- Le cadre réglementaire évolue du principe de la faute vers la responsabilité stricte pour les systèmes d'IA à haut risque.
- Le règlement européen sur l'IA établit une gestion des risques ex ante afin de garantir la sécurité et l'éthique du déploiement technologique.
- La réparation des dommages se heurte à des défis complexes en raison de l'opacité des algorithmes et de l'autonomie des machines.
De nos jours, il semble qu'il ne se passe pas une minute sans que l'on entende parler de ChatGPT, de Perplexity ou de robots opérant en salle d'opération. Cette révolution technologique a bouleversé nos vies, et si nous sommes émerveillés par la facilité avec laquelle ces outils nous simplifient le quotidien, ils ont aussi ouvert la boîte de Pandore sur le plan juridique. Le problème est que le droit est souvent en retard sur la technologie , et lorsqu'un algorithme prend une décision autonome qui aboutit à une catastrophe, il ne suffit pas de dire : « C'est la faute de la machine. »
Nous entrons dans une zone d'ombre où les concepts classiques du droit civil s'avèrent insuffisants. Il ne s'agit pas simplement d'un problème logiciel, mais de systèmes capables d'apprendre et d'évoluer de manière autonome, ce qui rend la détermination de l'origine des dommages particulièrement complexe. C'est pourquoi il est crucial d'analyser l'évolution du cadre législatif, notamment au sein de l'Union européenne, afin que ni les entreprises ni les utilisateurs ne se retrouvent dans un vide juridique où personne n'assume ses responsabilités.
Que comprenons-nous réellement par IA d'un point de vue juridique ?
Pour éviter toute hypothèse hasardeuse, il convient d'abord de définir précisément de quoi nous parlons. La Commission européenne et le récent règlement (UE) 2024/1689 décrivent l'IA comme des systèmes automatisés fonctionnant avec différents niveaux d'autonomie . Il ne s'agit pas de simples programmes exécutant des instructions prédéfinies, mais plutôt de systèmes traitant des données d'entrée pour générer des résultats – tels que des prédictions ou des décisions – susceptibles de modifier le monde physique ou virtuel. L'élément essentiel est que, bien qu'elles simulent un comportement intelligent, elles sont dépourvues de conscience et de libre arbitre , ce qui, pour l'instant, exclut de leur accorder une personnalité juridique indépendante.
Les risques qui mettent en péril nos droits
Le déploiement de l'IA n'est pas sans risques. Trois principaux domaines de risque préoccupent les autorités de réglementation. Le premier concerne les atteintes aux droits fondamentaux , notamment au respect de la vie privée et à la non-discrimination. L'utilisation de données biométriques à des fins de surveillance de masse ou de biais algorithmiques peut conduire au rejet injustifié d'une personne lors d'un processus de sélection ou d'une demande de crédit bancaire, sur la base de préjugés involontairement intégrés par le développeur.
En revanche, des failles de sécurité et un fonctionnement inefficace existent. Une cyberattaque contre un système financier basé sur l'IA ou un dysfonctionnement d'un robot chirurgical peuvent causer des dommages matériels et humains extrêmement graves . Enfin, des risques systémiques existent, allant de la désinformation massive (fausses nouvelles) aux pertes d'emplois, engendrant un sentiment d'impuissance chez les consommateurs qui, souvent, ignorent même s'ils interagissent avec l'IA.
Le labyrinthe de la responsabilité civile
C'est là que les choses se compliquent. Traditionnellement, en Espagne, on applique l'article 1902 du Code civil, qui stipule que si l'on cause un dommage par faute ou négligence, on doit le réparer. Mais comment prouver la négligence d'un programmeur si le système a appris un comportement imprévu grâce à l'apprentissage automatique ? Cette opacité algorithmique rend le modèle classique de responsabilité subjective insuffisant.
Le combat entre la culpabilité et le risque
Le débat est vif quant à l'opportunité d'adopter un modèle de responsabilité objective , notamment pour les IA à haut risque. Dans ce système, la victime n'aurait plus à prouver la négligence d'autrui ; il suffirait de démontrer que le système a causé le préjudice et qu'un lien de causalité existe. Le principe serait similaire à celui des accidents de la route : le risque étant créé par celui qui met la machine en service, ce dernier devrait être tenu responsable et indemniser la victime, indépendamment de toute mauvaise foi.
Le cas critique des véhicules autonomes
Les voitures autonomes illustrent parfaitement ce dilemme. Actuellement, une limite est fixée : tant que l’humain conserve le contrôle final, le conducteur est responsable. Mais lorsque l’autonomie sera totale, le cadre juridique devra évoluer radicalement. On ne pourra plus invoquer la force majeure pour se dégager de toute responsabilité en cas de défaillance logicielle. Il est probable que l’assurance responsabilité civile spécifique devienne obligatoire et que des fonds de garantie soient créés afin d’assurer une indemnisation aux personnes lésées.
La loi sur l'IA et la stratégie de l'Union européenne
L'UE a franchi une première étape avec le règlement sur l'intelligence artificielle (loi AI Act), le premier règlement global au monde sur le sujet. Ce règlement n'aborde pas directement la responsabilité civile (qui relève de directives spécifiques), mais il établit un système de gouvernance ex ante . Il classe l'IA selon son niveau de risque : du risque inacceptable (interdiction) au risque élevé, qui concerne notamment des secteurs comme la santé, l'éducation et la gestion des infrastructures critiques.
- Systèmes à haut risque : Ils doivent satisfaire à des exigences strictes en matière de transparence, de cybersécurité et de contrôle humain.
- Présomption de causalité : Il est proposé de faciliter la preuve pour les victimes, en permettant que certaines violations de la loi sur l'IA soient prises en compte négligence présumée.
- Droit à l'oubli et RGPD : Le traitement des données personnelles reste soumis au RGPD, garantissant ainsi qu'une utilisation abusive des informations personnelles par le biais de l'IA donne lieu à une indemnisation effective.
Obligations pour éviter une catastrophe
Pour éviter de verser des indemnités astronomiques, une entreprise doit mettre en place des mesures de conformité légale et des comités d'éthique . Il ne suffit pas que le système fonctionne ; il doit être auditable et transparent. La prévention passe par l'élimination des biais dans les données d'entraînement et la garantie qu'une personne soit toujours disponible pour désactiver la fonctionnalité en cas d'urgence. Le non-respect de ces obligations de diligence raisonnable sera déterminant dans les futurs litiges pour établir les responsabilités en matière de dommages et intérêts.
L'évolution vers un marché unique numérique exige que les règles soient identiques pour tous en Europe, afin d'empêcher certaines entreprises de se réfugier dans des paradis fiscaux aux exigences moins strictes. La tendance est claire : alléger la charge de la preuve pour les citoyens et accroître la responsabilité des opérateurs et des fabricants, qui sont les véritables bénéficiaires de l'exploitation de ces technologies.
Le cadre juridique évolue vers une harmonisation où la sécurité et l'éthique ne sont plus optionnelles, mais constituent des conditions d'accès au marché. L'association d'une responsabilité objective pour les systèmes les plus dangereux, d'une assurance obligatoire et d'un contrôle humain rigoureux vise à garantir la poursuite de l'innovation tout en évitant que le coût du progrès ne repose sur les utilisateurs les plus vulnérables.
