Date de référence et périmètre
Ceci est une photographie au 13 septembre 2026, non un avis juridique. Le droit de l’IA évolue rapidement, et les obligations dépendent de la juridiction, de l’acteur, du modèle, de l’usage et de la date d’entrée en vigueur. Une loi peut être adoptée mais pas encore applicable ; une orientation peut influencer l’application sans être elle-même contraignante ; un code volontaire peut aider à démontrer la conformité sans devenir une loi.
Il n’existe aucun régulateur mondial unique de l’IA ni aucune loi fédérale américaine complète sur les modèles de pointe. Le droit existant continue de s’appliquer : la discrimination, la vie privée, la protection des consommateurs, la sécurité des produits, le droit d’auteur, les contrats, la régulation sectorielle, le droit pénal et les limites constitutionnelles ne disparaissent pas parce que de l’IA est en cause.
Union européenne : un droit contraignant en application échelonnée
Le règlement européen sur l’intelligence artificielle est une réglementation contraignante à obligations fondées sur le risque. Les dispositions sur les pratiques interdites et la littératie en IA ont commencé plus tôt dans le calendrier de mise en œuvre. Les obligations pour les fournisseurs de modèles d’IA à usage général ont commencé à s’appliquer le 2 août 2025. À partir du 2 août 2026, le Bureau de l’IA de la Commission et les autorités nationales ont commencé à exercer des pouvoirs d’application pour les dispositions concernées, et les obligations de transparence de l’article 50 ont commencé à s’appliquer à des interactions d’IA spécifiées et à du contenu synthétique ou manipulé (cadre d’application de la Commission européenne).
Les fournisseurs de modèles à usage général doivent préparer une documentation technique, fournir des informations aux acteurs en aval, tenir une politique relative au droit d’auteur de l’UE, et publier un résumé du contenu d’entraînement. Les fournisseurs de modèles à usage général présentant un risque systémique font face à des obligations supplémentaires d’évaluation du modèle, d’évaluation et d’atténuation du risque systémique, de signalement d’incidents et de cybersécurité. Un seuil de calcul d’entraînement crée une présomption de risque systémique, mais la Commission peut aussi désigner des modèles sur la base de leur capacité ou de leur impact (obligations de la Commission européenne pour l’IA à usage général).
Le code de bonnes pratiques pour l’IA à usage général est volontaire. La Commission le reconnaît comme une méthode que les fournisseurs peuvent utiliser pour démontrer leur conformité ; les obligations sous-jacentes du règlement sur l’IA restent contraignantes pour les fournisseurs couverts. Un non-signataire n’échappe pas à la loi et peut présenter d’autres moyens adéquats.
L’article 50 exige des divulgations spécifiées et un marquage lisible par machine, avec des exceptions et des règles propres à chaque rôle. Il ne rend pas illégal tout résultat d’IA non étiqueté, et une étiquette ne prouve pas qu’un contenu soit faux. Les orientations de la Commission indiquent que les amendes concernées peuvent atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial annuel, sous réserve de conditions légales et de proportionnalité (FAQ de la Commission européenne sur l’article 50, juillet 2026).
L’omnibus IA de 2026 a modifié les calendriers et l’administration, y compris une application plus tardive pour d’importantes catégories à haut risque. Quiconque planifie sa conformité devrait utiliser le texte juridique consolidé et le calendrier actuel de la Commission, et non un article rédigé avant juillet 2026 (Commission européenne, juillet 2026).
Politique fédérale des États-Unis : droit sectoriel et changement d’approche exécutive
Le président Trump a révoqué le décret présidentiel 14110 en janvier 2025 par le décret 14179, et a ordonné un réexamen des mesures adoptées sous le décret précédent (Maison-Blanche, 23 janvier 2025). Une page qui décrit les rapports d’entraînement de pointe du décret 14110 comme des exigences fédérales contraignantes actuelles est obsolète, à moins qu’une autre autorité en vigueur ne les exige de façon indépendante.
Le plan d’action pour l’IA américaine de juillet 2025 met l’accent sur l’innovation, l’infrastructure, les exportations, la sécurité nationale et la retenue réglementaire (Maison-Blanche, juillet 2025). Ce plan est un document de politique exécutive, non une loi complète adoptée par le Congrès. Les règles des agences, les conditions de marchés publics, les contrôles à l’exportation et les autorités légales existantes conservent une force juridique distincte.
La loi TAKE IT DOWN est devenue loi fédérale en mai 2025. Elle criminalise la publication spécifiée de représentations visuelles intimes non consenties, y compris les trucages numériques couverts, et exige des plateformes couvertes qu’elles mettent en œuvre un processus de notification et de retrait selon le calendrier légal. C’est une loi ciblée sur les images intimes, pas un régime universel d’étiquetage des deepfakes (loi publique 119-12).
Les lois fédérales sur les droits civiques et la protection des consommateurs peuvent s’appliquer aux systèmes automatisés. Les employeurs peuvent enfreindre l’ADA ou le Titre VII par des outils discriminatoires ; les acteurs du logement restent soumis au Fair Housing Act ; les prêteurs restent soumis au droit du crédit ; et des allégations trompeuses peuvent déclencher l’autorité de protection des consommateurs. Les priorités et interprétations d’application peuvent changer d’une administration à l’autre, mais les obligations légales demeurent tant que les tribunaux ou les législateurs ne les modifient pas.
Le cadre de gestion des risques liés à l’IA du NIST et son profil pour l’IA générative sont des orientations volontaires, non une loi fédérale contraignante (NIST AI 600-1). Des contrats ou des régulateurs peuvent incorporer ces normes par référence, ce qui peut leur donner une portée pratique ou juridique dans un contexte précis.
Californie : transparence et signalement pour les modèles de pointe
La loi californienne SB 53, le Transparency in Frontier Artificial Intelligence Act, a été signée le 29 septembre 2025 et est entrée en vigueur en 2026. Dans le cadre de ses définitions légales, les grands développeurs de pointe doivent publier et suivre des cadres de sécurité IA, signaler des incidents de sécurité critiques spécifiés, et protéger les employés couverts qui signalent des violations ou des dangers substantiels. Le procureur général dispose de pouvoirs d’application et de réception des signalements (gouverneur de Californie ; ministère de la Justice de Californie).
Il s’agit d’une loi d’État contraignante, non d’un engagement volontaire de laboratoire. Les seuils de couverture, les définitions, les événements à signaler et les sanctions disponibles comptent. Elle ne devrait pas être résumée comme accordant une licence à tout modèle, ni comme prouvant que les modèles conformes sont sûrs.
La Californie dispose aussi d’autres lois sur l’IA, la vie privée, l’emploi, les médias synthétiques et la protection des consommateurs. L’applicabilité doit être vérifiée séparément plutôt que de traiter « la loi californienne sur l’IA » comme un instrument unique.
New York : la loi RAISE
Le Responsible AI Safety and Education Act de New York a été signé le 19 décembre 2025. Il exige des développeurs de pointe couverts qu’ils créent et suivent des cadres de sécurité et signalent les incidents de sécurité critiques selon ses définitions, avec des mécanismes d’application propres à l’État (gouverneure de New York).
C’est la version promulguée, et non un projet de loi antérieur, qui fait autorité. Les seuils et le périmètre ont changé pendant la négociation. La Californie et New York créent des socles étatiques significatifs mais ne constituent pas un régime uniforme pour les États-Unis. Les litiges, les contestations liées à la préemption fédérale et les amendements ultérieurs peuvent affecter la mise en œuvre.
Conseil de l’Europe : le statut de traité n’est pas un discours de sommet
La Convention-cadre sur l’intelligence artificielle et les droits de l’homme, la démocratie et l’État de droit a été ouverte à la signature le 5 septembre 2024. Elle est conçue comme un traité juridiquement contraignant pour les parties, mis en œuvre par le droit interne, et traite des principes, de l’évaluation des risques, de la reddition de comptes et des voies de recours (Conseil de l’Europe).
La signature exprime une intention ; la ratification crée le consentement à être lié selon le processus du traité ; l’entrée en vigueur dépend des conditions fixées dans le texte. Selon la page d’état du Conseil de l’Europe au 11 septembre 2026, aucune date d’entrée en vigueur n’était indiquée. Il convient de vérifier le tableau du traité en direct avant d’affirmer qu’un État est légalement lié (statut du CETS 225).
La convention n’est ni une interdiction mondiale du développement de l’AGI, ni un traité de contrôle du calcul, ni un régulateur mondial. Le périmètre lié à la sécurité nationale et la flexibilité de mise en œuvre limitent ce que l’on peut inférer de la participation.
Engagements volontaires et cadres d’entreprise
Les développeurs de pointe publient des politiques de mise à l’échelle responsable, des cadres de préparation, des fiches de modèle et des engagements de sommet. Ceux-ci peuvent guider des décisions internes et fournir des éléments au regard desquels juger une conduite. Ils n’équivalent pas à une législation, sauf si un contrat, un régulateur ou une loi rend un engagement spécifique exécutoire.
Les cadres volontaires peuvent changer lorsqu’une entreprise change de direction ou de tolérance au risque. Les lecteurs devraient suivre les versions, les seuils, les exceptions, qui approuve les dérogations, les résultats réels des évaluations, et si les violations ont des conséquences. Une promesse d’évaluer n’est pas une évaluation ; une publication n’est pas une vérification indépendante.
Comment lire toute affirmation sur le droit de l’IA
Posez six questions :
- Quelle juridiction et quel instrument juridique ?
- Est-il adopté, applicable et en vigueur à la date pertinente ?
- Qui et quoi est couvert ?
- Le document cité est-il une loi, un règlement, une orientation, un code, un contrat ou un engagement ?
- Quelle autorité enquête et quelles voies de recours existent ?
- L’application a-t-elle réellement eu lieu, ou l’affirmation ne porte-t-elle que sur des règles formelles ?
Le tableau honnête de septembre 2026 est mitigé. L’Europe dispose d’un cadre d’IA contraignant et actif, avec des calendriers échelonnés et récemment amendés. Les États-Unis s’appuient sur le droit fédéral existant, des lois ciblées, une politique exécutive, des contrôles à l’exportation et des lois d’État pionnières sur les modèles de pointe. Le Conseil de l’Europe a créé un cadre conventionnel, tandis qu’une retenue mondiale sur la capacité de pointe reste absente. La gouvernance n’est plus purement aspirationnelle, mais adopter une règle n’est qu’un début ; les budgets, l’expertise, les audits, les litiges, les rapports d’incidents et les voies de recours déterminent si elle protège réellement quelqu’un.