (Wiley Rein / JDSupra) ; U.S. Tech Legislative & Regulatory Update – First Quarter 2026 (Global Policy Watch) ; New York Governor Signs Sweeping AI Safety Law: What Businesses Can Do in 2026 to Prepare For a New Era (Fisher Phillips)