Un responsable conformité qui ouvre un programme américain se pose la même question en octobre 2026 : la réglementation de l’IA aux États-Unis existe-t-elle, ou faut-il se contenter d’une mosaïque de lois d’États ? La réponse : aucune loi fédérale générale sur l’IA n’a été votée ; un seul texte fédéral propre à l’IA vise les entreprises privées ; la campagne de préemption de la Maison-Blanche n’a écarté aucune loi d’État.
Ce guide inventorie les textes fédéraux qui s’imposent à une entreprise, les décrets et mémorandums qui régissent les agences et leurs fournisseurs, le bras de fer entre Washington et les États, puis les pièces d’un dossier qui couvre les deux niveaux. Les dates sont celles du 31 octobre 2026.
L’essentiel
- Au 31 octobre 2026, ni loi fédérale générale sur l’IA, ni régime de licence ou d’enregistrement, ni loi écartant les lois des États.
- Un seul texte fédéral propre à l’IA vise les entreprises : le TAKE IT DOWN Act, appliqué par la FTC depuis le 19 mai 2026.
- Les obligations concrètes viennent de lois anciennes (FTC Act, ECOA, Title VII, ACA, droit boursier) et des mémorandums de l’OMB.
- Le décret EO 14365 n’a préempté aucune loi d’État : liste du Commerce inédite, déclaration de la FTC en projet, seule décision au fond favorable à la Californie.
- Un dossier de preuves par système d’IA, daté et relié à l’obligation, couvre règles fédérales, lois des États et AI Act.
Existe-t-il une loi fédérale sur l’IA ? La réponse en octobre 2026
Vu de France, où la CNIL publie ses recommandations et où le calendrier de l’AI Act est connu (transparence de l’article 50 depuis le 2 août 2026, haut risque de l’annexe III au 2 décembre 2027 après le Digital Omnibus, règlement (UE) 2026/1744), la situation américaine déroute. Le Congrès n’a voté ni loi générale sur l’IA, ni régime de licence ou d’enregistrement, ni loi de préemption ; le rapport R48555 du Congressional Research Service le confirme par l’absence.
Les lois qui existent s’adressent à l’administration. Le National Artificial Intelligence Initiative Act of 2020 (loi sur l’initiative nationale pour l’IA, Pub. L. 116-283, 1er janvier 2021) pose, à l’article <code>15 U.S.C. 9401(3)</code>, la définition légale de l’IA. L’AI in Government Act of 2020 (Pub. L. 116-260) et l’Advancing American AI Act (Pub. L. 117-263, article 7225) organisent la gouvernance et l’inventaire des cas d’usage des agences ; l’AI Training Act (Pub. L. 117-207, 2022) forme les acheteurs publics. Le NDAA pour l’exercice 2026 (Pub. L. 119-60, 18 décembre 2025) ajoute, en ses articles 1532 à 1534, l’interdiction des IA étrangères « couvertes » à la Défense, sans clause de préemption.
Une seule loi propre à l’IA du 119e Congrès vise des acteurs privés : le TAKE IT DOWN Act (Pub. L. 119-12, loi sur le retrait des images intimes non consenties). Le reste relève du pouvoir exécutif ou de projets non votés.
Le vocabulaire a bougé. Le décret EO 14434 « Inaugurating the Era of Super Intelligence » (inaugurer l’ère de la super-intelligence), signé le 29 septembre 2026, fait écrire « Super Intelligence » aux agences dans leurs documents non statutaires ; la définition de <code>15 U.S.C. 9401(3)</code> reste inchangée et une proposition législative est attendue vers le 28 novembre 2026. Notre panorama de la réglementation de l’IA en 2026 le situe parmi les autres juridictions.
Réglementation de l’IA aux États-Unis : les textes qui s’imposent aujourd’hui à une entreprise
La réglementation de l’IA aux États-Unis qui lie une entreprise privée ne porte presque jamais le mot « IA » dans son intitulé : un texte récent et des lois anciennes appliquées aux systèmes automatisés. Chacune produit une pièce à montrer.
| Loi ou règle | Qui est visé | Obligation | Pièce qui en fait la preuve | État au 31 octobre 2026 |
|---|---|---|---|---|
| TAKE IT DOWN Act, article 3 | Plateformes de contenus d’utilisateurs | Retrait d’images intimes non consenties sous 48 heures | Journal des signalements et retraits | FTC compétente depuis le 19 mai 2026 ; aucune action |
| FTC Act, section 5 | Toute entreprise | Pas d’allégation trompeuse sur l’IA | Justificatifs des allégations | Cox Media Group finalisé le 27 août 2026 |
| ECOA, <code>12 CFR 1002.9</code> | Prêteurs | Motifs précis de refus de crédit | Motifs traçables par dossier | Inchangé ; circulaires du CFPB retirées le 12 mai 2025 |
| Title VII et ADA | Employeurs | Pas de discrimination dans l’emploi | Tests d’impact disparate | Inchangé ; guides de l’EEOC retirés le 27 janvier 2025 |
| Droit boursier (SEC) | Émetteurs, conseillers | Pas d’« AI washing » | Preuves des déclarations sur l’IA | GenesisAI, 26 août 2026 ; deux plaintes le 29 septembre |
| ACA 1557, <code>45 CFR 92.210</code> | Établissements de santé | Atténuer les outils d’aide à la décision discriminants | Inventaire des outils, analyse des entrées | Depuis le 1er mai 2025, confirmé le 2 juin 2026 |
| SR 26-2, OCC Bulletin 2026-13 | Banques | Inventaire, validation, documentation des modèles | Inventaire, rapports de validation | 17 avril 2026, remplace SR 11-7 |
| FDA | Dispositifs médicaux à IA | Gestion du cycle de vie | Plan de contrôle des changements (PCCP) | PCCP final ; guide de janvier 2025 en projet |
L’article 3 du TAKE IT DOWN Act impose à toute <b>plateforme couverte</b> (tout site public hébergeant des contenus d’utilisateurs) un retrait sous 48 heures, copies identiques comprises, sous peine de 53 088 USD par infraction. La FTC l’applique depuis le 19 mai 2026 et a ouvert TakeItDown.ftc.gov.
La section 5 du FTC Act reste l’outil le plus utilisé, de l’opération AI Comply (25 septembre 2024) aux ordonnances contre Cox Media Group, 930 000 USD le 27 août 2026. Le CFPB a retiré ses circulaires, mais la Regulation B exige toujours des motifs précis de refus ; la SEC poursuit l’« AI washing ».
En santé, <code>45 CFR 92.210</code> impose depuis le 1er mai 2025 d’identifier les outils d’aide à la décision clinique aux entrées discriminantes ; l’avis du HHS du 2 juin 2026 l’a laissé en vigueur (conformité HIPAA des systèmes d’IA). En banque, la lettre SR 26-2 (guide interagences de gestion du risque de modèle) du 17 avril 2026 remplace SR 11-7 : inventaire, validation et documentation demeurent, la cadence suit le risque (gestion du risque de modèle).
Aucun de ces textes ne s’intitule « loi sur l’IA ». Tous exigent une pièce : un journal, un motif, un test, un inventaire, un rapport de validation.
Décrets présidentiels et mémorandums de l’OMB : la politique fédérale qui régit les agences et leurs fournisseurs
La politique fédérale de l’IA se fait par décret. Le décret EO 14179 « Removing Barriers to American Leadership in Artificial Intelligence » (lever les obstacles au leadership américain en IA) du 23 janvier 2025 a révoqué le décret EO 14110 et commandé America’s AI Action Plan, publié le 23 juillet 2025.
Le texte qui compte pour un fournisseur est le mémorandum OMB <code>M-25-21</code> « Accelerating Federal Use of AI through Innovation, Governance, and Public Trust » (accélérer l’usage fédéral de l’IA) du 3 avril 2025 : un Chief AI Officer par agence, un plan de conformité, un inventaire public des cas d’usage. Il définit l’« IA à fort impact » par l’effet juridique, matériel ou significatif de ses sorties sur les droits ou la sécurité, et lui impose des pratiques minimales : tests avant déploiement, analyse d’impact, surveillance continue, supervision humaine, voie de recours, publication des dérogations. Une IA non conforme doit être suspendue.
Son jumeau <code>M-25-22</code> « Driving Efficient Acquisition of AI in Government » (acquisition efficace de l’IA) fixe les clauses des marchés depuis le 1er octobre 2025 : pas d’entraînement sur les données de l’administration sans consentement, portabilité, suivi du cycle de vie. <code>M-26-04</code> « Increasing Public Trust in Artificial Intelligence Through Unbiased AI Principles » (confiance du public par des principes d’IA impartiale) du 11 décembre 2025 ajoute, pour tout grand modèle de langage, une politique d’usage acceptable, une fiche de modèle et un canal de signalement des sorties.
Pour les modèles de frontière, le décret EO 14409 « Promoting Advanced Artificial Intelligence Innovation and Security » (innovation et sécurité de l’IA avancée) du 2 juin 2026 crée un processus classifié désignant les « modèles de frontière couverts » et un accès gouvernemental volontaire jusqu’à 30 jours avant la sortie ; son article 3(c) exclut toute licence ou autorisation préalable.
L’inventaire consolidé 2025 du 14 avril 2026 recense 3 611 cas d’usage, dont 445 à fort impact et 1 818 déployés ou en pilote. Pour qui vend de l’IA à une agence fédérale, ces mémorandums sont la loi fédérale sur l’IA en pratique, et leurs pièces, inventaire des systèmes d’IA, analyse d’impact, fiche de modèle, clauses, sont celles que réclament aussi les États et l’AI Act.
La préemption fédérale des lois des États : ce que le décret EO 14365 a fait, et n’a pas fait
Le 1er juillet 2025, le Sénat a retiré par 99 voix contre 1 le moratoire de dix ans sur les lois d’États ; début décembre 2025, le cavalier du NDAA a été abandonné face à 36 procureurs généraux et environ 280 parlementaires d’États.
Le 11 décembre 2025, le président signait le décret EO 14365 « Ensuring a National Policy Framework for Artificial Intelligence » (garantir un cadre national pour l’IA). Il ne préempte rien par lui-même, son article 9 n’ouvrant aucun droit opposable ; il commande les leviers du tableau ci-dessous : la Task Force du ministère de la Justice, créée le 9 janvier 2026, l’évaluation du Commerce des lois « onéreuses », toujours non publiée, la condition BEAD, une procédure FCC, une déclaration de la FTC jamais finalisée, et une recommandation législative.
Celle-ci est devenue, le 20 mars 2026, le National Policy Framework for Artificial Intelligence : sept volets non contraignants demandant au Congrès de préempter les lois d’États pesant sur le développement des modèles ou la responsabilité des développeurs pour les abus de tiers, les États gardant l’enfance, la fraude, la consommation et leur propre usage de l’IA.
Dans X.AI LLC v. Weiser, la Task Force est intervenue le 24 avril 2026 au soutien de xAI contre la loi du Colorado ; un sursis conventionnel du 27 avril suspend la loi et tout texte la remplaçant jusqu’à la décision sur l’injonction, demandée 28 jours après les règles du procureur général, attendues au 1er janvier 2027. Dans X.AI LLC v. Bonta, le juge a refusé le 4 mars 2026 l’injonction contre l’AB 2013 californienne ; la loi s’applique, l’appel est pendant. Aucun tribunal n’a jugé une loi d’État préemptée.
Au Congrès, le projet H.R. 5388 n’a connu aucun examen, le TRUMP AMERICA AI Act reste un document de travail de 291 pages sans numéro, et la commission du Commerce du Sénat, reportée du 29 juillet au 23 septembre 2026, n’a rien rapporté. Les procureurs généraux ont écrit quatre fois (40, 36, 23 et le District de Columbia, puis 26 le 23 septembre 2026) pour exiger une clause d’absence de préemption. La loi du Colorado reste au centre du bras de fer.
| Instrument | Date | Ce qu’il peut faire | État au 31 octobre 2026 |
|---|---|---|---|
| Moratoire de dix ans (loi budgétaire) | 1er juillet 2025 | Suspendre les lois d’États | Retiré par 99 voix contre 1 |
| Décret EO 14365 | 11 décembre 2025 | Ordonner des procédures | En vigueur, livrables en retard |
| AI Litigation Task Force | 9 janvier 2026 | Attaquer les lois d’États en justice | Une intervention, suspendue |
| Évaluation du Commerce | Due le 11 mars 2026 | Désigner les lois « onéreuses » | Non publiée |
| National Policy Framework | 20 mars 2026 | Recommander une loi au Congrès | Non contraignant, rien de voté |
| Déclaration de la FTC | 1er juillet 2026 | Soutenir une préemption implicite | Projet, non finalisé |
| Procédure FCC | Non ouverte | Standard fédéral de transparence | Dormante |
| X.AI v. Bonta | 4 mars 2026 | Première décision au fond | Injonction refusée, appel pendant |
La couche étatique qu’un lecteur « fédéral » ne peut ignorer
Tant que la préemption reste une intention, les lois des États s’appliquent. Au Colorado, la SB 26-189 du 14 mai 2026 a remplacé la SB 24-205 par un cadre de transparence autour des technologies de décision automatisée (ADMT), applicable au 1er janvier 2027 ; l’application est suspendue, mais le procureur général a tenu l’audience sur ses règles le 26 octobre 2026.
La Californie empile les textes : la SB 53 impose depuis le 1er janvier 2026 aux développeurs de modèles de frontière un cadre publié et le signalement des incidents critiques ; les règlements CCPA sur les ADMT prévoient notices et opposition au 1er janvier 2027, remise des analyses de risque à la CPPA au 1er avril 2028 et audits de cybersécurité de 2028 à 2030 ; la SB 243 s’applique depuis le 1er janvier 2026 ; en septembre 2026, 22 projets ont été signés, dont le registre des auditeurs d’IA (SB 813, AB 1405) et la SB 947 sur l’IA dans l’emploi. Nos pages sur les lois californiennes sur l’IA, la réglementation CCPA et la loi sur les chatbots compagnons portent le détail.
Ailleurs, le TRAIGA texan s’applique depuis le 1er janvier 2026, avec un procureur général seul compétent, 60 jours de régularisation et une présomption de conformité NIST AI RMF ; l’Illinois interdit depuis la même date, par la loi HB 3773, l’IA discriminante dans l’emploi (voir l’IA dans le recrutement) ; New York a amendé son RAISE Act le 27 mars 2026 (applicable au 1er janvier 2027) et signé le 28 octobre 2026 la loi la plus large sur les chatbots ; à New York City, l’audit de décembre 2025 n’a relevé qu’une violation de la Local Law 144 sur 32 entreprises ; Washington appliquera sa HB 2225 au 1er janvier 2027. Quatorze lois d’États sur les chatbots ont été adoptées en 2026.
La réglementation américaine de l’IA comme problème de registres : un seul dossier pour les deux niveaux
La réglementation de l’IA aux États-Unis ne demande pas de choisir entre niveau fédéral et niveau étatique : elle demande des pièces, et ce sont les mêmes. L’inventaire que <code>M-25-21</code> exige des agences est celui qu’attendent le Colorado et le Texas, et que l’article 49 de l’AI Act transforme en enregistrement ; l’analyse d’impact fédérale est la « risk assessment » du CCPA et l’analyse d’impact de l’article 27.
| Pièce | Ancrage fédéral | Ancrage étatique | Ancrage AI Act | Guide AI Sigil |
|---|---|---|---|---|
| Inventaire des systèmes d’IA | <code>M-25-21</code> ; Advancing American AI Act, art. 7225 | Colorado ; TRAIGA | Article 49 | Inventaire des systèmes d’IA |
| Analyse d’impact | Pratique minimale de <code>M-25-21</code> | CCPA ; SB 26-189 ; projet Algorithmic Accountability Act | Article 27 (FRIA) | Analyse d’impact IA |
| Registre des tests de biais | Title VII ; <code>45 CFR 92.210</code> | NYC Local Law 144 ; Illinois HB 3773 | Article 10 | Biais de l’IA |
| Notices et explications | Motifs de refus de la Regulation B | Notices ADMT (Colorado, CCPA) ; TRAIGA ; SB 243 ; TAKE IT DOWN | Articles 50 et 86 | Explicabilité de l’IA |
| Journal des incidents | Délai de 48 heures du TAKE IT DOWN Act | SB 53 ; RAISE Act | Article 73 | Signalement des incidents IA |
| Données d’entraînement et modèle | Fiches de modèle <code>M-26-04</code> ; projet H.R. 8094 | AB 2013 | Article 53, annexe XI | Model card |
| Clauses fournisseurs | <code>M-25-22</code> : pas d’entraînement, portabilité | Questionnaires de type AI-CAIQ | Article 25 | Due diligence des fournisseurs IA |
| Supervision humaine et recours | Voie de recours de <code>M-25-21</code> | SB 947 | Article 14 | Supervision humaine |
| Documentation du risque de modèle | SR 26-2 | Aucun texte d’État propre | Articles 9 et 15 | Gestion du risque de modèle |
La discipline tient en une règle : une pièce par système d’IA, datée, reliée à l’obligation qu’elle prouve. Un test de biais sans date ne répond ni à la Local Law 144, qui le veut annuel, ni à SR 26-2, qui en fixe la cadence au risque.
C’est la logique d’AI Sigil : la plateforme tient l’inventaire des systèmes d’IA et attache à chacun ses contrôles et ses preuves, de sorte que la même pièce serve à Washington, à un procureur général d’État et à l’autorité européenne. Celui qui tient l’inventaire tient la preuve.
Ce qu’il faut surveiller d’ici 2027
Presque chaque échéance des douze prochains mois appelle une mise à jour du dossier, et plusieurs tombent le même jour.
- 28 novembre 2026 : proposition de définition législative de la « Super Intelligence » (article 3 du décret EO 14434).
- Sans date : liste du Commerce des lois « onéreuses », déclaration finale de la FTC, ouverture de la procédure FCC ; tant qu’elles manquent, la condition BEAD reste dormante.
- 1er janvier 2027 : règles du procureur général du Colorado, puis requête en injonction de xAI 28 jours plus tard ; entrée en vigueur de la SB 26-189, du RAISE Act, de la loi new-yorkaise sur les chatbots, de la HB 2225 de Washington et des notices ADMT du CCPA.
- Neuvième circuit : l’appel de X.AI v. Bonta décidera du sort de l’AB 2013 et, avec lui, du premier précédent sur une loi d’État.
- Session de fin de mandat : NO FAKES Act bloqué le 30 septembre 2026, KOSA et le KIDS Act de la Chambre, CREATE AI Act rapporté par 29 voix contre 0.
- Janvier 2027 : le 120e Congrès s’installe ; le NIST poursuit la révision de l’AI Risk Management Framework et de son profil cyber, encore à l’état de projet ; le projet de loi codifiant le CAISI attend.
Pour les groupes transatlantiques, le calendrier européen rappelé en ouverture ne bouge pas : l’article 50 s’applique déjà, l’annexe III suit fin 2027. Le NIST AI RMF reste le pont le plus court entre les deux systèmes, le Texas en faisant une présomption de conformité et le Colorado y renvoyant ; notre guide opérationnel du règlement européen sur l’IA montre comment les mêmes pièces servent des deux côtés.
Questions fréquentes
<b>Existe-t-il une loi fédérale globale sur l’IA aux États-Unis ?</b>
Non. Au 31 octobre 2026, le Congrès n’a adopté ni loi générale sur l’IA, ni régime de licence ou d’enregistrement des modèles, ni loi de préemption des textes des États. La réglementation de l’IA aux États-Unis qui touche une entreprise privée vient d’un seul texte spécifique, le TAKE IT DOWN Act, et de lois anciennes appliquées par la FTC, le CFPB, la SEC et le HHS.
<b>Qu’impose le TAKE IT DOWN Act, et qui est une « covered platform » ?</b>
Son article 3 oblige toute plateforme couverte à retirer sous 48 heures les images intimes non consenties, « digital forgeries » produites par IA et copies identiques comprises. Une plateforme couverte est tout site ou application public dont l’activité principale est l’hébergement de contenus d’utilisateurs, pas seulement les réseaux sociaux. La FTC est compétente depuis le 19 mai 2026, jusqu’à 53 088 USD par violation.
<b>Le décret EO 14365 préempte-t-il les lois des États sur l’IA ?</b>
Non. Un décret présidentiel ne peut abroger une loi d’État ; EO 14365 commande des procédures et ne crée aucun droit opposable. Fin octobre 2026, l’évaluation du Commerce n’est pas publiée, la déclaration de la FTC reste un projet et la seule décision au fond, X.AI v. Bonta, a maintenu la loi californienne AB 2013. Un programme de conformité doit supposer les deux niveaux.
<b>Le mémorandum OMB M-25-21 s’applique-t-il aux entreprises privées ?</b>
Pas directement : <code>M-25-21</code> s’adresse aux agences et les atteint par contrat. Une agence qui achète une IA à fort impact doit obtenir de son fournisseur tests avant déploiement, analyse d’impact, surveillance continue et voie de recours ; <code>M-25-22</code> ajoute l’interdiction d’entraîner sur les données publiques et la portabilité ; <code>M-26-04</code> exige politique d’usage acceptable et fiche de modèle. C’est la norme fédérale de fait.
<b>Quelles agences fédérales font respecter des règles sur l’IA aujourd’hui, et sur quel fondement ?</b>
La FTC, sur la section 5 du FTC Act et le TAKE IT DOWN Act ; le CFPB, sur l’ECOA et la Regulation B ; l’EEOC et les tribunaux, sur le Title VII et l’ADA ; la SEC, contre l’« AI washing » ; le HHS, sur <code>45 CFR 92.210</code> ; les superviseurs bancaires, sur SR 26-2. Aucune n’applique une « loi sur l’IA » ; toutes appliquent une loi existante à un usage d’IA.
<b>Qu’a changé le décret sur la « Super Intelligence » ?</b>
Le décret EO 14434 du 29 septembre 2026 impose aux agences fédérales d’écrire « Super Intelligence » à la place d’« Artificial Intelligence » dans leurs documents non statutaires. Les termes gardent le sens de <code>15 U.S.C. 9401(3)</code> ; une proposition de définition législative est attendue vers le 28 novembre 2026. Il ne modifie ni le NIST ni le CAISI, ne crée aucune obligation pour les entreprises, et l’accord volontaire du même jour n’engage à rien.
Conclusion
La réglementation de l’IA aux États-Unis en 2026 n’est pas une loi, c’est une liste de pièces. Un texte propre à l’IA vise les plateformes, une dizaine de lois anciennes s’appliquent par la FTC, le CFPB, la SEC et le HHS, trois mémorandums de l’OMB fixent la norme de fait des fournisseurs de l’administration, et la campagne de préemption n’a, au 31 octobre 2026, retiré aucune loi d’État. Attendre une clarification fédérale revient à ne rien faire devant les échéances du 1er janvier 2027 au Colorado, à New York et en Californie. Les pièces demandées sont les mêmes partout, AI Act compris. Tenez, pour chaque système d’IA, un dossier de preuves daté et relié à l’obligation qu’il prouve.