La loi du Colorado sur les technologies de décision automatisée (SB 26-189) entre dans sa phase décisive : le 26 octobre 2026, le bureau du procureur général tient une audience publique sur ses règles d'application, et les commentaires écrits se clôturent le même jour à 23 h 59, heure des Rocheuses. Si l'audience se prolonge au-delà du 26 octobre, la période de commentaires reste ouverte jusqu'à son dernier jour. La loi s'applique aux décisions lourdes de conséquences prises à compter du 1er janvier 2027, ce qui ne laisse aux entreprises qu'un peu plus de deux mois pour se préparer.
Que régit exactement cette loi ?
D'abord, le périmètre : il s'agit d'une loi d'un seul État américain, le Colorado, et non d'une règle nationale, encore moins d'un standard mondial. Elle vise les technologies de décision automatisée qui influencent de manière substantielle des décisions lourdes de conséquences dans l'éducation, l'emploi, le logement, le crédit et les autres services financiers, l'assurance, la santé et les services publics essentiels. La loi sur la sécurité des chatbots (HB 26-1263), adoptée en parallèle, suit la même procédure réglementaire et concerne les services d'IA conversationnelle, y compris des protections pour les mineurs et des rapports annuels au procureur général.
Il y a aussi un antécédent facile à manquer : SB 24-205, adoptée en 2024 et initialement prévue pour le 30 juin 2026, a été abrogée et remplacée par SB 26-189, signée le 14 mai 2026. Un programme de conformité encore construit sur le modèle d'évaluation d'impact de l'ancienne loi doit être refondu, car la nouvelle loi se rapproche de chaque décision individuelle et certaines de ses obligations sont plus difficiles à mettre en œuvre.
Le projet intermédiaire du 6 octobre : un critère praticable pour l'influence substantielle
Le bureau du procureur général a déposé des règles proposées le 11 août 2026, puis publié un projet intermédiaire révisé le 6 octobre. Son ajout le plus important est une présomption praticable : lorsqu'un décideur examine un résultat concernant la personne, comme un score, un classement, une recommandation ou un seuil, et que ce résultat concorde avec la décision finale, le système est présumé avoir influencé substantiellement la décision. L'utilisateur peut renverser cette présomption en montrant que le résultat n'était qu'un facteur minime. À l'inverse, les outils servant uniquement à résumer, organiser ou présenter des informations pour examen humain ne relèvent pas de la définition de cette technologie.
L'exemple du projet est sans ambiguïté : une coopérative de crédit qui refuse des prêts à des demandeurs sous un seuil de score de risque exerce une influence substantielle. Tout aussi important, confier le système à un tiers ne transfère pas la responsabilité : celui qui utilise le résultat d'un tiers pour prendre une décision en reste responsable.
Ce que doivent respectivement les développeurs et les utilisateurs
Les développeurs doivent la documentation : usages prévus, catégories de données d'entraînement, limites connues et méthodes appropriées de contrôle humain doivent parvenir aux utilisateurs en aval, et les dossiers de conformité doivent être conservés au moins trois ans. Les utilisateurs doivent ce qui suit la décision : une information avant l'utilisation du système, une explication en langage clair dans les 30 jours suivant une décision défavorable lourde de conséquences, la possibilité de corriger des données personnelles inexactes, ainsi qu'un contrôle humain réel et un réexamen.
Où se situe le risque : une pause dans l'application n'est pas un arrêt de travail
À l'heure actuelle, une ordonnance d'un tribunal fédéral, rendue sur requête conjointe des parties, interdit au procureur général d'engager des poursuites pendant la période fixée par l'ordonnance. Cela ne change pas la date légale du 1er janvier 2027, et la procédure réglementaire vise à adopter les règles avant cette date. Plus important encore, la pause ne concerne que l'action du procureur général, et non d'autres risques juridiques comme les recours pour discrimination, et une clause contractuelle imputant l'entière responsabilité au client ne peut transférer la part de responsabilité propre au développeur.
Trois choses à faire dès maintenant : premièrement, inventorier les systèmes qui influencent substantiellement des décisions lourdes de conséquences concernant les résidents du Colorado, en tête l'embauche, le crédit et la souscription d'assurance ; deuxièmement, combler les lacunes dans la journalisation des résultats, les modèles d'information et les circuits de contrôle humain, car des lacunes d'archivage ne se comblent pas en une ou deux semaines ; troisièmement, déposer des commentaires avant l'échéance du 26 octobre sur les points flous, comme le critère d'influence substantielle et le partage de responsabilité avec les tiers, car modifier une règle définitive coûte bien plus cher que d'infléchir un projet.
