Le Colorado a adopté la première loi complète sur l'IA en matière d'emploi du pays en 2024. Elle devait entrer en vigueur le 30 juin 2026. Puis, trois semaines avant sa mise en application prévue, le législateur l'a abrogée et l'a remplacée par quelque chose de presque totalement différent.
Si vous dirigez une petite entreprise qui utilise un logiciel quelconque pour trier les CV, classer les candidats, planifier les entretiens ou signaler les candidats à suivre, ce revirement vous concerne — même si vous n'avez jamais entendu parler de la loi originale et même si votre entreprise n'est pas basée dans le Colorado. Voici ce qui a réellement changé, qui est concerné et ce que vous devez mettre en place avant l'arrivée des nouvelles règles le 1er janvier 2027.
Pourquoi le Colorado a déchiré sa propre loi sur l'IA
La loi originale sur l'IA du Colorado (SB 24-205) demandait aux employeurs de prouver que leurs outils d'IA de recrutement étaient équitables avant de les utiliser : programmes de gestion des risques, évaluations d'impact avant déploiement, audits de biais continus et documentation prouvant que le système dans son ensemble ne produisait pas de résultats discriminatoires. Elle était calquée sur l'approche de l'UE concernant les systèmes d'IA « à haut risque » — réglementer d'abord la technologie, les résultats ensuite.
Les groupes d'entreprises, les entreprises technologiques et même certains défenseurs des consommateurs ont vivement réagi. La plainte n'était pas que les outils d'IA de recrutement ne devraient pas être réglementés — mais que prouver qu'un système entier est impartial avant d'être autorisé à l'utiliser est un exercice de conformité coûteux et ambigu que seuls les cabinets d'avocats et les fournisseurs d'audit savent exécuter. Une agence de recrutement de cinq personnes utilisant un outil de suivi des candidats standard n'avait aucun moyen réaliste de « prouver » l'équité du système comme le décrivait la loi.
Ainsi, en mai 2026, le gouverneur Jared Polis a signé le SB 26-189, qui abroge entièrement la loi originale et la remplace par un cadre plus restreint. La nouvelle approche ne vous demande pas d'auditer l'algorithme avant de l'utiliser. Elle vous demande d'être transparent et d'offrir un recours aux gens après qu'une décision les a affectés. C'est un véritable changement dans ce à quoi ressemble la conformité au quotidien — et il vaut la peine de comprendre à la fois ce qui est devenu plus facile et ce qui ne l'a pas été.
Ce que couvre réellement la « technologie décisionnelle automatisée »
La nouvelle loi abandonne le terme « système d'IA à haut risque » au profit de la réglementation de la technologie décisionnelle automatisée (ADMT) utilisée pour prendre des décisions conséquentes. Pour les employeurs, une décision conséquente signifie tout ce qui affecte de manière significative l'accès d'une personne à l'emploi : embauche, promotion, rémunération, discipline ou licenciement.
Cela englobe bien plus qu'une simple « plateforme d'IA de recrutement » dédiée. Si vous utilisez l'un des éléments suivants pour influencer de manière significative qui est embauché, promu ou licencié, vous êtes concerné :
- Outils de tri de CV ou de classement par mots-clés
- Logiciels de planification d'entretiens qui notent ou filtrent également les candidats
- Entretiens de présélection initiaux via chatbot
- Outils de vérification des antécédents ou des références avec notation automatisée
- Logiciels de gestion de la performance qui signalent les employés pour examen ou licenciement
Le mot clé est de manière significative. Un correcteur orthographique ou un calendrier de planification sans fonction de notation ou de filtrage n'est pas une ADMT. Un outil qui classe 200 CV pour obtenir une shortlist de 10 en est une.
L'exemption pour les petites entreprises — et ses limites étroites
Les employeurs de 40 salariés ou moins ne sont généralement pas considérés comme un « déployeur » en vertu de la loi, ce qui exempte la plupart des travailleurs indépendants, des petites boutiques et des startups en phase de démarrage des obligations principales.
Mais l'exception comporte des limites qui prennent les gens au dépourvu :
- Elle concerne le nombre d'employés, pas le chiffre d'affaires ou la présence dans le Colorado. Une entreprise de 15 personnes basée à Miami avec un seul employé à distance ou même un seul candidat dans le Colorado peut toujours tomber sous le coup de la loi pour cette interaction — c'est l'effectif qui détermine le statut de déployeur, pas le lieu du siège social.
- L'utilisation d'un outil fournisseur ne transfère pas l'obligation. Si une plateforme tierce a construit l'algorithme de sélection, votre entreprise — en tant que celle qui le déploie auprès de véritables candidats — reste le « déployeur » responsable de la conformité, pas le fournisseur. Le travail du fournisseur est de vous donner suffisamment d'informations pour utiliser l'outil de manière appropriée ; votre travail est de répondre aux exigences de notification et d'examen.
- L'exemption concerne la taille, pas l'intention. Il n'y a pas de défense du type « nous ne savions pas que cela comptait comme ADMT ». Si l'outil influence de manière significative un résultat d'embauche ou de rémunération, l'exemption dépend de votre effectif, et non de la sophistication de votre programme de conformité.
Si vous êtes proche de la barre des 40 employés, ou si vous êtes une petite entreprise sur le point d'augmenter ses effectifs en utilisant une plateforme assistée par l'IA, il est utile de mettre en place les habitudes de conformité ci-dessous maintenant plutôt que de vous précipiter une fois le seuil franchi en pleine saison de recrutement.
Ce que les employeurs concernés doivent faire, en pratique
Pour les entreprises qui ne bénéficient pas de l'exemption, la loi fixe trois obligations concrètes et, contrairement à l'ancienne loi, aucune d'elles ne vous oblige à embaucher un data scientist :
1. Un préavis avant utilisation. Vous devez donner aux candidats et aux employés un avis clair et visible indiquant que l'ADMT fait partie du processus — avant qu'elle ne soit utilisée, pas après. En pratique, cela peut être aussi simple qu'une ligne dans la candidature en ligne (« Cette candidature utilise des outils automatisés pour aider à sélectionner les candidats ») ou un lien affiché près du point d'interaction. Cela n'exige pas une divulgation juridique autonome enfouie dans une politique de confidentialité.
2. Un véritable processus de décision défavorable. Si l'ADMT contribue à une décision défavorable pour quelqu'un — il est écarté, ignoré ou licencié — vous avez 30 jours pour lui fournir une explication en langage clair de la décision et du rôle joué par l'outil. Il peut alors demander la correction de données factuellement inexactes sur lesquelles l'outil s'est appuyé, et demander un « examen humain significatif » de la décision, dans la mesure où cela est commercialement raisonnable pour une entreprise de votre taille. C'est le cœur de la nouvelle approche « décision par décision » de la loi : au lieu de prouver que le système est équitable dans l'abstrait, vous devez être en mesure d'expliquer et de réexaminer des résultats spécifiques lorsque quelqu'un conteste.
3. Conservation des archives. Conservez les enregistrements de l'ADMT que vous avez utilisée — identifiants de version, toute modification substantielle apportée à la manière dont elle sélectionne ou note, et la documentation liée à chaque décision conséquente — pendant au moins trois ans.
Comparez cela à l'exigence de l'ancienne loi d'un programme de gestion des risques avant déploiement et d'audits de biais réguliers, et c'est évidemment plus léger. Mais « plus léger » ne signifie pas « rien » — les éléments de notification et de décision défavorable sont de nouvelles habitudes opérationnelles, pas un document politique que vous rédigez une fois et rangez.
Application : pas de procès, mais des pénalités réelles
Il n'y a pas de droit d'action privé en vertu de la nouvelle loi — un candidat individuel ne peut pas vous poursuivre directement pour une violation de l'ADMT. L'application de la loi relève exclusivement du Procureur général du Colorado. Les violations peuvent entraîner des pénalités allant jusqu'à 20 000 $ chacune, bien que le bureau du Procureur général doive généralement offrir une période de remédiation de 60 jours pour corriger le problème avant que les pénalités ne s'appliquent, lorsqu'une remédiation est jugée possible.
Cette combinaison — application uniquement par le Procureur général, une période de remédiation, pas de procès — est une des principales raisons pour lesquelles les groupes d'entreprises ont soutenu la réécriture. Elle convertit le risque de conformité de « l'avocat de tout candidat rejeté pourrait nous poursuivre » en « nous avons un processus défini, et si nous faisons une erreur, nous avons une chance de la corriger avant d'être amendés ». Pour un petit employeur sans conseiller juridique interne, c'est un profil de risque nettement différent.
Que faire avant le 1er janvier 2027
La date d'entrée en vigueur donne aux employeurs concernés environ cinq mois de préparation à partir du moment où cet article est publié. Une séquence raisonnable :
- Faites l'inventaire de vos logiciels de recrutement et RH. Listez chaque outil qui touche aux candidatures, à la présélection, à la planification, aux évaluations de performance ou aux décisions de rémunération. Demandez directement à chaque fournisseur si son produit effectue une notation, un classement ou un filtrage automatisé.
- Confirmez votre statut d'effectif. Si vous avez moins de 40 employés aujourd'hui mais que vous êtes en croissance, modélisez quand vous franchirez la ligne et planifiez le travail de conformité en conséquence — pas la semaine où vous embaucherez l'employé n°41.
- Rédigez votre texte d'avis. Une déclaration courte et en langage clair indiquant que l'ADMT fait partie de votre processus, placée là où les candidats et les employés la verront réellement.
- Mettez en place le flux de travail pour les décisions défavorables. Décidez qui examine les demandes de correction, qui mène « l'examen humain significatif », et comment vous produirez une explication en langage clair dans un délai de 30 jours. C'est une question de processus, pas d'achat de technologie.
- Mettez en place un système de conservation. Même un simple dossier partagé qui enregistre quelle version de l'outil a été utilisée pour quel cycle de recrutement, mis à jour chaque fois qu'un fournisseur pousse une modification substantielle, satisfait à l'exigence de conservation de trois ans.
Garder la piste documentaire requise par cette loi
Quelle que soit la solution que votre entreprise construira finalement pour la conformité ADMT, tout se résume à être capable de montrer — clairement, et sur demande — quel outil a été utilisé, ce qui a changé et quand, et quel en a été le résultat. C'est la même discipline sur laquelle repose une bonne tenue de registres financiers : une piste claire, datée et vérifiable plutôt que quelque chose reconstruit après coup à partir de la mémoire ou de feuilles de calcul dispersées. Beancount.io applique cette même approche en texte brut et versionné à vos livres comptables — chaque entrée est transparente, horodatée et traçable, sans verrouillage propriétaire ni boîte noire. Commencez gratuitement et voyez à quel point les conversations de conformité deviennent plus faciles lorsque vos archives sont déjà en ordre.