Colorado SB 189 : Ce que la Loi ADMT sur la Divulgation Signifie pour les Équipes Produit IA

Le Colorado Réinitialise sa Réglementation IA

La loi IA originale du Colorado — SB 205, adoptée en 2024 — était l’une des lois IA les plus ambitieuses au niveau des États américains jamais adoptée. Elle exigeait des programmes de gestion des risques, des évaluations d’impact annuelles et un large devoir de diligence. Elle a également suscité d’énormes résistances de l’industrie : les développeurs et déployeurs ont fait valoir que les exigences étaient techniquement prématurées, que les coûts de conformité étaient disproportionnés par rapport aux risques, et que le champ d’application de la loi était si vaste qu’il créait plus d’incertitude que de clarté.

SB 189 est la remise à zéro. Signée le 14 mai 2026, elle abroge et rétablit la loi IA du Colorado avec une philosophie fondamentalement différente : plutôt que d’exiger des entreprises qu’elles préviennent les dommages de l’IA grâce à des programmes de gouvernance avant que ces dommages ne surviennent, la nouvelle loi exige que les entreprises soient transparentes sur l’utilisation de l’IA et donnent aux consommateurs un recours après un résultat défavorable. Ce passage de la réglementation préventive à la réglementation corrective est le choix de conception central que les équipes produit doivent intérioriser.

La loi entre en vigueur le 1er janvier 2027 — donnant aux entreprises concernées environ sept mois pour intégrer l’infrastructure de conformité dans leurs flux de travail produit IA.

Ce que SB 189 couvre : Le Test de Portée

Tous les systèmes IA ne déclenchent pas SB 189. La loi s’applique aux « ADMT couvertes » — les Technologies de Prise de Décision Automatisée qui influencent de manière significative une décision conséquentielle concernant un individu.

Une décision est conséquentielle si elle concerne l’un de ces sept domaines :

1. Inscription à l’enseignement ou opportunité éducative
2. Emploi ou opportunité d’emploi
3. Location ou achat d’un bien immobilier résidentiel au Colorado
4. Services financiers ou de prêt
5. Assurance (souscription, tarification, couverture ou sinistres)
6. Services de soins de santé
7. Services gouvernementaux essentiels et prestations sociales

« Influence de manière significative » signifie que l’IA est une contribution significative à la décision — et non pas simplement un outil d’analyse en arrière-plan. Un modèle de notation de crédit qui détermine l’éligibilité à un prêt est clairement couvert. Un simple tableur ou un système de détection de fraude en cybersécurité est explicitement exclu. L’analyse SB 189 de Holland & Knight fournit des conseils supplémentaires sur la portée, notamment l’exclusion des services juridiques (que la loi précédente couvrait).

Ce que les Équipes Produit Doivent Construire avant le 1er Janvier 2027

1. Systèmes de Notification Préalable — Clairs et Visibles Avant Toute Décision Conséquentielle

Les déployeurs doivent fournir une notification « claire et bien visible » aux consommateurs avant qu’une ADMT couverte prenne ou influence de manière significative une décision conséquentielle. Cette notification doit indiquer que l’IA sera utilisée, décrire la nature de la décision et expliquer comment les consommateurs peuvent demander des informations supplémentaires.

En pratique : si votre plateforme utilise un modèle de notation de crédit avant d’approuver une demande de prêt, le consommateur doit recevoir une notification avant que le modèle ne s’exécute — et non dans une clause des conditions d’utilisation enfouie dans les petites lignes. Les équipes produit devraient traiter cela comme un nouvel élément d’interface utilisateur dans tout flux de décision conséquentielle, et non comme une clause de non-responsabilité juridique.

2. Flux de Travail d’Explication Post-Décision Défavorable — Délai de Livraison de 30 Jours

Lorsqu’une ADMT couverte entraîne un résultat défavorable pour un consommateur, le déployeur dispose de 30 jours pour fournir une explication en langage clair couvrant : quelle décision a été prise, le rôle de l’ADMT, quelles données ou catégories de données ont été utilisées, et comment le consommateur peut exercer ses droits. L’analyse SB 189 du Consumer Finance Monitor détaille le contenu obligatoire de ces notifications.

Cela nécessite que votre équipe d’ingénierie construise deux éléments : (a) un système de journalisation enregistrant quelle ADMT a pris quelle décision sur quel consommateur à quel moment, et (b) un flux de travail de génération d’explications capable de produire des avis d’action défavorable en langage clair pour toute décision stockée dans le délai de 30 jours. La conservation des dossiers sur trois ans est obligatoire.

3. Révision Humaine Significative — Réviseurs Formés avec Autorité de Dérogation

Les consommateurs ont le droit de demander une révision humaine significative suite à un résultat défavorable. La loi définit la révision humaine significative comme nécessitant un réviseur humain ayant une connaissance réelle du fonctionnement de l’ADMT, la capacité d’examiner la décision et une autorité de dérogation. Une révision-tampon effectuée par un agent d’assistance clientèle lisant un script ne satisfait pas à cette exigence. L’analyse SB 189 de Morrison Foerster fournit des conseils pratiques sur la structuration des programmes de révision humaine.

Obligations des Développeurs : La Dimension Chaîne d’Approvisionnement

SB 189 crée des obligations à la fois pour les développeurs (qui construisent les ADMT couvertes) et les déployeurs (qui les déploient auprès des consommateurs). Les développeurs doivent fournir aux déployeurs :

• Une description générale des usages prévus et des usages nuisibles ou inappropriés connus
• Les catégories de données d’entraînement utilisées
• Les limitations et risques connus
• Les instructions d’utilisation appropriée et de révision humaine
• Les notifications de mises à jour importantes dans des délais raisonnables

Les développeurs doivent conserver des dossiers pendant trois ans. Cela crée une nouvelle attente de transparence dans la chaîne d’approvisionnement : les fournisseurs d’IA vendant dans des domaines de décision réglementés devront fournir aux acheteurs des packages de documentation conformes à SB 189.

Exemptions Clés à Connaître

SB 189 exclut plusieurs catégories où les obligations de conformité standard sont modifiées :

• Entités couvertes par HIPAA — règles spéciales pour les données de santé (usages non liés à l’emploi)
• Dispositifs médicaux réglementés par la FDA — soumis à la surveillance FDA existante
• Cybersécurité et prévention de la fraude — explicitement exclus
• Compagnies d’assurance et institutions financières — cadres réglementaires existants applicables
• Processus d’administration académique — exclus
• Outils de base — tableurs, règles statiques et calculateurs simples ne sont pas des « ADMT »

La Question Réglementaire : Ce qui Vient Ensuite pour les Lois de Divulgation IA

La remise à zéro du Colorado de la réglementation basée sur les risques vers la divulgation établit un précédent qui sera observé par d’autres États. Le modèle précédent — mandatant des programmes de gouvernance avant le déploiement — était techniquement ambitieux et politiquement vulnérable. Le nouveau modèle — exigeant la transparence et le recours au moment du préjudice — est plus facile à appliquer, plus lisible pour les consommateurs et politiquement plus durable.

Ce changement reflète l’évolution des lois sur la notification des violations de données : les États ont commencé par des exigences préventives complexes, puis ont convergé vers des mandats de divulgation plus applicables et favorables aux consommateurs. La réglementation IA suit probablement le même arc.

Pour les entreprises mondiales avec des opérations aux États-Unis, le cadre de divulgation de SB 189 est nettement plus facile à respecter que la loi IA originale — mais il nécessite tout de même de véritables investissements produit et ingénierie. La piste de sept mois jusqu’au 1er janvier 2027 est suffisante si les travaux commencent immédiatement.

Questions Fréquemment Posées

Sources et lectures complémentaires

• Le gouverneur du Colorado signe SB 189 — Holland & Knight
• Le Colorado revient sur la loi IA basée sur les risques — National Law Review
• Le Colorado réécrit sa loi IA phare — Consumer Finance Monitor
• Le Colorado réinitialise la réglementation IA — Morrison Foerster
• Mise à jour de la loi IA du Colorado : Changements clés dans SB 26-189 — Clark Hill
• Le Parlement du Colorado adopte le projet de loi pour abroger et remplacer la loi IA — Troutman Privacy