L’IA s’est trompée et a causé un dommage : qui peut être responsable et que faut-il prouver ?

Un système d'intelligence artificielle recommande le mauvais médicament, écarte une candidature, calcule incorrectement une obligation, donne une consigne technique dangereuse ou produit une information inexacte utilisée dans une décision professionnelle. La première question est généralement : « Qui est responsable, l'IA ? » Juridiquement, toutefois, l'IA n'est pas une personne autonome qui verse une indemnisation. Il faut examiner les personnes et les entreprises qui l'ont conçue, fournie, intégrée ou choisie et qui ont utilisé son résultat.

En outre, une erreur ne constitue pas automatiquement un dommage indemnisable. Il faut un préjudice concret, un fondement juridique de responsabilité et un lien de causalité. Le même résultat peut être simplement gênant dans un cas et décisif dans un autre, lorsqu'il affecte la santé, les biens, l'emploi, le crédit ou des droits.

1. Distinguer d'abord l'erreur du dommage juridiquement reconnu

Un chatbot peut fournir une réponse inexacte sans qu'un dommage en résulte. Si l'utilisateur la repère et n'agit pas sur son fondement, le service peut être défaillant sans produire de conséquence indemnisable. En revanche, si la même réponse conduit, après un usage raisonnable, à une perte financière, une atteinte corporelle, une destruction de données, une discrimination ou une atteinte aux droits de la personnalité, l'appréciation juridique change.

Quatre questions doivent recevoir une réponse distincte :

1. quelle information ou fonction précise était inexacte ou défectueuse,
2. qui avait l'obligation de concevoir, contrôler, mettre à jour ou superviser le système,
3. quel dommage concret s'est produit et comment il est évalué,
4. si le dommage se serait produit sans le résultat litigieux ou la défaillance du système.

Une expérience désagréable, une méfiance générale ou la simple violation d'une règle ne se transforment pas, à elles seules, en créance indemnitaire. De même, une clause indiquant que « le système peut commettre des erreurs » n'exclut pas automatiquement toute responsabilité lorsque le produit ou le service est utilisé de manière prévisible.

2. Qui peut intervenir dans la chaîne

L'application visible n'est pas toujours la seule partie susceptible d'être responsable. Un système peut utiliser le modèle d'un tiers, les données d'un autre fournisseur, un logiciel supplémentaire et les règles établies par l'entreprise qui a pris la décision finale.

1. Fournisseur ou fabricant du modèle : développe ou fournit le système sous-jacent et ses capacités techniques.
2. Fournisseur de l'application : intègre le modèle et conçoit l'interface, les avertissements et les parcours d'utilisation.
3. Entreprise ou organisme public qui l'utilise : détermine la finalité, les données, les limites et la supervision humaine.
4. Professionnel : médecin, ingénieur, avocat, comptable ou autre professionnel qui utilise le résultat dans le cadre de sa propre obligation de diligence.
5. Distributeur, importateur ou mandataire : peut se voir attribuer un rôle particulier par les règles relatives aux produits.
6. Utilisateur final : peut avoir ignoré des limites claires, saisi des données erronées ou utilisé l'outil à une fin non prise en charge.

La responsabilité ne se répartit pas mécaniquement entre tous les intervenants. Il faut examiner ce que chacun contrôlait, ce qu'il avait promis, ce qu'il savait ou aurait dû savoir et quel acte a contribué au dommage.

3. Ce que fait et ne fait pas l'AI Act

Le règlement (UE) 2024/1689 sur l'intelligence artificielle impose des obligations selon le rôle de l'acteur et le risque présenté par le système. Pour certaines catégories, il comprend des règles relatives à la gestion des risques, aux données, à la documentation technique, aux journaux, à la transparence, à la supervision humaine et au suivi.

L'AI Act n'est pas une loi générale d'indemnisation automatique. L'article 85 prévoit la possibilité d'introduire une réclamation auprès d'une autorité de surveillance du marché. L'article 86 accorde, sous certaines conditions, le droit d'obtenir une explication claire et pertinente sur le rôle d'un système à haut risque dans certaines décisions qui produisent des effets juridiques ou affectent sensiblement une personne. Ces voies peuvent faciliter le contrôle, mais elles n'accordent pas à elles seules une indemnisation.

Le règlement s'applique par étapes. Le calendrier européen officiel de mise en application doit être consulté pour déterminer l'obligation concernant chaque système. Il est inexact de considérer que toutes les dispositions sont devenues applicables le même jour ou que toute application d'IA est « à haut risque ».

4. Lorsque le problème naît d'un contrat ou d'un service numérique

Si vous avez payé pour une application, une plateforme professionnelle ou un service intégrant l'IA, il faut examiner sa description, les fonctions convenues, les garanties, les limitations, les mises à jour et l'assistance. Un outil vendu pour un objectif professionnel précis est apprécié différemment d'un chatbot généraliste gratuit qui avertit qu'il ne fournit pas de conseil spécialisé.

La version des conditions applicable lors de l'achat, la publicité, la facture, la documentation technique, le niveau de service, les rapports d'erreur et les réponses de l'assistance sont des preuves importantes. Des conditions ultérieures ne doivent pas remplacer silencieusement celles qui étaient en vigueur au moment des faits.

Les contrats conclus avec des consommateurs sont soumis aux règles relatives aux contenus et services numériques, aux clauses abusives et aux pratiques trompeuses. La compilation officielle de la législation nationale sur la protection des consommateurs regroupe la loi 2251/1994 et les modifications correspondantes. Selon les faits, le recours peut consister dans la mise en conformité, une réduction du prix, la résolution du contrat ou une indemnisation.

5. Responsabilité extracontractuelle et responsabilité du professionnel qui a utilisé le résultat

La responsabilité civile générale examine le comportement illicite et fautif, le dommage et le lien de causalité. Lorsqu'un professionnel utilise l'IA, l'outil ne fait pas disparaître sa propre obligation de diligence. Il faut notamment savoir si le résultat devait être vérifié, s'il a été utilisé dans un domaine approprié et si les limitations essentielles ont été signalées.

Il n'existe pas un degré de contrôle unique pour tous les usages. Une proposition de formulation n'est pas comparable à un diagnostic, un calcul de structure, un délai juridique ou une décision de recrutement. Plus le risque prévisible est élevé et plus la décision est difficile à inverser, plus une véritable vérification humaine devient importante.

Le professionnel n'est pas automatiquement responsable de toute erreur technique du fournisseur. Inversement, il n'est pas exonéré parce que « l'algorithme l'a dit ». Il faut déterminer qui avait accès aux informations, qui pouvait détecter le problème et si la décision humaine a interrompu ou renforcé la chaîne causale.

6. Quand un logiciel peut être examiné comme un produit défectueux

La responsabilité du fait des produits ne se confond ni avec la responsabilité contractuelle ni avec la responsabilité extracontractuelle. Elle examine si le produit offrait la sécurité à laquelle le public pouvait légitimement s'attendre, compte tenu de sa présentation, de son usage raisonnablement prévisible, de la date de sa mise en circulation et d'autres éléments. Un résultat inexact ne prouve pas, à lui seul, l'existence d'un défaut.

La nouvelle directive (UE) 2024/2853 relative à la responsabilité du fait des produits défectueux inclut expressément les logiciels et les systèmes d'IA dans la définition du produit. Elle prévoit des règles adaptées aux produits numériques, aux mises à jour, à la cybersécurité, à la divulgation des éléments de preuve et à certaines présomptions.

Cela ne signifie pas que la nouvelle directive constitue déjà l'intégralité du régime grec applicable à tout incident actuel. Elle doit être transposée en droit national au plus tard le 9 décembre 2026, et l'acte grec de transposition devra être vérifié après sa publication.

7. La date transitoire déterminante de la nouvelle directive

À la suite du rectificatif publié le 7 mai 2026, la nouvelle directive s'applique aux produits mis sur le marché ou mis en service après le 8 décembre 2026. Pour les produits et incidents antérieurs, il faut examiner le régime précédent et les autres fondements de responsabilité disponibles.

Cette distinction est importante pour les applications continuellement mises à jour. Il faut consigner la version utilisée, l'identité de celui qui a fourni la fonction et la date correspondante. Il n'est pas fiable de choisir la législation applicable en se fondant uniquement sur la date à laquelle l'utilisateur a constaté l'erreur.

La proposition de directive européenne consacrée spécifiquement à la responsabilité en matière d'IA, COM(2022)496, a été retirée le 6 octobre 2025. Les présomptions et règles de divulgation qu'elle proposait ne font pas partie du droit en vigueur. La procédure législative officielle consigne ce retrait.

8. Quel dommage doit être prouvé

La demande doit décrire une conséquence réelle, et non la seule existence d'un bug ou d'une violation. Selon le fondement juridique, elle peut concerner une atteinte corporelle, un dommage matériel, la destruction ou l'altération de données, une perte de revenus, des coûts supplémentaires, une atteinte aux droits de la personnalité ou un autre préjudice reconnu.

Toute perte purement économique n'est pas indemnisée de la même manière. La nouvelle directive sur la responsabilité du fait des produits contient sa propre définition du dommage couvert, tandis que le droit des contrats, la responsabilité extracontractuelle et le droit de la consommation posent des conditions différentes. Consignez :

1. le montant ou l'élément d'actif initial avant l'incident,
2. la modification concrète qui a été causée,
3. les factures, éléments médicaux, rapports techniques ou pertes de revenus,
4. les mesures raisonnables prises pour limiter le dommage,
5. les autres causes qui ont pu y contribuer.

Une formulation excessive affaiblit le dossier. Une présentation chronologique et financière documentée est plus utile qu'une affirmation générale selon laquelle « l'IA a tout détruit ».

9. Le lien de causalité et la décision humaine

Les applications d'IA comportent souvent plusieurs étapes intermédiaires. Un résultat est présenté à un salarié, celui-ci le vérifie ou non, une entreprise applique une règle, puis une conséquence se produit. L'enquête doit établir quelle étape a été déterminante.

L'intervention humaine n'exonère pas toujours le fournisseur et ne transfère pas nécessairement toute la responsabilité à l'opérateur. Une personne peut ne disposer que d'un bouton formel de validation, sans temps, informations ni possibilité réelle de s'écarter de la recommandation. À l'inverse, un jugement professionnel indépendant peut constituer un facteur intermédiaire important.

Il faut des journaux montrant l'entrée, le résultat, le niveau de confiance ou d'autres indicateurs lorsqu'ils existent, les avertissements, l'intervention de l'utilisateur, la décision finale et l'heure. Si le fournisseur détient des informations essentielles, une demande rapide de conservation peut être nécessaire avant l'expiration de la durée contractuelle de conservation.

10. Comment préserver une preuve numérique fiable

Une capture d'écran ne montre que ce qui était visible sur un écran. Elle ne prouve pas toujours quelle version a produit le résultat, si d'autres messages l'ont précédé, si le fichier a été modifié ou quel compte a été utilisé. Conservez l'exportation complète lorsqu'elle est disponible ainsi que le fichier original non modifié.

1. exportez l'intégralité de la conversation ou du rapport, et non le seul extrait litigieux,
2. conservez les URLs, IDs, en-têtes, horodatages et confirmations de transaction,
3. consignez le modèle, la version de l'application, les paramètres et les sources connectées,
4. conservez l'entrée initiale, les pièces jointes et les avertissements affichés,
5. créez une empreinte numérique du fichier si son intégrité risque d'être contestée,
6. ne « nettoyez » ni ne recréez des preuves avec l'IA sans conserver l'original.

Les métadonnées et les hachages ne prouvent pas à eux seuls la véracité du contenu, mais ils aident à vérifier si un fichier déterminé a été modifié. Une affaire grave peut nécessiter une expertise technique et une procédure légale pour obtenir les informations détenues par des tiers.

11. Quelle voie suivre

Commencez par une notification écrite à l'entreprise ou au professionnel qui a joué le rôle direct. Décrivez les faits, le dommage, les preuves, la demande de conservation et la réparation précise sollicitée. N'adressez pas de menaces vagues à tous les intervenants potentiels : elles compliquent la clarification.

1. Contrat ou service fourni à un consommateur : demandez au cocontractant la mise en conformité, un remboursement, une correction ou une indemnisation.
2. Données à caractère personnel : exercez le droit d'accès, d'opposition ou un autre droit approprié et, si nécessaire, introduisez une réclamation auprès de l'autorité compétente.
3. AI Act : utilisez la procédure de réclamation auprès de l'autorité de surveillance compétente en cas de violation des règles du règlement.
4. Service professionnel : examinez le contrat, les obligations de diligence, l'assurance de responsabilité et toute procédure disciplinaire éventuelle.
5. Produit ou logiciel défectueux : identifiez le producteur, la version, la date de mise à disposition et le régime transitoire applicable.
6. Danger immédiat ou infraction pénale : la protection des personnes, des systèmes et des preuves ainsi que la saisine de l'autorité publique compétente sont prioritaires.

Ces voies peuvent se cumuler. Une enquête administrative peut fournir des éléments utiles, mais il ne faut pas laisser expirer entre-temps un délai de prescription, un délai contractuel ou la possibilité de déclarer le sinistre à l'assureur.

12. Ce qu'il faut retenir avant d'agir

N'essayez pas de prouver que « l'IA est généralement peu fiable ». Prouvez quel système, quelle version, quelle entrée, quel résultat et quelle utilisation humaine sont liés à votre dommage. Identifiez les intervenants et choisissez le fondement juridique correspondant à la relation et à la nature du préjudice.

L'AI Act ajoute des obligations et des voies de contrôle, tandis que la nouvelle directive européenne sur la responsabilité du fait des produits modernise la responsabilité applicable aux logiciels. Aucun de ces deux textes ne supprime la nécessité d'établir le contrat, l'obligation de diligence, le dommage réel et le lien de causalité. La conservation en temps utile de la chaîne de preuve numérique est généralement l'étape qui ne peut plus être reconstituée ultérieurement.