Le Colorado vide sa loi sur l'IA : une leçon canadienne

Il y a deux ans, le Colorado adoptait la première loi générale sur l'IA aux États-Unis, et toutes les autres législatures d'État la traitaient comme un modèle. Le 14 mai 2026, le gouverneur a signé un projet de loi qui l'abroge et reconstruit à sa place quelque chose de bien plus modeste.

Ce que le SB 26-189 a réellement changé

Le SB 26-189 abroge et réédicte le SB 24-205, la loi de 2024 qui définissait pour la première fois l'approche du Colorado en matière d'IA à haut risque. La nouvelle version supprime les trois obligations qui donnaient ses dents à l'originale : les programmes obligatoires de gestion des risques, les évaluations d'impact et le devoir de diligence raisonnable pour prévenir la discrimination algorithmique, que la loi initiale présentait comme une source première de responsabilité.

Les obligations opérationnelles s'appliquent désormais aux décisions importantes prises à compter du 1er janvier 2027; certaines dispositions de réglementation et de mise en œuvre ont pris effet dès l'adoption. Selon la loi sanctionnée, articles 6-1-1706 et 5, le mécanisme de correction de 60 jours avant 2030 suppose que le procureur général juge une correction possible. Un manquement conscient ou répété peut être poursuivi sans ce délai.

Le régime vise les technologies couvertes qui influencent de façon importante des décisions importantes, pas toute utilisation de l'IA. Les développeurs fournissent de la documentation; les déployeurs donnent un avis puis, après un résultat défavorable, des explications dans les 30 jours. Des obligations de conservation et des droits de correction et de révision humaine assortis de conditions subsistent. Les définitions exigent une activité commerciale au Colorado, et les exclusions comptent. Le droit existant contre la discrimination demeure (loi sanctionnée, art. 6-1-1701 à 1707).

La loi étatique sur l'IA la plus suivie vient de se dégonfler

Le fond du changement compte moins que le signal qu'il envoie. Le Colorado était la preuve de concept qu'un État américain pouvait réglementer les systèmes d'IA de façon générale, et une douzaine d'États ont rédigé des projets de loi calqués sur sa structure. Quand l'instigateur abroge ses propres obligations centrales avant même qu'elles entrent en vigueur, le modèle perd son autorité.

C'est la deuxième fois en dix-huit mois qu'une loi phare sur l'IA se vide avant son application. Le Canada a vu le projet de loi C-27 et sa Loi sur l'intelligence artificielle et les données mourir au feuilleton lors de la prorogation du Parlement au début de 2025, et le projet n'est jamais revenu. Le schéma est constant : une législation ambitieuse sur l'IA est rédigée, suscite une forte opposition de l'industrie, puis meurt ou se fait dépouiller avant que quiconque ait à s'y conformer.

Le Canada est dans la même salle d'attente

Le Canada n'avait pas adopté la LIAD comme loi fédérale générale sur l'IA dans le secteur privé. L'IA reste toutefois soumise, selon le cas, au droit de la vie privée, de la concurrence, des droits de la personne, aux règles sectorielles et aux devoirs professionnels. La loi québécoise du secteur privé prévoit aussi des règles de décision automatisée et de profilage avec leurs déclencheurs propres. La consultation fédérale sur la transparence décrit les lois existantes et les propositions ultérieures, dont il faut vérifier séparément la portée et l'étape législative.

Le cycle d'achat d'un petit cabinet chevauchera donc des changements juridiques. Il faut identifier les règles applicables à l'usage réel et demander au fournisseur de permettre les mises à jour. L'absence de loi générale sur l'IA ne suspend pas les devoirs existants.

Pourquoi c'est un problème de logiciel, pas de législation

La tentation, devant tout ce brassage, est d'attendre : ne pas adopter d'outils d'IA tant que le droit n'est pas fixé. C'est une erreur, parce que le droit ne se fixera pas selon un calendrier qui colle au cycle d'achat d'un cabinet, et que les obligations de protection de la vie privée qui mordent vraiment existent déjà.

Le meilleur réflexe est d'acheter des contrôles adaptables : isolation des données clients, traces utiles, lieux de traitement documentés et contrats vérifiables. L'hébergement canadien peut être une préférence, mais ne prouve pas la conformité à la Loi 25. Une communication hors Québec peut exiger une évaluation et une entente écrite même vers une autre province canadienne (loi du secteur privé, art. 17). Aucun fournisseur ne peut garantir la conformité à une loi dont les exigences finales sont inconnues.

Intégrer la conformité au lieu de l'attendre

C'est le principe de conception derrière Supacorp, un logiciel de gestion d'entités pour les cabinets solos et de petite taille au Canada, qui gère les constitutions en société, les déclarations annuelles, les livres de procès-verbaux et l'accueil des clients selon les règles fédérales, ontariennes, britanno-colombiennes, albertaines et québécoises. La posture de conformité est structurelle : isolation des données multilocataire par sécurité au niveau des lignes dans Postgres, résidence des données au Canada et pistes de vérification sur le registre corporatif par défaut.

Ces contrôles sont des points de départ utiles. Le cabinet doit encore les confronter à ses devoirs, cartographier chaque traitement et modifier le flux lorsqu'une règle applicable change. Des réglages solides peuvent réduire le travail futur; ils ne garantissent pas qu'aucune refonte ne sera nécessaire.

Ce qu'il faut surveiller

Deux choses. D'abord, si un État américain tient la ligne d'un modèle de diligence maintenant que le Colorado a reculé, ou si toute la première vague se résume à des régimes de divulgation. Ensuite, si Ottawa réintroduit quelque chose qui ressemble à l'AIDA avant la prochaine élection, ou laisse le terrain aux provinces et aux commissaires à la vie privée. Pour un petit cabinet, aucune des deux réponses ne change le bon réflexe d'aujourd'hui : acheter un logiciel dont les contrôles peuvent être démontrés et adaptés à l'évolution des règles applicables.