Californie : les décisions automatisées encadrées dès 2027

Le 1er janvier 2027, toute entreprise soumise à la loi californienne sur la vie privée (CCPA) qui confie une « décision significative » à une technologie de décision automatisée devra l’annoncer, offrir un droit d’opposition et un droit d’accès. Ces obligations viennent des règlements adoptés le 24 juillet 2025 par le régulateur californien (États-Unis (Californie) · CPPA, appelée CalPrivacy depuis novembre 2025), approuvés le 22 septembre 2025 par l’office de contrôle des règlements (États-Unis (Californie) · OAL) et en vigueur depuis le 1er janvier 2026. Le texte compte 127 pages. L’expression « intelligence artificielle » n’y figure pas une seule fois.

Premier enseignement : la Californie ne réglemente pas une technologie, elle réglemente des décisions. Ce qui compte n’est pas l’algorithme, c’est le pouvoir réel laissé à l’humain.

Ce qui est déjà acté

• Trois régimes dans un même texte (États-Unis (Californie) · CPPA) : décisions automatisées (ADMT), évaluations des risques et audits de cybersécurité, en vigueur depuis le 1er janvier 2026, avec des échéances échelonnées jusqu’en 2030.
• Une définition fondée sur l’humain (États-Unis (Californie) · CPPA) : est visée toute technologie qui traite des données personnelles pour remplacer, ou remplacer en substance, la décision humaine. Un humain ne compte que s’il sait interpréter le résultat, l’analyse avec les autres éléments utiles et peut changer la décision.
• Cinq domaines de décisions significatives (États-Unis (Californie) · CPPA) : services financiers et crédit, logement, accès à l’éducation, emploi et rémunération, y compris des indépendants, et services de santé.
• Une évaluation des risques avant tout nouveau traitement à risque (États-Unis (Californie) · CPPA) : depuis le 1er janvier 2026, avant de vendre ou partager des données, de traiter des données sensibles, de décider par ADMT ou d’entraîner un tel outil, ou d’inférer les aptitudes ou le comportement de salariés, de candidats ou d’élèves par observation systématique.
• Des salariés couverts (États-Unis (Californie) · CalPrivacy) : contrairement aux autres États, la CCPA protège salariés, candidats et indépendants. Le 21 juillet 2026, la division des audits créée en février a lancé son premier audit sectoriel, sur les plateformes de transport, de livraison et de services à la demande. Sa responsable le résume : sans les données, impossible de contester la décision d’un algorithme.
• Des sanctions qui montent (États-Unis (Californie) · procureur général) : le 8 mai 2026, General Motors a accepté de payer 12,75 millions de dollars pour avoir vendu des données de conduite et de localisation, la plus forte sanction CCPA à ce jour.

Ce qui arrive

• 1er janvier 2027 — décisions automatisées (États-Unis (Californie) · CPPA) : toute entreprise qui utilise déjà une ADMT pour une décision significative doit être en règle : avis préalable précisant la finalité exacte, droit d’opposition, droit d’accès à la logique de l’outil et au résultat.
• 1er juillet 2027 — revue humaine au travail (États-Unis (Californie) · Sénat de l’État) : la loi SB 947, signée par le gouverneur le 30 septembre 2026, interdira de sanctionner ou de licencier un salarié sur la seule foi d’un système automatisé ; un humain devra corroborer le résultat.
• 31 décembre 2027 — traitements existants : les traitements à risque commencés avant 2026 et poursuivis depuis doivent avoir été évalués.
• 1er avril 2028 — remise à l’agence : pour les évaluations de 2026 et 2027, un membre de la direction transmet une synthèse et atteste son exactitude sous peine de parjure.
• 1er avril 2028, 2029 ou 2030 — premier audit de cybersécurité : il vise les entreprises qui tirent au moins la moitié de leurs revenus de la vente ou du partage de données, ou qui dépassent le seuil de chiffre d’affaires et traitent les données de 250 000 consommateurs ou les données sensibles de 50 000. Le premier rapport est dû en 2028 au-delà de 100 millions de dollars de chiffre d’affaires, en 2029 entre 50 et 100 millions, en 2030 en dessous.

Le vrai enjeu : prouver que l’humain décide

Pour une entreprise européenne, le terrain semble connu. Le RGPD encadre déjà les décisions fondées exclusivement sur un traitement automatisé (UE · RGPD, article 22) et impose des analyses d’impact (article 35). La Californie s’en distingue sur trois points.

Elle fixe d’abord des critères précis pour l’intervention humaine. Un relecteur qui valide sans savoir lire le résultat, ou sans pouvoir le modifier, ne compte pas. Une validation humaine de pure forme fait basculer la décision dans le régime de l’ADMT. Elle exige ensuite un droit d’opposition, sauf exceptions, dont la principale : offrir un recours devant un humain habilité à annuler la décision. Elle demande enfin des comptes nominatifs : synthèse des évaluations remise à l’agence, audits de cybersécurité certifiés par un dirigeant.

Les amendes administratives peuvent atteindre 7 988 dollars par infraction intentionnelle depuis 2025. Le seuil de chiffre d’affaires d’application de la CCPA est fixé à 26,625 millions de dollars depuis la même date. Ces montants sont indexés sur l’inflation en janvier des années impaires : de nouveaux chiffres sont attendus en janvier 2027.

Trois points de vigilance

1. Les outils RH sont en première ligne. Recrutement, notation, attribution du travail, rémunération : un groupe européen qui recrute ou emploie en Californie avec un outil de tri ou de notation est concerné. Une exception à l’opposition existe pour l’embauche, si l’outil sert seulement à évaluer la capacité à occuper le poste et ne discrimine pas illégalement. Encore faut-il pouvoir le démontrer.

2. Une signature personnelle. L’attestation des évaluations et la certification d’audit doivent venir d’un membre de la direction directement responsable du sujet. Ce n’est pas une formalité de service juridique.

3. Un auditeur vraiment indépendant. Il peut être interne, mais il ne doit pas avoir conçu, préparé ou recommandé ce qu’il audite. Les référentiels cités sont notamment ceux de l’AICPA, de l’ISACA ou de l’ISO.

Ce qu’une entreprise européenne avec des clients californiens doit faire

1. Vérifier qu’elle est une « entreprise » au sens de la CCPA : activité en Californie et, notamment, chiffre d’affaires annuel supérieur à 26,625 millions de dollars (seuil réévalué en janvier 2027).
2. Inventorier les décisions significatives prises ou préparées par un outil : crédit, logement, éducation, emploi, santé, y compris chez les prestataires.
3. Requalifier chaque validation humaine au regard des trois conditions : savoir interpréter, analyser, pouvoir modifier. Si l’une manque, préparer l’avis préalable et le droit d’opposition, ou un recours devant un humain habilité.
4. Partir des analyses d’impact RGPD : le règlement permet de réutiliser une évaluation faite pour un autre cadre si elle contient les informations exigées. Il faut combler les écarts.
5. Planifier les évaluations : avant tout nouveau traitement à risque, avant fin 2027 pour l’existant, et désigner dès maintenant le dirigeant qui attestera au plus tard le 1er avril 2028.
6. Situer l’entreprise dans le calendrier des audits selon son chiffre d’affaires, et choisir un auditeur indépendant.
7. Exiger des fournisseurs d’outils la finalité, la logique et les paramètres utiles pour répondre aux demandes d’accès dans les délais.

En Californie, un humain dans la boucle ne compte que s’il peut changer la décision.

La question à poser lundi matin

À votre DRH et à votre délégué à la protection des données : « Quelles décisions sur des Californiens, de l’embauche au crédit, sont prises par un outil qu’aucun humain ne peut réellement contredire ? »