Le gouverneur de Californie, Gavin Newsom, a signé le 18 septembre un décret convoquant un groupe d'experts chargé de proposer, en deux mois, des orientations sur la façon dont l'État devrait renforcer ses lois sur la sécurité de l'intelligence artificielle.
Le décret énumère trois axes d'évaluation : imposer aux entreprises d'IA de pointe de se soumettre régulièrement à des audits de sécurité indépendants menés par des tiers ; rendre obligatoire le signalement des « incidents de perte de contrôle », lorsque des agents d'IA adoptent un comportement anormal ; et doter les modèles les plus avancés d'un « bouton d'arrêt », c'est-à-dire un mécanisme de coupure d'urgence. Ces trois mesures restent pour l'instant des options à l'étude, pas des obligations déjà en vigueur.
Ce que fait réellement ce décret
Il faut préciser la portée exacte du texte. Il ne crée aucune nouvelle obligation de conformité ; ce qu'il fait, c'est lancer un processus : il convoque des personnes, fixe un délai et délimite les sujets. Des règles réellement contraignantes devront venir soit d'une législation ultérieure portée par le groupe d'experts, soit de dispositions administratives dans le cadre légal existant. Le délai de deux mois signifie que les lignes directrices devraient apparaître avant la mi-novembre.
Dans une allocution vidéo, Newsom a déclaré : « La Californie fera tout ce qu'elle peut, mais tout le pays doit agir, Washington doit assumer sa part de responsabilité. » Il a présenté ce décret comme le socle minimal d'un cadre de sécurité. Son cabinet a employé un ton plus direct, affirmant que le gouvernement fédéral a « totalement échoué » à mettre en place une supervision et une responsabilisation significatives en matière d'IA.
"We will not sit idle—we will accelerate substantive, responsible AI regulation before it is too late."
En français : Nous ne resterons pas les bras croisés — nous accélérerons une régulation de l'IA substantielle et responsable avant qu'il ne soit trop tard.
Les étapes franchies par la Californie cette année
Pris avec du recul, ce n'est pas un geste isolé. Début septembre, la Californie avait déjà promulgué une loi créant un cadre d'agrément pour les organismes d'audit indépendants en IA ; l'exigence d'audit indépendant que ce décret veut évaluer prolonge directement cette ligne. Plus en amont, le débat législatif sur la divulgation de sécurité des modèles de pointe dure déjà depuis deux ans dans l'État, avec des projets de loi rejetés et d'autres adoptés après réduction de leur portée.
L'enchînement est clair : on établit d'abord le cadre d'agrément des auditeurs, puis on évalue la transformation de l'audit en obligation ; on exige d'abord la divulgation, puis on discute du signalement et de l'arrêt. Chaque étape va un peu plus loin que la précédente, aucune ne saute directement à la forme finale. Ce rythme laisse aux entreprises le temps de s'adapter, et donne aux opposants l'occasion de contester chaque point un par un.
Une contrainte de calendrier ne doit pas être négligée. Le mandat de gouverneur de Newsom s'achève le 4 janvier prochain. Le délai de deux mois tombe pendant son mandat, mais la suite du travail législatif reviendra très probablement à son successeur. Que ce décret devienne loi ne dépend pas uniquement de celui qui l'a signé.
Un contraste net avec la ligne fédérale
Le contexte est celui d'une absence d'action au niveau fédéral. Trump a rejeté les appels à un durcissement de la régulation et qualifié les inquiétudes sur la sécurité de l'IA de « supercherie » ; les chances de voir le Congrès faire avancer une loi nationale sur l'IA avant les élections de mi-mandat de 2026 sont faibles. La Californie se positionne à l'opposé — le même jour, le cabinet de Newsom a publiquement critiqué la Maison-Blanche et le Congrès pour leur inaction sur ce sujet.
La Californie a les moyens de le faire. La plupart des entreprises d'IA de pointe ont leur siège dans cet État, ce qui les soumet directement à la loi californienne, sans qu'elles puissent l'esquiver en déplaçant simplement leurs serveurs. Ces dernières années, les normes californiennes en matière de protection des données et de limites d'émissions sont plusieurs fois devenues de facto la norme nationale.
Mais ce qu'il s'agit d'encadrer ici est plus contraignant que des règles de confidentialité. Des audits indépendants réguliers signifient faire entrer des tiers dans le processus d'évaluation des modèles ; le signalement des incidents de perte de contrôle signifie que les entreprises devront livrer d'elles-mêmes les comportements anormaux de leurs propres systèmes ; et le bouton d'arrêt touche à l'architecture même du déploiement. La concrétisation de l'une ou l'autre de ces trois mesures provoquera des tensions au niveau des laboratoires.
Trois éléments à surveiller dans les deux mois à venir
Dans cette fenêtre de deux mois, trois éléments méritent d'être observés : la composition du groupe d'experts, le degré de précision de la définition d'un « incident de perte de contrôle », et la question de savoir si le bouton d'arrêt sera imposé comme obligation ou seulement recommandé.
Pour l'instant, aucune de ces trois questions n'a de réponse. Le décret propose une liste de sujets et un calendrier, pas des conclusions. Que les lignes directrices paraissent avant la mi-novembre, et sous quelle forme, constitue la prochaine étape vérifiable de ce dossier.
Sources : communiqué du bureau du gouverneur de Californie, Sing Tao Daily, CocoLoop, Sina Finance ; les trois axes d'évaluation du décret, le délai de deux mois et les déclarations de Newsom ont été vérifiés à partir des éléments diffusés par le bureau du gouverneur.