95 % des entreprises enfreignent une loi sur l'IA dont la plupart ignorent l'existence

J'étais au téléphone avec une DRH – directrice des ressources humaines – d'une entreprise du Fortune 500 au début du mois de janvier lorsqu'elle a prononcé une phrase qui m'a coupé la parole.

« Notre équipe juridique nous a dit qu'il était plus sûr de ne tout simplement pas nous y conformer. »

Elle ne se montrait pas imprudente. Elle faisait preuve de rationalité. Son entreprise utilise un outil de filtrage basé sur l'IA pour le recrutement à New York, ce qui signifie qu'elle est soumise à la Local Law 144 — une réglementation obligeant les entreprises à publier des audits de biais de tout outil automatisé contribuant aux décisions d'embauche. Ses juristes avaient fait le calcul : la pénalité pour non-conformité était une amende de 500 à 1 500 dollars par infraction. La pénalité pour la conformité — c'est-à-dire la publication effective de l'audit de biais — revenait à fournir aux avocats des plaignants une feuille de route statistique pour un procès pour discrimination.

Cette conversation a cristallisé une réflexion que je mûrissais depuis des mois. Nous n'avons pas un problème d'éthique de l'IA. Nous avons un problème d'architecture de l'IA. Et l'audit de décembre 2025 du contrôleur financier de l'État de New York vient tout juste de le prouver.

L'audit qui a brisé l'illusion

Le 2 décembre 2025, Tom DiNapoli, contrôleur de l'État de New York, a publié un audit sur la manière dont le Department of Consumer and Worker Protection (DCWP) de la ville de New York appliquait la Local Law 144. Les résultats ont été accablants.

Les propres inspecteurs de la ville avaient examiné 32 employeurs et n'avaient trouvé exactement qu'un seul cas de non-conformité potentielle. Les auditeurs de l'État ont examiné les 32 mêmes entreprises à l'aide de méthodes techniques plus rigoureuses. Ils ont constaté 17 infractions.

Il ne s'agit pas d'une simple erreur d'arrondi. C'est un écart de 1 600 % entre ce que la ville a détecté et ce qui se passait réellement.

Je me souviens d'avoir lu le rapport d'audit sur mon ordinateur portable à 23 heures, en parcourant les conclusions avec un sentiment mêlé de confirmation et d'effroi. Confirmation, parce que c'était exactement le type de défaillance contre lequel nous mettions nos clients en garde — une conformité IA superficielle qui s'effondre sous un examen réel. Effroi, parce que l'ampleur du problème dépassait même ce à quoi je m'attendais.

Lorsque la ville constate 1 infraction et que l'État en trouve 17 dans le même échantillon, il ne s'agit pas d'un déficit d'application — c'est une fiction d'application.

L'audit a mis au jour une anomalie presque tragi-comique : 75 % des appels de test passés au numéro 311 de la ville concernant des problèmes d'embauche par IA ont été mal acheminés et n'ont jamais atteint le DCWP. L'agence a reconnu qu'elle manquait d'expertise technique pour évaluer si les entreprises utilisaient réellement des outils de décision automatisés. Elle n'a pas consulté une seule fois l'Office of Technology and Innovation de la ville. L'ensemble du dispositif d'application était, en pratique, un village Potemkine.

Pourquoi la plupart des entreprises ont choisi le silence

C'est ici que la situation empire. Une étude menée par l'université Cornell, Data & Society et Consumer Reports a examiné 391 employeurs soumis à la Local Law 144. Parmi eux, seuls 18 avaient publié les audits de biais obligatoires. Seuls 13 avaient affiché des avis de transparence.

Cela signifie qu'environ 95 % des employeurs concernés ignoraient purement et simplement la loi.

Mon équipe et moi avons passé une semaine à décortiquer cette étude, en recoupant les résultats avec ce que nous savions des outils d'IA utilisés par ces entreprises. Un débat récurrent animait notre bureau pour savoir s'il s'agissait d'une négligence massive ou d'un calcul délibéré. Mon directeur technique pensait à de la paresse — les entreprises n'avaient tout simplement pas encore pris le temps de s'y atteler. Je n'étais pas d'accord.

Je pense que la plupart de ces entreprises ont réalisé les audits en interne, ont vu les chiffres et ont paniqué.

La raison en est structurelle. La Local Law 144 exige la publication de « ratios d'impact » — concrètement, vous comparez les taux de sélection de différents groupes démographiques et vérifiez s'ils respectent la règle des quatre cinquièmes de l'EEOC. Si votre outil sélectionne les hommes à un taux de 60 % et les femmes à 40 %, le ratio est de 0,67 — en dessous du seuil de 0,80 qui signale un impact disparate potentiel.

Le problème ? La plupart des outils de recrutement par IA construits sur des modèles de langage généralistes échoueront à ce test. Non pas parce qu'ils sont malicieusement biaisés, mais parce qu'ils sont entraînés sur des données à l'échelle d'Internet qui reflètent des décennies de biais sociétaux. Lorsque vous calculez les chiffres honnêtement, les biais apparaissent. Et lorsque vous publiez ces chiffres, vous venez de créer une pièce à conviction juridique.

Cette DRH avec qui j'ai parlé ne faisait pas preuve de cynisme. Elle décrivait la réaction rationnelle face à un système où les outils eux-mêmes génèrent des preuves de discrimination dès l'instant où on les audite.

Ce qui se passe quand on bâtit l'IA sur de simples intuitions

Je dois expliquer le fonctionnement réel de la majorité de l'IA d'entreprise aujourd'hui, car c'est la racine même de cette crise.

Le modèle dominant sur le marché actuel est ce que j'appelle « l'économie du wrapper ». Un cabinet de conseil prend un modèle fondamental — GPT-4, Claude, Gemini —, l'enveloppe d'une fine couche de prompts personnalisés et d'appels d'API, et le vend à une entreprise comme une solution clé en main. Filtrage de CV, traitement des sinistres, évaluation des risques — le wrapper gère l'interface, mais le raisonnement s'opère dans un modèle que personne dans l'entreprise ne contrôle, n'audite ni ne comprend pleinement.

Ces modèles fonctionnent en prédisant le mot statistiquement le plus probable dans une séquence. Ils reposent sur ce que j'appellerais une plausibilité sémantique — ce qui semble juste — et non sur une réalité médico-légale — ce qui est réellement juste.

Je l'ai appris à mes dépens. Au début de Veriprajna, avant d'adopter définitivement notre architecture actuelle, nous avions effectué un test où nous demandions à un LLM de premier plan d'évaluer un ensemble de CV en « ignorant le genre ». Il a continué à discriminer. Pas de manière ouverte — il n'a pas pénalisé la mention « femme ». Mais il a systématiquement favorisé les CV qui mentionnaient certaines universités, utilisaient certaines tournures de phrases et listaient certaines activités extrascolaires — autant d'éléments statistiquement corrélés au genre dans les données d'entraînement du modèle.

Demander à un LLM « d'ignorer le genre » revient à demander à quelqu'un de ne pas penser à un éléphant. Les corrélations sont ancrées dans les poids. On ne peut pas éliminer un biais structurel à coups de prompts.

Lorsque le Colorado ou l'UE vous demandent d'expliquer pourquoi votre IA a pris une décision défavorable, un système wrapper ne peut vous fournir qu'une justification a posteriori — un récit plausible sur ce qu'il pense avoir motivé sa décision. Ce n'est pas une explication. C'est une hallucination sur son propre raisonnement. J'ai analysé ce problème en détail dans la version interactive de nos recherches, où nous montrons comment ce « déficit d'auditabilité » se manifeste à travers différents régimes réglementaires.

Le trilemme de la conformité dont personne ne parle

Voici ce qui m'empêche de dormir : cela ne concerne plus uniquement New York.

D'ici la mi-2026, les entreprises opérant dans plusieurs États américains et en Europe seront confrontées à au moins quatre réglementations sur l'IA qui se chevauchent et sont techniquement contradictoires :

La Local Law 144 de New York City exige la publication de statistiques de biais intersectionnels ventilées par race et par sexe. La loi SB 24-205 du Colorado, en vigueur en juin 2026, impose une norme plus large de « diligence raisonnable » et une divulgation obligatoire au procureur général en cas de découverte d'une discrimination algorithmique. La loi HB 3773 de l'Illinois interdit l'utilisation des codes postaux comme variables de substitution pour les catégories protégées — une technique sur laquelle reposent pourtant de nombreux outils d'atténuation des biais. Et le Règlement sur l'IA de l'UE (EU AI Act) exige une documentation détaillée sur la provenance des données d'entraînement ainsi que des « évaluations de la conformité » pour les systèmes à haut risque.

Ce ne sont pas simplement des règles différentes. Elles sont, par endroits, architecturalement incompatibles.

Une technique de masquage des données utilisée pour respecter l'interdiction des codes postaux en Illinois pourrait détruire la représentativité des données exigée par l'UE. Un audit de biais satisfaisant le cadre new-yorkais sur la race et le sexe pourrait échouer aux normes du Colorado s'il n'intègre pas également l'âge et le handicap. Et aucun de ces cadres n'accepte la réponse « nous avons utilisé GPT-4 et ajouté quelques garde-fous » comme évaluation de conformité.

Un investisseur m'a dit l'année dernière : « Utilisez simplement GPT et ajoutez une couche de conformité par-dessus. » Je lui ai demandé : Quelle couche de conformité ? Pour quelle juridiction ? Testée selon quelles métriques ? Il n'a pas su quoi répondre, car la solution n'existe pas. On ne peut pas greffer la conformité sur un système qui n'a jamais été conçu pour être auditable.

Ce que nous construisons réellement à la place

Chez Veriprajna, nous avons fait très tôt un pari dont j'admets qu'il semblait solitaire à l'époque : nous avons totalement rejeté le modèle wrapper. Pas de fines couches d'API. Pas d'ingénierie de prompts érigée en produit. Au lieu de cela, nous construisons ce que j'appelle de la Deep AI — des systèmes conçus dès le départ pour le déterminisme, la traçabilité et le contrôle souverain.

L'idée fondamentale est une architecture neuro-symbolique — un système qui sépare la « voix » du « cerveau ». Le réseau neuronal gère la reconnaissance de formes : lire les CV, analyser les documents, identifier les caractéristiques pertinentes. Mais chaque décision passe par une couche de logique symbolique — des règles codées en dur dérivées de la législation réelle, des ontologies sectorielles et des contraintes du domaine — avant de parvenir à l'utilisateur.

Lorsque l'Illinois stipule qu'on ne peut pas utiliser les codes postaux comme substitut de la race, notre couche symbolique n'« essaie » pas de l'éviter. Elle le bloque, de manière déterministe, et consigne avec précision quelle règle a été déclenchée et pourquoi. Lorsqu'un régulateur exige une explication, nous ne générons pas une histoire plausible. Nous fournissons une chaîne logique traçable de l'entrée à la sortie.

La différence entre un wrapper et la Deep AI est la différence entre « le modèle l'a dit » et « voici la règle exacte, l'entrée exacte et le chemin logique exact qui ont produit cette décision ».

Nous insistons également sur ce que nous appelons une infrastructure souveraine — déployer les modèles sur le cloud propre du client, sans faire transiter de données sensibles par des API publiques. Lorsque vous envoyez des dossiers d'employés ou des informations sur des candidats à une API tierce, ces données peuvent être enregistrées, intégrées dans de futurs entraînements ou exposées à des failles de sécurité sur lesquelles vous n'avez aucune visibilité. Pour une entreprise soumise au RGPD, au CCPA et désormais à ces réglementations spécifiques à l'IA, c'est un risque inacceptable.

Pour une analyse technique complète du fonctionnement de ces architectures — la traçabilité basée sur les graphes, les couches de vérification informées par la physique, les modèles de déploiement natifs en périphérie —, je vous renvoie à notre document de recherche détaillé. L'ingénierie est pointue, mais le principe est simple : chaque résultat doit être prouvé comme correct, et non probablement correct.

« Mais n'est-ce pas excessif ? »

On me pose constamment cette question. En général, c'est quelqu'un qui a été séduit par le modèle wrapper et qui pense que je complique inutilement les choses.

Voici ma réponse : le contrôleur de l'État de New York vient de démontrer que même un examen réglementaire bienveillant — mené par la propre agence de la ville — fonctionnait avec un taux d'erreur de 1 600 %. Les auditeurs de l'État ont constaté 17 infractions là où la ville n'en avait trouvé qu'une seule. Et cela sur un échantillon de 32 entreprises seulement.

Que se passera-t-il lorsque le procureur général du Colorado ouvrira des enquêtes ? Que se passera-t-il lorsque l'UE débutera ses évaluations de conformité ? Que se passera-t-il lorsque l'avocat d'un plaignant assignera les journaux de décision de votre modèle et découvrira que votre « atténuation des biais » n'était qu'un prompt système disant « s'il vous plaît, soyez équitable » ?

Ce n'est pas une hypothèse. L'audit du contrôleur a explicitement recommandé de passer d'une répression passive, motivée par les plaintes, à une enquête proactive et axée sur la recherche. Le DCWP a accepté d'adopter cette recommandation. L'ère du « personne ne vérifie » est révolue.

Il y a une autre objection que j'entends souvent : « Nous allons attendre que la réglementation se stabilise avant d'investir. » Je comprends l'impulsion. Mais l'étude de Cornell a montré que les entreprises qui ont attendu — les 95 % qui ne se sont pas mises en conformité — se retrouvent aujourd'hui face à un risque juridique grandissant, sans aucune infrastructure pour y faire face. Lorsque l'application des lois s'intensifiera, elles n'auront pas des mois pour bâtir des systèmes conformes. Elles n'auront que quelques semaines.

La nuit où les chiffres ont changé ma vision des choses

Je souhaite partager un moment qui a fondamentalement transformé ma façon d'aborder ce problème.

Il y a environ huit mois, nous menions une démonstration de faisabilité pour un client des services financiers. Il souhaitait vérifier si son outil d'évaluation par IA existant — le produit d'un fournisseur réputé, basé sur un LLM majeur — pouvait réussir un audit simulé du LL144. Mon équipe a configuré le test, calculé les ratios d'impact et m'a envoyé les résultats vers 21 heures.

Je m'attendais à des échecs marginaux — des ratios de 0,75 ou 0,78, suffisamment proches pour qu'un réétalonnage puisse les corriger. Au lieu de cela, nous avons trouvé des ratios d'impact descendant jusqu'à 0,58 pour certaines catégories intersectionnelles. Rien de proche du seuil. Rien de réparable par ajustement de prompt. Un biais structurel et fondamental, invisible pour les personnes qui utilisaient l'outil au quotidien.

J'étais assis dans mon bureau à contempler ces chiffres et j'ai compris une chose à laquelle toute l'industrie doit faire face : les outils que la plupart des entreprises utilisent actuellement échoueraient à leurs propres audits de biais. Le taux de non-conformité de 95 % ne signifie pas simplement que les entreprises ignorent la loi. Il concerne des entreprises qui ont vu ce que la conformité révélait et ont préféré ne pas savoir.

Ce n'est pas un problème réglementaire. C'est une défaillance d'ingénierie.

Où nous mènera la suite

L'audit de décembre 2025 ne marque pas la fin des difficultés de rodage de la réglementation de l'IA. C'est le début de sa maturité. Les régulateurs tirent les leçons de leurs erreurs. La prochaine génération de contrôles ne reposera pas sur des numéros d'appel 311 et des déclarations spontanées. Elle utilisera des outils médico-légaux pour examiner ce que votre IA fait réellement — et non ce que votre équipe de conformité prétend qu'elle fait.

Pour l'entreprise, cela signifie que la fenêtre pour prendre des décisions d'architecture est en train de se refermer. On ne peut pas intégrer a posteriori le déterminisme dans un système probabiliste. On ne peut pas greffer l'auditabilité sur une boîte noire. On ne peut pas se conformer à quatre juridictions contradictoires avec un simple modèle de prompt.

Les entreprises qui prospéreront en 2026 et au-delà sont celles qui font le choix le plus exigeant dès maintenant : construire des systèmes où chaque décision s'appuie sur une chaîne logique traçable, auditable et défendable. Non pas parce que c'est facile. Non pas parce que c'est bon marché. Mais parce que c'est la seule architecture qui résiste à la confrontation avec un régulateur qui sait exactement ce qu'il cherche.

L'ère de l'IA bâtie sur de simples intuitions est terminée. Ce qui la remplacera sera défini par les entreprises prêtes à injecter de la certitude dans des systèmes que le reste de l'industrie a construits sur la probabilité.

La DRH avec qui j'avais échangé en janvier m'a rappelé la semaine dernière. Son équipe juridique avait lu l'audit du contrôleur. Ils ne conseillaient plus la non-conformité. Ils demandaient à quelle vitesse nous pouvions déployer.