Le Colorado a remplacé sa loi sur l'IA : ce que le SB 26-189 Requires in 2027

SB 26-189 repeadirigé et reconstitué la partie du Colorado 17¶

La loi de session promulguée utilise l'expression « abroger et réédicter, avec des amendements ». Le Colorado dispose donc toujours d’une loi régissant les décisions automatisées. SB 26-189 replaces le cadre créé par la 2024 sessiloi, SB 24-205 avec une partie différente 17 titled "Technologie de prise de décision automatisée dans les décisions conséquentielles".

Le SB 24-205 a été approuvé le 17 mai 2024. Ses principales obligations étaient initialement prévues pour le 1er février 2026. L’Assemblée générale a ensuite promulgué le SB 25B-004 en août 2025, reportant ces obligations au 30 juin 2026. Le SB 26-189 a été approuvé le 14 mai 2026, avant cette date reportée, et a établi les exigences de remplacement applicables à partir du 1er janvier 2027.

La date imprimée sur une page de facture peut décrire l'acte, un article particulier ou la conduite réglementée. Ici, la date d'approbation est le 14 mai 2026. Les dispositions réglementaires, d'appropriation, de date d'entrée en vigueur et de clause de sécurité sont entrées en vigueur dès leur adoption. La plupart des obligations substantielles entrent en vigueur le 1 janvier 2027, et la loi s'applique aux décisions consécutives prises à cette date ou après.

La couverture test : ADMT, influence matérielle, décision conséquente¶

Le texte adopté définit l'ADMT comme une technologie qui traite les données personnelles et utilise le calcul pour générer un résultat utilisé pour prendre, guider ou aider une décision concernant un individu. Les prédictions, recommandations, classifications, classements et scores sont des exemples nommés. Les définitions complètes et les exclusions se trouvent dans la section 6-1-1701.

Un ADMT devient un ADMT couvert lorsqu'il est utilisé pour influencer matériellement une décision conséquente. L'influence matérielle exige que le résultat soit un facteur non de minimis utilisé dans la décision et affecte son résultat, par exemple en contraignant, en classant, en notant, en recommandant ou en classifiant. Les utilisations accessoires, triviales et administratives ne relèvent pas de cette définition.

Les sept domaines couverts sont la scolarisation ou les opportunités éducatives ; les opportunités d'emploi qui créent ou peuvent créer une relation employeur-employé ; la location ou l'achat de biens immobiliers résidentiels au Colorado ; services financiers ou de prêt; assurance; services de soins de santé; et les services gouvernementaux essentiels ou les avantages publics.

La loi exclut plusieurs catégories de la définition des décisions consécutives. Il s'agit notamment des processus de routine à faibles enjeux, de la publicité et du marketing, du résumé administratif qui ne produit aucune conclusion influente, du traitement procédural étroit, de certaines activités de cybersécurité, de lutte contre le blanchiment d'argent, le financement du terrorisme, les sanctions et la prévention de la fraude, ainsi que de l'administration académique de routine. Chaque exclusion est assortie de conditions dans le texte adopté.

Ce qui a changé par rapport au SB 24-205¶

Le 2024 act réglementait les « systèmes d'intelligence artificielle à haut risque » qui prenaient ou constituaient un facteur important dans les décisions conséquentes. Il imposait des obligations de diligence raisonnable liées à la discrimination algorithmique, des programmes de gestion des risques pour les déploiements, des évaluations d'impact au moins une fois par an et des déclarations publiques sur la gestion des risques.

Le 2026 replacement utilise l'ADMT couvert et l'influence matérielle comme déclencheur central. Sa partie adoptée 17 omits concerne l'ancien programme de gestion des risques, l'évaluation d'impact annuelle et les exigences en matière de déclaration publique des risques. Il concentre la documentation du développeur, les avis de mise à jour, les enregistrements sur trois ans, les avis aux consommateurs, les explications après des résultats indésirables, les procédures de correction et un examen humain significatif.

La loi existante sur la discrimination et la protection des consommateurs s'applique toujours. La section 6-1-1707 addredéfinit la responsabilité en vertu de la loi anti-discrimination de l'État et répartit la faute entre un développeur et un déployeur en fonction de leur faute relative. Le respect de la partie 17 suppl ne constitue aucune défense pour violation d'une autre loi applicable.

Obligations du développeur de 1 janvier 2027¶

Section 6-1-1702 de la [loi de session] (https://leg.colorado.gov/laws/session-laws/SB26-189/131/download) exige qu'un développeur mette un package raisonnablement compréhensible à la disposition de chaque déployeur pour les utilisations couvertes. Le package doit protéger les secrets commerciaux et les informations protégées par la loi nationale ou fédérale. Sources : source

L'emballage doit décrire les utilisations prévues et les utilisations nocives ou inappropriées connues ; les catégories connues de données de formation, y compris les données personnelles ; les limites, les risques et les circonstances connus dans lesquels l'ADMT ne doit pas être utilisé ; des instructions pour une utilisation appropriée, une surveillance et un examen humain significatif, le cas échéant ; et les informations dont le déployeur a raisonnablement besoin pour ses obligations de divulgation.

Un développeur doit informer chaque déployeur des mises à jour importantes, des modifications intentionnelles et substantielles, ainsi que des modifications apportées à l'utilisation prévue, aux limitations ou à l'atténuation des risques dans un délai raisonnable. Les notes de version publiques peuvent contenir le contenu lorsque le développeur informe également chaque déployeur d'une notification directe de la version.

Les enregistrements des développeurs raisonnablement nécessaires pour démontrer la conformité doivent être conservés pendant au moins trois ans après leur création, ou plus longtemps lorsqu'une autre loi l'exige. La loi nomme les identifiants de version du système, les journaux de modifications, la documentation et les avis de mise à jour du matériel.

• Portée de l'utilisation couverte : enregistrez comment l'ADMT a été commercialisé, configuré, sous contrat, vendu ou sous licence pour des décisions conséquentes.
• Version de la documentation : liez l'utilisation prévue, les limitations, les catégories d'entrée, la surveillance et les instructions de révision humaine à une version du système.
• Informez les déployeurs : enregistrez la mise à jour, les versions concernées, les destinataires, le délai de livraison et toute atténuation modifiée.
• Conserver le dossier : conserver le colis de conformité et les preuves de livraison pendant la période légale.

Avis, explication et tâches de tenue de dossiers du déployeur¶

Avant d'utiliser un ADMT couvert pour influencer matériellement une décision conséquente, un déployeur doit donner au consommateur un avis clair et visible. Un avis bien visible placé raisonnablement près de l’interaction peut satisfaire à cette exigence de point d’interaction. Section 6-1-1704 exige que l'avis indique que l'ADMT couvert a été ou sera utilisé et explique comment obtenir des informations supplémentaires.

Lorsque cette utilisation entraîne un résultat défavorable, le déployeur a 30 days après avoir pris la décision de fournir une description en langage clair de la décision et du rôle de l'ADMT. L'avis doit également fournir un processus simple pour demander des informations sur l'ADMT et les entrées, y compris son nom, sa version le cas échéant, son développeur, ainsi que les types, catégories et sources de données personnelles, dans la mesure où le développeur a fourni les informations nécessaires. Le déployeur doit expliquer les droits des consommateurs dans la section 6-1-1705 et comment les exercer.

Les avis et informations requis doivent être raisonnablement accessibles aux consommateurs handicapés et aux consommateurs ayant une maîtrise limitée de l'anglais, conformément à la loi applicable. La loi comprend des dispositions spécifiques au secteur pour le crédit, l'éducation sous FERPA, les assureurs, les entités couvertes par la HIPAA et les dispositifs médicaux.

Les déployeurs doivent conserver les dossiers raisonnablement nécessaires pour démontrer la conformité pendant au moins trois ans après la décision qui en résulte. Les identifiants de version, les journaux de modifications et la documentation d'atténuation matérielle sont des exemples nommés.

Un examen humain significatif est un droit défini du consommateur¶

Après un résultat défavorable d'une décision consécutive matériellement influencée par un ADMT couvert, un consommateur peut demander deux formes de recours en vertu de section 6-1-1705. Le déployeur doit fournir des instructions pour demander les données personnelles utilisées et corriger les données personnelles factuellement incorrectes ou matériellement inexactes. Le déployeur doit également offrir la possibilité d’un examen et d’un réexamen humain significatif, dans la mesure commercialement raisonnable.

Un examen humain significatif a une définition statutaire. Le déployeur désigne une personne ayant le pouvoir d'approuver, de modifier ou d'annuler la décision qui en résulte. Cette personne examine les preuves primaires disponibles pertinentes, est formée pour l’examen, évalue le cas sans se référer par défaut au résultat du système et reçoit suffisamment d’informations pour comprendre l’utilisation prévue du résultat, les limitations matérielles, les catégories d’entrée et les principaux facteurs.

Le droit de rectification ne nécessite pas de correction des opinions, prédictions, scores ou évaluations protégées. Les déployeurs éducatifs soumis à la FERPA peuvent utiliser les procédures de dossier d'étudiant et d'appel éligibles. Le procureur général doit clarifier et mettre en œuvre les exigences plus larges en matière de correction, de révision et de réexamen au moyen de règles d'ici le 1 janvier 2027.

Un processus d'examen réalisable a donc besoin d'une autorité nommée, d'un ensemble de preuves, d'examinateurs formés, d'une étape de décision indépendante, d'un résultat reconsidéré et d'un dossier durable. Le modèle de surveillance humaine montre comment acheminer une action conséquente vers une personne dotée d'un pouvoir de décision explicite, tandis que la cartographie de contrôle lie l'obligation légale à son contrôle opérationnel et à ses preuves.

• Autorité : le réviseur peut approuver, modifier ou annuler la décision.
• Preuve principale : l'examinateur reçoit les documents sources pertinents derrière l'affaire.
• Formation : l'examinateur comprend la décision, la méthode d'examen et l'ADMT couvert.
• Jugement indépendant : le processus nécessite une évaluation des preuves et enregistre la propre justification de l'examinateur.
• Contexte du système : l'utilisation prévue, les limitations, les catégories d'entrée et les principaux facteurs sont disponibles au moment de l'examen.
• Dossier de réexamen : la demande, les preuves, l'examinateur, la justification, le résultat et la livraison sont conservés.

Obligations promulguées et futures règles du procureur général¶

Deux règles obligatoires sont inscrites dans la loi. Le procureur général doit adopter des règles d'ici le 1 janvier 2027 pour après la divulgation de résultats indésirables en vertu de l'article 6-1-1704(4) et pour correction, examen significatif et réexamen en vertu de l'article 6-1-1705(3). Le procureur général a également le pouvoir d'adopter d'autres règles de mise en œuvre, y compris des règles clarifiant « l'influence importante ».

La page d'élaboration des règles sur l'IA du procureur général indique que le bureau a terminé une période informelle de commentaires préalables à l'élaboration des règles le 13 juillet 2026 et que l'élaboration de règles formelles n'a pas commencé. Les règles proposées, les détails de l'audience, les règles adoptées et les dates d'entrée en vigueur y seront publiées. Les sujets de discussion informels et les éventuelles règles ne comportent aucune obligation légale.

La loi promulguée fixe déjà le devoir principal, l'acteur, le déclencheur et la date extérieure. Les règles peuvent clarifier le contenu, le format, les exemples de secteurs, la description du rôle de l'ADMT, les catégories de données personnelles, les procédures de révision et l'application parallèlement à d'autres lois. Les équipes de mise en œuvre peuvent dès maintenant créer la référence statutaire et garder les détails configurables sous contrôle des modifications pour les règles formelles.

Application et plan de préparation pratique¶

Le procureur général a le pouvoir exclusif d'appliquer les obligations de divulgation et les droits des consommateurs dans la partie 17 through de la Colorado Consumer Protection Act. Une violation est une pratique commerciale trompeuse. La loi ne crée aucun nouveau droit d’action privé. Les droits et recours existants au niveau étatique et fédéral restent disponibles.

Lorsque le procureur général considère qu'une violation peut être corrigée, le bureau doit émettre un avis avant l'exécution et permettre à 60 days de remédier. Une période de réparation n'est pas nécessaire lorsque le procureur général peut démontrer une violation consciente ou répétée. L'intégralité de la sous-section contenant ce régime de mesures correctives préalables à l'application et les exigences de déclaration annuelle associées devrait être abrogée le 1 janvier 2030.

La préparation commence par un inventaire des décisions consécutives du Colorado et de la technologie qui les influence. Pour chaque candidat, enregistrez le domaine, le lien Colorado, les données personnelles, le résultat, le rôle décisionnel, l'analyse d'exclusion, le développeur, la version, le point de contact du consommateur, le chemin des résultats indésirables, l'autorité de révision et le propriétaire de la rétention.

Liez ensuite la décision aux contrôles d'exécution : affichez l'avis au point d'interaction, conservez la version exacte du système et les entrées, générez l'explication lorsqu'un résultat défavorable se produit, acheminez une demande de révision à une personne autorisée et conservez l'enregistrement complet pendant trois ans. Le Guide des exigences de la EU AI Act fournit une carte d'obligations distincte pour les organisations opérant en Europe ; garder les deux analyses juridictionnelles distinctes.

• Inventaire : recherchez chaque décision du Colorado dans les sept domaines couverts et identifiez chaque entrée de calcul.
• Classer : documenter le statut ADMT, l'influence matérielle, le statut de décision consécutive, les exclusions, le développeur et le déployeur.
• Contrat : obtenez la documentation du développeur versionnée, les limitations, les avis de mise à jour et les informations sur la source de données.
• Exploiter : placez des avis, des explications, des corrections et un examen significatif dans le processus de décision.
• Conserver : conserver les avis, versions, contributions, résultats, divulgations, demandes, examens et modifications pendant au moins trois ans.
• Surveiller les règles : suivez la page de réglementation du procureur général du Colorado et mettez à jour les contrôles par rapport au texte adopté.