New York ouvre son registre de sécurité IA à OpenAI et Anthropic

New York passe de la loi à l'application sur l'IA de pointe. Mardi 10 novembre, l'État a ouvert un portail d'enregistrement que les grands développeurs de modèles de pointe, comme OpenAI et Anthropic, devront utiliser avant le 1er janvier 2027, selon TechCrunch. C'est aussi la date à laquelle les obligations du RAISE Act commencent à s'appliquer : l'annonce marque donc moins un changement soudain que le début d'un compte à rebours.

Ce que la loi exige

Le Responsible AI Safety and Education (RAISE) Act vise les grands développeurs de modèles de pointe, définis par TechCrunch comme les entreprises réalisant plus de 500 millions de dollars de chiffre d'affaires annuel. Selon le bureau de la gouverneure Kathy Hochul, qui a décrit la loi dans un communiqué daté du 21 septembre, ces entreprises doivent :

• établir des cadres de sécurité et de transparence et les publier sur leur propre site ;
• signaler les incidents de sécurité critiques au nouveau bureau DIGIT sous 72 heures ;
• déposer auprès de DIGIT des évaluations trimestrielles des risques catastrophiques ;
• s'enregistrer auprès de DIGIT, déposer une déclaration au moins tous les deux ans à partir du 1er janvier 2027 et payer des contributions.

TechCrunch mentionne aussi des rapports publics de transparence sur les modèles. CIO Dive, qui rendait compte de la promulgation de la loi en décembre 2025, ajoute que les développeurs doivent désigner un responsable senior chargé de la conformité. Le site cite des exemples d'incidents à déclarer : un modèle de pointe qui agit de façon autonome en dehors de ce que l'utilisateur a demandé, une défaillance critique des contrôles techniques, ou le vol, l'usage malveillant ou l'accès non autorisé au modèle.

Le public peut aussi transmettre à DIGIT des signalements d'incidents critiques présumés, que le bureau peut relayer à d'autres autorités, indique le bureau de la gouverneure. DIGIT publiera chaque année un rapport résumant les signalements reçus, ses observations sur la sécurité des modèles de pointe et les modifications qu'il recommande à la loi.

Qui contrôle, et ce que ça peut coûter

Le bureau pour l'innovation numérique, la gouvernance, l'intégrité et la confiance (DIGIT) est rattaché au département des services financiers de l'État de New York. Marc Gilman, nommé en septembre directeur adjoint chargé du RAISE Act, en est la première embauche à plein temps, et le bureau de la gouverneure annonce d'autres arrivées dans les semaines et mois à venir. La procureure générale Letitia James a déclaré que son bureau fera appliquer la loi.

Les sanctions peuvent atteindre 1 million de dollars pour une première infraction et 3 millions pour les suivantes, selon TechCrunch. CIO Dive précise que cela vise les développeurs qui ne remettent pas les rapports exigés ou font de fausses déclarations. L'État peut aussi agir contre les entreprises qui ne s'inscrivent pas sur le nouveau portail, mais un porte-parole n'a donné aucun détail à TechCrunch : on ne sait donc pas encore comment cela se passerait en pratique.

En parallèle du portail, Kathy Hochul a lancé le New York Center for AI Responsibility and Research à l'université de Binghamton, qui fait partie de l'université d'État de New York. Selon TechCrunch, il évaluera de façon indépendante la sécurité, la sûreté et le fonctionnement des systèmes d'IA avancés et travaillera avec DIGIT pour examiner les cadres de sécurité des entreprises. La gouverneure l'avait annoncé en janvier, avec 55 millions de dollars de dons et de capital.

Nous construisons un modèle national de régulation de l'IA intelligente et raisonnable, un modèle qui place les communautés au-dessus des entreprises et les personnes au-dessus de la technologie puissante.

Une mosaïque de lois d'État et un conflit fédéral

New York n'est pas seul. TechCrunch rappelle que la loi californienne SB 53, en vigueur depuis janvier, impose aussi aux laboratoires de pointe de tenir et publier des cadres de sécurité et de mettre en place une protection des lanceurs d'alerte, avec un signalement des incidents critiques sous 15 jours. La loi SB 315 de l'Illinois, qui s'applique au début de 2027, contient des exigences similaires et ajoute des audits indépendants de conformité en matière de sécurité. New York a d'autres textes sur la sécurité de l'IA : une loi sur les compagnons conversationnels déjà appliquée, et une loi sur les chatbots destinés aux mineurs, signée en octobre, qui entre en vigueur le 1er juin 2027.

Le contexte fédéral est tendu. CIO Dive indiquait en décembre 2025 que le RAISE Act était la première loi d'État sur l'IA signée depuis le décret du président Donald Trump créant un groupe de travail chargé de contester les lois des États (AI Litigation Task Force). Le site précisait qu'on ignorait quels États il viserait en premier, et citait le Colorado. Les sources que nous avons lues ne disent pas si la loi new-yorkaise est ou sera contestée. De son côté, le bureau de la gouverneure affirme que l'État fédéral n'a pris aucune nouvelle mesure sur la sécurité de l'IA.

Ce que ça change pour une entreprise

Le texte ne couvre que les développeurs au-dessus du seuil de chiffre d'affaires : une entreprise américaine ordinaire qui se contente d'utiliser les modèles d'OpenAI ou d'Anthropic n'a aucune déclaration à faire. Les effets seront plutôt indirects. Des cadres de sécurité obligatoirement publiés et un signalement des incidents sous 72 heures donnent aux acheteurs de nouveaux documents à lire quand ils évaluent un fournisseur d'IA. C'est notre analyse, pas une disposition de la loi.

Une entreprise qui construit des agents sur ces modèles peut dès maintenant demander à ses fournisseurs où leur cadre est publié et comment les incidents sont communiqués. Celles qui entraînent leurs propres grands modèles et approchent du seuil doivent vérifier sans attendre si l'obligation d'enregistrement les concerne. Nous détaillons comment organiser ce contrôle en interne dans notre guide sur la gouvernance des agents IA.