Le 17 mai 2024, le gouverneur du Colorado Jared Polis a signé le Senate Bill 24-205, le Colorado Artificial Intelligence Act, faisant du Colorado le premier État américain à adopter une législation transversale, tous secteurs confondus, sur l’usage de l’intelligence artificielle dans les décisions à fort enjeu. Un amendement de mai 2026 (signé par le gouverneur Polis le 14 mai 2026) a ensuite reporté la date d’application au 1er janvier 2027 et nettement resserré la loi, et pour toute organisation qui développe ou déploie des systèmes d’IA touchant des résidents du Colorado, le compte à rebours de la conformité a déjà commencé.
Mais le Colorado n’agit pas seul. Aux États-Unis, une vague de législations d’États sur l’IA refaçonne l’environnement réglementaire. Des exigences californiennes de sûreté des modèles de frontière aux restrictions de l’Illinois sur l’IA dans les entretiens vidéo, les entreprises qui opèrent à l’échelle nationale font désormais face à une mosaïque d’obligations d’IA qui se recoupent, et parfois se contredisent, d’une complexité comparable à celle que les organisations européennes rencontrent au titre du règlement sur l’IA.
Ce guide détaille le Colorado SB 205, le paysage plus large de la régulation d’États américaine sur l’IA, et les étapes concrètes pour construire un programme de conformité qui tienne sur plusieurs juridictions. Si vous opérez à la fois aux États-Unis et dans l’Union, voir notre comparaison mondiale de la régulation de l’IA.
L’essentiel, les points à retenir
- Le Colorado SB 24-205 est la loi d’État américaine sur l’IA la plus complète, mais un amendement de mai 2026 a reporté sa date d’application au 1er janvier 2027 et resserré son champ. Il s’applique à toute entité qui développe ou déploie des « systèmes d’IA à haut risque » qui prennent, ou influencent de façon substantielle, des « décisions lourdes de conséquences » concernant des résidents du Colorado.
- Huit domaines sont couverts : l’emploi, le crédit, le logement, l’assurance, la santé, l’éducation, les services publics et les services juridiques. Si votre système d’IA opère dans l’un de ces domaines, vous êtes dans le champ.
- Les développeurs doivent documenter les données d’entraînement, divulguer les risques de discrimination connus, signaler les vulnérabilités découvertes aux déployeurs et au procureur général du Colorado dans les 90 jours, et publier une déclaration publique sur chaque système à haut risque.
- Les déployeurs, après l’amendement de mai 2026, font face à un jeu resserré d’obligations centré sur la divulgation des technologies de prise de décision automatisée (ADMT) : un avis avant usage indiquant qu’une IA est utilisée, une information après issue défavorable expliquant le rôle de l’IA, et un jeu limité de droits pour les consommateurs. Le devoir de diligence, le programme de gestion des risques et les analyses d’impact annuelles du texte d’origine ont été retirés par l’amendement.
- Le moyen de défense affirmatif d’origine a été retiré. Le texte de 2024 permettait d’écarter la responsabilité en suivant le NIST AI RMF et l’ISO 42001 (ou des cadres substantiellement équivalents). L’amendement de mai 2026 a supprimé ce bouclier statutaire. Le NIST AI RMF et l’ISO 42001 restent l’ossature pratique la plus utile, y compris pour la double conformité avec le règlement sur l’IA, mais ils ne sont plus un moyen de défense codifié au Colorado.
- Les sanctions atteignent 20 000 USD par manquement (jusqu’à 50 000 USD pour les manquements touchant des personnes âgées de 60 ans ou plus), exclusivement à l’initiative du procureur général du Colorado : il n’y a pas de droit d’action privée.
- Le Colorado n’est pas seul. Plus de 700 projets de loi liés à l’IA ont été déposés dans les législatures d’États américaines rien que lors des sessions 2024-2025, la Californie, New York, l’Illinois, le Texas et le Connecticut figurant parmi les plus actifs.
- Stratégie concrète : construisez votre programme de conformité jusqu’au règlement sur l’IA, dénominateur commun le plus élevé, puis superposez les exigences du Colorado sur l’information des consommateurs et le signalement au procureur général. Servez-vous de l’ISO 42001 et du NIST AI RMF comme ossature opérationnelle.
Le paysage de la régulation d’États américaine sur l’IA en 2026
Pas de loi fédérale complète sur l’IA
Malgré des années d’auditions au Congrès et plusieurs avant-projets, les États-Unis n’ont toujours pas, à la mi-2026, de loi fédérale complète sur l’IA. L’Executive Order 14110 de l’ère Biden (octobre 2023) établissait des devoirs d’information pour les développeurs d’IA de frontière, mais les ordres exécutifs n’ont pas force de loi, et des dispositions clés ont été abrogées début 2025.
La régulation fédérale de l’IA reste sectorielle : la FDA régit l’IA dans les dispositifs médicaux, l’EEOC applique le Title VII à la discrimination algorithmique à l’embauche, et la FTC se sert de son autorité au titre de la section 5 contre les pratiques d’IA trompeuses. Il n’existe ni organe fédéral unique, ni jeu unique de règles, qui s’applique horizontalement à tous les cas d’usage d’IA.
Les États comblent le vide
En l’absence d’action fédérale, les législatures d’États sont intervenues avec force. Plus de 700 projets de loi liés à l’IA ont été déposés dans 45 États pendant les sessions 2024-2025. Beaucoup traitent de questions étroites, contenus d’hypertrucage électoraux, achats publics, mais un nombre croissant impose des obligations larges, transversales, de gouvernance de l’IA aux développeurs et déployeurs du secteur privé.
La plus significative est le Colorado SB 24-205, mais elle s’inscrit dans un écosystème qui évolue vite, et qui comprend :
- California SB 53, essais de sûreté et information pour les modèles d’IA de frontière
- New York RAISE Act, proposition de responsabilisation complète de l’IA
- Illinois AI Video Interview Act (AIVIRA), consentement et information pour les entretiens d’embauche analysés par IA
- Connecticut SB 2, transparence et responsabilisation de l’IA (signé en mai 2024)
- Texas TRAIGA (HB 149), Responsible AI Governance Act, signé et applicable au 1er janvier 2026 (contrôle par le seul procureur général, délai de régularisation de 60 jours)
- Utah AI Policy Act (SB 149), gouvernance de l’IA et devoirs d’information (signé en mars 2024)
Le défi de la mosaïque de conformité
Pour les organisations qui opèrent à l’échelle nationale, cette mosaïque crée une charge de conformité multipliée : des champs qui se recoupent (un seul outil d’embauche par IA peut déclencher à la fois le Colorado SB 205, l’AIVIRA de l’Illinois et les orientations de l’EEOC), des définitions incohérentes de « haut risque » et de « discrimination algorithmique », des mécanismes de contrôle différents, et des exigences qui changent vite. L’implication concrète : construire selon le standard le plus strict est la stratégie la plus efficace. Pour la plupart des organisations, cela signifie prendre le règlement sur l’IA comme plafond de conformité et cartographier les exigences d’États comme addenda locaux.
Votre système d’IA est-il à haut risque ?
Découvrez-le en 2 minutes, gratuitement, sans inscription.
Faire l’évaluation gratuiteColorado SB 24-205, la loi d’État américaine sur l’IA la plus complète
Le Colorado SB 24-205, codifié à C.R.S. § 6-1-1701 et seq., représente la tentative la plus ambitieuse, par un État américain, de réguler l’IA tous secteurs confondus. Contrairement aux lois d’États plus étroites qui visent des cas d’usage précis (algorithmes d’embauche, souscription d’assurance), la loi du Colorado s’applique horizontalement à tout système d’IA qui prend, ou influence de façon substantielle, des « décisions lourdes de conséquences ».
Date d’application : 1er janvier 2027
La loi a été signée le 17 mai 2024, mais un amendement de mai 2026 (signé par le gouverneur Polis le 14 mai 2026) a reporté la date d’application au 1er janvier 2027 et resserré le champ du texte, surtout en retirant le devoir de diligence du déployeur, le programme de gestion des risques et les analyses d’impact, pour recentrer la loi sur la divulgation des technologies de prise de décision automatisée (ADMT). Le bureau du procureur général du Colorado publiera des orientations complémentaires avant la date d’application, mais les organisations ne devraient pas attendre : les exigences statutaires sont déjà assez claires pour agir maintenant.
Champ : les « décisions lourdes de conséquences » dans huit domaines
Le SB 205 s’applique aux « high-risk artificial intelligence systems », définis comme tout système d’IA qui, une fois déployé, prend ou est un facteur substantiel dans une « consequential decision » concernant un consommateur. La loi définit la « consequential decision » comme une décision qui a un effet juridique matériel, ou d’une importance comparable, sur l’accès d’un consommateur à des services ou des opportunités, ou sur leur coût, leurs conditions ou leur disponibilité, dans l’un des huit domaines suivants.
Les huit domaines de décisions lourdes de conséquences
La largeur de ces domaines signifie que la plupart des applications d’IA d’entreprise sont dans le champ si elles touchent des résidents du Colorado. Un système de suivi des candidatures assisté par IA, un modèle de notation de crédit, un algorithme de tarification d’assurance ou un outil d’aide à la décision clinique entreraient tous dans la portée du texte.
La discrimination algorithmique, définie
Au centre du SB 205 se trouve la notion de « algorithmic discrimination », définie comme toute situation dans laquelle l’usage d’un système d’IA entraîne un traitement ou un impact différentiel illicite qui défavorise une personne ou un groupe de personnes sur la base d’une ou plusieurs caractéristiques protégées.
Cette définition compte, parce qu’elle rattache explicitement le Colorado AI Act au droit existant de la non-discrimination, plutôt que de créer un standard inédit. Si le traitement différentiel serait illicite au titre du Title VII, du Fair Housing Act, de l’Equal Credit Opportunity Act, ou de l’Anti-Discrimination Act du Colorado lui-même (C.R.S. § 24-34-301 et seq.), alors il constitue aussi une discrimination algorithmique au titre du SB 205.
Pour l’orientation sur les essais de biais et de discrimination de vos systèmes d’IA, voir notre guide des essais de biais et d’équité de l’IA.
Caractéristiques protégées couvertes
Le SB 205 couvre un large jeu de caractéristiques protégées, dont :
- La race, la couleur, l’ethnicité et l’origine nationale
- Le sexe, l’identité de genre et l’orientation sexuelle
- La religion et la conviction
- Le handicap (physique et mental)
- L’âge (avec des sanctions renforcées en cas de préjudice pour les personnes de 60 ans et plus)
- Le statut d’ancien combattant
- La situation familiale
- Les informations génétiques
Cette liste est nettement plus large que ce que couvrent certaines lois fédérales de non-discrimination dans un seul domaine, et s’aligne de près sur les caractéristiques protégées reconnues au titre des dispositions du règlement sur l’IA relatives aux systèmes à haut risque.
Obligations des développeurs au titre du Colorado SB 205
Le SB 205 distingue les « developers » (entités qui conçoivent, codent ou modifient de façon substantielle un système d’IA) et les « deployers » (entités qui se servent d’un système d’IA pour prendre ou éclairer des décisions lourdes de conséquences). Cela fait écho à la distinction fournisseur / déployeur du règlement sur l’IA, même si les obligations précises diffèrent.
Les développeurs de systèmes d’IA à haut risque portent quatre catégories premières d’obligations au titre du SB 205.
1. Documentation et information des déployeurs
Les développeurs doivent fournir aux déployeurs une documentation raisonnablement suffisante pour leur permettre de comprendre et de satisfaire leurs propres obligations. Cette documentation doit comprendre :
- Une description générale des types de systèmes d’IA à haut risque que le développeur met à disposition, ainsi que des usages bénéfiques connus et des risques prévisibles de ces systèmes.
- Un résumé de haut niveau des données d’entraînement utilisées pour développer le système, y compris les types et les sources de données.
- Les limites connues ou raisonnablement prévisibles du système, y compris les circonstances connues dans lesquelles le système peut produire des sorties inexactes, peu fiables ou discriminatoires.
- Une description des types de données que le système traite en entrée et des sorties qu’il génère.
- La documentation de toute évaluation menée pour apprécier la performance du système, y compris tout essai de discrimination algorithmique au regard des caractéristiques protégées couvertes par la loi.
Cette exigence impose en pratique aux développeurs de créer et de tenir une documentation technique analogue à ce que le règlement sur l’IA exige au titre de l’annexe IV, même si les exigences du Colorado sont un peu moins prescriptives sur la forme.
2. Divulgation des risques de discrimination connus
Si un développeur découvre, ou reçoit un signalement crédible, qu’un système d’IA à haut risque qu’il a développé a causé, ou est raisonnablement susceptible de causer, une discrimination algorithmique, le développeur doit divulguer cette information :
- au procureur général du Colorado
- à tous les déployeurs connus du système
Cette divulgation doit intervenir dans les 90 jours de la découverte. Le délai de 90 jours commence lorsque le développeur a une « connaissance effective » ou « aurait raisonnablement dû savoir » le risque de discrimination, un standard qui pousse à une surveillance proactive plutôt qu’à l’ignorance délibérée.
3. Déclaration publique sur les systèmes à haut risque
Les développeurs doivent rendre publiquement disponible, sur leur site ou par un autre moyen facilement accessible, une déclaration décrivant :
- Les types de systèmes d’IA à haut risque qu’ils ont développés ou intentionnellement et substantiellement modifiés.
- Comment ces systèmes gèrent les risques connus ou raisonnablement prévisibles de discrimination algorithmique.
Cette exigence de transparence publique va au-delà de ce que la plupart des lois américaines demandent, et se compare aux obligations de transparence au titre de l’article 50 du règlement sur l’IA.
Modifié en mai 2026. Le texte d’origine établissait un devoir de diligence général, exigeant des développeurs qu’ils fassent preuve d’une « diligence raisonnable » pour protéger les consommateurs contre les risques connus ou raisonnablement prévisibles de discrimination algorithmique. L’amendement de mai 2026 a retiré cette exigence de devoir de diligence, recentrant le texte vers la divulgation des technologies de prise de décision automatisée (ADMT) plutôt que vers un standard affirmatif de diligence raisonnable. Les développeurs doivent toutefois continuer à suivre les obligations de documentation et de divulgation ci-dessus, qui restent les exigences opérantes en vue de la date d’application du 1er janvier 2027.
Obligations des déployeurs au titre du Colorado SB 205
Les déployeurs, les organisations qui se servent réellement de systèmes d’IA à haut risque pour prendre ou influencer de façon substantielle des décisions lourdes de conséquences, faisaient à l’origine face au jeu d’obligations le plus détaillé et le plus exigeant du SB 205. L’amendement de mai 2026 a nettement resserré ces obligations, recentrant la loi sur la divulgation des technologies de prise de décision automatisée (ADMT) et retirant le programme de gestion des risques et les analyses d’impact annuelles qui définissaient le texte d’origine de 2024.
Ce que l’amendement de mai 2026 a retiré. Au titre du texte d’origine, chaque déployeur devait mettre en œuvre une politique de gestion des risques (raisonnablement conçue pour identifier et atténuer le risque de discrimination algorithmique) et achever des analyses d’impact annuelles pour chaque système à haut risque, avant déploiement, mises à jour chaque année, et conservées trois ans. L’amendement de mai 2026 a retiré les deux exigences, ainsi que le devoir de diligence du déployeur. Les déployeurs n’ont plus à dresser un programme formel de gestion des risques ni un cycle annuel d’analyse d’impact du type FRIA pour se conformer à la loi du Colorado.
1. Avis ADMT avant usage
Après l’amendement, l’obligation centrale qui survit est la divulgation. Avant qu’un déployeur se serve d’une technologie de prise de décision automatisée dans une décision lourde de conséquences, il doit fournir au consommateur un avis avant usage indiquant qu’un système d’IA sera utilisé pour prendre la décision ou l’influencer de façon substantielle. C’est une exigence de transparence, pas un mandat substantiel de gestion des risques.
2. Information après issue défavorable et droits des consommateurs
Lorsqu’un déployeur se sert d’un système d’IA pour prendre ou influencer de façon substantielle une décision lourde de conséquences défavorable à un consommateur, le déployeur doit, après la décision, fournir :
- Une déclaration indiquant qu’un système d’IA a été utilisé pour prendre la décision ou l’influencer de façon substantielle.
- Une description du rôle du système d’IA dans la décision, en langage clair.
- Des coordonnées du déployeur, pour que le consommateur puisse demander plus d’informations.
- Une possibilité de corriger toute donnée à caractère personnel inexacte que le système d’IA a traitée.
- Une possibilité de faire appel de la décision défavorable et d’obtenir une revue humaine.
Ces informations après issue défavorable et le jeu limité de droits des consommateurs (correction et appel) sont les exigences opérantes tournées vers les personnes, après l’amendement. Les déployeurs devraient les intégrer aux processus de décision déjà exposés aux clients.
3. Signalement au procureur général
Si un déployeur découvre qu’un système d’IA à haut risque dont il se sert a causé une discrimination algorithmique, il doit en informer le procureur général du Colorado dans les 90 jours de la découverte. Le signalement doit indiquer la nature de la discrimination, le système en cause, le nombre de consommateurs touchés (s’il est connu), et les mesures prises pour atténuer le préjudice.
NIST, ISO 42001 et le moyen de défense (retiré en mai 2026)
L’une des dispositions les plus notables du SB 205 d’origine était son moyen de défense affirmatif, un mécanisme juridique qui permettait aux développeurs et aux déployeurs d’écarter leur responsabilité s’ils démontraient qu’ils avaient suivi des cadres reconnus de gouvernance de l’IA. L’amendement de mai 2026 a retiré ce moyen de défense statutaire. Le NIST AI RMF et l’ISO/IEC 42001 ne sont plus un bouclier codifié au Colorado. Ils restent néanmoins l’ossature pratique la plus utile pour documenter, divulguer, découvrir et soigner les écarts, et pour tenir une double conformité avec le règlement sur l’IA.
Ce que le texte d’origine exigeait
Pour invoquer le moyen de défense, une organisation devait prouver trois choses :
-
Alignement sur un cadre : l’organisation avait adopté et respecté le cadre de gestion des risques de l’IA du NIST (AI RMF 1.0) et l’ISO/IEC 42001:2023 (la norme internationale de système de management de l’IA), ou des cadres substantiellement équivalents en rigueur et en portée.
-
Processus de découverte et de correction : l’organisation avait mis en œuvre un processus pour découvrir et corriger tout manquement à la loi, y compris une surveillance et des essais continus de discrimination algorithmique.
-
Remédiation de bonne foi : lorsqu’un manquement était découvert par ce processus, l’organisation avait pris une action corrective rapide et raisonnable pour y remédier.
Ce que cela signifie en pratique, aujourd’hui
Le moyen de défense n’est plus un abri statutaire au Colorado : il n’immunise plus les organisations, même après une action du procureur général. Pour autant, les organisations qui investissent dans une gouvernance structurée de l’IA gardent une position juridiquement défendable si des problèmes surviennent, au Colorado comme ailleurs, parce que la même ossature nourrit la documentation, la divulgation ADMT et la revue humaine que la loi amendée exige encore.
Pour les organisations qui construisent un programme de conformité depuis zéro, le NIST et l’ISO 42001 fournissent encore un plan clair :
- Mettre en œuvre le NIST AI RMF, cartographier vos systèmes d’IA à travers les quatre fonctions centrales : Govern, Map, Measure et Manage. Voir notre guide de cadre de gouvernance de l’IA pour un parcours pas à pas.
- Certifier selon l’ISO 42001, ou en mettre en œuvre les exigences sur le fond, même sans certification formelle. Notre guide de certification ISO 42001 couvre le processus en détail.
- Établir une surveillance continue, déployer des essais de biais, une détection de dérive et des audits d’équité, de façon continue ou périodique. Voir notre guide des essais de biais pour les méthodes.
- Documenter les efforts de remédiation, lorsqu’un écart est trouvé, consigner le constat, l’analyse de cause, l’action corrective et le résultat. Cette piste écrite est ce qui rend une défense crédible, même hors bouclier statutaire du Colorado.
Pour les organisations qui poursuivent déjà la conformité au règlement sur l’IA, le recoupement est important : les normes harmonisées de l’Union s’appuient fortement sur l’ISO 42001 et s’alignent sur les principes du NIST AI RMF. Construire un seul cadre de gouvernance pour satisfaire les deux régimes reste l’approche recommandée.
Sanctions et contrôle
Structure des amendes
Le procureur général du Colorado peut engager des actions civiles pour manquement au SB 205, avec des sanctions structurées comme suit :
Chaque consommateur touché compte comme un manquement distinct, ce qui signifie qu’un seul système d’IA discriminatoire déployé à grande échelle peut générer une exposition de plusieurs millions de dollars.
Contrôle exclusif du procureur général
De façon critique, le SB 205 ne crée pas de droit d’action privée. Les consommateurs ne peuvent pas poursuivre directement les développeurs ou les déployeurs au titre du Colorado AI Act. Le pouvoir de contrôle repose exclusivement sur le procureur général du Colorado, qui peut enquêter sur des manquements possibles, émettre des demandes d’enquête civile, et déposer des actions devant les tribunaux de l’État.
Si cela signifie que les procès individuels ne sont pas un risque direct, une action du procureur général porte un risque réputationnel important et peut aboutir à des accords homologués par le tribunal et à des programmes de conformité imposés.
Exonération partielle des PME
Le SB 205 prévoit une exonération partielle pour les petites et moyennes entreprises. Les organisations de moins de 50 salariés à temps plein sont exonérées de certaines exigences. L’amendement de mai 2026 ayant déjà retiré, pour tout le monde, les analyses d’impact annuelles et les politiques de gestion des risques, l’effet pratique est que les PME restent soumises à l’interdiction centrale de discrimination algorithmique et aux exigences de divulgation ADMT.
Les déployeurs PME doivent encore :
- Fournir une information au consommateur pour les décisions défavorables influencées par l’IA
- Signaler au procureur général, dans les 90 jours, toute discrimination algorithmique connue
- S’abstenir de se servir de systèmes d’IA d’une manière qui cause une discrimination illicite
Pour les jeunes pousses et les plus petites entreprises qui naviguent plus largement la conformité IA, voir notre guide de conformité au règlement sur l’IA pour les jeunes pousses et les PME pour des stratégies complémentaires.
Autres lois d’États américaines clés sur l’IA
Si le Colorado SB 205 est le plus complet, plusieurs autres États ont adopté, ou font avancer, une législation significative sur l’IA que les organisations doivent suivre.
California SB 53, essais de sûreté et rapports pour l’IA de frontière
Le California SB 53, le Transparency in Frontier Artificial Intelligence Act (TFAIA), signé en septembre 2025 et applicable au 1er janvier 2026, vise les modèles d’IA de frontière, de grands modèles dont les capacités dépassent des seuils de calcul définis. La loi exige des développeurs des modèles couverts qu’ils mènent des essais de sûreté avant déploiement (y compris des essais contradictoires sur des scénarios de risque catastrophique), publient des rapports de sûreté, mettent en œuvre des mécanismes d’arrêt d’urgence pour un arrêt rapide, et tiennent des processus de signalement d’incidents. Le procureur général de Californie peut poursuivre des sanctions civiles jusqu’à 1 million de dollars par manquement. Le SB 53 est plus étroit que le Colorado SB 205 : il s’applique seulement aux développeurs de modèles de frontière, pas aux déployeurs, mais l’influence de la Californie sur l’industrie technologique signifie que ses exigences ont des chances de devenir des standards nationaux de fait.
New York RAISE Act
Le Responsible AI Safety and Education (RAISE) Act de New York est une proposition de loi complète de responsabilisation de l’IA qui établirait un registre d’IA de l’État, des analyses d’impact algorithmique avant déploiement, des droits d’information des consommateurs comparables à ceux du Colorado, et, de façon critique, un droit d’action privée permettant aux personnes de poursuivre directement. Début 2026, le RAISE Act reste en commission, mais s’il était adopté, son droit d’action privée en ferait la loi d’IA la plus favorable aux demandeurs du pays.
Illinois AI Video Interview Act (AIVIRA)
L’Illinois a bougé tôt avec l’Artificial Intelligence Video Interview Act (820 ILCS 42/), applicable au 1er janvier 2020. La loi exige des employeurs qui se servent de l’IA pour analyser des entretiens vidéo qu’ils informent chaque candidat, expliquent ce que l’IA évalue, obtiennent un consentement écrit, limitent la diffusion de la vidéo aux examinateurs qualifiés, et détruisent les enregistrements dans les 30 jours d’une demande du candidat. L’AIVIRA est étroitement centré sur les entretiens vidéo, mais il a établi le modèle des exigences de consentement et d’information que les lois d’États suivantes ont reprises.
Texas, Connecticut et autres textes émergents
Tableau comparatif : lois d’États américaines clés sur l’IA
Règlement sur l’IA et Colorado AI Act, comparaison
Pour les organisations soumises aux deux régimes, comprendre le recoupement et les divergences entre le règlement sur l’IA et le Colorado SB 205 est essentiel pour construire un programme de conformité unifié et efficace.
Comment se conformer aux deux à la fois
La bonne nouvelle, c’est qu’une organisation conforme au règlement sur l’IA satisfait déjà la majorité des exigences du Colorado SB 205. Les ajouts clés pour une double conformité sont :
-
Information du consommateur : les exigences de transparence du règlement sur l’IA (article 50) portent sur le fait de divulguer qu’une IA est utilisée, mais les exigences du Colorado sont plus prescriptives : vous devez divulguer le rôle de l’IA, fournir des coordonnées, et offrir un droit d’appel et de correction des données, précisément pour les décisions défavorables.
-
Signalement au procureur général : le règlement sur l’IA exige un signalement aux autorités nationales compétentes ; le Colorado exige un signalement séparé au procureur général de l’État dans les 90 jours. Intégrez cela à votre processus de réponse aux incidents comme une notification parallèle.
-
Alignement NIST AI RMF : si vous vous appuyez surtout sur les normes harmonisées de l’Union, cartographiez-les vers le NIST AI RMF. Ce n’est plus un moyen de défense statutaire au Colorado, mais cela reste l’ossature que les régulateurs américains reconnaissent, et cela sert la double conformité. Notre guide sur la construction d’un cadre de gouvernance de l’IA couvre la correspondance entre NIST, ISO 42001 et les exigences du règlement sur l’IA.
-
Harmonisation de la divulgation : le Colorado n’impose plus d’analyse d’impact autonome (retirée par l’amendement de mai 2026), donc la FRIA de l’Union reste votre artefact d’évaluation de référence. Réemployez-la pour porter l’avis ADMT avant usage du Colorado et les informations après issue défavorable, dans les huit domaines couverts. Voir notre guide FRIA pour le modèle de base.
Plan de mise en œuvre par étapes
Pour les organisations qui se préparent à la conformité au Colorado SB 205 d’ici la date d’application du 1er janvier 2027, le plan par phases suivant fournit une approche structurée. L’amendement de mai 2026 a retiré les obligations de politique de gestion des risques et d’analyse d’impact annuelle, donc le plan se centre désormais sur le cadrage, la divulgation ADMT et les processus tournés vers les consommateurs.
Phase 1 : découverte et cadrage (maintenant, premier semestre 2026)
- Inventorier tous les systèmes d’IA qui prennent ou influencent de façon substantielle des décisions concernant des résidents du Colorado. Voir notre guide d’inventaire des systèmes d’IA pour la méthode.
- Classer chaque système comme à haut risque (décision lourde de conséquences dans l’un des huit domaines) ou hors champ.
- Identifier votre rôle pour chaque système : développeur, déployeur, ou les deux.
- Cartographier les actifs de conformité existants, si vous avez une documentation du règlement sur l’IA, des correspondances NIST AI RMF, ou des certifications ISO 42001, recensez ce qui satisfait déjà les exigences du Colorado.
Phase 2 : gouvernance et rôles responsables (second semestre 2026)
- Désigner des rôles responsables, attribuer des personnes chargées de la gouvernance de l’IA, de la divulgation ADMT, du signalement au procureur général, et du traitement des droits des consommateurs.
- S’aligner sur le NIST AI RMF et l’ISO 42001 comme bonne pratique de gouvernance. Même si l’amendement a retiré l’exigence formelle de programme de gestion des risques, ces cadres restent l’ossature la plus efficace pour une conformité multi-juridictionnelle (y compris le règlement sur l’IA). Voir notre guide ISO 42001.
- Documenter votre posture de risque de discrimination, tenir les preuves d’essais et d’atténuation comme bonne pratique, même si les analyses d’impact annuelles ne sont plus imposées par la loi du Colorado.
Phase 3 : divulgation ADMT et essais (second semestre 2026)
- Construire les avis ADMT avant usage pour les systèmes qui prennent ou influencent de façon substantielle des décisions lourdes de conséquences concernant des résidents du Colorado.
- Mener des essais de discrimination algorithmique sur toutes les caractéristiques protégées. Documenter la méthode, les résultats et les mesures d’atténuation. Voir notre guide des essais de biais.
- Établir des calendriers de surveillance continue, définir une cadence de réessai proportionnée à votre exposition au risque.
Phase 4 : processus tournés vers les consommateurs (second semestre 2026)
- Intégrer l’information après issue défavorable dans chaque processus où l’IA prend ou influence de façon substantielle des décisions lourdes de conséquences défavorables.
- Mettre en œuvre des mécanismes d’appel et de revue humaine, faire en sorte que les consommateurs puissent contester les décisions défavorables influencées par l’IA et les faire revoir par un humain.
- Créer des processus de correction des données, les consommateurs doivent pouvoir corriger des données à caractère personnel inexactes utilisées par des systèmes d’IA.
Phase 5 : signalement et documentation (en continu à compter du 1er janvier 2027)
- Établir les procédures de signalement au procureur général, définir le processus interne pour identifier les incidents à signaler et déposer auprès du procureur général du Colorado dans les 90 jours.
- Publier les déclarations publiques (développeurs) sur les systèmes d’IA à haut risque et la gestion du risque de discrimination.
- Tenir les dossiers de divulgation et de remédiation, conserver la preuve des avis ADMT, du traitement des droits des consommateurs, et de toute action corrective.
Pour commencer vite : évaluez votre exposition au risque d’IA
Vous ne savez pas si vos systèmes d’IA tombent dans le champ du Colorado SB 205 ou du règlement sur l’IA ? Servez-vous de notre outil gratuit de classification des risques du règlement sur l’IA pour évaluer vos systèmes en moins de cinq minutes et obtenir un premier plan de conformité.
Questions fréquentes
Le Colorado SB 205 s’applique-t-il à mon entreprise si nous n’y sommes pas établis ?
Oui, si votre système d’IA prend ou influence de façon substantielle des décisions lourdes de conséquences concernant des résidents du Colorado. Comme beaucoup de textes de protection des consommateurs, le SB 205 s’applique selon le lieu du consommateur touché, pas selon le lieu de l’entreprise. Si vous déployez un outil d’embauche assisté par IA qui évalue des candidatures de résidents du Colorado, vous êtes un déployeur soumis au SB 205, que votre siège soit en Californie, à New York, ou ailleurs.
En quoi la « discrimination algorithmique » diffère-t-elle de la discrimination à l’emploi traditionnelle ?
Le standard juridique est le même : la discrimination doit être illicite au titre du droit existant de la non-discrimination. Ce que le SB 205 ajoute, c’est un cadre de divulgation et de transparence : développeurs et déployeurs doivent faire apparaître et divulguer l’usage de l’IA dans les décisions lourdes de conséquences. Depuis l’amendement de mai 2026, les devoirs opérants sont la divulgation ADMT (avis avant usage et information après issue défavorable), un jeu limité de droits des consommateurs, et le signalement au procureur général dans les 90 jours, un régime plus léger que le cycle d’analyse d’impact du texte d’origine.
Puis-je satisfaire les exigences du Colorado en me conformant au règlement sur l’IA ?
Pour l’essentiel, oui, mais pas entièrement. La conformité au règlement sur l’IA couvre la plupart des exigences de gouvernance, de documentation et de gestion des risques, et depuis que l’amendement de mai 2026 a resserré la loi du Colorado sur la divulgation ADMT, l’écart est plus étroit qu’autrefois. Les ajouts propres au Colorado à superposer sont : le format de divulgation ADMT (avis avant usage plus une information après issue défavorable, avec droits d’appel et de correction des données) et l’obligation de signalement au procureur général dans les 90 jours. Construisez-les par-dessus votre programme de l’Union. Voir notre liste de contrôle du règlement sur l’IA pour le cadre de base.
Qu’est-ce qui qualifie une décision lourde de conséquences « défavorable » ?
Le SB 205 ne fournit pas de définition exhaustive, mais l’intention législative est claire : une décision défavorable est une décision qui affecte négativement le consommateur, un prêt refusé, une candidature d’emploi rejetée, une prime d’assurance plus élevée, ou une prestation refusée. Dans le doute, penchez du côté de l’information : le coût de donner l’avis est minime au regard du risque de contrôle si vous ne le faites pas.
Les développeurs d’IA à code source ouvert ont-ils des obligations au titre du SB 205 ?
Potentiellement, oui. Les obligations de développeur du SB 205 s’appliquent aux entités qui « conçoivent, codent ou modifient de façon substantielle » des systèmes d’IA à haut risque. Si un développeur à code source ouvert crée un modèle spécifiquement destiné à des décisions lourdes de conséquences, par exemple un modèle de notation de crédit, les obligations de développeur s’appliquent. En revanche, le développeur d’un modèle à code source ouvert à usage général, non spécifiquement conçu pour des décisions lourdes de conséquences, a moins de chances d’être dans le champ. La distinction tourne sur l’usage prévu et la prévisibilité.
Comment le Colorado SB 205 interagit-il avec la régulation fédérale de l’IA ?
Le SB 205 prévoit explicitement qu’il ne préempte pas et ne limite aucune loi fédérale. Les agences fédérales gardent leur plein pouvoir de contrôle dans leurs domaines respectifs, ce qui signifie qu’un seul système d’IA peut être simultanément soumis au Colorado SB 205, à des régulations fédérales sectorielles, et à d’autres lois d’États. Cela renforce l’intérêt de construire un cadre unifié de gouvernance de l’IA qui satisfait le standard applicable le plus strict.
Prochaines étapes
Le Colorado AI Act marque un tournant dans la régulation américaine de l’IA : la première loi d’État transversale, tous secteurs confondus, qui impose des obligations détaillées de gouvernance, de transparence et de non-discrimination aux développeurs comme aux déployeurs d’IA. Même si l’amendement de mai 2026 a reporté la date d’application au 1er janvier 2027 et resserré la loi sur la divulgation ADMT, les organisations devraient agir maintenant pour :
- Auditer vos systèmes d’IA au regard des huit domaines de décisions lourdes de conséquences.
- Construire ou étendre votre cadre de gouvernance de l’IA autour du NIST AI RMF et de l’ISO 42001.
- Mener des essais de biais et en documenter les résultats.
- Mettre en œuvre des processus d’information et d’appel pour les décisions défavorables influencées par l’IA.
- Établir les circuits de signalement au procureur général pour les discriminations découvertes.
Les organisations qui se préparent tôt n’éviteront pas seulement le risque de contrôle : elles construiront le muscle de gouvernance nécessaire pour naviguer la mosaïque croissante des lois d’États américaines sur l’IA et le règlement sur l’IA.
Prêt à évaluer votre posture de conformité ? Commencez par notre outil gratuit d’évaluation des risques du règlement sur l’IA ou explorez notre liste de contrôle du règlement sur l’IA.
Cet article est fourni à titre d’information uniquement et ne constitue pas un avis juridique. Consultez un conseil juridique qualifié pour un avis propre à votre situation. Pour une perspective mondiale, voir notre guide Régulation de l’IA comparée : UE, États-Unis, Royaume-Uni, Chine.