IA : ce que l'écart entre Washington et Bruxelles change pour vos produits

Ce qui a été signé à Washington

Le 29 septembre, Donald Trump a signé avec Sundar Pichai (Google), Dario Amodei (Anthropic), Mark Zuckerberg (Meta), Greg Brockman (OpenAI), Jensen Huang (Nvidia) et Elon Musk un « engagement conjoint ». CBS News détaille les quatre niveaux de contrôle prévus : contrôles internes, équipe interne de vérification, audit externe et revue par un comité du conseil d'administration. Le texte précise qu'« avec le temps, il pourrait être pertinent » de transformer ces étapes en lois. Le président l'a qualifié de « moralement contraignant ». Selon The Guardian, le document ne prévoit aucun mécanisme d'application.

Au Congrès, rien n'avance. La newsletter DC/ai Decoded du 5 octobre rapporte que plusieurs textes sur l'IA ont été bloqués avant la pause électorale. Les élections de mi-mandat ont lieu le 3 novembre.

L'histoire du Colorado

Le Colorado avait adopté en 2024 la loi la plus ambitieuse des États-Unis sur l'IA. Elle imposait un devoir de diligence et des analyses d'impact aux développeurs et aux utilisateurs de systèmes à haut risque. Le site CrossGov retrace la suite.

En décembre 2025, un décret présidentiel crée une cellule du ministère de la Justice chargée de contester les lois des États, et conditionne environ 21 milliards de dollars de fonds pour le haut débit. Le ministère du Commerce doit lister les lois jugées trop lourdes, et le décret cite celle du Colorado. En avril 2026, xAI attaque la loi en justice et le gouvernement fédéral demande à rejoindre la procédure. Le procureur général de l'État suspend son application. Le 14 mai, le gouverneur signe un texte de remplacement. Il abandonne le devoir de diligence et les analyses d'impact. Il donne en échange aux personnes un droit d'information, d'accès, de correction et de revue humaine des décisions automatisées, à partir du 1er janvier 2027.

Ce que je retiens de cet épisode : une loi d'État peut être réécrite en quelques mois sous pression fédérale. Une entreprise européenne qui vend aux États-Unis doit donc suivre une cible mobile, État par État. La loi californienne SB 53, appliquée depuis le 1er janvier 2026, vise les plus grands développeurs de modèles ; elle reste en vigueur.

Le calendrier européen

Côté européen, le cadre est fixé et le calendrier a bougé. L'omnibus sur l'IA est entré en vigueur le 27 juillet 2026. Il reporte les règles sur les systèmes à haut risque de l'annexe III au 2 décembre 2027, et celles des produits physiques de l'annexe I au 2 août 2028. Les obligations de transparence de l'article 50 s'appliquent, elles, depuis le 2 août 2026 : informer les personnes qui échangent avec un système d'IA, marquer les contenus générés, signaler les hypertrucages.

Pour aider les entreprises, la Commission a publié le 10 juin un code de bonnes pratiques sur la transparence des contenus générés. Il est volontaire. Selon la Commission, environ 190 organisations l'avaient signé fin juillet. Le 30 septembre, plus de 90 signataires ont lancé deux groupes de travail, sur le marquage et sur l'étiquetage, présidés par le Bureau de l'IA.

En France, la cybersécurité ajoute une incertitude. La loi qui doit transposer la directive NIS2 a de nouveau été retirée de l'ordre du jour de l'Assemblée nationale le 6 octobre, sans nouvelle date, d'après Leto. Au 19 octobre, elle ne figure toujours pas parmi les textes inscrits jusqu'au 29 octobre. Ses obligations ne s'appliquent donc pas encore en droit français.

Ce que je conseille

1. Prenez l'AI Act comme cahier des charges de base. Un produit qui informe l'utilisateur, marque ses contenus et documente ses usages satisfait la règle la plus exigeante de vos marchés.
2. Classez vos usages dès maintenant. Listez chaque fonction IA de vos produits et indiquez si elle relève de l'article 50, du haut risque ou d'aucune obligation. Datez ce classement.
3. Utilisez le délai de 2027. Le report laisse un peu plus d'un an pour préparer la documentation des systèmes à haut risque. Je lancerais le travail dès ce trimestre, avant que les équipes ne soient prises par d'autres priorités.
4. Suivez les États américains où vous vendez. Le nouveau texte du Colorado entre en vigueur le 1er janvier 2027. Prévoyez la revue humaine des décisions automatisées si vos clients y sont.
5. Lisez les engagements de vos fournisseurs. L'accord du 29 septembre ne crée aucune obligation contractuelle à votre égard. Demandez à vos fournisseurs de modèles leurs engagements écrits sur la sécurité, l'audit et la notification d'incidents.
6. Préparez NIS2 sans attendre la loi. Vérifiez si votre organisation entre dans le champ, comme entité essentielle ou importante, et nommez dès maintenant la personne qui portera la gouvernance du risque cyber.

C'est le type de feuille de route que je construis avec les équipes dans une mission de gestion de projet digital.

Calendrier d'actions

Ce que je retiens

L'Europe a tranché la question de qui fixe la règle et discute du calendrier. Les États-Unis débattent encore de qui doit réguler. Je pense que cet écart durera au moins jusqu'en 2027. Je reviendrai sur le sujet après les élections du 3 novembre.