Responsabilité civile de l’IA : la preuve décide en 2026

À partir du 9 décembre 2026, la responsabilité civile de l’IA cesse d’être un débat de théoriciens pour devenir une affaire de preuve. La nouvelle directive sur la responsabilité du fait des produits défectueux range les logiciels et les systèmes d’IA parmi les produits, autorise le juge à ordonner la production des pièces du fabricant et présume le défaut lorsque celles-ci manquent. L’issue d’un litige dépendra donc du dossier que l’entreprise saura produire, parfois dix ans après la mise sur le marché.

L’essentiel

• Un produit comme un autre : la directive (UE) 2024/2853 traite le logiciel, SaaS compris, et le système d’IA comme des produits à compter du 9 décembre 2026.
• La preuve change de camp : le juge peut ordonner la divulgation des pièces, et le défaut est présumé si le fabricant ne les produit pas.
• Le dossier AI Act sert de preuve : gestion des risques, documentation technique, journaux et notice seront les pièces demandées.
• Deux horloges : six mois de conservation minimale des journaux, dix ans d’exposition, vingt-cinq en cas de dommage corporel latent.
• Transposition inégale : le Bundestag a voté le 8 octobre 2026, la France n’a publié aucun projet.

Responsabilité civile de l’IA : ce que le terme recouvre en 2026

La responsabilité civile de l’IA désigne les règles qui déterminent qui doit indemniser une personne lésée par un système d’IA, sur quel fondement juridique et avec quelle preuve. La machine n’est jamais débitrice : un système d’IA n’a pas de personnalité juridique et ne peut pas être assigné. La dette de réparation retombe toujours sur une personne physique ou morale, celle qui a conçu, fourni, importé, modifié ou utilisé le système. Trois fondements coexistent et se cumulent :

• Le contrat : le client d’un éditeur ou d’un intégrateur agit pour inexécution, dans les limites des clauses acceptées.
• La responsabilité pour faute, régie par le droit national : la victime établit une faute, un dommage et un lien de causalité. C’est le terrain du déployeur négligent.
• La responsabilité sans faute du fait des produits : la victime démontre un défaut de sécurité, un dommage et le lien entre les deux, sans avoir à prouver une faute. C’est ce fondement que l’Union vient de réécrire.

Il reste à écarter une confusion fréquente. La responsabilité de l’IA au sens de l’obligation de rendre compte porte sur la gouvernance interne : qui décide, qui valide, qui répond devant la direction et le régulateur. La responsabilité civile de l’IA porte sur l’aval : qui paie des dommages et intérêts, devant quel juge et sur quelle preuve. Les pages consacrées au sujet décrivent des théories (négligence, responsabilité stricte, liste des défendeurs possibles), alors que le droit européen applicable en décembre 2026 déplace la question vers la preuve. Le dossier devient l’enjeu central.

Qui répond : la chaîne des opérateurs économiques

En matière de responsabilité civile de l’IA, la directive ne désigne pas un responsable unique. Son article 8 organise une chaîne. <table header-row= »true »> <tr> <td>Opérateur</td> <td>Fondement</td> <td>Quand il répond</td> </tr> <tr> <td>Fabricant, y compris le fournisseur d’un système d’IA (considérant 13)</td> <td>Article 8, sans faute</td> <td>Le produit mis sur le marché ou en service est défectueux</td> </tr> <tr> <td>Fabricant d’un composant, y compris un modèle intégré ou un service connexe</td> <td>Article 8 ; article 4, paragraphes 3 et 4</td> <td>Le défaut trouve son origine dans le composant</td> </tr> <tr> <td>Importateur et mandataire</td> <td>Article 8</td> <td>Le fabricant est établi hors de l’Union</td> </tr> <tr> <td>Prestataire de services d’exécution des commandes</td> <td>Article 8</td> <td>À défaut d’importateur et de mandataire</td> </tr> <tr> <td>Distributeur, puis plateforme en ligne</td> <td>Article 8, paragraphes 3 et 4</td> <td>Aucun opérateur de l’Union identifié dans le mois suivant la demande</td> </tr> <tr> <td>Auteur d’une modification substantielle hors du contrôle du fabricant</td> <td>Article 8, paragraphe 2</td> <td>Il devient fabricant du produit modifié</td> </tr> <tr> <td>Déployeur simple utilisateur</td> <td>Hors directive : faute, droit national</td> <td>Une faute d’usage ou de surveillance lui est imputable</td> </tr> </table> La ligne la plus délicate sépare l’utilisateur du fabricant. L’article 4, point 18, tient pour substantielle la modification qui change les performances, la destination ou le type du produit sans avoir été prévue dans l’évaluation initiale des risques, et qui modifie la nature du danger, en crée un nouveau ou élève le niveau de risque. Le considérant 40 y inclut l’apprentissage continu d’un système d’IA. Le règlement sur l’IA (AI Act) suit la même logique : selon son article 25, paragraphe 1, quiconque appose son nom sur un système à haut risque, le modifie substantiellement ou en change la destination en devient le fournisseur. L’entreprise qui réentraîne un modèle d’IA à usage général doit donc savoir de quel côté elle se trouve, et la due diligence de ses fournisseurs doit lui permettre de le démontrer. Deux règles ferment le dispositif. L’article 12 pose la responsabilité solidaire : la victime peut réclamer le tout à l’un quelconque des opérateurs. L’article 15 interdit de limiter ou d’exclure la responsabilité envers la personne lésée, par contrat comme par le droit national.

Le recentrage européen : une directive retirée, une directive réécrite

L’Union avait prévu deux textes. La proposition de directive sur la responsabilité en matière d’IA du 28 septembre 2022, qui devait alléger la preuve dans les actions pour faute, a été retirée par le programme de travail 2025 de la Commission, publié le 11 février 2025, au motif qu’aucun accord n’était prévisible. La page de la Commission sur les règles de responsabilité présentait encore ce texte sans mentionner son retrait lors de notre vérification du 13 octobre 2026. La responsabilité civile de l’IA repose donc, en droit de l’Union, sur la seule directive (UE) 2024/2853, adoptée le 23 octobre 2024 et en vigueur depuis le 8 décembre 2024. Elle abroge la directive de 1985 au 9 décembre 2026, laquelle continue de régir les produits mis sur le marché avant cette date. Son apport tient à la définition du produit, qui inclut désormais les logiciels. Le considérant 13 précise que le logiciel est un produit quel que soit son mode de fourniture : stocké sur un appareil, accessible dans le nuage ou fourni en mode SaaS. Trois limites encadrent cette extension :

• l’information n’est pas un produit, ce qui exclut le contenu des fichiers numériques et le simple code source ;
• les logiciels libres et ouverts développés ou fournis en dehors d’une activité commerciale sortent du champ ;
• seules les personnes physiques ont droit à réparation.

Le dommage réparable (article 6) couvre le décès et les lésions corporelles, y compris les atteintes à la santé psychologique médicalement reconnues, les atteintes aux biens et la destruction ou la corruption de données non utilisées à des fins professionnelles.

Ce que la directive ne couvre pas

Le périmètre exclut une grande part des dommages associés à l’IA : le préjudice purement économique, la discrimination, l’atteinte à la vie privée en tant que telle, les biens utilisés exclusivement à des fins professionnelles et les demandes des personnes morales. Ces litiges relèvent de la faute en droit national, de l’article 82 du RGPD (voir notre analyse sur l’IA et le RGPD) ou du contrat.

Responsabilité civile de l’IA : comment se prouve le défaut, divulgation et présomptions

Selon l’article 7, un produit est défectueux lorsqu’il n’offre pas la sécurité à laquelle une personne peut légitimement s’attendre ou qui est requise par le droit de l’Union ou le droit national. Plusieurs circonstances visent directement l’IA : la capacité du produit à poursuivre son apprentissage après sa mise sur le marché, les exigences de sécurité applicables, cybersécurité comprise, et les rappels ou interventions d’une autorité. Le demandeur doit en principe établir le défaut, le dommage et le lien de causalité. L’article 9 lui donne un levier nouveau : s’il présente des éléments suffisants pour rendre sa demande plausible, le juge peut ordonner au défendeur de divulguer les preuves pertinentes dont il dispose. L’injonction reste nécessaire et proportionnée, le juge protège les secrets d’affaires et peut exiger des pièces présentées de manière facilement accessible et compréhensible. L’article 10 organise ensuite quatre présomptions, toutes réfragables :

1. Défaut de divulgation : le défaut est présumé lorsque le défendeur ne produit pas les pièces ordonnées.
2. Non-conformité : le défaut est présumé lorsque le produit ne respecte pas une exigence obligatoire de sécurité destinée à protéger contre le risque du dommage subi.
3. Dysfonctionnement manifeste : le défaut est présumé lorsque le dommage résulte d’un dysfonctionnement évident lors d’une utilisation raisonnablement prévisible.
4. Complexité : le juge présume le défaut, le lien de causalité ou les deux lorsque le demandeur se heurte à des difficultés excessives, notamment techniques ou scientifiques, et montre que le défaut ou le lien causal est probable.

Côté défense, l’article 11 maintient l’exonération pour risque de développement : le fabricant échappe à la responsabilité si l’état objectif des connaissances, lors de la mise sur le marché ou tant que le produit restait sous son contrôle, ne permettait pas de déceler le défaut. L’autre moyen classique, le défaut qui n’existait probablement pas lors de la mise sur le marché, est fermé lorsque le défaut tient à un logiciel, à ses mises à jour, à l’absence des mises à jour nécessaires à la sécurité ou à une modification substantielle relevant du contrôle du fabricant. Or ce contrôle s’étend à la simple capacité de fournir des mises à jour. Pour un système exposé à la dérive du modèle, l’argument du défaut apparu après coup ne tient plus.

Là où l’AI Act devient une preuve en responsabilité

La directive ne fixe aucun niveau de sécurité propre : elle renvoie au droit de l’Union sur la sécurité des produits. Comme le relève l’analyse de Freshfields du 21 avril 2026, le non-respect des obligations réglementaires peut créer une exposition en responsabilité. Pour la responsabilité civile de l’IA, la conséquence pratique est directe : la documentation que l’AI Act exige pour un système d’IA à haut risque est celle qu’un juge ordonnera de produire, et son absence déclenche les présomptions de l’article 10. <table header-row= »true »> <tr> <td>Disposition de la directive</td> <td>Pièce issue de l’AI Act</td> <td>Ce que le juge cherchera</td> </tr> <tr> <td>Article 7, paragraphe 1 : sécurité attendue</td> <td>Gestion des risques (article 9)</td> <td>Risques identifiés, mesures retenues, risques résiduels</td> </tr> <tr> <td>Article 7, paragraphe 2, c) : apprentissage</td> <td>Documentation technique (article 11, annexe IV)</td> <td>L’évolution était-elle prévue à l’origine</td> </tr> <tr> <td>Article 7, paragraphe 2, f) : exigences de sécurité</td> <td>Article 15, évaluation de la conformité</td> <td>Essais réalisés et résultats</td> </tr> <tr> <td>Article 7, paragraphe 2, g) : rappel, intervention</td> <td>Surveillance après commercialisation (article 72), incidents graves (article 73)</td> <td>Ce que le fabricant savait, et quand</td> </tr> <tr> <td>Article 7, paragraphe 2, h) : utilisateurs visés</td> <td>Notice (article 13), supervision humaine (article 14, « contrôle humain »)</td> <td>L’utilisateur pouvait-il comprendre et intervenir</td> </tr> <tr> <td>Article 9 : divulgation</td> <td>Documentation conservée dix ans (article 18), journaux (articles 12 et 19)</td> <td>Existence, complétude, lisibilité</td> </tr> </table>

Deux horloges

L’article 19 de l’AI Act impose au fournisseur de conserver les journaux pendant une période adaptée à la destination du système, d’au moins six mois, et l’article 26 fixe le même plancher pour le déployeur. La directive laisse à la victime trois ans pour agir dans la limite de dix ans après la mise sur le marché, vingt-cinq lorsqu’une lésion corporelle est restée latente. L’entreprise qui s’en tient à six mois aura effacé, bien avant l’assignation, les traces capables de renverser une présomption.

Le trou de 2027

La directive s’applique aux produits mis sur le marché à compter du 9 décembre 2026. Or le règlement (UE) 2026/1744, l’omnibus numérique sur l’IA, a reporté les exigences applicables aux systèmes à haut risque de l’annexe III au 2 décembre 2027. Pendant environ un an, la présomption tirée de la violation d’une exigence obligatoire de sécurité aura donc peu de contenu issu de l’AI Act sur lequel s’appuyer. Les présomptions de non-divulgation et de complexité, elles, jouent pleinement dès le premier jour.

Transposition : qui est prêt pour le 9 décembre 2026

À huit semaines de l’échéance, la plupart des États membres n’ont adopté aucun texte. Le tableau croise le suivi de Reed Smith (8 septembre 2026), le rapport d’étape de Faegre Drinker (4 septembre 2026) et le compte rendu du Bundestag. <table header-row= »true »> <tr> <td>État membre</td> <td>Statut</td> <td>Date ou précision</td> </tr> <tr> <td>Hongrie</td> <td>Adopté</td> <td>16 décembre 2025, premier État membre</td> </tr> <tr> <td>Lituanie</td> <td>Adopté</td> <td>Vote du 25 juin 2026, en vigueur le 9 décembre 2026</td> </tr> <tr> <td>Croatie</td> <td>Transposé et notifié</td> <td>Été 2026</td> </tr> <tr> <td>Allemagne</td> <td>Voté par le Bundestag</td> <td>8 octobre 2026, transmis au Bundesrat</td> </tr> <tr> <td>Pays-Bas et Slovaquie</td> <td>Projets de loi</td> <td>Procédure parlementaire en cours</td> </tr> <tr> <td>Finlande et Suède</td> <td>Projets</td> <td>Finlande : février 2026 ; Suède : proposition attendue à l’automne 2026</td> </tr> <tr> <td>Italie</td> <td>Processus engagé</td> <td>Pas d’écart notable attendu</td> </tr> <tr> <td>France</td> <td>Groupe de travail interministériel</td> <td>Aucun projet publié</td> </tr> <tr> <td>Espagne</td> <td>Aucun avancement public connu</td> <td>Septembre 2026</td> </tr> <tr> <td>Portugal</td> <td>Travaux préparatoires</td> <td>Aucun projet public</td> </tr> </table> Le texte allemand transpose la directive presque à l’identique. Il conserve l’exonération pour risque de développement, sauf pour les produits issus du génie génétique. Les variantes nationales compteront pourtant : le projet finlandais supprime cette exonération et retire, comme la Suède, le mot « excessives » du seuil de la présomption de complexité. La responsabilité civile de l’IA ne sera donc pas appréciée au même seuil partout, ce qui plaide pour un audit des systèmes d’IA marché par marché. En France, le régime figure aujourd’hui aux articles 1245 à 1245-17 du Code civil, consacrés à la responsabilité du fait des produits défectueux. Un groupe de travail interministériel est confirmé, mais aucun projet n’était public en septembre 2026 selon Reed Smith. Si le texte tarde, les juridictions françaises devront interpréter le droit national à la lumière de la directive.

Hors de l’Union : tribunaux et lois des États-Unis

Aux États-Unis, la responsabilité délictuelle relève pour l’essentiel de la common law des États. Le rapport de la RAND (2024) recense les questions ouvertes : responsabilité du fait des produits, Premier Amendement, Section 230.

• Garcia v. Character Technologies (Floride) : le 21 mai 2025, le juge fédéral a rejeté pour l’essentiel la demande d’irrecevabilité, admettant à ce stade que l’application de chatbot soit traitée comme un produit. L’affaire a été réglée à l’amiable en janvier 2026 : aucun jugement définitif ne tranche le point.
• Mobley v. Workday (Californie) : des griefs de discrimination sont admis depuis juillet 2024 contre l’éditeur du logiciel, et une action collective a été certifiée sous conditions en mai 2025. L’affaire est pendante.
• Moffatt v. Air Canada (Colombie-Britannique, 14 février 2024) : la compagnie répond de la déclaration inexacte de son chatbot, que le tribunal refuse de traiter comme une entité distincte.
• Code civil de Californie, section 1714.46, en vigueur depuis le 1er janvier 2026 : le défendeur ne peut pas opposer que l’IA a causé le dommage de manière autonome. L’État a aussi légiféré sur les chatbots compagnons.
• AI LEAD Act : la proposition S.2937, déposée au Sénat le 29 septembre 2025, qualifierait les systèmes d’IA de produits. Elle n’était pas adoptée en octobre 2026.

La doctrine suit : le conseil de l’American Law Institute a approuvé en octobre 2024 un projet de principes sur la responsabilité civile en matière d’IA. La responsabilité civile de l’IA se construit donc aussi hors d’Europe, et un groupe européen a deux raisons de suivre ces dossiers. Les juges nord-américains rejoignent le législateur européen sur un point : l’autonomie du système n’exonère personne. Surtout, un même produit distribué des deux côtés de l’Atlantique sera jugé selon deux régimes probatoires : une injonction de divulgation assortie de présomptions dans l’Union, une qualification encore débattue État par État outre-Atlantique.

Responsabilité civile de l’IA : le dossier de preuve en sept étapes

Si la responsabilité civile de l’IA se joue sur pièces, la préparation consiste à constituer ces pièces avant tout litige.

1. Fixer le rôle et la date, système par système. Fabricant, fournisseur d’un composant, importateur, auteur d’une modification ou utilisateur : la qualification commande le régime, comme la date de mise sur le marché, avant ou à compter du 9 décembre 2026. Un registre des systèmes d’IA, tel que notre AI Registry, en est le support naturel.
2. Décider ce qui est un produit. Logiciel autonome, composant, service connexe : chaque élément se qualifie, en notant quelles mises à jour restent sous votre contrôle.
3. Aligner la conservation des journaux sur la durée d’exposition, non sur le minimum de six mois.
4. Garder une documentation lisible. Un dossier de risques que personne ne sait lire produit l’effet d’un défaut de divulgation. La documentation du système d’IA doit être compréhensible par un expert judiciaire.
5. Tenir un registre des modifications. Chaque changement de modèle, réentraînement ou ajustement fin y figure, avec l’évaluation des risques qui l’avait prévu ou non : c’est le critère de l’article 4, point 18.
6. Relire les contrats. Aucune exclusion n’est opposable à la personne lésée. Il faut organiser les recours le long de la chaîne, vérifier la renonciation au recours contre les petits éditeurs de logiciels et obtenir des fournisseurs les pièces que vous seriez contraint de divulguer.
7. Relier les incidents au contentieux. Un signalement d’incident grave au titre de l’article 73, un rappel ou une action corrective sont des circonstances d’appréciation du défaut. La protection des secrets d’affaires se prépare à l’avance, et les polices d’assurance se relisent.

Questions fréquentes

Une IA peut-elle être tenue juridiquement responsable ? Non. La responsabilité civile de l’IA pèse toujours sur une personne, car un système d’IA n’a pas de personnalité juridique : il ne peut ni être assigné ni être condamné à payer. La responsabilité retombe sur une personne physique ou morale, fabricant, fournisseur d’un composant, importateur ou utilisateur fautif. Dans l’affaire Moffatt v. Air Canada, le tribunal a refusé de voir dans le chatbot une entité distincte, et la Californie interdit au défendeur de soutenir que l’IA a agi de manière autonome. Qui est responsable lorsqu’un système d’IA cause un dommage ? Tout dépend du fondement. Sans faute, la directive (UE) 2024/2853 vise le fabricant, le fabricant d’un composant, puis l’importateur, le mandataire et le prestataire de services d’exécution des commandes lorsque le fabricant est établi hors de l’Union. Le distributeur et la plateforme en ligne ne répondent que s’ils n’identifient aucun opérateur européen dans le mois. Le déployeur simple utilisateur relève de la faute, en droit national. Qu’est devenue la directive sur la responsabilité en matière d’IA ? La proposition du 28 septembre 2022, qui portait sur les actions pour faute, a été retirée par le programme de travail 2025 de la Commission, publié le 11 février 2025. Aucun texte de remplacement n’avait été déposé en octobre 2026. En droit de l’Union, la responsabilité civile de l’IA repose donc sur la directive relative aux produits défectueux, complétée par les droits nationaux de la faute et du contrat. La directive s’applique-t-elle au SaaS et aux modèles open source ? Oui pour le SaaS : le logiciel est un produit quel que soit son mode de fourniture, y compris dans le nuage. Pour l’open source, tout dépend du contexte : les logiciels libres et ouverts développés ou fournis en dehors d’une activité commerciale sont exclus, mais celui qui en fait une activité commerciale n’en bénéficie pas. Le simple code source, tenu pour une information, n’est pas un produit. Quelqu’un a-t-il déjà gagné un procès à propos d’un système d’IA ? Oui, à petite échelle. En février 2024, un tribunal de Colombie-Britannique a jugé Air Canada responsable d’une déclaration inexacte de son chatbot. Aux États-Unis, les affaires les plus suivies n’ont pas donné de jugement définitif : Garcia v. Character Technologies s’est conclue par une transaction en janvier 2026 et Mobley v. Workday est pendante. Dans l’Union, le nouveau régime ne vaut que pour les produits mis sur le marché à compter du 9 décembre 2026. Qu’est-ce que l’assurance de responsabilité civile de l’IA, et remplace-t-elle le dossier de preuve ? Il n’existe pas de couverture standardisée de la responsabilité civile de l’IA. Selon l’IAPP (7 janvier 2026), certains assureurs cherchent à exclure l’IA des polices d’entreprise, et beaucoup traitent ces risques comme une extension des garanties cyber, de responsabilité professionnelle et d’erreurs et omissions. L’assurance transfère le coût d’une condamnation, elle ne renverse aucune présomption : seul le dossier le peut. Cet article relève de l’information juridique et ne constitue pas un conseil juridique.

Conclusion

La responsabilité civile de l’IA ne se résume plus à désigner un coupable parmi le concepteur, l’intégrateur et l’utilisateur. Le droit de l’Union a fait un autre choix : traiter le système d’IA comme un produit, donner au juge le pouvoir d’exiger les pièces et tirer les conséquences de leur absence. Nous en retenons trois points de vigilance : la frontière entre utilisateur et fabricant, que franchit toute modification substantielle, la durée de conservation des journaux, sans commune mesure avec la durée d’exposition, et le décalage de calendrier avec l’AI Act. Une date et un livrable résument le reste : le 9 décembre 2026, et un dossier de preuve prêt à être produit.