Quand un agent d'IA défectueux cause un dommage à une personne, la directive (UE) 2024/2853 sur la responsabilité du fait des produits défectueux désigne qui paie : l'entreprise qui l'a mis au point ou qui le vend sous sa marque. Cette responsabilité est dite sans faute : elle naît du défaut du produit, sans qu'une négligence du fabricant soit à démontrer. Aucun contrat ne peut la limiter envers la victime.

Le texte vise les produits mis sur le marché ou mis en service après le 9 décembre 2026 (article 2), date à laquelle les États membres doivent l'avoir transposé (article 22). L'argent qu'un agent fait perdre reste en dehors de ce régime. Il relève des contrats et du droit des paiements, terrain sur lequel JPMorgan Chase et Elon Musk ont pris des positions opposées les 13 et 15 octobre.

Le logiciel est un produit, l'entreprise qui le vend sous sa marque en est le fabricant Pour la directive, le logiciel est un produit « quel que soit son mode de fourniture ou d'utilisation », y compris lorsqu'il est « fourni dans le cadre d'un modèle de logiciel en tant que service » (considérant 13). Un agent vendu en SaaS entre donc dans son champ. Le même considérant range parmi les fabricants les fournisseurs de systèmes d'IA au sens de l'AI Act.

Est fabricant celui qui met au point le produit. L'est aussi celui qui, « en apposant sur ce produit son nom, sa marque ou d'autres caractéristiques distinctives, se présente comme son fabricant » (article 4, point 10). Une banque, un assureur ou un commerçant qui propose sous son nom un agent bâti sur le modèle d'un tiers entre dans cette définition.

L'entreprise qui met au point un agent pour ses propres équipes est fabricant au titre de l'usage propre (article 4, point 10, c). Quiconque « modifie de manière substantielle un produit en dehors du contrôle du fabricant » puis le met à disposition le devient à son tour (article 8, paragraphe 2). Selon la lecture d'ActuIA, le fournisseur du modèle peut aussi répondre, comme fabricant d'un composant, défini comme « tout élément, corporel ou incorporel » intégré dans un produit ou interconnecté avec lui (article 4, point 4).

L'article 8 vise le fabricant d'un composant défectueux qui « a causé le défaut du produit ». Les responsables d'un même dommage peuvent être tenus solidairement (article 12) : la victime peut alors demander la réparation entière à l'un d'eux. Trois dommages couverts, tous subis par des personnes physiques Seule une personne physique peut demander réparation (article 5).

Une entreprise ne peut donc pas invoquer la directive pour ses propres pertes. Les dommages autres que ceux de l'article 6, « tels que les pertes purement économiques, les atteintes à la vie privée ou la discrimination », ne devraient pas « par eux-mêmes » déclencher cette responsabilité (considérant 24). Dommage causé par un défautCouvert par la directiveTexte Décès, lésion corporelle, atteinte médicalement reconnue à la santé psychologiqueOuiArticle 6, paragraphe 1, a Bien privé endommagéOui, hors le produit défectueuxArticle 6, paragraphe 1, b Données non utilisées à des fins professionnelles, détruites ou corrompuesOuiArticle 6, paragraphe 1, c Bien à usage exclusivement professionnel, données professionnellesNonArticle 6, paragraphe 1, b et c Perte d'argent seule (achat erroné, virement)NonConsidérant 24 Atteinte à la vie privée, discriminationNon, d'autres régimes restent applicablesConsidérant 24 Un salarié reste une personne physique.

Selon la lecture d'ActuIA, l'éditeur d'un outil professionnel peut ainsi répondre des lésions corporelles ou psychologiques qu'un défaut cause aux salariés de ses clients : l'article 5 vise « toute personne physique », et l'exclusion professionnelle de l'article 6 ne porte que sur les biens et les données. Aucune clause ne protège l'intégrateur face à la victime L'article 15 interdit que la responsabilité d'un opérateur économique soit « limitée ou exclue à l'égard de la personne lésée par une disposition contractuelle ou par le droit national ». Celui qui a indemnisé la victime peut ensuite se retourner contre les autres responsables (article 14), selon les règles du droit national.

Ce recours bute sur les contrats des fournisseurs de modèles. Les conditions standard d'OpenAI, d'Anthropic et de Google Cloud plafonnent la responsabilité du fournisseur aux sommes versées sur douze mois et limitent son indemnisation à la propriété intellectuelle, comme l'a détaillé l'analyse d'ActuIA sur la responsabilité des agents. Selon la lecture d'ActuIA, l'intégrateur indemnise donc la victime sans pouvoir lui opposer son contrat, puis ne récupère auprès du fournisseur que ce que ce contrat lui laisse.

Une mise à jour substantielle après le 9 décembre fait entrer l'agent dans le régime Le défaut d'un logiciel se juge aussi après la vente. L'article 7 tient compte de « l'effet sur le produit de toute capacité à poursuivre son apprentissage ou à acquérir de nouvelles caractéristiques ». Un produit substantiellement modifié par une mise à jour, ou par l'apprentissage continu d'un système d'IA, est considéré comme mis sur le marché ou en service au moment de la modification (considérant 40).

Lu avec l'article 2, ce considérant fait entrer dans le régime un agent lancé avant le 9 décembre puis substantiellement modifié après cette date. L'absence de correctif ne protège pas davantage. Un opérateur ne peut pas s'exonérer au motif que le défaut est apparu après la mise sur le marché quand ce défaut tient, sous le contrôle du fabricant, à « une absence de mises à jour ou de mises à niveau logicielles nécessaires au maintien de la sécurité » (article 11).

Les journaux de l'agent deviennent une pièce du dossier. Le juge peut ordonner au défendeur de divulguer « les éléments de preuve pertinents dont le défendeur dispose » (article 9). À défaut, la défectuosité est présumée (article 10).

Selon la lecture d'ActuIA, ces éléments sont d'abord, pour un agent, ses journaux d'exécution, ses versions de modèle et ses instructions système. L'argent perdu par un agent reste une affaire de contrats JPMorgan Chase a fixé sa position le 13 octobre, lors de sa conférence de résultats trimestriels, selon American Banker et Banking Dive. Son directeur financier, Jeremy Barnum, vise les services qui déplacent l'argent des clients avec leurs identifiants : « Ce n'est pas sûr, donc dans la mesure où nous pouvons les bloquer, nous les bloquons pour protéger les clients et nous protéger nous-mêmes. » Si le client confie ses identifiants à un agent qui fait ce qu'il ne veut pas, « ce sera à sa charge », ajoute-t-il.

Le PDG, Jamie Dimon, parle d'un « transfert de responsabilité » et prévient : « On ne veut pas d'agents incontrôlés, et il pourrait y en avoir des milliers. » Ces citations sont traduites de l'anglais. Elon Musk a pris le 15 octobre la position inverse pour Grok Bot, l'agent de SpaceXAI : « Si Grok Bot fait une erreur lors d'un achat ou divulgue votre carte (ce n'est encore jamais arrivé), SpaceX vous dédommagera », a-t-il écrit sur X, selon The Next Web, sans en préciser la portée. Les conditions d'utilisation de SpaceXAI, mises à jour le 12 octobre, écartent au contraire sa responsabilité pour les actions agentiques : l'utilisateur y « accepte la responsabilité » de celles qu'il commande.

Pour les résidents européens, la société précise qu'elle ne limite pas sa responsabilité là où ce serait illégal. Le droit des paiements pose ses propres règles. Selon une réponse du ministère de l'Économie publiée au Journal officiel le 28 mai 2024, « le consentement du payeur est nécessaire pour qu'une opération de paiement soit autorisée », « l'existence d'une authentification forte n'étant pas suffisante en soi ».

La responsabilité du client peut être engagée en cas de négligence grave, « ce dont le prestataire de services de paiement devra apporter la preuve ». La réponse ne traite pas du client qui confie ses identifiants à un agent. France : le projet de transposition omet trois points, selon le barreau de Paris La directive s'adresse aux États membres (article 24).

En France, ses règles entreront dans le droit interne par un texte de transposition. Au 20 octobre 2026, aucun n'a été trouvé dans les dossiers législatifs de l'Assemblée nationale et du Sénat. Dans une réponse publiée au Journal officiel le 12 mai 2026, le garde des Sceaux indiquait qu'« un texte dédié est envisagé à ce stade », sans dire s'il s'agirait d'une loi ou d'une ordonnance.

Aucun des documents consultés ne dit quel régime s'appliquerait aux produits mis sur le marché après le 9 décembre si ce texte paraissait plus tard. Selon un rapport présenté le 24 février 2026 au Conseil de l'ordre du barreau de Paris, la direction des affaires civiles et du sceau du ministère de la Justice a soumis le 27 janvier un tableau de transposition qui modifie les articles 1245 à 1245-17 du code civil. Le projet ne reprend explicitement ni l'atteinte médicalement reconnue à la santé psychologique, ni la réparation des données non professionnelles détruites ou corrompues.

Il « ne traite pas explicitement la responsabilité du fabricant de composant logiciel intégré à un autre produit », situation qui peut être celle d'un fournisseur de modèle. Cinq décisions à prendre avant le 9 décembre Qualifier son rôle produit par produit (fabricant par la mise au point, la marque ou l'usage propre, modificateur substantiel, simple utilisateur) pour les versions qui sortiront après le 9 décembre. Renégocier avec le fournisseur de modèle les clauses de recours, d'indemnisation et de plafond, qui ne jouent qu'entre les parties.

Fixer la journalisation et la conservation des preuves : la victime dispose de trois ans pour agir, et son droit s'éteint au bout de dix ans, vingt-cinq ans pour les lésions corporelles latentes (articles 16 et 17). Écrire une politique de mises à jour : correctifs de sécurité garantis, évaluation documentée des versions susceptibles d'être substantielles. Revoir l'assurance de responsabilité civile : Howden Re s'attend à ce que beaucoup d'assureurs introduisent des exclusions de l'IA générative et agentique en responsabilité civile générale aux renouvellements de janvier 2027, selon Insurance Business.

Ajouter ActuIA à mes sources préférées sur Google Nos articles remonteront en priorité dans « À la une » de Google. ST Stephane Nachez Rédaction ActuIA — actualités, données et analyses sur l'intelligence artificielle pour les décideurs.