Vingt États ont désormais des lois sur la vie privée qui touchent aux données d'entraînement de l'IA, et elles ne sont pas d'accord entre elles

Vingt États américains ont désormais des lois complètes sur la vie privée en vigueur en 2026, et un nombre croissant d'entre elles traitent spécifiquement de la manière dont les entreprises collectent et utilisent les données pour l'entraînement de l'IA — non pas comme une promesse future, mais comme une loi applicable aujourd'hui. L'obligation de divulgation du Connecticut est entrée en vigueur le 1er juillet. Les règles de prise de décision automatisée de la Californie sont mises en place progressivement jusqu'en 2027. Aucune de ces lois n'utilise les mêmes définitions, seuils ou mécanismes d'application, ce qui signifie qu'un seul produit d'IA peut être légal dans un État et non conforme dans un autre utilisant exactement le même pipeline de données.

Le Connecticut vient de faire des données d'entraînement de l'IA une obligation de divulgation, pas seulement un problème de vie privée

Depuis le 1er juillet 2026, toute entreprise soumise à la loi sur la confidentialité des données du Connecticut doit indiquer dans son avis de confidentialité si elle collecte, utilise ou vend des données personnelles pour entraîner de grands modèles de langage, y compris l'utilisation indirecte via des fournisseurs. Il s'agit d'une exigence de transparence, pas d'un droit de retrait : les entreprises peuvent toujours utiliser les données des consommateurs pour l'entraînement de l'IA, mais elles ne peuvent plus le faire en silence. La clause d'utilisation indirecte est le tranchant ici. Elle ferme la faille où une entreprise prétend ne pas entraîner elle-même les modèles tout en fournissant silencieusement des données à un fournisseur qui le fait — une structure sur laquelle plusieurs entreprises adjacentes à l'IA se sont appuyées précisément parce qu'elle les tenait à une étape des obligations relatives aux données d'entraînement.

Les résidents du Connecticut ont également obtenu un droit plus large à partir de la même date : la possibilité de se retirer de tout profilage automatisé produisant un effet juridique ou similairement significatif sur eux, couvrant les décisions de crédit, la souscription d'assurance, l'éligibilité au logement, le filtrage d'emploi et les indicateurs de fraude. Essentiellement, ce retrait s'applique même lorsqu'un humain est nominalement dans la boucle — une disposition visant directement les entreprises qui utilisent la « révision humaine » comme bouclier de conformité pour ce qui est fonctionnellement une décision automatisée.

La Californie construit quelque chose de plus structurel

L'approche de la Californie superpose deux mécanismes distincts. AB 2013 exige que les développeurs d'IA générative publient des divulgations détaillées de jeux de données sur leurs sites Web publics — couvrant si les données d'entraînement incluent des informations personnelles ou des documents protégés par le droit d'auteur, la plage de temps qu'elles couvrent et les limitations connues — avec application par le procureur général de l'État et des pénalités allant jusqu'à 5 000 $ par violation. Séparément, l'Agence de protection de la vie privée de Californie a finalisé les réglementations sur la technologie de prise de décision automatisée (ADMT) qui ont pris effet le 1er janvier 2026, donnant aux consommateurs des droits d'accès, de retrait et de demande de révision humaine des décisions automatisées, avec des dispositions spécifiques couvrant la technologie utilisée pour générer des deepfakes ou effectuer une identification biométrique.

La définition fonctionnelle de l'ADMT par la CPPA — toute technologie utilisant le calcul pour remplacer ou remplacer substantiellement la prise de décision humaine — est délibérément large, et c'est la pièce la plus susceptible d'attraper des produits d'IA qui n'ont pas été explicitement construits en gardant à l'esprit la conformité californienne. Les entreprises utilisant l'ADMT pour des décisions importantes doivent être conformes d'ici le 1er janvier 2027, et les obligations d'évaluation des risques pour les entreprises couvertes ont commencé le 1er janvier 2026, avec des délais d'attestation s'étendant jusqu'en avril 2028.

Pourquoi la fragmentation est le vrai problème, pas une loi en particulier

Individuellement, aucune de ces vingt lois d'État n'est déraisonnable. Le problème est qu'elles ne partagent pas un cadre commun. Le Connecticut exige la divulgation de l'utilisation indirecte de l'entraînement de l'IA ; la Californie exige la divulgation de la composition directe du jeu de données plus un régime de retrait ADMT séparé ; d'autres États ajoutent leurs propres exigences de consentement aux données sensibles. Une entreprise opérant à l'échelle nationale doit désormais soit construire le plus petit dénominateur commun restrictif dans chaque produit, quel que soit l'endroit où se trouve un utilisateur, soit maintenir des pipelines de données et un langage de divulgation vraiment différents par État — les deux sont coûteux, et le second est opérationnellement fragile à grande échelle.

Il s'agit d'un environnement de conformité matériellement différent du GDPR, qui au moins donnait aux entreprises une norme unique et unifiée sur laquelle construire. Vingt normes d'État différentes, évoluant selon des calendriers différents avec différents organismes d'application, se rapprochent de la gestion de vingt programmes de conformité distincts qui se chevauchent.

Ce que cela signifie si vous construisez ou achetez des produits d'IA

Si votre entreprise entraîne des modèles sur des données d'utilisateurs ou achète des données auprès de fournisseurs qui le font, auditez dès maintenant votre chaîne d'utilisation indirecte — l'exigence de divulgation du Connecticut ferme spécifiquement la défense « nous n'entraînons pas, notre fournisseur le fait », et d'autres États sont susceptibles de copier ce langage étant donné à quel point il cible directement une astuce de conformité connue. Si vous opérez en Californie, traitez les réglementations ADMT comme le filet plus large : la définition fonctionnelle est suffisamment large pour couvrir des produits auxquels votre équipe ne pense peut-être pas comme une « prise de décision automatisée » au sens courant — les moteurs de recommandation, la notation des risques et les outils de filtrage d'éligibilité sont tous des cibles plausibles.

Pour les équipes orientées consommateur : votre avis de confidentialité n'est plus une formalité juridique que vous pouvez copier-coller d'un État à l'autre. Étant donné à quel point les exigences du Connecticut et de la Californie sont déjà spécifiques, et combien d'autres États devraient ajouter un langage similaire d'ici 2027, construire une logique de divulgation État par État maintenant est moins coûteux que de la réadapter après qu'une action d'application en ait défini les limites pour vous.