Illinois AI Safety Measures Act : la troisième loi d’État qui redessine les règles de l’IA de pointe aux États-Unis

Ce que le SB 315 exige réellement

L’Artificial Intelligence Safety Measures Act de l’Illinois cible ce que le texte appelle les « grands développeurs de systèmes de pointe » — des entreprises d’IA dont le chiffre d’affaires annuel dépasse 500 millions de dollars et dont les modèles sont entraînés au-delà de seuils de calcul définis. En pratique, ce périmètre touche la poignée d’entreprises qui construisent réellement des systèmes à l’échelle de pointe : OpenAI, Anthropic, Google, Meta et xAI, selon l’analyse juridique de Buchanan Ingersoll & Rooney sur les seuils de calcul et de chiffre d’affaires du texte.

Le mécanisme central de la loi est un cadre de « risque catastrophique ». Les développeurs concernés doivent publier et mettre à jour chaque année une documentation montrant comment ils identifient et atténuent les risques susceptibles de « contribuer matériellement à la mort ou à des blessures graves de plus de 50 personnes », de causer au moins un million de dollars de dommages matériels, ou de fournir une « assistance de niveau expert » à la création d’une arme chimique, biologique, radiologique ou nucléaire, selon le compte rendu du Chicago Sun-Times sur le texte promulgué. Les développeurs doivent aussi publier des rapports de transparence avant de déployer tout nouveau modèle de pointe ou toute modification substantielle d’un modèle existant.

Le signalement des incidents suit un calendrier serré. Les entreprises doivent signaler un « incident de sécurité critique » dans les 72 heures suivant sa découverte, ou dans les 24 heures si l’incident présente un risque imminent de mort ou de blessure grave — un seuil que Capitol News Illinois décrit comme plus strict que la plupart des délais de notification en matière de protection des données aux États-Unis. L’Illinois Emergency Management Agency et l’Office of Homeland Security de l’État sont désignés pour recevoir et administrer ces signalements, et la loi ajoute des canaux de signalement confidentiels ainsi qu’une protection des lanceurs d’alerte pour les employés qui signalent des préoccupations de sécurité en interne.

La disposition qui distingue l’Illinois est l’obligation d’audit. Là où le RAISE Act de New York, adopté plus tôt, exige un seul audit tiers au moment où un développeur atteint le statut de modèle « de grande taille », le SB 315 impose aux grands développeurs de systèmes de pointe un audit indépendant tiers chaque année — une obligation récurrente inédite aux États-Unis, selon l’annonce du cabinet du gouverneur Pritzker. Pritzker a qualifié cette loi de « bipartisane, la première et la plus protectrice du pays ».

L’application de la loi relève du bureau du procureur général de l’Illinois, avec des sanctions civiles pouvant atteindre 1 million de dollars pour une première violation et 3 millions de dollars pour les violations suivantes. Il n’existe aucun droit d’action privé — seul l’État peut engager une procédure d’application. Le procureur général Kwame Raoul a reconnu auprès du Sun-Times que ces amendes « peuvent sembler modestes pour des entreprises valorisées à mille milliards de dollars », présentant plutôt cette loi comme « la première étape » vers un régime de responsabilisation durable au niveau des États.

Pourquoi une troisième loi d’État compte plus qu’une première

Un seul État qui adopte une loi sur la sécurité de l’IA relève de l’expérimentation politique. Un troisième État qui en adopte une similaire, en y ajoutant une disposition réellement nouvelle (l’audit annuel), constitue un schéma — et les schémas sont précisément ce que les équipes de conformité des multinationales doivent anticiper. L’Illinois suit le RAISE Act de New York et le SB 53 californien (le Transparency in Frontier AI Act) et, selon l’analyse de la Transparency Coalition, ces trois États représentent ensemble environ 40 % du marché américain de l’IA alors qu’ils ne comptent que pour environ 20 % de la population nationale.

Cette concentration compte parce que le Congrès n’a pas adopté — et ne montre aucun signe imminent d’adopter — une loi fédérale sur la sécurité de l’IA de pointe. Dans ce vide, trois grands États fortement liés à l’industrie de l’IA fonctionnent comme un plancher national de facto : tout développeur de systèmes de pointe vendant en Californie, à New York ou en Illinois doit, dans les faits, construire une infrastructure de conformité au niveau du plus strict des trois, car adapter le comportement d’un même modèle déployé État par État est opérationnellement impraticable. Le SB 315 entre en vigueur le 1ᵉʳ janvier 2027, laissant aux développeurs concernés environ six mois entre la signature et l’échéance pour bâtir la documentation sur le risque catastrophique, le circuit de signalement des incidents et l’engagement d’audit exigés par la loi.

Ce que les équipes de conformité IA en entreprise devraient faire

1. Cartographier votre exposition aux systèmes de pointe par rapport au seuil de 500 millions de dollars

La plupart des entreprises qui utilisent l’IA ne sont pas des « développeurs concernés » au sens du SB 315 — la loi cible les constructeurs de modèles, pas leurs utilisateurs. Mais les entreprises qui affinent (fine-tuning), hébergent ou modifient de façon substantielle un modèle de pointe (plutôt que de simplement appeler une API fournisseur) doivent vérifier si leur activité bascule dans le territoire de « développeur » selon les seuils de calcul et de chiffre d’affaires du texte. Si votre équipe juridique n’a pas encore cartographié les relations fournisseurs (OpenAI, Anthropic, Google, Meta, xAI) relevant des définitions de modèle de pointe de l’Illinois, de la Californie ou de New York, cette cartographie est désormais une priorité du troisième trimestre 2026, et non de 2027 — six mois est un délai court pour engager un audit et bâtir un dispositif de réponse aux incidents.

2. Bâtir un plan de signalement des incidents sous 72 heures avant d’en avoir besoin

Un délai de 72 heures — 24 heures pour les cas de risque imminent — ne laisse pas de place à l’improvisation d’un chemin d’escalade après la survenue d’un incident. Les équipes de conformité doivent dessiner dès maintenant la chaîne interne : qui classe un événement comme « incident de sécurité critique », qui valide le rapport adressé à l’Illinois Emergency Management Agency, et comment le canal interne protégé par le statut de lanceur d’alerte fait remonter les préoccupations avant qu’elles ne deviennent des incidents externes. Les entreprises qui disposent déjà de dispositifs SOC 2 ou de notification de violation de données ont déjà les bons réflexes ; la lacune se situe généralement dans l’étape de classification du risque catastrophique, nouvelle et spécifique à cette loi plutôt qu’à une réponse générique aux incidents de sécurité.

3. Budgétiser des audits annuels, pas des revues de conformité ponctuelles

Le RAISE Act de New York demande un audit à l’atteinte du seuil ; l’Illinois en demande un chaque année, indéfiniment. Il s’agit d’une ligne budgétaire récurrente, pas d’un coût de projet — à traiter comme un cycle de renouvellement SOC 2 Type II plutôt que comme une certification ponctuelle. Les entreprises n’ayant pas encore identifié d’auditeur tiers qualifié en sécurité de l’IA devraient lancer leur sélection de fournisseur dès maintenant, car le marché de l’audit du risque catastrophique pour les modèles de pointe est nouveau et encore étroit ; attendre le quatrième trimestre 2026 fait courir le risque d’un engorgement des capacités, plusieurs développeurs concernés recherchant des auditeurs simultanément avant l’entrée en vigueur de janvier 2027.

4. Suivre les divergences entre États — l’Illinois, la Californie et New York ne resteront pas identiques

Les trois lois partagent un air de famille (périmètre des systèmes de pointe, divulgation du risque catastrophique, signalement des incidents) mais divergent sur les détails — fréquence d’audit, structure des sanctions et agence chargée de l’application. Les équipes de conformité ne devraient pas construire une politique unique « sécurité IA aux États-Unis » en supposant qu’elle satisfait les trois régimes ; elles devraient tenir une matrice juridictionnelle qui suit les seuils et échéances spécifiques de chaque État, car une quatrième ou cinquième loi d’État est quasi certaine compte tenu de la dynamique législative actuelle, et chaque nouvel entrant risque d’emprunter — et de modifier — des dispositions de l’Illinois, de la Californie et de New York plutôt que de repartir de zéro.

La question réglementaire

Le statut de troisième État de l’Illinois soulève une question que le Congrès a jusqu’ici évitée : le pays finira-t-il avec 50 régimes de conformité IA de pointe différents, ou la convergence au niveau des États autour de quelques dispositions communes (divulgation du risque catastrophique, signalement des incidents, audits tiers) devient-elle, par défaut, la norme nationale pratique ? Les premiers signes penchent vers la convergence plutôt que la fragmentation — New York, la Californie et l’Illinois ont tous convergé vers les trois mêmes piliers, tout en divergeant sur la fréquence des audits et les montants des sanctions. Cette convergence est une bonne nouvelle pour la planification de la conformité, mais elle renforce aussi les enjeux d’une future bataille de préemption fédérale : si Washington légifère un jour, ce sera par-dessus trois États qui ont déjà bâti une infrastructure d’application, nommé des régulateurs et fixé des précédents en matière de sanctions. Pour l’instant, « la première étape », comme l’a dit le procureur général de l’Illinois, constitue aussi, dans les faits, le socle national — non pas parce que le Congrès l’a décidé, mais parce que trois grands États l’ont fait.

Questions Fréquemment Posées

Sources et lectures complémentaires

• Gov. Pritzker Signs Nation-Leading Artificial Intelligence Safety Law — Illinois Governor’s Newsroom
• Pritzker signs landmark AI regulation bill that aims to mitigate risks — Capitol News Illinois
• AI regulations: Illinois law Pritzker signed — Chicago Sun-Times
• Illinois Gov. Pritzker Signs Landmark AI Safety Measures Act Into Law — Transparency Coalition
• Illinois SB 315: Pioneering AI Safety Regulations and the Future of Responsible AI Governance — Buchanan Ingersoll & Rooney