Le vide juridique de l’IA : qui est responsable quand un système d’IA cause un préjudice ?

Quand personne n’est responsable, personne ne rend de comptes

Dans l’affaire marquante Mobley v. Workday, Derek Mobley — un Afro-Americain de plus de 40 ans en situation de handicap — a postule a plus de 100 emplois via des entreprises utilisant la plateforme de tri par IA de Workday. Il a ete rejete a chaque fois sans obtenir un seul entretien. Lorsqu’il a porte l’affaire en justice, la question juridique etait d’une simplicite trompeuse : qui est responsable ?

Les employeurs ont affirme s’etre appuyes de bonne foi sur la plateforme Workday. Workday a declare que son systeme refletait les donnees et les preferences fournies par les employeurs. Le fournisseur cloud hebergeant le modele a indique qu’il ne fournissait que l’infrastructure de calcul. En juin 2025, un tribunal federal du Northern District of California a certifie l’affaire sous forme d’action collective en vertu de l’Age Discrimination in Employment Act, couvrant potentiellement des millions de candidats — et etablissant que les fournisseurs d’outils d’IA peuvent etre poursuivis directement en tant qu’« agents » au regard des lois sur la discrimination a l’emploi.

C’est le vide juridique de l’IA : les systemes d’IA modernes sont developpes par des chaines d’acteurs — fournisseurs de donnees, developpeurs de modeles, operateurs de plateformes, integrateurs, deploiements — et les cadres juridiques existants, concus pour un monde ou un seul fabricant produisait un seul produit causant un seul prejudice, peinent a repartir la responsabilite le long de cette chaine.

Ce vide n’est pas theorique. Les systemes d’IA prennent des decisions consequentes en matiere d’approbation de credits, de diagnostics medicaux, de determination de peines, de tarification d’assurances, de recrutement et de moderation de contenus. Quand ces decisions sont erronees, la question de savoir qui indemnise le prejudice n’a de reponse claire dans la plupart des juridictions.

---

Le probleme de la responsabilite du fait des produits

Le droit classique de la responsabilite du fait des produits repose sur un modele simple : un fabricant produit un bien defectueux, un consommateur subit un dommage du fait de ce defaut, et le fabricant en est responsable. Ce modele fonctionne pour les automobiles, les appareils electromenagers et les medicaments car :

1. Le produit a un etat defini au moment de la vente
2. Le defaut peut etre identifie (vice de conception, defaut de fabrication ou manquement au devoir d’information)
3. La causalite est tracable (le frein a lache, provoquant l’accident)
4. Le fabricant est identifiable

L’IA met a mal chacune de ces hypotheses :

Pas d’etat defini : De nombreux systemes d’IA sont mis a jour en continu — le modele qui genere des predictions aujourd’hui peut etre different de celui deploye la semaine precedente. Les modeles de fondation sont affines, retraines et enrichis de nouvelles donnees. Quelle version constitue « le produit » ?

Comportement emergent vs. defaut : Les systemes d’IA manifestent des comportements qui n’ont pas ete explicitement programmes et ne peuvent etre predits a partir de leurs donnees d’entrainement ou de leur architecture. Quand un grand modele de langage produit une recommandation medicale hallucinee, s’agit-il d’un « defaut » du produit ou d’une caracteristique inherente a la technologie ? La distinction est determinante pour la responsabilite.

Opacite causale : Dans une affaire classique de responsabilite du fait des produits, un expert peut examiner le produit et expliquer la chaine causale. En IA, le processus de decision des reseaux neuronaux profonds est opaque — y compris pour les developpeurs. Expliquer pourquoi un systeme d’IA a refuse un pret specifique ou signale une personne comme menace securitaire peut etre techniquement impossible avec les methodes actuelles d’interpretabilite.

Responsabilite distribuee : Un prejudice cause par l’IA implique generalement plusieurs acteurs : l’entreprise qui a collecte les donnees d’entrainement, celle qui a entraine le modele de fondation, celle qui l’a affine pour un cas d’usage specifique, celle qui l’a deploye en production, et celle qui a pris une decision operationnelle sur la base de ses resultats. Quel acteur est « le fabricant » ?

---

L’approche europeenne : AI Act + directive sur la responsabilite du fait des produits

L’Union europeenne a adopte l’approche reglementaire la plus complete en matiere de responsabilite de l’IA a travers deux instruments complementaires.

L’EU AI Act (en vigueur depuis aout 2024, obligations pour les systemes a haut risque applicables en aout 2026)

L’AI Act classe les systemes d’IA par niveau de risque et impose des obligations correspondantes :

• Risque inacceptable (interdit) : Notation sociale, identification biometrique en temps reel dans les espaces publics (avec de rares exceptions), techniques de manipulation ciblant les groupes vulnerables. Les interdictions sont applicables depuis le 2 fevrier 2025.
• Risque eleve (strictement reglemente) : IA dans les infrastructures critiques, l’education, l’emploi, les forces de l’ordre, la migration et les systemes judiciaires. Les systemes d’IA a haut risque doivent respecter des exigences de qualite des donnees, de documentation, de transparence, de supervision humaine, de precision, de robustesse et de cybersecurite. Conformite totale requise d’ici le 2 aout 2026.
• Risque limite (obligations de transparence) : Les chatbots, les generateurs de deepfakes et les systemes de reconnaissance emotionnelle doivent indiquer que les utilisateurs interagissent avec une IA.
• Risque minimal (aucune restriction) : Filtres anti-spam, IA dans les jeux video, gestion des stocks.

L’AI Act reglemente principalement les « fournisseurs » (entreprises qui developpent ou mettent sur le marche des systemes d’IA) et les « deployeurs » (entreprises qui utilisent des systemes d’IA sous leur autorite). Les fournisseurs de systemes a haut risque doivent realiser des evaluations de conformite, maintenir une documentation technique, mettre en oeuvre des systemes de gestion des risques et s’enregistrer dans une base de donnees europeenne. Les sanctions peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial.

La directive revisee sur la responsabilite du fait des produits (transposition d’ici decembre 2026)

La Commission europeenne avait initialement propose une directive specifique sur la responsabilite de l’IA en 2022 pour traiter la responsabilite civile des dommages causes par l’IA. Faute d’accord entre les Etats membres, la Commission a retire la proposition debut 2025. A la place, l’UE s’appuie sur la directive revisee sur la responsabilite du fait des produits (PLD), entree en vigueur en decembre 2024 et devant etre transposee en droit national d’ici le 9 decembre 2026.

La PLD revisee traite explicitement les logiciels — y compris les systemes d’IA, les systemes d’exploitation, les firmwares et les applications — comme des « produits » soumis a la responsabilite stricte. Points cles pour l’IA :

• L’IA comme produit : Les systemes d’IA sont desormais soumis au meme regime de responsabilite stricte que les biens physiques. Si un systeme d’IA est defectueux et cause un prejudice, le producteur est responsable independamment de toute faute.
• Dommages elargis : Le champ des dommages indemnisables inclut desormais les atteintes medicalement reconnues a la sante psychologique et la corruption ou destruction de donnees.
• Responsabilite cybersecurite : Les fabricants sont responsables des dommages resultant de vulnerabilites de cybersecurite dans leurs produits.
• Divulgation de preuves : Les tribunaux peuvent ordonner aux defendeurs de divulguer la documentation technique pertinente, reduisant partiellement l’asymetrie d’information entre les entreprises d’IA et les individus.

---

L’approche americaine : un patchwork d’Etats face a la preemption federale

Les Etats-Unis n’ont pas adopte de legislation federale globale sur la responsabilite de l’IA. La responsabilite est traitee a travers un melange complexe et de plus en plus conteste de reglementation sectorielle, de legislations etatiques et de jurisprudence.

Reglementation sectorielle existante

Les agences federales appliquent leurs mandats existants a l’IA : la FDA reglemente les dispositifs medicaux bases sur l’IA, la FTC agit contre les pratiques trompeuses liees a l’IA, l’EEOC traite la discrimination a l’emploi generee par l’IA en vertu du Title VII, et les regulateurs bancaires (OCC, Fed, CFPB) encadrent l’IA dans le credit en vertu des lois sur l’equite du pret.

L’explosion legislative des Etats

Debut 2026, 27 lois specifiques a l’IA ont ete adoptees dans 14 Etats, et 47 Etats ont introduit des projets de loi lies a l’IA en 2025 :

• Le Colorado a adopte la premiere loi etatique globale de protection des consommateurs en matiere d’IA en 2024 (SB 24-205), exigeant des developpeurs et deploiements de systemes d’IA a haut risque qu’ils exercent une diligence raisonnable pour proteger les consommateurs contre la discrimination algorithmique. L’entree en vigueur a toutefois ete reportee au 30 juin 2026.
• La Californie a adopte plusieurs lois sur l’IA entrant en vigueur le 1er janvier 2026, dont le Transparency in Frontier AI Act, le GAI Training Data Transparency Act et SB 53 — la premiere loi americaine traitant du « risque catastrophique » pose par les modeles d’IA de pointe.
• L’Illinois a amende son Human Rights Act (HB 3773) pour interdire l’utilisation par les employeurs d’IA discriminant les classes protegees et exiger la notification des candidats lorsque l’IA analyse des entretiens video.
• New York a adopte le Responsible AI Safety and Education (RAISE) Act en decembre 2025, applicable en janvier 2027, creant un bureau de supervision de l’IA au sein du Department of Financial Services.
• Le Texas a adopte le Responsible AI Governance Act, applicable au 1er janvier 2026.

La question de la preemption federale

Le 11 decembre 2025, le president Trump a signe un decret intitule « Ensuring a National Policy Framework for Artificial Intelligence », ciblant directement le patchwork legislatif des Etats. Le decret ordonne au ministre de la Justice de creer un groupe de travail sur le contentieux IA pour contester les lois etatiques jugees incompatibles avec la politique federale, conditionne le financement federal du haut debit a l’absence de lois IA « contraignantes », et demande a la FTC de preciser dans quels cas les lois etatiques sur l’IA sont preemptees par le droit commercial federal.

Le decret critique explicitement la loi du Colorado mais exclut les lois relatives a la protection de l’enfance, aux infrastructures de calcul IA et aux achats publics d’IA. Point crucial : les decrets presidentiels ne peuvent pas abroger les lois etatiques existantes — seul le Congres ou les tribunaux le peuvent. En attendant le reglement des contentieux, les lois etatiques restent applicables.

Des normes definies par la jurisprudence

En l’absence de legislation federale globale, les tribunaux americains etablissent des normes de responsabilite de l’IA au cas par cas :

• Section 230 et contenus generes par l’IA : La question de savoir si l’immunite de la Section 230 pour les plateformes s’etend aux contenus generes par l’IA reste tres debattue. Dans Garcia v. Character.AI (2025), un juge federal a autorise des recours en responsabilite du fait des produits, negligence et mort injustifiee contre Character AI apres le deces d’un adolescent, refusant de traiter les productions d’un chatbot comme des discours pleinement proteges. L’arret Anderson v. TikTok du Third Circuit (2024) a juge que la promotion algorithmique de contenus dangereux n’est pas protegee par la Section 230.
• Faute professionnelle medicale et IA : Les demandes d’indemnisation impliquant des outils d’IA ont augmente de 14 % en 2024 par rapport a 2022, mais aucune affaire de reference en matiere de faute professionnelle liee a l’IA n’a ete jugee. La Federation of State Medical Boards a suggere en 2024 que ce sont les cliniciens — et non les fabricants d’IA — qui devraient etre tenus responsables des erreurs assistees par l’IA.
• Responsabilite des vehicules autonomes : Tesla a rejete une offre de reglement de 60 millions de dollars dans l’affaire Benevides, aboutissant a un verdict de 243 millions de dollars dont 200 millions en dommages punitifs. Cruise a conclu un accord de poursuites differees en 2024 apres un incident a San Francisco ou un pieton avait ete traine par un vehicule autonome. La tendance juridique fait passer la responsabilite des vehicules autonomes de la negligence a la responsabilite du fait des produits.

---

Responsabilite des deepfakes : la frontiere

Les deepfakes — medias synthetiques generes par l’IA montrant des personnes reelles faisant ou disant des choses qu’elles n’ont jamais faites — representent l’un des defis de responsabilite les plus aigus.

Images intimes non consenties (NCII) : Les images explicites generees par l’IA de personnes reelles (ciblant massivement les femmes) constituent une crise croissante. En janvier 2024, des images explicites generees par l’IA de Taylor Swift sont devenues virales, declenchant une action legislative aux niveaux federal et etatique. Le DEFIANCE Act, qui aurait cree une responsabilite civile federale pour les images intimes non consenties generees par l’IA, a ete adopte a l’unanimite par le Senat en 2024 mais a ete bloque a la Chambre des representants. A la place, le president Trump a signe le TAKE IT DOWN Act le 19 mai 2025 — criminalisant la publication deliberee d’images intimes non consenties (y compris les deepfakes) et imposant aux plateformes des procedures de notification et de retrait sous 48 heures. Les dispositions d’application entrent en vigueur en mai 2026.

Deepfakes politiques : Les videos et audios generes par l’IA de personnalites politiques tenant de faux propos menacent directement les processus democratiques. En janvier 2024, un appel automatise genere par l’IA imitant la voix du president Biden a exhorte les electeurs du New Hampshire a ne pas voter lors de la primaire. La FCC a ensuite juge que les voix generees par l’IA dans les appels automatises sont illegales en vertu du Telephone Consumer Protection Act et a inflige une amende de 6 millions de dollars au consultant politique responsable.

Deepfakes commerciaux : Les publicites, recommandations et imitations de celebrites generees par l’IA soulevent des questions de propriete intellectuelle et de droit a l’image. Plusieurs poursuites sont en cours contre des entreprises d’IA dont les modeles peuvent generer des images et des voix de personnes specifiques sans leur consentement.

La chaine de responsabilite des deepfakes est particulierement complexe : Le developpeur du modele, l’operateur de la plateforme, la personne qui a genere le deepfake et le diffuseur qui l’a partage peuvent tous avoir une part de responsabilite. Les differentes juridictions tracent ces lignes differemment, et l’approche du TAKE IT DOWN Act centree sur les plateformes contraste avec le cadre reglementaire plus large de l’UE sous l’AI Act.

---

Assurance, contrats et transfert de risques

Face a l’incertitude du droit de la responsabilite de l’IA, les organisations gerent le risque par des mecanismes contractuels et assurantiels — et le marche evolue rapidement.

Clauses d’indemnisation IA : Les contrats d’IA d’entreprise incluent de plus en plus des clauses d’indemnisation ou le fournisseur d’IA s’engage a defendre et indemniser le client contre les reclamations de tiers liees aux productions du systeme d’IA. La portee et les limites de ces clauses varient considerablement et font l’objet de negociations intenses.

Produits d’assurance specifiques a l’IA : Le marche de l’assurance developpe des couvertures IA ciblees a un rythme soutenu. Armilla Insurance Services a lance un produit de responsabilite IA souscrit par Lloyd’s of London couvrant les hallucinations, la degradation des performances des modeles et les defaillances algorithmiques. AXA a publie un avenant a ses polices cyber couvrant les « actes fautifs d’apprentissage automatique ». Coalition a elargi ses definitions pour inclure les « evenements de securite IA » et les fraudes liees aux deepfakes, et a commence en decembre 2025 a offrir une couverture pour les atteintes a la reputation liees aux deepfakes. Relm Insurance a lance trois polices specifiques a l’IA en janvier 2025. Globalement, les primes d’assurance cyber devraient augmenter de 15 % en 2026, en partie sous l’effet des menaces liees a l’IA.

Model cards et documentation : Les bonnes pratiques de gouvernance de l’IA incluent la publication de model cards — documentation de l’usage prevu d’un modele, de ses limites, de ses caracteristiques de performance et de ses biais connus — qui servent a la fois de guide d’utilisation et de preuve de diligence raisonnable en cas de contentieux. Des referentiels comme le NIST AI Risk Management Framework, la norme ISO/IEC 42001 et les Principes IA de l’OCDE fournissent des approches structurees que les organisations peuvent adopter pour demontrer leur conformite et attenuer leur exposition a la responsabilite.

---

---

Sources

• EU AI Act — Texte officiel et calendrier de mise en oeuvre
• DLA Piper — Derniere vague d’obligations de l’EU AI Act (aout 2025)
• IAPP — La Commission europeenne retire la directive sur la responsabilite de l’IA
• Goodwin — Directive revisee de l’UE sur la responsabilite du fait des produits et IA
• Latham & Watkins — Nouvelle directive de l’UE sur la responsabilite du fait des produits
• Colorado General Assembly — SB 24-205
• Akin — Report de la mise en oeuvre de la loi IA du Colorado
• Maison Blanche — Decret sur le cadre national de politique IA (decembre 2025)
• Latham & Watkins — Le president Trump signe le TAKE IT DOWN Act
• FCC — Decision sur les voix generees par l’IA dans les appels automatises
• Fortune — Allegations de biais IA chez Workday et Amazon
• Fortune — La Section 230 pourrait ne pas proteger la Big Tech a l’ere de l’IA
• IAPP — Risques de responsabilite IA et assurance
• Stanford HAI — Rapport AI Index
• FTC — Actions de mise en application liees a l’IA