GuideColorado SB26-189Version 1.025 octobre 2026

La loi du Colorado sur l’IA à partir du 1er janvier 2027

Dès le 1er janvier 2027, la loi SB26-189 du Colorado, signée le 14 mai 2026, réécrit la loi de 2024 sur la décision automatisée à enjeu ; le texte adopté ne cite plus le NIST AI RMF et, selon la note fiscale du 8 septembre 2026, un tribunal fédéral bloque l’application du texte de 2024 depuis le 27 avril 2026. Cette page lit le texte adopté : qui est visé, les enregistrements que conserve un déployeur, et comment un seul enregistrement répond au Colorado, au Texas et à l’AI Act.

Réserver un appel de 30 min Lire les enregistrements à conserver
Plan de la preuve et de l’audit (C2) : un enregistrement par action, la preuve qu’un déployeur du Colorado conserve au moins 3 ans après chaque décision.
Texte adopté
SB26-189, signée le 14 mai 2026
S’applique aux
Décisions conséquentes prises à partir du 1er janvier 2027
Enregistrements du déployeur
Au moins 3 ans, C.R.S. 6-1-1703
Statut vérifié
25 octobre 2026, dans les sources primaires
Sur cette page
  1. Statut et conventions
  2. 1. Ce qui change le 1er janvier 2027
  3. 2. SB24-205, SB25B-004, SB26-189 et la suspension judiciaire
  4. 3. Qui est visé
  5. 4. Les enregistrements à conserver
  6. 5. Colorado, Texas et AI Act
  7. 6. Les questions des acheteurs
  8. 7. Références et sources
  9. 8. Versions et citation
0 · Statut et conventions

Une lecture du texte adopté, datée et sourcée.

Dans ce document, « nous » désigne Hikari Blue, l’entreprise qui installe chez ses clients les contrôles de gouvernance cités ci-dessous puis les leur transfère. Ceci n’est pas un avis juridique. L’application de la loi à un système donné relève d’un conseil juridique.

Les numéros d’article renvoient à la partie 17 de l’article 1 du titre 6 des Colorado Revised Statutes (C.R.S.), abrogée et réécrite par la section 1 de SB26-189. Les résumés suivent la loi signée ; seul le texte officiel fait foi.

Lorsque nous rattachons la loi à des enregistrements et à des contrôles, nous l’indiquons : selon notre lecture. Correspondance établie par Hikari Blue ; le procureur général du Colorado ne l’a pas examinée.

1 · Ce qui change le 1er janvier 2027

Avis, enregistrements et revue humaine remplacent le programme de risques de 2024.

SB26-189 abroge et réécrit la partie 17 de l’article 1 du titre 6 des C.R.S., celle que SB24-205 avait créée. Selon la section 5 de la loi, elle entre en vigueur le 1er janvier 2027 et s’applique aux décisions conséquentes prises à partir de cette date ; les mandats de réglementation sont entrés en vigueur dès l’adoption.

Le texte adopté ne contient ni obligation de diligence raisonnable, ni programme de gestion des risques, ni analyse d’impact, ni référence au NIST AI RMF ou à ISO/IEC 42001. SB24-205 contenait les 5.

  • Documentation du développeur · 6-1-1702

    À partir du 1er janvier 2027, le développeur remet à chaque déployeur les usages prévus et les usages préjudiciables connus de l’ADMT couverte, les catégories de données d’entraînement, ses limites connues, les instructions d’utilisation, de surveillance et de revue humaine significative, et l’avis des mises à jour importantes. Il conserve ses enregistrements au moins 3 ans.

  • Enregistrements du déployeur · 6-1-1703

    Le déployeur conserve, au moins 3 ans après chaque décision conséquente, les enregistrements raisonnablement nécessaires pour démontrer sa conformité. Ils peuvent comprendre les identifiants de version, les journaux de modifications et la documentation des changements importants de mesures d’atténuation.

  • Avis avant usage · 6-1-1704(1) et (2)

    Avant qu’une ADMT couverte n’influence de manière significative une décision conséquente, le déployeur remet au consommateur un avis clair et apparent. Un avis public bien visible aux points de contact avec le consommateur satisfait à cette obligation.

  • Information après une issue défavorable · 6-1-1704(3)

    Dans les 30 jours suivant une décision à l’issue défavorable, le déployeur décrit la décision et le rôle qu’y a joué l’ADMT, explique comment obtenir le nom, la version et le développeur de l’ADMT ainsi que les données personnelles utilisées, et indique les droits du consommateur.

  • Correction et revue humaine · 6-1-1705

    Sur demande après une issue défavorable, le déployeur donne les instructions pour corriger des données personnelles inexactes et offre une revue humaine significative et un réexamen de la décision, dans la mesure où c’est commercialement raisonnable.

  • Application · 6-1-1706

    Le procureur général applique seul la partie 17, au titre des pratiques commerciales trompeuses du Colorado Consumer Protection Act, après un avis de violation et 60 jours pour corriger lorsqu’une correction est possible. Ce droit de correction est abrogé le 1er janvier 2030. La loi ne crée aucun droit d’action privé.

La loi impose au procureur général d’adopter, au plus tard le 1er janvier 2027, des règles sur l’information après une issue défavorable et sur les droits des consommateurs (6-1-1704(4)(b) et 6-1-1705(3)). Cette page ne lit que la loi.

La responsabilité reste régie par le droit existant : un développeur ou un déployeur peut être tenu responsable au titre du droit anti-discrimination de l’État pour une décision conséquente influencée de manière significative par une ADMT couverte, la faute étant répartie entre eux (6-1-1707). Le respect de la partie 17 ne dispense d’aucune autre loi (6-1-1709(2)).

2 · SB24-205, SB25B-004, SB26-189 et la suspension judiciaire

3 lois en 2 ans, et une ordonnance qui interdit les poursuites.

Chaque statut ci-dessous a été lu dans sa source primaire le 25 octobre 2026. Les dates sont celles du contexte américain de notre table de correspondance NIST AI RMF.

Texte Ce qu’il fait Statut au 25 octobre 2026
Colorado SB24-205, Consumer Protections for Artificial Intelligence A créé la partie 17 : une obligation de diligence raisonnable contre la discrimination algorithmique, des programmes de gestion des risques des déployeurs appréciés au regard de la dernière version du NIST AI RMF, d’ISO/IEC 42001 ou d’un cadre équivalent (C.R.S. 6-1-1703(2)), et un moyen de défense lié à ces cadres dans les actions du procureur général (6-1-1706(3)). Signée le 17 mai 2024. Obligations reportées au 30 juin 2026 par SB25B-004. Abrogée et réécrite par SB26-189 à partir du 1er janvier 2027.
Colorado SB25B-004, Increase Transparency for Algorithmic Systems A reporté les obligations de SB24-205 du 1er février 2026 au 30 juin 2026. Signée le 28 août 2025, lors de la session extraordinaire d’août 2025.
Colorado SB26-189, Automated Decision-Making Technology Abroge et réécrit la partie 17 autour des technologies de décision automatisée appliquées aux décisions conséquentes. Le texte adopté ne mentionne ni le NIST AI RMF ni un moyen de défense fondé sur un cadre. Signée le 14 mai 2026. L’essentiel des dispositions entre en vigueur le 1er janvier 2027 et s’applique aux décisions conséquentes prises à partir de cette date.
X.AI LLC v. Weiser, US District Court Selon la note fiscale finale de SB26-189, le tribunal a ordonné au procureur général de ne pas engager de poursuites au titre de SB24-205 ou de toute loi qui la modifie, tant que le procureur général n’a pas achevé la procédure réglementaire et que le tribunal n’a pas statué. Ordonnance du 27 avril 2026, rapportée par le Legislative Council Staff du Colorado le 8 septembre 2026. Nous n’avons pas lu l’ordonnance elle-même.

La note fiscale indique que le calendrier de mise en œuvre et d’application dépendra des décisions de justice. La portée de l’ordonnance sur SB26-189 après le 1er janvier 2027 relève d’un conseil juridique.

Les guides qui présentent encore la loi du Colorado comme une protection fondée sur le NIST décrivent le texte de 2024. Cette protection ne survit pas à la réécriture.

3 · Qui est visé

Est déployeur toute personne qui exerce une activité au Colorado et y déploie une ADMT couverte.

Le champ suit les définitions de l’article 6-1-1701 des C.R.S. et les exclusions de l’article 6-1-1708. Le texte adopté ne fixe aucun seuil de taille ni aucune exemption pour les petits déployeurs.

Terme Ce que dit le texte adopté Article
Technologie de décision automatisée (ADMT) Une technologie qui traite des données personnelles et calcule un résultat, par exemple une prédiction, une recommandation, une classification, un classement ou un score, utilisé pour prendre, orienter ou assister une décision concernant une personne. 6-1-1701(2)(a)
Ce qui n’est pas une ADMT 14 outils énumérés, dont l’anti-malware, les calculatrices, les bases de données, les pare-feu et les tableurs sans apprentissage automatique ; un outil servant uniquement à résumer, organiser, traduire, rédiger, acheminer ou présenter de l’information pour une revue humaine ; un outil conversationnel non destiné aux décisions conséquentes et exclu de celles-ci par une politique d’usage acceptable. 6-1-1701(2)(b)
Décision conséquente Une décision, une détermination ou une action concernant un consommateur, liée à l’accès, à l’éligibilité, à la sélection ou à la rémunération dans un domaine couvert, ou à un prix différencié ou à d’autres conditions substantielles raisonnablement susceptibles de limiter, retarder ou refuser cet accès de manière significative. 6-1-1701(3)(a)
Ce qui n’est pas une décision conséquente Les processus courants ou à faible enjeu, comme la planification, le tri du service client ou la gestion des flux de travail ; la publicité, le marketing, la recherche et la modération de contenus ; les résumés qui ne produisent ni score ni recommandation ; la cybersécurité, la prévention de la fraude, la lutte contre le blanchiment et le respect des sanctions. 6-1-1701(3)(b)
Domaine couvert L’inscription ou les opportunités éducatives, l’emploi, l’immobilier résidentiel au Colorado, les services financiers ou de crédit, l’assurance, les services de santé, et les services publics essentiels et prestations sociales. 6-1-1701(6)
ADMT couverte et influence significative Une ADMT utilisée pour influencer de manière significative une décision conséquente : son résultat est un facteur non négligeable de la décision et en modifie l’issue. Les usages accessoires, insignifiants ou administratifs sont exclus. 6-1-1701(5) and (13)
Consommateur Un consommateur au sens de l’article 6-1-1303(6)(a) des C.R.S., ainsi que les salariés, les candidats à un emploi résidant au Colorado et toute personne évaluée dans une décision conséquente par une personne qui exerce une activité au Colorado. 6-1-1701(4)
Déployeur Une personne qui exerce une activité au Colorado et y déploie une ADMT couverte. 6-1-1701(7)
Développeur Une personne qui exerce une activité au Colorado et met une ADMT couverte à disposition commerciale, développe un composant qui lui est destiné, ou modifie intentionnellement et substantiellement une ADMT au point d’en faire une ADMT couverte. Le développement à seule fin de recherche, ou pour un usage interne non proposé à des tiers, est exclu. 6-1-1701(8)
Revue humaine significative Une revue par une personne désignée par le déployeur, habilitée à approuver, modifier ou annuler la décision, qui examine les éléments de preuve primaires disponibles, est formée, ne s’en remet pas par défaut au résultat du système, et peut comprendre l’usage prévu, les limites, les entrées et les principaux facteurs de ce résultat. 6-1-1701(15)

4 exclusions, lues dans le texte adopté.

  • Assureurs · 6-1-1708(1) et (2)

    Un assureur soumis à l’article 10-3-1104.9 des C.R.S. est réputé conforme à la partie 17 dans l’exercice de l’assurance. Ses usages d’une ADMT couverte dans les décisions d’emploi restent visés.

  • Entités couvertes par HIPAA · 6-1-1708(3)

    Les articles 6-1-1701 à 6-1-1706 ne s’appliquent pas à une entité couverte par HIPAA ni à ses sous-traitants, sauf pour les décisions d’emploi. L’entité remet aux patients un avis général sur les technologies avancées, et des informations précises lorsqu’une ADMT couverte décide de l’éligibilité à une aide financière.

  • Contrôle de la FDA · 6-1-1708(4)

    Les dispositifs médicaux soumis au contrôle de la FDA, et la recherche pharmaceutique ou sur les dispositifs placée sous ce contrôle, sont hors du champ des articles 6-1-1701 à 6-1-1706.

  • Crédit et éducation · 6-1-1704(6) et (9)

    Un prêteur dont l’avis au titre de l’Equal Credit Opportunity Act, et du Fair Credit Reporting Act s’il s’applique, satisfait aussi aux exigences de la loi n’envoie pas d’avis en double. Un déployeur soumis à FERPA utilise ses canaux FERPA.

Selon notre lecture, une entreprise qui exploite un modèle généraliste dans un processus métier ne devient déployeur au sens de la loi que lorsque ce résultat influence de manière significative une décision conséquente dans un domaine couvert. Le registre des cas d’usage est le lieu où cette qualification est faite, datée et signée.

4 · Les enregistrements à conserver

3 ans d’enregistrements, écrits au moment de chaque décision.

L’article 6-1-1703 des C.R.S. demande les enregistrements raisonnablement nécessaires pour démontrer la conformité, conservés au moins 3 ans après chaque décision conséquente. Il cite les identifiants de version, les journaux de modifications et la documentation des changements importants de mesures d’atténuation, et laisse le reste au déployeur.

Selon notre lecture, chaque obligation de la loi trouve sa réponse dans un champ de l’enregistrement à 9 champs d’une piste d’audit de l’IA, produit par un contrôle de notre cadre de gouvernance. Correspondance établie par Hikari Blue ; le procureur général du Colorado ne l’a pas examinée.

Ce que demande la loi Champ de l’enregistrement à 9 champs Contrôle de gouvernance
Quels systèmes influencent de manière significative une décision conséquente · 6-1-1701(5) et (13) Aucun champ : le registre des cas d’usage, avec une qualification signée GOV-P-01
Identifiants de version et journaux de modifications · 6-1-1703 Modèle et version GOV-P-03
Avis avant usage · 6-1-1704(1) Politique appliquée, Horodatage GOV-P-04
Rôle de l’ADMT dans une décision défavorable · 6-1-1704(3)(a) Action, Vérification humaine GOV-E-01
Nom, version et développeur de l’ADMT, données personnelles utilisées · 6-1-1704(3)(b) Modèle et version, Référence des entrées GOV-P-03 · GOV-D-03
Information dans les 30 jours suivant la décision · 6-1-1704(3) Horodatage GOV-E-01
Revue humaine significative par une personne désignée et formée · 6-1-1705(1) et 6-1-1701(15) Vérification humaine, Identité de l’acteur GOV-A-03 · GOV-E-02
Correction dans les 60 jours suivant un avis de violation · 6-1-1706(3) Chaîne d’empreintes, Politique appliquée GOV-E-03

Contrôles. GOV-P-01 registre et classification des cas d’usage ; GOV-P-03 choix des modèles et maîtrise des changements ; GOV-P-04 notice d’utilisation et transparence ; GOV-D-03 entrées par référence ; GOV-A-03 vérification humaine des résultats à enjeu ; GOV-E-01 piste en ajout seul, chaînée ; GOV-E-02 attestations datées de maîtrise de l’IA ; GOV-E-03 surveillance et registre des incidents.

Selon notre lecture, un enregistrement écrit au moment de la décision répond à l’information sous 30 jours et à une demande ultérieure de revue humaine sans reconstitution ; un enregistrement assemblé après l’avis de violation ne montre pas ce que le système a fait à la date de la décision.

5 · Un enregistrement, 3 régimes

Le Colorado, le Texas et l’AI Act posent des questions différentes au même enregistrement.

Les 3 textes diffèrent par leur déclencheur, leurs obligations et leur mode d’application. L’enregistrement qui leur répond contient les mêmes faits : qui a agi, avec quel modèle, sous quelle règle, avec quel contrôle humain, et quand.

Point Colorado SB26-189 Texas HB 149 AI Act, déployeur
En vigueur À partir du 1er janvier 2027, pour les décisions conséquentes prises à partir de cette date Depuis le 1er janvier 2026 L’article 26 s’applique à partir du 2 décembre 2027 pour les systèmes à haut risque de l’annexe III et à partir du 2 août 2028 pour ceux de l’annexe I
Déclencheur Une ADMT couverte influence de manière significative une décision conséquente dans un domaine couvert Développer ou déployer un système d’IA dans une intention interdite ; usages énumérés par les entités publiques Utilisation d’un système d’IA à haut risque en qualité de déployeur
Obligations du déployeur Avis avant usage, information sous 30 jours après une issue défavorable, correction et revue humaine significative sur demande Aucune obligation positive pour un déployeur privé au-delà des interdictions Utilisation conforme à la notice d’utilisation, contrôle humain confié à des personnes dotées de la compétence, de la formation et de l’autorité nécessaires, surveillance du fonctionnement
Enregistrements Au moins 3 ans après chaque décision conséquente (6-1-1703) Aucune obligation de conservation ; documentation sur demande d’enquête civile (552.103) Journaux sous le contrôle du déployeur, au moins 6 mois (article 26, paragraphe 6)
Revue humaine Revue humaine significative, définie à l’article 6-1-1701(15) Non exigée par la loi Contrôle humain (article 26, paragraphe 2) ; droit à l’explication des décisions fondées sur un système de l’annexe III (article 86)
Application Procureur général seul ; 60 jours pour corriger lorsque c’est possible, jusqu’au 1er janvier 2030 Procureur général seul ; mise en demeure de 60 jours ; jusqu’à 200 000 $ par violation non corrigeable Autorités nationales de surveillance du marché

Selon notre lecture, un enregistrement conservé 3 ans satisfait à la conservation de 3 ans du Colorado et au minimum de 6 mois de l’article 26, paragraphe 6, sous réserve du droit de la protection des données, et contient ce qu’une demande d’enquête civile texane peut exiger. Correspondance établie par Hikari Blue ; aucune autorité citée sur cette page ne l’a examinée.

Les dates et obligations de l’AI Act sont celles que publient notre entrée sur la piste d’audit de l’IA et notre guide des obligations du déployeur, après le règlement (UE) 2026/1744.

6 · Réponses directes

Les questions que posent les acheteurs sur la loi du Colorado.

Quand la loi du Colorado sur l’IA entre-t-elle en vigueur ?

SB26-189 entre en vigueur le 1er janvier 2027 et s’applique aux décisions conséquentes prises à partir de cette date, selon la section 5 de la loi. Elle remplace le texte de 2024, dont les obligations avaient été reportées au 30 juin 2026 et dont une ordonnance d’un tribunal fédéral interdit l’application depuis le 27 avril 2026.

La loi du Colorado cite-t-elle encore le NIST AI RMF ?

Non. SB24-205 appréciait les programmes de gestion des risques des déployeurs au regard de la dernière version du NIST AI RMF, d’ISO/IEC 42001 ou d’un cadre équivalent, et y rattachait un moyen de défense. Le texte adopté par SB26-189 ne mentionne ni le NIST AI RMF ni un moyen de défense fondé sur un cadre.

Qui est déployeur au sens de SB26-189 ?

Une personne qui exerce une activité au Colorado et y déploie une ADMT couverte : une technologie de décision automatisée utilisée pour influencer de manière significative une décision conséquente dans l’éducation, l’emploi, le logement, les services financiers ou de crédit, l’assurance, la santé ou les services publics essentiels. Le texte adopté ne fixe aucun seuil de taille.

Quels enregistrements un déployeur du Colorado doit-il conserver ?

Les enregistrements raisonnablement nécessaires pour démontrer sa conformité, au moins 3 ans après chaque décision conséquente, qui peuvent comprendre les identifiants de version, les journaux de modifications et la documentation des changements importants de mesures d’atténuation (C.R.S. 6-1-1703). Ils doivent aussi permettre l’information sous 30 jours après une issue défavorable et une revue humaine significative sur demande.

Qui applique la loi, et avec quelle sanction ?

Le procureur général seul, au titre des pratiques commerciales trompeuses du Colorado Consumer Protection Act, après un avis de violation et 60 jours pour corriger lorsqu’une correction est possible ; ce droit de correction est abrogé le 1er janvier 2030. La note fiscale finale cite une amende civile pouvant atteindre 20 000 $ par violation au titre de cette loi. Il n’existe aucun droit d’action privé.

La loi du Colorado sur l’IA est-elle suspendue ?

L’application du texte de 2024 l’est. Selon la note fiscale finale de SB26-189, une ordonnance d’une US District Court du 27 avril 2026, dans l’affaire X.AI LLC v. Weiser, interdit au procureur général d’engager des poursuites au titre de SB24-205 ou de toute loi qui la modifie tant que la procédure réglementaire n’est pas close et que le tribunal n’a pas statué. La portée de cette ordonnance sur SB26-189 relève d’un conseil juridique.

7 · Références

Documents de référence et sources primaires.

Chaque date et chaque disposition du Colorado citées sur cette page proviennent des sources primaires ci-dessous, consultées le 25 octobre 2026. Les éléments sur l’AI Act et le Texas proviennent des pages citées en premier.

Documents de référence

Sources primaires, consultées le 25 octobre 2026

8 · Versions et citation

Comment citer ce document.

Cette URL est permanente et sert toujours la version en vigueur. Chaque modification de fond incrémente la version et figure dans l’historique ci-dessous, afin qu’une citation reste rattachable au texte qu’elle cite.

  • Citation recommandée

    Hikari Blue, « The Colorado AI Act from 1 January 2027 v1.0 », 25 octobre 2026, https://hikariblue.com/united-states/colorado-ai-act

    Les ancres de section sont stables : #status, #what-changes, #history, #scope, #records, #three-regimes, #faq, #references, #cite.

  • Historique des versions

    v1.0 · 25 octobre 2026. Première version publique.

    Licence. Publié sous licence CC BY 4.0 : citation, reprise et réutilisation libres, avec attribution à Hikari Blue et lien vers cette page. La licence couvre les textes, tableaux et schémas de Hikari Blue sur cette page ; elle ne couvre ni les données, citations et textes juridiques de tiers, qui gardent leurs propres conditions, ni le nom et le logo Hikari Blue, marques de UNITED4 LLC.

Pour les directions juridiques, de la conformité et des risques qui ont des clients au Colorado

Confrontez une décision à SB26-189 avant le 1er janvier 2027.

30 minutes avec un associé désigné. Nous prenons une décision que vos systèmes influencent déjà, la lisons au regard des définitions de la loi, et montrons lesquels des enregistrements attendus par la loi existent aujourd’hui. Vous repartez avec la liste, que nous travaillions ensemble ou non.

  • Une décision lue au regard des définitions de SB26-189
  • Les enregistrements qui existent aujourd’hui, et ceux qui manquent
  • Qui doit porter chaque écart
Réserver un appel de 30 min Ou lire le guide de la loi texane HB 149 Vérifier Hikari Blue avec un modèle que nous ne contrôlons pas