Contrats et IA : qui est responsable lorsque l’algorithme commet une erreur ?

La Nouvelle Frontière de la Responsabilité

L’intégration de l’intelligence artificielle et des algorithmes décisionnels dans la gestion d’entreprise (recrutement, scoring financier, maintenance prédictive) n’est plus une prospective. Désormais, c’est une réalité opérationnelle. Si ces outils offrent un gain de productivité, ils soulèvent une question juridique fondamentale : qui est responsable lorsque l’algorithme commet une erreur liée à l’IA ?

Le droit français n’ayant pas encore de régime spécifique à l’IA, la responsabilité se construit sur l’articulation de régimes existants. Ceux-ci incluent la responsabilité contractuelle du prestataire, la responsabilité du fait des choses et le droit des données personnelles.

1. La Responsabilité Contractuelle : Le Logiciel et l’Obligation de Conseil

L’IA est, avant tout, un logiciel sophistiqué. La relation entre le fournisseur (éditeur, ESN) et l’entreprise utilisatrice est donc encadrée par le droit des contrats.

Le prestataire est tenu d’une obligation de délivrance conforme. Un « bug », un dysfonctionnement ou une « hallucination » de l’IA qui entraîne un dommage pour l’entreprise utilisatrice constitue un manquement. Par ailleurs, la Cour d’appel d’Aix-en-Provence (8e Ch. A, 7 juin 2018, n° 13/18867) a ainsi jugé qu’un fournisseur « a manqué à son obligation de délivrance, justifiant ainsi la résiliation du contrat » en raison de dysfonctionnements répétés.

Plus important encore, le prestataire est tenu d’une obligation de conseil. De plus, la Cour d’appel de Paris (1er fév. 2019, n° 17/07176) a rappelé que ce devoir « impose au fournisseur de s’enquérir des besoins de son client afin d’être en mesure de l’informer quant à l’adéquation de la chose proposée à l’utilisation qui en est prévue ». Enfin, la charge de la preuve de l’exécution de ce conseil pèse sur le prestataire.

Appliqué à l’IA, cela signifie que le fournisseur doit informer son client des limites de l’algorithme, de ses biais potentiels et des conditions de son utilisation. Un manquement à cette obligation est une faute contractuelle. Ainsi, la responsabilité du prestataire peut être engagée.

2. Les Limites de la Responsabilité Délictuelle (Le Fait des Choses)

Une autre voie explorée est la responsabilité délictuelle, notamment la responsabilité du fait des choses (article 1242 C. civ.), qui pèse sur le « gardien ». Cependant, le logiciel ou l’algorithme peut-il être qualifié de « chose » ?

La jurisprudence dominante reste réticente à appliquer ce régime aux biens immatériels. En effet, les décisions, comme celles de la CA d’Aix-en-Provence ou de Paris, privilégient l’analyse contractuelle (obligation de délivrance) plutôt que la responsabilité du fait des choses. À moins que l’IA ne soit intégrée dans un objet matériel (robot, véhicule) ayant causé un dommage, la voie de la responsabilité du fait des choses immatérielles reste juridiquement incertaine.

3. Le Risque Réel : La Décision Automatisée (RGPD et Biais)

Le risque le plus immédiat ne provient pas d’un « bug », mais d’une décision algorithmique biaisée ou discriminatoire prise en violation du droit des données.

C’est le champ d’application de la Loi Informatique et Libertés et du RGPD. Aussi, la Cour d’appel de Paris (Pôle 5 Ch. 11, 14 avril 2023, n° 19/09244) rappelle que le RGPD « encadre le traitement des données » et impose des obligations de sécurité et de loyauté.

Plus spécifiquement, l’Article 47 de la Loi Informatique et Libertés pose des limites strictes : il interdit qu’une « décision produisant des effets juridiques » (ex: un refus d’embauche, un refus de crédit) soit prise « sur le seul fondement d’un traitement automatisé ». Cependant, il existe des exceptions (comme l’exécution d’un contrat) et sous réserve de garanties pour la personne.

La responsabilité est double :

• Le fournisseur est responsable si son algorithme est « mal conçu » (biaisé, discriminatoire).

L’entreprise utilisatrice est responsable (en tant que « responsable de traitement ») de la décision qu’elle prend sur la base de cet algorithme. Elle doit garantir la transparence et l’explicabilité. Par ailleurs, elle doit garantir le droit à une intervention humaine. Le Conseil d’État (19 juin 2017, n° 398442) a confirmé le droit du plaignant à être informé de la nature des manquements retenus par la CNIL.

Une Responsabilité à Contractualiser

L’erreur d’une IA n’est pas un cas de force majeure. Elle engage une chaîne de responsabilités. Pour le dirigeant de PME qui utilise ces outils, la stratégie de sécurité repose sur deux piliers :

1. Auditer l’outil : S’assurer que l’algorithme n’est pas discriminatoire et qu’il respecte les principes du RGPD (Article 47 LIL).

Contractualiser la responsabilité : Le contrat avec le fournisseur d’IA est crucial. Il doit définir précisément l’obligation de conseil et les garanties de conformité (absence de biais). De plus, il doit prévoir les procédures de correction des bugs et la répartition des responsabilités en cas de dommage causé à un tiers.