L'articulation des régimes de responsabilité comme réponse aux dommages de l'intelligence artificielle

Au sommaire de cet article...

1. L'illusion du vide juridique après le retrait de la directive
2. L'entrée de l'intelligence artificielle dans le champ des produits défectueux
3. Le régime de responsabilité sans exigence de faute consacré par le RGPD
4. Le fondement autonome de la discrimination algorithmique
5. Le droit commun national comme filet de sécurité
6. Des régimes distincts à ne pas confondre
7. L'enjeu déterminant du cumul des fondements pour la victime
8. La persistance du défi probatoire hors du champ des produits
9. L'AI Act pensé comme étalon de conduite plutôt que régime de responsabilité
10. L'indispensable préparation du litige en amont du dommage

L'intelligence artificielle n'est pas, en elle-même, une catégorie juridique particulière en droit de la responsabilité. Elle mène néanmoins à mobiliser plusieurs régimes : responsabilité du fait des produits défectueux, protection des données à caractère personnel, non-discrimination, responsabilité contractuelle ou encore réglementation sectorielle.

Le droit positif cherche ainsi un équilibre entre l'indemnisation effective des préjudices causés par l'intelligence artificielle et la garantie d'un cadre juridiquement sécurisé pour ceux qui la conçoivent ou la déploient.

Le retrait de la proposition de directive sur la responsabilité en matière d'IA, annoncé le 11 février 2025, n'a pas modifié cette architecture. Il a plutôt mis en lumière l'éclatement du droit applicable, dont l'efficacité repose désormais sur l'articulation de ces différents régimes.

1. L'illusion du vide juridique après le retrait de la directive

Le 28 septembre 2022, la Commission européenne a proposé une directive portant sur l'adaptation des règles de responsabilité civile extracontractuelle à l'intelligence artificielle [1]. Le texte n'avait pas vocation à créer un régime de responsabilité autonome. Il visait à faciliter l'action des victimes en aménageant l'accès aux éléments de preuve et, sous certaines conditions, la preuve du lien de causalité pour les systèmes d'IA à haut risque.

La Commission a annoncé le 11 février 2025 le retrait de cette proposition [2].

Ce retrait ne crée pas de vide juridique.

Comme la proposition elle-même l'indiquait, les règles nationales de responsabilité demeurent applicables aux dommages causés par les systèmes d'IA, dans le respect des principes de la responsabilité civile. L'essentiel est pourtant maintenu. Les régimes d'indemnisation, harmonisés ou nationaux, existent et continuent de s'appliquer.

Il laisse en revanche subsister une architecture éclatée. Selon la nature du dommage, le comportement en cause et le fondement invoqué, le justiciable devra mobiliser des régimes distincts, aux conditions et aux effets différents.

2. L'entrée de l'intelligence artificielle dans le champ des produits défectueux

Le premier régime est celui de la responsabilité du fait des produits défectueux.

La directive (UE) 2024/2853 du 23 octobre 2024, qui s'applique aux produits mis sur le marché à compter du 9 décembre 2026, élargit le champ du régime aux logiciels et permet ainsi d'appréhender de nombreux systèmes d'IA comme des produits [3][4]. Un tel système peut relever d'une responsabilité sans preuve de faute, à la charge, selon les hypothèses prévues par le texte, des différents opérateurs économiques concernés.

Le défaut s'apprécie notamment au regard de la capacité du produit à poursuivre son apprentissage ou à acquérir de nouvelles caractéristiques après sa mise sur le marché ou sa mise en service [5]. Le comportement autonome du système est donc intégré à l'appréciation du défaut.

Surtout, la directive accompagne la victime dans la preuve. Elle organise la communication des éléments détenus par le défendeur et, dans certaines hypothèses, des présomptions de défectuosité et de causalité [6][7].

Le champ du régime demeure toutefois délimité : il concerne notamment certains dommages à la personne, aux biens et aux données. L'indemnisation du seul préjudice économique pur n'est pas organisée.

3. Le régime de responsabilité sans exigence de faute consacré par le RGPD

Lorsque le dommage relève du traitement de données à caractère personnel, le fondement applicable est le RGPD.

L'article 82 ouvre un droit à réparation lorsque sont réunies les conditions prévues par le règlement : une violation du RGPD, un dommage matériel ou moral et un lien de causalité entre la violation et le dommage [8]. Le régime n'exige pas, en tant que tel, l'établissement d'une faute. Le sous-traitant n'est responsable que s'il n'a pas respecté les obligations qui lui sont spécifiquement destinées ou s'il a agi en dehors des instructions licites du responsable.

La Cour de justice a précisé les contours de ce régime. Le préjudice peut être matériel ou moral, et la crainte d'une utilisation abusive de ses données peut, dans certaines conditions, constituer un dommage dès lors qu'elle est suffisamment établie. En revanche, la seule violation du règlement n'ouvre pas automatiquement droit à réparation, il faut un dommage et un lien de causalité. L'établissement d'une faute n'est pas, en lui-même, une condition du droit à réparation fondé sur l'article 82 [9].

Ce régime peut notamment trouver à s'appliquer en présence de traitements illicites utilisés pour le scoring ou le profilage, de données personnelles inexactes, de décisions automatisées prises en méconnaissance des exigences du RGPD ou encore de violations de données à caractère personnel.

Il ne se confond pas avec la responsabilité du fait des produits : un même système peut causer un dommage sans traiter de données, ou traiter des données sans que le dommage relève du régime de responsabilité du fait des produits.

4. Le fondement autonome de la discrimination algorithmique

Un préjudice résultant d'une discrimination opérée par un système d'IA dispose, lui aussi, d'un fondement propre.

Le droit de l'Union encadre l'interdiction des discriminations selon différents critères et dans différents champs, notamment l'origine ethnique ou raciale, le sexe, la religion ou les convictions, le handicap, l'âge et l'orientation sexuelle [10]. En droit interne, les articles 225-1 et 225-2 du Code pénal prohibent certaines discriminations, notamment dans l'accès aux biens et services, et l'article L. 1132-1 du Code du travail dans la sphère professionnelle.

Ces textes aménagent la charge de la preuve. La personne qui s'estime victime doit présenter des éléments de fait laissant supposer l'existence d'une discrimination ; il appartient à l'autre partie de prouver qu'il n'y a pas eu de violation [11].

La qualification algorithmique du fait discriminatoire est sans incidence sur ce mécanisme.

Un modèle d'aide à la décision entraîné sur des données historiques biaisées peut reproduire, voire amplifier, ces biais. L'abandon, en 2018, par Amazon d'un outil expérimental de tri de candidatures qui écartait systématiquement les candidatures féminines en fournit une illustration concrète [12]. De même, le scandale néerlandais des allocations familiales, dans lequel un algorithme de détection de la fraude a ciblé des familles au motif de leur nationalité, montre la portée du cumul entre non-discrimination et protection des données [13].

La discrimination algorithmique pose donc principalement un problème de détection, de qualification du dommage et de preuve.

5. Le droit commun national comme filet de sécurité

Pour toutes les situations qui ne relèvent pas de ces régimes harmonisés, ce sont les règles nationales qui s'appliquent.

En droit français, plusieurs fondements peuvent être mobilisés :

• la responsabilité pour faute de l'article 1240 du Code civil, qui sanctionne le manquement au devoir général de prudence ;
• la responsabilité du fait des choses de l'article 1242, alinéa 1er, qui peut également être envisagée lorsque les conditions de ce régime sont réunies ;
• la responsabilité des commettants, qui fait peser sur l'employeur les fautes de ses préposés dans la gestion des systèmes ;
• la responsabilité contractuelle et la garantie de conformité des biens comportant des éléments numériques, qui couvrent notamment les mises à jour [14].

Ces fondements peuvent être mobilisés à l'égard de systèmes d'IA sans qu'un régime général autonome de responsabilité ait été créé en droit français. Leur application soulève toutefois des difficultés particulières liées à l'autonomie, à la complexité et à l'opacité de certains systèmes.

Le débat ouvert en France depuis plusieurs années sur une refonte du droit commun de la responsabilité civile illustre d'ailleurs que ces questions ne sont pas propres à l'IA : elles portent sur l'aptitude des catégories traditionnelles à absorber les risques contemporains.

6. Des régimes distincts à ne pas confondre

Plusieurs notions doivent ici être distinguées.

La responsabilité du fait des produits n'est ni un régime de responsabilité pour faute, ni un régime de responsabilité du fait des traitements de données, ni un mécanisme de sanction des discriminations. Ce sont des fondements autonomes, répondant à des finalités différentes.

Les différences sont concrètes. L'identité du défendeur change selon le cadre applicable, qu'il s'agisse d'un opérateur de la chaîne de production, d'un responsable de traitement, d'un sous-traitant, d'un auteur direct ou d'un commettant.

Les dommages réparables ne se recouvrent pas puisque le régime des produits exclut le préjudice économique pur, le RGPD exige un dommage né du traitement, le droit de la discrimination suppose un traitement défavorable lié à un critère protégé.

Les prescriptions divergent également. Pour la responsabilité du fait des produits, l'action se prescrit par trois ans à compter de la connaissance du dommage, du défaut et de l'identité du producteur, sous réserve de la forclusion décennale, alors que la responsabilité civile obéit au délai de droit commun de cinq ans [15].

Enfin, les charges de la preuve ne sont pas organisées de la même manière : présomptions et communication des éléments de preuve dans le régime des produits, absence d'exigence de faute en matière de données, aménagement de la charge de la preuve en matière de discrimination.

7. L'enjeu déterminant du cumul des fondements pour la victime

Un même dommage peut relever de plusieurs fondements.

Prenons l'exemple d'un outil d'aide au diagnostic médical dont le défaut provoque un retard de prise en charge. La victime peut agir, sur le fondement de la responsabilité du fait des produits, contre le fabricant de l'outil [16]. Elle peut agir sur le fondement contractuel contre l'établissement de santé, avec lequel elle a noué une relation conventionnelle. Le praticien peut voir sa responsabilité professionnelle recherchée pour faute, si son comportement caractérise un manquement aux règles de prudence ou aux obligations professionnelles applicables. Si le dommage tient à l'usage de données inexactes figurant dans le dossier du patient, l'article 82 du RGPD peut également être mobilisé.

Ce cumul est possible, mais il n'est jamais neutre.

Le fondement retenu détermine le défendeur, les conditions de l'action, l'étendue de la réparation et le délai pour agir. La méconnaissance de cette mosaïque peut coûter cher au justiciable : invoquer un fondement inadapté peut conduire à l'échec de l'action, notamment en raison des conditions de responsabilité, de la prescription applicable ou de l'absence de dommage entrant dans le champ du régime invoqué.

8. La persistance du défi probatoire hors du champ des produits

Le déficit laissé par le retrait est réel. Mais il porte sur l'articulation, non sur l'existence des règles.

La proposition de 2022 avait une ambition précise : généraliser la communication des preuves et les présomptions de causalité à l'ensemble des actions fondées sur le droit national, pour les systèmes d'IA à haut risque. La nouvelle directive produits reprend ces mécanismes, mais seulement dans le champ du régime des produits.

Hors de ce champ, l'asymétrie probatoire subsiste.

La victime d'un dommage relevant du droit commun, du RGPD ou du droit de la discrimination reste confrontée à l'opacité des systèmes. Les journaux d'événements, jeux de données d'entraînement, logiques de décision peuvent lui être difficilement accessibles. Le règlement sur l'IA organise des obligations de journalisation et, dans certaines hypothèses, un droit à l'explication de décisions individuelles [17], mais ces outils sont conçus pour la conformité réglementaire, non pour l'administration de la preuve civile.

Le problème n'est donc pas l'absence de règles, mais la manière dont elles se combinent - et le fait que l'accès à la preuve dépende du fondement choisi.

9. L'AI Act pensé comme étalon de conduite plutôt que régime de responsabilité

Le règlement (UE) 2024/1689 instituant des règles harmonisées concernant l'intelligence artificielle ne constitue pas, en lui-même, un régime harmonisé de responsabilité civile [18].

Il n'en est pas pour autant étranger au contentieux de l'IA.

Les obligations qu'il impose aux fournisseurs et aux déployeurs de systèmes à haut risque (gestion des risques, gouvernance des données, documentation technique, journalisation, supervision humaine [19]) définissent des standards de conduite. Leur méconnaissance pourra constituer un élément pertinent dans l'appréciation d'un éventuel manquement fautif au regard du droit national. Un fournisseur qui n'aurait pas mis en œuvre le dispositif de gestion des risques exigé par le règlement s'expose à voir cette carence prise en compte dans l'analyse de sa responsabilité.

La distinction entre sanction et indemnisation doit néanmoins rester nette.

Les sanctions administratives prévues par le règlement [20] ne réparent pas le dommage. L'amende versée au Trésor public ne compense pas la victime. La fonction indemnitaire relève des régimes de responsabilité examinés plus haut.

10. L'indispensable préparation du litige en amont du dommage

En pratique, la difficulté se situe souvent moins dans l'existence des règles que dans le moment auquel elles sont mobilisées.

Pour la victime, la qualification du dommage doit être abordée dès l'origine à travers la nature du préjudice, l'identification de l'opérateur à poursuivre, la préservation des éléments de preuve et le délai applicable. Une demande dirigée contre un défendeur inapproprié ou fondée sur un régime inapplicable peut conduire à l'échec de l'action ou à la nécessité de la réorienter dans les délais encore ouverts.

Pour les acteurs qui conçoivent ou déploient des systèmes d'IA, la préparation est identique : conservation de la documentation technique, journalisation effective, clauses contractuelles organisant la répartition des responsabilités et l'accès aux données, anticipation des demandes de communication de pièces.

Le droit de la responsabilité offre donc plusieurs outils pour accompagner le déploiement de l'IA et ses conséquences dommageables. Leur efficacité dépend largement de leur articulation.

Notes de l'article

1. Proposition de directive du Parlement européen et du Conseil sur l'adaptation des règles de responsabilité civile extracontractuelle à l'intelligence artificielle (directive sur la responsabilité en matière d'IA), COM(2022) 496 final, 28 sept. 2022.
2. Commission européenne, programme de travail 2025, COM(2025) 45 final, annexe IV ; retrait de la proposition annoncé le 11 février 2025.
3. Directive (UE) 2024/2853 du Parlement européen et du Conseil du 23 octobre 2024 relative à la responsabilité du fait des produits défectueux (refonte), JO UE L, 18 nov. 2024 ; transposition au plus tard le 9 déc. 2026.
4. Dir. 2024/2853, art. 4, 1° et consid. 12 à 14.
5. Dir. 2024/2853, art. 7, § 2, point f), et consid. 37. Le défaut s'apprécie notamment au regard des exigences de sécurité applicables au produit, y compris les exigences de cybersécurité pertinentes, ainsi que de l'effet sur le produit de toute capacité à poursuivre son apprentissage ou à acquérir de nouvelles caractéristiques après sa mise sur le marché ou sa mise en service.
6. Dir. 2024/2853, art. 7.
7. Dir. 2024/2853, art. 9 et 10.
8. Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (RGPD), art. 82.
9. CJUE, 4 mai 2023, Österreichische Post, aff. C-300/21 ; CJUE, 5 déc. 2023, Deutsche Wohnen, aff. C-807/21 ; CJUE, 25 janv. 2024, aff. C-683/21.
10. Directives 2000/43/CE du 29 juin 2000, 2000/78/CE du 27 novembre 2000 et 2006/54/CE du 5 juillet 2006.
11. Dir. 2000/43/CE, art. 8 ; C. trav., art. L. 1134-1.
12. Reuters, « Amazon scraps secret AI recruiting tool that showed bias against women », 10 oct. 2018.
13. Parlement néerlandais, commission d'enquête parlementaire sur le système d'allocation des aides aux familles, rapport « Ongekend onrecht » (« Injustice inouïe »), avril 2020.
14. C. civ., art. 1240, 1241 et 1242 ; C. conso., art. L. 217-3 et s. ; directive (UE) 2019/771 du 20 mai 2019 relative à certains aspects des contrats de vente de biens.
15. Dir. 2024/2853, art. 12 et 13 ; C. civ., art. 2224.
16. La directive (UE) 2024/2853 s'applique aux produits mis sur le marché à compter du 9 déc. 2026 ; les produits mis sur le marché antérieurement demeurent soumis à la directive 85/374/CEE du 25 juillet 1985.
17. Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle (règlement sur l'IA), art. 12 et 86.
18. Le règlement (UE) 2024/1689 ne constitue pas un régime harmonisé de responsabilité civile ; la question demeure régie par les droits nationaux et les instruments dédiés.
19. Règl. 2024/1689, art. 9, 10, 11, 12 et 14.
20. Règl. 2024/1689, art. 99.