Que s'est-il passé
L’État de New York a établi un calendrier de conformité concret pour sa loi RAISE (Responsible and Security). La gouverneure Kathy Hochul a annoncé le 21 septembre que les grands développeurs de modèles d'IA frontaliers doivent s'inscrire auprès du nouveau Bureau de l'innovation numérique, de la gouvernance, de l'intégrité et de la confiance (DIGIT) de l'État à partir de novembre. Les exigences complètes, y compris les protocoles de sécurité publique, les évaluations trimestrielles des risques et le signalement des incidents dans les 72 heures, entreront en vigueur en janvier. L'État a également nommé Marc Gilman au poste de directeur adjoint de la loi RAISE au sein de DIGIT, qui relève du ministère des Services financiers.
La gouverneure Kathy Hochul a annoncé le calendrier de mise en œuvre de la loi RAISE de New York le 21 septembre 2026. Le calendrier exige que les grands développeurs de modèles d'IA frontaliers s'inscrivent auprès du Bureau de l'innovation numérique, de la gouvernance, de l'intégrité et de la confiance (DIGIT) de l'État à partir de novembre 2026. En janvier 2027, ces développeurs doivent commencer à publier des cadres de sécurité et de transparence, à soumettre des évaluations trimestrielles des risques catastrophiques et à signaler les incidents de sécurité critiques à DIGIT dans les délais requis. 72 heures.
L'État a nommé Marc Gilman directeur adjoint de la loi RAISE au sein de DIGIT, un nouveau bureau hébergé au sein du ministère des Services financiers. La loi impose des sanctions civiles en cas de non-respect, avec des amendes allant jusqu'à 1 million de dollars pour une première infraction et 3 millions de dollars pour les violations ultérieures, imposées par le procureur général de l'État. Ces obligations s’appliquent spécifiquement aux grands développeurs de modèles frontières plutôt qu’à tous les utilisateurs d’IA, mais elles créent une chaîne réglementaire qui affecte les clients en aval.
L'annonce met en évidence un défi pratique pour les banques et les fintechs qui utilisent ces modèles pour le service client, la détection des fraudes ou les paiements. Si un fournisseur d'IA signale un incident grave, le développeur devra peut-être enquêter, modifier l'accès ou modifier le comportement du modèle, ce qui pourrait perturber les opérations de l'institution financière. La loi n'impose actuellement pas de « coupe-circuit », bien que le gouverneur Hochul ait discuté du concept comme d'une idée exploratoire.
Détails de la source: pymnts.com ↗
Pourquoi c'est important
Cette évolution transforme la loi RAISE d'un statut signé en un cadre réglementaire opérationnel avec des délais exécutoires. L'exigence de déclaration d'incident dans les 72 heures et les sanctions civiles potentielles pouvant aller jusqu'à 3 millions de dollars en cas de violation créent des risques opérationnels immédiats pour les institutions financières qui s'appuient sur ces fournisseurs d'IA. Les banques et les fintechs doivent désormais évaluer leur dépendance à l’égard de fournisseurs d’IA spécifiques et préparer des procédures de secours, car un incident à signaler par un fournisseur pourrait perturber des services critiques comme la détection des fraudes ou les paiements. La loi cible spécifiquement les grands développeurs de modèles frontières, mais l’impact en aval sur leurs entreprises clientes est important, obligeant à réévaluer les stratégies de gestion des risques liés aux fournisseurs dans le secteur de l’IA.
Le calendrier de mise en œuvre de la loi RAISE fournit à New York un mécanisme permettant de suivre en temps réel les risques de modèle graves. Le délai de 72 heures pour signaler les incidents constitue une contrainte opérationnelle importante pour les développeurs d'IA, nécessitant une réponse rapide aux problèmes de sécurité. Pour les institutions financières, cela crée un nouveau niveau de risque lié aux fournisseurs qui doit être intégré aux cadres de conformité et de résilience opérationnelle existants.
La distinction entre développeurs et utilisateurs est essentielle. Bien que les banques ne soient pas directement soumises aux exigences d'enregistrement de la loi RAISE, leur dépendance à l'égard de fournisseurs d'IA spécifiques les rend vulnérables aux conséquences de la non-conformité d'un fournisseur ou d'un incident à signaler. La possibilité de sanctions civiles ajoute du poids aux obligations des promoteurs, influençant potentiellement leurs pratiques de gestion des risques et, par extension, la stabilité des services qu'ils fournissent aux clients financiers.
Cette action politique oblige les institutions financières à évaluer de manière proactive leur dépendance à l’IA. Ils doivent déterminer à quelle vitesse ils seraient informés d'un incident avec un fournisseur, quels services seraient affectés et s'ils peuvent suspendre l'accès du modèle aux données sensibles ou son autorité pour prendre des mesures. Ce passage d’une dépendance passive à une gestion active des risques constitue un changement majeur dans la manière dont le secteur financier aborde l’adoption de l’IA.
Mécanisme interactif : comment cela fonctionne réellement
Explorez de manière interactive la technologie sous-jacente à ce développement.
crm_get_transaction(id='4092').Impossibility results in algorithmic fairness (e.g. Kleinberg et al., Chouldechova) show what?
Que regarder ensuite
Surveillez le processus d'enregistrement des grands développeurs d'IA en novembre pour voir quelles entreprises se conforment et comment elles structurent leurs cadres de sécurité. Surveillez les premières évaluations trimestrielles des risques catastrophiques prévues début 2027. De plus, vérifiez si les discussions exploratoires du gouverneur Hochul sur les « coupe-circuits » de l'IA évoluent vers des exigences réglementaires formelles ou restent des meilleures pratiques volontaires pour les institutions financières.
La date limite d'inscription de novembre révélera quels grands développeurs d'IA sont soumis à la loi RAISE et comment ils interprètent la définition du « modèle frontière ». Les efforts de conformité peuvent varier, certaines entreprises pouvant contester la portée de la loi ou demander des éclaircissements à DIGIT.
Les premières évaluations trimestrielles des risques catastrophiques, attendues début 2027, fourniront le premier aperçu public de la manière dont les développeurs évaluent et rendent compte du potentiel de préjudice de leurs modèles. Ces rapports peuvent mettre en évidence des risques spécifiques dans des domaines tels que les services financiers, où l’IA est de plus en plus utilisée pour la prise de décision.
Les discussions du gouverneur Hochul sur les « coupe-circuit » de l'IA pourraient conduire à de nouvelles orientations réglementaires ou à des normes volontaires pour les institutions financières. Bien que cela ne soit pas nécessaire actuellement, le concept de pouvoir désactiver rapidement un outil d’IA en cas d’urgence devient un objectif clé pour les gestionnaires de risques du secteur bancaire.