En bref
Le 9 septembre 2026, le gouverneur Newsom a promulgué deux lois qui font de la Californie le premier État américain à bâtir un cadre officiel et un registre d’auditeurs IA indépendants. SB 813 (sén. Jerry McNerney) crée des organismes de vérification indépendants certifiés qui évaluent la conformité des systèmes IA au droit de l’État ; AB 1405 (députée Rebecca Bauer-Kahan) instaure un registre public d’auditeurs IA assorti de normes d’indépendance, de transparence et d’intégrité. Le champ est large : pas seulement OpenAI ou Anthropic, mais toute entreprise qui utilise un modèle sur étagère pour trier des candidatures, tarifer des assurances ou prendre des décisions affectant matériellement les personnes. Pour les équipes qui construisent et livrent des systèmes IA et data, cela marque un passage des déclarations volontaires aux preuves fournies par des tiers — selon un calendrier échelonné jusqu’en 2028–2029.
Ce que la Californie a promulgué
Le gouverneur Newsom a résumé la démarche sans détour : « l’IA peut améliorer nos vies, mais sans garde-fous efficaces elle présente des risques importants. » Les deux lois signées le 9 septembre 2026 sont conçues pour fonctionner en tandem. SB 813, portée par le sénateur Jerry McNerney (D–Pleasanton), établit un cadre inédit pour des « organismes de vérification indépendants » — des entités externes habilitées à évaluer formellement la conformité d’un système ou modèle IA au droit de l’État. AB 1405, portée par la députée Rebecca Bauer-Kahan (D–Orinda), crée un registre public de ces auditeurs IA et fixe des normes d’indépendance, de transparence et d’intégrité.
Lues ensemble, ces lois répondent à une question qui hante la gouvernance de l’IA depuis l’origine : qui audite les auditeurs ? De nombreux cabinets proposent déjà des « évaluations IA », mais aucun seuil commun ne définissait la qualification nécessaire pour valider un système IA à fort enjeu. La Californie fixe désormais ce seuil et l’adosse à un registre public. La California Government Operations Agency doit établir le processus de certification et certifier les premiers organismes de vérification d’ici le 1er janvier 2028, puis créer le registre des auditeurs IA d’ici le 1er janvier 2029. À compter de cette date, il est interdit aux personnes non enregistrées de proposer, vendre ou réaliser un audit IA couvert.
Anthropic comme OpenAI ont soutenu la législation, qui prolonge le Transparency in Frontier Artificial Intelligence Act californien de 2025 (SB 53). Ce soutien est révélateur : les grands développeurs préfèrent un régime d’audit crédible et standardisé à une mosaïque de revues ad hoc exigées État par État et client par client. Pour tous les acteurs en aval, l’enseignement pratique est que la conformité IA passe de l’auto-déclaration à la vérification indépendante et certifiée — la même trajectoire que les audits de sécurité indépendants et les attestations SOC 2 ont suivie une décennie plus tôt.
Qui est réellement concerné ?
Le détail le plus important est souvent enfoui dans les titres : ces lois ne concernent pas que les laboratoires de pointe. Comme le résume une analyse, toute entreprise qui prend un modèle IA sur étagère et le déploie pour trier des candidatures, tarifer des polices d’assurance ou prendre d’autres décisions qui affectent la vie des gens est autant concernée qu’OpenAI ou Anthropic. Affiner un modèle hébergé pour classer des candidats, ou brancher le modèle d’un fournisseur sur un flux de souscription, ne vous place pas hors du cadre au motif que vous ne l’avez pas entraîné.
C’est un élargissement significatif de ceux qui doivent penser aux audits IA. Une entreprise HealthTech ou FinTech de taille moyenne qui a discrètement intégré un modèle tiers dans une décision conséquente est précisément le type de déployeur que ces cadres visent. Les obligations ne sont pas encore pleinement activées — la machinerie de certification et de registre doit d’abord exister — mais la direction est fixée, et elle vise les déployeurs, pas seulement les concepteurs.
Où cela s’inscrit : Illinois, l’UE et un marché de l’audit US
La Californie n’agit pas dans le vide. L’Illinois a déjà adopté la SB 315, l’AI Safety Measures Act, qui oblige les plus grands développeurs IA à associer des cadres de sécurité publiés à des audits indépendants annuels par des tiers. Le règlement IA de l’UE, dont les obligations pour l’IA à haut risque ont commencé à s’appliquer en 2026, repose sur des évaluations de conformité menées via son propre régime d’organismes notifiés. Ce que la Californie ajoute, c’est la pièce que les autres présupposent sans la construire : une profession certifiée et enregistrée d’auditeurs IA, l’État définissant qui est qualifié.
Pour les équipes opérant à l’international, c’est le début d’une couche « marché de l’audit » qui sera de plus en plus citée dans les contrats et les achats. Un acheteur grand compte américain qui acceptait autrefois la parole d’un fournisseur sur le comportement d’un modèle pourra bientôt exiger la vérification d’un auditeur enregistré — et dès que cette option existe, elle tend à devenir la norme attendue. Si vous êtes déjà aligné sur l’évaluation de conformité du règlement IA ou sur un programme structuré de gouvernance IA, une grande partie des preuves sous-jacentes (documentation, registres de tests, analyses de risques) est réutilisable ; ce qui change, c’est qui valide et selon quelle norme.
Ce que cela signifie pour les équipes US & UE
Pour les équipes américaines, le risque à court terme n’est pas une amende — c’est d’être pris au dépourvu quand un client réclame des preuves auditables. Le registre n’entre en service qu’en 2029, mais les achats grands comptes devancent les textes. Si vous déployez l’IA dans le recrutement, le crédit, l’assurance ou toute décision affectant matériellement les personnes, supposez que dès 2027 un acheteur sérieux voudra une documentation capable de résister à un examen indépendant, que la loi l’impose ou non. Les équipes qui traitent cela dès maintenant comme un problème de données et de documentation n’auront pas à courir plus tard.
Pour les équipes européennes, le signal est celui de la convergence. La Californie bâtit un pendant américain à la logique d’évaluation de conformité déjà inscrite dans le règlement IA de l’UE, ce qui signifie qu’un programme de gouvernance IA unique et bien mené peut de plus en plus satisfaire les deux. Le socle réutilisable est le même des deux côtés de l’Atlantique : un inventaire tenu à jour des endroits où l’IA touche des décisions conséquentes, des traces de la manière dont chaque système a été testé et évalué, des parcours documentés de supervision humaine et de recours, et un responsable clair par modèle en production. Construisez-le une fois, et l’adaptation au régime d’auditeurs enregistrés de Californie ou à un organisme notifié de l’UE devient un exercice de correspondance plutôt qu’une reconstruction.
La mise en garde stratégique vaut partout : l’audit IA indépendant devient un marché, et les marchés récompensent ceux qui sont prêts. Les organisations qui prendront l’avantage seront celles dont les systèmes IA sont déjà lisibles — documentés, testés et assumés — bien avant qu’un auditeur, enregistré ou non, ne frappe à la porte.
Anticiper la demande d’audit IA
- Inventoriez votre IA conséquente. Recensez chaque endroit où l’IA — y compris les modèles tiers affinés ou hébergés — touche des décisions de recrutement, de crédit, d’assurance, de santé ou d’accès. Cet inventaire est la carte que réclameront auditeurs et acheteurs.
- Sachez si vous êtes déployeur, pas seulement concepteur. Utiliser un modèle sur étagère dans une décision à fort enjeu peut vous inclure même sans l’avoir entraîné.
- Conservez les registres de tests et d’évaluation. Documentez comment chaque système a été validé, ce qui a été mesuré et quelles mesures d’atténuation existent — c’est la preuve sur laquelle repose un audit indépendant.
- Attribuez un responsable par modèle. Chaque modèle en production doit avoir une personne nommément responsable de son comportement, de sa supervision et des voies de recours.
- Réutilisez votre socle règlement IA ou SOC 2. Documentation, analyses de risques et preuves de contrôle se transposent d’un régime à l’autre ; ne montez pas de piles parallèles.
- Suivez les échéances 2028–2029. Guettez les premiers organismes de vérification certifiés (janv. 2028) et le registre des auditeurs en ligne (janv. 2029), afin de mandater des auditeurs enregistrés, non des acteurs non qualifiés.
- Préparez-vous aux questions clients avant la loi. Supposez que les acheteurs grands comptes réclameront des preuves auditables dès 2027, avant tout déclencheur légal.
Foire aux questions
Qu’a promulgué la Californie le 9 septembre 2026 ?
Le gouverneur Gavin Newsom a signé deux lois : SB 813, portée par le sénateur Jerry McNerney, qui crée un cadre pour des organismes de vérification indépendants chargés d’évaluer la conformité des systèmes IA au droit de l’État, et AB 1405, portée par la députée Rebecca Bauer-Kahan, qui établit un registre public d’auditeurs IA avec des normes d’indépendance, de transparence et d’intégrité. Ensemble, elles forment le premier cadre américain d’audits IA indépendants par des tiers.
Les lois californiennes ne visent-elles que les laboratoires de pointe comme OpenAI et Anthropic ?
Non. Si les développeurs de pointe sont concernés, l’est aussi toute entreprise qui prend un modèle IA sur étagère et le déploie pour trier des candidatures, tarifer des assurances ou prendre d’autres décisions affectant matériellement les personnes. Si vous déployez l’IA dans des contextes à fort enjeu en Californie, vous pouvez être intégré à l’écosystème d’audit même sans avoir construit le modèle.
Quand les règles californiennes entreront-elles en vigueur ?
La mise en œuvre est échelonnée. La California Government Operations Agency doit établir le processus de certification et certifier les premiers organismes de vérification indépendants d’ici le 1er janvier 2028, puis créer le registre des auditeurs IA d’ici le 1er janvier 2029. À compter du 1er janvier 2029, il est interdit aux personnes non enregistrées de proposer, vendre ou réaliser un audit IA couvert.
En quoi cela diffère-t-il du règlement IA de l’UE et de la loi de l’Illinois ?
La SB 315 de l’Illinois impose des audits indépendants annuels aux plus grands développeurs IA. Les lois californiennes relèvent de l’infrastructure : elles définissent qui est qualifié pour réaliser des audits IA et créent une profession certifiée et enregistrée d’auditeurs IA, tout en englobant les déployeurs. Le règlement IA de l’UE exige des évaluations de conformité pour l’IA à haut risque mais s’appuie sur son propre régime d’organismes notifiés. La Californie bâtit un marché d’auditeurs côté américain auquel les acheteurs régulés se référeront de plus en plus.
Sources
Office of Governor Gavin Newsom — Governor Newsom signs first-in-the-nation AI safeguards to protect Californians (9 septembre 2026)
CIO Dive — What California’s AI auditing bills mean for enterprises (septembre 2026)
Quartz — California enacts first U.S. laws requiring independent AI audits (10 septembre 2026)