Audits d’IA dans l’Illinois dès 2028 : analyse du premier État américain

L’entrée de calendrier n’est plus une table ronde de conférence. C’est une dépendance de publication. L’Illinois a déplacé la conformité en matière de sécurité de l’IA du terrain familier de la documentation interne vers le monde moins indulgent des audits indépendants. C’est important, car l’auditabilité n’est pas quelque chose qu’une équipe ajoute à un modèle après son lancement. Les journaux, les dossiers d’évaluation, les processus de gestion des incidents, les validations de gouvernance et les preuves fournies par les fournisseurs doivent tous exister avant qu’un tiers puisse les vérifier. La question pratique n’est pas de savoir si les régulateurs apprécient les cadres de sécurité. Elle est de savoir si votre processus produit peut prouver qu’un cadre a bien fonctionné au moment décisif.

Ce que l’Illinois a réellement adopté

Selon Skadden, le gouverneur de l’Illinois, JB Pritzker, a signé l’Artificial Intelligence Safety Measures Act le 6 juillet 2026, faisant de l’Illinois le troisième État, après la Californie et New York, à imposer des obligations de transparence, de sécurité et de signalement aux grands développeurs d’IA. Skadden indique que l’Illinois va plus loin en exigeant des développeurs qu’ils fassent appel chaque année à un tiers indépendant pour auditer leur conformité. DLA Piper décrit de même l’Illinois comme le premier État à exiger des audits par des tiers des modèles d’IA, tandis que Governing avait précédemment rapporté que le projet de loi obligerait les grands développeurs d’IA à divulguer les risques, à signaler les incidents de sécurité et à se soumettre à des audits indépendants annuels.

La version courte est simple : l’Illinois est le premier sur la vérification externe. La version juridique est plus étroite et plus utile : les grands développeurs de modèles frontière couverts sont soumis à des audits annuels indépendants de conformité, ainsi qu’à une obligation de cadre public qui commence le 1er janvier 2028. Si votre note de conformité indique seulement que la fiche du modèle est terminée, elle passe à côté de l’essentiel.

Qui est concerné par la conformité

Skadden indique que la loi est centrée sur un cadre d’IA frontière et s’applique à un grand développeur de modèles frontière. À partir du 1er janvier 2028, ce développeur devra rédiger, mettre en œuvre, respecter et publier de manière visible sur son site web un cadre décrivant son approche de la gestion des risques catastrophiques. Skadden précise également que ce cadre devra être réexaminé au moins une fois par an, et que toute modification importante devra être publiée avec une justification dans un délai de 30 jours. Crowell & Moring présente la même loi comme des obligations de transparence et de sécurité pour les systèmes d’IA frontière, et indique que l’Illinois a rejoint la Californie et New York dans l’adoption de normes pour les systèmes d’IA les plus puissants. C’est une limite utile pour les concepteurs qui n’entraînent pas de modèles frontière mais s’appuient sur eux. Vous n’êtes peut-être pas la cible directe de la loi, mais les achats ont une longue mémoire et un questionnaire court.

Ce qui change pour les concepteurs

Cooley décrit l’AISMA comme un passage de la transparence à la vérification. Son analyse compare les cadres antérieurs, notamment la TFAIA de Californie, la loi RAISE modifiée de New York et certaines parties du règlement européen sur l’IA, qui exigent généralement des développeurs qu’ils évaluent et divulguent la manière dont ils identifient, évaluent et gèrent les risques liés à l’IA. L’Illinois ajoute la partie délicate : un tiers indépendant doit vérifier si le processus fonctionne réellement comme il est décrit.

Traduit en travail produit, cela signifie que les preuves de conformité doivent être intégrées dès la conception du système. La liste de contrôle de publication doit attribuer clairement la responsabilité des évaluations des risques, des fiches de modèle ou de système, des voies de signalement des incidents, des mises à jour du cadre public et de la coopération avec les audits. Un contrat fournisseur impliquant un modèle frontière devrait demander la remise de documentation, la notification des incidents et l’appui aux audits, non pas parce que chaque client est directement réglementé, mais parce que les obligations réglementaires circulent par les processus d’achat.

DLA Piper note que l’AISMA ressemble aux approches de la Californie et de New York en matière d’obligations de transparence, à l’exception notable des dispositions relatives aux audits. C’est sur cette exception que les équipes produit devraient passer du temps. Un cadre public est un document. Un audit est un document plus des preuves, des horodatages, des personnes, des contrôles et, parfois, une réunion inconfortable.

Là où les juridictions divergent désormais

La comparaison de Cooley met en évidence le problème que les concepteurs reconnaîtront : la Californie, New York et certaines parties du règlement européen sur l’IA mettent l’accent sur l’évaluation, la divulgation, les cadres de gouvernance, les rapports de transparence, les fiches de modèles, les évaluations des risques et le signalement des incidents. L’Illinois conserve une grande partie de cette architecture, puis y ajoute une vérification indépendante. Crowell & Moring affirme que, même sans action fédérale, la Californie, New York et l’Illinois ont créé ce qui est essentiellement un cadre national pour la sécurité et la transparence de l’IA.

Cela ne signifie pas que les règles sont identiques. Cela signifie qu’un grand développeur servant des clients américains peut devoir satisfaire à l’attente opérationnelle la plus stricte, même lorsqu’un autre État se contente de contrôles auto-déclarés. Le centre de gravité de la conformité se déplace de ce qu’un développeur dit faire vers ce qu’un auditeur peut vérifier qu’il a fait.

Pour les lecteurs qui construisent avec des systèmes frontière, la prochaine étape utile est banale et immédiate : cartographier les preuves que votre cycle de développement actuel crée déjà, celles qui disparaissent dans des fils de discussion, et celles qu’un tiers pourrait réellement inspecter. D’ici 2028, les entreprises intéressantes ne seront pas celles qui disent accueillir favorablement les règles. Ce seront celles dont le processus de lancement laisse déjà une piste d’audit.