La Californie, le Colorado et l’Illinois mènent une mosaïque croissante de lois d’État sur l’IA que les entreprises doivent naviguer

Ce qu’exige réellement la nouvelle loi de l’Illinois

L’Artificial Intelligence Safety Measures Act de l’Illinois, SB 315, a été promulguée le 6 juillet 2026, et sa caractéristique distinctive est une exigence qui va au-delà de ce que demandaient les cadres IA de pointe antérieurs de la Californie ou de New York : l’Illinois exigera des entreprises concernées qu’elles organisent des audits annuels indépendants par des tiers des pratiques de sécurité de leurs modèles de pointe, selon l’analyse juridique du projet de loi. Le cadre relatif aux grands modèles d’IA de pointe et les obligations d’audit associées entrent en vigueur le 1er janvier 2028, laissant aux entreprises concernées un délai de 18 mois pour construire leurs processus de conformité.

La démarche de l’Illinois s’inscrit dans un paysage plus large où la Californie et le Colorado exploitent déjà ce que les observateurs des politiques publiques décrivent comme les cadres réglementaires IA les plus complets actuellement en vigueur au niveau des États aux États-Unis. À la mi-2026, les États ont promulgué environ 109 lois liées à l’IA et 28 lois liées aux centres de données à l’échelle nationale, selon le même suivi — ce qui signifie que l’exigence d’audit de l’Illinois s’inscrit dans un environnement réglementaire déjà dense plutôt que dans un vide. Pour une entreprise nationale exploitant une seule fonctionnalité IA, cette même fonctionnalité peut désormais déclencher des obligations de conformité réellement différentes selon l’endroit où se trouve un utilisateur : le cadre IA de pointe de la Californie, le régime de divulgation des systèmes à haut risque du Colorado, et la nouvelle exigence d’audit de modèles de pointe de l’Illinois ne partagent pas une définition commune de ce qui constitue un système d’IA « à haut risque », encore moins un format commun d’audit ou de divulgation.

Pourquoi une mosaïque émerge bien avant toute action fédérale

L’absence d’un cadre fédéral stabilisé sur l’IA a laissé les États comme principale source de réglementation contraignante de l’IA aux États-Unis, et chaque législature d’État répond à ses propres priorités politiques et traditions juridiques plutôt que de se coordonner sur des normes partagées. L’approche de l’Illinois centrée sur l’audit, distincte du modèle d’évaluation des risques de la Californie et du cadre axé sur la divulgation du Colorado, illustre la rapidité avec laquelle la divergence s’accumule une fois que plusieurs États agissent simultanément — chacun résolvant un problème sous-jacent similaire (vérifier les affirmations de sécurité de l’IA) avec un mécanisme de conformité structurellement différent.

1. Construire un processus de conformité cartographiant les juridictions dès maintenant, pas après le début de l’application

Les exigences d’audit de l’Illinois entrant en vigueur le 1er janvier 2028, et les cadres de la Californie et du Colorado étant déjà actifs, les entreprises multi-États devraient cartographier dès maintenant quels produits ou fonctionnalités IA déclenchent des obligations dans quels États, plutôt que d’attendre que des actions d’application révèlent des lacunes dans leur posture de conformité.

2. S’attendre à ce que les exigences d’audit indépendant se répandent au-delà de l’Illinois

L’Illinois étant le premier État à imposer des audits indépendants par des tiers des modèles de pointe, il est peu probable qu’il soit le dernier — d’autres États rédigeant une législation IA citent fréquemment les cadres existants comme points de référence. Les entreprises devraient considérer le modèle d’audit de l’Illinois comme un aperçu d’une exigence susceptible d’apparaître dans la législation d’autres États lors des prochains cycles législatifs.

3. Ne pas attendre une préemption fédérale pour résoudre la mosaïque

Des groupes industriels comme la Chambre de commerce américaine ont soutenu qu’une réglementation fédérale de l’IA est nécessaire pour éviter une mosaïque coûteuse de lois d’État contradictoires, mais avec environ 109 lois IA d’État déjà promulguées et les États continuant de légiférer indépendamment, les entreprises devraient planifier leur stratégie de conformité en supposant que la mosaïque persistera dans un avenir prévisible plutôt qu’en supposant une résolution fédérale à court terme.

Ce que cela signale pour les entreprises opérant à travers les frontières d’État américaines

La loi de l’Illinois centrée sur l’audit des IA de pointe, arrivant aux côtés des cadres déjà actifs de la Californie et du Colorado, confirme que la conformité réglementaire IA aux États-Unis est désormais un véritable exercice multi-juridictionnel plutôt qu’une norme nationale unique autour de laquelle les entreprises peuvent se concevoir une fois pour toutes. Pour toute entreprise construisant ou déployant des systèmes IA avec une portée américaine — y compris des entreprises basées hors des États-Unis servant des utilisateurs américains —, la leçon pratique est que la « conformité IA » n’est plus une simple case à cocher, mais une carte de plus en plus complexe d’obligations spécifiques à chaque État qui continuera probablement de s’étendre avant de se consolider.

Questions Fréquemment Posées

Sources et lectures complémentaires

• Illinois Enacts AI Safety Law, Becoming First State to Mandate Independent Third-Party Audits of Frontier AI Developers — Skadden
• Illinois Frontier AI Safety Law — Davis Wright Tremaine
• Where State AI Legislation Stands Half-Way Into 2026 — Tech Policy Press