California AI Transparency Act : les obligations de filigrane et de détection entrent en vigueur

Depuis le 2 août 2026, le California AI Transparency Act (CAITA) est applicable. La SB 942, modifiée par l'AB 853 et signée en octobre dernier, définit comme «covered provider» toute entité proposant un système d'intelligence artificielle générative accessible dans l'État et comptant plus d'un million de visiteurs ou d'utilisateurs par mois. À ces acteurs, le législateur impose un ensemble précis de mesures techniques : la mise à disposition gratuite d'un outil public de détection — n'importe qui peut y déposer un fichier ou coller une URL et savoir si ce contenu provient de ce système, y compris via une API, sans que le fournisseur puisse conserver les données personnelles de celui qui l'interroge —, la possibilité pour l'utilisateur d'apposer une étiquette visible (manifest disclosure) et, surtout, l'insertion d'une «latent disclosure» permanente dans les contenus générés. Ce filigrane numérique doit comporter le nom du fournisseur, la version du système, la date et l'heure de création ainsi qu'un identifiant unique, rendant le fichier techniquement traçable, et il doit être détectable par l'outil de vérification du fournisseur lui-même.

Le mécanisme de sanction dessiné par le texte est rigide. Chaque jour de manquement constitue une infraction distincte, punie d'une sanction civile de 5 000 dollars. L'action revient à l'Attorney General de Californie, aux city attorneys ou aux county counsel, la partie gagnante pouvant obtenir le remboursement de ses frais de justice. La responsabilité se prolonge contractuellement le long de la chaîne de distribution : si un licencié tiers modifie le système pour supprimer les disclosures, le fournisseur doit révoquer la licence sous 96 heures. C'est une approche qui cherche à verrouiller l'origine du contenu en amont, en confiant aux créateurs le contrôle de l'usage fait en aval de leurs technologies.

L'architecture du texte prévoit un calendrier d'extension progressive. Si le 2 août marque le départ pour les fournisseurs eux-mêmes, à partir du 1er janvier 2027 les obligations de détection et de conservation des données de provenance concerneront les «large online platforms» de plus de deux millions d'utilisateurs uniques mensuels ainsi que les plateformes d'hébergement, qui ne pourront pas diffuser sciemment des systèmes dépourvus des étiquettes exigées. Un an plus tard, en 2028, la charge passera aux fabricants d'appareils de capture, tenus de proposer l'option d'insérer la latent disclosure activée par défaut. Là où l'Europe, avec l'article 50 du règlement sur l'IA, impose d'informer le lecteur, la Californie impose aussi l'infrastructure technique pour le vérifier.

Les incertitudes d'application ne manquent pas pour autant. À ce jour, aucune donnée vérifiable n'existe sur l'adoption réelle des nouvelles spécifications par les fournisseurs. Aucune action répressive de l'Attorney General n'apparaît jusqu'ici. Un observatoire des politiques numériques décrit l'entrée en vigueur comme assortie d'une période de tolérance jusqu'au 1er janvier 2027, lecture qui ne rejoint pas celle des cabinets consultés, pour lesquels le 2 août 2026 est la date pleinement opérationnelle pour les covered providers, tandis que le 1er janvier 2027 concerne les nouvelles catégories introduites par l'AB 853. L'expression ne figure pas dans le texte de loi. Le périmètre pourrait en outre être redessiné par la SB 1000, actuellement examinée au Sénat, qui propose de supprimer le seuil du million d'utilisateurs et de modifier la nature des outils de vérification. Reste enfin ouvert le problème technique des modèles à poids ouverts (open-weight), où la possibilité de modifier les poids en aval pourrait rendre inopérantes les garanties imposées par la loi à la source.

— Olya