Loi RAISE de New York : analyse avant l’inscription de janvier

La phase administrative, c’est là que le droit de la sécurité de l’IA devient réel. Pas lors de la cérémonie de signature, pas dans une table ronde de conférence, et pas dans le webinaire d’un fournisseur avec un badge de conformité glissé dans un coin. Le bureau de la gouverneure Kathy Hochul indique que l’État de New York demandera aux grands développeurs d’IA de s’enregistrer auprès de l’État à partir de novembre, dans le cadre de la mise en œuvre du Responsible AI Safety and Education Act. La même annonce précise que les développeurs d’IA concernés devront signaler les incidents de sécurité dans un délai de 72 heures. Traduction : avant l’entrée en vigueur de la loi en janvier, New York veut une liste d’acteurs, un circuit administratif et une personne à contacter quand le compte à rebours d’un incident commence.

Ce qui a changé en novembre, selon le bureau de la gouverneure Kathy Hochul

Le bureau de la gouverneure Kathy Hochul présente l’étape d’enregistrement de novembre comme une mise en œuvre, et non comme une ambition future. L’annonce indique aussi que Hochul a nommé une directrice adjointe du nouveau bureau DIGIT de l’État pour superviser la mise en œuvre du RAISE Act. C’est important, car une fois qu’une loi a un responsable, elle commence à produire des formulaires, des questions d’admission, des circuits internes et ce type d’e-mail qui demande pourquoi votre dépôt n’est pas encore arrivé.

L’analyse d’avril de Wiley indique que Hochul a signé un amendement de chapitre le 27 mars 2026, créant la version finale du RAISE Act, et que la loi entre en vigueur le 1er janvier 2027. Le New York Law Journal, via Law.com, décrit New York comme commençant la mise en œuvre, tandis que Hochul annonce davantage de réglementation de l’IA à venir. Mis bout à bout, l’enchaînement n’a plus rien de théorique, même si la première vraie date de conformité reste encore à venir.

La lecture pratique est simple. Un développeur concerné doit savoir qui est responsable de l’enregistrement à New York, qui peut confirmer le champ d’application, et qui est autorisé à communiquer avec l’État. Si la réponse est un fil Slack appelé quelque chose comme « juridique peut-être », le programme de conformité n’est pas encore un programme.

Qui est concerné, selon Jones Walker et Wiley

L’analyse de Jones Walker indique que le cadre convenu utilise une exigence de 500 millions de dollars de chiffre d’affaires après les amendements de chapitre, en remplacement des seuils de coût de calcul figurant dans la loi telle qu’elle avait été littéralement adoptée. Ce n’est pas une règle destinée à chaque application qui appelle un modèle via une API. Elle vise les grands développeurs de modèles de pointe, ce qui explique pourquoi l’étape d’enregistrement de novembre doit surtout être comprise comme un exercice d’identification des grands développeurs, et non comme une licence générale pour toute entreprise d’IA.

Wiley indique que le RAISE Act établit des obligations détaillées pour les développeurs de modèles de pointe et accorde un pouvoir réglementaire à un nouveau bureau au sein du New York Department of Financial Services. Ce détail est facile à négliger, mais il serait imprudent de l’ignorer. Le pouvoir réglementaire signifie que la loi constitue le texte de base, tandis que les instructions opérationnelles peuvent arriver par le biais du processus administratif.

Pour les développeurs en aval, l’obligation immédiate peut être indirecte plutôt que directe. Si votre produit dépend d’un fournisseur de modèle concerné, votre vérification des fournisseurs devrait commencer à demander si ce fournisseur prévoit de s’enregistrer, comment il gère les incidents de sécurité à signaler, et quel avis vous recevrez si le dépôt auprès de l’État modifie les conditions de service. Les résumés d’articles ne modifient pas les contrats. Le langage des achats, lui, le fait.

Le délai de 72 heures est le processus de travail, pas le slogan, selon l’État de New York

L’annonce de la gouverneure indique que le RAISE Act exige des développeurs d’IA qu’ils signalent les incidents de sécurité dans un délai de 72 heures. C’est la phrase qui transforme la politique en opérations. Un délai de 72 heures exige des critères de triage, une autorité d’escalade, des journaux, un examen juridique et une personne capable de soumettre le rapport pendant que l’incident est encore en cours.

STACK Cybersecurity décrit New York comme combinant des règles sectorielles propres à l’IA avec des exigences de sécurité plus larges pour les systèmes d’IA avancés, avec une application qui commence le 1er janvier 2027. Il note aussi que la Local Law 144 de la ville de New York est déjà en vigueur pour les décisions de recrutement assistées par l’IA. En clair : le régime new-yorkais de l’IA est composé de plusieurs couches, et le RAISE Act rejoint des règles qui touchent déjà l’emploi et les systèmes destinés aux consommateurs.

C’est dans cette superposition que les développeurs peuvent se faire piéger. Le RAISE Act peut se concentrer sur les développeurs de modèles de pointe, tandis qu’un outil de recrutement, un système compagnon ou un autre cas d’usage réglementé peut déclencher une autre obligation à New York. La question de conformité n’est pas de savoir si l’entreprise utilise l’IA. C’est de savoir quel rôle joue l’entreprise, quel système est déployé, et quel délai de signalement ou d’audit s’applique.

Ce que les développeurs devraient faire ensuite, selon STACK Cybersecurity et Law.com

Le guide de STACK Cybersecurity présente New York comme un État qui applique et développe des règles sur l’IA dans la prise de décision liée à l’emploi, les systèmes destinés aux consommateurs et le développement de modèles de pointe à haut risque. Le rapport du New York Law Journal de Law.com place la mise en œuvre du RAISE Act dans le contexte d’une réglementation de l’IA encore plus importante à venir. Cette combinaison suggère un schéma réglementaire familier : d’abord définir les plus grands acteurs, puis construire la capacité administrative, puis étendre la surveillance là où les législateurs voient des lacunes.

Pour les grands développeurs, l’étape suivante n’est pas un manifeste sur l’IA responsable. C’est un organigramme des responsabilités. Cartographiez qui gère l’enregistrement, qui surveille l’élaboration des règles par le Department of Financial Services, qui décide si un événement est un incident de sécurité, et qui peut déposer un rapport dans les 72 heures. Si les juristes disent qu’ils accueillent favorablement les clarifications des régulateurs, partez du principe que cela signifie que le processus de travail n’est pas terminé.

Pour les startups et les apprenants, la leçon est plus limitée, mais utile. Les lois étatiques sur la sécurité de l’IA deviennent opérationnelles avant leurs dates d’entrée en vigueur, par le biais de demandes d’enregistrement, d’annonces de recrutement et de planification administrative. Observez le processus d’enregistrement de novembre, puis observez les formulaires et les définitions que New York demandera. L’avenir de la gouvernance de l’IA n’arrivera pas sous forme de discours. Il arrivera sous forme d’échéance de dépôt.