Great American AI Act : 269 pages qui pourraient changer l'IA open source — analyse pour les developpeurs francais

Le mercredi 4 juin 2026, la regulation de l'intelligence artificielle aux Etats-Unis a franchi une etape majeure. Les representants Jay Obernolte (R-CA), president du AI Task Force republicain, et Lori Trahan (D-MA), co-presidente du Congressional AI Caucus, ont publie un discussion draft de 269 pages intitule le « Great American Artificial Intelligence Act ». C'est la premiere tentative serieuse et bipartisane de creer un cadre federal complet pour la regulation de l'IA, un sujet qui oppose depuis des mois les partisans d'une regulation etatique (comme le Colorado) et ceux qui veulent un cadre national uniforme. Pour les developpeurs open source en France et en Europe, ce texte est loin d'etre anecdotique : il pourrait redefinir les regles du jeu pour la publication, la distribution et l'audit des modeles d'IA ouverts.

Ce que contient le Great American AI Act : les 5 piliers du texte

Le Great American AI Act n'est pas un texte final — c'est un discussion draft, une proposition destinee a recueillir les commentaires de l'industrie, de la societe civile et des agences federales avant d'etre transformee en projet de loi formel. Mais ses 269 pages sont deja suffisamment detaillees pour comprendre la direction que prend la regulation federale americaine. Voici les cinq piliers du texte, analyses sous l'angle des developpeurs open source.

Premier pilier : la preemption des lois des Etats. C'est la disposition la plus controversee et la plus impactante. Le texte prevoit une preemption federale de 3 ans : pendant cette periode, les Etats ne pourront plus adopter de nouvelles lois reglementant le developpement de l'IA. Les Etats conservent le droit de reguler l'utilisation de l'IA (par exemple, interdire l'utilisation de la reconnaissance faciale par la police), mais ils ne pourront pas imposer de contraintes sur la maniere dont les modeles sont construits, entraines ou distribues. Cette distinction est fondamentale pour l'open source : elle signifie que si vous publiez un modele en open source, aucun Etat ne pourra vous imposer des obligations specifiques au titre du developpement pendant les 3 ans de preemption.

D'apres Broadband Breakfast, cette preemption vise directement le Colorado AI Consumer Protections Act qui entre en vigueur le 30 juin 2026 — soit 26 jours apres la publication du discussion draft. Le Colorado est le premier Etat a imposer des obligations contraignantes aux developpeurs d'IA a haut risque, incluant des evaluations d'impact, des obligations de transparence et des mecanismes de recours pour les consommateurs. Si le Great American AI Act est adopte, ces dispositions seraient suspendues en ce qui concerne le developpement des modeles.

Deuxieme pilier : les obligations d'audit pour les "large frontier developers". Le texte definit une categorie specifique : les developpeurs frontiere ayant un chiffre d'affaires annuel superieur a 500 millions de dollars. Ces acteurs devront engager des auditeurs externes certifies pour effectuer des audits de conformite tous les 6 mois. Les audits portent sur les pratiques de securite, la gestion des biais, la transparence des modeles et les risques systemiques. Les rapports d'audit sont transmis au Center for AI Standards and Innovation, la nouvelle agence creee par le texte.

Troisieme pilier : le Center for AI Standards and Innovation. Le texte cree une nouvelle entite au sein du Department of Commerce, dotee de 300 millions de dollars de budget sur 3 ans. Cette agence sera chargee de definir les standards techniques pour l'IA, de certifier les auditeurs, de recevoir et d'analyser les rapports d'audit, et de recommander des mises a jour de la reglementation au Congres. C'est un role similaire a celui du NIST pour la cybersecurite, mais specifiquement dedie a l'intelligence artificielle.

Quatrieme pilier : les penalites civiles. Le texte prevoit des sanctions significatives : jusqu'a 1 million de dollars par violation et par jour. Les penalites sont proportionnelles a la gravite de l'infraction, a la taille de l'entreprise et a la recidive. Il n'y a pas de sanctions penales dans le texte actuel — uniquement des penalites civiles et des injonctions administratives.

Cinquieme pilier : la protection des lanceurs d'alerte. Le texte inclut des dispositions protectant les employes qui signalent des violations internes des obligations de securite IA. C'est un element souvent neglige mais crucial pour la transparence du secteur.

Ce que ca change pour l'IA open source : la distinction developpement vs deploiement

La distinction entre developpement et deploiement est le coeur du texte pour l'ecosysteme open source. Le Great American AI Act prevoit que la regulation federale s'applique differemment selon que vous developpez un modele d'IA ou que vous le deployez dans une application. Les developpeurs de modeles (ceux qui entrainent et publient les poids) sont soumis aux obligations d'audit s'ils depassent le seuil de 500 millions de dollars. Les deployers (ceux qui utilisent un modele dans un produit) sont soumis a des obligations de transparence et de signalement des incidents.

Pour l'open source, cette distinction a des consequences directes. Si vous etes un developpeur individuel ou une petite entreprise qui publie un modele open source, vous tombez sous la categorie "developpeur" mais vous etes en dessous du seuil de 500 millions de dollars. Vous n'avez donc aucune obligation d'audit. Et grace a la preemption, aucun Etat ne peut non plus vous imposer des contraintes specifiques pendant 3 ans. C'est une protection reelle et significative pour les projets open source independants.

Mais le tableau est plus complexe pour les modeles open source heberges par de grandes entreprises. Meta (Llama), Google (Gemma), Mistral et tout acteur depassant les 500 millions de CA annuel seront soumis aux audits semestriels pour tous leurs modeles, y compris ceux publies sous licence open source. Concretement, cela signifie que les versions futures de Llama ou Gemma devront passer par un processus d'audit certifie avant d'etre publiees. Les auditeurs verifieront les pratiques de securite, la gestion des biais et les risques systemiques.

D'apres Nextgov, cette obligation d'audit ne devrait pas empecher la publication de modeles open source par ces acteurs, mais elle ajoutera des couts et des delais. Un audit semestriel par un cabinet certifie coute entre 200 000 et 500 000 dollars pour un modele frontiere. Pour Meta, qui depense deja des dizaines de milliards par an en IA, c'est negligeable. Pour des acteurs plus petits approchant le seuil de 500 millions, c'est un surcout qui pourrait les dissuader de publier en open source.

Rejet quasi-universel des syndicats et associations de consommateurs

Si le texte est globalement bien accueilli par l'industrie tech (Meta, Google, Microsoft, OpenAI ont tous salue l'approche federale), la reaction de la societe civile est sans appel. Public Citizen, l'une des plus grandes organisations de defense des consommateurs aux Etats-Unis, a qualifie le texte de « cadeau a l'industrie qui sacrifie les protections des consommateurs sur l'autel de l'innovation ».

L'AFL-CIO, la plus grande federation de syndicats americains, a denonce la preemption des lois des Etats. Leur argument : les Etats sont historiquement les premiers a proteger les travailleurs contre les abus technologiques. Bloquer leur capacite a legiferer pendant 3 ans revient a laisser les entreprises d'IA deployer des systemes automatises de recrutement, de surveillance et de gestion des performances sans aucun garde-fou etatique.

Les organisations de defense des droits civiques (ACLU, Electronic Frontier Foundation, AI Now Institute) critiquent unanimement l'absence de droit d'action prive dans le texte. Les citoyens ne peuvent pas porter plainte directement contre une entreprise d'IA pour violation de la loi — seul le Center for AI Standards and Innovation peut engager des poursuites civiles. C'est une limitation significative qui affaiblit considerablement la portee du texte pour les individus affectes par des decisions algorithmiques.

Ce rejet est important pour les developpeurs open source parce qu'il signale un risque politique : si le texte est percu comme trop favorable a l'industrie, il pourrait etre significativement amende lors de son passage en commission, avec des obligations plus contraignantes pour tous les developpeurs d'IA, y compris les projets open source. La bataille legislative ne fait que commencer.

Comparaison avec l'AI Act europeen : deux philosophies radicalement differentes

La publication du Great American AI Act invite inevitablement a la comparaison avec l'AI Act europeen, entre en vigueur progressivement depuis aout 2024. Les deux textes partent du meme constat (l'IA doit etre regulee) mais arrivent a des conclusions radicalement differentes.

L'AI Act europeen adopte une approche basee sur le risque : il classifie les systemes d'IA en quatre niveaux (risque inacceptable, haut risque, risque limite, risque minimal) et applique des obligations proportionnelles. Les modeles a usage general (general-purpose AI), y compris les modeles open source, sont soumis a des obligations de transparence (documentation technique, description des donnees d'entrainement). Les modeles a risque systemique sont soumis a des obligations supplementaires (evaluations de modeles, tests adversariaux, signalement des incidents).

Le Great American AI Act adopte une approche basee sur les acteurs : il distingue les developpeurs des deployers, et parmi les developpeurs, ceux qui depassent le seuil de revenue de 500 millions de dollars. L'approche europeenne regule le produit ; l'approche americaine regule l'entreprise. Pour un modele open source, la consequence est radicale : en Europe, le modele est soumis aux obligations de transparence quel que soit son createur ; aux Etats-Unis, seuls les createurs au-dessus du seuil sont concernes.

Pour les developpeurs open source francais qui publient des modeles utilises dans le monde entier, cette divergence cree une situation complexe. Un modele publie depuis la France doit se conformer a l'AI Act europeen (obligations de transparence). Mais s'il est deploye aux Etats-Unis par une entreprise sous le seuil de 500 millions, le deployer n'a que des obligations minimales de transparence envers les utilisateurs finaux. C'est une asymetrie reglementaire qui pourrait avantager les entreprises americaines utilisant des modeles europeens — elles beneficient de la rigueur de la documentation europeenne sans en supporter le cout.

Ce que les developpeurs francais doivent faire maintenant

Le Great American AI Act est un discussion draft — il ne deviendra peut-etre jamais loi dans sa forme actuelle. Mais il signale une direction claire de la regulation americaine, et cette direction a des consequences concretes pour les developpeurs open source francais qui publient ou deploient des modeles utilises aux Etats-Unis. Voici les 5 actions a entreprendre des maintenant.

1. Documentez vos modeles des la phase de developpement. Que ce soit pour l'AI Act europeen ou pour le Great American AI Act, la tendance reglementaire mondiale va vers plus de transparence. Les model cards, les datasheets, les evaluations de biais et les tests de securite ne sont plus optionnels — ils deviennent la norme. Investissez dans la documentation technique de vos modeles maintenant, avant que ce ne soit une obligation legale. Les projets open source avec une documentation complete seront les premiers a se conformer sans effort.

2. Comprenez la distinction developpement/deploiement. Si vous publiez un modele open source, vous etes un "developpeur" au sens du texte. Si vous integrez un modele open source dans un produit SaaS, vous etes un "deployer". Les obligations sont differentes. Beaucoup de developpeurs francais font les deux — ils publient des modeles et les deploient dans des applications. Clarifiez votre positionnement juridique des maintenant avec un avocat specialise en droit du numerique.

3. Suivez l'evolution du texte en commission. Le discussion draft va etre examine par le House Energy and Commerce Committee et potentiellement par d'autres commissions. Les auditions publiques vont commencer dans les prochaines semaines. C'est la que le texte sera amende — et c'est la que les protections pour l'open source pourraient etre renforcees ou affaiblies. Abonnez-vous aux newsletters de Roll Call et Nextgov pour rester informe.

4. Preparez-vous a la conformite DORA et AI Act en parallele. Les developpeurs francais doivent se conformer simultanement a l'AI Act europeen, au reglement DORA pour les services financiers, et potentiellement au Great American AI Act s'ils ont des utilisateurs americains. C'est une charge de conformite considerable qui necessite des outils et des processus automatises. Les frameworks de conformite open source comme NIST AI RMF et ISO 42001 sont vos meilleurs allies.

5. Contribuez au debat. La Linux Foundation, l'OSI (Open Source Initiative), la FSFE (Free Software Foundation Europe) et le CNLL (Conseil National du Logiciel Libre) participent activement aux consultations reglementaires. Si vous etes un developpeur open source, votre voix compte. Les regulateurs ecoutent les retours des praticiens — c'est le moment de faire entendre la perspective des developpeurs open source francais sur la regulation americaine, parce qu'elle aura un impact direct sur notre ecosysteme.