California SB 253 et empreinte LLM : ce que doit savoir une entreprise européenne avant le 10 août 2026

Pendant que l'Europe s'agite autour de l'AI Act et du CSRD post-Omnibus,la Californie a calmement adopté le 24 février 2026 les règles d'application de SB 253 et fixé le premier dépôt obligatoire au 10 août 2026. Le seuil est large (1 Md$ de chiffre d'affaires, « do business in California »), le périmètre Scope 3 — et donc l'empreinte LLM — entre en jeu pour le reporting 2027. Si vous êtes une boîte européenne avec un bureau ou des clients en Californie, vous êtes potentiellement concerné. Voici la lecture LLM-friendly de SB 253 + SB 261 + SB 219.

Le calendrier réel après l'adoption CARB de février 2026

• 10 août 2026— Première date de dépôt SB 253 pour Scope 1 et Scope 2 sur données FY 2025. CARB a explicitement renoncé à l'assurance tierce pour ce premier tour et accorde une tolérance « good faith effort ».
• 2027— Dépôt Scope 3 sur données FY 2026 (la catégorie qui inclut vos émissions LLM en tant que purchased goods & services).
• 2027-2029 — Montée en exigence à limited assurance ; 2030 bascule à reasonable assurance.
• SB 261 (climate-related financial risk) : applique à 500 M$+ de revenus ; en sursis du fait du recours Ninth Circuit, mais conseil de continuer à préparer.

« Doing business in California » : la trappe extraterritoriale

La définition est large, alignée sur la fiscalité californienne. Sont concernés : (i) toute entité incorporée en Californie, (ii) toute entité qualifiée pour faire affaire en Californie, (iii) toute entité dont les ventes en Californie excèdent 690 144 $ ou 25 % des ventes totales, (iv) toute entité dont la propriété immobilière en Californie excède 69 015 $. Une PME française SaaS B2B qui facture 1,5 M$ à des clients californiens dépasse le critère (iii).

Cas réel : votre groupe a 1,2 Md$ de revenus consolidés, sa filiale US fait 200 M$ dont 90 M$ en Californie. Vous êtes au-dessus du seuil 1 Md$ etvous faites des affaires en Californie au sens du Revenue and Taxation Code. SB 253 s'applique. Vous devrez publier vos Scope 1+2 le 10 août 2026 et préparer le Scope 3 pour 2027.

Catégorisation Scope 3 de l'usage LLM sous GHG Protocol

SB 253 renvoie au Greenhouse Gas Protocol Corporate Value Chain (Scope 3) Standard. Pour l'usage LLM, deux catégories candidates :

• Catégorie 1 — Purchased goods and services: appels API OpenAI/Anthropic/Mistral/Google payés par votre groupe. C'est le mapping dominant pour l'usage interne (assistant employés, copilotes développeurs, Claude Code, Cursor).
• Catégorie 11 — Use of sold products: pour un éditeur SaaS qui revend de l'IA à des clients (chatbot facturé à l'utilisateur final), les émissions sont en aval. Voir notre article dédié au choix Catégorie 1 vs 11.

SB 253 vs CSRD vs AI Act : comment ne pas faire trois inventaires

Trois régulateurs, trois calendriers, mais la donnée brute est la même : tokens consommés × CO₂e par token (modèle, grid, infrastructure). La question opérationnelle est : comment produire un chiffre unique exportable dans trois rapports différents ?

1. Mesurer une seule fois, finement : un tracking per-call avec modèle, tokens prompt/completion, ingestion_source, horodatage, tenant, business unit. Notre API /api/v1/track fait ça.
2. Documenter une méthodologie uniqueavec PUE, grid factor, coefficients par modèle. La méthodologie est ensuite citée à l'identique dans les trois rapports — voir /methodology publique pour un exemple.
3. Produire des exports adaptés :
   • format CARB pour SB 253 (Climate-Related Disclosures Reporting Template, CDRT) ;
   • format XBRL pour CSRD (annexe ESRS E1-6 avec primary data % et secondary data %) ;
   • extrait technique pour annexer aux DPIA et au dossier AI Act sur les systèmes intégrant le LLM.

Le piège « assurance limited » de 2027

En 2026, CARB tolère « good faith effort » sans assurance tierce. Dès 2027, limited assurancedevient obligatoire pour les rapports Scope 1+2. L'auditeur californien suivra une logique proche de l'EFRAG : il veut un audit trail reproductible. Pour les émissions LLM, ça veut dire :

• un journal des appels API avec horodatage, modèle, tenant et token counts conservés avec une politique d'intégrité claire ;
• une formule {coefficient × tokens} versionnée et recalculable hors-ligne ;
• la possibilité de rejouer toute l'agrégation à partir du log brut, sans appel à un service tiers.

Anticipez ce besoin dès aujourd'hui : reconstruire un journal a posteriori est extrêmement coûteux et souvent impossible si les providers ne stockent pas les détails de chaque appel côté facturation.

Cas particulier — sociétés d'assurance et déclaration insurance commissioner

CARB a en février 2026 publié une exemption d'origine SB 261 que la régulation a étendue à SB 253 pour les compagnies d'assurance qui produisent déjà un reporting climat sous TCFD au Department of Insurance californien. Une coordination CARB × CDI est en cours pour évaluer l'extension. Si vous êtes dans ce cas, votre exposition LLM peut être traitée dans le canal TCFD existant. Validez auprès de votre conseil.

Plan d'action 2026 → 2027 pour votre périmètre LLM

• Juin 2026 — Confirmer applicabilité (revenu global, présence Californie). Si oui : ouvrir un dossier SB 253 dans votre suivi compliance.
• Juillet 2026 — Lancer le tracking LLM sur tous les départements (engineering, marketing, RH, support). Si vous avez déjà CSRD en place, la donnée est probablement déjà collectée — il faut juste reformatter.
• 10 août 2026 — Premier dépôt SB 253 (Scope 1+2). Pas de Scope 3 cette année, mais la méthodologie LLM doit être prête en backstop.
• T4 2026 — Audit interne du tracking LLM : couverture, réconciliation avec la facturation provider, calibration coefficients. Notre checklist auditeur ESRS s'applique à 90 % à CARB.
• Mars 2027— Préparer le draft Scope 3 incluant Catégorie 1 « purchased AI services » et Catégorie 11 si vous revendez de l'IA.
• 10 août 2027 — Dépôt SB 253 Scope 3 sur données FY 2026. Limited assurance désormais requise.

Notre lecture : la convergence US/EU rend la collecte « cheap »

Bonne nouvelle : entre SB 253, CSRD/ESRS E1, AI Act article 55, vous parlez du même triplet de données: qui a appelé quel modèle, avec combien de tokens, quand. Un tracking unique alimente les trois rapports. Mauvais nouvelle : si vous attendez août 2026 pour commencer, vous serez en mode pompier sur trois fronts en même temps. Le coût marginal de tracker dès maintenant est négligeable (l'API /trackest gratuite jusqu'à 10 000 events / mois), le coût marginal d'attendre est exponentiel.