À la suite de la promulgation de la nouvelle loi de New York sur les chatbots, Maetra recommande une mesure de préparation pratique : relier les fonctionnalités restreintes à une décision d’assurance de l’âge et documenter la manière dont la configuration déployée suit cette décision. Il s’agit de l’analyse technique de Maetra. Les choix de conservation nécessitent un examen juridique et de protection des données distinct. Un document de politique ne suffit pas à montrer à quelle expérience un utilisateur pouvait accéder.
La gouverneure Kathy Hochul a annoncé la signature de S.9051B/A.10379C le 28 octobre 2026. Pour les équipes qui exploitent des produits conversationnels à New York, le travail pratique commence par l’identification des systèmes et fonctionnalités qui relèvent du texte, puis par la désignation des responsables des contrôles concernés.
Ce qu’établit le texte principal
L’annonce de la gouverneure décrit des restrictions visant des fonctionnalités de chatbot jugées dangereuses pour les moins de 18 ans et pour les utilisateurs dont le statut d’adulte n’a pas d’abord été confirmé. Les exemples cités incluent le fait de se faire passer pour un humain, d’encourager une dépendance émotionnelle, de promouvoir l’automutilation et d’inciter à garder le secret vis-à-vis d’adultes de confiance. Elle mentionne aussi plusieurs options de vérification de l’âge, dont une option qui ne dépend pas uniquement d’une pièce d’identité officielle.
Le texte S9051B du Sénat fixe le 1er janvier 2027 comme date d’entrée en vigueur. Ses exceptions comprennent des usages étroitement circonscrits de service client et d’assistance technique qui ne peuvent pas répondre en dehors de leur finalité spécifiée, ainsi que des systèmes d’entreprise utilisés en interne ou pour la productivité des employés. Les conseils juridiques doivent évaluer les conditions exactes au regard du service effectivement déployé. Le fait d’appeler un chatbot un assistant de support ne suffit pas à établir qu’il satisfait à une exception.
Cet article met en évidence des questions d’ingénierie et de preuve. L’inventaire des fonctionnalités et les tests ci-dessous sont des recommandations de Maetra, et non des exigences statutaires supplémentaires ni une qualification juridique d’un service quel qu’il soit.
Établissez une cartographie des fonctionnalités testable par les ingénieurs
Commencez par les expériences auxquelles les utilisateurs peuvent réellement accéder. Un même produit peut inclure un mode de conversation générale, une mémoire sauvegardée, un widget de support et une fonction d’aide appuyée sur un modèle. Ces expériences peuvent utiliser le même modèle tout en exposant des comportements différents. Consignez chaque interface, sa finalité prévue, son responsable et la configuration qui la contrôle.
Pour chaque fonctionnalité potentiellement restreinte, identifiez la chaîne qui mène de l’état de l’utilisateur à la sortie du modèle. Cette chaîne peut comprendre un paramètre de compte, un indicateur de fonctionnalité, des instructions de prompt, une consultation de mémoire et un contrôle de sortie. Un examinateur doit pouvoir voir où la restriction est appliquée et quel composant pourrait la contourner après une mise à jour.
Utilisez un état explicite d’âge inconnu dans la revue de conception. Ne laissez pas un champ vide se comporter silencieusement comme une décision positive de statut adulte. La fiche de contrôle doit expliquer comment l’application traite les informations d’assurance de l’âge manquantes, expirées ou contradictoires. L’équipe responsable peut alors tester ce comportement sans collecter davantage d’informations personnelles simplement pour donner l’impression qu’un dossier d’audit est complet.
Conservez des preuves proportionnées à la vie privée
L’article 1804(2) de S9051B exige que les informations recueillies pour déterminer si un utilisateur est mineur soient utilisées uniquement à cette fin et supprimées immédiatement après la tentative, sauf lorsque leur conservation est nécessaire au respect d’une loi ou réglementation applicable de l’État de New York ou fédérale. La conception des preuves doit respecter cette restriction. Les responsables juridiques et de la protection des données doivent examiner tout justificatif ou toute métadonnée envisagés avant leur stockage.
Privilégiez les documents de configuration et de test qui ne contiennent aucune information d’assurance de l’âge concernant une personne. Ces preuves peuvent décrire la version de la méthode déployée, la logique de sélection des fonctionnalités du logiciel et les résultats de comptes de test synthétiques. Elles documentent la configuration et les tests du système. Ne présumez pas qu’une référence à une décision individuelle échappe à la règle de suppression simplement parce qu’elle ne contient pas de pièce d’identité.
Demandez au prestataire où les informations sont détenues pendant une tentative, comment la suppression immédiate est appliquée et comment les exceptions légales nécessaires sont gérées. Distinguez l’examen de la conception du système des dossiers concernant un utilisateur individuel. Un test de l’expérience restreinte ne prouve pas l’âge d’un utilisateur réel et ne garantit pas la sécurité de chaque conversation.
Testez une exception invoquée sur l’ensemble de la conversation
Pour un chatbot hypothétique de service client, testez d’abord une question ordinaire sur une commande, puis une demande visant à basculer vers une conversation personnelle sans rapport. Vérifiez si le système reste dans sa finalité déclarée sur l’ensemble des tours suivants, de la récupération de mémoire et des réponses d’outils. Une consigne d’ouverture étroite constitue une preuve faible si un tour ultérieur peut réorienter l’application vers une expérience différente.
Documentez le comportement attendu avant d’exécuter le test. Conservez la version testée, le résultat et tout point non résolu. Si une évolution produit ajoute une conversation générale ou une nouvelle fonctionnalité de mémoire, renvoyez cette évolution vers le responsable de l’évaluation d’applicabilité. Cela permet de maintenir cette évaluation à mesure que le produit évolue.
Une fiche d’inventaire de l’IA peut relier les interfaces et responsables pertinents. L’évaluation juridique doit ensuite renvoyer à cette description à jour du système plutôt qu’à un nom de produit dépourvu de détails de configuration.
Attribuez à chaque élément de preuve un responsable et un déclencheur de revue
Avant l’entrée en vigueur, choisissez une expérience candidate entrant dans le champ pour une revue conjointe produit, vie privée et conformité. Attribuez la responsabilité de l’évaluation d’applicabilité, de la méthode d’assurance, de la configuration des fonctionnalités et des tests de régression. Consignez les modifications qui imposent de rouvrir la revue.
Maetra Comply prend en charge la cartographie des référentiels, la veille réglementaire et la gestion des preuves. Il peut aider à organiser la fiche de contrôle ; il ne détermine pas qu’un chatbot est juridiquement exempté et ne certifie pas une méthode d’assurance de l’âge. Utilisez les ressources de Maetra sur les référentiels pour structurer le lien entre une exigence applicable, son responsable et les preuves actuelles.
Sources
- Gouverneure de New York : annonce de la signature, 28 octobre 2026. Annonce principale de la promulgation et des mesures de protection.
- Sénat de New York : S9051B. Texte législatif principal pour le champ d’application, les exceptions et la date d’entrée en vigueur.
- PPC Land : protections des chatbots à New York, 28 octobre 2026. Article indépendant corroborant la signature et la date d’entrée en vigueur ; le texte principal reste l’autorité de référence.