La loi new-yorkaise sur l'IA dans le recrutement : seuls 18 employeurs sur 391 ont publié leurs audits── Si personne à l'extérieur ne peut vérifier que l'audit requis a bien été réalisé, les violations passent inaperçues et personne n'est tenu responsable

Le 14 octobre 2026, Stanford HAI a présenté le portrait de Deb Raji, chercheuse qui étudie la responsabilité en matière d'IA, et Raji a déclaré que le milieu avait gravement sous-estimé la difficulté de faire appliquer les lois pour lesquelles il s'était battu. Pourquoi les lois sur la responsabilité en matière d'IA ne laissent-elles si souvent personne réellement tenu de rendre des comptes ? Parce que lorsque personne à l'extérieur ne peut vérifier si les audits et notifications requis ont été réalisés, les violations restent invisibles et la procédure visant à établir les responsabilités ne s'engage jamais.

01Les lois sur l'IA butent là où des tiers ne peuvent pas vérifier la conformité

Une loi qui existe mais ne peut être appliquée laisse derrière elle une trace chiffrée, et la trace la plus nette vient d'une ville où une loi sur l'IA est effectivement en vigueur depuis un certain temps. Commençons par Raji elle-même. Elle est connue pour ses audits de systèmes commerciaux de reconnaissance faciale, a contribué à créer les Model Cards lorsqu'elle travaillait chez Google, et passe cet automne à Stanford HAI en tant que chercheuse invitée avant de rejoindre le corps professoral à l'automne 2027.

Dans l'entretien, Raji a décrit l'histoire du domaine par étapes. Vers 2017, la discussion portait uniquement sur des principes généraux. D'environ 2020 à 2023, des propositions législatives sérieuses sont apparues. Après ChatGPT, des lois ont commencé à être adoptées, et l'un des exemples qu'elle a cités était la Local Law 144 de la ville de New York.

Après l'adoption vient l'application. « Je pense que nous avons gravement sous-estimé le défi de l'application », a déclaré Raji.

Le bilan de la Local Law 144 va dans le même sens. En 2024, une équipe de chercheurs a vérifié 391 employeurs et constaté que seuls 18 avaient publié l'audit de biais exigé par la loi. En 2025, le Comptroller de l'État de New York a examiné la manière dont l'agence municipale faisait appliquer la loi. L'agence avait examiné 32 audits publiés et signalé une violation possible. Les auditeurs de l'État ont lu les mêmes 32 audits et en ont trouvé au moins 17.

Soyons clairs : aucun de ces chiffres ne vient de Raji. Ils proviennent de chercheurs universitaires et d'un audit d'État. Pourtant, les deux sources se rejoignent sur un fait : lorsque la conformité ne peut pas être constatée de l'extérieur, les violations ne remontent pas à la surface.

Pour quiconque met l'IA au travail au sein d'une organisation, je tire une conclusion pratique. N'attendez pas de voir quelles lois arriveront. Tenez un registre de votre propre usage de l'IA qu'un tiers pourrait vérifier. Lorsqu'on vous demande de rendre compte d'une décision, ce registre est la seule base sur laquelle votre réponse peut reposer.

02Local Law 144 : les outils de recrutement doivent faire l'objet d'un audit de biais dans l'année, rendu public

Avant de lire 18 sur 391 comme un verdict, il est utile de savoir précisément à quelles obligations ces employeurs étaient soumis.

La Local Law 144 est une loi de la ville de New York portant sur les outils automatisés de décision en matière d'emploi, c'est-à-dire les logiciels que les employeurs utilisent pour présélectionner ou classer les candidats. L'application relève du Department of Consumer and Worker Protection de la ville, généralement abrégé en DCWP. Les obligations incombent à l'employeur et s'enchaînent dans un ordre précis.

L'audit doit avoir été réalisé dans l'année précédant l'utilisation de l'outil. Un résumé de ses résultats doit être affiché à un endroit où chacun peut le lire. Les candidats et les employés doivent recevoir une notification dix jours ouvrables avant l'utilisation de l'outil à leur égard. Le DCWP a commencé à faire appliquer la loi et ses règles le 5 juillet 2023.

Le chiffre rend un trait difficile à manquer : l'agence se trouve tout au bout de la chaîne. L'audit, l'affichage et la notification sont autant d'actions que l'employeur accomplit de son côté. Le DCWP ne peut intervenir qu'après avoir appris que l'une de ces étapes fait défaut.

Raji compte ce type d'audit des biais parmi les outils pratiques d'application de la loi. Les outils existaient donc sur le papier. L'étape suivante, évidente, consistait à compter combien d'employeurs les avaient réellement utilisés, et un groupe de chercheurs a fait exactement cela.

03Sur 391 employeurs vérifiés, 18 ont publié des audits et 13 ont publié des avis

Le décompte provient d'une équipe de recherche dirigée par Lucas Wright, avec Jacob Metcalf et J. Nathan Matias parmi les coauteurs. Leur article a été accepté à FAccT 2024, la principale conférence universitaire sur l'équité et la responsabilité dans les systèmes informatiques.

L'équipe a formé 155 étudiants comme enquêteurs. Ensemble, les étudiants ont relevé la manière dont 391 employeurs respectaient la Local Law 144. Parmi ces employeurs, 18 avaient publié des rapports d'audit. Seuls 13 avaient publié les avis de transparence informant les candidats qu'un outil automatisé est utilisé.

La même loi confie trois tâches différentes à trois parties différentes, et chacune a laissé derrière elle un chiffre différent. Mis côte à côte, ils se présentent ainsi.

Pour tous les employeurs hors de ces 18, un tiers ne pouvait pas savoir si l'IA était utilisée pour trier les candidatures. Une lecture rapide en conclurait que les autres enfreignaient la loi. L'équipe de recherche a placé dans le titre de son article la raison pour laquelle cette conclusion ne tient pas.

Une limite s'impose ici. L'enquête reflète 2024. Je n'ai pas vérifié si davantage d'employeurs ont publié des audits depuis.

04Les employeurs décident eux-mêmes si la loi s'applique, donc le silence ne prouve rien

Un faible nombre de 18 ne signifie pas un nombre élevé d'infractions, et la raison tient à la conception de la loi.

Selon Wright et ses collègues, la Local Law 144 laisse aux employeurs une latitude considérable pour décider si leur système entre dans le champ d'application de la loi. Un employeur qui estime que son outil n'est pas concerné ne publie aucun audit et ne donne aucun avis. Un employeur dont l'outil est concerné mais qui ne publie rien paraît exactement identique vu de la rue.

Les chercheurs ont appelé cette situation la « null compliance ». Lorsque la recherche ne donne rien, ce résultat vide ne peut pas être interprété comme un signe de non-conformité. Il ne peut pas non plus être interprété comme un signe de conformité. L'observateur se retrouve sans réponse.

Raji touche le même mur sous un autre angle. Les entreprises, a-t-elle dit, sont structurellement limitées dans leur capacité à être franches sur le bon ou le mauvais fonctionnement d'un système. Tel que je comprends le mot « structurellement », la limite tient à la position dans laquelle se trouve une entreprise lorsqu'elle parle de son propre produit, et non à l'honnêteté d'un employé en particulier.

À mon sens, ces deux faits se renforcent mutuellement. La loi confie à l'employeur la décision sur le périmètre, et l'employeur est mal placé pour parler franchement de ses propres outils. Le peu d'informations qui parviennent à l'extérieur est le résultat prévisible de la combinaison des deux.

05Les auditeurs de l'État ont relevé plus de 17 violations possibles dans 32 audits ; la ville n'en avait trouvé qu'une

On ne peut pas distinguer les employeurs qui ne publient rien de ceux qui sont en infraction. Il reste donc les audits publiés. Ont-ils au moins été lus avec soin ?

Le Comptroller de l'État de New York a examiné l'activité d'application du DCWP de juillet 2023 à juin 2025 et a publié l'audit en décembre 2025. Je n'ai pas pu ouvrir le rapport complet depuis mon environnement. Les chiffres ci-dessous sont ceux cités dans une analyse du cabinet d'avocats DLA Piper, publiée en janvier 2026.

Les constats se répartissent en trois endroits. Pour les lecteurs extérieurs à New York, le 311 est la ligne téléphonique générale de la ville pour les questions et les plaintes concernant les services municipaux.

Des trois, la deuxième est celle qui pèse le plus pour moi. Les registres étaient là. Ils avaient été publiés, à l'endroit où la loi disait qu'ils devaient l'être. Mais dès lors que le lecteur néglige ce qu'ils contiennent, le résultat ne diffère pas de l'absence de registres.

Le premier constat compte aussi. Un candidat qui remarque l'absence d'un avis et décroche son téléphone a, d'après ces résultats de test, trois chances sur quatre de ne pas joindre le bon service. L'une des rares portes par lesquelles un tiers pouvait signaler une infraction était pour l'essentiel fermée.

06La responsabilité exige une loi, une trace visible et la capacité de l'examiner

Sur ces mêmes 32 audits, l'agence a relevé une seule violation possible. Mettez côte à côte les faits exposés jusqu'ici, et les raisons pour lesquelles personne n'est tenu responsable se répartissent en trois endroits.

Le premier point change la façon de lire les titres sur les nouvelles lois relatives à l'IA. Quand je vois un article annonçant qu'une autre juridiction en a adopté une, je n'en conclus plus que la responsabilité peut désormais être attribuée. La Local Law 144 a commencé à être appliquée en 2023, et les chiffres produits ensuite ont été de 18 employeurs et un seul problème signalé.

Le deuxième point change la manière dont il faut traiter le silence. Sous le régime de conformité nulle, une entreprise qui ne publie rien et une entreprise qui enfreint la loi paraissent identiques vu de l'extérieur. La limite à la franchise des entreprises que décrit Raji va dans le même sens, vers moins de divulgation plutôt que plus.

Le troisième point change la manière de juger la valeur d'un document. Les 32 audits publiés étaient complets en tant que documents. Leur valeur dépendait de qui les lisait. Lus par les auditeurs de l'État, ils contenaient au moins 17 problèmes potentiels. Lus par l'agence, ils n'en contenaient qu'un.

Les trois ne sont pas indépendants les uns des autres. Une loi énonce l'obligation, l'utilisateur publie un document, et quelqu'un le lit. Si un seul maillon manque, les deux autres ne suffisent pas à déclencher le processus permettant de demander des comptes à quiconque.

07Les Californiens ont réclamé de la responsabilité, mais aucune voie d'application n'a été désignée

Tenir quelqu'un pour responsable suppose une loi, un registre et quelqu'un capable de le lire. Dans un État qui prépare maintenant son prochain train de règles sur l'IA, lequel des trois manque ?

Le 13 octobre 2026, le gouverneur de Californie Gavin Newsom a annoncé les résultats d'Engaged California, une initiative à l'échelle de l'État visant à associer les habitants aux décisions concernant l'IA. La version à l'échelle de l'État a été ouverte à tous les habitants en mai 2026.

Trois thèmes sont revenus le plus souvent et ont recueilli le soutien le plus fort. L'un d'eux était de « tenir les entreprises d'IA responsables des dommages qu'elles causent ».

L'annonce ne précise pas comment cela serait appliqué. Elle ne cite aucun projet de loi et ne fixe aucune échéance. Elle indique seulement que les recommandations éclaireront les futures décisions politiques.

Raji, pour sa part, a cité des outils d'application concrets. L'un est un modèle de divulgation standard, afin qu'une exigence de transparence ait une forme définie. Un autre est une base de données d'incidents qui définit à l'avance ce qui constitue un incident valide et consigne la manière dont les gouvernements et les entreprises ont réagi.

Les modèles de divulgation ont un précédent. Lorsqu'elle travaillait chez Google, Raji a contribué à créer les Model Cards, de courts documents qui accompagnent un modèle entraîné et rendent compte de ses performances lors de l'évaluation. L'article qui les décrit a été publié en 2018.

Reste à savoir si la Californie construira des outils de ce type. Ce que j'ai pu vérifier s'arrête au fait que les habitants ont demandé des comptes.

Les organisations qui utilisent l'IA n'ont pas à attendre l'État. Sous la Local Law 144, l'étape que les tiers ne pouvaient pas voir était la décision propre de l'employeur sur la question de savoir si un outil entrait dans le champ d'application. Consignez par écrit la raison de cette décision et conservez-la : plus tard, chacun pourra distinguer le silence d'un manquement.

Une certaine incertitude demeure, et elle a sa place sur la page. L'enquête auprès de 391 employeurs date de 2024, et je n'ai pas vérifié l'état de la divulgation depuis. Les chiffres de l'audit de l'État ont été confirmés par les citations d'un cabinet d'avocats, et non par le rapport lui-même. Le détail selon lequel 311 appels mal acheminés n'ont jamais atteint l'agence repose lui aussi sur des résumés secondaires.

Une loi qui attribue la responsabilité des préjudices causés par l'IA n'apporte pas grand-chose lorsqu'aucune trace extérieure n'atteste du respect de la loi et que personne n'a la capacité de la lire. Les 18 employeurs et l'unique problème signalé à New York en sont l'illustration concrète.

Les organisations qui utilisent l'IA ne peuvent répondre lorsqu'on les interroge que si elles tiennent elles-mêmes ce registre. Pour les outils d'IA de mon propre travail, je commence par une ligne par outil : la raison pour laquelle j'ai décidé de l'utiliser, consignée avant que quiconque ne le demande.