La loi originelle du Colorado sur l'IA, le SB 24-205, adoptée en mai 2024 et première loi étatique américaine globale sur l'IA, n'existe plus. Le 14 mai 2026, le gouverneur Jared Polis a signé le Senate Bill 26-189, qui abroge intégralement le SB 24-205 et le remplace par un cadre réglementaire sensiblement différent. Ce texte de remplacement entre en vigueur le 1er janvier 2027.
Comment on en est arrivé là
Le SB 24-205 a toujours été contesté. En le signant en 2024, Polis avait accompagné son geste d'une lettre publique exhortant le pouvoir législatif à revoir son approche. Une session extraordinaire tenue en août 2025 a repoussé la date d'entrée en vigueur du 1er février 2026 au 30 juin 2026, sans en modifier le fond. Début avril 2026, xAI, la société d'Elon Musk, a saisi la justice fédérale pour faire suspendre l'application de la loi, en invoquant le premier amendement et la « dormant commerce clause » (clause relative au commerce interétatique), première contestation majeure d'une loi étatique sur l'IA. Le ministère de la Justice de l'administration Trump est intervenu le 24 avril 2026, une première initiative du gouvernement fédéral visant à invalider une loi étatique sur l'IA en application du décret présidentiel sur l'IA de décembre 2025. Le 27 avril, un magistrat fédéral a suspendu l'application de la loi pendant la durée de la procédure. Face à une loi gelée et à un dispositif central attaqué à la fois par les tribunaux et par un groupe de travail nommé par le gouverneur, le pouvoir législatif a agi rapidement : le SB 26-189 a été déposé, adopté par 34 voix contre 1 au Sénat et par 57 voix contre 6 à la Chambre, puis signé en l'espace de deux semaines.
Ce qu'exige la nouvelle loi
Le SB 26-189 encadre les « technologies de décision automatisée » (ADMT), définies comme des technologies qui traitent des données personnelles pour produire des résultats utilisés afin d'« influencer de manière substantielle » une « décision à conséquence importante ». Ces décisions incluent l'emploi (embauche, promotion, mesure disciplinaire, licenciement), le logement, les services financiers, l'assurance, la santé et l'éducation.
Ce seuil, l'influence substantielle, est déterminant. Une ADMT qui ne joue qu'un rôle accessoire dans un processus décisionnel n'est pas nécessairement couverte. L'accent est mis sur les systèmes qui modifient de façon significative le résultat d'une décision à conséquence importante affectant un individu.
Pour les usages concernés, la loi impose : des notices destinées aux consommateurs indiquant qu'une ADMT est utilisée ainsi que les catégories de données traitées ; un mécanisme permettant aux consommateurs de refuser l'utilisation d'une ADMT pour une décision à conséquence importante ; et, dans certaines circonstances, un droit à recevoir une explication significative d'une décision à conséquence importante et à la contester. Les développeurs d'ADMT doivent fournir aux déployeurs les informations nécessaires pour leur permettre de se conformer à la loi. L'application relève du procureur général (Attorney General) au titre des pratiques commerciales déloyales, avec une période de régularisation courant jusqu'à fin 2027 et sans droit d'action privé.
Ce que la nouvelle loi abandonne
Disparaissent entièrement : le devoir de vigilance raisonnable visant à prévenir la discrimination algorithmique ; les programmes obligatoires de gestion des risques alignés sur le NIST AI RMF ou la norme ISO 42001 ; les évaluations d'impact annuelles à réaliser dans les 90 jours suivant le déploiement ; les obligations de publication des évaluations d'impact ; ainsi que le régime de classification des systèmes d'IA à haut risque. Le SB 24-205 initial présentait une architecture proche de celle du règlement européen sur l'IA (EU AI Act), fondée sur le risque, avec des obligations positives pour les développeurs et les déployeurs. Le SB 26-189 se rapproche davantage, dans son architecture, d'un texte de protection des consommateurs : notification, droit de refus et droit à explication, avec une application relevant du cadre de protection des consommateurs.
Trois autres textes du Colorado sur l'IA
Le SB 26-189 n'est pas le seul texte sur l'IA signé par le Colorado durant cette période. Le HB 1263 (sécurité des chatbots, en vigueur au 1er janvier 2027) impose des obligations de transparence pour les compagnons et chatbots IA, en particulier lorsqu'il existe un risque de préjudice pour les utilisateurs vulnérables, y compris les mineurs. Le HB 1139 (IA dans les décisions de couverture d'assurance maladie, en vigueur au 1er janvier 2027) impose un contrôle humain des décisions défavorables de couverture générées par l'IA. Le HB 1195 (IA en psychothérapie, en vigueur au 12 août 2026) restreint le recours à l'IA dans les services de psychothérapie. Ensemble, ces textes traduisent des démarches ciblées de protection des consommateurs, en complément du cadre plus large relatif aux ADMT.
Ce que cela signifie pour les organisations
La date d'entrée en vigueur du 1er janvier 2027 offre une fenêtre de mise en conformité. Toutefois, le procureur général a indiqué que l'application ne débuterait qu'une fois le processus réglementaire achevé, et ce processus n'a pas encore commencé. Cela crée une incertitude quant au périmètre opérationnel de la loi. Les organisations doivent suivre de près l'évolution de ce processus réglementaire.
L'impact concret est significatif pour toute entreprise qui prend, à l'aide de l'IA, des décisions concernant des salariés ou des clients au Colorado, ce qui recouvre une part importante des déploiements d'IA en entreprise aux États-Unis. Même ce cadre allégé de transparence exige d'identifier où une ADMT est utilisée, quelles données elle traite, et comment communiquer ces informations aux personnes concernées. Le mécanisme de refus (opt-out) suppose une infrastructure de conformité que la plupart des organisations n'ont pas encore mise en place.
La leçon plus générale à tirer du Colorado est que le paysage des lois étatiques américaines sur l'IA n'est pas stable. Des lois sont adoptées, gelées, contestées, abrogées et remplacées selon des calendriers que les programmes de conformité ne peuvent pas facilement absorber. La réponse minimale viable pour toute organisation opérant dans plusieurs États américains consiste à : tenir un inventaire des systèmes d'IA, suivre quelles lois étatiques s'appliquent à chaque système et dans chaque État, et bâtir une infrastructure de gouvernance capable de s'adapter à mesure que la loi évolue, plutôt que des exercices de conformité ponctuels liés à des dates d'entrée en vigueur spécifiques.
Sources principales : Colorado SB 26-189 (General Assembly) | Seyfarth, Colorado Enacts AI Replacement Law (mai 2026) | Norton Rose Fulbright, Colorado Enacts Revised AI Law