Ce qui allait se passer — et pourquoi cela n’a pas eu lieu
Le matin du 21 mai 2026, les équipes de la Maison Blanche avaient préparé une cérémonie de signature pour un décret majeur sur l’IA. Ce cadre avait été élaboré pendant des mois, avec de grandes entreprises d’IA, dont OpenAI et Anthropic, négociant directement avec l’administration sur ses dispositions.
La pièce maîtresse du décret était un mécanisme d’examen préalable à la mise en marché de nature volontaire : les développeurs d’IA soumettraient leurs modèles frontières avancés aux agences fédérales pour jusqu’à 90 jours d’évaluation de sécurité avant déploiement public. Le décret comprenait également des dispositions pour sécuriser les systèmes du Pentagone, protéger l’infrastructure civile fédérale contre les attaques activées par l’IA, et donner au Trésor américain un rôle élargi dans l’identification des vulnérabilités de sécurité liées à l’IA — une responsabilité historiquement exercée par la CISA et le NIST.
Puis, au dernier moment, le plan s’est effondré. David Sacks, conseiller IA et crypto désigné de Trump, a appelé Trump directement le matin du 21 mai et a déraill la signature, « à l’insu de tout le monde », selon un responsable de la Maison Blanche cité par Politico. Elon Musk et Mark Zuckerberg avaient également parlé avec Trump dans les jours précédant l’événement prévu, plaidant que tout mécanisme d’examen gouvernemental — même volontaire — ralentirait le développement américain de l’IA face à la Chine.
Les propres mots de Trump ont confirmé le résultat : « Je n’aimais pas certains aspects. Je l’ai reporté. » Lorsqu’on l’a interrogé, il a ajouté que le décret « entrave » le leadership américain en matière d’IA.
Trois Signaux Cachés dans la Structure du Retrait
La manière dont le décret a été tué révèle davantage sur l’orientation de la politique américaine en matière d’IA que n’importe quelle déclaration officielle.
Signal 1 : L’instinct de déréglementation gouverne désormais même les cadres volontaires
Le mécanisme d’examen préalable à la mise en marché du décret abandonné était explicitement volontaire. Les entreprises d’IA n’étaient pas tenues de soumettre leurs modèles — elles pouvaient opter pour l’examen de sécurité. Pourtant, même cette structure non contraignante a suffi à déclencher l’opposition de l’industrie et un revirement de la Maison Blanche. Le signal pour les acheteurs d’IA en entreprise est direct : l’administration américaine actuelle n’imposera aucune obligation aux développeurs d’IA, même procédurale. Les entreprises qui misaient sur l’arrivée d’une norme fédérale de sécurité IA américaine en 2026 doivent supprimer cette hypothèse de leur planification.
Cela compte au-delà des frontières américaines. Les multinationales qui conçoivent des cadres mondiaux de gouvernance IA ancrent souvent un niveau de politique sur la norme fédérale américaine. En l’absence de cet ancrage, les entreprises doivent choisir entre s’appuyer par défaut sur le Règlement européen sur l’IA (AI Act), construire des standards internes propriétaires, ou différer les investissements en gouvernance — chaque option présentant des profils de risque distincts.
Signal 2 : L’autorégulation de l’industrie a gagné une bataille, mais la guerre continue au niveau des États
Musk, Zuckerberg et Sacks ont prévalu au niveau fédéral. Mais le gouverneur du Colorado Jared Polis a promulgué le SB 26-189 le 14 mai 2026 — une semaine avant l’implosion du décret —, exigeant des employeurs utilisant l’IA pour des décisions d’emploi conséquentes de fournir une notification écrite et des voies d’examen humain, effectives au 1er janvier 2027. Le SB5 du Connecticut, adopté le 1er mai 2026, impose des obligations de tests anti-discrimination sur les outils d’embauche par IA à partir d’octobre 2026. Le vide fédéral n’élimine pas la complexité de la conformité IA ; il la redistribue à travers un patchwork de lois étatiques qui varient selon la juridiction et la catégorie de décision.
Signal 3 : Le rôle de sécurité IA du Trésor signale un nouvel axe politique
Le décret abandonné attribuait au Trésor américain un rôle de premier plan dans l’identification des vulnérabilités de sécurité liées à l’IA — une fonction traditionnellement exercée par la CISA et le NIST. Les rapports d’Axios notent cette attribution inhabituelle. Les entreprises qui construisent des systèmes d’IA pour l’approvisionnement fédéral américain doivent surveiller quelle agence émerge avec une autorité de supervision principale — CISA, NIST, NSC ou Trésor — car cette détermination définira les exigences de certification et d’audit.
Publicité
Ce que les DSI d’Entreprise Devraient Faire dans le Vide Réglementaire
1. Supprimez les jalons de conformité fédérale américaine de votre feuille de route IA 2026
Si votre cadre de gouvernance IA incluait un jalon comme « s’aligner sur la norme fédérale de sécurité IA d’ici le T3 2026 », ce jalon n’existe plus. Supprimez-le de la feuille de route. Remplacez-le par deux pistes alternatives : (a) la conformité au Règlement européen sur l’IA (AI Act), qui a des échéances exécutoires pour les systèmes à haut risque à partir d’août 2026, et (b) la cartographie des lois étatiques américaines pour toutes les opérations touchant les décisions d’emploi, de prêt, de logement, de santé ou d’éducation. Les deux pistes nécessitent un investissement actif maintenant — la piste AI Act est particulièrement urgente pour tout système classifié à haut risque en vertu de l’Annexe III du règlement.
Ne substituez pas des cadres volontaires (NIST AI RMF, ISO/IEC 42001) comme substituts à une réglementation contraignante. Ils sont utiles pour la structure de gouvernance interne, mais ils ne satisfont pas aux obligations réglementaires dans les juridictions qui ont adopté des lois.
2. Cartographiez votre exposition aux fournisseurs IA sur le patchwork de lois étatiques, pas sur le vide fédéral
L’absence d’une loi fédérale américaine sur l’IA ne signifie pas que le risque réglementaire est absent — cela signifie que le risque est fragmenté. Le SB 26-189 du Colorado (effectif le 1er janvier 2027) s’applique à toute décision d’emploi assistée par l’IA affectant un résident du Colorado, quelle que soit la localisation du siège de votre entreprise. Le SB5 du Connecticut (obligations des déployeurs en octobre 2027) s’applique de même aux décisions d’emploi touchant les résidents du Connecticut. Le Texas, l’Illinois et la Californie ont chacun des exigences de divulgation ou de test de biais liées à l’IA en attente ou adoptées.
3. Utilisez la fenêtre de vide pour construire une infrastructure de gouvernance IA interne
Les fenêtres réglementaires sont des atouts tactiques. L’absence actuelle d’un cadre fédéral américain sur l’IA signifie que vos concurrents opèrent également sans pression externe pour construire une infrastructure de gouvernance. Les entreprises qui construisent des pistes d’audit, de la documentation d’explicabilité et des mécanismes de supervision humaine maintenant auront une longueur d’avance en conformité lorsque la réglementation fédérale arrivera enfin. Le Bureau du Directeur national de la cybersécurité de la Maison Blanche développe des initiatives de sécurité IA supplémentaires au-delà du décret annulé. Ce n’est pas la fin de la réglementation américaine de l’IA — c’est un délai.
Le Tableau d’Ensemble : Une Carte Réglementaire IA Mondiale Fragmentée
Le retrait du décret s’inscrit dans un schéma plus large. Les États-Unis se sont retirés de la gouvernance multilatérale de l’IA (s’opposant au Dialogue mondial de l’ONU sur la gouvernance de l’IA lors du débat du Conseil de sécurité de septembre 2025). Le Règlement européen sur l’IA est désormais le seul cadre contraignant compréhensif avec une portée mondiale. Le Pacte numérique mondial de l’ONU, adopté en septembre 2024, a créé un Panel scientifique international indépendant sur l’IA et un processus de Dialogue mondial — mais les deux sont consultatifs, pas contraignants.
Le résultat est un monde où la réglementation IA la plus contraignante est soit le Règlement européen sur l’IA (pour les entreprises avec un lien à l’UE), soit une mosaïque de lois étatiques américaines (pour les entreprises opérant aux États-Unis), soit rien du tout. Pour les entreprises mondiales, la réponse pratique est d’utiliser la conformité au Règlement européen sur l’IA comme plancher de gouvernance au niveau mondial — c’est la norme exécutoire la plus stricte et l’alignement avec elle satisfera généralement des exigences moins strictes ailleurs.
Questions Fréquemment Posées
Que devait faire le décret IA de Trump avant qu’il soit retiré ?
Le décret aurait établi un processus d’examen préalable à la mise en marché de nature volontaire : les développeurs d’IA pouvaient soumettre leurs modèles avancés aux agences fédérales pour jusqu’à 90 jours d’évaluation de sécurité avant déploiement public. Il comprenait également des dispositions pour sécuriser les systèmes fédéraux civils et du Pentagone, et attribuait de façon controversée au Trésor américain un rôle de premier plan dans l’identification des vulnérabilités de sécurité IA — une fonction que les critiques estimaient appartenir à la CISA et au NIST.
Comment le vide réglementaire américain affecte-t-il les entreprises qui développent l’IA en dehors des États-Unis ?
L’absence d’une loi fédérale américaine sur l’IA signifie que les multinationales ne peuvent pas utiliser une norme américaine uniforme comme plancher de gouvernance mondial. En pratique, cela pousse le Règlement européen sur l’IA dans la position par défaut pour toute entreprise ayant des clients ou des investisseurs européens. Les lois étatiques (Colorado, Connecticut, Texas, Illinois) s’appliquent toujours pour les systèmes IA touchant les résidents américains dans les catégories de décision couvertes. Les entreprises sans lien américain ou européen font face à un véritable vide de gouvernance.
Un décret fédéral américain sur l’IA est-il encore attendu en 2026 ?
Le calendrier est incertain. Le Bureau du Directeur national de la cybersécurité de la Maison Blanche développe des initiatives de sécurité IA supplémentaires. Cependant, la dynamique politique — avec Musk, Zuckerberg et Sacks ayant maintenant tué une version — suggère que toute future version sera significativement allégée en obligations pour les développeurs. La planification d’entreprise devrait supposer l’absence de norme fédérale américaine contraignante sur l’IA avant 2027 au plus tôt.
Sources et lectures complémentaires
- Trump reporte la signature du décret IA — CNBC
- Pourquoi le décret IA de Trump a été retiré — Axios
- Elon Musk, Mark Zuckerberg déraillent le décret IA de Trump — Semafor
- La Maison Blanche reporte le décret sur l’IA — CNN Business
- Colorado SB 26-189 : la loi IA révisée cible les décisions RH conséquentes — HR Dive
- Connecticut SB5 : l’une des lois IA les plus complètes du pays — Freshfields
