Votre auditeur IA a désormais besoin d'une licence californienne

Ce que l'AB 1405 accorde réellement comme licence

Le 9 septembre, le gouverneur Gavin Newsom a signé l'AB 1405, rédigée par l'élue Rebecca Bauer-Kahan, aux côtés de sa loi jumelle, la SB 813, du sénateur Jerry McNerney. Les deux lois sont issues de la même séance de signature que les nouvelles règles californiennes de sécurité des mineurs pour les chatbots compagnons dotés d'IA, mais elles remplissent un rôle différent: elles décident qui a le droit de se dire auditeur IA.

L'AB 1405 ordonne a la Government Operations Agency de l'État de créer un registre public des auditeurs IA avant le 1er janvier 2029. À partir de cette date, il sera interdit de proposer, vendre ou réaliser un audit IA couvert sans numéro d'enregistrement d'État valide. Un audit IA couvert, selon le texte même de la loi, est un audit qui vérifie les contrôles internes, les processus ou les systèmes qu'un système ou modèle d'IA utilise pour se conformer à la loi californienne. Chaque auditeur enregistré reçoit un numéro unique, qui doit figurer sur toute publicité pour ses services d'audit.

Bauer-Kahan a expliqué la raison sans détour: "Nous ne pouvons pas attendre du secteur qu'il se note lui-même; des auditeurs indépendants sont essentiels pour garantir que l'IA est sûre pour nos communautés et nos infrastructures critiques."

Les règles d'indépendance qu'aucune autre loi n'a écrites

Le texte de la loi va bien au-delà de la simple attribution de numéros d'enregistrement. Un auditeur enregistré ne peut avoir de relation financière, commerciale ou professionnelle avec l'entreprise auditée qui pourrait raisonnablement compromettre son indépendance. Il ne peut pas évaluer son propre travail antérieur. Il ne peut pas chercher un emploi auprès de l'entreprise qu'il audite tant que l'audit est en cours, et il doit attendre 12 mois après avoir quitté un employeur avant de pouvoir auditer ce même employeur.

Les auditeurs doivent aussi protéger les lanceurs d'alerte qui signalent des violations, et l'agence peut retirer un enregistrement et transmettre le dossier au procureur général si l'une de ces règles est enfreinte. Rien, dans la régulation de l'IA ailleurs, ne ressemble à cela. Cela se lit comme les règles d'indépendance écrites pour les auditeurs financiers après Enron, appliquées pour la première fois à ceux qui vérifient si un système d'IA fait ce que la loi exige.

Aucun audit obligatoire. La licence, si.

Voici la partie que presque tous les premiers titres sur cette loi ont mal comprise: la SB 813 précise, dans son propre texte, qu'aucune des deux lois n'oblige une personne, une société de personnes ou une société de capitaux qui développe, déploie ou exploite un système d'IA à engager un organisme de vérification indépendant ni à subir un audit IA couvert comme condition pour opérer en Californie. Il n'existe aucune obligation d'audit. Il n'y en aura peut-être jamais. Ce qui existe aujourd'hui, c'est seulement la qualification dont quelqu'un aurait besoin si un client, un tribunal ou une future loi venait un jour à exiger un audit.

La SB 813 fixe sa propre échéance, antérieure à l'autre: la Government Operations Agency doit publier les critères de désignation des organismes de vérification indépendants, le niveau le plus spécialisé d'auditeur enregistré, avant le 1er janvier 2028, soit une année entière avant le registre public de l'AB 1405. La Californie construit l'infrastructure de licence et d'indépendance avant même d'écrire une règle qui rendrait cette licence utile pour toutes les entreprises, et pas seulement celles qui choisissent d'engager un auditeur. En tant que loi de l'UE, l'AI Act s'applique aussi directement en France, sans qu'il existe encore de registre comparable à celui de la Californie.

Ce que cela signifie pour qui vend des services de conformité en Californie

Pour un cabinet européen ou britannique de conformité, d'audit ou de conseil en risques, cela ouvre une niche de marché qui n'existe encore nulle part ailleurs. Tout cabinet qui souhaite proposer des services d'audit IA à un client opérant en Californie aura besoin d'au moins une personne enregistrée dans ses effectifs d'ici 2029, tout comme les auditeurs européens avaient autrefois besoin d'une qualification américaine distincte pour certifier les comptes d'une entreprise cotée sur une bourse américaine. Aujourd'hui, personne dans l'UE ne détient de qualification californienne équivalente, ce qui signifie que les cabinets qui s'enregistrent tôt seront les premiers à combiner la connaissance de l'AI Act de l'UE et un numéro d'enregistrement californien au sein de la même pratique.

Cela laisse aussi entrevoir vers où pourraient évoluer les propres règles de l'UE. L'évaluation obligatoire par un tiers prévue par l'AI Act ne couvre aujourd'hui que les systèmes d'identification biométrique à distance; presque tout autre système d'IA à haut risque dans l'UE peut encore s'autocertifier par contrôle interne, sans qu'aucun auditeur externe ne soit jamais tenu de l'examiner. La Californie vient de construire l'infrastructure de licence et d'indépendance dont aurait besoin une obligation d'audit plus large, sans avoir encore écrit cette obligation. Si Bruxelles décidait un jour d'élargir sa propre exigence de vérification par un tiers, la profession qu'il faudrait réguler dispose déjà d'un modèle qui fonctionne, écrit à Sacramento, pas à Bruxelles.

Servola Journal

Nous faisons cela pour tous ceux qui essaient de suivre ce que la technologie fait à nos vies. Les personnes qui la construisent, et les personnes à qui cela arrive. Le Servola Journal existe pour que ce que nous apprenons appartienne à tous.

Personne ne nous paie pour cela. Pas de publicité, pas de mur payant, gratuit pour tous. Nous croyons simplement que comprendre ce qui nous arrive à tous ne devrait pas dépendre de qui peut se permettre de payer pour cela.

Si cela vous a apporté quelque chose aujourd'hui, dites-le-nous pour que nous continuions. Suivez-nous, laissez un like, ou écrivez un commentaire positif. Nous les lisons tous, et ce sont eux qui nous font continuer.

À lire ensuite: L'UE vient de décaler votre échéance de l'AI Act de 16 mois  |  Bruxelles vient de tester son nouveau pouvoir sur 30 entreprises d'IA