SB 26-189, ADMT et décisions conséquentes (C.R.S. titre 6, art. 1, partie 17 réédictée)
Portée : les technologies de décision automatisée dans les décisions conséquentes
La loi de remplacement vise les technologies utilisées pour influencer de façon importante des décisions conséquentes : accès à l'éducation, emploi, transactions immobilières et logement, services financiers et de crédit, assurance, soins de santé et services gouvernementaux essentiels. Le concept de système d'IA à haut risque disparaît; l'ADMT est définie largement et n'exige même pas que le système fasse des inférences.
La définition capte bien plus que les algorithmes RH sur mesure. Un recruteur qui colle des CV dans un robot conversationnel généraliste pour présélectionner des candidats, ou un gestionnaire qui lui demande de résumer des données de rendement avant un congédiement, utilise sans doute une ADMT pour influencer une décision d'emploi. Les organisations doivent savoir où cela se produit avant de pouvoir juger si les obligations d'avis s'appliquent, et la plupart en sont incapables : LayerX mesurait en 2025 que les organisations n'ont aucune visibilité sur environ 89 % de l'usage de l'IA.
SB 26-189, obligations des développeurs
Documentation des développeurs et divulgation aux exploitants
Les développeurs qui commercialisent une ADMT destinée à des décisions conséquentes doivent fournir aux exploitants une documentation couvrant les usages prévus, les usages nuisibles connus, les catégories de données d'entraînement, les limites connues et les consignes d'utilisation conforme, aviser les exploitants des mises à jour importantes dans un délai raisonnable et conserver leurs dossiers pendant au moins trois ans.
Si votre produit intègre l'IA dans des décisions visant des personnes, vous devez à vos clients un compte rendu documenté des données d'entraînement et des usages à proscrire. Ce compte rendu est difficile à rédiger honnêtement si votre propre personnel a collé des données de clients ou d'utilisateurs dans des outils d'IA externes pendant le développement, car vous ne contrôlez plus ce que ces outils ont retenu. Des contrôles au point d'entrée sur ce qui sort dans les requêtes gardent la documentation défendable.
SB 26-189, avis préalable de l'exploitant
Avis au consommateur avant qu'une ADMT n'influence une décision
Les exploitants doivent donner un avis clair et bien visible, avant le fait, qu'une ADMT influencera de façon importante une décision conséquente concernant le consommateur, au moyen d'un avis public bien en vue ou d'un lien.
Une obligation d'avis présuppose un inventaire : on ne peut divulguer que l'usage d'IA que l'on connaît. L'usage fantôme d'outils d'IA dans le navigateur au sein des processus d'embauche, de crédit ou de prestations rend chaque avis incomplet, et IBM constatait en 2025 que 63 % des organisations n'ont aucune politique de gouvernance de l'IA. Un avis préalable exact commence par la visibilité sur les outils d'IA que les employés utilisent réellement avec des données décisionnelles.
SB 26-189, divulgations après résultat défavorable et révision humaine
Divulgation après la décision, correction des données et révision humaine significative
Après une décision conséquente défavorable, l'exploitant doit fournir en langage clair une description de la décision et du rôle de l'ADMT, les données d'entrée en cause et les droits du consommateur, dont l'accès aux renseignements personnels inexacts et leur correction, ainsi qu'un droit de demander une révision humaine significative par du personnel formé ayant le pouvoir de renverser le résultat. Les dossiers doivent être conservés au moins trois ans.
Expliquer quelles données ont servi à une décision exige de le savoir réellement. Si le dossier d'un candidat refusé a été en partie constitué par un employé qui a passé ses renseignements personnels dans un robot conversationnel non approuvé, l'exploitant ne peut ni décrire les données d'entrée avec exactitude ni les corriger. Garder les identifiants personnels hors des requêtes vers l'IA externe est ce qui permet de répondre aux droits de divulgation et de correction.
SB 24-205 (abrogée) : diligence raisonnable, évaluations d'impact, présomption NIST AI RMF
Ce que la loi d'origine exigeait, et ce qui a survécu
La loi de 2024 imposait aux développeurs et aux exploitants un devoir de diligence raisonnable pour protéger les consommateurs contre la discrimination algorithmique, exigeait des exploitants un programme de gestion des risques et des évaluations d'impact annuelles, et accordait aux exploitants une présomption réfutable de diligence raisonnable s'ils maintenaient un programme aligné sur le NIST AI RMF ou ISO/IEC 42001. La SB 26-189 a supprimé tout cela.
L'abrogation ne rend pas la gestion des risques inutile. La discrimination dans les décisions fondées sur une ADMT demeure sanctionnable en vertu des lois existantes sur les droits civils et la protection du consommateur, d'autres États ont conservé des exigences de type évaluation, et un programme aligné sur le NIST reste la réponse crédible aux régulateurs, aux assureurs et aux clients d'entreprise. Les organisations qui ont bâti une gouvernance pour la loi d'origine devraient la conserver et la réorienter vers les obligations d'avis, de divulgation et de tenue de dossiers qui ont survécu.