23 octobre 2026 · 31 min de lecture · Responsabilité civile

Logiciels et IA : ce que la nouvelle responsabilité du fait des produits défectueux change pour les avocats

Produits défectueuxLogicielsIntelligence artificielleDroit de l’Union

Le 9 décembre 2026, la directive (UE) 2024/2853 relative à la responsabilité du fait des produits défectueux remplace la directive 85/374/CEE (1), que transposent les articles 1245 à 1245-17 du Code civil (2). Elle fait entrer dans la responsabilité sans faute ce que le texte de 1985 ne nommait pas : les logiciels, quel que soit leur mode de fourniture, y compris en mode SaaS, et les systèmes d’intelligence artificielle (3). Depuis un rectificatif du 7 mai 2026, elle s’applique aux produits mis sur le marché ou mis en service après le 8 décembre 2026 (4).

L’Allemagne a adopté sa nouvelle loi, dont la promulgation est attendue ; aux Pays-Bas, la Seconde Chambre a adopté le projet le 15 octobre et la Première Chambre pourrait le faire le 10 novembre. En France, le ministère de la Justice indiquait, dans une réponse publiée le 12 mai 2026, qu’« un texte dédié est envisagé à ce stade » (5), et nous n’avons trouvé aucun projet de loi de transposition. La proposition de directive sur la responsabilité civile extracontractuelle en matière d’intelligence artificielle ayant été retirée en octobre 2025 (6), c’est désormais par la directive 2024/2853, et dans ses limites, que le droit de l’Union appréhende la responsabilité civile du fait des systèmes d’IA.

Cet article part du droit français, expose ensuite les règles européennes, sur lesquelles circulent bien des affirmations approximatives, et se termine par la position du cabinet d’avocats.

En bref : le logiciel, l’application fournie en mode SaaS ou le système d’IA mis sur le marché ou mis en service à compter du 9 décembre 2026 est un produit, dont le fabricant répond sans faute. Seules les personnes physiques peuvent agir, pour la mort et les lésions corporelles, y compris l’atteinte médicalement reconnue à la santé psychologique, pour les dommages aux biens, autres que le produit défectueux lui-même, qui ne servent pas exclusivement à des fins professionnelles et pour la destruction ou la corruption de données qui ne servent pas à de telles fins. La perte purement économique n’est pas réparée : ni la société d’avocats victime d’un outil d’IA défectueux, ni le client qui perd de l’argent sur la foi d’une information juridique erronée n’ont d’action sur ce fondement. L’information n’est pas un produit, et le sort des sorties d’un système d’IA reste ouvert. S’y ajoutent la divulgation des éléments de preuve, des présomptions et l’interdiction des clauses limitatives à l’égard de la personne lésée. Pendant au moins dix ans, les articles 1245 et suivants continueront, dans leur rédaction actuelle, de régir les produits mis sur le marché ou mis en service avant le 9 décembre 2026.

Le droit en vigueur : les articles 1245 à 1245-17 du Code civil

Un régime conçu pour les biens meubles

« Le producteur est responsable du dommage causé par un défaut de son produit, qu’il soit ou non lié par un contrat avec la victime » (article 1245). Le produit est « tout bien meuble, même s’il est incorporé dans un immeuble, y compris les produits du sol, de l’élevage, de la chasse et de la pêche », l’électricité étant considérée comme un produit (article 1245-2) (2). Le logiciel n’y figure pas, et le législateur européen reconnaît lui-même, au considérant 3 de la nouvelle directive, des « incohérences et une insécurité juridique, en particulier en ce qui concerne la signification du terme “produit” » (3).

Le produit est défectueux lorsqu’il « n’offre pas la sécurité à laquelle on peut légitimement s’attendre », compte tenu notamment de sa présentation, de l’usage qui peut en être raisonnablement attendu et du moment de sa mise en circulation (article 1245-3), laquelle n’a lieu qu’une fois, lorsque le producteur s’est volontairement dessaisi du produit (article 1245-4). Le demandeur prouve le dommage, le défaut et le lien de causalité (article 1245-8). Le producteur s’exonère notamment en établissant que le défaut n’existait pas lors de la mise en circulation, que l’état des connaissances scientifiques et techniques ne permettait pas de le déceler, ou qu’il est dû à la conformité du produit avec des règles impératives d’ordre législatif ou réglementaire (article 1245-10, 2°, 4° et 5°). La responsabilité s’éteint dix ans après la mise en circulation, sauf faute du producteur ou action engagée dans ce délai (article 1245-15), et l’action se prescrit par trois ans (article 1245-16).

Des victimes et des dommages entendus largement

Sur deux points, le droit actuel est plus large que la directive à venir. Il ne réserve pas l’action aux personnes physiques : l’article 1245 parle de « la victime ». Et il ne distingue pas les biens selon leur usage : l’article 1245-1 s’applique au dommage qui résulte d’une atteinte à la personne et, au-delà d’un montant fixé par décret, à celui qui résulte d’une atteinte à un bien autre que le produit défectueux lui-même. L’article 1245-14 le suppose : s’il répute non écrites les clauses qui écartent ou limitent la responsabilité, il valide, entre professionnels, celles qui portent sur les dommages causés aux biens que la victime n’utilise pas principalement pour son usage ou sa consommation privée, ce qui n’aurait pas de sens si ces dommages étaient exclus (2). Une société dont le matériel est endommagé par un produit défectueux peut donc aujourd’hui agir sur ce fondement.

L’article 1245-11 et l’option de l’article 18

L’article 1245-11 prive le producteur de l’exonération pour risque de développement lorsque le dommage a été causé par un élément du corps humain ou par les produits issus de celui-ci. La directive maintient cette exonération (article 11, paragraphe 1, point e)), mais son article 18 permet de conserver les dérogations existantes, à condition d’en notifier le texte à la Commission au plus tard le 9 décembre 2026, et d’en introduire de nouvelles, limitées à des catégories spécifiques de produits, justifiées et proportionnées (3). Le sort de l’article 1245-11 se joue donc à la même échéance que la transposition.

L’article 1245-17 : les autres fondements demeurent

Le chapitre ne porte pas atteinte aux droits que la victime tient de la responsabilité contractuelle ou extracontractuelle ou d’un régime spécial, et l’article 1245-17 ajoute : « Le producteur reste responsable des conséquences de sa faute et de celle des personnes dont il répond. » La directive préserve de même les actions fondées sur des « motifs autres que la défectuosité d’un produit » (article 2, paragraphe 4, point b)), et la Cour de justice a rappelé que peuvent s’appliquer d’autres régimes de responsabilité contractuelle ou extracontractuelle « reposant sur des fondements différents, tels que la garantie des vices cachés ou la faute » (arrêt Krone-Verlag, point 41) (7). C’est sur ce terrain que se plaideront la plupart des litiges relatifs aux logiciels qui échappent à la directive. On notera enfin que la réserve de la faute du producteur, que comporte l’article 1245-15, n’a pas d’équivalent à l’article 17 de la directive : la faute reste sanctionnée par le droit commun que préserve l’article 1245-17.

Une transposition qui n’a pas encore atteint le Parlement

Saisi par le député Sacha Houlié d’une question écrite, publiée le 9 décembre 2025, sur le calendrier et la forme de la transposition (5), le ministère de la Justice a indiqué, dans une réponse publiée le 12 mai 2026, que les articles 1245 à 1245-17 devront être modifiés et que, la directive étant d’harmonisation maximale, « l’essentiel de l’équilibre du régime a, par conséquent, été élaboré lors des négociations européennes ». Les travaux, engagés dès décembre 2024, sont pilotés par la direction des affaires civiles et du sceau au sein d’un groupe de travail interministériel, et des consultations sectorielles étaient annoncées « au cours du premier trimestre 2026 ». Compte tenu de l’échéance, de l’harmonisation maximale et du caractère autonome de ce régime de responsabilité sans faute, « un texte dédié est envisagé à ce stade », plutôt qu’une insertion dans la réforme d’ensemble de la responsabilité civile, que la question évoquait.

À la date du 23 octobre 2026, aucun projet de loi de transposition n’apparaît parmi les projets de loi recensés par Vie publique (8), et EUR-Lex ne mentionne aucune mesure notifiée par la France (9). Nous ne préjugerons ni de la forme ni du calendrier du texte annoncé. Son contenu est en revanche largement déterminé, l’article 3 interdisant de maintenir ou d’introduire des dispositions « plus strictes ou plus souples » que la directive. Il faudra faire entrer le logiciel dans la définition du produit, supprimer le seuil réglementaire des dommages aux biens, le droit national ne pouvant limiter la responsabilité (article 15 et considérant 56), organiser la divulgation des éléments de preuve et les présomptions, étendre la liste des responsables, statuer sur les articles 1245-11 et 1245-14, et dire ce que deviennent les actions des personnes morales et la réparation des dommages aux biens professionnels (3).

Après le 9 décembre 2026 : ce que pourra faire le juge

Deux régimes pendant au moins dix ans

Le texte publié en 2024 visait les produits mis sur le marché ou mis en service « après le 9 décembre 2026 », alors que la directive 85/374, abrogée avec effet au 9 décembre, continue de s’appliquer aux produits mis sur le marché ou mis en service « avant cette date » (article 21) : un produit mis sur le marché le 9 décembre n’aurait relevé d’aucun des deux textes. Le rectificatif du 7 mai 2026 a remplacé le 9 par le 8 décembre (4). Bien des commentaires citent encore la date non corrigée ; les textes néerlandais et allemand retiennent la bonne (12) (14).

Les deux régimes coexisteront au moins dix ans : les produits mis en circulation jusqu’au 8 décembre 2026 restent soumis aux articles 1245 et suivants jusqu’à l’extinction prévue par l’article 1245-15, dix ans après leur mise en circulation, extinction qui ne joue ni en cas de faute du producteur ni lorsque la victime a agi dans ce délai. Le nouveau régime raisonne en outre par versions : la modification substantielle apportée par une mise à jour, ou due à l’apprentissage continu d’un système d’IA, fait regarder le produit comme mis à disposition sur le marché ou mis en service au moment où elle est effectuée (considérant 40) et ouvre un nouveau délai de forclusion (article 17, paragraphe 1, point b)) (3). À notre avis, un logiciel déployé avant le 9 décembre 2026 peut ainsi relever du nouveau régime s’il fait l’objet, après cette date, d’une modification substantielle. Le régime actuel, qui ne connaît qu’une mise en circulation, n’a pas d’équivalent, et la preuve de la date de chaque version deviendra un enjeu contentieux.

Pas d’effet direct entre particuliers

Si les articles 1245 et suivants ne sont pas modifiés à temps, la directive ne prendra pas leur place. Selon une jurisprudence constante de la Cour de justice, une directive ne peut pas, par elle-même, créer d’obligations à la charge d’un particulier ni être invoquée en tant que telle contre lui : la personne blessée en 2027 par un logiciel défectueux ne pourra pas assigner l’éditeur sur le fondement direct de la directive. À notre avis, la réserve joue dans les deux sens, et le producteur ne pourrait pas davantage opposer la directive non transposée à une victime personne morale pour la priver de l’action que le Code civil lui ouvre.

L’interprétation conforme et ses limites

Le juge devra en revanche interpréter le droit national, dans toute la mesure du possible, à la lumière de la directive, pour les produits qui en relèvent, sans aller jusqu’à une interprétation contra legem. La marge est réelle. L’article 1245-2 vise « tout bien meuble » sans exclure les meubles incorporels : à notre avis, rien dans sa lettre n’interdit d’y inclure un logiciel. L’article 1245-3 commande de tenir compte de toutes les circonstances, ce qui permet d’y lire celles de l’article 7 de la directive. Et le considérant 46 rattache les présomptions de la directive aux « présomptions de fait réfragables », mécanisme courant pour atténuer les difficultés de preuve (3), ce qui offre un point d’appui au juge du fond. La lettre résiste en revanche sur le seuil réglementaire, sur le point de départ unique du délai de dix ans, sur l’exonération tirée de l’absence de défaut lors de la mise en circulation, que l’article 11, paragraphe 2, refuse lorsque le défaut tient à un logiciel sous le contrôle du fabricant, ou sur la responsabilité du prestataire de services d’exécution des commandes, opérateur dont le considérant 37 relève qu’il peut ne pas répondre à la définition traditionnelle de l’importateur.

La responsabilité de l’État

Reste la responsabilité de l’État. La Cour de justice admet de longue date qu’un État membre répond, sous les conditions qu’elle a posées, des dommages causés aux particuliers par une violation du droit de l’Union qui lui est imputable, et l’absence de transposition dans le délai en est le cas d’école. La victime devra toutefois établir que la directive transposée lui aurait ouvert une réparation que le Code civil, même interprété conformément, lui refuse.

Logiciels, SaaS et systèmes d’IA : ce qui devient un produit

Le produit est désormais « tout meuble, même s’il est incorporé dans un autre meuble ou dans un immeuble ou interconnecté avec celui-ci ; le terme comprend l’électricité, les fichiers de fabrication numériques, les matières premières et les logiciels » (article 4, point 1)) (3). Selon le considérant 13, le logiciel, qu’il s’agisse d’un système d’exploitation, d’une application ou d’un système d’IA, est un produit « quel que soit son mode de fourniture ou d’utilisation » : installé sur un appareil, accessible par un réseau de communication ou en nuage, ou fourni en tant que service. Les fournisseurs de systèmes d’IA au sens du règlement (UE) 2024/1689 (10) sont à considérer comme des fabricants.

Trois précisions bornent ce champ. Les logiciels libres et ouverts développés ou fournis en dehors d’une activité commerciale sont exclus (article 2, paragraphe 2), mais le fabricant qui en intègre un dans un produit fourni dans le cadre d’une activité commerciale en répond, à la différence du développeur du logiciel libre (considérant 15), et le logiciel fourni contre un prix, ou contre des données à caractère personnel utilisées à d’autres fins que la seule amélioration de sa sécurité, de sa compatibilité ou de son interopérabilité, relève d’une activité commerciale (considérant 14). La gratuité n’exclut rien : la mise à disposition s’entend d’une fourniture « dans le cadre d’une activité commerciale, à titre onéreux ou gratuit » (article 4, point 7)). Enfin, les services restent hors champ, à l’exception des « services connexes », sans lesquels le produit ne pourrait exécuter une ou plusieurs de ses fonctions (article 4, point 3)), comme la fourniture continue de données de trafic à un système de navigation (considérant 17).

Ce qui n’est pas un produit est dit avec la même netteté : « les informations ne doivent pas être considérées comme un produit, et les règles en matière de responsabilité du fait des produits ne devraient donc pas s’appliquer au contenu des fichiers numériques, tels que les fichiers médias, les livres électroniques ou le simple code source des logiciels » (considérant 13).

Qui répond du dommage

Le « producteur » du Code civil devient le « fabricant », l’un des « opérateurs économiques » de l’article 8 : celui qui met au point, fabrique ou produit un produit, le fait concevoir ou fabriquer, se présente comme son fabricant en y apposant son nom ou sa marque, ou le met au point pour son propre usage (article 4, point 10)) (3). Répondent du dommage le fabricant du produit, y compris pour les composants intégrés sous son contrôle ; le fabricant du composant défectueux qui a causé le défaut du produit, tel l’éditeur d’un module logiciel intégré au produit d’un tiers ; pour un fabricant établi hors de l’Union, l’importateur, le mandataire et, à défaut, le prestataire de services d’exécution des commandes ; le distributeur qui n’identifie pas, dans le mois de la demande, un opérateur établi dans l’Union ou son propre fournisseur (article 8, paragraphe 3) ; et, dans les mêmes conditions, certaines plateformes en ligne permettant aux consommateurs de conclure des contrats à distance avec des professionnels (article 8, paragraphe 4).

Le contrôle du fabricant est la notion clé : il y a contrôle lorsque le fabricant effectue, autorise ou permet l’intégration d’un composant, mises à jour comprises, ou la modification du produit, ou lorsqu’il a la capacité de fournir des mises à jour, lui-même ou par l’intermédiaire d’un tiers (article 4, point 5)), et le produit reste sous son contrôle tant qu’il conserve cette capacité (considérant 19). Celui qui modifie substantiellement un produit en dehors de ce contrôle, puis le met à disposition sur le marché ou en service, est considéré comme un fabricant (article 8, paragraphe 2) ; il s’exonère toutefois s’il prouve que la défectuosité tient à une partie du produit non affectée par la modification (article 11, paragraphe 1, point g)). L’intégrateur qui reconfigure en profondeur un système d’IA acquis auprès d’un tiers avant de le déployer chez ses clients doit se poser la question.

Quels dommages sont réparables

C’est ici que circulent les affirmations les plus inexactes. La directive ouvre une action à « toute personne physique » (article 5, paragraphe 1), et, selon son article 6, paragraphe 1, le droit à réparation s’applique « uniquement » aux types de dommages suivants (3) :

la mort ou les lésions corporelles, « y compris l’atteinte médicalement reconnue à la santé psychologique », que le considérant 21 veut aussi médicalement certifiée ;
le dommage causé à des biens ou leur destruction, à l’exception du produit défectueux lui-même, d’un produit endommagé par un composant défectueux intégré par son fabricant ou sous son contrôle, et des biens utilisés exclusivement à des fins professionnelles ;
la destruction ou la corruption de données « qui ne sont pas utilisées à des fins professionnelles ».

La deuxième de ces exceptions concerne directement le logiciel : à notre lecture, l’appareil rendu inutilisable par une mise à jour défectueuse que son fabricant a fournie ou autorisée n’ouvre pas droit à réparation, la mise à jour étant un composant intégré sous son contrôle (article 4, points 4) et 5)). Toutes les pertes matérielles résultant des dommages couverts sont réparées ; les pertes immatérielles, telles les souffrances endurées, ne le sont que dans la mesure où le droit national les indemnise (article 6, paragraphe 2, et considérant 23). Le considérant 24 écarte le reste : les types de dommages tels que « les pertes purement économiques, les atteintes à la vie privée ou la discrimination » ne devraient pas, par eux-mêmes, engager la responsabilité au titre de la directive.

Biens et données : la frontière professionnelle

Pour les biens, seuls sont exclus ceux qui sont utilisés exclusivement à des fins professionnelles, et les biens à usage mixte sont couverts (considérant 25). Pour les données, l’exclusion est plus large : le considérant 22 écarte celles qui sont « utilisées, même de manière non-exclusive, à des fins professionnelles ». L’ordinateur personnel d’un avocat, qui lui sert aussi à travailler, est un bien à usage mixte ; ses fichiers professionnels sont exclus, ses photographies de famille ne le sont pas. La réparation couvre notamment le coût de la récupération ou de la restauration des données, mais il n’y a pas nécessairement de perte matérielle lorsqu’une sauvegarde permet de les récupérer sans frais (considérant 20).

Le cabinet et son client : deux exemples

Soit une société d’avocats dont l’outil d’IA juridique, acquis auprès d’un éditeur et mis sur le marché en 2027, corrompt la base documentaire, interrompt l’activité pendant une semaine et fait manquer un délai. Elle n’a aucune action sur le fondement de la directive, pour trois raisons dont chacune suffirait : elle n’est pas une personne physique, ses données sont utilisées à des fins professionnelles, et sa perte d’activité est une perte purement économique.

Soit ensuite le client, personne physique, qui suit une information juridique erronée produite par un assistant d’IA et perd de l’argent, parce qu’il a laissé s’écouler un délai de prescription ou signé une transaction défavorable. Il n’a pas davantage d’action au titre de la directive : sa perte est purement économique. Il ne relève du nouveau régime qu’à la marge, par exemple si l’application défectueuse détruit sur son ordinateur des données personnelles qu’il n’utilise pas à des fins professionnelles : il peut alors demander le coût de leur restauration, mais ne subit en principe aucune perte matérielle si une sauvegarde permet de les récupérer sans frais.

Pour l’un comme pour l’autre, les voies du droit commun demeurent, en vertu de l’article 2, paragraphe 4, point b), de la directive et de l’article 1245-17 du Code civil : la responsabilité contractuelle du fournisseur, la responsabilité extracontractuelle pour faute et, pour le client, la responsabilité de l’avocat qui aurait relayé l’information sans la vérifier, dont traite notre article sur la responsabilité des avocats pour les erreurs de l’IA.

Ce que la directive retire au droit français

Pour les produits de l’ancien régime, une personne morale peut agir sur le fondement des articles 1245 et suivants, et les dommages aux biens professionnels sont réparés au-delà du seuil réglementaire. La directive ne retient ni l’une ni l’autre solution, tout en précisant que son article 6 « n’affecte pas le droit national relatif à la réparation des dommages au titre d’autres régimes de responsabilité » (article 6, paragraphe 3) (3). La transposition devra dire si ces dommages relèveront du seul droit commun ou d’un régime distinct, dont l’harmonisation maximale rendrait la construction délicate. Dans l’intervalle, l’entreprise victime d’un produit récent aura intérêt à ne pas s’en tenir au régime spécial et à invoquer d’abord le contrat et la faute.

Information ou produit : la question ouverte des sorties de l’IA

Dans l’affaire Krone-Verlag, une lectrice avait suivi le conseil, publié dans un quotidien autrichien, d’appliquer du raifort râpé sur une zone douloureuse pendant « deux à cinq heures », au lieu de minutes, et en avait subi une réaction cutanée toxique. Par un arrêt du 10 juin 2021, la Cour de justice a jugé que ne constitue pas un produit défectueux l’exemplaire d’un journal imprimé qui dispense un conseil de santé inexact dont le respect a causé un dommage à la santé d’un lecteur (7). Le conseil constitue, « par sa nature », un service (point 32) ; le défaut s’apprécie au regard d’éléments « intrinsèques au produit même » (point 35), et le conseil inexact « ne se rapporte pas au journal imprimé qui constitue son support » (point 36). La responsabilité des prestataires de services et celle des fabricants de produits finis « constituent deux régimes de responsabilités distincts » (point 38).

La nouvelle directive reprend cette solution pour l’information, mais elle fait aussi du système d’IA un produit, et dans un système d’IA l’information n’est pas posée sur un support inerte : elle est produite par le produit lui-même. Deux lectures sont possibles. Selon la première, la réponse erronée n’est qu’une information, exclue comme le conseil du journal, et seul relèverait du régime un dysfonctionnement distinct du contenu, telle une défaillance qui efface les données de l’utilisateur. Selon la seconde, la sortie est l’objet même du fonctionnement du produit, et une sortie dangereuse traduit un défaut de sécurité du système, comme le comportement inattendu dont le considérant 32 rend responsable le fabricant qui a conçu un produit capable de le développer. Ni la directive ni la Cour n’ont tranché, et l’arrêt Krone-Verlag, rendu sous l’empire du texte de 1985 à propos d’un support imprimé, ne règle pas la question.

La question est moins large qu’il n’y paraît, car la limite des dommages joue de toute façon : pour une IA juridique, la réponse erronée cause presque toujours une perte purement économique, exclue quelle que soit la lecture retenue. La question ne se pose vraiment que lorsque la sortie est suivie d’une lésion corporelle ou d’une atteinte médicalement reconnue à la santé psychologique, par exemple lorsqu’un assistant conversationnel donne une indication médicale dangereuse à un utilisateur vulnérable. Si la seconde lecture devait l’emporter, la sécurité s’apprécierait notamment au regard des besoins spécifiques du groupe d’utilisateurs auquel le produit est destiné (article 7, paragraphe 2, point h)) (3). Quelle que soit l’issue, les fabricants ont intérêt à documenter leurs garde-fous comme s’ils devaient un jour les produire en justice.

Les défauts qui apparaissent après la mise sur le marché

Le régime actuel apprécie le défaut au moment de la mise en circulation. La directive tient compte de ce qu’un logiciel change ensuite : parmi les circonstances pertinentes figurent « l’effet sur le produit de toute capacité à poursuivre son apprentissage ou à acquérir de nouvelles caractéristiques après sa mise sur le marché ou sa mise en service » et, lorsque le fabricant en conserve le contrôle, le moment où le produit a quitté ce contrôle (article 7, paragraphe 2, points c) et e)) (3). Surtout, l’opérateur économique ne peut plus s’exonérer en prouvant que le défaut n’existait probablement pas lors de la mise sur le marché, ou qu’il est apparu ensuite, lorsque ce défaut est dû, sous le contrôle du fabricant, à un service connexe, à un logiciel ou à ses mises à jour, à l’absence des mises à jour nécessaires au maintien de la sécurité, ou à une modification substantielle (article 11, paragraphe 2). Et le risque de développement s’apprécie aussi « au cours de la période pendant laquelle le produit était sous le contrôle du fabricant » (article 11, paragraphe 1, point e)).

La directive « n’impose aucune obligation de fournir des mises à jour ou mises à niveau pour un produit » (considérant 51). Elle refuse en revanche l’exonération lorsque le défaut résulte de l’absence d’une mise à jour de sécurité nécessaire et que le produit reste sous le contrôle du fabricant, sauf si le propriétaire n’installe pas la mise à jour fournie (considérant 51) ; la négligence de la personne lésée qui omet de l’installer peut même réduire ou supprimer la responsabilité (article 13, paragraphe 2, et considérant 55). L’acte d’un tiers, lui, ne la réduit pas : le pirate qui exploite une vulnérabilité n’exonère pas le fabricant (article 13, paragraphe 1, et considérant 55).

La cybersécurité entre ainsi dans l’appréciation du défaut, l’article 7, paragraphe 2, point f), visant « les exigences de cybersécurité pertinentes pour la sécurité ». Le règlement (UE) 2024/2847 sur la cyberrésilience en fournira une partie : il s’appliquera à compter du 11 décembre 2027, mais son article 14 sur le signalement des vulnérabilités activement exploitées et des incidents graves s’applique depuis le 11 septembre 2026, et son chapitre IV sur la notification des organismes d’évaluation de la conformité depuis le 11 juin 2026 (article 71) (11). Tout manquement à ce règlement ne fera pas pour autant d’un produit un produit défectueux. Quant au règlement sur l’IA, la question de savoir si certaines de ses exigences, et lesquelles, comptent parmi les « exigences obligatoires en matière de sécurité des produits » dont la méconnaissance fait présumer la défectuosité (article 10, paragraphe 2, point b)) reste ouverte : ni l’exposé des motifs néerlandais ni celui du projet allemand ne l’affirment.

Divulgation des éléments de preuve et présomptions

L’article 9 introduit un mécanisme que les articles 1245 et suivants ignorent. Le demandeur qui a présenté des faits et des éléments de preuve suffisants pour étayer la plausibilité de sa demande peut obtenir que le défendeur soit tenu de divulguer les éléments de preuve pertinents dont il dispose, et le défendeur peut obtenir la mesure inverse (3). La divulgation est limitée à ce qui est nécessaire et proportionné, compte tenu des intérêts légitimes de toutes les parties, y compris des tiers, notamment pour la protection des informations confidentielles et des secrets d’affaires, et le juge peut exiger une présentation facilement accessible et compréhensible (paragraphes 3 à 6). Les preuves comprennent les documents que le défendeur doit créer ex novo en collectant ou en classant les preuves disponibles (considérant 42).

La défectuosité est présumée lorsque le défendeur ne divulgue pas les éléments de preuve pertinents, lorsque le produit n’est pas conforme aux exigences obligatoires de sécurité destinées à protéger contre le risque du dommage subi, ou lorsque le dommage a été causé par un dysfonctionnement manifeste lors d’une utilisation raisonnablement prévisible ou dans des circonstances ordinaires (article 10, paragraphe 2) ; le considérant 46 range dans la deuxième hypothèse le produit dépourvu des moyens de consigner des informations sur son fonctionnement qu’exige le droit de l’Union ou le droit national. Le lien de causalité est présumé lorsque le défaut est établi et que le dommage est « d’une nature généralement compatible avec le défaut en question » (paragraphe 3). Lorsque le demandeur fait face, malgré la divulgation, à des difficultés excessives, « notamment en raison de la complexité technique ou scientifique », le juge présume la défectuosité, le lien de causalité ou les deux, si le demandeur démontre qu’ils sont probables (paragraphe 4). Toutes ces présomptions sont réfragables.

Le considérant 48 range parmi les facteurs de complexité « l’apprentissage automatique » et le cas où le demandeur devrait « expliquer le fonctionnement interne d’un système d’IA », et précise qu’il ne devrait pas être tenu d’expliquer les caractéristiques spécifiques du système pour faire constater des difficultés excessives. L’opacité d’un modèle devient ainsi un argument du demandeur. L’harmonisation reste partielle : l’article 9, paragraphe 7, n’affecte pas les règles nationales de divulgation préalable au procès, et le considérant 43 laisse au droit national, notamment, les tiers et les sanctions du refus de divulguer. Le texte de transposition devra articuler l’injonction de l’article 9 avec les mesures d’instruction et de production de pièces que connaît la procédure civile française.

Le secret professionnel face à la divulgation

La directive ne crée aucune exception autonome, mais le considérant 42 range parmi les informations confidentielles à protéger « les informations relevant du champ d’application du secret professionnel et des secrets d’affaires ». Les voisins de la France sont plus précis. Le projet néerlandais rattache la présomption tirée du refus de divulguer aux articles 194 et 195 du code de procédure civile néerlandais (12), dont l’exposé des motifs rappelle qu’ils permettent au juge de rejeter la demande en raison d’un droit de se taire (verschoningsrecht), tel le secret professionnel, ou de motifs graves (13). La loi allemande permet d’ordonner la divulgation à un tiers, mais en dispense ceux qui peuvent refuser de témoigner en vertu des §§ 383 à 385 du code de procédure civile allemand, au nombre desquels figurent les avocats (14). En France, la portée de la protection, pour les échanges entre l’avocat et son client comme pour les pièces que celui-ci lui a confiées, dépendra aussi de la manière dont la transposition articulera l’article 9 avec le secret professionnel.

Contrats et assurance

L’article 15 interdit de limiter ou d’exclure la responsabilité d’un opérateur économique « à l’égard de la personne lésée par une disposition contractuelle ou par le droit national » (3). La règle prolonge le premier alinéa de l’article 1245-14, non le second. Les biens utilisés exclusivement à des fins professionnelles sortant du champ de la directive, la clause qui aménage la réparation de leurs dommages relève du droit commun des contrats ; les biens à usage mixte y entrent, et aucune clause n’est opposable à la personne lésée. Or l’alinéa 2 de l’article 1245-14 vise les biens qui ne sont pas utilisés principalement à des fins privées, ce qui comprend des biens à usage mixte : à notre avis, il ne pourra pas être conservé en l’état pour les produits du nouveau régime.

Entre opérateurs économiques, le contrat garde sa place. L’action récursoire relève du droit national (article 14), et le fabricant qui intègre un composant logiciel peut renoncer contractuellement à son recours contre le fabricant de ce composant si celui-ci était, lors de la mise sur le marché du composant, une microentreprise ou une petite entreprise (article 12, paragraphe 2), sans effet à l’égard de la personne lésée (considérant 54). Les contrats de fourniture et d’intégration méritent une relecture sur la durée de support et les mises à jour de sécurité, la journalisation et la conservation de la documentation, la coopération en cas de divulgation et le traitement des secrets d’affaires, les garanties, plafonds et recours entre professionnels, les composants libres et l’identification des opérateurs établis dans l’Union. Les éditeurs vérifieront enfin que leur assurance couvre la responsabilité du fait des produits pour les dommages corporels et les destructions de données ; la disponibilité de cette assurance figure parmi les points que doit traiter le premier rapport d’évaluation de la Commission, attendu au plus tard le 9 décembre 2030 (article 20).

L’Allemagne, les Pays-Bas et le registre des transpositions

L’Allemagne réécrit entièrement sa loi : l’article 1er de la loi de modernisation du droit de la responsabilité du fait des produits (Gesetz zur Modernisierung des Produkthaftungsrechts und zur Änderung weiterer Vorschriften) est un nouveau Produkthaftungsgesetz. Votée par le Bundestag le 8 octobre 2026, la loi n’a pas été renvoyée à la commission de médiation par le Bundesrat le 16 octobre, et sa promulgation est attendue (15). Elle doit entrer en vigueur le 9 décembre 2026, l’ancienne loi continuant de régir les produits mis sur le marché ou mis en service jusqu’au 8 décembre 2026 inclus (§ 23) (14). La franchise des dommages aux biens et le plafond global des dommages corporels disparaissent, limites qui jouaient peu selon le gouvernement fédéral, les juridictions appliquant le plus souvent la responsabilité délictuelle du § 823 du code civil allemand (16).

Aux Pays-Bas, le projet de loi 36906, adopté sans vote par la Seconde Chambre le 15 octobre 2026, est examiné par la Première Chambre : si aucun membre ne demande de préparation écrite d’ici au 3 novembre, il devrait être adopté sans débat le 10 novembre (17), et la loi entrera en vigueur à une date fixée par décret royal (12). Le nouvel article 6:185 du code civil néerlandais limite la responsabilité aux dommages des personnes physiques, la franchise de 500 euros disparaît, et le projet maintient l’ancien texte pour les produits mis sur le marché ou mis en service avant le 9 décembre 2026 (12). Les Pays-Bas n’usent pas de la faculté de l’article 18 (13).

Au 23 octobre 2026, le registre EUR-Lex des mesures nationales d’exécution, mis à jour chaque semaine, ne mentionnait de mesures notifiées que par la Croatie (une) et la Hongrie (six), aucune pour les vingt-cinq autres États membres (9).

Le cabinet d’avocats face au nouveau régime

Acheteur d’outils d’IA

Comme acheteur, le cabinet reste hors du champ de la directive pour l’essentiel de ce qui peut lui arriver : personne morale, données professionnelles, pertes économiques. Sa protection est contractuelle : engagements du fournisseur sur la disponibilité, la sécurité, la conservation et la restitution des données, plafonds de responsabilité négociés, sauvegardes. Notre liste de contrôle pour le choix d’un fournisseur d’IA juridique détaille les points à négocier.

Fournisseur de logiciels

Le cabinet qui met à la disposition de ses clients une application de suivi des dossiers, un calculateur ou un assistant conversationnel, dans le cadre de son activité et même gratuitement, peut être le fabricant d’un produit (article 4, points 7) et 10)) (3). L’exposition reste bornée par la liste des dommages : le client société n’a pas d’action, le client personne physique n’en a que pour une atteinte à sa personne, un bien qui ne sert pas exclusivement à des fins professionnelles ou des données non professionnelles. La qualification impose néanmoins une discipline : recenser les composants, dater les versions, fournir les mises à jour de sécurité, conserver la documentation. Les mêmes questions se posent pour les agents d’IA déployés en cabinet.

Plaideur

Comme conseil, le cabinet date le produit en cause, version comprise, pour savoir quel régime s’applique ; prépare la preuve en amont, pour que le client fabricant puisse répondre à une demande de divulgation sans livrer ce qui relève du secret professionnel ou des secrets d’affaires ; et choisit le fondement : contrat et faute pour la personne morale victime d’un produit récent ou pour la perte économique, nouveau régime et présomptions pour la personne physique blessée par un produit récent, articles 1245 et suivants dans leur rédaction actuelle lorsque le produit relève encore de l’ancien régime.

Six semaines pour se préparer : dix actions

Inventorier les logiciels, systèmes d’IA, services connexes et composants, avec leurs fabricants, leurs composants tiers et libres, et les opérateurs établis dans l’Union.
Figer l’état au 8 décembre 2026 : versions publiées, notes de version, journaux de déploiement, preuve de la date de mise sur le marché.
Qualifier les évolutions prévues après le 9 décembre au regard de la notion de modification substantielle.
Arrêter une politique de mises à jour de sécurité : durée de support, délais de correction, information des utilisateurs.
Organiser la conservation des preuves, en repérant dès maintenant les secrets d’affaires et les échanges couverts par le secret professionnel.
Relire les contrats amont et aval : recours, renonciation de l’article 12, paragraphe 2, coopération en cas de divulgation, clauses limitatives qui ne seront plus opposables aux personnes lésées.
Vérifier les assurances pour les logiciels, les dommages corporels et les destructions de données.
Prévoir la réponse du distributeur à une demande d’identification, à donner dans le mois.
Dans les dossiers contentieux, déterminer le régime applicable à chaque produit et conserver la preuve de sa date de mise sur le marché ou de mise en circulation.
Suivre la transposition française, y compris le sort de l’article 1245-11, et celles des États où le client distribue ses produits.

Ce que LexVera apporte, et ce qu’il ne couvre pas

LexVera est conçu pour le droit néerlandais et le droit européen : la législation et la jurisprudence néerlandaises, le droit de l’Union, législation comme jurisprudence de la Cour de justice, et la jurisprudence de la Cour européenne des droits de l’homme. Il ne couvre pas le droit français : ni le Code civil, ni la procédure civile. Pour un cabinet français, il trouve sa place dans les dossiers transfrontaliers : sur la directive elle-même, sur la jurisprudence de la Cour de justice, de l’arrêt Krone-Verlag aux décisions à venir, et sur la transposition néerlandaise lorsqu’un produit est distribué aux Pays-Bas ou qu’un opérateur y est établi.

La transition oblige à lire deux versions des mêmes règles pendant des années. Pour la législation néerlandaise, LexVera lit le texte dans la rédaction applicable à la date qui compte pour le dossier, et signale lorsqu’elle diffère du texte actuel. Chaque affirmation de ses recherches reste rattachée au passage du texte officiel sur lequel elle repose, de sorte que l’avocat qui relit vérifie la source et non un résumé.

Les documents du cabinet restent dans son espace de travail, selon les règles d’accès qu’il fixe. LexVera prépare le travail ; c’est un avocat qualifié qui décide de ce qui devient un conseil, conformément au principe exposé dans notre politique éditoriale.

Questions fréquentes

À partir de quand un logiciel est-il un produit au sens de la responsabilité du fait des produits défectueux ?

Au sens de la directive (UE) 2024/2853, lorsqu’il est mis sur le marché ou mis en service à compter du 9 décembre 2026 : depuis le rectificatif du 7 mai 2026, elle s’applique aux produits mis sur le marché ou mis en service après le 8 décembre 2026, et elle vise les logiciels quel que soit leur mode de fourniture, y compris en mode SaaS, ainsi que les systèmes d’IA. Les produits plus anciens restent régis par les articles 1245 et suivants du Code civil dans leur rédaction actuelle, qui ne nomment pas le logiciel. En France, la règle nouvelle ne s’imposera directement aux particuliers qu’une fois la directive transposée.

Que se passe-t-il si la France n’a pas transposé la directive au 9 décembre 2026 ?

La directive ne pourra pas être invoquée directement contre un fabricant privé, car elle ne crée pas par elle-même d’obligations à la charge des particuliers. Le juge devra interpréter les articles 1245 et suivants, dans toute la mesure du possible, à la lumière de la directive, sans aller jusqu’à une interprétation contra legem, et la victime privée d’un droit que la directive lui aurait ouvert pourra rechercher la responsabilité de l’État, dans les conditions posées par la Cour de justice. Au 23 octobre 2026, nous n’avons trouvé aucun projet de loi de transposition.

Un cabinet d’avocats peut-il agir sur ce fondement contre l’éditeur d’un outil d’IA juridique défectueux ?

Non. Seules les personnes physiques peuvent agir, ce qui écarte toute société d’avocats, et même l’avocat qui exerce à titre individuel ne peut invoquer ni les données utilisées, même partiellement, à des fins professionnelles, ni les biens utilisés exclusivement à de telles fins, ni les pertes purement économiques. Le cabinet conserve les actions contractuelle et délictuelle de droit commun, que préservent la directive et l’article 1245-17 du Code civil. Le client qui perd de l’argent en suivant une information juridique erronée produite par une IA n’a pas davantage d’action au titre de la directive.

Une réponse erronée d’un système d’IA est-elle un défaut du produit ?

La question est ouverte. Le système d’IA est un produit, mais l’information n’en est pas un, et la Cour de justice a jugé dans l’arrêt Krone-Verlag qu’un conseil de santé inexact ne rend pas défectueux le journal qui le publie. Ni la directive ni la Cour n’ont encore dit où passe la frontière lorsqu’une sortie d’IA est suivie d’une lésion corporelle ou d’une atteinte à la santé psychologique. Pour une erreur juridique, la question reste le plus souvent théorique, la perte étant purement économique.

Peut-on exclure ou plafonner contractuellement cette responsabilité ?

Pas à l’égard de la personne lésée : l’article 15 de la directive interdit toute limitation ou exclusion par contrat ou par le droit national, et le considérant 56 écarte les plafonds financiers. Entre opérateurs économiques, le contrat garde sa place : l’action récursoire relève du droit national, et l’intégrateur peut renoncer à son recours contre le fabricant d’un composant logiciel qui était, lors de la mise sur le marché de ce composant, une microentreprise ou une petite entreprise. Les dommages aux biens utilisés exclusivement à des fins professionnelles échappent à la directive : les clauses qui les concernent relèvent du droit commun.

Le secret professionnel est-il protégé lors de la divulgation des éléments de preuve ?

La directive limite la divulgation à ce qui est nécessaire et proportionné, et son considérant 42 range le secret professionnel et les secrets d’affaires parmi les informations confidentielles que le juge doit protéger. Elle ne crée pas d’exception autonome : tout dépendra du droit national et du texte de transposition. La nouvelle loi allemande dispense de divulgation les tiers autorisés à refuser de témoigner, dont les avocats, et en droit néerlandais le juge peut rejeter la demande en raison d’un droit de se taire, tel le secret professionnel, ou de motifs graves.

Sources et méthode

Cet article est à jour des textes et documents publiés au 23 octobre 2026. À cette date, la directive n’est transposée dans aucun des trois États examinés : en Allemagne, la loi adoptée attend sa promulgation ; aux Pays-Bas, le projet de loi est soumis à la Première Chambre ; en France, nous n’avons trouvé aucun projet de loi. L’état de la transposition française repose sur la réponse ministérielle publiée le 12 mai 2026, sur la liste des projets de loi publiée par Vie publique et sur le registre EUR-Lex des mesures nationales d’exécution, consultés par la rédaction le 23 octobre 2026. Les articles du Code civil sont cités dans leur rédaction en vigueur à cette date ; ceux qui ne figurent pas entre guillemets sont résumés. La directive est citée dans sa version française publiée au Journal officiel de l’Union européenne, telle que corrigée le 7 mai 2026 ; les textes allemands et néerlandais sont résumés en traduction libre. La question de savoir si la sortie d’un système d’IA peut constituer un défaut du produit n’a été tranchée ni par la directive ni par la Cour de justice, et les passages qui l’abordent expriment notre analyse. Il s’agit d’une information professionnelle générale, et non d’un conseil juridique sur une situation déterminée.