Responsabilité pour dommage causé par une IA : ce que change l'AI Liability Directive
Un système de recommandation médicale produit un diagnostic erroné. Un algorithme de scoring financier exclut à tort un client. Une IA de recrutement écarte des candidats qualifiés. Dans chacun de ces cas, la question est la même : qui est responsable, et comment obtenir réparation ? L'AI Liability Directive (proposition de directive européenne sur la responsabilité civile en matière d'IA, 2022) entend structurer ces recours — mais elle s'articule avec des régimes existants qu'il faut bien comprendre.
Le paysage juridique actuel : un vide partiel, pas total
Avant l'adoption définitive de l'AI Liability Directive, les victimes d'un dommage causé par une IA ne sont pas démunies. Plusieurs régimes coexistent.
La responsabilité du fait des produits défectueux (directive 85/374)
La directive Produits défectueux, révisée en 2024 pour intégrer explicitement les logiciels et l'IA, permet d'engager la responsabilité du fabricant sans faute prouvée, dès lors que le produit est défectueux et a causé un dommage. Point clé : la mise à jour logicielle autonome d'un modèle IA peut désormais constituer un nouveau « défaut » engageant la responsabilité du déployeur.
La responsabilité délictuelle de droit commun
En France, l'article 1240 du Code civil permet d'engager la responsabilité pour faute. Problème classique : la victime doit prouver la faute, le lien de causalité et le dommage. Face à un modèle de machine learning opaque, établir ce lien causal est techniquement ardu — c'est précisément le verrou que l'AI Liability Directive cherche à desserrer.
Le RGPD, recours sous-utilisé
Lorsque le dommage résulte d'un traitement de données personnelles (profilage, décision automatisée), l'article 82 du RGPD ouvre un droit à réparation direct contre le responsable de traitement ou le sous-traitant. Les DPO doivent systématiquement évaluer cette voie : elle est souvent plus rapide qu'une action civile classique.
Ce qu'apporte l'AI Liability Directive
La proposition de directive (COM/2022/496) introduit deux mécanismes décisifs pour les victimes.
La présomption de causalité
C'est la pierre angulaire du texte. Si la victime démontre que le défendeur a violé une obligation de diligence prévue par l'AI Act (ou d'autres règles applicables) et que cette violation est susceptible d'avoir causé le dommage, le tribunal peut présumer le lien de causalité. La charge de la preuve s'inverse : c'est au déployeur ou au fournisseur de prouver l'absence de causalité.
Exemple concret : une banque déploie un système IA à haut risque sans effectuer l'évaluation de conformité requise par l'AI Act. Un client subit un refus de crédit erroné. Il peut invoquer la présomption : la violation du processus d'évaluation + le dommage subi suffisent à déclencher la présomption causale.
Le droit d'accès aux preuves (discovery IA)
L'AI Liability Directive oblige les juridictions à ordonner la divulgation des éléments de preuve pertinents détenus par le défendeur — logs, données d'entraînement, documentation technique — lorsque la victime a fait ce qui était raisonnablement en son pouvoir pour les obtenir. Refuser de produire ces éléments peut lui-même déclencher une présomption défavorable au défendeur.
Pour les RSSI et responsables conformité, cela signifie une obligation pratique : conserver et tracer la documentation des systèmes IA dès leur déploiement.
Articulation pratique entre les régimes
- Dommage corporel ou matériel via un produit IA → Directive Produits défectueux révisée en premier recours, sans faute à prouver.
- Dommage lié à un traitement de données → RGPD art. 82, action devant le juge civil ou réclamation CNIL.
- Dommage causé par un système IA à haut risque (liste AI Act annexe III) → AI Liability Directive + présomption de causalité si violation d'une obligation AI Act.
- Dommage causé par une IA à faible risque, sans traitement de données → Droit commun (1240 C. civ.), avec toute la difficulté probatoire que cela implique.
Ces régimes sont cumulables : une même victime peut invoquer simultanément la responsabilité produit et l'article 82 RGPD si les conditions sont réunies.
Ce que doivent faire concrètement les entreprises
Pour les déployeurs et fournisseurs d'IA (se protéger)
- Documenter chaque étape du cycle de vie du système IA : évaluation des risques, tests, mises à jour, incidents.
- Mettre en place des logs d'audit horodatés et infalsifiables — ils seront les premières pièces réclamées en cas de litige.
- Aligner la conformité AI Act et la gestion du risque juridique : les obligations de l'AI Act (art. 9 à 17 pour les systèmes à haut risque) constituent désormais un standard de diligence opposable en justice.
- Réviser les contrats avec les fournisseurs de modèles (clauses d'indemnisation, accès à la documentation technique, SLA sur les incidents).
Pour les entreprises victimes (agir)
- Identifier le régime applicable au plus tôt pour choisir la stratégie probatoire adaptée.
- Demander l'accès à la documentation technique dès la phase précontentieuse (mise en demeure).
- Saisir la CNIL si un traitement de données personnelles est impliqué : la sanction administrative peut accompagner l'action civile en réparation.
- Consulter un avocat spécialisé en droit du numérique pour qualifier le système IA (haut risque ou non) — la qualification conditionne le régime de preuve applicable.
L'état d'avancement législatif : anticiper sans attendre
À la date de publication, l'AI Liability Directive n'est pas encore adoptée (les négociations interinstitutionnelles se poursuivent). Cependant, la directive Produits défectueux révisée est, elle, en vigueur depuis 2024. Et la jurisprudence nationale commence à appliquer des raisonnements proches de la présomption causale, notamment en matière de décisions algorithmiques discriminatoires.
Attendre l'adoption formelle pour adapter sa gouvernance serait une erreur stratégique : les entreprises qui documentent et auditent leurs systèmes IA dès aujourd'hui seront en mesure de prouver leur diligence — et de se défendre — dès l'entrée en vigueur du texte.
FAQ
L'AI Liability Directive est-elle déjà en vigueur ?
Non. À mi-2025, la proposition de directive fait encore l'objet de négociations entre le Parlement européen et le Conseil. En revanche, la directive Produits défectueux révisée (qui couvre désormais les logiciels et l'IA) est applicable depuis 2024.
Quelle est la différence entre l'AI Liability Directive et l'AI Act ?
L'AI Act est un règlement de conformité qui impose des obligations aux fournisseurs et déployeurs de systèmes IA. L'AI Liability Directive est un texte de droit civil : elle définit comment une victime peut obtenir réparation d'un dommage causé par une IA. Les deux textes s'articulent : une violation de l'AI Act peut déclencher la présomption de causalité prévue par la directive.
Une PME peut-elle être tenue responsable d'un dommage causé par une IA qu'elle a achetée, pas développée ?
Oui. Le déployeur (l'entreprise qui utilise le système IA) peut voir sa responsabilité engagée, notamment s'il a modifié le système, déployé un système à haut risque sans respecter ses obligations AI Act, ou fourni des données d'entraînement incorrectes. Les contrats avec les fournisseurs doivent clairement répartir ces risques.
Le RGPD suffit-il pour obtenir réparation d'un dommage causé par une décision algorithmique ?
Il peut suffire lorsque le dommage est directement lié à un traitement de données personnelles (profilage, décision automatisée au sens de l'art. 22 RGPD). L'article 82 RGPD ouvre un droit à réparation sans qu'une faute pénale soit nécessaire. Mais pour les dommages non liés aux données personnelles, il faut recourir aux autres régimes.
Quelles preuves faut-il conserver pour se défendre en cas de litige lié à une IA ?
Les éléments essentiels sont : la documentation de l'évaluation des risques, les logs d'utilisation horodatés, les rapports de tests et d'audit, la documentation du fournisseur du modèle, les contrats et SLA, et les procédures de gestion des incidents. L'AI Liability Directive prévoit que les juridictions peuvent ordonner la production de ces éléments.