Modélisation du Colorado AI Act dans ObligationFirst : Un exemple concret

La semaine dernière, nous avons annoncé ObligationFirst, un schéma ouvert permettant de représenter les obligations juridiques sous une forme sur laquelle des agents peuvent raisonner. La question naturelle qui se pose ensuite est la suivante : ce schéma tient-il la route face à un cas difficile ? Cet article répond à cette question en s'appuyant sur le cas concret le plus exigeant dont nous disposions actuellement — le Colorado AI Act.

En résumé : oui, il tient la route. La version détaillée fait l'objet du reste de cet article.

Nous avons abordé le contexte réglementaire à l'origine de cet article — la refonte du Colorado et le report de l'AI Act européen, ainsi que leurs implications pour votre dispositif de conformité — dans notre article de blog et notre vidéo vendredi dernier.

Pourquoi le Colorado constitue le test de résistance

Il y a deux ans, le Colorado AI Act (SB 24-205) était largement considéré comme la loi de gouvernance de l'IA la plus importante des États-Unis. Il s'agissait de la première loi générale encadrant la gouvernance de l'IA, assortie d'un devoir de diligence raisonnable visant à prévenir la discrimination algorithmique, d'une responsabilité étendue des développeurs, d'obligations d'analyse d'impact et d'une couverture des systèmes à haut risque.

Ce mois-ci, pratiquement rien de tout cela n'est plus en voie d'entrer en vigueur.

L'article de Michael Simon, « It's the Final Countdown for the Colorado AI Act », expose la situation en détail. En bref : un second groupe de travail gouvernemental, des centaines de lobbyistes du secteur, un décret exécutif ciblant les lois étatiques sur l'IA, une action fédérale intentée par xAI, une intervention du ministère de la Justice, l'adhésion du procureur général du Colorado à la requête en injonction, une suspension judiciaire de l'application de la loi, et un texte de remplacement (SB 26-189) signé par le gouverneur le 14 mai, que son auteur d'origine qualifie lui-même de « texte relevant davantage de la simple notification ». Les éléments substantiels — devoir relatif à la discrimination algorithmique, responsabilité des développeurs, analyses d'impact, couverture des systèmes à haut risque — ont été supprimés. Ce qui subsiste est un dispositif bien plus restreint : une notification au consommateur au moment de l'interaction, des explications à fournir sous 30 jours après une décision défavorable, des droits du consommateur à la rectification des données et à un examen humain, des obligations documentaires pour les développeurs, ainsi qu'une conservation des dossiers pendant 3 ans. Date d'entrée en vigueur : le 1er janvier 2027.

Un professionnel du secteur réglementé qui lit ces deux textes aujourd'hui ne peut pas répondre facilement à la question qui compte réellement : « Que dois-je concrètement faire au 1er janvier 2027 ? » Les textes sont techniquement accessibles, mais l'obligation elle-même est éclatée entre une loi d'origine, deux tentatives d'amendement antérieures, les conclusions d'un groupe de travail, une plainte fédérale, une intervention du ministère de la Justice, une requête conjointe du procureur général, une ordonnance judiciaire et un texte de remplacement signé le 14 mai 2026 (juste après notre annonce). Pour de nombreux opérateurs, la réponse probable est « aucune obligation substantielle ne s'applique » — mais on ne peut y parvenir qu'en gardant simultanément tous ces éléments à l'esprit.

C'est précisément ce type de défaillance qu'ObligationFirst a été conçu pour éviter.

L'obligation, modélisée

Voici une obligation issue du devoir de notification au consommateur qui subsiste dans le SB 26-189, exprimée sous forme ObligationFirst. Les noms de champs ont été simplifiés pour faciliter la lecture ; le schéma de production inclut, pour chaque valeur, des métadonnées de provenance, de versionnage et de niveau de confiance.

obligation_id: us-co-aiact-2024-205-notice-001
jurisdiction: US-CO
actor:
  role: deployer
  scope: AI system making a consequential decision concerning a consumer
action:
  type: notice
  description: >-
    Notify the consumer that they are interacting with an AI system
    in the context of a consequential decision
condition:
  trigger: consequential_decision
  applies_when: deployer_uses_ai_system_for_decision_affecting_consumer
deadline:
  effective_date: 2027-01-01
  notice_timing: at_or_before_interaction
authority:
  primary: CO-SB-26-189
  status: enacted
  signed_date: 2026-05-14
  supersedes: CO-SB-24-205
  partial_predecessors:
    - CO-SB-24-205 (algorithmic-discrimination duty — removed)
    - CO-WG-2025-Q4 (working group output — informational)
record_keeping:
  required: true
  retention_years: 3
  scope: all_compliance_records
exceptions:
  cure_period_available_until: 2030-01-01
enforcement:
  enjoined: true
  injunction_scope: CO-SB-24-205
  injunction_authority: CO-AG-joint-motion-2026
  note: >-
    Injunction covers SB 24-205; xAI has 28-day window from 2026-05-14
    to file against SB 26-189 (~deadline 2026-06-11). SB 26-189 not yet
    separately enjoined.
provenance:
  - publedge://us-co/sb-24-205
  - publedge://us-co/sb-26-189
  - publedge://us-co/ag-joint-motion-2026-04
  - publedge://us/xai-v-co-complaint-2026

Plusieurs éléments méritent d'être soulignés dans cet enregistrement.

Le champ actor désigne un rôle, et non une liste d'entreprises. Un professionnel d'un secteur réglementé qui se demande « suis-je concerné » peut répondre à cette question en confrontant son propre rôle au champ du schéma, plutôt qu'en lisant un paragraphe de texte législatif en espérant que le modèle ait interprété le terme « responsable de traitement » (deployer) dans le sens voulu par le législateur.

La chaîne authority est explicite. Le texte actuellement en vigueur est le SB 26-189. La loi qu'il remplace est le SB 24-205. Les éléments qui ont été supprimés — le devoir relatif à la discrimination algorithmique, l'obligation d'analyse d'impact, la couverture des systèmes à haut risque — ne disparaissent pas silencieusement. Ils subsistent sous forme d'enregistrements d'obligation distincts dans le schéma, avec un status: superseded et un pointeur vers le texte qui les a remplacés. Un justiciable qui plaide au sujet de faits survenus pendant que l'ancienne obligation était en vigueur a toujours besoin de cet enregistrement. Il en va de même pour un historien, un futur régulateur, ou toute entreprise ayant opéré selon l'interprétation antérieure.

Le champ enforcement rend compte de la réalité juridique actuelle : la loi fait l'objet d'une injonction. Un agent qui interroge « que dois-je faire aujourd'hui » obtient une réponse différente de celui qui interroge « qu'est-ce qui figure dans les textes ». Les deux questions sont légitimes. Toutes deux trouvent désormais une réponse en quelques secondes.

Le champ provenance renvoie vers des identifiants PubLedge correspondant aux documents d'autorité sous-jacents — les textes de loi eux-mêmes, la requête conjointe, la plainte de xAI. Ces documents ne résident pas au sein d'ObligationFirst. Ils sont conservés dans un registre civique pérenne que le schéma cite. Si le procureur général retire la requête conjointe le mois prochain, la citation se rompt de manière prévisible et le schéma peut signaler l'enregistrement concerné.

Ce que le schéma révèle sur la loi

En modélisant le Colorado AI Act dans ObligationFirst, on met en lumière un élément que le texte narratif dissimule. Lorsqu'on examine l'enregistrement structuré du devoir relatif à la discrimination algorithmique, le champ action est vide — l'obligation a été remplacée, sans successeur actuel. Lorsqu'on examine la nouvelle obligation de notification au consommateur, le champ action indique « envoyer une notification ». C'est là l'intégralité de l'obligation substantielle.

La formule de la sénatrice Rodriguez elle-même — « davantage un texte de notification » — devient évidente dès lors que les obligations sont typées. Le texte narratif donne l'impression que ce vidage de substance relève d'une simple négociation. Le schéma le rend visible d'un seul coup d'œil. Il s'avère que la lisibilité par les machines constitue en elle-même une forme de responsabilisation (accountability).

Ce phénomène ne se limite pas au Colorado. Toute loi discrètement affaiblie au fil de cycles d'amendements apparaît sous un jour différent une fois que ses obligations sont typées. C'est en partie tout l'intérêt de la démarche.

Comment le schéma gère les évolutions successives

Trois choix de conception d'ObligationFirst assurent l'essentiel du travail ici.

Premièrement, les obligations constituent des enregistrements à part entière, dotés d'identifiants stables. Le devoir de diligence raisonnable prévu par le SB 24-205 possède son propre identifiant et reste présent dans le graphe après son remplacement. Rien n'est écrasé sur place.

Deuxièmement, le remplacement est une relation, non une suppression. Lorsque le SB 26-189 entre en vigueur, le schéma marque les obligations antérieures comme superseded_by, avec un pointeur vers le nouvel enregistrement. Les requêtes peuvent être filtrées par plage de dates, de sorte que « quelles étaient les obligations en vigueur le 1er mars 2026 » renvoie une réponse différente de « quelles sont les obligations en vigueur le 1er mars 2027 ».

Troisièmement, l'état d'application et l'état d'autorité constituent des champs distincts. Une obligation peut être à la fois inscrite dans les textes et faire l'objet d'une injonction. Le schéma représente cette situation sans imposer une réponse binaire unique.

Ces choix ne sont pas nouveaux pris isolément. D'autres initiatives visant à rendre le droit lisible par les machines ont déjà traité des problématiques similaires pour d'autres publics. Ce qui est nouveau, c'est que ces trois éléments sont ici articulés ensemble pour un agent qui doit planifier une action au regard d'un état actuel du droit — et non pour un être humain consultant une base de données.

Ce que cela démontre

Le Colorado AI Act constitue, à l'heure actuelle, l'obligation active la plus complexe du droit américain de l'IA. Si le schéma résiste à ce cas — et l'exemple développé ici montre que c'est bien le cas —, il résistera aux cas ordinaires avec une marge confortable. La plupart des lois se caractérisent par un texte stable, ponctué d'amendements occasionnels. Le comportement du modèle face au cas difficile démontre que ce n'est pas au niveau du cas simple que se situe le risque.

Le test de résistance était précisément l'objectif visé. L'exemple développé figure désormais dans le dépôt ObligationFirst, avec l'ensemble des enregistrements structurés, les chaînes de remplacement et les citations PubLedge vers les documents sous-jacents.

Ce que cela signifie pour PAICE

PAICE mesure l'efficacité de la collaboration avec l'IA en contexte professionnel. La question comportementale qu'il pose — cette personne détecte-t-elle les erreurs, s'adapte-t-elle aux nouvelles informations, sait-elle naviguer dans l'ambiguïté lorsqu'un outil d'IA est impliqué — s'avère dépendre étroitement de la juridiction dans les secteurs réglementés.

Un professionnel de la conformité soumis au SB 26-189 doit accomplir des tâches précises et concrètes : délivrer une notification au consommateur au moment de l'interaction, produire une explication en langage clair sous 30 jours après une décision défavorable, traiter les demandes de rectification, orienter les demandes d'examen humain, conserver les dossiers de conformité pendant 3 ans. Il ne s'agit pas de concepts de gouvernance abstraits, mais bien de flux de travail concrets. La capacité de la personne responsable de ces tâches à collaborer efficacement avec l'IA pour les exécuter est précisément ce que mesure PAICE.

Ce qu'apporte ObligationFirst, c'est la possibilité de maintenir cette mesure à jour. Lorsque le Colorado AI Act a changé — et il a changé de manière substantielle, en l'espace d'une seule session législative —, les obligations ont changé avec lui. Un scénario d'évaluation PAICE calibré sur l'ancien devoir de diligence raisonnable du SB 24-205 ne décrit plus le monde dans lequel évoluera le professionnel réglementé au 1er janvier 2027. Un scénario lié à l'enregistrement d'obligation du SB 26-189, si.

Cet enjeu concerne les deux parties de la relation réglementaire. Les régulateurs ont intérêt à savoir si les personnes et organisations qu'ils supervisent sont réellement en mesure d'exploiter l'IA de manière responsable — et pas seulement si un document de politique existe sur le papier. Les entreprises réglementées, quant à elles, ont intérêt à savoir lesquels de leurs collaborateurs sont capables de naviguer dans un paysage d'obligations en constante évolution, tel qu'il se présente réellement, et non tel qu'il était compris lors de la dernière formation de conformité.

Le schéma constitue le socle. L'évaluation est ce qui le rend exploitable pour chaque professionnel individuellement.

Essayez-le. Contribuez. Envoyez-nous votre prochain cas difficile.

Si vous exercez dans un secteur réglementé et que vous êtes confronté à une loi impossible à cerner — un texte rendu ambigu par des amendements successifs, une posture d'application qui contredit le texte, une obligation que chacun considère comme purement théorique parce que personne ne sait ce qu'elle exige concrètement — c'est exactement le type d'exemple que nous souhaitons développer ensuite. Consultez le schéma. Observez la manière dont le Colorado AI Act y est modélisé. Dites-nous en quoi votre cas difficile se rapproche ou se distingue de celui-ci.

Le schéma est public. Les exemples développés sont ouverts. Ce sont les tests de résistance qui permettent à cette démarche de devenir véritablement structurante.

Vous souhaitez évaluer votre propre niveau de préparation ? Passez l'évaluation PAICE pour identifier vos points forts et vos axes de progression.