Un outil d'IA peut produire une recommandation erronée, trier un dossier de façon inadaptée, générer un contenu inexact ou orienter une décision sur la base de données insuffisantes. La vraie question n'est donc pas de savoir si « l'IA est responsable », mais quels acteurs ont conçu, fourni, paramétré, utilisé et validé le résultat. Lorsqu'une erreur survient, la responsabilité dépend du contexte : défaut du produit ou du service, mauvaise configuration, données inadaptées, usage non conforme, absence de contrôle humain ou décision prise sur la base du résultat. Le contrat avec le fournisseur compte, mais il ne dispense pas l'entreprise utilisatrice d'organiser son propre usage de l'outil, avec l'appui d'un conseil comme https://www.steeringlegal.com.
Plusieurs acteurs peuvent être concernés
Dans une chaîne d'IA, les rôles sont rarement concentrés dans une seule entreprise. Le fournisseur développe ou commercialise le système. L'intégrateur l'adapte ou le connecte à l'environnement de l'entreprise. L'entreprise utilisatrice, appelée déployeur dans le règlement européen, choisit le cas d'usage, alimente l'outil et s'appuie sur ses résultats. Enfin, le collaborateur qui utilise l'outil ou prend la décision finale joue également un rôle.
Le règlement européen sur l'IA, ou AI Act, distingue notamment le fournisseur du déployeur. Pour les systèmes à haut risque, il impose au déployeur des obligations propres, dont l'utilisation conforme aux instructions du fournisseur et la mise en place de mesures organisationnelles appropriées.
Le calendrier a évolué. Le règlement (UE) 2026/1744 du 8 juillet 2026, dit omnibus numérique sur l'IA, a reporté l'application des obligations relatives aux systèmes à haut risque de l'annexe III, qui couvre notamment l'emploi, le crédit ou l'éducation, du 2 août 2026 au 2 décembre 2027. Celles de l'annexe I, relatives aux IA intégrées à des produits réglementés, passent au 2 août 2028. Les règles de transparence de l'article 50 s'appliquent, elles, depuis le 2 août 2026.
Sur le terrain de la responsabilité civile, la directive (UE) 2024/2853 sur les produits défectueux précise que les logiciels sont des produits. Les États membres doivent la transposer au plus tard le 9 décembre 2026. Au début du mois d'août 2026, aucun texte français de transposition n'avait encore été publié.
Le contrôle humain reste déterminant
Une entreprise ne devrait pas traiter une recommandation automatisée comme une décision incontestable. Plus l'outil peut avoir d'impact sur une personne ou sur une activité critique, plus il faut définir qui vérifie le résultat, dans quelles situations il doit être écarté et qui peut arrêter l'usage de l'outil.
Pour les systèmes d'IA à haut risque, l'article 26 de l'AI Act prévoit que le déployeur confie le contrôle humain à des personnes physiques disposant des compétences, de la formation, de l'autorité et du soutien nécessaires. Ces personnes doivent pouvoir comprendre les limites du système, interpréter ses résultats et, si besoin, ne pas les suivre.
Cette logique est utile bien au-delà des cas strictement qualifiés de haut risque. Un assistant qui rédige une réponse client, classe des candidatures ou résume un dossier juridique doit rester un outil d'aide. La validation finale doit être attribuée à une personne identifiée, qui sait ce qu'elle contrôle et pourquoi.
Les données et le paramétrage peuvent engager l'entreprise
Une erreur ne provient pas nécessairement du modèle lui-même. Elle peut résulter de données internes incomplètes, obsolètes, biaisées ou employées hors contexte. L'entreprise qui contrôle les données d'entrée doit donc vérifier leur pertinence pour l'usage prévu.
L'article 26 de l'AI Act précise, pour les systèmes à haut risque, que le déployeur veille à ce que ces données soient pertinentes et suffisamment représentatives au regard de la destination du système, dans la mesure où il exerce un contrôle sur elles.
Lorsque l'outil traite des données personnelles, le RGPD s'applique également : sécurité, minimisation, information des personnes, encadrement des prestataires et, selon le traitement, analyse d'impact. La CNIL rappelle que les responsables de traitement et les sous-traitants doivent mettre en œuvre des mesures de sécurité adaptées aux risques.
Le paramétrage compte aussi. Un seuil de décision trop permissif, une consigne mal formulée ou un accès à des documents non filtrés peut conduire à un résultat inadapté, même avec un outil performant. Documenter la configuration retenue permet de comprendre plus tard ce qui a influencé la réponse.
Organiser la gouvernance et le contrat fournisseur
Mettre en place une gouvernance juridique de l'IA permet de préciser qui valide les usages, qui contrôle les résultats et comment l'entreprise réagit lorsqu'une erreur est détectée. Elle suppose au minimum un inventaire des outils utilisés, une classification des cas d'usage et des règles claires sur les informations pouvant être saisies.
Avant de déployer un outil, le contrat doit notamment préciser les performances et limites annoncées du système, les données utilisées, hébergées ou conservées, ainsi que les responsabilités de chaque partie en cas d'erreur ou de violation de données. Il doit aussi prévoir l'assistance, la correction, la notification des incidents, les engagements de sécurité, les droits d'audit et les conditions d'arrêt du service.
Pour les systèmes à haut risque, le déployeur doit également assurer la tenue des journaux générés automatiquement lorsqu'ils sont sous son contrôle, pendant une période adaptée à la destination du système et d'au moins six mois, sauf disposition contraire du droit applicable. Cette traçabilité aide à reconstituer ce qui s'est passé lorsqu'une décision est contestée.
L'utilisation d'un outil automatisé ne transfère donc pas intégralement le risque à son éditeur. L'entreprise qui le déploie reste responsable de ses choix d'usage, de ses données, de l'organisation du contrôle humain et des décisions prises à partir des résultats. La prévention repose sur une règle simple : un outil peut assister la décision, mais son erreur doit pouvoir être détectée, expliquée et corrigée par une personne identifiée.
