La législature californienne adopte le projet de loi sur la vérification indépendante de la sécurité de l’IA

La législature californienne a donné son approbation finale le 30 août 2026 à SB 813, législation rédigée par le sénateur Jerry McNerney qui ordonnerait à l’Agence des Opérations Gouvernementales de désigner des organisations de vérification indépendantes — des auditeurs externes qualifiés pour évaluer les risques de sécurité des systèmes et modèles d’IA. Le projet de loi est maintenant transmis au gouverneur Gavin Newsom.

L’Assemblée a adopté le projet de loi en troisième lecture le 30 août 2026, et le Sénat a approuvé les amendements de l’Assemblée le même jour, complétant ainsi le processus législatif, selon le registre officiel des votes. L’Assemblée a enregistré 67 votes favorables, 6 contre et 6 membres n’ayant pas voté ; le Sénat a adopté la concordance avec 39 votes favorables, aucune opposition et un membre n’ayant pas voté.

Ce que le SB 813 exigerait

Le projet de loi ajoute un nouveau chapitre au Code gouvernemental californien couvrant ce qu’il intitule « Organisations de Vérification Indépendante de la Sécurité de l’Intelligence Artificielle de Californie ». Au plus tard le 1er janvier 2028, l’Agence des Opérations Gouvernementales doit élaborer les exigences de candidature pour la désignation en tant qu’organisation de vérification indépendante, ou IVO ; les procédures de suspension ou de résiliation d’une désignation ; ainsi que les critères permettant de déterminer si un auditeur IA est qualifié. L’agence doit publier ces exigences et critères publiquement, les examiner et les réviser à mesure que les technologies et les normes industrielles évoluent, et, dans la mesure du possible, les aligner sur les normes professionnelles et réglementaires existantes en matière d’audit et d’assurance.

Selon la définition du projet de loi, un IVO est un auditeur IA qui a démontré son expertise dans l’évaluation des risques posés par un système ou modèle d’IA et dans l’identification des métriques et méthodologies sous-jacentes à cette évaluation. Un IVO désigné ne doit avoir aucune dépendance financière, opérationnelle ou de gestion vis-à-vis de la partie qu’il évalue. Il peut accepter un paiement de la partie évaluée à des tarifs de marché raisonnables, mais il ne peut pas accepter des conditions liant le paiement aux résultats de son évaluation.

Les procédures de suspension et de résiliation doivent couvrir les manquements aux normes appropriées, les déclarations inexactes importantes dans les demandes ou les divulgations requises, les conflits d’intérêts compromettant l’indépendance, les défaillances dans la tenue d’une documentation adéquate, les failles de cybersécurité, ainsi que les comportements qui remettent raisonnablement en cause l’intégrité, l’objectivité ou la compétence d’un IVO.

L’agence doit également convoquer des groupes de travail incluant des ingénieurs de sociétés d’IA concurrentes et des experts en sécurité de l’IA afin de recueillir les avis des parties prenantes sur les normes, et doit transmettre les conclusions de ces groupes au législateur. Chaque IVO désigné doit soumettre un rapport annuel, au moins douze mois après sa désignation initiale, résumant ses normes et méthodologies et divulguant les changements aux politiques de gouvernance ou aux sources de financement pertinents pour son indépendance. Les IVO peuvent censurer des informations afin de protéger les secrets commerciaux, la cybersécurité, la sécurité publique ou la sécurité nationale, mais doivent conserver les informations non censurées pendant cinq ans.

Le cadre est volontaire. Le projet de loi précise qu’il n’oblige aucun développeur, déployeur ou opérateur d’un système ou modèle d’IA à faire appel à un IVO ou à subir un audit, n’établit pas de responsabilité uniquement pour le non‑respect d’une norme, et ne constitue pas une recommandation ou une approbation officielle de l’État à l’égard d’un système ou modèle d’IA. En cas de litige alléguant qu’un système d’IA a causé un préjudice, le projet de loi prévoit qu’un audit réalisé conformément à une norme identifiée dans le chapitre est pertinent, mais pas décisif, pour l’affaire.

Déclarations de l’auteur et du sponsor

Le bureau de McNerney a décrit la mesure comme le premier cadre national d’évaluations indépendantes et tierces des risques potentiels de sécurité posés par les systèmes d’IA. Son annonce a indiqué que le vote du Sénat était de 37–0 et celui de l’Assemblée de 53–4 ; le registre législatif officiel indique que la concordance du Sénat était de 39–0 avec un membre n’ayant pas voté et que le vote de l’Assemblée était de 67–6 avec six membres n’ayant pas voté.

“La législature californienne a aujourd’hui envoyé un message clair: il est temps que la Californie prenne les devants pour évaluer les risques potentiels de sécurité de l’IA, puisque Washington, D.C., est incapable ou réticent à le faire,” a déclaré McNerney dans une déclaration annonçant le vote. Son bureau a également indiqué que la mise en place d’évaluations indépendantes et tierces de l’IA était l’une des principales recommandations du groupe d’experts de Newsom sur l’intelligence artificielle, et a cité un sondage montrant que deux tiers des Américains ont peu ou aucune confiance dans le gouvernement fédéral pour réguler efficacement l’IA.

Le SB 813 est parrainé par Fathom, une organisation à but non lucratif qui affirme avoir développé et promu le modèle IVO et travailler avec les décideurs à travers le pays pour le mettre en œuvre. L’organisation décrit les IVO comme des experts externes qualifiés capables d’évaluer de manière indépendante le risque des modèles et systèmes d’IA en utilisant des tests et analyses crédibles, et indique que le projet de loi permettrait que les risques potentiels posés par la technologie soient évalués de façon indépendante plutôt que d’être acceptés sur la foi.

“Le pouvoir du modèle de vérification indépendante réside dans le fait qu’il permet à des experts indépendants et qualifiés d’évaluer le risque des capacités de l’IA, et qu’il suit le rythme de la technologie au lieu de figer un seul test dans la loi,” a déclaré Andrew Freedman, PDG de Fathom, dans la déclaration de l’organisation.

La déclaration de Fathom a également placé le projet de loi aux côtés du SB 53, qui, selon elle, oblige désormais les grands développeurs de pointe à publier un cadre de sécurité et à signaler les incidents critiques. L’organisation a indiqué que le SB 813 commencerait à créer une couche supplémentaire de responsabilité, car les déterminations de sécurité reposent encore largement sur les entreprises qui évaluent leurs propres systèmes, et qu’elle continuera à travailler avec les décideurs californiens, les experts techniques et les parties prenantes de l’industrie pour faire avancer le cadre.

Versions antérieures de la mesure

McNerney a présenté le SB 813 le 21 février 2025, avec les membres de l’Assemblée Bauer‑Kahan et Lowenthal comme co‑auteurs, et le projet de loi a été modifié à plusieurs reprises dans les deux chambres, les amendements de l’Assemblée datant du 26 août 2026, selon le registre législatif. Le Sénat a adopté une version antérieure du projet de loi à 31‑7 le 27 janvier 2026. L’annonce de McNerney à l’époque indiquait que cette version aurait créé une Commission californienne des normes et de la sécurité de l’intelligence artificielle pour désigner des panels d’experts IVO qui établiraient des normes volontaires, certifieraient les développeurs et fournisseurs d’IA, et surveilleraient la conformité, avec le pouvoir de révoquer la certification.

Si Newsom signe le projet de loi, l’Agence des Opérations Gouvernementales devra respecter la date limite du 1er janvier 2028 pour mettre en place le système de désignation, les conclusions des groupes de travail devant être rapportées au législateur et les premiers rapports annuels des IVO devant être soumis au moins douze mois après la désignation initiale d’une organisation.