Loi TRAIGA : le droit texan de l’IA passé en application

L’essentiel

• La loi TRAIGA (HB 149) s’applique depuis le 1er janvier 2026 et vise toute organisation dont un système d’IA est utilisé par des résidents du Texas, quel que soit son pays d’établissement.
• Le texte interdit sept pratiques. Trois ne pèsent que sur les entités publiques, ce qui explique que la plupart des déployeurs privés les écartent dès la première lecture.
• La loi TRAIGA repose sur l’intention, non sur le résultat. L’article 552.056 précise que l’impact disparate ne suffit pas à établir une discrimination illicite.
• L’obligation réelle est probatoire : l’article 552.105(e)(2)(D) ouvre un moyen de défense fondé sur la conformité substantielle au cadre de gestion des risques du NIST.
• La poursuite appartient au seul procureur général du Texas, avec un délai de régularisation de 60 jours et des amendes atteignant 200 000 dollars.

Pourquoi une loi texane concerne une direction conformité européenne

La Texas Responsible Artificial Intelligence Governance Act, que tout le monde désigne par son acronyme TRAIGA, a été promulguée par le gouverneur Greg Abbott le 22 juin 2025 et produit ses effets depuis le 1er janvier 2026. La quasi-totalité des analyses encore en circulation datent des quinze jours qui ont suivi la promulgation, lorsque la question intéressante était de savoir ce que le législateur venait de faire. Cette question est tranchée. Celle qui se pose désormais est de savoir ce qu’un responsable conformité doit être en mesure de démontrer. Pour un groupe français, la question n’est pas théorique. Le champ d’application de la loi TRAIGA ne dépend ni du siège social ni d’un établissement stable, mais de l’usage : dès lors qu’un produit ou un service est utilisé par des résidents texans, le texte s’applique. Une filiale américaine, une plateforme SaaS commercialisée outre-Atlantique ou un module d’IA intégré dans une offre exportée suffisent à faire entrer le groupe dans le périmètre. La loi TRAIGA introduit quatre chapitres nouveaux dans le Business and Commerce Code texan. Le chapitre 551 pose les définitions, le chapitre 552 rassemble les interdictions et le dispositif répressif, le chapitre 553 crée un bac à sable réglementaire confié au Department of Information Resources, le chapitre 554 institue un conseil consultatif sur l’IA. Le texte modifie également la loi biométrique de l’État à l’article 503.001, disposition régulièrement oubliée dans les synthèses.

Un champ d’application fondé sur l’usage

Le critère de rattachement mérite d’être répété tant il déroute les juristes habitués au raisonnement territorial classique. La loi TRAIGA vise la personne qui développe ou déploie un système d’IA au Texas, qui y fait de la publicité, y promeut ou y exerce une activité, ou qui propose des produits ou services utilisés par des résidents texans. Aucun seuil de chiffre d’affaires, aucun seuil d’effectif, aucune condition d’implantation. Il en résulte que le périmètre ne se déduit pas de l’organigramme juridique. Il se construit à partir d’un inventaire des systèmes d’IA et des populations qu’ils touchent, exercice qui reste, pour la majorité des organisations, la donnée d’entrée la plus difficile à produire.

Les sept pratiques interdites, article par article

Lire les interdictions comme un bloc homogène constitue l’erreur la plus fréquente, car elles ne s’adressent pas aux mêmes destinataires.

Les obligations propres aux entités publiques

L’article 552.051 impose à une administration d’informer la personne, en des termes clairs et apparents, qu’elle interagit avec un système d’IA. L’information doit précéder l’interaction ou l’accompagner, et ne peut être reléguée dans des conditions générales. L’article 552.053 interdit à une entité publique de recourir à l’IA pour attribuer une note sociale ou une évaluation catégorielle analogue produisant un traitement défavorable. L’article 552.054 interdit à une entité publique d’identifier une personne déterminée au moyen de données biométriques sans son consentement. Ces trois dispositions expliquent que la doctrine décrive la loi TRAIGA comme un texte principalement tourné vers la sphère publique. Pour un déployeur privé, elles constituent un contexte plutôt qu’une obligation, sauf à vendre à des administrations texanes, auquel cas elles reviennent par la voie contractuelle.

Les obligations qui atteignent les acteurs privés

L’article 552.052 interdit de développer ou de déployer un système d’IA conçu pour inciter une personne à se porter atteinte, à porter atteinte à autrui ou à commettre une infraction. L’article 552.055 vise le système développé ou déployé dans le seul but de porter atteinte aux droits constitutionnels d’une personne. L’article 552.056 interdit le système développé ou déployé dans l’intention de discriminer illégalement une catégorie protégée. Le texte ajoute expressément que l’impact disparate ne suffit pas, à lui seul, à caractériser cette intention. L’article 552.057 interdit les systèmes conçus pour produire du matériel pédopornographique ou des hypertrucages à caractère sexuel. Une entreprise conduite normalement écarte les quatre. Personne ne construit un outil de présélection des candidatures dans l’intention de discriminer, et la loi ne demande pas si le modèle discrimine en fait. C’est précisément pour cette raison que l’effort de conformité ne doit pas se concentrer sur les interdictions. Les tests de biais de l’IA conservent tout leur intérêt, mais sous l’empire de la loi TRAIGA ils changent de nature : ils deviennent une preuve et non une obligation.

L’intention plutôt que l’effet : le choix qui structure tout le texte

Le critère intentionnel constitue la décision fondatrice du législateur texan. Le règlement européen sur l’IA et la loi initiale du Colorado partaient tous deux du résultat possible et vous obligeaient à le rechercher par avance. La loi TRAIGA demande si vous avez voulu ce résultat. L’allègement est réel et il serait malhonnête de le minorer : aucun devoir de vigilance, aucune analyse d’impact obligatoire, aucun enregistrement, aucun dépôt d’algorithme. Les versions antérieures du texte comportaient une obligation générale de transparence pesant sur les déployeurs privés ainsi qu’une politique de maîtrise des risques obligatoire ; l’une et l’autre ont disparu avant l’adoption, comme le cabinet K&L Gates l’a documenté. Le piège tient à ce qu’un critère intentionnel fait au contentieux. Lorsque la responsabilité dépend de l’effet, le débat est statistique. Lorsqu’elle dépend de l’intention, le débat porte sur ce que vous saviez, sur ce dont vous aviez été alerté et sur ce que vous en avez fait. Chaque document interne devient alors une pièce à charge ou à décharge : un rapport d’équipe rouge montrant que vous avez identifié une faille puis corrigée vous protège, le même rapport montrant que vous avez identifié la faille puis livré malgré tout vous accable. La loi TRAIGA n’impose pas de conduire une gestion des risques de l’IA. Elle fait discrètement de sa trace écrite le terrain sur lequel vous serez jugé.

Le moyen de défense constitue l’essentiel du dispositif

C’est la disposition que la plupart des synthèses mentionnent en une phrase avant de passer à autre chose. L’article 552.105(e)(2)(D) ouvre à la personne poursuivie un moyen de défense lorsqu’elle se conforme substantiellement à la version la plus récente du cadre de gestion des risques liés à l’IA du NIST, y compris son profil consacré à l’IA générative NIST-AI-600-1, ou à un autre cadre de gestion des risques reconnu sur le plan national ou international. Le paradoxe mérite d’être souligné. Un texte dépourvu d’analyse d’impact obligatoire et de toute formalité déclarative désigne néanmoins un référentiel externe précis et fait de sa mise en oeuvre une cause d’exonération. L’obligation n’a pas disparu : elle s’est déplacée de l’amont, où un régulateur l’aurait collectée, vers l’aval, où votre propre conseil devra la produire.

Ce que recouvre la conformité substantielle

La conformité substantielle ne s’atteste par aucun certificat et le Texas ne tient aucun registre des entreprises conformes. Il s’agit d’une allégation qu’il faut ensuite étayer, ce qui la rend entièrement tributaire de la documentation. Concrètement, les quatre fonctions du NIST AI RMF doivent être adossées à des éléments probants : GOVERN sous forme de politiques, de rôles et de responsables identifiés ; MAP sous forme d’inventaire assorti d’une finalité documentée par système ; MEASURE sous forme de résultats de tests, d’évaluations et de campagnes d’équipe rouge horodatés ; MANAGE sous forme de traitement suivi des risques ainsi mis au jour. L’adjectif décisif est « horodaté ». Un référentiel adopté après réception d’une notification du procureur général ne relève pas de la conformité substantielle mais de la réaction. Le moyen de défense n’existe que si la trace précède la plainte.

Les trois autres voies d’exonération

La conformité substantielle n’est pas la seule issue. La loi TRAIGA reconnaît également les manquements découverts par des tests internes, des exercices d’équipe rouge ou des évaluations adverses, récompensant ainsi les organisations qui cherchent activement leurs propres défauts. Elle reconnaît le respect des orientations émises par une agence de l’État compétente. Elle reconnaît enfin les mesures prises à la suite d’un processus de revue interne documenté. Le texte protège par ailleurs le développeur et le déployeur lorsqu’un tiers détourne leur système. La protection n’est pas automatique dans les faits : démontrer que le détournement est imputable au tiers suppose de pouvoir établir ce que votre système avait été conçu et paramétré pour faire, ce qui reste une question documentaire. Notre guide de l’audit des systèmes d’IA détaille la manière de structurer ces travaux pour que leurs résultats restent exploitables ultérieurement.

Le dispositif répressif : qui agit, dans quels délais, à quel coût

La répression est centralisée et étroite. L’article 552.101 confère au procureur général du Texas une compétence exclusive. Aucune action privée n’est ouverte, de sorte que la loi TRAIGA n’expose pas au contentieux de masse, faiblesse que des associations telles qu’EFF-Austin ont relevée du point de vue de la protection des consommateurs. La séquence procédurale mérite d’être mémorisée. L’article 552.102 impose au procureur général de maintenir un dispositif en ligne de réception des plaintes. L’article 552.103 l’autorise à délivrer une demande d’investigation civile dès réception d’une plainte, demande qui peut porter sur des éléments opérationnels, y compris les données d’entraînement. L’article 552.104 impose une notification écrite et interdit toute action avant le soixantième jour suivant celle-ci, ouvrant une fenêtre de régularisation. Les amendes prévues à l’article 552.105 sont graduées : de 10 000 à 12 000 dollars pour un manquement régularisable, de 80 000 à 200 000 dollars lorsqu’il ne l’est pas, de 2 000 à 40 000 dollars par jour en cas de persistance. L’article 552.106 permet aux agences de l’État d’ajouter des sanctions administratives aux entités qu’elles agréent, jusqu’à 100 000 dollars et jusqu’au retrait d’agrément. Le chiffre qui doit orienter votre organisation n’est pas le plafond de 200 000 dollars, mais le délai de 60 jours. Une fenêtre de régularisation ne sert qu’à l’organisation capable d’identifier tous les systèmes concernés, d’établir ce qu’ils ont fait et de les modifier en deux mois. Il s’agit d’une capacité opérationnelle, la même que celle qu’exige la préparation au signalement des incidents. Les organisations incapables d’inventorier rapidement verront mécaniquement leurs manquements régularisables devenir irrégularisables. Une réserve s’impose sur l’état actuel de la pratique. La loi TRAIGA est jeune, l’appareil de contrôle du procureur général comme la réglementation d’application du Department of Information Resources se sont construits au cours de l’année 2026, et aucun corpus décisionnel significatif n’existe encore. Il faut donc raisonner à partir du texte, non à partir d’une jurisprudence qui n’existe pas.

La loi TRAIGA et le Colorado après le revirement de 2026

Pendant dix-huit mois, la présentation convenue opposait un Colorado exigeant à un Texas permissif. Cette lecture est périmée. Le 14 mai 2026, le gouverneur Polis a promulgué le texte SB 26-189, qui abroge le Colorado AI Act et le remplace par l’Automated Decision-Making Technology Act, applicable au 1er janvier 2027. Le texte de remplacement supprime le devoir de vigilance, l’obligation de programme de gestion des risques et les analyses d’impact au profit d’un régime déclaratif, comme le cabinet Skadden l’a analysé. C’est le Colorado qui s’est rapproché du Texas, et non l’inverse. La conséquence est architecturale. Les deux régimes américains encore debout diffèrent par leur mécanique mais convergent sur ce qu’ils exigent de conserver : <table header-row= »true »> <tr> <td></td> <td>Loi TRAIGA (Texas, en vigueur)</td> <td>Colorado ADMT (au 1er janvier 2027)</td> </tr> <tr> <td>Fait générateur</td> <td>Intention de causer un dommage prohibé</td> <td>Décision produisant des effets significatifs</td> </tr> <tr> <td>Critère de discrimination</td> <td>Intentionnel, impact disparate insuffisant</td> <td>Plus de devoir de vigilance général</td> </tr> <tr> <td>Analyse d’impact</td> <td>Non exigée</td> <td>Non exigée depuis l’abrogation</td> </tr> <tr> <td>Obligation principale du privé</td> <td>Ne pas commettre les pratiques interdites</td> <td>Informer, y compris sur les effets défavorables</td> </tr> <tr> <td>Mécanisme de protection</td> <td>Moyen de défense fondé sur le NIST AI RMF</td> <td>Respect des obligations d’information</td> </tr> <tr> <td>Contrôle</td> <td>Procureur général seul, 60 jours</td> <td>Procureur général, régime propre</td> </tr> </table> Un même socle de contrôles répond aux deux, et ce socle n’a rien de spécifiquement américain : un inventaire, une finalité documentée par système, des preuves d’évaluation et une capacité d’information. Notre analyse de la loi du Colorado après SB 26-189 développe la seconde colonne.

Le bac à sable réglementaire : à qui s’adresse-t-il réellement

Le chapitre 553 institue auprès du Department of Information Resources un bac à sable permettant à un participant agréé d’expérimenter un système d’IA sans obtenir au préalable la licence ou l’autorisation normalement requise. L’article 553.053 plafonne la participation à 36 mois, prorogeables sur accord. L’entrée n’a rien d’anodin. L’article 553.052 exige une description du système, une évaluation des bénéfices attendus, des plans d’atténuation des risques identifiés et la preuve du respect de toute législation fédérale applicable en matière d’IA. Les articles 553.101 à 553.103 imposent un reporting trimestriel. La lecture honnête, que les communications commerciales évitent en général : le bac à sable présente un intérêt lorsqu’un régime d’autorisation étatique bloque effectivement une expérimentation, ce qui vise en pratique la santé, l’assurance, les services financiers et une partie de la commande publique. Si rien ne vous bloque, le dispositif ajoute une obligation de reporting et un exercice d’évaluation en échange d’une dispense dont vous n’avez pas l’usage. Il s’apprécie donc au regard de l’ensemble du paysage réglementaire de l’IA, et non comme une curiosité texane.

Un plan de mise en conformité à 90 jours

Pour une organisation partant de zéro, cet ordre est celui qui sécurise le terrain le plus vite.

1. Inventorier ce qui touche le Texas. Tout système d’IA servant des utilisateurs texans, y compris les fonctionnalités embarquées dans des outils SaaS et le shadow AI que personne n’a déclaré. Le périmètre se définit par les utilisateurs et non par les entités.
2. Confronter chaque système aux sept interdictions. Vous les écarterez toutes, selon toute vraisemblance. Consignez néanmoins l’examen, daté et attribué à un responsable : l’absence d’intention prohibée est une allégation qu’il faudra peut-être établir.
3. Installer la conformité au NIST AI RMF comme actif de défense. Non comme une affiche. GOVERN, MAP, MEASURE et MANAGE, chacun adossé à des pièces datées et calibré sur le risque du système. C’est ce travail qui rend l’article 552.105(e)(2)(D) disponible, et c’est de loin le poste le plus rentable de cette liste.
4. Intégrer le délai de 60 jours au dispositif de gestion de crise. Répétez le parcours allant de la notification du procureur général à l’identification des systèmes, à la modification du comportement et à la réponse écrite. Vérifiez que vous en êtes capable au lieu de le supposer.
5. Constituer la trace intentionnelle. Finalités par système, résultats d’évaluation et d’équipe rouge, validations de revue et décisions prises sur les constats. Sous un critère intentionnel, cette trace constitue le dossier, et une politique d’IA désignant qui l’alimente et à quel rythme est ce qui évite d’avoir à la reconstituer après coup.

Rien de tout cela n’est propre au Texas, et c’est justement l’argument. Il s’agit du même socle que celui qu’exige l’auditabilité partout ailleurs.

Questions fréquentes

Que signifie l’acronyme TRAIGA ? TRAIGA désigne la Texas Responsible Artificial Intelligence Governance Act, adoptée sous la référence HB 149 par la 89e législature texane, promulguée le 22 juin 2025 et applicable depuis le 1er janvier 2026. L’acronyme se confond avec une forme verbale espagnole courante, si bien que les recherches sur ce terme renvoient des résultats mêlés. Le texte pertinent est celui qui insère les chapitres 551 à 554 dans le Business and Commerce Code du Texas. Un groupe français peut-il être soumis à la loi TRAIGA ? Oui. Le texte vise quiconque développe ou déploie un système d’IA au Texas, y exerce une activité commerciale, ou propose des produits ou services utilisés par des résidents texans. Ni siège social ni établissement ne sont requis, et aucun seuil de taille n’est prévu. Une filiale américaine, une offre SaaS accessible depuis le Texas ou un composant d’IA intégré à un produit exporté suffisent à déclencher l’application. La loi TRAIGA impose-t-elle une analyse d’impact ? Non. À la différence du règlement européen sur l’IA et de la loi initiale du Colorado, la loi TRAIGA n’impose ni analyse d’impact, ni enregistrement, ni dépôt d’algorithme. La nuance tient au moyen de défense de l’article 552.105(e)(2)(D), qui valorise une conformité documentée au cadre du NIST. La plupart des organisations produisent donc des livrables comparables, pour une raison différente. Quelles sanctions encourt-on ? De 10 000 à 12 000 dollars pour un manquement régularisable, de 80 000 à 200 000 dollars lorsqu’il ne l’est pas, et de 2 000 à 40 000 dollars par jour en cas de persistance. Les agences de l’État peuvent y ajouter des sanctions administratives pouvant atteindre 100 000 dollars pour les entités agréées. Le procureur général devant notifier puis attendre 60 jours, le caractère régularisable dépend largement de votre rapidité de réaction. Comment articuler la loi TRAIGA avec le règlement européen sur l’IA ? Les deux textes ne se recouvrent pas : le règlement européen classe les systèmes par niveau de risque et impose des obligations en amont, la loi TRAIGA interdit des comportements et récompense la preuve en aval. Un groupe soumis aux deux n’a pas à tenir deux dispositifs. Le socle documentaire exigé par le règlement européen alimente directement le moyen de défense texan, à condition d’être daté et rattaché à chaque système. Les consommateurs peuvent-ils agir en justice ? Non. L’article 552.101 réserve la poursuite au procureur général et le texte n’ouvre aucune action privée. Les consommateurs peuvent déposer plainte au moyen du dispositif prévu à l’article 552.102 mais ne disposent d’aucun recours propre. La loi neutralise en outre les règlements municipaux ou de comté contraires, de sorte que le contrôle demeure volontairement à canal unique. Le bac à sable réglementaire vaut-il la candidature ? Seulement si un régime d’autorisation étatique bloque réellement un déploiement. La participation court jusqu’à 36 mois et lève certaines autorisations, mais l’entrée suppose une évaluation des bénéfices, des plans d’atténuation et la preuve du respect du droit fédéral applicable, avec un reporting trimestriel. Pour un déployeur privé que rien ne bloque, le dispositif ajoute des obligations sans en retirer aucune.

Conclusion

La loi TRAIGA se laisse sous-estimer parce que sa lecture immédiate est exacte : les interdictions sont étroites, la plupart des acteurs privés les écartent, et rien n’a à être déposé auprès de quiconque. S’arrêter là constitue l’erreur. Un critère intentionnel ne supprime pas le besoin de preuve, il le déplace, et l’article 552.105(e)(2)(D) énonce sans ambiguïté la preuve que l’État acceptera. Le repli du Colorado vers un régime déclaratif rend la question plus sérieuse encore, puisque l’approche texane devient le modèle probable des États qui légiféreront ensuite. Les organisations qui absorberont les cinq prochaines lois américaines à moindre coût seront celles qui auront construit un inventaire unique, un socle de contrôles unique et une trace probatoire unique adossée à un référentiel reconnu. C’est une question de gouvernance de l’IA, pas une question texane, et elle se traite une fois pour toutes.