Nouvelle loi californienne exige des évaluations des risques liés à l’IA d’ici fin 2027
Alors que les entreprises se précipitaient pour adopter l’intelligence artificielle tout au long de 2025, elles ont peut-être négligé un problème critique. L’IA n’a pas seulement créé de nouveaux risques, elle a également exposé des vulnérabilités d’infrastructure que de nombreuses organisations portent depuis la fin des années 1990, selon des experts juridiques.
Un cabinet d’avocats exhorte maintenant les entreprises à agir immédiatement sur les évaluations des risques liés à l’IA, avertissant que les conseils d’administration et les régulateurs s’attendent à des progrès visibles en matière de gouvernance de l’IA. Le cabinet souligne les pressions croissantes : des ingénieurs déployant des modèles plus rapidement que les équipes juridiques ne peuvent les examiner, des contrats de fournisseurs qui ne traitent pas de la propriété des données d’entraînement, et des régulateurs qui portent une attention particulière.
Cadre obligatoire d’évaluation des risques
Dans le cadre de la nouvelle loi californienne, les entreprises doivent inclure des évaluations des risques liés à l’IA dans leur évaluation des risques d’entreprise d’ici le 31 décembre 2027. Le récent décret exécutif établissant un cadre politique national pour l’IA signale que l’application des réglementations fédérales pourrait s’intensifier, même si les États et le gouvernement fédéral s’opposent sur la juridiction.
Il est recommandé aux organisations d’adopter le Cadre de gestion des risques liés à l’IA du National Institute of Standards and Technology (NIST) comme fondation. Ce cadre, neutre par rapport aux secteurs, devient la norme de l’industrie et fournit des outils d’implémentation pratiques qui aident les équipes juridiques, de gestion des risques et d’ingénierie à travailler ensemble efficacement.
Importance de la cartographie des infrastructures
Le cabinet avertit que les équipes doivent éviter des scénarios où un système d’IA de service client prend des décisions d’éligibilité non autorisées. Il est crucial que les entreprises sachent qui possède les résultats de l’IA lorsque les données des clients sont entraînées par les équipes d’ingénierie, déployées par les équipes de produits et utilisées pour des décisions pour lesquelles les départements juridiques sont responsables. Les organisations doivent identifier qui a l’autorité pour suspendre ou annuler les systèmes lorsque des risques émergent.
Approche en trois phases
Une approche en trois phases est décrite. Au cours des trois premiers mois, les entreprises devraient cartographier l’utilisation de l’IA, assigner des responsables pour le risque et la conformité liés à l’IA, et créer un système d’enregistrement pour tous les systèmes d’IA en usage. Les trois à neuf mois suivants devraient se concentrer sur l’élargissement des protocoles de test, la révision des contrats pour des obligations spécifiques à l’IA et la mise en œuvre de contrôles techniques. La phase finale, de neuf à dix-huit mois et au-delà, implique une surveillance continue via des alertes, des tableaux de bord et la détection des dérives.
Les régulateurs comprennent que la perfection n’est pas immédiatement atteignable. Ils s’attendent à voir des progrès visibles et un récit d’amélioration crédible. Les entreprises devraient avoir prêt maintenant : un inventaire des systèmes d’IA avec des niveaux de risque et des propriétaires, des plans de réponse aux incidents mis à jour pour les risques spécifiques à l’IA, et une charte pour un comité de gouvernance de l’IA.
Conclusion
Les entreprises doivent développer des politiques et des normes en matière d’IA, créer des protocoles écrits pour le test et la validation (surtout pour les systèmes affectant l’emploi, le logement ou les populations vulnérables) et établir des questionnaires de diligence des fournisseurs. À mesure que l’IA continue d’évoluer rapidement, le message des experts juridiques est clair : le moment de construire des cadres de gouvernance robustes est maintenant, et non lorsque les régulateurs se manifestent.
