Nouveaux risques de responsabilité des produits pour les produits d’IA
La nouvelle Directive sur la responsabilité des produits de l’UE 2024/2853 est entrée en vigueur le 8 décembre 2024, marquant une étape importante pour la réparation des consommateurs. Cette directive vise à moderniser les règles de responsabilité des produits et à supprimer les obstacles pour les consommateurs. Elle modifie également de manière significative le paysage des risques de responsabilité des produits. Quelles sont les implications pour les entreprises utilisant l’IA dans leurs produits, tels que les applications médicales ?
Responsabilité stricte indépendamment de la faute
La nouvelle Directive sur la responsabilité des produits est pertinente pour toutes les entreprises mettant des produits sur le marché de l’UE. Elle remplacera l’ancienne directive de 1985, qui avait presque 40 ans.
Cette directive établit un cadre de responsabilité pour les cas où les entreprises sont responsables des dommages causés par un défaut de leur produit. Un produit est considéré comme défectueux lorsqu’il ne garantit pas un niveau de sécurité auquel une personne peut s’attendre. Importamment, le test reste celui de la responsabilité stricte, signifiant que les consommateurs n’ont pas à prouver la négligence ou la faute de l’entreprise. La responsabilité des produits exige simplement que :
- un produit était défectueux
- une personne a subi un dommage
- il y avait un lien de causalité entre le défaut du produit et le dommage subi.
Les produits intégrant des logiciels et de l’IA tombent sous les nouvelles règles
La question de savoir si un logiciel constitue un produit au sens de la loi sur la responsabilité des produits a été controversée jusqu’à présent. La nouvelle directive européenne vise à combler cette lacune et à élargir le champ d’application des nouvelles règles de responsabilité des produits. Les produits intégrant des logiciels et de l’IA sont donc explicitement considérés comme un « produit » dans le cadre de la nouvelle directive. Cela s’applique aussi bien au logiciel intégré dans un autre produit (par exemple, un appareil de radiothérapie) qu’à celui connecté à un autre produit (par exemple, des services de surveillance de la santé numérique utilisant les capteurs d’un produit physique pour collecter des données).
Responsabilité en cas de mises à jour logicielles insuffisantes ou de protection cybernétique faible
La nouvelle directive précise que les fabricants et fournisseurs de produits numériques, tels que les applications d’IA, peuvent, à l’avenir, également être tenus responsables des dommages causés par une mise à jour logicielle défectueuse ou des faiblesses de la cybersécurité du produit. La responsabilité des produits s’étend donc au-delà du simple fait de mettre le produit sur le marché.
De plus, la définition de défaut dans la nouvelle directive sur la sécurité des produits met encore plus l’accent sur les exigences de la loi sur la sécurité des produits. Cela inclura la conformité avec les exigences de la loi sur l’IA. La non-conformité ou les mesures prises par les autorités réglementaires en raison de la sécurité des produits, telles qu’un rappel de produit, pourraient indiquer un défaut du produit.
Adapter le régime de responsabilité des produits à l’ère numérique
La nouvelle directive sur la responsabilité des produits vise à moderniser les règles de responsabilité et à les adapter à l’ère numérique. D’autres modifications concernant les produits numériques incluent également que les demandeurs peuvent poursuivre pour des dommages plus larges, y compris la destruction ou la corruption de données. De plus, les dédictibles actuels et les plafonds de responsabilité maximum sont supprimés.
Présomption de défaut dans les cas complexes
Un autre objectif de la nouvelle directive est de supprimer les obstacles à la réparation des consommateurs. La directive facilite donc considérablement le dépôt de réclamations en responsabilité pour produits défectueux :
- La directive allège le fardeau de la preuve pour le plaignant en établissant une présomption de défectuosité et un lien de causalité si :
- la preuve est « excessivement difficile » en raison de la complexité technique ou scientifique du produit
- un défaut du produit et/ou une causalité est au moins « probable ».
- En vertu de la nouvelle directive, les tribunaux peuvent obliger les défendeurs à divulguer des preuves pertinentes en leur possession si la partie lésée a formulé une réclamation suffisamment plausible pour des dommages. Cela vise à remédier aux inconvénients potentiels de la partie lésée concernant l’accès à des informations sur la fabrication et le fonctionnement du produit. Il est important que les tribunaux prennent des mesures pour protéger les secrets commerciaux du défendeur.
Cela pourrait être particulièrement important pour les produits d’IA, car il sera souvent difficile pour les plaignants de prouver un défaut en raison de la complexité et du manque de transparence sur le fonctionnement du produit (effet boîte noire). Il incombera alors à l’entreprise de réfuter la présomption.
Nouvelle : retrait des plans de l’UE pour une directive sur la responsabilité de l’IA
La Commission européenne avait initialement proposé une Directive sur la responsabilité de l’IA en septembre 2022 dans le cadre d’un paquet avec la loi sur l’IA et la nouvelle directive sur la responsabilité des produits. Alors que ces deux dernières ont depuis été adoptées, le processus législatif pour la directive sur la responsabilité de l’IA a été bloqué. Le 19 septembre 2024, le Service de recherche parlementaire européen a publié une étude sur le projet de directive sur la responsabilité de l’IA et a proposé de nombreux amendements.
Le 11 février 2025, dans son programme de travail final pour 2025, la Commission de l’UE a ajouté la directive à la liste des propositions qu’elle envisage de retirer. La raison donnée est qu’elle ne voit aucun accord prévisible sur la proposition. La Commission évaluera cependant si une autre proposition devrait être présentée ou si un autre type d’approche devrait être choisi.
Cette décision est compréhensible, car le champ d’application de la nouvelle directive aurait été limité. Cependant, il existait également des différences entre les directives : en vertu de la nouvelle directive sur la responsabilité des produits, les fabricants ou fournisseurs de systèmes d’IA défectueux causant des dommages corporels, des dommages matériels ou une perte de données sont responsables sans faute, s’il y a un défaut de produit. En revanche, le projet de directive sur la responsabilité de l’IA couvrait la responsabilité fondée sur la faute non contractuelle, en cas de violation d’un devoir de diligence, pour tout type de dommage (y compris les pertes financières pures et les dommages immatériels) et en faveur de tout type de partie lésée, y compris les entités juridiques. Après le retrait de la directive sur la responsabilité de l’IA, il devient encore plus crucial que la nouvelle directive sur la responsabilité des produits couvre également les logiciels et les produits d’IA.
Conclusion et comment se préparer en 2025
La nouvelle directive sur la responsabilité des produits de l’UE introduit un régime de responsabilité des produits plus favorable aux plaignants et réduit la certitude juridique pour les entreprises. Cela pourrait avoir un impact significatif sur les entreprises d’appareils médicaux d’IA, car cela facilitera les réclamations des consommateurs dans l’UE pour des produits défectueux. Cela est particulièrement vrai lorsque des difficultés de preuve sont causées par des concepts scientifiques et technologiques complexes, comme cela est probable avec les produits d’IA.
La nouvelle directive sur la responsabilité des produits devra être mise en œuvre par les États membres d’ici le 9 décembre 2026. L’ancienne directive sur la responsabilité des produits 85/237/EEC continuera de s’appliquer aux produits déjà sur le marché à ce moment-là. Les entreprises devraient profiter de ce délai pour effectuer des évaluations de risque approfondies, y compris en ce qui concerne la protection de la cybersécurité. Il sera essentiel d’établir et de montrer la conformité réglementaire, y compris avec les exigences de la loi sur l’IA. En outre, les entreprises devraient revoir leur profil de risque en matière de responsabilité des produits, leur couverture d’assurance et leurs systèmes de surveillance et de rappel existants.
