Un audit de système d'intelligence artificielle (IA) est une évaluation menée par une partie externe pour vérifier qu'un modèle ou un système respecte des exigences de sécurité, de conformité ou de gestion des risques. Le 9 septembre 2026, le gouverneur de la Californie, Gavin Newsom, a signé deux lois qui encadrent non pas les entreprises d'IA, mais ceux qui les évaluent : la loi SB 813 sur les organismes de vérification indépendants et la loi AB 1405 sur le registre des auditeurs d'IA.
Exiger un audit ne sert à rien si n'importe qui peut se déclarer auditeur. Pour les organisations québécoises qui s'appuient sur des attestations de conformité de fournisseurs, le précédent californien pose une question concrète : sur quels critères juger la crédibilité d'un auditeur d'IA ?
Que prévoient exactement les lois SB 813 et AB 1405 ?
La loi SB 813, déposée par le sénateur Jerry McNerney, a été adoptée à 37 voix contre 0 au Sénat et à 53 voix contre 4 à l'Assemblée, puis promulguée comme chapitre 179 des lois de 2026. La loi AB 1405, portée par l'élue Rebecca Bauer-Kahan, complète le dispositif. Les deux textes relèvent de la Government Operations Agency de l'État.
Leurs principales mesures se résument ainsi :
- Critères de désignation d'ici le 1er janvier 2028 : l'agence doit définir les exigences applicables aux organismes de vérification indépendants (IVO, pour independent verification organizations), dont l'expertise technique, la divulgation des méthodes et des bancs d'essai, et la gestion des conflits d'intérêts.
- Groupes de travail : l'agence doit consulter des ingénieurs d'entreprises concurrentes et des experts en sécurité pour déterminer les normes d'évaluation, puis rendre compte à la Législature.
- Rapports annuels des IVO : chaque organisme désigné publie un rapport sur ses normes, sa gouvernance et ses sources de financement, et conserve les documents non caviardés pendant cinq ans.
- Registre obligatoire à compter du 1er janvier 2029 : nul ne pourra offrir, vendre ou réaliser un audit d'IA exigé par la loi sans être inscrit au registre, avec un renouvellement annuel.
- Règles d'indépendance : un auditeur ne peut évaluer son propre travail antérieur, ni recourir à du personnel employé par l'entité auditée dans les 12 mois précédents.
- Sanctions : un manquement peut entraîner la radiation du registre et un renvoi au procureur général de l'État.
Pourquoi encadrer les auditeurs plutôt que les modèles ?
La loi SB 813 reste volontaire : elle précise explicitement qu'aucune entreprise n'est tenue de recourir à un IVO. Son effet est ailleurs. Elle crée l'infrastructure nécessaire pour que de futures obligations d'audit reposent sur des évaluateurs qualifiés et indépendants. Le sénateur McNerney a justifié la démarche par l'inaction de Washington sur l'évaluation des risques de sécurité de l'IA.
Sans exigence d'indépendance, un cabinet peut évaluer un système qu'il a lui-même aidé à concevoir. La loi AB 1405 impose aussi un contenu minimal au rapport : portée, résultats, limites de l'audit et déclaration signée de conformité aux normes reconnues, avec une conservation des dossiers pendant 10 ans.
L'Union européenne suit une logique voisine. L'article 31 du règlement (UE) 2024/1689 sur l'IA exige que les organismes notifiés, chargés d'évaluer certains systèmes à haut risque, soient indépendants des fournisseurs qu'ils évaluent et disposent des compétences requises.
Quelle est la situation au Québec et au Canada ?
Aucune loi québécoise ni fédérale ne réserve aujourd'hui le titre d'auditeur d'IA ni n'impose de registre. Le cadre le plus structuré est volontaire : le Conseil canadien des normes (CCN) est le seul organisme d'accréditation au Canada à offrir un programme pour les organismes qui certifient les systèmes de management de l'IA selon la norme ISO/IEC 42001. Ces organismes doivent déjà être accrédités selon ISO/IEC 17021-1, et la norme ISO/IEC 42006:2025 précise désormais les compétences exigées de leurs auditeurs.
Une certification ISO/IEC 42001 porte toutefois sur le système de gestion de l'organisation, pas sur la sécurité d'un modèle précis. Elle ne répond donc pas à la même question que les IVO californiens.
Du côté québécois, la Loi 25 impose déjà des évaluations. L'article 3.3 de la Loi sur la protection des renseignements personnels dans le secteur privé exige une évaluation des facteurs relatifs à la vie privée (EFVP) pour tout projet d'acquisition ou de développement d'un système d'information traitant des renseignements personnels. La loi ne précise cependant pas qui peut la réaliser ni selon quelles garanties d'indépendance. Sur la vérification par des tiers, voir aussi l'appel d'OpenAI à des normes de sécurité vérifiées par des tiers.
Questions fréquentes
La loi californienne s'applique-t-elle aux entreprises québécoises ?
Pas directement. Les lois SB 813 et AB 1405 visent les audits exigés par le droit californien. Une entreprise québécoise qui vend un système d'IA en Californie, ou un auditeur québécois qui y offre des audits réglementaires après le 1er janvier 2029, devra toutefois tenir compte du registre et de ses règles d'indépendance.
Une certification ISO/IEC 42001 équivaut-elle à un audit indépendant d'un modèle ?
Non. La norme ISO/IEC 42001 certifie qu'une organisation gère ses systèmes d'IA selon un cadre structuré de politiques, de rôles et de contrôles des risques. Elle ne teste pas la sécurité ou la robustesse d'un modèle donné. Les IVO prévus par la loi SB 813 visent précisément l'évaluation technique des systèmes et des modèles.
Comment une organisation québécoise peut-elle vérifier la crédibilité d'un auditeur d'IA dès maintenant ?
Elle peut s'inspirer des critères californiens : demander la méthodologie et les outils d'essai utilisés, vérifier l'absence de participation antérieure à la conception du système, exiger un rapport indiquant ses limites et, pour une certification, confirmer l'accréditation de l'organisme auprès du Conseil canadien des normes.
Quand les nouvelles règles californiennes entreront-elles en vigueur ?
Le calendrier est progressif. La Government Operations Agency doit fixer les critères de désignation des organismes de vérification indépendants au plus tard le 1er janvier 2028. L'obligation d'inscription au registre pour réaliser un audit d'IA exigé par la loi s'appliquera à partir du 1er janvier 2029.
Sources
- Governor Newsom signs first-in-the-nation AI safeguards to protect Californians (Bureau du gouverneur de la Californie, 9 septembre 2026)
- SB-813 Independent verification organizations (California Legislative Information)
- AB-1405 Artificial intelligence: auditors (California Legislative Information)
- Legislature Approves McNerney's Landmark Bill to Assess Artificial Intelligence Safety Risks (Sénat de la Californie, août 2026)
- California Starts Regulating the People Who Audit AI (PYMNTS, septembre 2026)
- Systèmes de management de l'intelligence artificielle (Conseil canadien des normes)
- ISO/IEC 42006:2025, exigences pour les organismes d'audit et de certification des systèmes de management de l'IA (ISO)
- Règlement (UE) 2024/1689 sur l'intelligence artificielle, article 31 (EUR-Lex)
- Loi sur la protection des renseignements personnels dans le secteur privé, article 3.3 (LégisQuébec)
