L'Illinois adopte une loi historique sur la sécurité de l'IA, devenant le premier État à exiger des audits des modèles frontaliers

Les législateurs de l'Illinois ont envoyé une loi historique sur la sécurité de l'IA au gouverneur J.B. Pritzker mercredi, après son adoption à la Chambre par 110 voix contre 0 et au Sénat par 52 voix contre 5 — et Pritzker a publiquement déclaré son intention de la signer. Une fois signée, l'Illinois deviendra le premier État du pays à exiger des audits indépendants et tiers des pratiques de sécurité des grands développeurs d'IA dite frontalière.

Ce que la loi exige

Le projet de loi Sénat 315, intitulé formellement "Artificial Intelligence Safety Measures Act", s'applique aux développeurs d'IA dont le chiffre d'affaires annuel brut dépasse 500 millions de dollars. Ce périmètre couvre Anthropic, OpenAI, Google DeepMind et Meta AI, entre autres.

Les entreprises concernées doivent créer et mettre à jour annuellement un cadre publié couvrant l'évaluation des risques catastrophiques, les stratégies d'atténuation des risques, les pratiques de cybersécurité, la gouvernance interne et les évaluations par des tiers. Au-delà de la publication de ces cadres, elles doivent divulguer comment elles identifient et répondent aux "incidents de sécurité critiques" — et signaler ces incidents à l'Agence de gestion des urgences de l'Illinois et au Procureur général dans les 72 heures suivant l'obtention de motifs suffisants de croire qu'un tel incident s'est produit. Si l'incident présente un risque imminent de mort ou de préjudice physique grave, ce délai se réduit à 24 heures.

L'exigence d'audit est la disposition la plus significative du projet de loi. À partir du 1er janvier 2028, les grands développeurs devront se soumettre à des audits annuels indépendants et réalisés par des tiers de leurs pratiques de sécurité — une exigence qui n'existe ni au niveau fédéral ni dans aucune autre loi d'État.

La législation comprend également des protections pour les lanceurs d'alerte qui signalent des préoccupations de sécurité, obligeant les entreprises à maintenir un processus de signalement interne anonyme. Le Procureur général de l'Illinois obtient l'autorité d'exécution civile sur les entreprises non conformes.

La politique derrière le vote

La principale sponsor sénatoriale du projet de loi, la sénatrice démocrate Mary Edly-Allen de Grayslake, a décrit le paysage réglementaire actuel de l'IA comme étant "le Far West". Le représentant d'État Daniel Didech, sponsor à la Chambre, a déclaré à ses collègues dans l'hémicycle que l'IA "a le potentiel d'améliorer radicalement la qualité de vie des gens dans le monde entier, mais seulement si elle est déployée et développée de manière responsable."

Le vote quasi unanime à la Chambre (110-0) reflète un accord bipartite inhabituellement large. Les Démocrates de l'Illinois poussent un ensemble de projets de loi liés à l'IA cette session, les présentant explicitement comme une réponse à l'inaction fédérale en matière de régulation de l'IA. L'Illinois s'inspire d'une législation similaire à New York et en Californie, avec pour objectif de créer une norme nationale de facto pour les États qui choisiraient de l'adopter.

Ce que cela signifie pour l'industrie

Un délai de signalement d'incident de 72 heures est notablement agressif — plus strict, par exemple, que la règle de notification sous le RGPD et comparable aux règles de divulgation des incidents de cybersécurité de la SEC. Pour les entreprises d'IA, définir ce qui constitue un "incident de sécurité critique" sera un défi majeur de mise en œuvre.

L'exigence d'audit annuel obligatoire représente une charge de conformité significative. Il n'existe actuellement aucun écosystème d'audit établi pour les pratiques de sécurité de l'IA frontalière, ce qui signifie que les entreprises et les auditeurs tiers devront définir des méthodologies à partir de zéro avant la date d'effet de 2028. Cet écart sera un point d'attention immédiat pour les organismes de normalisation, les cabinets d'audit et l'industrie elle-même.

Le projet de loi a été adopté avec le soutien de plusieurs entreprises d'IA, suggérant que l'industrie considère la régulation au niveau des États comme préférable à une mosaïque de lois locales plus restrictives — ou comme une parade contre une législation fédérale moins prévisible. Comme le rapportait Capitol News Illinois, les défenseurs décrivent le SB 315 comme "seulement la première étape".