ENTRY TYPE · definition

Texas Responsible AI Governance Act (TRAIGA, HB 149)

By Marius Bughiu Last updated 2026-08-04 Legal OpsRecruiting & TARevOps

Le Texas Responsible Artificial Intelligence Governance Act — HB 149, signé par le gouverneur Greg Abbott le 22 juin 2025 et en vigueur depuis le 1er janvier 2026 — s’applique presque certainement à vos outils d’AI, et ne vous impose presque certainement rien sur le plan opérationnel. Codifié au chapitre 552 du Texas Business & Commerce Code, il vise toute personne qui exerce une activité au Texas, qui produit un bien ou un service utilisé par des résidents du Texas, ou qui développe ou déploie un système d’AI au Texas. C’est un filet juridictionnel large, sans seuil de chiffre d’affaires ni d’effectif. Ce qui se trouve à l’intérieur du filet est étroit : quatre interdictions fondées sur l’intention, des obligations d’information qui pèsent sur les administrations et les professionnels de santé plutôt que sur les employeurs ordinaires, et aucun programme de conformité continu d’aucune sorte. Le travail que TRAIGA crée pour une équipe ops est documentaire — prouver pourquoi vous avez déployé un système — et non procédural.

Ce que TRAIGA n’est PAS

Pas une loi de gestion des risques. Aucune analyse d’impact, aucun audit de biais, aucun programme de gestion des risques AI, aucune action en discrimination algorithmique. Si vous avez bâti un plan de conformité contre la SB 24-205 initiale du Colorado ou contre le régime haut risque de l’EU AI Act, rien de cette architecture n’est exigé ici.
Pas une loi d’information pour les employeurs privés. L’avis préalable « vous parlez à une AI » pèse sur les administrations ; une obligation distincte pèse sur les professionnels de santé agréés, à la date du traitement. Un employeur privé qui présélectionne des candidats du Texas avec un outil d’AI ne leur doit aucun avis au titre de TRAIGA.
Pas invocable par les personnes qu’elle protège. Le procureur général du Texas détient le pouvoir exclusif de sanction, il n’existe aucune action privée, et les règlements locaux sur l’AI sont écartés.

Qui est couvert, et qui est exclu

La couverture s’active par l’un quelconque des trois rattachements ci-dessus, appliqués aux developers (qui offrent, vendent ou fournissent un système d’AI au Texas) comme aux deployers (qui le mettent en œuvre à des fins texanes). Contrairement aux règles californiennes sur les systèmes de décision automatisée, qui démarrent à cinq salariés, TRAIGA ne dépend pas de la taille : une équipe RevOps de 12 personnes qui fait tourner un AI SDR sur des prospects texans est couverte aux mêmes conditions qu’un grand groupe.

Deux exclusions comptent pour l’acheteur : les assureurs régis par le Texas Insurance Code et les établissements financiers assurés au niveau fédéral opérant sous leurs régulateurs bancaires échappent à l’interdiction de discrimination. Les districts hospitaliers et les établissements d’enseignement supérieur sont exemptés de l’obligation d’information des administrations.

Les interdictions

Quatre s’appliquent à toute personne couverte :

Manipulation comportementale — développer ou déployer un système d’AI qui incite ou encourage intentionnellement à l’automutilation physique, à nuire à autrui ou à commettre une infraction.
Atteinte aux droits constitutionnels — un système développé dans le seul but de porter atteinte aux droits constitutionnels d’une personne.
Discrimination illicite — développer ou déployer un système d’AI avec l’intention de discriminer illicitement une catégorie protégée.
Contenus d’abus sexuel sur mineurs et deepfakes explicites de mineurs.

Trois autres ne visent que les administrations : la notation sociale conduisant à un traitement défavorable, l’identification biométrique de personnes à partir de sources publiquement accessibles sans consentement, et l’avis préalable d’usage d’AI.

Le critère d’intention fait tout

Pour quiconque utilise l’AI en recrutement, en outbound ou dans des décisions proches du crédit, une phrase du texte porte tout le poids pratique : un impact disparate ne suffit pas à lui seul à démontrer l’intention de discriminer. Le Texas a fermé, sous son propre droit, exactement la théorie que le Title VII, l’ADA et l’ADEA continuent d’admettre au niveau fédéral, et sur laquelle s’appuient la NYC Local Law 144 et les amendements de l’Illinois sur l’AI en recrutement.

C’est pourquoi une lecture de conformité limitée au Texas est un piège. TRAIGA a réduit votre exposition en droit de l’État et n’a rien changé à votre exposition fédérale. Un modèle de présélection qui rejette les candidats de plus de 50 ans à un taux double de celui des plus jeunes reste un problème ADEA à Dallas ; ce n’est simplement pas un problème TRAIGA.

L’intention, elle, se prouve par des documents. Les artefacts qui transforment un outil neutre en dossier d’intention sont ceux que les équipes ops produisent sans y penser : une allégation marketing du vendor sur le filtrage d’un groupe démographique, un ticket de configuration qui impose un résultat, l’absence totale de trace de tests. TRAIGA récompense le fait de consigner par écrit la finalité légitime avant le déploiement, parce que la trace est la défense.

Safe harbor et sanctions

La section 552.105(e) offre une défense à qui découvre une violation par le feedback des parties prenantes, par red-teaming ou tests adverses, en suivant les lignes directrices d’une agence de l’État, ou par un processus de revue interne conforme pour l’essentiel à un référentiel reconnu tel que le NIST AI Risk Management Framework. Le détournement de votre système par un tiers constitue également un bouclier. C’est la seule partie de TRAIGA qu’il vaut la peine de construire réellement plutôt que de simplement documenter.

Les poursuites passent par le procureur général, qui peut émettre une civil investigative demand sans notifier au préalable une violation. Une CID peut porter sur les descriptions du système, la finalité prévue, les données d’entraînement, les entrées et sorties, les métriques de performance, les limites connues, la surveillance post-déploiement et les garde-fous utilisateur. Après notification de la violation, vous disposez de 60 jours pour régulariser. Sanctions : 10 000 à 12 000 USD par violation régularisable non régularisée, 80 000 à 200 000 USD par violation non régularisable, et 2 000 à 40 000 USD par jour en cas de violation continue.

La date à mettre à l’agenda est le 1er septembre 2026, échéance à laquelle le portail de plaintes en ligne exigé par la loi du procureur général doit être opérationnel. Le parquet a publié en juillet 2026 une page Consumer AI Rights exposant les interdictions et les sanctions ; aucune action formelle ni CID au titre de TRAIGA n’avait été rendue publique au premier semestre 2026. C’est la réception des plaintes, et non une réglementation, qui produira vraisemblablement les premiers dossiers.

Sandbox et Council

Le Texas Department of Information Resources administre un sandbox réglementaire — jusqu’à 36 mois, exemption des exigences d’État en matière de licence et d’autorisation, rapports trimestriels sur la performance, l’atténuation des risques et le feedback des parties prenantes. Les interdictions centrales continuent de lier les participants au sandbox. Un Texas Artificial Intelligence Council de sept membres relève du DIR, avec un rôle consultatif et sans pouvoir réglementaire.

Lecture structurelle : aucune agence n’édictera de règles pour combler les lacunes de TRAIGA. La loi constitue tout le régime, et elle restera aussi mince tant que le législateur ne la reprendra pas.

Points de vigilance

Prendre TRAIGA pour un plafond. Le critère d’intention est une défense de droit étatique, pas fédéral. Garde-fou : continuez à conduire des tests d’impact adverse selon la convention fédérale des quatre cinquièmes quoi qu’exige le Texas, et conservez les résultats.
Lire « pas d’obligation d’information » comme « aucun avis nulle part ». C’est la localisation du candidat, et non le siège de l’entreprise, qui décide de la règle d’information applicable à un poste. Garde-fou : tenez une matrice juridictionnelle couvrant NYC LL 144, l’Illinois, la Californie et l’article 50 de l’UE, et rattachez le modèle d’avis à la juridiction du candidat.
Le piège biométrique. TRAIGA a modifié la loi CUBI du Texas : un contenu publiquement accessible ne vaut pas consentement à la capture biométrique, sauf si la personne l’a elle-même publié. Le face-matching dans une étape de vérification d’identité est une question CUBI avant d’être une question TRAIGA. Garde-fou : recueillez et journalisez un consentement écrit avant toute capture de géométrie faciale dans le funnel, et confirmez au contrat le calendrier de conservation du vendor.
Prendre l’admission au sandbox pour un gage de sécurité. Le sandbox dispense d’exigences de licence, pas des interdictions. Garde-fou : si un vendor invoque sa participation au sandbox lors d’une revue sécurité, demandez quelle exigence de licence a été levée ; la réponse n’a en général aucune pertinence pour vous.
Une finalité non documentée. Une CID arrive avec un délai de réponse, pas avec une fenêtre de recherche. Garde-fou : conservez pour chaque système d’AI ayant un rattachement texan une déclaration écrite d’une page sur l’usage prévu, plus la trace des tests, actualisée à chaque renouvellement.

Que faire maintenant

Inventoriez tout système d’AI ayant un rattachement texan — candidats, prospects ou clients du Texas, ou activité implantée sur place.
Rédigez pour chacun la trace d’intention : finalité, décision influencée, qui contrôle la sortie, quels tests ont été menés.
Alignez votre processus de revue interne sur le NIST AI RMF, puisque cet alignement est la voie nommée vers le safe harbor.
Ajoutez une clause de coopération en cas de CID aux contrats vendors AI. Dans une fenêtre de régularisation de 60 jours, vous aurez besoin de la documentation du vendor sur les données d’entraînement et les limites connues, et aucun MSA standard ne l’y oblige.
Mettez le 1er septembre 2026 à l’agenda et réexaminez alors la posture du procureur général.

Consultez un conseil juridique pour une analyse propre à votre juridiction.