Responsabilité de l’IA : qui paie quand l’intelligence artificielle fait défaut ?

Il semble inévitable que des litiges liés à l’IA émergent dans les prochaines années, obligeant les tribunaux à adapter les concepts juridiques traditionnels à ces nouvelles technologies.

Dans cet article, nous examinons brièvement les caractéristiques uniques de l’IA qui soulèvent des questions de responsabilité novatrices, ainsi que les régimes existants et en cours de développement qui pourraient permettre d’indemniser les utilisateurs lorsque les systèmes d’IA échouent.

Le problème

La nature complexe des systèmes d’IA rend difficile la détermination des causes de préjudice. La complexité, le comportement autonome dit “boîte noire” et le manque de prévisibilité, ainsi que les fonctionnalités d’apprentissage continu des systèmes d’IA, complicent l’application de concepts traditionnels tels que la rupture de contrat ou la causalité.

De plus, de nombreuses parties sont souvent impliquées dans le développement et le déploiement de l’IA, ce qui peut rendre la question de la responsabilité en cas de défaillance difficile à cerner. Cela peut concerner :

• le fabricant (y a-t-il un problème de conception, de production ou de fabrication ?)
• le développeur de logiciel/programmeur (s’agit-il d’un problème isolé ou interconnecté ?)
• le développeur ou le déployeur (l’apprentissage continu a-t-il influencé le système ?)
• l’utilisateur (les instructions d’utilisation ont-elles été suivies, les mises à jour logicielles effectuées, ou les protections de cybersécurité correctement installées ?).

Ou y avait-il un problème avec le système d’IA lui-même ?

Les régimes de responsabilité existants

Négligence

Pour établir une négligence, le plaignant doit prouver que le défendeur a une obligation de diligence, ce qui nécessite une relation suffisamment proche entre les parties. Cela peut s’avérer complexe si le défendeur (fabricant/développeur/fournisseur) n’a pas conservé le contrôle sur le système d’IA.

Établir un lien de causalité pourrait également poser des difficultés si l’on ne peut pas identifier comment une défaillance s’est produite, à quel endroit de la chaîne d’approvisionnement et quelle partie est responsable, en particulier lorsque le système d’IA a continué à évoluer après son déploiement initial par le biais de l’apprentissage autonome. L’imprévisibilité des systèmes d’IA pourrait également rendre difficile pour le plaignant de prouver que sa perte était prévisible.

Rupture de contrat

Des revendications contractuelles pourraient surgir sous les garanties statutaires ou des termes implicites si un système d’IA n’est pas adapté à son objectif, d’une qualité satisfaisante ou ne correspond pas à la description. Il est néanmoins discuté de savoir si l’IA peut être considérée comme un ‘produit’ dans ce contexte. De plus, les clauses contractuelles qui excluent ou limitent la responsabilité peuvent ne pas s’appliquer à l’IA, laissant un risque significatif pour les défendeurs souhaitant s’y fier dans des contrats interentreprises (B2B) soumis au test de la raisonnabilité.

Responsabilité stricte

La Directive sur la responsabilité du fait des produits 85/374/CE institue un régime de responsabilité stricte (sans faute) permettant aux consommateurs d’intenter une action en justice lorsqu’un défaut d’un produit a causé des blessures corporelles ou des dommages matériels. Cependant, les tribunaux ont constaté que les logiciels non intégrés à du matériel ne constituent pas un ‘produit’. Ainsi, il existe une incertitude quant à savoir si le code intangible soutenant un processus d’IA serait un ‘produit’, laissant une lacune dans la législation.

L’UE mène activement la mise à jour des cadres réglementaires et de responsabilité produit pour assurer leur adéquation avec les technologies nouvelles et innovantes. La nouvelle Directive sur la responsabilité du fait des produits 2024/2853 (Nouvelle PLD) entrera en vigueur le 9 décembre 2024 et remplacera la quasi-quarantaine de la PLD actuelle. Les États membres devront intégrer les changements requis par la Nouvelle PLD dans leur législation nationale d’ici décembre 2026. Pendant la période de transition, les deux cadres pourraient s’appliquer en parallèle, selon le moment de la commercialisation du produit.

La Nouvelle PLD est semblable à son prédécesseur en ce qu’il s’agit d’un régime de responsabilité stricte, mais elle introduit également des changements significatifs. En particulier, son champ d’application inclut spécifiquement les logiciels et l’IA, indépendamment du mode de fourniture ou d’utilisation, qu’ils soient intégrés dans du matériel ou distribués de manière indépendante. Bien que les petits développeurs de logiciels puissent contractuellement exclure le recours par le fabricant final d’un produit intégrant un système d’IA, ils ne pourront pas exclure leur responsabilité en cas de décès ou de blessure corporelle.

Ce périmètre élargi est significatif, car il permet aux fournisseurs de systèmes d’IA, aux développeurs de logiciels tiers et aux autres acteurs de la chaîne d’approvisionnement d’être tenus responsables en cas de défaillance d’un système d’IA causant des dommages (y compris des atteintes à la santé mentale ou la destruction de données irréversibles pour la première fois). Cela même si le défaut n’était pas de leur faute.

De plus, lors de l’évaluation d’un défaut, les tribunaux doivent tenir compte de la conformité aux exigences de sécurité des produits en vigueur. Cela inclura le nouvel Acte sur l’Intelligence Artificielle (AI Act) qui sera effectif à partir du 2 août 2026. Cet acte établit des normes de sécurité qui doivent être respectées (et testées via une évaluation de conformité) pour les systèmes d’IA avant leur mise sur le marché et surveillées tout au long de leur cycle de vie afin de minimiser les risques qu’ils engendrent. Une violation de ces normes de sécurité pourrait entraîner une décision de défaut en vertu de la Nouvelle PLD.

La responsabilité des produits s’étendra également au-delà du moment où le produit est mis sur le marché, de sorte qu’un fabricant qui conserve le contrôle peut être responsable d’un défaut ultérieur causé par une mise à jour logicielle ou due à l’apprentissage continu d’un système d’IA. De même, une autre partie ayant modifié substantiellement un produit après sa mise sur le marché peut être responsable si cette modification cause des dommages.

La Nouvelle PLD vise à fournir aux entreprises une certitude lorsqu’elles fournissent ou déploient des systèmes d’IA en ce qui concerne les risques de responsabilité auxquels elles font face. Cependant, dans la réalité, la législation est favorable aux plaignants et risque de freiner plutôt que favoriser l’innovation.

C’est particulièrement le cas étant donné que le défaut sera présumé dans les cas impliquant des systèmes d’IA complexes où les plaignants feraient face à des difficultés excessives pour prouver leur affaire (à condition de démontrer que le produit a contribué à l’endommagement, et qu’il est probable qu’il était défectueux, ou que sa défectuosité est une cause probable du dommage). De plus, les entreprises défenderesses auront des obligations de divulgation plus étendues par rapport aux consommateurs, y compris la nécessité de fournir des informations détaillées sur le système d’IA utilisé dans un produit. Il s’agit d’un changement significatif dans les règles de procédure civile dans la plupart des juridictions européennes.

Mesures pratiques pour gérer/mitiger les risques

La jurisprudence dans ce domaine reste limitée. Il reste à voir comment les tribunaux appliqueront les cadres de responsabilité existants et nouveaux aux questions de responsabilité de l’IA. Les entreprises peuvent déjà prendre certaines mesures pour atténuer le risque de responsabilité en cas de défaillances de l’IA, telles que les suivantes.

• Réaliser des évaluations de risques approfondies couvrant les préoccupations relatives à la confidentialité des données, aux protections de cybersécurité et aux vulnérabilités, aux biais algorithmiques et à la conformité réglementaire. Identifier tout système à haut risque en vertu de l’AI Act.
• Considérer les conséquences d’un potentiel abus et s’il existe des mesures pratiques pour y faire face, par exemple en fournissant des manuels utilisateurs expliquant clairement le fonctionnement de la technologie IA, la prise de décision et les dangers d’une utilisation abusive.
• Effectuer des contrôles de qualité robustes et des audits, y compris concernant la qualité des données pour garantir que les systèmes d’IA soient précis et fiables.
• Mettre en œuvre des mesures de sécurité pour garantir que les systèmes d’IA soient protégés contre tout accès ou utilisation non autorisés et contre les risques de cybersécurité.
• Envisager comment se conformer aux demandes potentielles de divulgation et à quoi ressemblerait cette information, ainsi que les systèmes de répertoire de documents et les politiques de conservation des documents.
• Obtenir une couverture d’assurance pour atténuer les responsabilités financières potentielles lorsque des risques liés à l’IA se concrétisent.
• Revoir les contrats fournisseurs et envisager de mettre à jour les termes comme les exclusions, les garanties et les processus de fourniture de documents/divulgation.

À mesure que l’IA continue d’évoluer et de s’intégrer de plus en plus dans divers secteurs, la question de la responsabilité devient de plus en plus complexe. La réponse sera influencée par une combinaison de législations mises à jour, de supervision réglementaire et de jurisprudence, et nous recommandons aux acteurs concernés de suivre de près ces évolutions.