La Californie a signé 13 lois sur l'IA en une journée. Le SB 1000 a supprimé le seuil du million d'utilisateurs.

Le 30 septembre, le cabinet du gouverneur Gavin Newsom a annoncé qu'il avait signé 13 projets de loi liés à l'IA portant sur les travailleurs, la santé, la transparence et les deepfakes, ainsi qu'un décret. Le plus important du lot pour quiconque développe de l'IA générative est le SB 1000, qui entre en vigueur immédiatement via une clause d'urgence.

Le SB 1000 ne lance pas un nouveau compte à rebours. Il modifie la loi californienne sur la transparence de l'IA, déjà en vigueur le 2 août. L'amendement change les personnes auxquelles cette loi s'applique.

Ce qui a changé

La définition de « fournisseur couvert » perd son seuil d'un million d'utilisateurs mensuels en moyenne. En vertu de l'ancienne loi, un développeur d'un système d'IA générative accessible au public ne devenait un fournisseur couvert qu'une fois ce seuil franchi. Le SB 1000 supprime entièrement ce seuil : un développeur d'un produit de génération d'images, d'audio ou de vidéo accessible au public et disponible pour les résidents de Californie est donc couvert, quel que soit le nombre d'utilisateurs.

Les services plus petits de génération d'images à partir de texte, de clonage vocal et de génération vidéo qui se trouvaient sous la barre du million d'utilisateurs dans le cadre précédent perdent cette position et acquièrent l'ensemble des obligations. Pour une catégorie de startups qui estimaient être trop petites pour être réglementées, cette hypothèse vient d'expirer.

La deuxième modification remplace l'obligation de fournir gratuitement un « outil de détection de l'IA » par celle d'offrir un « outil de vérification de la divulgation ». Il s'agit d'une exigence d'ingénierie sensiblement différente. La détection consiste à analyser un fichier a posteriori et à deviner s'il a été généré. La vérification consiste à donner à un utilisateur un outil qu'il peut appliquer à un fichier pour contrôler les signaux de provenance que le fournisseur y a intégrés au départ.

L'amendement couvre aussi les contenus qu'un système d'IA générative a modifiés de manière substantielle, en plus des contenus qu'il a générés de toutes pièces. Les fournisseurs qui ont construit des outils de détection sous l'ancienne loi doivent désormais passer d'une détection a posteriori de leurs propres résultats à un outil de vérification qu'un tiers peut utiliser.

Les petits caractères qui comptent

L'analyse de la commission de l'Assemblée sur la vie privée et la protection des consommateurs consigne plusieurs réserves. Les obligations de divulgation latente ne s'appliquent que dans la mesure où elles sont techniquement réalisables. Un fournisseur peut orienter les utilisateurs vers un outil de vérification tiers compatible au lieu de construire le sien. Une licence doit être révoquée dans les 72 heures suivant le moment où le fournisseur découvre qu'un titulaire de licence a supprimé la capacité de divulgation latente.

Il existe des exclusions pour les plateformes de jeux vidéo, de télévision, de streaming et de cinéma qui ne diffusent que des contenus que leurs utilisateurs n'ont pas générés. Les systèmes dont la fonction principale est la technologie d'assistance sont exemptés jusqu'au 1er janvier 2029, avec une pénalité de 50 000 $ par infraction en cas de fausse déclaration d'exemption. La pénalité générale reste à 5 000 $.

Cette asymétrie mérite d'être soulignée. Revendiquer une exemption à laquelle on n'a pas droit coûte dix fois plus cher qu'une violation ordinaire, ce qui suggère que les régulateurs s'attendent à ce que la frontière de l'exemption soit contestée.

Le reste du train de mesures

Deux projets de loi complémentaires signés le même jour prolongent le thème. L'AB 2713 interdit aux grandes plateformes en ligne, définies comme celles comptant plus de deux millions d'utilisateurs mensuels uniques, de supprimer sciemment les données de provenance système ou les signatures numériques lorsque cela est techniquement réalisable, à compter du 1er janvier 2027. Le SB 1111 intègre une réplique numérique à la voix ou à l'image d'une personne dans l'action civile californienne relative aux droits à l'image et fait de l'utilisation d'une telle réplique pour usurper l'identité de quelqu'un une forme de fausse usurpation d'identité en vertu d'un nouvel article du Code pénal.

Plus tôt en septembre, Newsom a signé le SB 813, qui établit un cadre pour les organismes de vérification indépendants chargés d'évaluer la conformité juridique des systèmes d'IA, et l'AB 1405, qui crée le premier cadre d'enregistrement de Californie pour les auditeurs d'IA. Ensemble, ils dessinent un écosystème formel d'évaluation de l'IA par des tiers.

Tout n'a pas survécu. Newsom a opposé son veto à l'AB 1542, au SB 903 et à l'AB 2575, invoquant des dispositions trop larges et des coûts de mise en œuvre. Il a rejeté le SB 903 en partie à cause de définitions imprécises qui auraient pu entraver le travail des professionnels de la psychothérapie. Sur l'AB 1542, qui aurait remplacé les protections renforcées du consentement pour les données personnelles sensibles par une interdiction catégorique, il a remis en question le fait de retirer entièrement les consommateurs du processus et a déclaré que les coûts de mise en œuvre n'avaient pas été pris en compte dans le budget de l'État.

Il y a aussi une question pratique de calendrier. Les obligations de transparence s'appliquent dès la mise à disposition, mais la fenêtre de révocation de 72 heures et les règles de provenance pour les grandes plateformes commencent à des dates différentes. Une équipe produit qui planifie un lancement doit suivre trois ou quatre dates d'entrée en vigueur en même temps, et les sanctions diffèrent selon la disposition. La clause d'urgence du SB 1000 rend la première d'entre elles immédiate, ce qui ne laisse aucun délai aux fournisseurs qui opéraient sous l'ancien seuil.

Le volet emploi du train de mesures

L'annonce du même jour couvrait plus que la transparence. Concernant les décisions en milieu de travail, le train de mesures indique que les employeurs ne peuvent pas se fier uniquement à l'IA pour la discipline ou le licenciement, et doivent divulguer lorsqu'un licenciement collectif, une relocalisation ou un licenciement est causé par un système d'IA. Les outils de surveillance en milieu de travail sont interdits dans les toilettes des lieux de travail. Ces dispositions côtoient le SB 947 et le SB 951, les projets de loi sur la décision automatisée et le déplacement technologique qui ont valu des éloges publics à la California Federation of Labor Unions.

En matière de santé, les médecins et prestataires agréés conservent leur jugement professionnel lorsque des outils d'IA ou d'aide à la décision clinique sont utilisés, et les développeurs d'outils d'aide à la décision clinique doivent prendre des mesures raisonnables pour réduire les biais connus ou prévisibles. L'AB 1979 et le SB 503 portent ce thème. Le train de mesures touche aussi la synthèse génétique, en exigeant des fabricants d'équipements et des prestataires qu'ils suivent des lignes directrices de sécurité, vérifient les clients et contrôlent le matériel génétique qu'ils envoient.

Chacun de ces domaines a son propre groupe sectoriel, sa propre pile de conformité et son propre calendrier. Une entreprise qui commercialise un outil d'aide à la décision clinique a désormais une obligation d'atténuation des biais, un fournisseur qui exploite un service de génération vidéo a une obligation de provenance, et un employeur qui utilise un filtrage automatisé a une obligation de divulgation. Le fil conducteur est que la Californie construit des obligations autour du déploiement, plutôt que d'attendre un cadre fédéral unique.

C'est le pari stratégique derrière ce volume. Avec une législation fédérale au point mort, les États sont devenus le lieu où les règles sur l'IA s'écrivent réellement, et la Californie compte désormais plus de mesures adoptées que tout autre État. Les entreprises qui opèrent à l'échelle nationale doivent anticiper l'État le plus strict qu'elles desservent, ce qui fait des choix californiens une politique nationale de facto pour de nombreux produits.

Ce que les développeurs doivent faire

Les conséquences pratiques relèvent de l'ingénierie et des contrats. Les équipes de distribution de modèles doivent retravailler les conditions de licence pour préserver la capacité de divulgation et définir ce qui se passe lorsqu'un titulaire de licence la supprime. Les équipes produit qui s'appuyaient sur un outil de détection ont désormais besoin d'un parcours de vérification, ce qui signifie généralement intégrer des signaux de provenance au moment de la génération plutôt que d'essayer de les déduire ensuite.

La suppression du seuil change aussi la planification. Une startup qui pensait ne pas être couverte avant d'atteindre un million d'utilisateurs doit désormais considérer la conformité comme une exigence de lancement, et non comme un jalon de passage à l'échelle. Les obligations s'appliquent dès la mise à disposition auprès des résidents de Californie.

La Californie compte désormais 21 mesures adoptées sur l'IA, plus que tout autre État. Le schéma qui traverse les projets de loi de la journée est constant : des obligations de transparence qui s'élargissent, la provenance traitée comme une propriété qui doit survivre à la distribution, et l'autorité de contrôle concentrée entre les mains des agences de l'État et du procureur général. Pour quiconque livre des images, de l'audio ou de la vidéo générés à des utilisateurs américains, l'État doté du recueil de règles le plus détaillé vient de le rendre encore plus détaillé.