La régulation de l’IA aux États-Unis a changé de méthode le 20 mars 2026 : la Maison-Blanche a publié un cadre politique fédéral, sous forme de recommandations législatives adressées au Congrès, pour remplacer les lois disparates des États par des règles nationales. Protection des enfants, droit d’auteur, liberté d’expression : le texte touche des sujets que le RGPD et l’AI Act traitent déjà en Europe.
Pour un DPO français, la question pratique tient en une ligne. En effet, vos outils d’IA viennent souvent de fournisseurs américains ; ce cadre modifie-t-il les garanties dont vous disposez sur les données que vous leur confiez ?
Un cadre fédéral sur l’IA pour remplacer les lois des États
Jusqu’ici, la Californie, le Colorado ou le Texas ont chacun posé leurs propres règles sur l’IA. Selon la présidence américaine, ce morcellement freine l’innovation et complique la conformité des entreprises technologiques.
Le cadre propose donc au Congrès d’adopter des règles fédérales qui primeraient sur les lois des États jugées trop contraignantes. Les États garderaient toutefois la main sur des sujets graves, par exemple les contenus pédocriminels générés par IA. Selon Roll Call, la préemption des lois des États forme le cœur du texte.
Le document reste une liste de recommandations. Aucune obligation nouvelle ne pèse sur vos fournisseurs tant que le Congrès n’a rien voté.
Protection des enfants : ce que demande le cadre fédéral sur l’IA
Le volet le plus détaillé concerne d’abord les mineurs. Le texte demande au Congrès d’imposer des outils de contrôle parental, de limitation du temps d’écran et de restriction des contenus. Il lui demande aussi de confirmer que les protections existantes de la vie privée des enfants s’appliquent aux systèmes d’IA.
L’Europe a en effet déjà tranché ce point. L’AI Act, le règlement (UE) 2024/1689, entré en vigueur le 1er août 2024 et applicable par étapes, interdit les systèmes d’IA qui exploitent les vulnérabilités liées à l’âge. De plus, il oblige les fournisseurs de systèmes à haut risque à prendre en compte leurs effets sur les personnes de moins de 18 ans. Le RGPD ajoute des conditions de consentement propres aux mineurs (article 8) et le principe de minimisation (article 5.1.c).
En pratique, un outil d’IA conforme au futur droit américain ne sera pas conforme pour autant au droit européen. Vérifiez donc vous-même l’usage prévu auprès de publics mineurs.
Droit d’auteur et données d’entraînement
Sur le droit d’auteur, la Maison-Blanche estime que l’entraînement des modèles sur des œuvres protégées ne viole pas ce droit. Elle reconnaît toutefois l’existence d’arguments contraires et préfère laisser les tribunaux trancher plutôt que légiférer.
L’Union européenne suit une autre logique. La directive sur le droit d’auteur dans le marché unique numérique prévoit un droit d’opposition des titulaires de droits, et l’AI Act impose aux fournisseurs de modèles d’IA à usage général de le respecter, puis de publier un résumé des contenus utilisés pour l’entraînement.
Le RGPD s’ajoute enfin dès que ces données d’entraînement contiennent des informations personnelles. Le responsable de traitement justifie alors d’une base légale et respecte les droits des personnes concernées. Demandez ce résumé à votre fournisseur avant tout déploiement.
Ce que la régulation de l’IA aux États-Unis change pour vos transferts
Une grande part des fournisseurs d’IA utilisés en Europe sont établis aux États-Unis. Le niveau de protection américain pèse donc sur l’évaluation de vos transferts au sens du chapitre V du RGPD.
Depuis juillet 2023, le Data Privacy Framework encadre ces transferts. Le Tribunal de l’Union européenne l’a validé le 3 septembre 2025, et un pourvoi est pendant devant la Cour de justice, selon le cabinet WilmerHale. Son avenir dépend surtout des garanties américaines sur l’accès des autorités aux données. Or le cadre fédéral sur l’IA ne traite pas cette question.
Nous recommandons ainsi de ne rien changer à votre analyse de transfert sur la seule base de ce cadre. Contrôlez plutôt la certification de chaque fournisseur, comme l’explique notre article Data Privacy Framework : vérifier vos transferts USA, puis inscrivez chaque outil dans votre registre des systèmes d’IA.
Sources
Le texte de la Maison-Blanche est publié sous le titre National Policy Framework for Artificial Intelligence: Legislative Recommendations.
La lecture politique du texte vient de l’article de Roll Call White House AI framework calls for preemption of state laws.
Les règles européennes citées figurent dans le règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle.
La décision sur le Data Privacy Framework est résumée dans le communiqué de presse n° 106/25 du Tribunal, Latombe contre Commission.
Le pourvoi est décrit par WilmerHale dans European Court of Justice to Review Challenge to EU-U.S. Data Privacy Framework.
