Le 17 mai 2024, le gouverneur du Colorado, Jared Polis, a promulgué la loi sur l'intelligence artificielle du Colorado, ou Colorado Artificial Intelligence Act (« CAIA »). La CAIA constitue une étape importante pour la réglementation de l'IA aux États-Unis, car il s'agit de la première loi étatique à couvrir un large éventail de systèmes d'IA. Bien qu'un projet de loi similaire proposé dans le Connecticut n'ait pas été adopté, il est probable que d'autres États suivront l'exemple du Colorado en réglementant de manière générale l'utilisation de l'IA.

Comment la CAIA se compare-t-elle à la loi européenne sur l'IA (EU AI Act) ?

La CAIA est similaire à l'EU AI Act sur trois aspects.

Premièrement, la majorité des exigences des deux lois concernent les systèmes d'IA à haut risque. Deuxièmement, la conformité avec ces deux législations peut être démontrée, dans une large mesure, par le respect de normes telles que ISO/CEI 42001 - Systèmes de management de l'IA. Troisièmement, les deux lois exigent des évaluations d'impact pour les systèmes à haut risque.

Il existe également au moins deux différences majeures entre la CAIA et l'EU AI Act.

Premièrement, les exigences de l'EU AI Act sont plus approfondies que celles de la CAIA. La CAIA, qui se concentre principalement sur la discrimination algorithmique, exclut de sa définition des systèmes d'IA à haut risque plusieurs types courants de systèmes d'IA. Elle exempte également de bon nombre de ses exigences les déployeurs comptant moins de 50 employés, sous réserve du respect de certains critères.

Deuxièmement, la plupart de ses dispositions entreront en vigueur bien plus tôt que l'essentiel des dispositions de l'EU AI Act. Les entreprises disposent d'un peu moins de 20 mois pour se mettre en conformité avec la CAIA, celle-ci entrant en vigueur le 1er février 2026. En comparaison, les exigences de l'EU AI Act pour les systèmes à haut risque n'entreront en vigueur qu'à la mi-2026, soit 24 mois après sa publication au Journal officiel de l'UE.

Quels systèmes d'IA sont concernés par la CAIA ?

La CAIA s'applique aux développeurs ou déployeurs de systèmes d'IA exerçant des activités commerciales au Colorado. Un développeur est une personne qui développe ou modifie de manière intentionnelle et substantielle un système d'IA, tandis qu'un déployeur est une personne qui déploie un système d'IA à haut risque.

Selon la CAIA, un système d'IA est à haut risque si, lorsqu'il est déployé, il « prend une décision importante, ou constitue un facteur substantiel dans la prise d'une décision importante ». Une décision importante est une décision qui a « un effet juridique matériel ou un effet similaire significatif sur l'octroi ou le refus à tout consommateur, ou sur le coût ou les conditions » de l'inscription scolaire ou d'opportunités éducatives, de l'emploi ou d'une opportunité d'emploi, d'un service financier ou de prêt, d'un service public essentiel, de services de santé, du logement, de l'assurance ou d'un service juridique. De plus, certains types de systèmes d'IA sont exclus de la catégorie à haut risque.

Comment la CAIA sera-t-elle appliquée ?

‍Le procureur général du Colorado aura l'autorité exclusive pour faire appliquer la loi et pour fournir les règles et directives associées. La CAIA ne prévoit pas de droit d'action privé. Si le procureur général du Colorado engage une action d'application, un déployeur bénéficiera d'une « présomption réfutable » selon laquelle il a fait preuve d'une diligence raisonnable pour protéger les consommateurs contre la discrimination algorithmique s'il dispose d'une politique et d'un programme de gestion des risques conformes au NIST AI Risk Management Framework (« AI RMF ») ou à la norme ISO/CEI 42001. De plus, dans le cadre d'une action d'application, une entreprise dispose d'un moyen de défense (« affirmative defense ») si elle découvre et corrige une violation de la CAIA grâce à des retours d'information, des tests contradictoires ou du « red teaming » (tels que définis par le NIST) ou un processus d'examen interne, et qu'elle est « par ailleurs en conformité avec » le NIST AI RMF et l'ISO/CEI 42001.

Pour plus d'informations sur la manière de développer une politique et un programme de gestion des risques, demandez notre guide gratuit et complet sur la rédaction d'une politique d'IA ici.

‍

‍

Quelles sont les obligations imposées par la CAIA aux développeurs et déployeurs de systèmes d'IA à haut risque ?

La CAIA exige des développeurs et des déployeurs qu'ils fassent preuve d'une « diligence raisonnable » pour protéger les individus contre les risques connus ou prévisibles de discrimination algorithmique, et qu'ils décrivent leurs utilisations de l'IA à haut risque sur leur site web.

Les développeurs sont tenus de notifier au procureur général du Colorado et aux déployeurs connus tout risque de discrimination algorithmique connu ou raisonnablement prévisible, sans délai déraisonnable et dans un délai de 90 jours. Les déployeurs sont tenus de notifier au procureur général du Colorado, dès qu'ils apprennent qu'un système a causé une discrimination algorithmique, sans délai déraisonnable et dans un délai de 90 jours.

Les développeurs doivent fournir « une déclaration générale décrivant les utilisations raisonnablement prévisibles ainsi que les utilisations nocives ou inappropriées connues du système », accompagnée de la documentation connexe.

Les déployeurs sont tenus de réaliser des évaluations d'impact des systèmes d'IA à haut risque chaque année et dans les 90 jours suivant toute « modification intentionnelle et substantielle » du système d'IA.

‍

‍

Les déployeurs doivent mettre en place une politique et un programme de gestion des risques, informer les personnes concernées avant qu'un système d'IA ne soit utilisé pour prendre une décision importante, expliquer aux individus comment les décisions importantes défavorables ont été prises, offrir la possibilité de corriger des informations personnelles incorrectes liées à ces décisions, et proposer des voies de recours pour contester ces décisions.

Tous les systèmes d'IA doivent être « étiquetés »

Bien que la plupart des exigences de la CAIA concernent les systèmes d'IA à haut risque, son exigence d'étiquetage s'applique à tous les systèmes d'IA destinés à interagir avec des individus. Pour ces systèmes, un développeur ou un déployeur doit informer l'individu qu'il interagit avec un système d'IA, à moins que cela ne soit « évident pour une personne raisonnable ».

Enzai est là pour vous aider

La solution d'Enzai peut aider votre entreprise à se conformer aux exigences du Colorado, au NIST AI RMF, à la norme ISO/CEI 42001, à l'EU AI Act et à d'autres régimes mondiaux de réglementation et d'assurance. Pour en savoir plus, contactez-nous ici.

Enzai est la plateforme leader de gouvernance de l'IA d'entreprise, spécialement conçue pour aider les organisations à passer d'une politique abstraite à une supervision opérationnelle. Notre plateforme de gestion des risques liés à l'IA fournit l'infrastructure spécialisée requise pour gérer la gouvernance de l'IA agentique, maintenir un inventaire d'IA complet et garantir la conformité à l'EU AI Act. En automatisant les flux de travail complexes, Enzai permet aux entreprises de déployer l'IA à grande échelle en toute confiance, tout en restant alignées sur les normes mondiales telles que ISO 42001 et le NIST.