Loi RAISE de New York : Lacunes en matière de sécurité de l’IA

Publier une politique de sécurité en matière d'IA est une chose. Prouver que les mesures de protection qu'elle met en place fonctionnent réellement en est une autre.

À mesure que les modèles d'IA de pointe gagnent en puissance, les organisations sont confrontées à de nouvelles questions concernant les capacités de ces systèmes, les risques de mauvaise utilisation et la capacité des contrôles de sécurité à prévenir des conséquences catastrophiques.

Que se passe-t-il si un modèle puissant permet une cyberattaque de grande ampleur ? Un développeur peut-il identifier les fonctionnalités dangereuses avant le déploiement ? Qui enquête lorsqu’un modèle contourne les mesures de sécurité ? Et dans quel délai l’organisation peut-elle signaler un incident de sécurité critique ?

Ce sont là les questions au cœur de la situation à New York. Loi sur la sécurité et l'éducation en matière d'IA responsable (RAISE).

Adoptée en décembre 2025 et profondément modifiée en mars 2026, la loi RAISE établit des exigences en matière de transparence, de cadre de sécurité et de signalement des incidents pour les développeurs d'IA de pointe éligibles. Le cadre modifié devrait entrer en vigueur prochainement. 1er janvier 2027.

Mais la leçon plus générale dépasse le cadre des promoteurs directement réglementés par la loi.

La sécurité de l'IA ne se limite pas à la simple documentation des risques. Les organisations ont besoin d'une visibilité complète sur les modèles, les données, les identités, les voies d'accès et les contrôles qui déterminent si ces risques peuvent se concrétiser en incidents.

Ce guide explique les exigences de la loi RAISE, qui doit s'y conformer, ce qui constitue un risque catastrophique et les lacunes de gouvernance que les organisations doivent combler à mesure que les capacités de pointe en matière d'IA continuent d'évoluer.

Qu’est-ce que la loi RAISE de New York ?

Le Loi sur la sécurité et l'éducation en matière d'IA responsable, La loi RAISE, communément appelée ainsi, est une loi de l'État de New York conçue pour améliorer la transparence et la responsabilité entourant les puissants modèles d'intelligence artificielle de pointe.

Initialement promulgué par Projet de loi du Sénat S6953B, La législation a établi un cadre pour faire face aux risques graves associés au développement et au déploiement de l'IA de pointe.

New York a par la suite promulgué S8828, un amendement de chapitre qui a considérablement modifié la loi.

Le cadre amendé aligne plus étroitement plusieurs concepts fondamentaux sur la législation californienne de pointe en matière de sécurité de l'IA, tout en établissant des mécanismes de surveillance et de signalement spécifiques à l'État de New York.

Son objectif principal est risque catastrophique: la possibilité qu'un modèle d'IA de pointe puisse contribuer à des dommages exceptionnellement graves.

La loi exige que les promoteurs admissibles rendent publiques des informations spécifiques sur leurs pratiques de sécurité, évaluent les capacités dangereuses, traitent les risques identifiés et signalent les incidents de sécurité critiques.

Il est important de noter que la loi RAISE n'établit pas les mêmes obligations pour chaque application d'IA, chaque chatbot d'entreprise ou chaque organisation déployant un service d'IA tiers.

Ses exigences directes dépendent de la question de savoir si une organisation répond aux définitions légales d'un promoteur pionnier ou d'un grand promoteur pionnier et si le modèle pertinent relève du champ d'application légal de l'État de New York.

Quand la loi RAISE entre-t-elle en vigueur ?

La loi RAISE modifiée devrait entrer en vigueur prochainement. 1er janvier 2027.

Il est important de comprendre le calendrier législatif, car les articles plus anciens peuvent décrire des exigences de la version originale qui ont été modifiées par les amendements de 2026.

Qui est tenu de se conformer à la loi RAISE ?

La loi établit deux catégories importantes : développeurs de pointe et grands promoteurs de la frontière.

Ces catégories sont liées, mais leurs obligations ne sont pas identiques.

Dans le cadre modifié, un modèle frontière est un modèle de base entraîné à l'aide de plus de 10²⁶ opérations sur les entiers ou les nombres à virgule flottante, y compris la formation et les modifications ultérieures qualifiantes.

Un grand promoteur immobilier pionnier est un promoteur immobilier pionnier dont les revenus bruts annuels, avec ceux de ses filiales, dépassent $500 millions au cours de l'année civile précédente.

La loi s'applique aux modèles pionniers développés, déployés ou exploités en tout ou en partie dans l'État de New York, sous réserve des exceptions prévues par la loi.

Qu’est-ce qu’un risque catastrophique au sens de la loi RAISE ?

La loi RAISE se concentre sur les conséquences graves qui vont au-delà des erreurs de modélisation ordinaires, des réponses inexactes ou des préoccupations courantes en matière de gouvernance de l'IA.

En vertu de la loi modifiée, le risque catastrophique désigne un risque prévisible et important qu'un modèle de frontière puisse causer ou contribuer de manière significative à un incident entraînant Plus de 50 décès ou blessures graves, ou plus de 104 milliards de yuans de dégâts matériels, sous réserve des définitions et conditions prévues par la loi.

La loi s'intéresse particulièrement aux capacités dangereuses susceptibles de contribuer à des dommages physiques ou économiques de grande ampleur.

Les scénarios de risque potentiels comprennent :

• Menaces cybernétiques graves : Des capacités d'IA de pointe qui permettent concrètement des cyberopérations extrêmement dommageables.
• Menaces biologiques ou chimiques : Modéliser des capacités susceptibles de faciliter considérablement une utilisation abusive dangereuse.
• Perte de contrôle : Modéliser un comportement qui contourne les mécanismes de contrôle de manière à accroître sensiblement le risque de catastrophe.
• Autres incidents catastrophiques : Les événements admissibles qui répondent aux critères de gravité et de causalité prévus par la loi.

Ces exemples ne signifient pas que chaque incident de cybersécurité, chaque réponse non sécurisée ou chaque violation de la politique en matière d'IA constitue un risque catastrophique au sens de la loi.

Le seuil légal est volontairement élevé. La difficulté opérationnelle consiste à déterminer si les capacités, l'environnement et les mesures de protection d'un modèle créent un chemin crédible vers ce niveau de préjudice.

Que prévoit la loi RAISE ?

La loi modifiée établit des exigences relatives aux cadres de sécurité, à la transparence des modèles, au signalement des incidents et à la surveillance.

1. Cadres de sécurité de l'IA de pointe publiés

Les grands développeurs de technologies de pointe doivent rédiger, mettre en œuvre, suivre et publier publiquement un cadre d'IA de pointe décrivant comment ils gèrent les risques catastrophiques.

Le cadre doit aborder des domaines spécifiques, notamment :

• Normes applicables et meilleures pratiques de l'industrie.
• Seuils d'identification des capacités dangereuses des modèles.
• Évaluation et atténuation des risques catastrophiques.
• Des analyses de sécurité sont effectuées avant tout déploiement ou utilisation interne intensive.
• Recours à des tiers pour évaluer les risques et les mesures d'atténuation.
• Mises à jour du cadre et modifications matérielles.
• Pratiques de cybersécurité protégeant les poids des modèles non publiés.
• Identification et intervention en cas d'incidents critiques pour la sécurité.
• Gouvernance interne et responsabilité.
• Risques catastrophiques liés à l'utilisation de modèles internes.

Les grands développeurs de technologies de pointe doivent revoir leurs cadres de développement au moins une fois par an et publier les modifications importantes accompagnées d'une explication dans les délais légaux applicables.

2. Rapports de transparence du modèle Frontier

Avant ou en même temps que le déploiement d'un nouveau modèle Frontier ou d'une version substantiellement modifiée, les développeurs Frontier doivent publier des informations spécifiques sur le modèle.

Ces informations comprennent le site web du développeur, son mode de contact, la date de sortie du modèle, les langues et modalités de sortie prises en charge, les utilisations prévues et les restrictions généralement applicables.

Les grands promoteurs de projets en zone frontalière doivent fournir des résumés supplémentaires concernant les évaluations des risques catastrophiques, leurs résultats, l'implication d'évaluateurs tiers et les mesures de sécurité connexes.

3. Signalement des incidents critiques en matière de sécurité

Les promoteurs immobiliers de Frontier doivent signaler les incidents critiques de sécurité admissibles au bureau d'État désigné dans les délais impartis. 72 heures après avoir déterminé qu'un incident s'est produit ou après avoir pris connaissance de faits suffisants pour établir une croyance raisonnable qu'il s'est produit.

Lorsqu'un incident présente un risque imminent de mort ou de blessure grave, la loi établit une procédure distincte. Obligation de divulgation sous 24 heures à une autorité compétente, sous réserve des conditions légales.

Ces exigences rendent l'identification des incidents, leur escalade, leur documentation et la communication interne particulièrement importantes.

4. Surveillance et divulgations réglementaires

La loi établit des responsabilités de surveillance au sein du Département des services financiers de l'État de New York.

Il comprend également des exigences pour les grands promoteurs immobiliers de pointe, qui doivent déposer des déclarations spécifiques auprès du bureau désigné, identifier les informations organisationnelles pertinentes et se conformer aux évaluations et exigences de renouvellement applicables.

Ces dispositions sont distinctes du cadre d'IA de pointe destiné au public et des rapports de transparence des modèles.

Pourquoi les politiques de sécurité publiées ne suffisent pas

Une organisation peut disposer d'un cadre de sécurité IA complet et avoir malgré tout du mal à démontrer que ses contrôles fonctionnent efficacement.

Prenons l'exemple d'un développeur qui documente les restrictions d'accès aux modèles, les évaluations de sécurité et les procédures de réponse aux incidents.

Le cadre peut sembler complet. Mais d'importantes questions demeurent :

• Qui peut accéder aux données d'entraînement sensibles et aux ressources de modèles non publiées ?
• Quels comptes de service et identités de machines Disposer de permissions privilégiées ?
• Est-il possible de détecter les mouvements de données non autorisés ou les modifications d'accès ?
• Les conclusions relatives à la sécurité des modèles sont-elles liées aux responsables des mesures correctives ?
• Les équipes peuvent-elles enquêter sur un incident potentiel suffisamment rapidement pour permettre un signalement ?
• Les données relatives à la gouvernance reflètent-elles l'environnement actuel ou une évaluation antérieure ?

Cette distinction est significative.

Une politique décrit ce qui devrait se produire. Les données opérationnelles permettent d'établir ce qui se produit réellement.

C’est là que la sécurité de l’IA, la découverte des données, le contexte d’identité et la visibilité continue des risques deviennent des capacités de soutien importantes.

Comment un incident de sécurité lié à l'IA révèle les failles

Imaginez un grand développeur de jeux en phase de pointe s'apprêtant à lancer un nouveau modèle.

L'organisation a publié son cadre de sécurité, finalisé les évaluations des modèles et documenté les mesures d'atténuation pertinentes.

Lors d'un contrôle de routine, l'équipe de sécurité découvre qu'une identité de service associée à un environnement de développement dispose d'un accès plus étendu que prévu.

Cette identité peut permettre d'accéder à des référentiels sensibles et à des ressources liées au modèle qui devraient être restreintes.

Il n'existe pour l'instant aucune preuve d'un incident de sécurité catastrophique. Mais cette découverte soulève plusieurs questions importantes :

• À quels systèmes et ensembles de données l'identité peut-elle accéder ?
• Ces autorisations pourraient-elles exposer des informations sensibles ou des éléments de modélisation non publiés ?
• Quand le changement d'accès a-t-il eu lieu ?
• Quelles équipes sont propriétaires des ressources concernées ?
• Une activité non autorisée a-t-elle eu lieu ?
• Quelles mesures correctives sont nécessaires ?
• Cette constatation a-t-elle une incidence sur les évaluations de sûreté ou de sécurité de l'organisation ?

L'organisation doit mener une enquête avant de pouvoir déterminer la signification de cette découverte.

Cet exemple illustre une distinction importante : Une faille de sécurité ne constitue pas automatiquement un incident de sécurité critique au sens de la loi RAISE.. Mais une faible visibilité peut rendre plus difficile l'identification, l'évaluation et la réponse aux risques susceptibles de s'aggraver.

Pour les développeurs utilisant des modèles puissants, cette distinction rend essentiel un contexte de sécurité fiable.

Quelles sont les dates limites de déclaration prévues par la loi RAISE ?

La loi modifiée établit des exigences de déclaration distinctes pour les incidents critiques en matière de sécurité.

Ces exigences ne doivent pas être confondues avec les règles ordinaires de notification des violations de données. Les dispositions de la loi RAISE relatives aux incidents de sécurité critiques traitent des risques spécifiques liés à l'IA de pointe et définissent les déclencheurs de signalement.

Les organisations doivent coordonner leurs équipes juridiques, de sécurité, d'ingénierie et de sûreté lors de la mise en place de procédures d'intervention.

Quelles sont les sanctions encourues en cas de violation de la loi RAISE ?

La loi RAISE modifiée autorise le procureur général de New York à intenter des actions civiles concernant des violations spécifiques.

Les sanctions potentielles comprennent :

• Jusqu'à $1 million pour une première infraction admissible.
• Jusqu'à $3 millions pour chaque infraction qualificative subséquente.

Ces sanctions s'appliquent dans des conditions légales spécifiques, notamment en cas de manquements concernant les documents requis, le signalement des incidents, les déclarations interdites ou le respect du cadre réglementaire propre à un grand développeur de technologies de pointe.

Des dispositions supplémentaires traitent des obligations de divulgation des grands promoteurs immobiliers en zone frontalière, y compris les pénalités journalières potentielles en cas de manquements spécifiques en matière de déclaration.

La loi ne crée pas de nouveau droit d'action privé pour les violations de la loi RAISE elle-même.

Le cadre de mise en œuvre renforce un point essentiel : la publication d’un cadre de sécurité crée des responsabilités quant à son respect et à la représentation fidèle de sa mise en œuvre.

Comment les organisations doivent-elles se préparer à la loi RAISE ?

La planification de la conformité directe devrait commencer par déterminer si l'organisation remplit les conditions requises pour être considérée comme un développeur pionnier ou un grand développeur pionnier.

À partir de là, les organisations peuvent relier les exigences légales aux contrôles opérationnels nécessaires pour garantir la sûreté, la sécurité, la transparence et le reporting.

Comment BigID soutient la sécurité et la gouvernance de l'IA

Les obligations directes de la loi RAISE portent sur la sécurité des IA de pointe et les risques catastrophiques. BigID s'attaque à un aspect essentiel : la visibilité des entreprises sur leurs actifs d'IA, leurs données sensibles, les relations d'accès et leur exposition aux risques de sécurité.

BigID aide les organisations à connecter les systèmes d'IA aux données et aux identités qui les entourent, permettant ainsi aux équipes d'identifier les risques qui pourraient autrement rester cachés dans des environnements fragmentés.

• Découverte d'actifs par l'IA : Identifier les applications, les modèles, les agents et l'IA fantôme d'IA dans les environnements d'entreprise.
• Découverte de données sensibles : Identifier et classer les informations sensibles et réglementées associées aux flux de travail d'IA.
• Gouvernance de l'accès à l'IA : Enquêter sur les accès humains et non humains aux données sensibles et aux systèmes connectés.
• Traçabilité des données : Comprendre l’origine, les relations et le déplacement des données dans les environnements pris en charge.
• Priorisation des risques : Reliez la sensibilité, l'accès, les politiques et le contexte commercial pour identifier les risques exploitables.
• Preuves de gouvernance : Appuyer les évaluations, la prise en charge, la correction et la supervision grâce à des renseignements pertinents sur la sécurité des données.

Ces capacités peuvent compléter les évaluations spécialisées des modèles de pointe, les contrôles de sécurité pondérés des modèles et les systèmes de signalement des incidents.

BigID ne certifie pas de manière indépendante la conformité à la loi RAISE et ne remplace pas les évaluations des risques catastrophiques et les fonctions de déclaration requises des promoteurs concernés.

Sa valeur ajoutée réside dans sa capacité à aider les organisations à comprendre et à gérer l'environnement de données et d'accès de l'entreprise qui entoure leurs systèmes d'IA.

Pourquoi la loi RAISE est importante au-delà des développeurs de Frontier

La plupart des organisations ne répondront pas aux seuils de développement pionnier définis par la loi RAISE.

Mais de nombreuses entreprises adoptent des modèles de plus en plus performants grâce aux services cloud, aux API, aux applications embarquées et aux agents d'IA autonomes.

Ces organisations ne sont peut-être pas soumises aux mêmes obligations directes en vertu de la loi RAISE, mais elles doivent tout de même répondre à d'importantes questions de sécurité et de gouvernance.

Quelles informations sensibles un système d'IA peut-il accéder ? Lesquelles ? identités Comment le contrôler ? Le système peut-il interagir avec d’autres applications d’entreprise ? Comment les autorisations à risque sont-elles identifiées ? Que se passe-t-il lorsqu’une intégration est modifiée ?

Ces questions prennent une importance croissante à mesure que l'IA passe de la génération de contenu à la prise d'actions dans différents environnements d'entreprise.

La loi RAISE de l'État de New York s'inscrit dans le cadre des approches adoptées par d'autres États en matière de réglementation de l'IA. La Californie a adopté une législation novatrice sur la sécurité de l'IA, tandis que d'autres États se concentrent sur les décisions automatisées, l'information des consommateurs ou la transparence du contenu relatif à l'IA.

Les organisations doivent éviter de considérer ces différentes lois comme interchangeables.

Un programme de gouvernance durable de l'IA établit une base commune pour la visibilité, la sécurité des données, l'accès et les risques liés à l'IA, puis associe des obligations légales spécifiques aux systèmes et activités concernés.

Explorez les produits BigID Suivi mondial de la réglementation de l'IA Suivre l'évolution de la réglementation dans les États américains et les juridictions internationales.

Loi RAISE de New York : Foire aux questions

Qu’est-ce que la loi RAISE de New York ?

La loi RAISE (Responsible AI Safety and Education Act) est une loi de l'État de New York qui établit des exigences en matière de transparence, de cadre de sécurité et de signalement des incidents pour les développeurs d'IA de pointe admissibles. La loi initiale a été promulguée en décembre 2025 et a été substantiellement modifiée par la loi S8828 en mars 2026.

Quand la loi RAISE entre-t-elle en vigueur ?

La loi RAISE modifiée devrait entrer en vigueur le 1er janvier 2027. Les organisations devraient examiner le cadre S8828 modifié lors de leur préparation aux exigences de la loi.

Qui est tenu de se conformer à la loi RAISE ?

La loi s'applique aux développeurs pionniers admissibles et aux grands développeurs pionniers dont les modèles pionniers sont développés, déployés ou exploités, en tout ou en partie, dans l'État de New York, sous réserve des exceptions prévues par la loi. Un grand développeur pionnier doit satisfaire aux critères relatifs aux modèles pionniers et avoir réalisé un chiffre d'affaires brut annuel de plus de 14 000 millions de dollars au cours de l'exercice précédent, filiales comprises.

Qu’est-ce qui peut être qualifié de modèle d’IA de pointe ?

En vertu de la loi modifiée, un modèle frontière est un modèle de base entraîné à l'aide de plus de 10²⁶ opérations sur les entiers ou les nombres à virgule flottante, y compris la qualification des formations ultérieures et les modifications du matériel.

Qu’est-ce qu’un risque catastrophique au sens de la loi RAISE ?

Le risque catastrophique concerne un risque prévisible et important qu'un modèle de frontière puisse causer ou contribuer de manière importante à un incident entraînant plus de 50 décès ou blessures graves, ou plus de 1 TP4 TP1 milliards de dollars de dommages matériels, sous réserve des définitions et conditions de la loi.

Que doit inclure un cadre de sécurité pour l'IA de pointe ?

Les grands développeurs de technologies de pointe doivent publier et respecter des cadres de référence traitant des seuils de risque catastrophique, des évaluations, des mesures d'atténuation, des évaluations par des tiers, de la sécurité pondérée des modèles, de la réponse aux incidents de sécurité critiques, de la gouvernance interne et d'autres exigences spécifiées.

Quels sont les délais de déclaration des incidents prévus par la loi RAISE ?

Les promoteurs immobiliers doivent généralement signaler les incidents critiques de sécurité au bureau d'État compétent dans les 72 heures suivant la constatation ou l'apparition d'un motif raisonnable de soupçon. Certains incidents présentant un risque imminent de décès ou de blessure grave doivent être signalés à l'autorité compétente dans les 24 heures, sous réserve des conditions légales.

Quelles sont les sanctions encourues en cas de violation de la loi RAISE ?

Le procureur général de l'État de New York peut réclamer des amendes civiles pouvant atteindre 1 million de dollars pour une première infraction admissible et 3 millions de dollars pour chaque infraction admissible subséquente. La loi modifiée établit également des dispositions distinctes concernant les obligations de divulgation des promoteurs et les sanctions y afférentes.

La loi RAISE s'applique-t-elle à toutes les entreprises utilisant l'IA générative ?

Non. La loi RAISE vise principalement les développeurs d'IA de pointe. L'utilisation courante d'une application d'IA tierce par une entreprise ne confère pas automatiquement à cette dernière le statut de développeur de pointe, même si d'autres lois relatives à l'IA, à la protection de la vie privée, à la sécurité et à la protection des consommateurs peuvent s'appliquer.

Comment BigID peut-il aider à se préparer à la loi RAISE ?

BigID aide les organisations à découvrir leurs actifs d'IA, à identifier les données sensibles, à comprendre leur accès et leur traçabilité, à évaluer les risques liés aux données et à faciliter la gouvernance. Ces fonctionnalités complètent les évaluations de sécurité spécialisées en matière d'IA de pointe et les processus de signalement des incidents, mais ne garantissent pas à elles seules la conformité à la loi RAISE.

Sources et lectures complémentaires

• Sénat de l'État de New York : S8828, amendement au chapitre de la loi RAISE
• Sénat de l'État de New York : S6953B, Loi RAISE originale
• Gouverneur de New York : Annonce de la signature de la loi RAISE
• Suivi de la réglementation mondiale de l'IA BigID

Cet article fournit des informations générales à visée pédagogique et ne constitue pas un avis juridique. Les organisations sont invitées à consulter un avocat spécialisé concernant l'applicabilité du droit de l'État de New York, les définitions légales, les obligations de déclaration, les exemptions et les modalités de mise en œuvre.

Auteur

Lonnie Ross

Responsable du marketing de l'expérience numérique

Lonnie est responsable du marketing d'expérience numérique chez BigID. Fort de plus de dix ans d'expérience en SEO et en marketing digital auprès d'entreprises B2C et B2B, dans les domaines du SaaS et du e-commerce, il s'appuie sur une expertise pointue en stratégie de recherche, en UX et en développement de contenu, ainsi que sur une passion pour l'évolution de la protection des données. De l'alignement du contenu avec l'intention de recherche à l'amélioration de l'image de marque, Lonnie veille à ce que les entreprises se démarquent sur un marché SaaS concurrentiel, tout en instaurant la confiance grâce à un leadership éclairé sur des questions cruciales comme la conformité, les risques liés aux données et l'innovation responsable.