Aux Pays-Bas, la responsabilité des systèmes d'IA incombe toujours à une personne physique ou morale, jamais au logiciel lui-même. Deux rôles sont à considérer en pratique : l'utilisateur, c'est-à-dire la personne physique ou morale qui déploie le système et prend des décisions à son sujet, et le producteur, c'est-à-dire l'entité qui a développé le système, l'a mis sur le marché ou l'a fourni. La responsabilité de chacun dépend de l'origine de la défaillance, des connaissances de chacun et des termes du contrat qui les lie. Cet article examine ces deux rôles ; le cadre juridique pénal, de la faute fonctionnelle à la responsabilité des personnes morales en vertu de l'article 51 du Code pénal, est présenté dans notre article complémentaire consacré à la question de la responsabilité partielle d'un algorithme.
Pourquoi le système n'est jamais l'accusé
Le droit néerlandais reconnaît deux catégories de personnes : les personnes physiques et les personnes morales. Un système d’IA n’appartient à aucune de ces catégories. Il ne peut avoir de droits, être assigné en justice, condamné à une amende ou à des dommages et intérêts, car il ne possède rien et n’a pas d’existence juridique distincte de celle de l’entreprise qui l’exploite. Des propositions visant à créer une troisième catégorie, parfois appelée personnalité juridique électronique, ont été débattues au niveau européen, sans aboutir, pour une raison plus pragmatique que philosophique : un dispositif de responsabilité sans actifs et incapable de modifier son comportement transférerait le risque aux parties qui peuvent réellement prévenir le préjudice.
La question n'est donc jamais de savoir si la machine est responsable. Il s'agit plutôt de déterminer quel acteur humain ou institutionnel de la chaîne a manqué à ses obligations. Cette chaîne suit une structure prévisible : la partie qui a conçu le modèle, celle qui l'a transformé en produit, celle qui l'a fourni ou intégré, l'organisation qui l'a déployé et la personne qui a appuyé sur le bouton. La responsabilité des systèmes d'IA consiste à identifier le manquement dans cette chaîne et à le relier à un fondement juridique.
Deux fondements juridiques prédominent. Pour l'utilisateur, il s'agit du droit de la responsabilité civile délictuelle et de l'obligation de prudence liée à l'utilisation d'un outil puissant au service d'autrui. Pour le fabricant, il s'agit de la responsabilité du fait des produits, qui ne requiert aucune faute. Tout le reste, y compris les poursuites pénales, s'y ajoute.
La position de l'utilisateur
Les utilisateurs sous-estiment leur exposition car ils perçoivent le système comme une boîte noire conçue par un tiers. En droit, la personne qui choisit de déployer un outil, le configure, l'alimente en données et agit en fonction de ses résultats accomplit une action, et cette action est évaluée en elle-même.
Lorsque le système n'est qu'un instrument d'infraction
Les cas les plus simples sont ceux où un système d'IA est utilisé délibérément. Générer une facture convaincante pour escroquer une entreprise constitue une fraude au sens de l'article 326 du Code pénal, que le document ait été rédigé par une personne ou par un modèle. La falsification d'un document reste un faux au sens de l'article 225, quel que soit l'outil utilisé. L'utilisation d'un modèle pour écrire un code malveillant constitue toujours une intrusion informatique au sens de l'article 138ab. La génération et la diffusion d'images manipulées d'une personne réelle peuvent constituer une diffamation et, si le contenu est de nature sexuelle, relèvent des infractions prévues par la loi relative aux infractions sexuelles, applicable depuis le 1er juillet 2024. Le harcèlement persistant d'une personne à l'aide d'une IA peut constituer du harcèlement criminel au sens de l'article 285b, qui n'est poursuivi que sur plainte de la victime.
Rien de tout cela ne constitue une loi nouvelle. La technologie modifie l'ampleur et la plausibilité de la tromperie, mais pas les éléments constitutifs de l'infraction. Ce qu'elle modifie, ce sont les preuves : les messages d'invite, les journaux de compte, les résultats des modèles et la date de création des fichiers sont les éléments qui permettent d'identifier une personne et de relier l'infraction à une personne physique. Les utilisateurs qui pensent que le contenu généré par l'IA est intraçable se trompent généralement.
Utilisation négligente : le risque le plus courant
Bien plus souvent, les organisations rencontrent des difficultés par négligence que par malveillance. Le schéma est bien connu : un système est acheté pour un usage précis et utilisé à d’autres fins. Son résultat est interprété comme une décision plutôt que comme un simple signal. Personne ne vérifie les cas où il se trompe, car les personnes qui l’utilisent n’ont jamais été informées de son taux d’erreur ni de ses points faibles. Lorsque le préjudice survient, l’organisation découvre qu’elle n’a aucune trace de la manière dont la décision a été prise.
En matière civile, il s'agit d'un délit civil classique : l'article 6:162 du Code civil rend une personne responsable d'un acte illicite qui lui est imputable et qui cause un dommage. Le manquement à une obligation de diligence dans la société constitue une catégorie d'illicéité, et le contenu de cette obligation est déterminé par ce qu'aurait fait une personne prudente placée dans la même situation. Un employeur est également responsable des fautes de ses employés en vertu de l'article 6:170, et la partie qui recourt à un sous-traitant pour exécuter une obligation contractuelle est responsable de ce sous-traitant en vertu de l'article 6:76, disposition qui vise une organisation utilisant le modèle d'un fournisseur pour fournir sa propre prestation.
L'obligation de diligence n'est plus laissée à l'entière interprétation des tribunaux. La loi européenne sur l'IA impose aux déployeurs de systèmes à haut risque des obligations concrètes : utiliser le système conformément aux instructions, confier la supervision humaine à des personnes compétentes et habilitées, s'assurer de la pertinence des données d'entrée sous leur contrôle, surveiller le fonctionnement et suspendre l'utilisation en cas de risque, conserver les journaux d'activité et informer les travailleurs et leurs représentants avant le déploiement d'un tel système sur le lieu de travail. Ces obligations sont réglementaires, mais un tribunal saisi d'une affaire de négligence les interprétera comme une description des bonnes pratiques. Une organisation qui a ignoré les instructions d'utilisation n'est pas seulement en infraction ; elle a fourni au plaignant des éléments constitutifs de l'infraction.
Le biais d'automatisation mérite une attention particulière, car il révèle les failles insidieuses du contrôle. Un examinateur qui approuve la quasi-totalité des propositions du système ne pratique pas un contrôle adéquat, et une organisation qui évalue son personnel au rendement a de fait induit ce résultat en erreur. La question juridique est de savoir si une décision humaine a réellement été prise, et une simple approbation automatique ne saurait suffire.
Lorsque l'utilisateur ne peut pas transférer le risque à
Trois points surprennent régulièrement les organisations qui supposaient que le risque était supporté par le fournisseur.
Premièrement, vis-à-vis du tiers lésé, l'utilisateur est la partie visible. Un client se voit refuser un crédit, un employé est rejeté par un outil de vérification, un patient est mal orienté : ces personnes ont un contrat avec le prestataire, ou sont en relation avec lui, et elles intenteront une action en justice contre ce dernier. La question de savoir si le prestataire peut obtenir réparation auprès de son fournisseur est distincte et dépend du contrat ; elle n'a pas pour effet de retarder l'action en justice intentée contre lui.
Deuxièmement, le Règlement général sur la protection des données (RGPD) s'applique indépendamment de toute autre disposition. Si le système traite des données à caractère personnel, l'opérateur est généralement le responsable du traitement, garant de la base juridique, de la transparence, de l'analyse d'impact et de la sécurité. Une décision prise exclusivement par des moyens automatisés et produisant des effets juridiques ou ayant un impact significatif sur une personne est soumise à une réglementation distincte, lui conférant un droit d'intervention humaine et la possibilité de contester la décision. Notre présentation du RGPD décrit ce régime.
Troisièmement, toute modification change votre rôle. Un déployeur qui appose son nom sur un système, en modifie la finalité ou le modifie substantiellement devient un fournisseur au sens de la loi sur l'IA et hérite des obligations qui en découlent. Adapter un modèle générique en un outil de sélection pour une décision réglementée constitue précisément le type d'action qui franchit cette limite. Les organisations qui s'appuient sur le modèle d'un tiers doivent déterminer leur position juridique avant le lancement, et non après un incident.
La position du producteur
La responsabilité du producteur est soumise à des règles différentes et plus strictes. La responsabilité du fait des produits défectueux, en vertu des articles 6:185 et suivants du Code civil, rend le producteur responsable des dommages causés par un défaut de son produit, sans que la victime ait à prouver la faute. Un produit est défectueux lorsqu'il n'offre pas la sécurité à laquelle une personne est en droit de s'attendre, compte tenu de sa présentation, de l'usage auquel on peut raisonnablement s'attendre et de la durée de sa mise en circulation. Le demandeur doit prouver le dommage, le défaut et le lien de causalité entre eux ; c'est là que réside la véritable difficulté dans une affaire de responsabilité du fait des produits défectueux.
Ce régime comporte des délais fixes. Les réclamations doivent être introduites dans un délai de trois ans à compter du jour où la partie lésée a eu connaissance, ou aurait dû avoir connaissance, du dommage, du défaut et de l'identité du producteur. Le droit de réclamation expire dix ans après la mise en circulation du produit concerné. La responsabilité au titre de ce régime ne peut être exclue ni limitée par contrat et couvre le décès, les dommages corporels et les dommages causés à d'autres biens à usage privé, sous réserve d'un seuil inférieur. Le producteur dispose de moyens de défense limités, notamment l'exception de risque lié au développement, qui s'applique lorsque l'état des connaissances scientifiques et techniques au moment de la mise en circulation du produit ne permettait pas de déceler le défaut.
La réforme qui change la place du logiciel
En vertu du régime néerlandais actuel, un produit est défini comme un bien meuble, et la question de savoir si un logiciel autonome relève de cette définition a fait l'objet de débats pendant des années. Ce débat touche à sa fin. La directive révisée relative à la responsabilité du fait des produits, directive (UE) 2024/2853, est entrée en vigueur le 8 décembre 2024 et doit être transposée en droit national au plus tard le 9 décembre 2026 ; elle s'applique aux produits mis sur le marché ou mis en service après cette date, de sorte que les dispositions actuelles du Code civil continuent de régir les produits commercialisés avant son entrée en vigueur. Quatre changements sont importants en matière de responsabilité pour les systèmes d'IA.
Les logiciels, y compris les systèmes d'IA et les fichiers de fabrication numérique, sont expressément considérés comme des produits. Le cercle des parties responsables s'étend au-delà du fabricant pour inclure la partie qui modifie substantiellement un produit hors du contrôle du fabricant, le représentant autorisé, l'importateur et, dans certaines circonstances, le prestataire de services logistiques et la plateforme en ligne. Le préjudice indemnisable est étendu à la destruction ou à la corruption de données non utilisées à des fins professionnelles, ce qui constitue une véritable catégorie de pertes en cas de défaillance logicielle. Un produit peut également être défectueux suite à un événement survenu après sa mise sur le marché : un défaut dans une mise à jour logicielle requise, un défaut de fourniture de mises à jour de sécurité ou les conséquences d'un apprentissage continu lorsque le producteur en conserve le contrôle.
La réforme s'attaque également de front au problème de la preuve. Un tribunal peut ordonner au défendeur de divulguer les éléments de preuve pertinents à la demande du demandeur ; en cas de refus, le vice de la preuve est présumé. Des présomptions simples de vice et de causalité s'appliquent lorsque le demandeur éprouve des difficultés excessives à les prouver en raison de la complexité technique ou scientifique, à condition qu'il rende la probabilité plausible. Pour un demandeur confronté à un modèle que personne ne peut expliquer pleinement, c'est là toute la différence entre une cause défendable et une cause impossible.
Contrat, conformité et limites des clauses d'exclusion
Entre entreprises, le premier champ de bataille est généralement le contrat plutôt que la loi. Un fournisseur de système d'IA est tenu à ses engagements : le système livré doit être conforme au contrat et posséder les qualités que l'acheteur était en droit d'attendre. Lorsqu'un fournisseur a promis un niveau de précision, de disponibilité ou de conformité à la loi sur l'IA, le non-respect de ces engagements constitue une rupture de contrat, et les recours habituels (exécution forcée, dommages-intérêts et résiliation) s'appliquent après une mise en demeure en bonne et due forme.
Les fournisseurs répondent par des clauses de limitation et d'exclusion, généralement efficaces entre entreprises. Ces clauses ne sont pas illimitées. Une clause peut être écartée si son application est déraisonnable au regard des principes de raisonnabilité et d'équité. C'est le principe retenu par les tribunaux en cas de négligence grave ou de faute lourde du fournisseur. De plus, une clause formulée en termes généraux peut être invalidée si l'autre partie n'a jamais eu la possibilité d'en prendre connaissance. La responsabilité au titre de la responsabilité du fait des produits ne peut être exclue contractuellement à l'égard de la partie lésée. En pratique, la négociation porte sur les plafonds de responsabilité, les exclusions pour les violations de données et les atteintes à la propriété intellectuelle, les indemnités pour les amendes réglementaires et l'obligation du fournisseur de fournir la documentation et les journaux nécessaires à la défense du client. Notre page relative aux demandes de dommages et intérêts explique comment ces demandes sont formulées.
Ce que la loi sur l'IA fait et ne fait pas
La loi sur l'IA est un instrument réglementaire. Elle définit les obligations des fournisseurs et des déployeurs et confère aux autorités de contrôle les pouvoirs nécessaires à son application ; elle ne crée pas de droit à indemnisation pour les personnes lésées par un système d'IA. La directive sur la responsabilité en matière d'IA, qui aurait harmonisé les recours civils et instauré des obligations de transparence et des présomptions pour tous, a été retirée. Il subsiste donc le système décrit précédemment : le droit national de la responsabilité civile et contractuelle, auquel s'ajoute le régime réformé de la responsabilité du fait des produits.
Cela ne rend pas la loi sur l'IA sans objet en matière de responsabilité. Elle est importante à trois égards. Elle fixe la norme de diligence, de sorte que le non-respect de celle-ci constitue une preuve de négligence. Elle génère des documents, car la documentation technique, les instructions d'utilisation, les journaux et le dossier de surveillance post-commercialisation sont tous prévus par la loi et peuvent être exigés en cas de procédure. Enfin, elle attribue les rôles, de sorte que la question de savoir qui est le fournisseur et qui est le déployeur, qui était auparavant sujette à controverse, trouve désormais une réponse juridique. Notre cabinet spécialisé en droit des technologies de l'information traite ces questions de classification avant même qu'elles ne deviennent litigieuses.
Là où l'utilisateur et le producteur se rencontrent
La plupart des incidents réels ne sont pas dus à une simple défaillance en bout de chaîne. Ils résultent d'un modèle entraîné sur des données non représentatives de la population cible, intégré par un fournisseur qui ne l'a pas testé dans ce contexte, déployé par une organisation qui l'a utilisé à des fins non prévues par la notice, et exploité par un personnel ignorant ses limites. Le droit néerlandais ne s'y oppose pas : plusieurs parties peuvent être tenues responsables d'un même dommage, chacune étant responsable de l'intégralité du dommage envers la victime, et elles répartissent ensuite les frais entre elles en fonction de leurs contributions respectives.
Le tableau ci-dessous indique où se situe généralement la responsabilité et sur quelle base.
| Fête | Base typique de responsabilité | Qu'est-ce qui détermine le résultat ? |
|---|---|---|
| Fournisseur ou fabricant | Responsabilité du fait des produits sans faute ; responsabilité contractuelle envers le client. | Si le système offrait le niveau de sécurité attendu, et si la documentation et les instructions étaient conformes à la réalité. |
| Partie qui modifie substantiellement | Il prend la position du producteur pour le produit modifié. | Que la modification ait dépassé l'objectif initial ou qu'elle ait été effectuée hors du contrôle du producteur d'origine. |
| Organisation de déploiement | Responsabilité délictuelle, manquement à son propre devoir de diligence, responsabilité envers ses employés et auxiliaires. | Utiliser conformément aux instructions, sous réserve d'une supervision humaine de qualité, de données saisies, d'un enregistrement et d'une surveillance. |
| Opérateur individuel | La responsabilité personnelle est rare ; la responsabilité pénale n'est engagée que lorsque le système est utilisé délibérément. | L’intention ou la faute grave, et la question de savoir si l’employeur est responsable. |
L'affaire des allocations familiales aux Pays-Bas est un point de référence récurrent dans tous les débats néerlandais. Elle illustre un schéma plutôt qu'un principe de droit : un système opaque de classification des risques, des décisions prises sur la base de ses résultats sans véritable évaluation individuelle, et des conséquences qui ont pesé entièrement sur les bénéficiaires. Ses suites juridiques ont été administratives et politiques plutôt que pénales, et nous analysons ce qu'elle révèle et ne révèle pas sur la responsabilité pénale dans notre article sur l'IA et le droit pénal.
Le problème des preuves et son évolution
Celui qui intente une action en justice doit en apporter la preuve, et dans les affaires d'IA, la preuve est souvent la partie la plus difficile. Le plaignant doit démontrer le fonctionnement du système, en quoi ce fonctionnement était erroné et que cette erreur a causé le préjudice. Les informations nécessaires à cet effet se trouvent chez le défendeur, et dans un modèle complexe, leur reconstitution peut s'avérer extrêmement difficile, même en interne.
Trois évolutions modifient cet équilibre. La consignation est désormais obligatoire pour les systèmes à haut risque ; l’enregistrement, auparavant facultatif, doit donc exister. La communication de preuves dans le cadre des actions en responsabilité du fait des produits est possible grâce à la réforme du régime, assortie d’une présomption de défaut en cas de non-respect des obligations par le défendeur. Enfin, la procédure civile néerlandaise permet déjà à une partie d’exiger la production de documents spécifiques pour lesquels elle a un intérêt légitime, ce qui est couramment utilisé pour obtenir des rapports d’essais, des journaux d’incidents et des évaluations internes des risques.
Pour un défendeur, la conclusion pratique est certes désagréable, mais sans équivoque : les documents conservés seront utilisés contre lui, et ceux qu’il a omis de conserver seront également retenus contre lui. Des enregistrements complets, datés et honnêtes des tests, des limitations connues, des incidents et de leur gestion constituent la meilleure défense possible, car ils démontrent que l’organisation a fait preuve de discernement plutôt que de s’en remettre à la chance. Si l’incident présente également une dimension pénale, par exemple un accès non autorisé à des systèmes ou une manipulation de données, le cadre pénal néerlandais relatif à la cybercriminalité et aux infractions informatiques s’applique parallèlement à la procédure civile, et l’enquête pénale permettra de saisir les mêmes éléments.
Systèmes autonomes dans le monde physique
Lorsqu'un système d'IA pilote un véhicule, fait voler un drone ou actionne un bras robotisé, une responsabilité supplémentaire s'applique, généralement plus stricte que celles évoquées jusqu'ici. Les dommages corporels entraînent une responsabilité au titre du risque, qui ne tient pas compte de la négligence d'autrui.
Pour les véhicules à moteur, l'article 185 du Code de la route de 1994 rend le propriétaire ou le détenteur du véhicule responsable des dommages causés aux piétons et aux cyclistes, sauf en cas de force majeure, condition très difficile à remplir. Cette règle est indifférente au fait que le véhicule soit conduit par un humain ou par un système d'assistance à la conduite : le détenteur du véhicule répond en premier, et tout recours contre le fabricant du logiciel intervient ultérieurement. Les essais de véhicules véritablement autonomes sur la voie publique nécessitent une autorisation en vertu de la législation néerlandaise spécifique relative à l'expérimentation, et les conditions attachées à cette autorisation, notamment la présence et le rôle d'un superviseur, font partie intégrante des obligations de diligence.
Les aéronefs sans pilote sont soumis à la réglementation européenne relative aux drones. Aux Pays-Bas, l'enregistrement des opérateurs et les exigences spécifiques à chaque catégorie sont gérés par la Rijksinspectie Digitale Infrastructuur (Autorité néerlandaise des infrastructures numériques). Un opérateur qui vole hors de sa catégorie ou sans les compétences requises enfreint non seulement la réglementation aérienne, mais adopte également un comportement non conforme aux normes de prudence, ce qui tranche la question de la négligence avant même que le débat technique sur le pilotage automatique ne commence.
Parallèlement à ces régimes, il existe la règle générale relative aux objets défectueux. Le détenteur d'un bien meuble non conforme aux normes qui peuvent lui être applicables, et qui, de ce fait, crée un danger particulier, est responsable du dommage causé par ce danger. Cette règle s'applique à la machine physique même lorsque le défaut sous-jacent réside dans son logiciel, ce qui explique notamment pourquoi le propriétaire d'un robot industriel ou d'un système d'entrepôt automatisé ne peut se contenter de rejeter la faute sur le fournisseur. Lorsque le régime de la responsabilité du fait des produits s'applique, les deux systèmes interagissent, et la partie lésée privilégiera généralement la voie la plus facile à prouver.
Pour les organisations exploitant des machines à fonctions autonomes, la conséquence pratique est que l'assurance et les contrats doivent être établis sur la base de la responsabilité objective, et non sur celle de la responsabilité délictuelle. Avoir recours contre un fournisseur est certes utile, mais cela n'empêche pas la réclamation de vous parvenir directement.
Réduire l'exposition des deux côtés
Les mesures qui réduisent la responsabilité liée aux systèmes d'IA sont les mêmes que celles qui permettent à ces systèmes de fonctionner correctement ; c'est pourquoi il est judicieux de les mettre en œuvre indépendamment du calendrier réglementaire.
Pour une organisation déployant un système, commencez par dresser un inventaire : quels systèmes sont utilisés, qui les a fournis, quelles décisions ou influences ils prennent et qui les exploite. Définissez votre rôle pour chacun d’eux, car les responsabilités du fournisseur et de l’exploitant diffèrent. Ensuite, décrivez l’objectif visé et respectez-le scrupuleusement ; la principale cause de responsabilité évitable est l’utilisation d’un outil à des fins pour lesquelles il n’a pas été validé. Donnez aux opérateurs une réelle autorité pour déroger à cette règle et évaluez-les sur leur jugement plutôt que sur leur volume d’interventions. Conservez les journaux d’incidents suffisamment longtemps pour qu’ils puissent être utiles en cas de litige. Consignez les incidents, y compris les quasi-accidents, et les mesures prises.
Pour un producteur ou un fournisseur, la liste équivalente s'applique à l'ensemble du cycle de vie : gestion des risques documentée, gouvernance des données explicable aux autorités de réglementation, tests auprès de la population cible, instructions d'utilisation transparentes quant aux limitations et aux taux d'erreur (plutôt que rassurantes), canal de signalement des problèmes par les clients et politique de mise à jour précisant les responsabilités en matière de correctifs de sécurité et leur durée. Le régime de responsabilité du fait des produits, récemment réformé, renforce ce dernier point : le défaut de fournir les mises à jour promises peut rendre le produit défectueux.
Les deux parties devraient considérer le contrat comme un exercice de répartition des risques plutôt que comme une simple formalité. Les clauses essentielles sont la description de l'objectif visé, les garanties de conformité et de performance, l'obligation de fournir la documentation et les journaux, les obligations de notification des incidents dans les deux sens, le plafond de responsabilité et ses exceptions, les indemnités en cas de réclamations de tiers et d'amendes réglementaires, ainsi que les modalités de sortie qui déterminent le sort du modèle et des données en cas d'arrêt de la collaboration. Un plafond négocié de manière abstraite, sans tenir compte des décisions concrètes du système, ne protège personne.
Enfin, il convient de garder à l'esprit le risque de poursuites pénales, même lorsque le risque immédiat est d'ordre civil. Si les poursuites contre une entreprise pour une défaillance d'IA restent rares, les éléments constitutifs sont néanmoins classiques : une obligation, un manquement, un préjudice prévisible et une organisation ayant accepté le risque. Lorsqu'un système est utilisé à des fins manifestement illégales, ou lorsqu'une entreprise continue d'exploiter un système dont elle sait qu'il cause un préjudice, la voie pénale est ouverte. L'analyse est présentée en détail dans notre article sur le droit pénal néerlandais et dans l'article complémentaire consacré aux algorithmes et à la responsabilité pénale.
Foire aux questions
Une IA peut-elle servir de témoin devant un tribunal ?
La réponse courte est non, du moins pas dans le paysage juridique actuel. La notion de témoin est fondamentalement humaine. Pour être témoin, une personne doit être capable de prêter serment et de promettre de dire la vérité. Elle doit également avoir une connaissance personnelle des événements en question et être capable de résister à un contre-interrogatoire, où sa mémoire, sa perception et sa crédibilité sont examinées.
Une IA ne remplit tout simplement pas ces critères. Elle est dépourvue de conscience, ne peut prêter serment et ne possède pas de souvenirs personnels au sens humain du terme. Au mieux, elle peut présenter des données qu'elle a traitées. Cela la rapproche davantage d'une pièce à conviction, comme un enregistrement de vidéosurveillance, que d'un véritable témoin. Les résultats de l'IA peuvent certes être présentés devant un tribunal, mais c'est un expert humain expliquant ces données qui, en tant que témoin, interviendrait.
Quelle est la différence entre la responsabilité civile et la responsabilité pénale en matière d'IA ?
Cette distinction est cruciale dès lors qu'une IA cause un préjudice. Si les affaires civiles et pénales impliquent une responsabilité juridique, leur finalité, la charge de la preuve et les sanctions sont totalement différentes.
Voici une façon simple d'y réfléchir :
- Responsabilité civile: Il s'agit de réparer le préjudice subi par la victime. L'objectif est d'obtenir réparation pour les dommages subis, tels que les pertes financières dues à un algorithme défectueux ou les blessures causées par un véhicule autonome. Le niveau de preuve requis est moins élevé : il s'agit souvent d'une simple « prépondérance des probabilités ».
- La responsabilité pénale: Il s'agit de punir un tort commis contre la société elle-même. Cela exige de prouver la culpabilité « hors de tout doute raisonnable » – un obstacle bien plus difficile à franchir – et peut entraîner des peines sévères comme l'emprisonnement ou de lourdes amendes.
Lorsqu'une intelligence artificielle est impliquée, une entreprise peut faire l'objet d'une action civile pour dommages et intérêts. En revanche, pour qu'une accusation pénale soit retenue, le procureur doit prouver qu'un être humain avait l'intention coupable ( mens rea ). C'est précisément pourquoi la responsabilité est imputée à une personne, et non à la machine.
Comment mon organisation peut-elle se préparer à la loi européenne sur l'IA ?
Avec des réglementations comme la loi européenne sur l'IA déjà en vigueur et s'appliquant progressivement, attendre l'entrée en vigueur des dernières obligations constitue une stratégie risquée. Une conformité proactive est le seul moyen de limiter efficacement vos risques juridiques.
Voici quelques étapes clés pour vous aider à démarrer :
- Classez vos systèmes d’IA : Tout d'abord, vous devez déterminer la catégorie de risque de vos applications d'IA : inacceptable, élevé, limité ou minimal. Cette classification déterminera vos obligations de conformité spécifiques.
- Effectuer des évaluations des risques : Pour tout système à haut risque, vous devez procéder à des évaluations approfondies afin d'identifier et de traiter les atteintes potentielles aux droits fondamentaux. Il ne s'agit pas d'une simple formalité administrative ; c'est une analyse en profondeur de l'impact de votre système.
- Assurer la transparence et la documentation : Conservez des enregistrements méticuleux de la conception de votre IA, des ensembles de données utilisés pour son entraînement et de ses processus décisionnels. Cette documentation est essentielle pour démontrer la conformité et la responsabilité en cas d'incident.
Law & More Nous conseillons les entreprises qui développent des systèmes d'IA et celles qui les utilisent sur la répartition des risques contractuels, la classification et les obligations au titre de la loi sur l'IA, ainsi que sur les recours juridiques en cas de préjudice causé par un système. Décrivez-nous votre situation. Nous vous indiquerons vos options sous 24 heures ouvrables.
