Législation fédérale sur l'IA aux États-Unis : le vide qui arrange tout le monde
Vingt-sept projets de loi fédéraux liés à l'IA ont été déposés depuis janvier 2025 au Congrès américain. Aucun n'a dépassé le stade de la commission. Le sénateur Todd Young, pourtant l'un des rares républicains à défendre un encadrement minimal, qualifie lui-même les perspectives de législation fédérale de « very bleak » — très sombres. Ce n'est pas un opposant qui parle. C'est un des architectes du cadre bipartisan proposé l'an dernier.
L'exécutif a donné le ton dès les premiers jours du second mandat Trump. L'executive order 14110 signé par Biden en octobre 2023 — celui qui imposait des obligations de transparence aux développeurs de modèles de fondation — a été révoqué en janvier 2025. Rien ne l'a remplacé. Le message de la Maison-Blanche est limpide : la compétitivité passe avant la régulation, et toute contrainte imposée aux développeurs américains d'IA est perçue comme un avantage concédé à la Chine.
Sacramento, Denver, Albany
Le vide fédéral ne signifie pas l'absence de règles. Il signifie leur multiplication désordonnée. En 2024, au moins 45 États américains ont introduit des projets de loi touchant à l'IA. Le Colorado a adopté en mai 2024 une loi sur les « systèmes de décision algorithmique à haut risque » qui entre en vigueur en 2026. Le Texas a voté un cadre sur l'utilisation de l'IA générative dans les agences publiques. L'Illinois a renforcé ses exigences sur l'IA dans le recrutement. La Californie, après l'échec du SB 1047 — le projet de loi sur la sécurité des modèles de fondation, vetoed par le gouverneur Newsom en septembre 2024 — a relancé plusieurs textes plus ciblés en 2025, dont un sur la transparence des contenus synthétiques.
Pour un DSI qui pilote un déploiement d'IA couvrant plusieurs États, la situation est exactement celle que le secteur disait vouloir éviter. Les obligations de reporting, les définitions de « haut risque », les mécanismes de recours varient d'un État à l'autre. Il n'existe pas de clause de préemption fédérale qui uniformiserait les règles. L'industrie tech, par la voix de ses lobbies — la Chamber of Progress, TechNet, la Computer & Communications Industry Association — plaide pour une loi fédérale qui prévaudrait sur les lois étatiques. Mais plaider n'est pas obtenir.
La dernière ligne du tableau est la seule qui compte pour la planification à 18 mois.
Le paradoxe du lobby
Les grandes entreprises technologiques américaines ont longtemps freiné toute tentative de régulation fédérale. OpenAI, Google, Meta, Microsoft ont dépensé collectivement plus de 100 millions de dollars en lobbying à Washington en 2024, selon les déclarations publiques compilées par OpenSecrets. Une partie de cet effort visait explicitement à bloquer le SB 1047 californien et ses équivalents. Le problème : en l'absence de cadre fédéral, ce sont précisément ces lois étatiques qui s'imposent. Le secteur a réussi à empêcher la régulation qu'il prétendait préférer à celle qu'il n'a pas réussi à empêcher.
Sam Altman déclarait devant le Sénat en mai 2023 qu'une agence fédérale de supervision de l'IA serait « bénéfique ». Deux ans plus tard, OpenAI n'a soutenu publiquement aucun projet de loi fédéral spécifique. L'entreprise a en revanche activement combattu les textes californiens qui auraient pu s'appliquer à GPT-5.
NIST, seul rescapé
Le National Institute of Standards and Technology reste le seul point d'ancrage fédéral fonctionnel. Son AI Risk Management Framework, publié en janvier 2023, sert de référence volontaire pour les entreprises qui veulent structurer leur gouvernance IA sans attendre une loi. Le cadre n'est pas contraignant. Il n'a pas force de loi. Mais il est utilisé, faute de mieux, par des équipes conformité qui doivent bien remplir leurs matrices de risques avec quelque chose. Plusieurs États s'y réfèrent explicitement dans leurs propres textes, ce qui crée un embryon de convergence par le bas — pas par le haut.
Le budget du NIST AI Safety Institute a été réduit dans la proposition budgétaire 2026 de l'administration Trump. Les effectifs de l'institut, une centaine de personnes fin 2024, font l'objet de discussions sur d'éventuels transferts vers d'autres agences.
L'Europe, de loin
L'AI Act européen est entré en application progressive depuis février 2025. Les entreprises américaines qui opèrent en Europe doivent s'y conformer, ce qui crée de facto un plancher réglementaire que le marché intérieur américain n'a pas. Plusieurs responsables conformité de grands groupes tech américains ont indiqué, lors de conférences sectorielles début 2025, qu'ils appliquaient les exigences européennes comme standard global — non par conviction, mais parce que maintenir deux régimes parallèles coûte plus cher qu'en appliquer un seul. Ce n'est pas de l'effet Bruxelles par adhésion. C'est de l'effet Bruxelles par lassitude comptable.
Le décalage transatlantique complique aussi les partenariats. Un fournisseur SaaS américain qui vend à des entreprises européennes doit documenter ses systèmes d'IA selon les catégories de risque de l'AI Act. S'il vend aussi à des clients dans le Colorado, il doit en plus se conformer au SB 24-205. Et au Connecticut à partir de 2026. Sans harmonisation fédérale, la charge de conformité augmente mécaniquement à chaque nouveau texte étatique.
Lors d'une table ronde à la RSA Conference de San Francisco en avril 2025, un CISO d'un éditeur de logiciels d'entreprise a résumé la situation en une phrase qui n'avait rien de pensé pour la postérité :
« On passe plus de temps à cartographier les juridictions qu'à évaluer les modèles. »
2026
Les élections de mi-mandat de novembre 2026 pourraient redistribuer les équilibres au Congrès. Mais même un basculement démocrate au Sénat ne garantirait rien : la dernière tentative bipartisane sérieuse, le Blueprint for an AI Bill of Rights publié par la Maison-Blanche en 2022, n'a jamais été traduite en proposition législative. Le problème n'est pas seulement partisan. Il est structurel. Le Congrès ne dispose pas de l'expertise technique interne pour rédiger des textes opérationnels sur l'IA, et les auditions d'experts restent des exercices de communication plus que de rédaction législative.
Chuck Schumer avait lancé en 2023 ses « AI Insight Forums » — neuf sessions à huis clos réunissant dirigeants tech et sénateurs. Le rapport final, publié en mai 2024, recommandait des investissements fédéraux et de la « innovation-friendly regulation ». Aucune proposition de loi n'en est sortie.
Les entreprises qui attendent un signal fédéral clair pour structurer leur gouvernance IA attendent quelque chose qui ne viendra pas dans ce cycle législatif. Celles qui déploient maintenant le font dans un environnement où la seule certitude est l'incertitude juridictionnelle.
TL;DR
Le Congrès américain est incapable de produire une loi fédérale sur l'IA, et l'administration Trump a supprimé ce qui existait : les entreprises font face à un patchwork étatique croissant sans aucune harmonisation en vue.
- Aucun des 27 projets de loi fédéraux déposés en 2025 n'a dépassé le stade de la commission — un des sénateurs les plus favorables à la régulation qualifie les perspectives de « very bleak ».
- Au moins cinq États (Colorado, Californie, Illinois, Texas, Connecticut) ont adopté ou avancé leurs propres cadres, avec des définitions et obligations divergentes, alourdissant la conformité pour tout déploiement multi-États.
- Le NIST AI Risk Management Framework reste le seul référentiel fédéral utilisable, mais il est volontaire, non contraignant, et son budget est menacé par l'administration actuelle.
Questions fréquentes
Pourquoi le Congrès n'arrive-t-il pas à légiférer sur l'IA alors que l'Europe a adopté l'AI Act?
Trois facteurs se combinent : une administration hostile à toute régulation perçue comme un frein compétitif face à la Chine, un lobbying massif de l'industrie tech qui a bloqué les textes les plus contraignants sans en proposer d'alternatifs viables, et un déficit structurel d'expertise technique au sein du Congrès qui rend la rédaction de textes opérationnels très lente.Quel impact concret pour une entreprise qui déploie de l'IA dans plusieurs États américains. Trois facteurs se combinent : une administration hostile à toute régulation perçue comme un frein compétitif face à la Chine, un lobbying massif de l'industrie tech qui a bloqué les textes les plus contraignants sans en proposer d'alternatifs viables, et un déficit structurel d'expertise technique au sein du Congrès qui rend la rédaction de textes opérationnels très lente.
Quel impact concret pour une entreprise qui déploie de l'IA dans plusieurs États américains?
Chaque État ayant ses propres définitions du risque, ses obligations de transparence et ses mécanismes de recours, la charge de conformité se multiplie. Il n'existe pas de clause de préemption fédérale. En pratique, les équipes juridiques et conformité doivent cartographier les exigences État par État, ce qui alourdit les coûts et les délais de mise en production.
Le cadre NIST peut-il servir de substitut à une loi fédérale?
Il sert de référence commune, et plusieurs États s'y réfèrent dans leurs propres textes. Mais il reste volontaire et non contraignant. Il ne protège pas juridiquement une entreprise en cas de litige dans un État qui a adopté ses propres obligations. C'est un outil de gouvernance interne, pas un bouclier réglementaire.