TRAIGA au Texas : ce que les entreprises présentes au Texas doivent savoir

Le Texas Responsible Artificial Intelligence Governance Act, généralement abrégé en TRAIGA, est désormais en vigueur. Adopté sous la forme de la House Bill 149, promulgué en juin 2025, il est entré en vigueur le 1er janvier 2026. Pour toute entreprise qui conçoit, achète ou utilise l’IA d’une manière qui touche des personnes au Texas, il doit figurer à l’agenda de la conformité.

Cabinet basé à Dallas, nous observons deux réactions opposées. Certains dirigeants y voient une version texane du Règlement européen sur l’IA (AI Act) et s’attendent à de lourdes obligations nouvelles. D’autres pensent qu’il ne s’applique qu’aux administrations de l’État et le mettent de côté. Aucune de ces lectures n’est juste. Pour les entreprises privées, TRAIGA est plus étroit que beaucoup ne le pensent, mais il crée une exposition réelle, et la manière de s’y préparer relève de la même discipline qu’exige de toute façon une bonne gouvernance de l’IA.

Ce que prévoit la loi, en bref

TRAIGA adopte une approche fondée sur l’intention. Plutôt que de classer les systèmes d’IA par catégories de risque assorties chacune d’une longue liste d’obligations, il interdit des usages préjudiciables précis et impose des obligations supplémentaires aux pouvoirs publics. Ses principaux éléments sont les suivants :

• Finalités interdites. Il interdit de développer ou de déployer une IA dans l’intention de causer certains préjudices, par exemple manipuler des personnes pour qu’elles se nuisent ou nuisent à autrui ou commettent des infractions, discriminer illégalement des catégories protégées, ou produire certains contenus sexuels illicites.
• Obligations des entités publiques. Les organismes publics de l’État et des collectivités locales sont soumis à des obligations supplémentaires, comme informer les personnes qu’elles interagissent avec une IA, et à l’interdiction d’utiliser l’IA à des fins de notation sociale.
• Information en matière de santé. Lorsque l’IA est utilisée dans le cadre de services de santé, cet usage doit être porté à la connaissance des patients.
• Un bac à sable réglementaire. Les organisations éligibles peuvent tester des systèmes d’IA dans le cadre d’un programme géré par l’État, avec un allègement de certaines exigences pendant la période de test.
• Un conseil texan de l’IA. La loi crée un conseil chargé de conseiller l’État sur la politique, l’éthique et la supervision de l’IA.

L’accent mis sur l’intention est déterminant. Pour la plupart des entreprises privées, la question centrale n’est pas de savoir si un système relève d’une catégorie réglementée, mais si vous pouvez démontrer ce pour quoi il a été conçu et déployé, et que vous avez pris des mesures raisonnables pour l’empêcher de causer un préjudice.

Qui est concerné

TRAIGA s’applique largement aux organisations qui développent ou déploient des systèmes d’IA au Texas, proposent des produits ou services utilisés par des résidents texans, ou exercent une activité dans l’État. En pratique, cela englobe la plupart des entreprises d’envergure nationale, et pas seulement celles dont le siège ou un bureau se trouve au Texas.

Les obligations spécifiques les plus lourdes, comme l’information générale sur les interactions avec une IA et l’interdiction de la notation sociale, pèsent sur les entités publiques. Les entreprises privées sont principalement concernées de trois manières :

1. Les interdictions d’usages intentionnellement préjudiciables s’appliquent à elles.
2. Les prestataires de soins et autres acteurs fournissant des services de santé ont une obligation d’information.
3. Les entreprises qui vendent de l’IA à des clients du secteur public texan verront ces clients leur répercuter leurs propres obligations par voie contractuelle et dans les exigences des marchés publics.

Les acteurs des services financiers devraient accorder une attention particulière aux dispositions sur la discrimination. Les modèles de crédit, de souscription, de fraude et de recouvrement relèvent déjà des règles fédérales sur l’équité en matière de crédit et la protection des consommateurs. TRAIGA ajoute un volet d’application au niveau de l’État, et la qualité de votre documentation influencera le déroulement de toute enquête. Savoir si un cas d’usage précis est couvert est une question juridique : consultez vos conseils sur les points spécifiques.

Comment la loi est appliquée

Le dispositif d’application est l’aspect de TRAIGA qui détermine le plus la manière de vous préparer.

• Le seul Attorney General. L’Attorney General du Texas dispose d’une compétence exclusive pour faire appliquer la loi. Il n’existe pas de droit d’action privé : les particuliers ne peuvent pas agir en justice sur le fondement de la loi elle-même.
• Notification et régularisation. Avant d’engager une action, l’Attorney General doit notifier la violation présumée, puis laisser à l’organisation un délai de 60 jours pour y remédier.
• Des sanctions graduées. Les amendes civiles sont plus élevées pour les violations qui ne peuvent pas être corrigées, ou qui persistent après le délai de régularisation, que pour celles qui peuvent l’être.
• Les cadres reconnus comptent. Se conformer pour l’essentiel à un cadre reconnu de gestion des risques de l’IA, comme le NIST AI Risk Management Framework, est pris en compte dans les moyens de défense dont dispose une organisation.

Ensemble, ces caractéristiques avantagent les organisations capables de réagir vite et de manière crédible. Si une notification arrive, vous disposez d’un délai limité pour comprendre le système en cause, démontrer ce qu’il devait faire, corriger tout problème et documenter la correction. C’est très difficile en partant de zéro.

Mesures concrètes de préparation

Rien de ce qui suit n’est exotique. C’est le socle d’un programme solide de gouvernance de l’IA, orienté vers les spécificités de TRAIGA.

1. Inventorier les usages de l’IA qui touchent des Texans. Constituez ou mettez à jour un registre des systèmes d’IA, y compris les outils de fournisseurs et les fonctionnalités d’IA intégrées aux logiciels métier, et signalez ceux qui concernent des résidents, clients ou collaborateurs texans. Sans inventaire, un délai de régularisation de 60 jours n’est pas réaliste.
2. Documenter l’intention et les tests. Pour chaque système significatif, consignez sa finalité, les décisions qu’il appuie et les limites de son utilisation. Conservez la trace des tests menés avant déploiement, y compris les tests de biais et d’usage abusif. Face à une loi fondée sur l’intention, une documentation établie au fil de l’eau est votre meilleure preuve.
3. S’aligner sur le NIST AI RMF. Rattachez vos politiques et contrôles aux fonctions Govern, Map, Measure et Manage du cadre. Cela soutient les moyens de défense reconnus par la loi et vous donne une structure que d’autres régulateurs et auditeurs comprennent.
4. Assurer l’information là où elle est requise. Vérifiez si certaines de vos activités déclenchent une obligation d’information, notamment dans la santé ou dans vos missions pour des clients publics, et mettez en place des mentions claires et cohérentes.
5. Surveiller les systèmes en production. Les modèles dérivent et les usages s’étendent. Mettez en place une surveillance des performances, des résultats selon les groupes et des signes d’usage abusif, avec des responsables nommément désignés qui en examinent les résultats.
6. Bâtir un processus d’incident prêt pour la régularisation. Définissez qui reçoit une notification du régulateur, comment le système concerné est identifié et évalué, qui peut autoriser une correction et comment la remédiation est documentée. Répétez-le une fois avant d’en avoir besoin.
7. Suivre les lois des autres États. Le Texas est l’un des nombreux États qui légifèrent sur l’IA. Le Colorado AI Act adopte une approche différente, fondée sur le risque, et d’autres États sont actifs. Construisez un programme multi-États unique, doté d’un socle commun de contrôles, plutôt qu’un projet distinct pour chaque loi.

La place de TRAIGA dans un programme plus large

Ce serait une erreur de traiter TRAIGA comme un projet de conformité isolé. L’inventaire, la documentation, les tests et la surveillance qu’il récompense sont les mêmes capacités dont vous avez besoin pour les régulateurs sectoriels, les diligences de vos clients, le Règlement européen sur l’IA (AI Act) si vous opérez en Europe, et la certification ISO/IEC 42001 si vous choisissez de la viser.

La voie la plus efficace consiste à ancrer votre programme sur un seul cadre, généralement le NIST AI RMF pour les entreprises dont le marché principal est américain, et à y rattacher chaque nouvelle loi. Lorsqu’une nouvelle exigence apparaît, vous évaluez alors l’écart par rapport à des contrôles que vous appliquez déjà, au lieu de repartir de zéro.

Le bac à sable mérite également l’attention des organisations qui développent des produits d’IA innovants. Il ne remplace pas la gouvernance, mais il peut offrir un espace pour tester de manière responsable tout en dialoguant avec l’État.

Cet article est fourni à titre d’information générale et ne constitue pas un conseil juridique ou réglementaire.