Directive européenne sur la responsabilité du fait des produits d'IA

La directive (UE) 2024/2853 instaure une responsabilité sans faute pour les entreprises qui développent ou commercialisent des agents d'IA. Concrètement, une entreprise répond des dommages causés par un produit défectueux, qu'une négligence soit prouvée ou non. La directive s'applique aux produits mis sur le marché après le 9 décembre 2026.

Le logiciel considéré comme un produit

La directive définit le logiciel comme un produit, quelle que soit la manière dont il est fourni ou utilisé. Cela inclut les logiciels proposés par abonnement, comme les SaaS. Les fournisseurs de systèmes d'IA sont par ailleurs classés comme fabricants au sens de l'AI Act.

Qui est considéré comme fabricant

Le fabricant est défini comme l'entité qui développe un produit ou qui se présente comme tel en l'apposant à son nom. Cela concerne notamment les banques, les assureurs ou les commerçants qui proposent des agents d'IA sous leur propre marque. Même les entreprises qui modifient de manière significative un produit peuvent devenir fabricants.

Types de dommages couverts

La directive couvre les dommages liés au décès, aux atteintes corporelles et aux préjudices psychologiques reconnus médicalement. Elle exclut les pertes purement économiques, les atteintes à la vie privée et les discriminations. Les salariés des clients sont également considérés comme des personnes physiques dans ce cadre.

Limitation de responsabilité

L'article 15 de la directive interdit les clauses contractuelles ou légales qui limitent la responsabilité. Toutefois, les contrats des fournisseurs peuvent bloquer les recours. Des entreprises comme OpenAI ou Google Cloud prévoient dans leurs conditions un plafond de responsabilité égal au montant payé sur douze mois.

Responsabilité pour défaut après la mise sur le marché

Un produit modifié par des mises à jour ou par l'apprentissage de l'IA est considéré comme mis sur le marché au moment de cette modification. L'absence de correctif ne protège pas contre la responsabilité. Les fournisseurs ne peuvent pas invoquer une exonération si le défaut résulte d'un défaut de mises à jour nécessaires.

Preuve et responsabilité

Les juges peuvent exiger des défendeurs qu'ils produisent les éléments de preuve pertinents, tels que les journaux d'exécution et les versions des modèles. Si ces éléments ne sont pas fournis, le défaut est présumé. Les journaux de l'agent entrent alors dans le dossier judiciaire.

Responsabilité financière et agents d'IA

JPMorgan Chase a déclaré que ses clients sont responsables des actions menées par les agents d'IA utilisant leurs identifiants. Son PDG, Jamie Dimon, a mis en garde contre des agents d'IA incontrôlables. Elon Musk, de son côté, a affirmé que SpaceX indemniserait les utilisateurs pour les erreurs commises par Grok Bot, bien que cela n'ait pas encore été mis à l'épreuve.

Droit des paiements et responsabilité

Selon le droit français, un paiement requiert le consentement du payeur, et une authentification forte ne suffit pas à elle seule. Le prestataire de services de paiement doit prouver une négligence grave pour pouvoir engager la responsabilité du client.

Le retard de transposition en France

En octobre 2026, aucun texte de transposition n'avait été trouvé dans les archives législatives françaises. La garde des Sceaux a indiqué qu'un texte dédié était envisagé, sans préciser sa forme ni son contenu.

Mises à jour du Code civil

Un tableau de transposition déposé en janvier 2026 modifie plusieurs articles du Code civil français. Il ne traite toutefois pas explicitement de la responsabilité relative aux composants logiciels intégrés à d'autres produits, comme ceux des fournisseurs de modèles.

Étapes de préparation avant le 9 décembre

Avant le 9 décembre, les entreprises doivent clarifier leur rôle de fabricant, renégocier avec les fournisseurs de modèles, assurer la journalisation et la conservation des preuves, rédiger des politiques de mise à jour et revoir leur assurance responsabilité civile. Les assureurs pourraient introduire des exclusions liées à l'IA dans les polices de responsabilité civile générale.