Qui est responsable quand un algorithme d’IA cause un dommage

Page du service : Commerce numérique et IA : un avocat pour les conditions générales, la vie privée et la prospection directe.

Quand une machine décide et que personne ne prend la responsabilité — que dit le droit ?

Lorsqu’un système d’intelligence artificielle commet une erreur — qu’il s’agisse d’une décision de crédit erronée, d’une mauvaise classification d’une image médicale ou d’une décision d’assurance injustifiée —, une question juridique se pose, à laquelle le droit n’a pas encore entièrement répondu : qui est responsable ? Le développeur qui a écrit le code ? L’organisation qui a exploité le système ? L’utilisateur qui a cliqué sur « Valider » ?

Le dilemme est particulièrement difficile, car les systèmes d’IA apprennent et changent en cours d’exploitation — ce qui rend parfois leur comportement imprévisible, même pour leurs développeurs. Contrairement à un composant technique physique qui se comporte comme prévu, un modèle d’apprentissage automatique ayant fait l’objet d’un ajustement fin (fine-tuning) peut développer des comportements non prévus.

Quels sont les trois cadres de responsabilité applicables — et lequel convient à quel cas ?

Le droit israélien n’a pas ajouté de « chapitre IA » à l’ordonnance sur les délits civils — et ce n’est pas nécessaire. Le tribunal applique trois cadres existants, et chacun d’eux risque d’exposer une organisation qui ne s’y est pas préparée :

Responsabilité civile délictuelle — articles 35 et 36 de l’ordonnance sur les délits civils [nouvelle version] : si un système d’IA cause un dommage, la victime déposera une action en responsabilité contre la personne responsable du fonctionnement du système. La base : une obligation de prudence, sa violation et un dommage causé. C’est le cadre le plus large, et il convient à la plupart des cas.

Responsabilité du fait des produits : la loi sur la responsabilité du fait des produits défectueux, 5740-1980 (חוק האחריות למוצרים פגומים, התש״ם-1980), impose au fabricant une responsabilité sans faute lorsqu’un défaut du produit — un vice susceptible de causer un dommage corporel, ou l’absence d’avertissements et d’instructions de sécurité appropriés — a causé un dommage corporel (articles 2–3). La loi ne s’applique pas à un dommage purement financier, et il n’a pas encore été tranché si un logiciel ou un modèle d’IA est un « produit » au sens de cette loi. On peut soutenir qu’un biais algorithmique connu et non révélé est un « défaut ».

Négligence professionnelle : l’article 35 de l’ordonnance sur les délits civils apprécie un professionnel selon l’habileté et la prudence qu’aurait exercées une personne raisonnable, avisée et qualifiée pour exercer la même profession. Un développeur ou un exploitant d’IA qui n’a pas fait preuve d’une telle prudence — dans le développement, les tests ou la surveillance — risque d’engager sa responsabilité.

Qui paiera au final — le développeur, l’utilisateur ou l’exploitant ?

Lorsqu’un système d’IA cause un dommage, l’action peut être dirigée contre un ou plusieurs des intervenants suivants :

Le développeur (Developer) : celui qui a créé l’algorithme est responsable s’il n’a pas correctement testé le système, n’a pas documenté ses limites ou n’a pas identifié des risques connus. Par exemple, si un développeur met sur le marché un système d’IA présentant un biais connu envers un groupe donné, et que cela cause un dommage, le développeur risque d’être responsable.

L’exploitant (Operator) : l’organisme qui utilise le système d’IA est responsable s’il ne l’a pas choisi correctement, ne l’a pas surveillé correctement, ou n’a pas mis en place des mécanismes de contrôle suffisants. Par exemple, une banque qui utilise un système d’IA pour ses décisions de prêt est responsable si elle n’a pas vérifié les décisions du système ou n’a pas créé de mécanismes de contrôle.

L’utilisateur final (End User) : un particulier qui utilise l’IA est responsable s’il savait que le système n’était pas adapté à un usage précis et a choisi de l’utiliser malgré tout. Un médecin qui pose un diagnostic en se fondant sur une IA non approuvée pour un usage clinique ne pourra pas se retrancher derrière « la recommandation de l’algorithme ».

En pratique, plusieurs intervenants peuvent être tenus responsables. Selon l’article 11 de l’ordonnance sur les délits civils, les coauteurs d’un délit civil sont tenus solidairement, et chacun d’eux peut être poursuivi. La répartition de la charge entre eux est fixée selon l’article 84 — selon la justice et l’équité, compte tenu de la part de responsabilité de chacun dans le dommage.

Qu’exige la loi européenne sur l’IA (EU AI Act) des sociétés israéliennes ?

L’AI Act européen (règlement (UE) 2024/1689) est entré en vigueur en 2024. Il s’applique aussi aux sociétés établies hors de l’Union — y compris israéliennes — qui développent, vendent ou exploitent une IA pour des clients européens. Ce n’est pas théorique : une start-up israélienne qui commercialise un SaaS doté d’IA auprès de sociétés allemandes est soumise à ce texte.

L’AI Act classe les systèmes d’IA selon leur niveau de risque. Les systèmes « à haut risque » — notamment l’IA utilisée pour le recrutement, le crédit, la santé et la justice — sont soumis à une documentation complète, à une évaluation des risques et à une surveillance humaine. Les systèmes « à risque inacceptable » — comme la notation sociale (social scoring) ou la manipulation cachée — sont totalement interdits. Les sanctions : pour la violation des interdictions, jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu ; pour la violation de la plupart des autres obligations, jusqu’à 15 millions d’euros ou 3 % (article 99). Celui qui attend une loi israélienne avant de commencer à se mettre en conformité risque d’être en retard.

Que prévoit le droit israélien sur la responsabilité pour un dommage causé par un système d’intelligence artificielle ?

En Israël, le droit en vigueur repose sur la responsabilité civile délictuelle et la négligence. Il n’existe pas de législation propre à l’IA, et les tribunaux fonderont leurs décisions sur les cadres existants — jusqu’à ce que le législateur intervienne. En décembre 2023, le ministère de l’Innovation, de la Science et de la Technologie et le ministère de la Justice ont publié un document d’orientation. Selon ce document, il n’y a pas lieu, à ce stade, d’adopter une loi-cadre transversale sur l’intelligence artificielle, et chaque régulateur examinera l’encadrement dans son domaine. En avril 2025, l’Autorité de protection de la vie privée a publié un projet de directive sur l’application de la loi sur la protection de la vie privée, 5741-1981 (חוק הגנת הפרטיות, התשמ״א-1981) aux systèmes d’IA.

En attendant, le message adressé aux organisations est clair : celui qui exploite une IA sans surveillance, sans documentation et sans tests de biais risque d’être considéré comme négligent. Il ne suffit pas de dire « nous nous sommes fiés au fournisseur ». Le tribunal examinera ce que l’organisation a fait elle-même pour protéger les personnes sur lesquelles le système a eu un effet.

Celui qui exploite un système d’IA qui porte atteinte au public sans s’y être préparé s’expose à une action en justice et à une responsabilité.