La Californie impose la transparence aux géants de l’IA avec la loi SB 53

La Californie choisit d’encadrer les promesses les plus ambitieuses de l’intelligence artificielle sans attendre une réglementation fédérale américaine unifiée. Le 29 septembre 2025, le gouverneur Gavin Newsom a promulgué la loi SB 53, portée par le sénateur démocrate Scott Wiener. Son objectif est clair : demander aux entreprises qui développent les modèles les plus puissants d’expliquer comment elles gèrent leurs risques et de rendre compte rapidement lorsqu’un problème sérieux survient.

Le texte ne revient pas à demander une autorisation de l’État avant chaque lancement de modèle. Il introduit plutôt une logique de traçabilité et de responsabilité. Les acteurs visés devront publier un cadre décrivant leurs pratiques de sécurité, déclarer certains incidents critiques dans un délai de quinze jours et ne pas exercer de représailles contre les salariés qui signalent des problèmes. Dans un État où sont implantées ou très présentes de nombreuses figures de la Silicon Valley, dont Google, Meta, OpenAI et Anthropic, la portée symbolique et économique de cette loi dépasse largement ses frontières.

SB 53 : ce que la loi californienne impose aux développeurs d’IA

La SB 53 s’intéresse aux systèmes d’IA les plus avancés, souvent appelés modèles d’IA de pointe. Il ne s’agit donc pas de soumettre chaque service numérique utilisant un peu d’automatisation aux mêmes règles. Le dispositif cible les développeurs capables de concevoir ou d’entraîner des modèles dont les capacités peuvent faire émerger des risques particulièrement graves.

La catégorie des grands développeurs visée par la loi comprend notamment les entreprises dont le revenu annuel brut atteint au moins 500 millions de dollars. Cette précision est importante : elle concentre les exigences les plus lourdes sur les organisations disposant des moyens techniques, financiers et humains nécessaires pour développer des systèmes très puissants.

Le choix californien consiste ainsi à fixer des obligations de méthode. Une entreprise ne peut pas simplement affirmer qu’elle prend la sécurité au sérieux : elle doit formaliser sa démarche, la rendre publique et l’appliquer lorsqu’un incident entre dans le champ de la loi.

Que devront publier les entreprises concernées ?

Le cœur de la SB 53 est l’obligation de rendre public un cadre de sécurité. Ce document doit présenter la manière dont une entreprise identifie les risques liés à ses modèles, les mesures qu’elle prévoit pour les réduire et l’organisation mise en place pour réagir si un problème survient.

Cette exigence mérite d’être bien comprise. La loi ne force pas les groupes concernés à publier leur code source, les données complètes utilisées pour entraîner leurs modèles ou tous leurs secrets industriels. Elle impose plutôt de rendre visible la politique de sécurité qui entoure le développement et le déploiement de leurs IA les plus avancées.

Dans les faits, ce type de cadre peut traiter de plusieurs questions : comment l’entreprise évalue les capacités d’un modèle avant sa diffusion, quelles limites elle souhaite lui imposer, qui peut décider d’un lancement, ou encore comment elle surveille les usages susceptibles de causer des dommages importants. Les grands laboratoires d’IA avaient déjà commencé à prendre des engagements volontaires sur ces sujets. Avec la SB 53, une partie de cette démarche entre dans un cadre légal.

La transparence publique répond aussi à une difficulté récurrente dans l’IA : l’écart entre les déclarations d’une entreprise et les informations réellement accessibles aux chercheurs, aux salariés, aux décideurs publics et aux citoyens. Un document public ne remplace pas un audit technique indépendant, mais il crée un repère auquel il devient possible de confronter les actes.

Quinze jours pour déclarer les incidents graves

L’autre obligation centrale concerne les incidents critiques. Lorsqu’un événement grave lié à la sécurité survient, l’entreprise doit le signaler dans un délai de quinze jours. Le texte vise notamment des cas où un système d’IA adopterait un comportement dangereux ou trompeur susceptible d’entraîner des risques significatifs.

L’exemple le plus sensible est celui d’une IA qui contribuerait à faciliter la fabrication d’armes interdites ou illégales. Mais l’intérêt de cette exigence dépasse ce seul scénario. Les modèles les plus puissants sont testés pour détecter des capacités inattendues, des contournements de garde-fous ou des comportements qui diffèrent de ce qui était attendu lors de leur conception. Lorsqu’un tel signal est suffisamment sérieux, la logique de la SB 53 est simple : il ne doit pas rester confiné à l’entreprise.

Le délai de quinze jours concerne la déclaration de l’incident, non l’obligation de résoudre intégralement le problème dans le même temps. Une enquête technique peut demander beaucoup plus longtemps. En revanche, les autorités doivent pouvoir être informées assez vite pour apprécier la situation, suivre les mesures engagées et, si nécessaire, intervenir.

Cette obligation peut paraître administrative, mais elle modifie la culture de gestion des risques. Dans un secteur habitué à communiquer surtout sur les performances de ses nouveaux modèles, elle pousse les entreprises à documenter aussi leurs échecs, leurs alertes et les limites constatées.

Des protections pour les salariés qui signalent un risque

Un dispositif de sécurité est peu utile si les personnes les mieux placées pour repérer une défaillance hésitent à parler. La SB 53 comprend donc des dispositions de protection des lanceurs d’alerte. Les salariés qui signalent de bonne foi un problème lié à la sécurité de l’IA ne doivent pas subir de représailles pour cette raison.

Cette mesure répond à une réalité très concrète du secteur technologique. Les ingénieurs, chercheurs, spécialistes de l’évaluation des modèles et équipes de sûreté voient parfois les résultats de tests ou les débats internes avant que le public ne les connaisse. Leur capacité à faire remonter une inquiétude peut être décisive, en particulier lorsque les enjeux commerciaux et la compétition entre laboratoires accélèrent les calendriers de lancement.

La loi donne aussi à l’État californien des voies d’action civiles en cas de manquement. L’enjeu n’est donc pas seulement réputationnel. Une entreprise qui ne publierait pas le cadre requis, qui omettrait un signalement imposé ou qui ne respecterait pas les protections prévues s’expose à une réponse juridique.

Californie et Union européenne : deux visions de la transparence

La SB 53 se distingue par sa volonté de mettre une partie des règles de sécurité directement à la disposition du public. C’est une différence notable avec le cadre européen, qui repose sur l’AI Act et sur une supervision structurée par les autorités compétentes.

L’Union européenne impose elle aussi des obligations substantielles aux fournisseurs de modèles d’IA à usage général, en particulier lorsqu’ils présentent un risque systémique. Elle prévoit notamment de la documentation technique, des mesures de gestion des risques et des obligations de coopération avec les autorités. Mais le degré de publicité des documents n’est pas le même selon leur nature : une part importante des informations techniques est destinée aux régulateurs, tandis que certains éléments, comme un résumé suffisamment détaillé des contenus d’entraînement, ont vocation à être rendus publics.

La comparaison ne permet donc pas de désigner mécaniquement un cadre comme plus sévère que l’autre. L’AI Act couvre un ensemble plus large de situations et organise un contrôle européen progressif. La Californie fait, elle, le pari d’une visibilité publique forte sur les politiques de sécurité des grands développeurs d’IA de pointe.

Une loi née d’un débat sur l’innovation et la sécurité

Scott Wiener avait déjà porté des propositions visant à encadrer les systèmes d’IA les plus puissants. Elles avaient suscité une vive résistance chez certains entrepreneurs et investisseurs de la Silicon Valley. L’argument avancé par les opposants est récurrent : des règles trop précoces ou trop rigides pourraient ralentir l’innovation, augmenter les coûts de conformité et pousser les entreprises à développer leurs modèles dans des territoires moins exigeants.

Les défenseurs de la SB 53 répondent qu’il ne s’agit pas de brider l’ensemble de l’écosystème. La loi cible les entreprises les plus grandes et les modèles les plus avancés, autrement dit ceux dont les choix peuvent avoir les conséquences les plus étendues. Elle ne prescrit pas une architecture technique unique et ne fixe pas un plafond général de puissance de calcul. Elle exige en revanche que les sociétés concernées montrent qu’elles ont anticipé les risques.

Ce compromis explique l’importance politique du texte. La Californie abrite une grande partie des capitaux, des chercheurs et des infrastructures qui façonnent l’IA mondiale. Lorsqu’elle adopte une règle, les entreprises peuvent être tentées d’harmoniser leurs pratiques au-delà de l’État plutôt que de maintenir des procédures très différentes selon les territoires.

Ce que cela change pour le public et pour les entreprises

Pour les utilisateurs, la SB 53 ne crée pas un droit automatique à connaître tous les détails d’un modèle ni une garantie que les outils disponibles seront exempts d’erreurs. Son apport est ailleurs : elle établit un minimum de visibilité sur les engagements de sécurité des grands développeurs et sur leur réaction en cas d’incident grave.

Pour les entreprises, la conséquence est plus opérationnelle. Elles doivent disposer de procédures capables d’identifier les incidents concernés, de faire circuler l’information en interne, de décider d’un signalement et de documenter leurs actions. Elles doivent également veiller à ce que les équipes de sécurité puissent s’exprimer sans craindre de sanction professionnelle.

Cette évolution peut renforcer la confiance si les cadres publiés sont précis, compréhensibles et suivis d’effets. À l’inverse, des documents trop vagues ou très différents d’une entreprise à l’autre pourraient rendre la comparaison difficile. La valeur de la transparence dépendra donc autant de la qualité des informations publiées que de l’existence de la règle elle-même.

Ce qu’il faut surveiller

La première question sera celle de l’application concrète de la loi. Les entreprises concernées publieront-elles des cadres suffisamment détaillés pour éclairer réellement leurs pratiques, ou se limiteront-elles à des principes généraux ? La seconde portera sur la définition et la déclaration des incidents : les autorités disposeront-elles d’informations assez précises pour distinguer les alertes importantes des problèmes ordinaires de développement ?

Il faudra aussi observer la réaction des autres États américains et du gouvernement fédéral. La SB 53 peut devenir un modèle pour d’autres législateurs, ou au contraire nourrir les appels à une règle nationale qui éviterait une mosaïque de régulations locales.

Enfin, le texte ouvre un débat de fond : à quel moment une promesse volontaire de sécurité doit-elle devenir une obligation contrôlable ? En exigeant transparence, signalement et protection des personnes qui alertent, la Californie donne sa réponse pour les modèles d’IA les plus avancés. Reste à voir si cette approche parviendra à préserver l’innovation tout en rendant ses risques plus visibles et plus assumés.