La ville de New York exigera à OpenAI et Anthropic de signaler dans un délai de 72 heures tout incident grave de sécurité lié à leur intelligence artificielle.

L'État de New York a ouvert le 10 novembre 2026 un portail dans lequel les grands développeurs d'intelligence artificielle, comme OpenAI et Anthropic, doivent s'inscrire avant le 1er janvier 2027. À partir de cette date, ils devront signaler en 72 heures tout incident critique de sécurité lié à leurs modèles.

L'obligation découle de la loi RAISE, qui réglemente les développeurs dits de pointe : entreprises qui entraînent les modèles les plus puissants, définis par la loi comme ceux entraînés avec plus de 10^26 opérations de calcul. Les obligations les plus strictes s'appliquent à celles dont le chiffre d'affaires dépasse 500 millions de dollars par an.

Ces compagnies devront publier sur leur site web un cadre de sécurité expliquant comment elles identifient et réduisent les risques graves, comment elles protègent les poids de leurs modèles non encore lancés (les fichiers contenant ce que l'IA a appris) et comment elles se gouvernent en interne.

Le cadre doit être révisé au moins une fois par an, selon le Département des services financiers de l'État.

De plus, tous les trois mois, elles devront présenter un résumé à l'organisme de leur évaluation des risques catastrophiques découlant de l'utilisation interne de leurs modèles.

Avant de lancer un nouveau modèle, ou un modèle modifié de manière substantielle, elles devront publier un rapport de transparence avec leurs utilisations prévues, leurs restrictions et les résultats de ces évaluations.

Délais pour signaler les défaillances

L'organisme qui supervisera le respect des règles s'appelle DIGIT et fonctionne au sein du Département des services financiers. Il recevra les rapports via un portail sécurisé.

Selon son site officiel, le délai de 72 heures court à partir du moment où l'entreprise détermine qu'un incident s'est produit ou connaît des faits permettant de le croire raisonnablement.

Si l'incident présente un risque imminent de mort ou de blessure physique grave, l'avertissement doit parvenir en 24 heures à une autorité compétente, comme la police ou un organisme de sécurité publique.

Cet avertissement ne remplace pas le rapport de 72 heures à l'État. Le public pourra également signaler des incidents suspects auprès de DIGIT.

Les sanctions peuvent atteindre 1 million de dollars pour une infraction et 3 millions de dollars pour les suivantes, selon TechCrunch. L'État peut également agir contre les entreprises qui ne s'enregistrent pas sur le portail, bien qu'une porte-parole n'ait pas donné de détails sur la manière dont elle procédera.

Deux lois similaires dans d'autres régions des États-Unis

Le délai new-yorkais est plus court que celui de la Californie. La loi SB 53 de cet État, en vigueur depuis janvier, exige de signaler les incidents critiques dans un délai de 15 jours. L'Illinois dispose d'une norme similaire, la SB 315, qui entrera en vigueur au début de 2027 et inclut des audits indépendants de conformité.

La gouverneure Kathy Hochul a présenté les mesures lors d'une conférence de presse. « Nous construisons un modèle national de régulation intelligente et raisonnable de l'IA, un modèle qui place les communautés au-dessus des corporations », a-t-elle affirmé.

Auparavant, elle avait critiqué les dirigeants technologiques qui, selon elle, soutiennent que leur vision de l'IA est inévitable.

Hochul a également inauguré le Centre de New York pour la Responsabilité et la Recherche en IA, basé à l'Université d'État de New York à Binghamton.

Le centre évaluera de manière indépendante la sécurité et le fonctionnement des systèmes avancés et travaillera avec DIGIT pour examiner les cadres de sécurité des entreprises. Hochul l'avait annoncé en janvier avec 55 millions de dollars en dons et en capital.

La loi coexiste avec d'autres normes de l'État concernant les chatbots. L'une d'elles oblige les opérateurs de compagnons d'IA à rappeler régulièrement aux utilisateurs qu'ils parlent à une machine et à s'efforcer de détecter les idées suicidaires.

Une autre, signée en octobre 2026, limite les comportements des chatbots avec les mineurs, tels que les réponses manipulatrices ou flatteuses, et entrera en vigueur le 1er juin 2027.

La version finale de la loi RAISE a été signée par Hochul le 27 mars 2026, selon un résumé de l'étude juridique Wiley. À partir du 1er janvier 2027, les développeurs devront disposer d'un enregistrement valide pour exploiter des modèles de frontière dans l'État et le renouveler tous les deux ans.