Une loi ciblée sur les plus gros acteurs L'État de New York met en œuvre le RAISE Act, sa loi consacrée à la sécurité des modèles d'IA de pointe. Le principe : les grands développeurs doivent s'enregistrer auprès de l'État, respecter des exigences de transparence et de sécurité, et signaler leurs incidents. Marc Gilman a été nommé directeur adjoint pour piloter la mise en œuvre. Le périmètre est volontairement étroit. Seules sont visées les entreprises dont le chiffre d'affaires annuel dépasse 500 millions de dollars et qui développent des modèles d'IA de pointe déployés ou opérant à New York. Le calendrier Ouverture de la période d'enregistrement en novembre 2026. Entrée en vigueur des normes de conformité en janvier 2027. Les incidents de sécurité critiques devront être signalés dans un délai de 72 heures. Les développeurs remettront des rapports réguliers à un nouveau bureau de l'État chargé de la gouvernance, de l'intégrité et de la confiance numériques. En cas de non-conformité, des sanctions civiles. 72 heures, un standard qui s'installe Pour une organisation européenne, aucune obligation directe. Le texte dit autre chose. La logique de registre et de notification, qui structure déjà l'IA Act, devient un modèle partagé des deux côtés de l'Atlantique. Et le délai de 72 heures, familier à tout DPO depuis le RGPD, s'impose comme référence pour les incidents liés à l'IA. Ça facilite au moins une chose : la convergence des procédures internes. La question se joue chez les clients La conséquence la plus concrète concerne les entreprises qui achètent des modèles. Les fournisseurs soumis au RAISE Act vont produire de la documentation de sécurité et des rapports d'incidents. Les clients qui intègrent ces modèles ont tout intérêt à en exiger l'accès. Aujourd'hui, l'achat d'un service d'IA générative passe souvent par la DSI ou les achats, sur la base des conditions générales de l'éditeur. Personne ne demande comment un incident sur le modèle sera notifié. Ni dans quel délai. Deux leviers simples : une clause de notification des incidents dans les contrats IA, et une question dédiée dans les questionnaires d'évaluation des fournisseurs. La gouvernance de l'IA passe aussi par ce qu'on sait des modèles achetés.
