Les règles de transparence de l'UE et de Californie sur l'IA convergent vers des exigences de gouvernance d'entreprise

Lorsque les obligations de transparence de l'Union européenne issues de l'AI Act sont entrées en vigueur le 2 août 2026, les équipes conformité des grandes banques européennes n'ont pas simplement mis à jour une mention de confidentialité. Elles ont dû faire face à l'exigence d'intégrer des identifiants lisibles par machine dans chaque élément de texte, d'image ou de son synthétique produit par leurs modèles génératifs, des identifiants qui résistent à l'édition ultérieure, à l'archivage et à l'examen réglementaire. À trois mille kilomètres à l'ouest, le législateur californien avait déjà adopté une loi aboutissant à la même destination technique, avec une entrée en vigueur prévue pour 2027. Cette convergence n'est pas fortuite ; elle reflète un consensus réglementaire selon lequel la transparence ne saurait se satisfaire d'une bannière pop-up.

Deux régimes, une même destination technique

L'AI Act de l'UE est un cadre complet, fondé sur le risque, qui classe les systèmes selon leur dangerosité potentielle et impose des obligations proportionnées à cette classification. L'article 50 relève du volet transparence, s'appliquant aux fournisseurs et aux déployeurs de modèles d'IA à usage général et de certains systèmes à haut risque. L'AI Transparency Act de Californie est plus étroit sur le papier, centré sur la provenance du contenu, mais ses dispositions opérationnelles font écho au texte européen : tous deux imposent que les sorties générées par l'IA portent des marqueurs persistants, lisibles par machine, tels que filigranes, signatures cryptographiques ou métadonnées structurées. Aucune des deux lois ne considère qu'un étiquetage lisible par l'humain suffit.

Une analyse récente du cabinet d'avocats Duane Morris soutient que cet alignement signale un virage plus large vers une gouvernance opérationnelle de l'IA. Le cabinet relève que les deux régimes ont été élaborés indépendamment sous des traditions juridiques différentes, l'un étant un règlement directement applicable dans 27 États membres, l'autre une loi d'État dans la première économie des États-Unis, pourtant ils convergent vers le même problème d'ingénierie : comment rendre le contenu synthétique détectable à grande échelle, sur toutes les plateformes, dans la durée.

Ce que les règles exigent concrètement

Pour un déployeur d'un système d'IA générative, une banque utilisant un grand modèle de langage pour rédiger la correspondance client par exemple, l'article 50 exige que la sortie soit marquée de manière à permettre aux systèmes automatisés de la signaler comme générée par l'IA. Le marquage doit être robuste face à la suppression ou à l'altération. La loi californienne, qui entre en vigueur le 1er janvier 2027, impose aux fournisseurs de systèmes d'IA générative comptant plus d'un million d'utilisateurs mensuels de proposer un outil de détection gratuit et d'intégrer des données de provenance dans le contenu produit par leurs systèmes. Les déployeurs en Californie doivent alors utiliser ces outils et préserver les données de provenance.

L'effet pratique est que la conformité ne peut plus relever uniquement du service juridique ou de la communication. Les développeurs logiciels doivent instrumenter les pipelines de modèles pour injecter les marqueurs au moment de l'inférence. Les équipes cybersécurité doivent vérifier que les marqueurs résistent à un effacement adversarial. Les gestionnaires d'archives doivent s'assurer que les documents générés par l'IA archivés conservent leurs métadonnées de provenance pour toute la durée de conservation. Les spécialistes du risque tiers doivent auditer les contrats fournisseurs pour confirmer que les fournisseurs en amont, qu'il s'agisse d'OpenAI, d'Anthropic ou d'une fintech spécialisée, livrent des sorties satisfaisant les deux régimes simultanément.

Le secteur financier dans le viseur

Les banques figurent parmi les institutions les plus exposées. L'IA générative est déjà déployée dans les chatbots de service client, la génération de récits pour la détection de fraude, les assistants de code pour le développement logiciel, la synthèse de recherche d'investissement, la production de textes marketing, la rédaction de documents juridiques et la récupération de connaissances internes. Chaque cas d'usage produit des sorties qui pourront un jour faire face à un régulateur, un auditeur ou un tribunal. L'Autorité bancaire européenne supervise depuis des années la gestion du risque de modèle selon des lignes directrices qui attendent des institutions qu'elles documentent la lignée des modèles, les résultats de validation et la surveillance continue. Les obligations de transparence de l'IA croisent désormais directement ces attentes.

Imaginons un scénario : le modèle génératif d'une banque produit une synthèse d'évaluation de risque de crédit qui alimente un dossier de comité de crédit. Six mois plus tard, un examen prudentiel demande si la synthèse a été rédigée par un humain ou générée par machine. Si le document ne comporte pas de marqueur persistant et vérifiable, la banque ne peut répondre de manière définitive. Pire, si le marqueur était présent à la création mais a été supprimé lors de la conversion en PDF ou de la transmission par courriel, la chaîne de gouvernance est rompue. Le même problème se pose pour les communications client générées par l'IA : une mention qui apparaît dans un chat web mais disparaît lorsque la conversation est exportée vers le CRM échoue au test réglementaire.

Risque tiers et chaîne fournisseur

La plupart des institutions financières n'entraînent pas leurs propres modèles de fondation. Elles les licencient auprès d'une poignée de fournisseurs, souvent via des places de marché cloud ou des accords API spécialisés. Duane Morris souligne que la conformité en matière de transparence s'étend à ces relations contractuelles. Une banque doit savoir si l'API de son fournisseur renvoie par défaut une sortie marquée, si le format de marquage est documenté et stable, si l'outil de détection du fournisseur (exigé par la loi californienne pour les grands fournisseurs) est accessible et fiable, et si le contrat inclut des engagements à maintenir l'intégrité du marquage à travers les mises à jour de modèle.

Cela s'aligne sur la tendance supervisuelle plus large vers la surveillance des fournisseurs. Les lignes directrices de l'Autorité bancaire européenne sur l'externalisation et le règlement sur la résilience opérationnelle numérique (DORA) exigent tous deux que les institutions maintiennent le contrôle sur les fonctions critiques confiées à des tiers. La transparence de l'IA devient une nouvelle dimension de ce contrôle : si un fournisseur modifie son schéma de marquage sans préavis, le déployeur en aval se retrouve en non-conformité. Les contrats devront inclure des accords de niveau de service sur les données de provenance, des clauses de notification de changement pour les versions de modèle, et des droits d'audit couvrant l'implémentation du marquage par le fournisseur.

De l'éthique aux contrôles auditable

Cette convergence illustre comment la régulation de l'IA est passée du principe à la pratique. Les premiers débats de politique, dans le livre blanc 2020 de la Commission européenne, dans les principes de l'OCDE sur l'IA, dans d'innombrables codes sectoriels, portaient sur l'équité, les biais, l'explicabilité et la divulgation volontaire. La vague actuelle de règles contraignantes traite la transparence comme une exigence d'ingénierie soumise à inspection, tests et mise en œuvre. Ce virage reflète l'évolution de la régulation de la cybersécurité : des bonnes pratiques volontaires aux contrôles obligatoires, déclaration d'incidents et revue prudentielle.

Pour les entreprises, l'implication est claire. La transparence de l'IA devient une discipline de gouvernance au même titre que la protection des données, la gestion du risque de modèle et la résilience opérationnelle. Elle exige un pilotage dédié, des procédures documentées, des outils automatisés, des tests réguliers et un reporting au niveau du conseil d'administration. Les organisations qui la traitent comme un projet d'étiquetage ponctuel se retrouveront en non-conformité dès qu'un régulateur demandera la preuve que les marqueurs survivent à l'intégralité du cycle de vie du contenu.

Un standard mondial de facto

Les entreprises multinationales construisent rarement des piles technologiques spécifiques à chaque juridiction. Une banque mondiale opérant à Francfort, Paris, New York et Singapour déploiera une unique plateforme d'IA générative avec un unique pipeline de marquage. Si ce pipeline satisfait aux exigences de l'UE et de Californie, les deux régimes les plus prescriptifs, il satisfera probablement les règles émergentes au Canada, à Singapour, au Brésil et au Royaume-Uni. L'analyse de Duane Morris suggère que cette dynamique cimentera les spécifications techniques des lois européenne et californienne comme base de référence pour la gouvernance d'entreprise de l'IA dans le monde.

Cette base de référence reste encore fluide. L'AI Act de l'UE délègue les normes techniques aux organismes européens de normalisation (CEN/CENELEC) qui élaborent des normes harmonisées pour le filigranage, les schémas de métadonnées et les benchmarks de détection. Le procureur général de Californie dispose d'un pouvoir réglementaire pour préciser les exigences des outils de détection. Tant que ces normes ne sont pas finalisées, les entreprises font face à une cible mobile. Mais la direction est fixée : une provenance lisible par machine, persistante et auditable.