L’Illinois est sur le point d’adopter l’une des lois d’État les plus strictes sur la sécurité de l’IA aux États-U

L’Illinois avance vers des audits externes obligatoires pour les laboratoires d’IA de pointe

Les législateurs de l’Illinois ont adopté un projet de loi qui obligerait les principaux développeurs d’IA à faire auditer leurs pratiques de sécurité par un tiers indépendant, une étape que ses partisans présentent comme le contrôle d’État le plus strict à ce jour sur les entreprises de modèles de pointe aux États-Unis.

La mesure, SB 315, a été adoptée par la Chambre de l’Illinois et est désormais entre les mains du gouverneur JB Pritzker, qui a déclaré publiquement mercredi qu’il prévoyait de la signer. Si cela se produit, l’Illinois ira au-delà des approches fondées sur la divulgation utilisées dans d’autres États et exigera une vérification externe que les laboratoires respectent réellement les normes qu’ils affirment défendre.

Ce qui distingue ce projet de loi

Des lois d’État sur l’IA dans des endroits comme la Californie et New York obligent déjà les entreprises à fournir des informations sur les garde-fous et à signaler les incidents de sécurité. La proposition de l’Illinois va plus loin en ciblant une faiblesse centrale de nombreux régimes de gouvernance : l’auto-attestation.

Les partisans du projet de loi soutiennent qu’actuellement, les entreprises d’IA définissent leurs propres normes de sécurité puis s’évaluent largement elles-mêmes par rapport à ces engagements. Avec SB 315, cet arrangement changerait. Un auditeur indépendant serait chargé de déterminer si un laboratoire respecte ses propres pratiques de sécurité.

Cette distinction compte. Un système fondé sur le reporting peut créer de la transparence sans nécessairement créer de la responsabilité. Un système fondé sur l’examen par un tiers ajoute un contrôle extérieur, même si les normes examinées proviennent encore des entreprises elles-mêmes.

Pourquoi les États mènent la bataille

La progression du projet de loi met aussi en lumière une réalité politique plus large : la législation fédérale sur la sécurité de l’IA reste limitée, si bien que les assemblées d’État deviennent le principal terrain de bataille pour la réglementation à court terme. À mesure que les outils d’IA générative se diffusent et que les entreprises qui les développent poursuivent des ambitions commerciales plus vastes, les législateurs subissent une pression pour montrer que la gouvernance suit le rythme.

La source note que le responsable des affaires mondiales d’OpenAI a déclaré à WIRED que la stratégie politique de l’entreprise est désormais orientée vers l’adoption d’une série de lois d’État. Cela est révélateur à deux égards. D’abord, cela montre que les entreprises comprennent que la réglementation des États n’est plus périphérique. Ensuite, cela suggère que l’industrie considère un patchwork de règles étatiques comme l’environnement pratique dans lequel la gouvernance de l’IA sera négociée pour l’instant.

Qui pourrait réaliser les audits

Selon la source, les partisans s’attendent globalement à ce que les laboratoires se tournent vers de grands cabinets d’audit et de conseil comme Deloitte, EY, KPMG et PwC. Il est également possible, précise l’article, que les entreprises travaillent avec des participants du AI Evaluator Forum, une coalition de petits groupes de recherche spécialisés dans l’évaluation des modèles.

Ce détail soulève une question importante encore non résolue : quelle institution est la mieux placée pour auditer la sécurité de l’IA ? Les cabinets d’audit traditionnels apportent de l’échelle et une discipline de processus, mais la profondeur technique requise pour l’évaluation des modèles de pointe pourrait pousser le marché vers des organisations spécialisées ou des dispositifs hybrides.

Ce que la loi ferait, et ne ferait pas

SB 315 ne résoudrait pas à elle seule tous les débats sur la sécurité de l’IA. Elle ne créerait pas de système national d’agrément, ne définirait pas un ensemble universel de critères techniques et n’éliminerait pas les désaccords sur les risques à prioriser. En revanche, elle établirait une structure d’application plus solide autour des engagements pris par les entreprises elles-mêmes.

Cela pourrait avoir des conséquences pratiques au-delà de l’Illinois. Les grands laboratoires préfèrent souvent une certaine cohérence opérationnelle, et dès qu’un État majeur exige un processus de gouvernance, cela peut influencer les normes ailleurs. Au minimum, le projet de loi pourrait devenir un modèle pour d’autres législatures à la recherche d’un cadre plus affirmatif que la simple divulgation.

Il reformule aussi une question de base en matière de gouvernance de l’IA. Le problème n’est plus seulement de savoir si les entreprises publient des politiques ou promettent la prudence. Il s’agit de savoir si une entité indépendante vérifie que ces promesses sont tenues. En ce sens, le projet de loi de l’Illinois vise non seulement le risque lié à l’IA, mais aussi le déficit de crédibilité qui accompagne la posture d’autorégulation du secteur.

Si le gouverneur Pritzker signe la mesure comme prévu, l’Illinois deviendra un cas d’essai important. Le résultat sera suivi de près par les laboratoires d’IA, les décideurs des États, les auditeurs et les partisans des deux camps du débat sur la réglementation. Pour l’instant, le changement de politique central est clair : l’un des plus grands États américains s’apprête à remplacer les déclarations de sécurité de l’IA sur le papier par une exigence de vérification externe.

Cet article s’appuie sur un reportage de Wired. Lire l’article original.