CCPA / CPRA

La loi définit largement la vente et le partage : tout transfert de renseignements personnels à une autre entreprise contre une contrepartie monétaire ou autre, ou à des fins de publicité comportementale intersites. Les divulgations à des prestataires de services dûment contractés sont exclues; les divulgations à tous les autres ne le sont pas.

Une requête contenant le nom d'un client, ses coordonnées de compte ou des renseignements de santé envoyée à un outil d'IA externe est une divulgation de renseignements personnels, point final. Si les conditions de l'outil permettent au fournisseur d'utiliser ces données pour améliorer ses modèles, le transfert ressemble à une vente ou à un partage que l'entreprise n'a jamais divulgué et pour lequel aucun retrait n'a été offert. LayerX constatait en 2025 que 71 % des connexions à l'IA générative passent par des comptes personnels non corporatifs, où aucune condition négociée ne protège les données.

Un fournisseur d'IA n'est un prestataire de services qu'en vertu d'un contrat écrit qui limite le traitement à des fins d'affaires précises et lui interdit de vendre, de partager ou d'utiliser les données hors du contrat. Les règlements sont explicites : un fournisseur qui utilise des renseignements personnels pour entraîner ses propres modèles au-delà des fins du client n'agit pas comme prestataire de services.

C'est la clause qui décide si votre pile d'IA est conforme. Une entente d'IA d'entreprise avec un engagement de non-entraînement peut maintenir le fournisseur dans le rôle de prestataire de services; un robot conversationnel grand public avec rétention de données par défaut ne le peut pas, ce qui fait de chaque requête d'employé une divulgation à un tiers. Gartner constatait en 2026 que 88 % des employés ayant accès à une IA d'entreprise utilisent aussi des outils d'IA personnels : même les organisations qui ont acheté une IA conforme fuient par des canaux non conformes.

Les règlements ADMT de la CPPA, adoptés le 24 juillet 2025 et approuvés par l'Office of Administrative Law le 22 septembre 2025, obligent les entreprises qui utilisent une ADMT pour des décisions importantes (emploi, crédit, logement, éducation, accès aux soins et situations semblables) à donner un avis préalable, à respecter un droit de retrait dans la plupart des cas et à expliquer les résultats sur demande. Les entreprises doivent se conformer aux exigences ADMT au plus tard le 1er janvier 2027.

Si l'IA façonne de manière importante des décisions d'embauche, de rémunération, de crédit ou d'accès à des services, les résidents californiens doivent en être informés à l'avance et peuvent généralement s'y soustraire. L'usage informel de l'IA dans ces processus, un recruteur qui trie des CV avec un robot conversationnel, brise l'obligation d'avis avant même qu'elle soit rédigée, car l'entreprise ignore que l'ADMT existe. Le compte à rebours vers le 1er janvier 2027 commence par un inventaire honnête des endroits où l'IA touche déjà des décisions importantes.

Les entreprises doivent mener et documenter des évaluations des risques avant tout traitement présentant un risque important pour la vie privée, notamment l'usage d'une ADMT pour des décisions importantes, le traitement de renseignements personnels sensibles et l'utilisation de renseignements personnels pour entraîner une ADMT ou la reconnaissance faciale. Les exigences sont en vigueur depuis le 1er janvier 2026, les premières soumissions à la CPPA étant dues au plus tard le 1er avril 2028.

Une évaluation doit peser quels renseignements personnels entrent dans l'IA, à quelles fins et avec quelles mesures de protection. Elle ne peut être crédible tant que l'organisation est aveugle à l'usage réel : IBM constatait en 2025 que 63 % des organisations n'ont aucune politique de gouvernance de l'IA et que seulement 17 % disposent de contrôles techniques qui caviardent ou bloquent les données sensibles au point d'entrée. Des contrôles documentés au point d'entrée sont exactement le type de mesure que le format d'évaluation demande de démontrer.

Les exemptions temporaires visant les données des employés, des candidats et des contacts d'affaires ont expiré le 1er janvier 2023. Les travailleurs californiens détiennent maintenant l'ensemble des droits : avis, accès, suppression, correction et limitation de l'usage des renseignements personnels sensibles.

Les RH sont l'un des usages informels de l'IA les plus lourds : rédiger des évaluations, résumer des plaintes, comparer des candidats. Chacune de ces requêtes peut contenir des renseignements personnels d'employés, dont ceux-ci peuvent désormais exiger l'accès ou la suppression. Une entreprise ne peut pas supprimer des renseignements personnels qu'elle a poussés dans un outil d'IA externe dépourvu de mécanisme de suppression; la seule position fiable est de garder les identifiants hors des requêtes dès le départ.