SB 942 : la Californie impose le watermarking des IA

Le 2 août 2026, le watermarking de l'IA devient loi des deux côtés de l'Atlantique

Le 2 août 2026 restera dans l'histoire de la régulation de l'intelligence artificielle comme une date charnière. Deux textes majeurs entrent simultanément en application effective : la loi californienne SB 942, connue sous le nom de California AI Transparency Act, et le règlement européen sur l'IA, dit EU AI Act, pour ses dispositions principales. Jamais une convergence réglementaire de cette ampleur sur la transparence des contenus générés par IA n'avait été observée à l'échelle internationale.

SB 942 a été signé par le gouverneur Gavin Newsom le 19 septembre 2024. Sa date d'application originale était fixée au 1er janvier 2026, mais la loi AB 853, promulguée le 13 octobre 2025, l'a décalée au 2 août 2026, délibérément alignée sur l'entrée en vigueur de l'EU AI Act. Ce choix de calendrier reflète une volonté politique de créer un cadre de référence mondial plutôt que des exigences isolées, et facilite la conformité pour les acteurs devant répondre aux deux juridictions simultanément.

Concrètement, SB 942 impose trois catégories d'obligations aux fournisseurs concernés. Première obligation : intégrer dans chaque contenu généré — images, vidéos, sons, textes longs — une signature de provenance lisible par des outils d'inspection conformes aux standards C2PA (Coalition for Content Provenance and Authenticity). Cette signature doit contenir le nom du fournisseur, le nom et la version du système utilisé, un horodatage de création et un identifiant unique de contenu. Deuxième obligation : proposer gratuitement un outil de détection permettant à n'importe quel utilisateur de vérifier si un contenu donné a été généré par IA. Troisième obligation : afficher une mention visible (un « manifest disclosure ») lorsqu'un contenu généré est présenté dans une interface publique.

Le seuil d'application — un million d'utilisateurs mensuels en Californie — cible directement les acteurs dominants de l'IA générative. OpenAI avec ChatGPT et DALL-E, Google avec Gemini, Anthropic avec Claude, Meta avec ses modèles Llama intégrés dans ses plateformes sociales, Adobe avec Firefly et Microsoft avec Copilot figurent tous au-dessus de ce seuil. Pour ces acteurs, la conformité était théoriquement préparée depuis des mois ; plusieurs avaient d'ailleurs annoncé des implémentations C2PA dès 2024-2025 dans le cadre de leurs engagements volontaires auprès de la Coalition for Content Provenance and Authenticity.

L'EU AI Act, de son côté, atteint aujourd'hui sa pleine applicabilité pour la grande majorité de ses exigences, à l'exception des systèmes IA dans certains produits à haut risque dont le délai court jusqu'en 2027. Parmi les huit pratiques désormais interdites figurent la manipulation psychologique à l'insu des utilisateurs, l'exploitation de la biométrie pour inférer des caractéristiques sensibles et le scraping non ciblé d'images faciales sur internet à des fins de reconnaissance. Les systèmes à haut risque dans les domaines du recrutement, du contrôle d'accès aux services essentiels et des forces de l'ordre doivent démontrer des évaluations de risques adéquates, maintenir des journaux d'activité et garantir une supervision humaine effective. Les amendes pour non-conformité peuvent atteindre 7 % du chiffre d'affaires mondial annuel.

La convergence entre SB 942 et l'EU AI Act sur le watermarking n'est pas fortuite. Les deux textes s'appuient sur le même standard technique : C2PA. Développé par la Coalition for Content Provenance and Authenticity, dont font partie Adobe, Microsoft, Google, Sony, la BBC et d'autres acteurs majeurs, C2PA définit un format ouvert de métadonnées cryptographiquement signées intégrées directement dans les fichiers. Ce standard garantit que la provenance peut être vérifiée même si le contenu est redistribué hors de sa plateforme d'origine — une propriété essentielle à l'heure où les contenus IA circulent massivement sur les réseaux sociaux.

Sur le plan pratique, plusieurs questions d'implémentation restent ouvertes. Les APIs ouvertes, qui permettent à des développeurs tiers de générer du contenu via des appels programmatiques, soulèvent la question de la responsabilité : si un développeur utilise l'API d'un fournisseur IA sans intégrer les marquages C2PA dans son propre pipeline de distribution, qui est responsable en cas de non-conformité ? Le texte californien pointe vers le fournisseur d'API comme responsable primaire, mais la chaîne de responsabilité dans des architectures multi-couches reste à préciser par la jurisprudence.

La question des contenus textuels est également complexe. C2PA est particulièrement bien adapté aux images et vidéos, où les métadonnées peuvent être intégrées dans les en-têtes de fichiers (EXIF, XMP). Pour le texte, les implémentations varient : certains acteurs optent pour des filigranes statistiques basés sur des altérations imperceptibles des distributions de tokens, d'autres pour des métadonnées dans les formats documentaires structurés comme DOCX ou PDF. L'interopérabilité entre ces approches reste un défi technique non résolu à ce jour.

Vers un standard mondial de la provenance IA : enjeux concrets pour les entreprises

L'entrée en vigueur simultanée de SB 942 et de l'EU AI Act marque le passage d'une ère de bonnes pratiques volontaires à une ère d'obligations légales contraignantes sur le watermarking des contenus IA. Pour les entreprises, cette transition soulève des questions opérationnelles qui vont bien au-delà de la simple conformité réglementaire.

La première implication concerne les workflows de production de contenu. Toute organisation utilisant des outils d'IA générative pour produire des contenus publics — marketing, journalisme, documentation technique, matériaux pédagogiques — doit s'assurer que sa chaîne de production préserve et propage les métadonnées C2PA à travers toutes les étapes de traitement. Un export d'image depuis un outil IA vers un logiciel de retouche, puis vers un CMS web, peut effacer les métadonnées à plusieurs étapes si les outils ne sont pas configurés pour les conserver. Les équipes de contenu doivent auditer chaque maillon de leur pipeline.

La deuxième implication touche à la gestion des risques juridiques. En Californie, SB 942 prévoit un droit d'action privé : des utilisateurs lésés peuvent poursuivre les fournisseurs en non-conformité. Ce mécanisme, combiné aux amendes administratives pouvant atteindre 7 % du chiffre d'affaires sous l'EU AI Act, crée une double exposition pour les acteurs opérant dans les deux juridictions. Les directions juridiques doivent intégrer la conformité C2PA dans leurs programmes de risk management et dans les contrats avec les fournisseurs IA tiers.

La troisième implication est stratégique. La généralisation du watermarking va progressivement modifier la perception publique des contenus IA : dans quelques années, l'absence de marquage de provenance sur un contenu généré sera perçue comme suspecte, voire comme un signal de manipulation délibérée. Les organisations qui adoptent tôt des pratiques de transparence robustes construisent un capital de confiance précieux face à une opinion publique de plus en plus sensible aux questions de désinformation par IA.

Ce qu'il faut retenir

• SB 942 est opérationnelle depuis le 2 août 2026 : les fournisseurs d'IA avec plus d'un million d'utilisateurs mensuels en Californie doivent watermarker leurs contenus via les standards C2PA.
• L'EU AI Act atteint simultanément sa pleine applicabilité, avec des amendes jusqu'à 7 % du CA mondial pour non-conformité sur les pratiques interdites et les systèmes à haut risque.
• Les entreprises utilisant des APIs IA pour produire des contenus publics doivent auditer leurs workflows dès maintenant pour s'assurer de la propagation des métadonnées C2PA à chaque étape du pipeline.