Décret californien N-5-26 : quand la commande publique devient un levier de gouvernance IA

Le 30 mars 2026, le gouverneur Gavin Newsom a signé l’Executive Order N-5-26, qui impose aux entreprises souhaitant contracter avec les agences de l’État de Californie de démontrer des garde-fous documentés sur leur IA — biais algorithmiques, contenus illicites, droits civils. L’ordre n’est pas encore une réglementation directe : il donne 120 jours aux agences étatiques pour formuler les critères de certification, ce qui place l’échéance de publication autour du 28 juillet 2026. Mais son importance dépasse largement le calendrier administratif californien. L’État affiche explicitement son intention d’utiliser la puissance d’achat publique — et non la loi — comme outil de gouvernance du marché IA, une approche qui s’avère plus rapide à déployer et plus difficile à contester juridiquement qu’une réglementation directe.

Pour les fournisseurs d’IA opérant sur des marchés publics, et pour les organisations qui les sélectionnent, le signal est immédiat : l’ère de la certification fournisseur sur les comportements et garde-fous IA a commencé. Ce qui se prépare en Californie — la quatrième économie mondiale, siège de 33 des 50 sociétés d’IA privées les mieux valorisées au monde — ne restera pas circonscrit à Sacramento.

Ce que l’ordre impose concrètement

L’Executive Order N-5-26 s’adresse à toutes les entreprises — qu’elles développent ou déploient des outils d’IA — souhaitant contracter avec les agences de l’État de Californie. Il ne crée pas de certification immédiatement exécutoire, mais déclenche un processus formel en chargeant deux agences, le Department of General Services (DGS) et le California Department of Technology (CDT), de soumettre dans les 120 jours des recommandations pour de nouvelles certifications contractuelles. (Source : gov.ca.gov — Executive Order N-5-26)

Trois domaines de garde-fous font l’objet d’attestations explicites. Le premier couvre la prévention de la distribution de contenus illicites, dont les contenus pédopornographiques et les images intimes non consenties. Le deuxième concerne la gouvernance visant à réduire les biais algorithmiques préjudiciables et à prévenir la discrimination dans les systèmes de décision automatisée. Le troisième porte sur la protection des droits civils et des libertés, incluant la liberté d’expression, les droits de vote, l’autonomie personnelle, et les protections contre la surveillance illégale.

Au-delà des garde-fous techniques, l’ordre introduit deux mécanismes qui modifient structurellement la relation entre fournisseurs d’IA, État californien et gouvernement fédéral. D’abord, la Government Operations Agency est chargée de formuler des recommandations pour exclure des contrats les entités « judiciairement déterminées avoir violé la vie privée ou les libertés civiles » — un critère qui élargit le périmètre de la due diligence fournisseur au-delà des seules performances techniques et de la stabilité financière. Ensuite, et c’est un élément notable, le Chief Information Security Officer du CDT est explicitement habilité à examiner les désignations fédérales de « risque pour la chaîne d’approvisionnement » et, s’il les juge non fondées, à autoriser les agences californiennes à continuer de contracter avec l’entreprise concernée. Ce mécanisme a été directement déclenché par la désignation d’Anthropic comme risque par le Département américain de la défense — une décision depuis contestée par un tribunal fédéral — à la suite du refus d’Anthropic d’autoriser l’usage militaire de ses modèles pour la surveillance de masse et les armes entièrement autonomes.

L’ordre prévoit également que le CDT émette, dans le même délai de 120 jours, des recommandations et bonnes pratiques pour le watermarking des images et vidéos générées ou significativement manipulées par l’IA, conformément au droit californien existant — une première au niveau national selon le bureau du gouverneur.

L’effet California : pourquoi ce décret dépasse le marché public californien

La portée potentielle d’un décret californien sur les achats publics dépasse largement les frontières de l’État. L’histoire réglementaire américaine a montré à plusieurs reprises que les normes californiennes — sur les émissions automobiles, sur la protection de la vie privée, sur les substances dangereuses — finissent par s’imposer à l’ensemble du marché, parce que le coût de maintenir deux conformités distinctes incite les fournisseurs à s’aligner sur la norme la plus exigeante. Le bureau du gouverneur reconnaît explicitement cette mécanique : l’ordre affirme que « la commande publique représente l’un des outils les plus puissants dont disposent les gouvernements pour façonner le comportement du marché ».

La Californie abrite 33 des 50 sociétés d’IA privées les mieux valorisées au monde et représente 25 % des brevets IA américains. Pour un fournisseur d’IA voulant opérer sur les marchés publics américains, obtenir la certification californienne sera vraisemblablement la voie la plus directe pour accéder à l’ensemble du marché institutionnel américain — et potentiellement pour crédibiliser son positionnement à l’international, notamment face à l’AI Act européen qui poursuit une logique comparable de contractualisation des exigences de gouvernance.

Ce parallèle avec l’Europe mérite attention. La Commission européenne a mis à jour en mars 2025 ses Model Contractual Clauses for AI pour les aligner sur l’AI Act, bien que ces clauses restent pour l’instant indicatives pour les acheteurs publics des États membres. La Californie opte pour une approche contractuelle similaire, mais par voie d’exécutif et avec une force contraignante plus directe pour l’accès au marché. Les deux dynamiques convergent : la certification éthique des fournisseurs IA est en train de devenir un prérequis de marché, quel que soit le mécanisme juridique qui la porte.

Le contexte fédéral américain ajoute une couche de complexité. Le gouvernement Trump a révoqué en janvier 2025 l’executive order Biden sur l’IA sûre, supprimé les exigences de red-teaming pour les modèles à haut risque et les obligations de reporting de sécurité pour les développeurs frontier. En décembre 2025, un texte a chargé le Département de justice de contester les réglementations étatiques jugées incompatibles avec la politique fédérale — mais ce même texte a explicitement exclu la commande publique étatique de ce mécanisme de préemption. La Californie s’engouffre dans cet espace juridique disponible. La coexistence d’un cadre fédéral dérégulatoire et de standards californiens plus exigeants obligera les fournisseurs à maintenir deux référentiels de conformité distincts pendant une période dont la durée reste incertaine.

Ce que cela change pour les entreprises

La première conséquence concerne les fournisseurs d’IA qui opèrent ou souhaitent opérer sur des marchés publics américains. L’ordre n’est pas encore exécutoire dans le détail — les critères de certification seront publiés autour du 28 juillet 2026. Mais la période des 120 jours n’est pas une période de grâce : les organisations qui commencent leur mise en conformité maintenant auront une longueur d’avance sur celles qui attendront la publication des critères définitifs. Les trois catégories de garde-fous (contenus illicites, biais, droits civils) sont suffisamment précises pour que les équipes de gouvernance IA puissent inventorier dès à présent la documentation existante, identifier les lacunes et engager les ajustements nécessaires.

La deuxième conséquence concerne les organisations acheteuses — DSI, directions des achats, équipes de conformité — qui sélectionnent des fournisseurs IA. L’order californien fournit un référentiel concret pour structurer la due diligence fournisseur, indépendamment de l’obligation contractuelle formelle. Les trois axes (contenu, biais, droits civils) peuvent d’ores et déjà alimenter les grilles de qualification fournisseur, les questionnaires RFP et les clauses contractuelles. Un analyste de Computerworld résume la mécanique : « Le gouvernement californien ajoute un troisième vecteur pour les CIO et CISO dans les achats de gouvernance éthique, au-delà de la disponibilité et du prix. »

La troisième conséquence touche les équipes juridiques et de gestion des risques fournisseurs. La clause d’exclusion des entités « judiciairement déterminées avoir violé la vie privée ou les libertés civiles » élargit le spectre de la qualification fournisseur au-delà des seuls incidents de sécurité informatique. Elle introduit une dimension de risque juridique et réputationnel qui n’était pas conventionnellement intégrée dans les processus de VendorOps IA. Les organisations qui gèrent un portefeuille de fournisseurs IA diversifiés devront probablement étendre leur veille sur ce périmètre.

Enfin, le mécanisme de watermarking mérite une attention spécifique pour les équipes qui utilisent de l’IA générative dans des contextes de communication institutionnelle, de production de rapports publics ou de contenus destinés à des partenaires gouvernementaux. Même si les bonnes pratiques de watermarking ne s’appliquent directement qu’aux agences californiennes, les organisations qui travaillent avec des entités publiques californiennes — ou qui anticipent d’y travailler — ont intérêt à intégrer ces exigences dans leurs processus de production dès maintenant, plutôt qu’en urgence après la publication des standards en juillet.

Ce que cela met à jour dans la Méthode Virtuose

L’Executive Order N-5-26 enrichit concrètement deux axes du chapitre 4 (Gouvernance, conformité et AI Act) et du cadre VendorOps du chapitre 6. D’une part, il illustre l’émergence d’un nouveau levier de gouvernance — la certification par la commande publique — qui complète la régulation directe par la loi et la certification volontaire. Pour les organisations qui construisent leur feuille de route de conformité IA, ce levier s’ajoute à l’AI Act européen et aux frameworks sectoriels existants ; il appelle une veille réglementaire multi-juridictionnelle explicite. D’autre part, les trois catégories d’attestation (contenu, biais, droits civils) offrent un cadre opérationnel pour structurer les questionnaires de qualification fournisseur dans les processus de VendorOps — une brique concrète qui peut être intégrée dans les checklists de sélection et dans les clauses contractuelles, indépendamment de toute obligation formelle.

La dynamique de fond que ce décret révèle est plus durable que le texte lui-même : la certification éthique des fournisseurs IA est en train de devenir un prérequis de marché, non par voie réglementaire uniforme, mais par la convergence de multiples leviers — commande publique, contrats commerciaux, exigences des investisseurs et standards sectoriels. Les organisations qui anticipent cette convergence en construisant maintenant leur documentation de gouvernance éviteront les arbitrages sous contrainte qui attendent celles qui n’auront pas préparé leurs attestations avant que leurs clients ou partenaires publics ne les exigent.