Le cadre fédéral sur l'IA a été réécrit deux fois: Ce qui a survécu, et pourquoi la citation n'était jamais ce qui comptait

Cet article a une visée pédagogique et ne constitue pas un conseil juridique, réglementaire ou politique. Les agents publics doivent consulter le service juridique de leur agence, le bureau de gouvernance de l'IA et les instances de contrôle compétentes.

Ce texte fait suite au guide publié mardi, AI Collaboration in Government and Public Sector. Ce dernier traite de la pratique : comment les professionnels du secteur public vérifient les résultats de l'IA dans l'élaboration des politiques, les marchés publics et les services aux administrés. Celui-ci va plus loin, vers le socle réglementaire qui a bougé pendant que la pratique restait, elle, immobile.

Toutes les citations de 2024 sont désormais caduques

Si vous avez appris la gouvernance fédérale de l'IA en 2024, tout ce que vous avez appris à citer a depuis été retiré.

Le décret présidentiel (Executive Order) 14110 relatif à une IA sûre, sécurisée et digne de confiance a été révoqué le 20 janvier 2025. Ses deux mémorandums d'application, OMB M-24-10 et M-24-18, ont été abrogés et remplacés le 3 avril 2025. Le décret cadre et les deux documents d'application ont ainsi disparu en moins de quinze mois.

Cela dépasse la simple mise à jour de références. Un programme de conformité calé sur les numéros de section d'un mémorandum précis a dû être reconstruit deux fois. Un personnel ayant intégré le comportement de vérification sous-jacent n'a eu besoin, lui, que d'une simple mise à jour documentaire, rien de plus. Cette différence constitue tout l'argument de cet article.

L'historique des changements

Date	Ce qui a changé
30/10/2023	Publication du décret 14110. Les mémorandums OMB M-24-10 et M-24-18 suivent en 2024 en tant que guides d'application
20/01/2025	Révocation du décret 14110. Le décret 14179 ordonne la révision des M-24-10 et M-24-18
03/04/2025	L'OMB publie les M-25-21 et M-25-22, qui abrogent et remplacent les M-24-10 et M-24-18
23/07/2025	Le décret 14319 fixe des principes d'IA non biaisée pour les marchés publics fédéraux
11/12/2025	Le M-26-04 de l'OMB met en œuvre le décret 14319. Le même jour paraît le décret sur la préemption des lois des États
03/04/2026	Échéance du M-25-21 : les agences doivent avoir documenté des pratiques minimales de gestion des risques pour l'IA à fort impact
02/06/2026	Le décret 14409 instaure un régime volontaire pour les modèles de pointe

Ce qui régit réellement l'usage de l'IA par les agences fédérales aujourd'hui

Le mémorandum OMB M-25-21, « Accelerating Federal Use of AI through Innovation, Governance, and Public Trust » (3 avril 2025) abroge et remplace le M-24-10 dans ses termes. Le cadrage s'est déplacé vers l'accélération, le rôle du Chief AI Officer a été redéfini pour promouvoir l'adoption au même titre que la gouvernance plutôt que d'occuper une posture de contrôle, et les CAIO ont désormais le pouvoir de déroger aux pratiques minimales pour une application donnée, sur la base d'une évaluation de risque écrite, recertifiée chaque année.

Mais observez ce qui a survécu. Le M-25-21 a fusionné les anciennes catégories « affectant la sécurité » et « affectant les droits » en une seule définition d'« IA à fort impact », à laquelle il impose sept pratiques minimales de gestion des risques : tests avant déploiement, évaluation d'impact documentée, surveillance continue, formation des opérateurs, supervision humaine avec dispositif de sécurité intégrée, voie de recours pour les personnes concernées, et canal de retour public. L'évaluation d'impact doit couvrir l'adéquation des données et les incidences sur les droits civiques, être soumise à un examinateur interne indépendant n'ayant pas participé au développement, et porter la signature de la personne qui accepte le risque. Tout usage à fort impact non conforme doit être interrompu. Les agences avaient jusqu'au 3 avril 2026 pour documenter la mise en œuvre.

Le mémorandum OMB M-25-22 (même date) abroge et remplace le M-24-18, portant sur les achats concurrentiels, la prévention de la dépendance à un fournisseur via la portabilité des données, et le suivi des performances.

Le décret 14319 et le mémorandum OMB M-26-04 (11 décembre 2025) ajoutent des obligations d'achat. Les agences qui acquièrent des grands modèles de langage doivent exiger contractuellement le respect des principes d'IA non biaisée ainsi qu'une documentation fournisseur couvrant les fiches de modèle et de données, la traçabilité des données d'entraînement, les politiques d'usage acceptable et la divulgation des cas d'usage inappropriés. La conformité conditionne l'éligibilité et le paiement, avec un pouvoir de résiliation explicite. Les politiques d'achat devaient être mises à jour d'ici le 11 mars 2026.

Le décret sur la préemption des lois des États de décembre 2025 charge le ministère de la Justice de mener un groupe de travail contentieux sur l'IA (AI Litigation Task Force) contestant les lois des États en matière d'IA, et le ministère du Commerce d'identifier les statuts d'État en conflit, avec un critère d'éligibilité au financement du haut débit rattaché. Des exceptions préservent l'autorité des États sur la sécurité des enfants, les infrastructures d'IA et les marchés publics. Pour un agent d'État ou local, la loi qui régit l'usage de l'IA par son agence peut faire l'objet d'une contestation fédérale active pendant même qu'il tente de s'y conformer.

Les États, eux, n'ont pas ralenti. Seize nouvelles lois d'État sur l'IA ont été promulguées dans les huit mois suivant le décret de préemption. Le TRAIGA texan est entré en vigueur le 1er janvier 2026, assorti d'une sphère de sécurité fondée sur le NIST AI RMF ; le cadre de l'Utah court jusqu'à une échéance de juillet 2027. Un professionnel exerçant dans un État est désormais soumis à un ensemble d'obligations différent de celui d'un homologue dans un autre État, la position fédérale contestant les deux à la fois. EveryAILaw recense ce qui est effectivement en vigueur.

La citation a changé. Le comportement, non.

À travers un décret révoqué, deux mémorandums abrogés et un changement d'administration, les obligations opérationnelles pesant sur la personne qui utilise l'IA ont à peine bougé.

Relisez cette liste de sept pratiques et demandez-vous laquelle est nouvelle. Tester avant le déploiement. Documenter ce que fait le système et sur quelles données il a été construit. Faire réviser l'évaluation par une personne qui n'a pas participé à sa conception. Signer de son nom l'acceptation du risque. Surveiller après le déploiement. Former les opérateurs. Maintenir un humain dans la boucle, doté d'un pouvoir d'intervention. Offrir un droit de recours aux personnes concernées.

Rien de tout cela n'est nouveau. Le M-24-10 n'a pas inventé l'idée qu'il fallait vérifier un résultat avant qu'il n'affecte l'éligibilité d'une personne à une prestation. Ces pratiques ont survécu au remplacement du cadre réglementaire précisément parce qu'elles n'ont jamais été de simples artefacts de ce cadre.

Pourquoi cela devrait changer vos priorités d'investissement

La leçon évidente consisterait à rédiger des politiques qui citent moins et décrivent davantage. C'est juste, mais superficiel.

La leçon plus profonde concerne l'endroit où réside réellement la compétence. Lorsque les directives sont prescriptives, une organisation peut réussir un audit sans qu'aucun de ses membres n'exerce de jugement : la règle précise quoi vérifier, et la conformité consiste simplement à la suivre. Mais lorsque les directives s'orientent vers l'accélération, que votre Chief AI Officer peut déroger aux pratiques minimales pour votre application spécifique, et que ce qui subsiste transite par des clauses contractuelles et une préemption non stabilisée, aucun document ne vous indique quoi vérifier. Quelqu'un doit trancher.

Il s'agit là d'une compétence comportementale, non documentaire. Elle ne figure sur aucun organigramme et n'est établie par aucun PDF de politique. Elle se manifeste dans le fait que la personne relisant une note rédigée par l'IA remarque, ou non, que l'autorité qu'elle cite a été révoquée dix-huit mois plus tôt.

C'est le postulat sur lequel repose PAICE (People + AI Collaboration Effectiveness) : la manière dont une personne travaille avec l'IA est un comportement observable, et non une simple attestation de conformité. Sa dimension Accountability porte le poids le plus lourd, précisément pour la raison que cet historique illustre. La personne qui signe un résultat en est responsable, quel que soit le cadre réglementaire en vigueur au moment de sa signature. Un changement de cadre modifie ce que vous citez. Il ne change pas qui doit en répondre.

La déréglementation donne l'impression de réduire l'exposition individuelle. C'est l'inverse. Moins de règles prescriptives au niveau des agences fait peser un poids accru sur le comportement de la personne qui signe le résultat.

Le mode d'échec que cela engendre

Il existe un piège spécifique dans cet historique particulier, et il mérite d'être nommé car l'IA s'y engouffrera avec assurance.

Le décret 14110 et le M-24-10 ont généré, pendant leur période de validité, un volume considérable de guides, de plans de mise en œuvre par les agences, d'alertes clients de cabinets d'avocats et de contenus de conférences. Ce corpus est fortement représenté dans les données d'entraînement des modèles. La révocation, elle, est un événement unique, et l'abrogation du M-24-10 tient en une seule phrase à l'intérieur d'un mémorandum. Beaucoup moins de texte soutient la correction que l'erreur.

Demandez à un assistant IA généraliste ce qui régit l'usage de l'IA par les agences fédérales, et il y a une réelle probabilité qu'il présente le décret 14110 et le M-24-10 comme toujours en vigueur, avec des références de section correctement formatées. Or, aucun des deux instruments n'est applicable.

Ce qui rend cela dangereux, c'est que l'échec est subtil plutôt qu'évident. Une grande partie du contenu ayant été maintenue, une note rédigée par l'IA et citant le M-24-10 décrira des exigences qui, pour l'essentiel, restent bien réelles, sous une référence pourtant caduque, avec une terminologie catégorielle (« IA affectant les droits ») qui n'apparaît plus dans le document en vigueur. Un relecteur qui se contente de vérifier la vraisemblance du contenu laissera passer l'erreur. Un relecteur qui vérifie si l'autorité citée existe toujours ne la laissera pas passer.

Un résultat peut être substantiellement raisonnable, cohérent en interne, bien référencé, et pourtant s'appuyer sur une autorité juridique abrogée. C'est là le problème de vérification sous sa forme la plus concrète, et aucune quantité de documentation politique ne le résout. Seule une personne qui vérifie le résout.

Faire de « Est-ce toujours en vigueur ? » une question peu coûteuse

La vérification échoue lorsqu'elle est coûteuse. Si confirmer qu'un décret est toujours applicable suppose de lire un avis au Federal Register et de raisonner sur ce qu'il a remplacé, la plupart des gens renonceront et feront confiance à la citation d'apparence assurée.

C'est le problème que EveryAILaw vise à résoudre, et c'est pourquoi nous l'avons conçu comme des données structurées plutôt que comme des articles. Chaque instrument porte un statut explicite. Les instruments révoqués ou remplacés ne sont pas silencieusement supprimés ; le décret 14110 est enregistré comme révoqué, avec la date et ce qui l'a remplacé, de sorte que répondre à « est-ce à jour ? » relève d'une simple recherche ponctuelle plutôt que d'un travail de recherche approfondi. La base de référence recense 63 réglementations, 9 normes et cadres, et 212 dispositions réparties sur 43 juridictions, ainsi qu'un registre d'exclusions consignant quelles lois ont été évaluées puis délibérément écartées.

Le schéma sous-jacent porte le même argument sous une autre forme. ObligationFirst considère les obligations stables comme les points d'ancrage et les dispositions spécifiques comme les éléments qui les mettent en œuvre, plutôt que de faire de la loi l'unité première. Organisez les données ainsi, et l'historique retracé dans cet article devient maîtrisable plutôt que chaotique : les dispositions constituent précisément la couche qui a bougé, les obligations la couche qui n'a pas bougé. Les tests avant déploiement n'ont pas cessé d'être exigés parce que le mémorandum qui les imposait a été abrogé.

Les interfaces sont gratuites et sans authentification, ce qui compte au regard du mode d'échec décrit plus haut :

Des liens permanents stables pour les citations, afin qu'une note puisse renvoyer vers everyailaw.com/regulation/us-eo-14319/ plutôt que vers une paraphrase
Un JSON API statique à everyailaw.com/api/v1/, couvrant les réglementations, dispositions, obligations, juridictions, autorités, normes et éléments de preuve
Un flux recently_changed dans le futur point de terminaison, listant ce qui a été ajouté ou mis à jour au cours des 30 derniers jours
Un serveur MCP doté de 14 outils, afin que l'assistant rédigeant votre note puisse interroger directement le corpus au lieu de le restituer de mémoire à partir de ses données d'entraînement

Ce dernier point constitue la contre-mesure directe. Si un modèle cite avec assurance le M-24-10, c'est qu'il répond de mémoire, où l'instrument révoqué est surreprésenté. Donnez-lui un outil permettant d'interroger le statut actuel, et ce mode d'échec se referme en grande partie. Ce n'est plus un problème de mémorisation, mais une simple recherche.

EveryAILaw Pro est l'offre payante destinée aux équipes ayant besoin d'un suivi des changements plutôt que de recherches ponctuelles. Elle est en phase de test de marché : l'abonnement et l'émission de clés sont opérationnels, tandis que les outils réservés à Pro, les webhooks, les profils enregistrés, la journalisation d'audit et l'objectif de niveau de service sont encore en cours de développement et ne sont pas encore accessibles. La base de référence gratuite mentionnée ci-dessus est, elle, complète et utilisable dès aujourd'hui, et le JSON API reste gratuit et sans authentification en toutes circonstances.

Ni l'un ni l'autre de ces outils ne dispense du jugement humain. Une recherche vous indique qu'un instrument a été abrogé ; elle ne vous dit pas si l'analyse construite dessus tient toujours. Cela reste la décision du relecteur. Ce que l'outillage supprime, c'est l'excuse selon laquelle la vérification serait trop coûteuse.

Vous souhaitez évaluer la préparation de votre équipe à la collaboration avec l'IA ? Découvrez PAICE pour les organisations ou passez une évaluation individuelle pour en faire l'expérience directement.

Passez à l'action :

Passer l'évaluation (gratuite, sans limite de durée)
Découvrir nos offres Baseline (pour les organisations)
Lire le livre blanc (cadre complet)
Nous contacter pour vos besoins spécifiques

Lectures recommandées

📖 Secteur public et gouvernement :

AI Collaboration in Government and Public Sector - Le guide pratique dont est tirée cette analyse
Your AI Policy Is Not Enough - Pourquoi mesurer le comportement compte plus que documenter l'intention

📖 Le graphe juridique PAICE :

EveryAILaw - Quels instruments sont en vigueur, remplacés ou révoqués, à travers 43 juridictions
ObligationFirst - Le schéma centré sur les obligations : des obligations stables comme points d'ancrage, des dispositions comme mises en œuvre
AI Posture - Déclarer comment une organisation gouverne réellement son usage de l'IA
EveryAILaw for agents - Le serveur MCP et le JSON API, pour intégrer le statut réglementaire actuel dans un assistant
EveryAILaw Pro - Suivi des changements pour les équipes, actuellement en phase de test de marché
EO 14319 and the federal LLM procurement regime - Les exigences de documentation fournisseur que les agences doivent faire respecter