Les règles ADMT du Colorado ont franchi une étape décisive le 6 octobre 2026, lorsque le ministère de la Justice de l'État a publié une version révisée de ses règles sur les technologies de décision automatisée et les services d'IA conversationnelle. Ce texte apporte les détails pratiques de deux lois de l'État qui entreront en vigueur le 1er janvier 2027. Quand l'algorithme d'une entreprise participe à une décision d'embauche, de crédit ou d'assurance, la personne écartée aura le droit de connaître les motifs précis, de corriger ses données et de faire réexaminer la décision par un humain.
Le cadre n'est pas nouveau. En mai 2026, le gouverneur Jared Polis a signé SB 26-189, la loi sur les technologies de décision automatisée dans les décisions lourdes de conséquences, et HB 26-1263, la loi sur les services d'IA conversationnelle, dite loi sur la sécurité des chatbots. La loi du Colorado sur l'IA de 2024, plus large (SB 24-205), a été abrogée au même moment. Le ministère avait publié le premier projet de règles, numéroté 4 CCR 904-6, le 11 août ; la révision du 6 octobre est le texte le plus récent avant l'audience publique du 26 octobre 2026 au matin, à Denver, date qui marque aussi la fin du délai pour les commentaires écrits.
Tracer la limite : ce qu'influencer substantiellement veut dire
La loi ne vise pas tous les outils automatisés, mais les technologies qui traitent des données personnelles et produisent prévisions, recommandations, classements, notes ou scores utilisés pour prendre ou aider une décision concernant une personne. Les obligations ne se déclenchent que si deux conditions sont réunies : le résultat du système est un facteur non négligeable dans la décision, et il a réellement influencé l'issue. Les usages accidentels, triviaux ou purement administratifs sont exclus. Le projet d'août proposait deux critères possibles pour ce seuil ; la version révisée donne une réponse provisoire, proche des règles californiennes issues du CCPA, mais assortie d'une présomption réfutable. L'entreprise qui estime son outil sous le seuil devra le démontrer, au lieu de laisser la charge de la preuve au consommateur.
Les domaines couverts sont l'éducation, l'emploi, l'immobilier résidentiel, les services financiers et de crédit, l'assurance, les services de santé, ainsi que les services publics essentiels et les prestations sociales. Les personnes protégées incluent les salariés et les candidats à un emploi dans le Colorado, pas seulement les consommateurs.
Après un refus : notification, motifs et réexamen humain réel
La charge la plus lourde pèse sur les déployeurs, ceux qui utilisent effectivement ces outils. Après une issue défavorable, ils doivent en principe envoyer une notification écrite par deux canaux, dont un en ligne, expliquant la décision, le rôle joué par la technologie, le degré d'intervention humaine, les motifs principaux, les scores ou inférences pertinents et la manière d'exercer ses droits. La personne peut demander les données personnelles utilisées et doit recevoir une réponse sous 45 jours ; elle peut exiger la correction de données inexactes et, lorsque c'est commercialement raisonnable, un réexamen humain substantiel, que le déployeur doit accuser sous 10 jours et achever sous 45 jours.
Le niveau exigé pour ce réexamen est plus strict qu'on ne le croit souvent. L'examinateur doit être indépendant de l'auteur de la décision initiale, formé à cette tâche et habilité à confirmer, modifier ou annuler la décision ; la technologie automatisée ne peut pas participer au réexamen lui-même. Ajouter une signature humaine sous une conclusion algorithmique ne vaut pas réexamen.
Développeurs et chatbots : la documentation descend, les rapports remontent
Les développeurs doivent fournir aux déployeurs une documentation technique : usages prévus et inappropriés, risques et limites connus, catégories de données d'entraînement et de fonctionnement, méthodes de surveillance et informations nécessaires pour comprendre les résultats ; toute information retenue doit reposer sur un fondement juridique identifié. Le projet révisé introduit aussi les développeurs intermédiaires, qui intègrent la technologie d'un tiers dans leurs propres produits : ils doivent obtenir la documentation en amont et la transmettre en aval, pour que la chaîne d'information ne se rompe pas.
Les opérateurs de chatbots doivent, de leur côté, estimer l'âge des utilisateurs par des méthodes commercialement raisonnables, signaler de manière répétée aux mineurs qu'ils dialoguent avec une IA, ne pas offrir de récompenses incitant les mineurs à prolonger l'usage, protéger les mineurs contre les contenus sexuels explicites et la dépendance émotionnelle simulée, et fournir des outils de gestion de la vie privée et du compte. Pour tous les utilisateurs, ils doivent appliquer un protocole d'orientation vers les services de crise en cas de propos suicidaires ou d'automutilation, et en rendre compte chaque année au ministère à partir du 1er juillet 2027 ; ils ne peuvent pas non plus présenter les réponses d'un chatbot comme équivalentes à des services professionnels agréés. Les violations des deux lois sont traitées comme des pratiques commerciales trompeuses au sens de la loi du Colorado sur la protection des consommateurs, sous l'autorité du procureur général.
Ce qu'il faut faire maintenant, et où sont les risques
Le calendrier est serré. Les organisations qui veulent peser sur le texte final doivent déposer leurs commentaires avant l'audience du 26 octobre, dernière fenêtre formelle avant l'adoption des règles. Les entreprises qui utilisent des algorithmes pour des décisions lourdes de conséquences touchant le Colorado devraient, avant la fin de l'année, inventorier leurs systèmes et les tester un par un au regard du seuil d'influence substantielle, réclamer la documentation requise à leurs fournisseurs et combler les lacunes par contrat, puis mettre en place les processus de notification, de correction et de réexamen humain avec un suivi des délais. Les deux lois entrent en vigueur le 1er janvier 2027 : il reste moins de trois mois.
Deux risques méritent attention. D'abord, le procès intenté par xAI contre le Colorado (tribunal fédéral, dossier n° 1:26-cv-01515) est toujours en cours ; il visait l'ancienne loi abrogée, et l'on ignore si quelqu'un cherchera à faire suspendre le nouveau dispositif. Miser sur ce procès pour retarder les préparatifs serait imprudent. Ensuite, dans une lettre publiée avec le projet révisé, le ministère a indiqué que la mise en application initiale se ferait avec une discrétion appropriée, en ciblant les violations graves et intentionnelles. C'est une déclaration de politique d'application, pas un délai de grâce légal, et ni les modèles de notification ni les examinateurs formés ne s'improvisent. Ces règles ne s'appliquent qu'aux décisions et aux utilisateurs du Colorado, mais, avec le régime californien, elles relèvent le niveau pratique de conformité des décisions automatisées dans l'ensemble des États-Unis.
