Résumé

  • À partir du 1er janvier 2029, AB 1405 interdira de proposer, vendre ou réaliser un audit d’IA couvert sans inscription au registre de la Government Operations Agency. Le dispositif prévoit des informations publiques, des règles d’indépendance, un canal de signalement et une conservation des pièces pendant dix ans.
  • SB 813 impose, dès 2028, une procédure distincte pour désigner des « independent verification organizations ». Une inscription n’est pas une désignation, une désignation n’approuve pas le modèle examiné et l’existence d’un audit constitue un élément pertinent, mais non décisif, dans une action en responsabilité.

Deux portes, deux questions institutionnelles

Le gouverneur Gavin Newsom a approuvé AB 1405 et SB 813 le 9 septembre 2026. Son communiqué insiste sur leur complémentarité. Les textes, eux, posent deux questions différentes.

AB 1405 demande qui a le droit d’exercer sur le marché des audits couverts. Il s’agit d’évaluations portant sur les contrôles, processus ou systèmes nécessaires au respect du droit californien par un système ou un modèle d’IA. GovOps devra ouvrir au plus tard le 1er janvier 2029 un registre en ligne, fixer des droits annuels limités au coût raisonnable de son administration et offrir aux personnes physiques un mécanisme de signalement. À compter de cette date, l’inscription devient une condition pour proposer, vendre ou conduire ce type d’audit.

SB 813 demande qui a démontré une compétence suffisante pour recevoir la désignation d’organisme indépendant de vérification, ou IVO. Les critères, la demande et les procédures de suspension ou de retrait doivent être prêts au 1er janvier 2028. Il existe donc une année de décalage et, surtout, un changement de nature : le registre est un seuil d’accès au marché; la désignation exprime une appréciation plus poussée des capacités de vérification.

Le lien de répertoire de cet article reste volontairement non résolu. Les deux lois confient leur exécution à la California Government Operations Agency, une agence de rang ministériel qui décrit elle-même sa mission de mise en œuvre transversale. Le répertoire BTW contient des fiches différentes pour le Department of Technology et pour l’État de Californie, dont l’identité n’est pas assez propre pour servir de substitut. Mieux vaut nommer exactement l’autorité absente que prêter ses pouvoirs à un autre objet.

Le registre organise une activité sans distribuer de médailles

Pour s’enregistrer, l’auditeur devra fournir sa raison sociale, ses coordonnées, les lois et règlements californiens sur lesquels portent ses audits, ses certifications éventuelles et une présentation de ses services. Il remettra aussi une procédure opératoire indiquant les normes utilisées et le fondement de ses affirmations sur la précision, la fiabilité ou la validité de ses protocoles. Les changements matériels qui rendent les données publiées inexactes devront être signalés dans les 90 jours.

GovOps publiera le numéro d’enregistrement et les renseignements transmis. Ce numéro devra aussi apparaître de façon claire et visible sur toute publicité qui propose ou sollicite des services d’audit couverts. À côté, le registre affichera une phrase sans ambiguïté : l’inscription ne constitue ni une recommandation ni une approbation de l’entité par l’État de Californie. Cette réserve protège la frontière entre une autorisation encadrée d’exercer et un jugement général de compétence. Elle empêche aussi, du moins en droit, qu’un numéro public soit présenté comme la garantie du résultat de chaque mission future.

Le dispositif ne se réduit pas à une formalité administrative. L’auditeur enregistré ne peut pas évaluer un système, un contrôle ou un processus qu’il a matériellement conçu, développé, mis en place ou exploité. Il doit refuser la mission si un intérêt financier, commercial, professionnel ou autre est raisonnablement susceptible d’altérer son indépendance. La rémunération normale de l’audit n’est pas, à elle seule, interdite. En revanche, négocier un emploi chez l’audité pendant la mission l’est, et un ancien salarié ayant eu une responsabilité substantielle sur le sujet au cours des douze mois précédents ne peut pas être affecté à l’examen.

Le rapport remis à l’audité doit présenter le périmètre, les objectifs, les résultats et leur fondement documentaire. Il décrit les déficiences, les mesures correctrices raisonnables lorsqu’elles sont pertinentes, le respect des protocoles internes compris dans le périmètre, ainsi que les limites, les points non examinés et les lacunes d’accès ou de preuve. Une déclaration signée et datée atteste que l’audit a suivi le chapitre. Le dossier justificatif est conservé au moins dix ans.

Mais ce rapport n’est pas destiné automatiquement au public. AB 1405 impose la publication des informations d’inscription, non celle de chaque audit. Les signalements de conduite fautive seront gardés aussi longtemps que l’auditeur restera inscrit, puis dix ans, et pourront être transmis aux organismes chargés de l’application de la loi. Le texte ne dit pas qu’ils seront publiés. Un lecteur peut donc voir un statut actif sans connaître une plainte en cours, le périmètre d’une mission ou une limitation décisive.

La désignation IVO examine davantage la méthode

Le candidat IVO devra documenter ses qualifications, sa réponse aux futurs critères, les références techniques qu’il utilise et les benchmarks, technologies, métriques et méthodes proposés. GovOps devra vérifier la compétence technique, la capacité à mesurer les risques, la gestion des conflits et l’autonomie opérationnelle par rapport au client. Le paiement au prix du marché reste possible, mais ses modalités et son montant ne peuvent dépendre de la conclusion.

Le régime de suspension devra couvrir les manquements aux normes, les fausses déclarations substantielles, les conflits compromettant l’indépendance, une documentation insuffisante, une conduite qui met en doute la compétence ou l’intégrité et les défaillances de cybersécurité. Une désignation devrait donc donner une information plus forte qu’une simple inscription, sans pour autant devenir une certification permanente de tout ce que fait l’organisation.

Chaque IVO désigné adressera annuellement à GovOps et au Parlement californien, au plus tôt douze mois après sa désignation initiale, un résumé de ses normes et méthodes et les changements de gouvernance, de financement ou de dossier susceptibles d’affecter son indépendance. Certaines informations pourront être masquées pour protéger le secret d’affaires, la cybersécurité, la sécurité publique, la sécurité nationale ou une obligation légale. Dans toute version publiée, la nature et la justification de la suppression devront être indiquées dans la mesure compatible avec la protection invoquée; la version intégrale restera conservée cinq ans.

SB 813 précise également ce que ce statut ne fait pas. Aucun développeur ou exploitant n’est obligé d’engager un IVO. Le seul non-respect d’une norme ne crée pas une responsabilité. La publication des critères n’équivaut pas à l’approbation d’un système ou d’un modèle. Et lorsqu’une victime allègue qu’une IA lui a causé un dommage, un audit réalisé selon une norme reconnue peut compter parmi les éléments du dossier sans trancher le litige.

La jonction publique reste à construire

À elles deux, les lois définissent beaucoup de données utiles, mais pas une fiche publique unique reliant tous les états. Le registre AB 1405 affichera un numéro et les déclarations de l’auditeur. SB 813 impose la publication des critères et des rapports périodiques aux institutions. Aucune phrase n’exige explicitement une vue montrant, pour un même acteur, l’inscription en cours, une éventuelle désignation IVO, sa durée, une suspension contestée et la mission précise derrière une affirmation commerciale.

Or cinq formulations peuvent rapidement se confondre. « Enregistré » signifie autorisé à proposer un audit couvert après 2029. « IVO désigné » renvoie à une capacité démontrée selon les critères du moment. « Audit réalisé » décrit une mission datée et délimitée. « Conforme » ne vaut que pour le droit et les contrôles effectivement examinés. « Sûr » est une conclusion plus vaste que les textes n’accordent pas d’office.

Une attestation publique reliée pourrait préserver ces distinctions : numéro et état de l’inscription; désignation IVO et échéance; norme et version de méthode; changement pertinent de financement ou de conflit; client, système et version examinés; droit californien couvert; date de clôture des preuves; exclusions; date de signature; correction ultérieure; formulation exacte que le rapport autorise. Les identités des lanceurs d’alerte et les éléments techniques sensibles n’ont pas à être exposés pour que la chronologie et le sens des statuts restent vérifiables.

Il s’agit d’un test de mise en œuvre, pas d’une obligation déjà inscrite dans les chapitres. GovOps affirme conduire les travaux de l’administration sur l’IA dans son programme GenAI. La qualité du dispositif se mesurera à sa capacité à faire dialoguer deux régimes sans inventer un super-label.

La méthode du miroir des politiques publiques de Heng Lu invite à chercher le détenteur de l’autorité, la preuve d’une décision et la voie de correction. Son texte sur la primauté du code en fonctionnement déplace l’attention vers les changements d’état. Ici, ce seront l’inscription, la désignation, la plainte, l’enquête, la suspension, la contestation, la correction et l’expiration. Le succès des lois dépendra moins du prestige d’un badge que de la lisibilité de ces transitions.

Sources

  1. AB 1405 — texte promulgué
  2. SB 813 — texte promulgué
  3. Gouverneur de Californie — annonce de la signature
  4. California Government Operations Agency — mission
  5. GovOps — travaux GenAI
  6. Lu Heng — The Policy Mirror
  7. Lu Heng — Running Code Primary
  8. Lu Heng — Why BTW Media Exists