Réglementation CCPA : ce qui change pour l’IA d’ici 2027

L’essentiel

• La réglementation CCPA a été refondue au 1er janvier 2026 : trois nouveaux articles couvrent les audits de cybersécurité, les évaluations des risques et les technologies de décision automatisée (ADMT), un quatrième les assureurs.
• Toute ADMT déjà utilisée pour une décision significative sur un consommateur, un candidat ou un salarié doit être assortie, d’ici le 1er janvier 2027, d’une information préalable, d’une opposition ou d’une exception, et d’une procédure d’accès.
• Tout nouveau traitement à risque élevé exige déjà une évaluation des risques ; les traitements antérieurs à 2026 doivent être évalués avant le 31 décembre 2027, et un dirigeant attestera au 1er avril 2028.
• Les audits de cybersécurité indépendants démarrent au 1er avril 2028 au-delà de 100 millions de dollars de chiffre d’affaires, puis en 2029 et 2030 pour les plus petites.
• Les sanctions de 2026 visent toutes des freins à l’opposition ou une collecte excessive, les contrôles mêmes qu’un programme de conformité IA doit couvrir.

Réglementation CCPA : ce qu’elle recouvre et ce qui a changé le 1er janvier 2026

La réglementation CCPA regroupe les règles du titre 11 du California Code of Regulations qui rendent opérationnel le California Consumer Privacy Act, modifié par le CPRA. Elle relève de la California Privacy Protection Agency, rebaptisée CalPrivacy, autorité dédiée au rôle proche de celui de la CNIL, le procureur général de Californie gardant son propre pouvoir de poursuite. La réglementation CCPA actuelle est issue de deux ans de procédure : approuvée par l’Office of Administrative Law le 22 septembre 2025 (Latham & Watkins) et annoncée le lendemain, elle s’applique depuis le 1er janvier 2026 (annonce de la CPPA). Quatre articles sont créés, les articles 9 (audits de cybersécurité, sections 7120 à 7124), 10 (évaluations des risques, sections 7150 à 7157), 11 (ADMT, sections 7200 à 7222) et 12 (compagnies d’assurance), selon le texte approuvé. Les règles existantes évoluent aussi. Fermer un bandeau cookies ne vaut plus consentement, s’opposer ne doit pas demander plus d’étapes qu’accepter, et l’entreprise doit montrer que l’opposition, signal Global Privacy Control compris, a été respectée (Greenberg Traurig). Les informations sensibles incluent désormais les données neuronales et celles des consommateurs dont l’entreprise sait qu’ils ont moins de 16 ans. Le périmètre, lui, ne change pas. La réglementation CCPA vise toute entreprise à but lucratif active en Californie qui remplit un critère : plus de 26 625 000 dollars de chiffre d’affaires annuel brut (seuil revalorisé au 1er janvier 2025), achat, vente ou partage des informations personnelles d’au moins 100 000 consommateurs ou foyers, ou au moins la moitié du chiffre d’affaires tirée de leur vente ou de leur partage (CalPrivacy). Depuis 2023, salariés, candidats et contacts professionnels sont des consommateurs : un simple employeur peut donc être concerné. Voir aussi notre dossier sur la réglementation de l’IA en 2026.

Réglementation CCPA : le calendrier de 2026 à 2030

La réglementation CCPA s’applique par paliers sur quatre ans. Voici les jalons vérifiés dans le texte et les annonces de l’agence, au 16 septembre 2026. <table header-row= »true »> <tr> <td>Date</td> <td>Obligation</td> <td>Entreprises visées</td> </tr> <tr> <td>1er janvier 2026</td> <td>Réglementation CCPA révisée en vigueur ; évaluation des risques avant tout nouveau traitement à risque élevé</td> <td>Toutes les entreprises assujetties</td> </tr> <tr> <td>1er août 2026</td> <td>Traitement des demandes de suppression DROP au moins tous les 45 jours</td> <td>Courtiers en données enregistrés</td> </tr> <tr> <td>1er janvier 2027</td> <td>Information préalable, opposition et accès pour l’ADMT utilisée dans des décisions significatives</td> <td>Entreprises utilisant une ADMT</td> </tr> <tr> <td>1er janvier 2027</td> <td>Signal de préférence d’opposition dans les navigateurs (AB 566) ; revalorisation des seuils et amendes ; redevance des courtiers portée à 9 500 dollars</td> <td>Éditeurs de navigateurs, toutes entreprises, courtiers</td> </tr> <tr> <td>31 décembre 2027</td> <td>Évaluations des risques des traitements commencés avant 2026 et toujours en cours</td> <td>Toutes les entreprises assujetties</td> </tr> <tr> <td>1er avril 2028</td> <td>Premier dépôt des évaluations et attestation ; première certification d’audit (chiffre d’affaires 2026 supérieur à 100 millions de dollars)</td> <td>Toutes ; les plus grandes</td> </tr> <tr> <td>1er avril 2029</td> <td>Première certification d’audit, chiffre d’affaires 2027 entre 50 et 100 millions de dollars</td> <td>Entreprises intermédiaires</td> </tr> <tr> <td>1er avril 2030</td> <td>Première certification d’audit, chiffre d’affaires inférieur à 50 millions de dollars</td> <td>Plus petites entreprises</td> </tr> </table> Le 1er janvier 2027 est la prochaine échéance ferme : les équipes qui suivent la loi du Colorado sur l’IA retrouveront dans les obligations ADMT la même logique d’information, de réexamen humain et d’explication. Les preuves produites en 2027, année du rattrapage et de la première période d’audit, seront celles attestées en 2028.

ADMT : ce que la réglementation CCPA impose d’ici le 1er janvier 2027

L’article 11 est le volet de la réglementation CCPA qui touche le plus directement l’IA. Selon la section 7200(b), une ADMT déjà en service pour une décision significative doit être conforme au 1er janvier 2027, et tout outil déployé ensuite, dès sa première utilisation.

Est-ce une ADMT ? Le critère de l’intervention humaine

Une ADMT traite des informations personnelles et remplace, ou remplace en substance, la décision humaine par le calcul (section 7001(e)). Il y a remplacement en substance dès lors qu’aucun examinateur ne réunit trois conditions : savoir interpréter et utiliser le résultat, l’examiner avec les autres informations pertinentes, et disposer du pouvoir de prendre ou de modifier la décision. Valider d’un clic un classement, sans pouvoir ni contexte, ne passe pas ce test. Le profilage compte s’il se substitue au jugement humain ; tableurs, filtres antispam, pare-feu et bases de données sont exclus. La lecture européenne de l’article 22 du RGPD est la même : une intervention humaine de pure forme n’écarte pas la qualification. Seules les décisions significatives sont visées par la réglementation CCPA (section 7001(ddd)) : octroi ou refus de services financiers ou de crédit, de logement, d’inscription ou d’opportunités éducatives, d’emploi, de prestation ou de rémunération, et de services de santé. L’emploi couvre recrutement, répartition du travail, salaire et primes, promotion, rétrogradation, suspension et licenciement ; la publicité est exclue. Voir nos guides IA et recrutement et supervision humaine.

L’information préalable à l’utilisation

La section 7220 de la réglementation CCPA exige une information au plus tard lors de la collecte, ou avant de réaffecter des données à une ADMT. Elle précise la finalité concrète (« prendre une décision significative » ne suffit pas), l’opposition ou l’exception retenue, le droit d’accès, l’interdiction des représailles et le fonctionnement de l’outil : catégories d’informations qui influencent le résultat, nature du résultat, rôle dans la décision et processus alternatif pour ceux qui s’opposent. Secrets d’affaires et détails de sécurité peuvent rester confidentiels, et une information consolidée est admise.

Le droit d’opposition et ses trois exceptions

La section 7221 de la réglementation CCPA ouvre un droit d’opposition à l’ADMT par au moins deux moyens, dont l’un suit le canal habituel de la relation ; un bandeau cookies ne convient pas. Le traitement cesse sous 15 jours ouvrés, prestataires de services compris, et l’entreprise attend 12 mois avant de solliciter de nouveau la personne. L’opposition peut céder la place à l’une de trois exceptions :

1. Recours humain. La personne peut contester auprès d’un examinateur formé, habilité à infirmer la décision et tenu d’examiner ce qu’elle transmet.
2. Admission, acceptation ou embauche. L’ADMT sert uniquement à évaluer l’aptitude à un emploi ou à une formation, et remplit cette fonction sans discrimination illicite.
3. Répartition du travail et rémunération. L’ADMT sert uniquement à cette fin, sous la même condition.

Les deux dernières exceptions ont un prix : « fonctionner sans discrimination illicite » se prouve, et la réglementation CCPA suppose donc des dossiers de validation et de tests de biais, ceux que l’AI Act attendra des outils de recrutement à haut risque.

Les demandes d’accès

Au titre de la section 7222 de la réglementation CCPA, chacun peut demander comment une ADMT a été utilisée à son sujet. La réponse donne la finalité, la logique de l’outil en termes compréhensibles (paramètres et résultat personnel compris, le cas échéant) et l’issue, en précisant si le résultat a été le seul facteur et quel rôle a joué l’humain. Au-delà de quatre utilisations pour une même personne sur 12 mois, une réponse agrégée suffit, et les prestataires doivent aider leurs clients à répondre.

Évaluations des risques : le rattrapage à boucler avant le 31 décembre 2027

L’article 10 de la réglementation CCPA est l’obligation la plus durable. La section 7150 liste six activités à risque significatif, à évaluer avant tout démarrage :

• la vente ou le partage d’informations personnelles ;
• le traitement d’informations sensibles, hors exception étroite (paie, avantages sociaux, aménagements de poste, autorisation de travail) ;
• l’usage d’une ADMT pour une décision significative ;
• l’inférence automatisée de traits (aptitude, performance, santé) par observation systématique de candidats, étudiants, salariés ou prestataires ;
• l’inférence de ces traits à partir de la présence d’un consommateur dans un lieu sensible ;
• l’entraînement d’une ADMT pour des décisions significatives, ou d’outils de reconnaissance faciale ou des émotions, d’identification ou de biométrie.

La section 7152 de la réglementation CCPA fixe le contenu du rapport : finalité précise ; catégories et minimum nécessaire d’informations personnelles ; éléments opérationnels (méthode, sources, conservation, interactions, nombre de consommateurs, communications, destinataires) ; pour une ADMT, sa logique et l’usage du résultat ; bénéfices ; impacts négatifs (sécurité, discrimination, perte de contrôle, coercition, préjudices économiques, physiques, réputationnels, psychologiques) ; garanties ; décision de lancer ou non le traitement ; contributeurs ; approbateurs habilités, avec noms et dates. La section 7154 assume l’objectif : restreindre, voire interdire, le traitement quand les risques pour la vie privée l’emportent sur les bénéfices. Selon la réglementation CCPA, l’évaluation se réexamine au moins tous les trois ans, se met à jour sous 45 jours calendaires après un changement substantiel et se conserve le temps du traitement ou cinq ans après sa fin, selon le terme le plus tardif. La section 7156 admet une évaluation unique pour des traitements comparables et la reprise d’une évaluation faite pour une autre loi (AIPD de l’article 35 du RGPD, évaluations exigées au Colorado, en Virginie ou au Connecticut), complétée des éléments manquants. La section 7153 oblige le fournisseur d’une ADMT à donner à ses clients tout ce qu’exige leur propre évaluation : une clause à prévoir dans chaque questionnaire d’évaluation des fournisseurs d’IA. Le dépôt donne son mordant à la réglementation CCPA. Chaque 1er avril à partir de 2028, l’entreprise déclare le nombre d’évaluations par déclencheur et les catégories d’informations concernées, avec une attestation signée sous peine de parjure par un dirigeant directement responsable (section 7157). L’agence ou le procureur général peuvent exiger les rapports complets, à produire sous 30 jours calendaires. Nos guides sur l’analyse d’impact sur la vie privée et l’analyse d’impact IA aident à bâtir un modèle unique.

Audits de cybersécurité : qui, quand et avec quelle indépendance

L’article 9 de la réglementation CCPA vise les entreprises tirant au moins la moitié de leur chiffre d’affaires de la vente ou du partage d’informations personnelles, ou dépassant le seuil de chiffre d’affaires et ayant traité l’année précédente les informations d’au moins 250 000 consommateurs ou foyers, ou les informations sensibles d’au moins 50 000 consommateurs (section 7120). Le calendrier d’audit de la réglementation CCPA dépend du chiffre d’affaires : au-delà de 100 millions de dollars en 2026, audit de l’année 2027 et certification au 1er avril 2028 ; entre 50 et 100 millions, première certification au 1er avril 2029 ; en dessous, au 1er avril 2030 (section 7121). L’audit devient ensuite annuel. Dans la réglementation CCPA, l’indépendance compte plus que les dates (section 7122). Un auditeur interne est admis si le responsable de l’audit rend compte à un dirigeant étranger au programme de cybersécurité, qui fixe sa rémunération et l’évalue. L’auditeur ne doit ni avoir conçu ni mis en œuvre les contrôles audités, et ses constats ne peuvent reposer principalement sur les déclarations de la direction. La certification (section 7124) est signée sous peine de parjure. L’article 32 du RGPD exige des tests réguliers, pas cette indépendance. Si votre fonction d’audit IA couvre aussi la cybersécurité, vérifiez son rattachement.

Sanctions en 2026 : ce que révèlent les amendes

Les sanctions de 2026 fondées sur la loi et la réglementation CCPA annoncent les futurs dossiers sur l’ADMT et l’évaluation des risques.

• Disney, 2,75 millions de dollars (procureur général, 11 février 2026). Oppositions limitées à un service ou appareil, signaux Global Privacy Control non appliqués à l’ensemble du compte (Hunton).
• PlayOn Sports, 1,1 million de dollars (CalPrivacy, 3 mars 2026). Des élèves contraints d’accepter le pistage pour utiliser leurs billets ; la décision impose des évaluations des risques (Hunton).
• Ford, 375 703 dollars (CalPrivacy, 5 mars 2026). Confirmation d’adresse électronique exigée avant de traiter une opposition (CalPrivacy).
• General Motors, 12,75 millions de dollars (procureur général, avec CalPrivacy et quatre procureurs de district, 8 mai 2026). Plus importante transaction CCPA à ce jour et premier dossier de minimisation des données, pour des données de conduite et de localisation vendues à des courtiers (procureur général de Californie).
• LocateSmarter, 116 490 dollars (CalPrivacy, 11 août 2026). Première action contre un courtier en données au titre du CCPA et du Delete Act, pour avoir exigé des chiffres du numéro de sécurité sociale avant une opposition (CalPrivacy).

Le fil est constant : friction dans l’exercice des droits, collecte ou conservation au-delà de la finalité, un schéma familier pour qui suit les contrôles de la CNIL sur les cookies. Les amendes administratives plafonnent à 2 663 dollars par violation et à 7 988 dollars si elle est intentionnelle ou vise un mineur de moins de 16 ans, mais chaque consommateur concerné peut compter comme une violation, d’où des montants à sept ou huit chiffres. Le dossier General Motors fait d’un cadre de gouvernance des données une pièce de défense. La suite est engagée : les 6 et 7 août 2026, le conseil de CalPrivacy a chargé ses services de préparer une procédure formelle pour inscrire Global Privacy Control dans la réglementation CCPA (Wilson Sonsini), et AB 566 impose aux navigateurs un signal de préférence d’opposition dès le 1er janvier 2027 (CalPrivacy).

Une évaluation, quatre régimes : CCPA, RGPD, AI Act et autres États américains

Pour un groupe présent en Californie et en Europe, la réglementation CCPA recoupe des obligations existantes, d’où une grille où chaque preuve sert plusieurs autorités. <table header-row= »true »> <tr> <td>Réglementation CCPA</td> <td>RGPD</td> <td>AI Act</td> <td>Autres États américains</td> </tr> <tr> <td>Évaluation des risques (sections 7150 à 7157)</td> <td>AIPD, article 35</td> <td>Analyse d’impact sur les droits fondamentaux, article 27, pour certains déployeurs dès le 2 décembre 2027</td> <td>Évaluations de protection des données (Colorado, Virginie, Connecticut)</td> </tr> <tr> <td>Opposition à l’ADMT ou recours humain (section 7221)</td> <td>Garanties de l’article 22, droit à une intervention humaine</td> <td>Supervision humaine, articles 14 et 26</td> <td>Colorado AI Act : réexamen humain et reconsidération</td> </tr> <tr> <td>Accès ADMT, logique et issue (section 7222)</td> <td>Articles 13 à 15, informations utiles sur la logique sous-jacente</td> <td>Droit à l’explication, article 86</td> <td>Colorado AI Act : information sous 30 jours après une décision défavorable</td> </tr> <tr> <td>Audit de cybersécurité (sections 7120 à 7124)</td> <td>Article 32, sécurité du traitement</td> <td>Exactitude, robustesse et cybersécurité, article 15</td> <td>NYDFS Part 500 pour les entités régulées</td> </tr> </table> Les dates européennes intègrent le règlement (UE) 2026/1744, qui modifie l’AI Act (règlement (UE) 2024/1689) et reporte au 2 décembre 2027 les obligations des systèmes à haut risque de l’annexe III et l’analyse d’impact de l’article 27 (EUR-Lex). En France, l’AIPD que la CNIL peut examiner lors d’un contrôle est la meilleure base de l’évaluation californienne, à compléter des éléments propres à la section 7152 (approbateurs, décision de poursuivre). Surtout, l’échéance ADMT californienne précède de onze mois la date européenne : ce qui est bâti pour la réglementation CCPA devient le premier jet de votre dossier de déployeur. Pour la qualification, voir notre guide sur les systèmes d’IA à haut risque de l’AI Act.

Le dossier de preuves que CalPrivacy peut exiger

Rapports complets exigibles sous 30 jours, attestations signées sous peine de parjure : la réglementation CCPA est d’abord une obligation de preuve. Pièces à tenir prêtes :

1. L’inventaire des usages d’ADMT, avec catégorie de décision et date de première utilisation.
2. Chaque version des informations préalables, avec dates et canaux de publication.
3. Les registres d’opposition et de recours : réception, arrêt sous 15 jours ouvrés, information des prestataires.
4. Les dossiers des examinateurs du recours humain : identité, formation, pouvoir, décisions rendues.
5. Les tests de validation et de non-discrimination des ADMT relevant de l’exception d’embauche ou de répartition du travail.
6. Les modèles et exemples de réponses aux demandes d’accès expliquant logique et issue.
7. Les rapports d’évaluation des risques (approbateurs, dates de réexamen, déclencheurs de mise à jour), conservés au moins cinq ans.
8. Les éléments fournis par les éditeurs au titre de la section 7153 et les clauses qui les imposent.
9. Les accusés de dépôt et attestations signées.
10. Les rapports d’audit, preuves d’indépendance de l’auditeur (rattachement, rémunération, évaluation) et certification.

Ce dossier suit la structure d’un registre de responsabilité IA et ne reste à jour qu’avec une surveillance continue de la conformité. Les équipes rompues au principe de responsabilité de l’article 5, paragraphe 2, du RGPD partent avec une longueur d’avance sur la réglementation CCPA.

Un plan de 107 jours jusqu’au 1er janvier 2027

Au 16 septembre 2026, il reste 107 jours avant l’application des obligations ADMT de la réglementation CCPA. Un plan réaliste :

1. Semaines 1 à 3 : inventaire. Recenser les outils qui notent, classent, filtrent ou recommandent en recrutement, gestion des effectifs, crédit, logement, éducation ou santé, et appliquer honnêtement le test d’intervention humaine.
2. Semaines 4 à 6 : choix de la voie. Pour chaque usage, opposition avec processus alternatif, recours humain ou l’une des deux exceptions étroites, justification à l’appui.
3. Semaines 7 à 10 : construction et tests. Rédiger les informations préalables, ouvrir deux canaux d’opposition, préparer le modèle de réponse d’accès, former les examinateurs et réclamer aux fournisseurs les éléments de la section 7153.
4. Semaines 11 à 15 : évaluation et preuves. Évaluer d’abord les usages d’ADMT, planifier sur 2027 le rattrapage des traitements antérieurs à 2026 et corriger le rattachement de l’audit interne si l’article 9 s’applique.

Inscrit dans votre démarche de conformité IA et calé sur les AIPD et l’AI Act, le chantier de la réglementation CCPA ajoutera des lignes au registre plutôt qu’un nouveau programme.

Questions fréquentes

Quelles sont les nouvelles obligations de la réglementation CCPA en 2026 ? La réglementation CCPA révisée s’applique depuis le 1er janvier 2026. Elle impose une évaluation des risques avant tout traitement à risque élevé, fixe au 1er janvier 2027 les obligations d’information, d’opposition et d’accès liées à l’ADMT et échelonne des audits de cybersécurité indépendants à partir de 2028. Elle durcit aussi le consentement : fermer un bandeau cookies ne vaut plus accord, et le respect des oppositions, Global Privacy Control compris, doit être confirmé. La loi CCPA est-elle toujours en vigueur ? Oui. Le CCPA, modifié par le CPRA, et la réglementation CCPA qui le met en œuvre sont pleinement applicables, sous le contrôle de CalPrivacy comme du procureur général de Californie. La répression s’est accélérée en 2026, avec la transaction de 12,75 millions de dollars conclue par General Motors en mai et une première action contre un courtier en données en août. Seuils et plafonds d’amende seront revalorisés le 1er janvier 2027. Qui doit se conformer à la réglementation CCPA ? Toute entreprise à but lucratif active en Californie qui dépasse 26 625 000 dollars de chiffre d’affaires annuel brut, achète, vend ou partage les informations personnelles d’au moins 100 000 consommateurs ou foyers, ou tire au moins la moitié de son chiffre d’affaires de leur vente ou de leur partage. Un siège hors de Californie n’exonère pas de la réglementation CCPA, et salariés comme candidats comptent parmi les consommateurs. Quelle est la différence entre le CCPA et le RGPD ? Le RGPD exige une base légale pour chaque traitement ; le CCPA encadre surtout l’information, les droits des consommateurs et la vente ou le partage des données. La réglementation CCPA réduit l’écart : l’évaluation des risques rappelle l’AIPD, et les droits liés à l’ADMT les garanties de l’article 22 du RGPD. Le CCPA repose sur des seuils de chiffre d’affaires et de volume, quand le RGPD vise presque toute organisation traitant des données de personnes situées dans l’Union. Les règles sur l’ADMT couvrent-elles l’IA générative et les chatbots ? Seulement si l’outil prend, ou remplace en substance un humain pour prendre, une décision significative sur une personne, comme trier des candidatures ou accorder un prêt. Un chatbot de service client ou un assistant de rédaction n’est pas une ADMT au sens de la réglementation CCPA, sauf si son résultat tranche l’une de ces issues sans intervention humaine réelle. Côté européen aussi, le haut risque dépend de l’usage et non de la technologie. Une entreprise européenne doit-elle appliquer la réglementation CCPA ? Oui, si elle exerce une activité en Californie et franchit un seuil, par exemple via des clients californiens, une filiale américaine ou des salariés sur place. Le travail recoupe largement les AIPD du RGPD et les obligations des déployeurs de l’AI Act : un modèle unique d’analyse d’impact IA doté d’une annexe californienne reste la voie la plus efficace pour répondre à la CNIL, aux autorités de surveillance du marché et à CalPrivacy.

Conclusion

La réglementation CCPA n’est plus un projet à surveiller. Elle s’applique depuis le 1er janvier 2026, les obligations sur l’ADMT arrivent le 1er janvier 2027 et, d’ici le 1er avril 2028, un dirigeant attestera sous peine de parjure l’existence des évaluations des risques. Les sanctions de 2026 montrent ce que les autorités testent d’abord : la facilité d’exercice des droits et l’adéquation des données à la finalité. Les 107 prochains jours servent à inventorier les outils de décision, à choisir une voie licite pour chacun et à ouvrir le dossier de preuves de l’attestation de 2028. Bâti pour la réglementation CCPA et relié au RGPD comme à l’AI Act, ce dossier répond à toutes les autorités qui posent la même question dans des vocabulaires différents. Voir aussi notre synthèse sur la réglementation de l’IA en 2026.