L’UE a formellement retiré sa directive responsabilité IA dédiée le 6 octobre 2025, croyant déréglementer. Mais la directive responsabilité produits du bloc—qui traite les logiciels et systèmes IA comme des produits soumis à la responsabilité stricte—entre en vigueur le 9 décembre 2026. C’est dans 62 jours. Les PME ne font pas face à moins de régulation ; elles la font sans le cadre de présomption causale qui devait l’accompagner.
Voici ce qui s’est passé et pourquoi c’est important : en septembre 2022, la Commission européenne a proposé une directive responsabilité IA qui aurait introduit une présomption rebuttable de causalité. Traduction simple : si vous pouviez montrer qu’un système IA a probablement causé votre préjudice, le fournisseur ou l’exploitant devrait prouver le contraire. Cela change le fardeau de la preuve de manière significative pour les victimes.
Cette directive a été mise de côté lors des négociations sur l’acte IA. Puis le 6 octobre 2025, la Commission l’a formellement retirée, citant l’absence de consensus et les pressions pour réduire la bureaucratie. Les groupes industriels ont applaudi. Les eurodéputés se sont plaints. La conversation a continué ailleurs.
Le problème : personne ne regardait ce qui était déjà verrouillé.
La responsabilité stricte arrive déjà—et elle est plus large que vous ne le pensez
La directive responsabilité produits (2024/2853) devient exécutoire le 9 décembre 2026. Point. Elle s’applique à tout système IA ou produit logiciel mis sur le marché de l’UE à partir de cette date. Et ce n’est pas un cadre bienveillant.
Sous la responsabilité stricte, vous êtes responsable du préjudice causé par un produit IA défectueux même si vous n’avez pas commis de faute. Aucune culpabilité requise. C’est à vous de prouver que le système n’était pas défectueux, que le préjudice n’a pas eu lieu, ou qu’il n’y a pas de lien causal. (La seule exception : si vous pouvez montrer que la complexité technique excessive rendait l’établissement de la causalité impossible—mais bonne chance pour prouver cela pour votre modèle d’apprentissage automatique.)
Qu’est-ce qui a changé par rapport à la directive retirée ? Tout. Cette directive aurait dit : « Si le demandeur montre un manquement au devoir de diligence et que la sortie IA a causé un préjudice, le défendeur prouve que la causalité n’est pas établie. » Sans cela, le fardeau reste où il a toujours été—principalement sur le demandeur pour établir la chaîne du défaut au préjudice.
Sauf que maintenant la directive responsabilité produits crée une responsabilité stricte. Donc vous êtes responsable des défauts sans faute, mais la victime doit toujours prouver que le défaut a causé le préjudice. C’est le pire des deux mondes pour les déployeurs.
Ce que cela signifie pour votre entreprise dès maintenant
Imaginez un distributeur logistique de 40 personnes qui a déployé un système d’optimisation des stocks IA il y a six mois. Ce système recommande maintenant parfois des niveaux de stock qui créent des ruptures, entraînant des pertes de ventes pour l’un de leurs clients clés. À partir du 9 décembre, sous le nouveau régime, si ce préjudice est retracé au système, la responsabilité est stricte—ni le distributeur ni le fournisseur n’ont besoin d’avoir commis une faute. Et prouver la causalité ? C’est toujours un combat juridique.
Le coût réel de la conformité se cristallise ici :
Traçabilité de la chaîne d’approvisionnement : Vous avez besoin de chaînes documentées de votre fournisseur IA à travers chaque couche système jusqu’à votre déploiement. Qui a construit le modèle ? Qui l’a ajusté ? Qui l’a déployé ? Si quelque chose se casse, vous devez identifier rapidement les parties responsables, sinon c’est vous qui êtes dans le collimateur.
Documentation technique : Évaluations des risques, mesures de cybersécurité, politiques de mise à jour, journaux de surveillance. Tout. Centralisé. Parce qu’un demandeur l’exigera, et les régulateurs s’attendent à le voir. Si vous ne pouvez pas le produire, les tribunaux présument un défaut.
Clarté contractuelle : Vos contrats de fournisseurs doivent définir explicitement l’allocation de la responsabilité, l’indemnisation et la responsabilité de la surveillance et des mises à jour. « Nous fournissons le modèle » n’est pas suffisant. Vous devez préciser qui est responsable de quoi, sinon vous en héritez tout.
Surveillance continue : Vous ne pouvez pas simplement déployer un système IA et disparaître. Les tribunaux et les régulateurs examineront si vous l’avez maintenu, surveillé et mis à jour. La négligence fait basculer la responsabilité vers vous.
Pourquoi la position récente de Sam Altman compte vraiment
Dans des remarques récentes, le PDG d’OpenAI a rejeté ce qu’il a appelé un compromis « zéro fraude ». Interrogé sur le point de savoir s’il accepterait des garanties d’absence de piratage majeur, d’abus de la technologie et de fraude zéro en échange de la restriction du déploiement de l’IA, il a dit : « Je ne prendrais pas un compromis du type : on va s’assurer qu’il n’y a pas de piratage majeur, pas d’abus de cette technologie, zéro fraude, zéro tous les autres mauvais trucs qui vont arriver. » Son argument : les avantages l’emportent largement sur les préjudices, et la société doit accepter les risques délimités.
C’est la position pragmatique d’un fournisseur sur la régulation. Ce n’est pas déraisonnable. Mais cela ne change pas le fait que les déployeurs—c’est vous—êtes maintenant aussi dans la chaîne de responsabilité. La directive responsabilité produits tient les deux fournisseurs ET les opérateurs économiques (c’est vous, le déployeur) responsables. La position d’Altman est une chose ; votre exposition contractuelle en est une autre. Quand un préjudice se produit et que les régulateurs arrivent, ils ne vous demanderont pas si vous aviez philosophiquement accepté le risque. Ils vous demanderont si vous avez surveillé et documenté de manière responsable.
Ce qu’il faut faire avant le 9 décembre
Vous avez environ deux mois. Trois priorités :
Premièrement : auditez chaque système IA que vous avez déployé ou envisagez de déployer. Documentez la chaîne d’approvisionnement de la source du modèle à travers votre infrastructure. Si vous ne pouvez pas la tracer, vous ne pouvez pas la défendre.
Deuxièmement : resserrez dès maintenant vos contrats de fournisseurs. Exigez une allocation explicite de la responsabilité, une indemnisation pour les défauts et l’engagement du fournisseur à surveiller et mettre à jour. Obtenez-le par écrit avant que le nouveau régime entre en vigueur.
Troisièmement : établissez une discipline de surveillance et de journalisation. Les tribunaux demanderont : comment saviez-vous que le système fonctionnait correctement ? Quelles mesures de sauvegarde aviez-vous mises en place ? Si vous pouvez montrer une surveillance diligente, vous vous rapprochez de la limitation de votre propre responsabilité et de son placement chez le fournisseur, où elle appartient.
Le retrait de la directive responsabilité IA ressemblait à une dérégulation. C’était en réalité l’inverse : il a laissé les PME face à une responsabilité stricte sans la présomption de causalité qui devait la rendre équitable. Préparez-vous maintenant, ou passez 2027 à défendre un préjudice dont vous ne pouvez pas tracer l’origine.
0 Comments