IA générative : propriété, responsabilité et vie privée en entreprise

Page du service : Commerce numérique et IA : un avocat pour les conditions générales, la vie privée et la prospection directe.

Ce que l’IA produit — à qui cela appartient-il ?

ChatGPT, Midjourney, DALL-E : les outils d’IA générative ont transformé le marché de la création de contenu. Mais derrière chaque image créée en 10 secondes se cache une question que les tribunaux du monde entier tentent encore de résoudre : à qui appartient ce que l’IA a créé ?

Selon la loi sur le droit d’auteur, le premier titulaire du droit d’auteur est l’« auteur » (article 33), et le droit dure toute sa vie et encore 70 ans après sa mort (article 38). La loi ne définit pas l’« auteur », mais l’IA n’a pas la personnalité juridique et ne peut pas détenir de droits. Autrement dit, un contenu créé automatiquement par l’IA sans intervention créative humaine risque de tomber dans le domaine public et de ne pas être protégé.

Ce qui est protégé : si une personne a écrit un prompt original et détaillé, a effectué une édition importante et a dirigé le processus de création, un tribunal israélien pourrait voir en elle un auteur. Mais la ligne de partage n’est pas encore claire.

Entraîner l’IA sur des contenus protégés : atteinte ou usage loyal ?

Les modèles d’IA générative ont été entraînés sur d’énormes quantités de textes, d’images et de musique, protégés pour la plupart par le droit d’auteur. Aux États-Unis, OpenAI, Stability AI et Google font face à des actions d’envergure intentées par des auteurs, des artistes et des journaux. En Israël, la question reste ouverte.

L’article 19 de la loi sur le droit d’auteur définit l’« usage loyal » : l’utilisation d’une œuvre protégée sans l’autorisation du titulaire du droit, à des fins telles que la recherche, l’enseignement ou la critique. L’entraînement d’un modèle d’IA constitue-t-il un « usage loyal » ? Dans un avis de décembre 2022, le département du conseil et de la législation du ministère de la Justice a exprimé la position suivante : sauf cas exceptionnels, l’utilisation de contenus protégés pour l’apprentissage automatique est une utilisation permise — le plus souvent un usage loyal selon l’article 19, et parfois aussi une utilisation accessoire (article 22) ou une copie temporaire (article 26). Cet avis ne lie pas les tribunaux, et la question n’a pas encore été tranchée par la jurisprudence.

Il est recommandé aux sociétés israéliennes qui développent des modèles d’IA de documenter les sources de leurs données d’entraînement. Le fournisseur d’un modèle d’IA à usage général commercialisé dans l’Union européenne doit publier un résumé détaillé du contenu utilisé pour l’entraînement (article 53(1)(d) de l’AI Act). Un tribunal israélien saisi de la question examinera : quel est le but de l’utilisation, l’IA remplace-t-elle le marché d’origine, et quel est l’effet économique sur le titulaire du droit.

EU AI Act : il vous concerne aussi

Le règlement européen sur l’IA (EU AI Act), entré en vigueur par étapes depuis 2024, classe les systèmes d’IA selon leur niveau de risque : risque élevé (biométrie, tri des candidats à l’emploi, notation de crédit), risque limité et risque minimal. Les systèmes « à haut risque » (article 6 et annexe III) sont soumis à des obligations de transparence, de documentation et de contrôle humain, et certains usages sont totalement interdits (article 5). Les dispositions s’appliquent par étapes (article 113).

Une société israélienne qui commercialise un système d’IA dans l’Union, ou dont le résultat produit par le système est utilisé dans l’Union, est soumise au règlement (article 2(1)). C’est pourquoi tout SaaS israélien qui a des utilisateurs européens et qui intègre de l’IA doit examiner sa situation au regard de l’AI Act.

Responsabilité juridique : quand l’IA se trompe, qui paie ?

L’IA générative « invente » : c’est ce qu’on appelle une « hallucination ». Elle risque de produire des informations médicales erronées, d’attribuer des citations à des personnes qui n’ont rien dit, ou de produire un contenu trompeur. Lorsqu’un dommage est causé, qui est responsable ?

Selon l’ordonnance sur les délits civils [nouvelle version] (פקודת הנזיקין [נוסח חדש]), la responsabilité civile exige un lien de causalité entre un acte et le dommage. Qui a « agi » ici ? Le fournisseur de l’IA ? Le développeur qui l’intègre ? L’utilisateur ? En l’absence de législation spécifique, Israël s’appuiera sur le droit général de la responsabilité civile. Des arguments de négligence et de responsabilité du fait d’autrui sont possibles, et en cas de dommage corporel, aussi la responsabilité du fait des produits selon la loi sur la responsabilité du fait des produits défectueux, 5740-1980 (חוק האחריות למוצרים פגומים, התש״ם-1980). Tout dépend de qui a envoyé le prompt et de qui a intégré le modèle dans le produit.

Un document officiel créé par l’IA qui contient une erreur de fait, un conseil médical erroné auquel l’IA a contribué, un contrat dont une clause problématique a été rédigée par l’IA : chacun de ces cas est une cause d’action possible, et de telles actions apparaissent déjà dans le monde.

Vie privée : ce que l’IA fait des informations que vous saisissez

Lorsque vous saisissez des données dans un outil d’IA — documents, noms de clients, informations médicales — vous transmettez des informations au serveur d’un fournisseur étranger. Selon la loi sur la protection de la vie privée, 5741-1981 (חוק הגנת הפרטיות, התשמ״א-1981), utiliser ou transmettre une information dans un but autre que celui pour lequel elle a été communiquée est une atteinte à la vie privée (article 2(9)). Un fournisseur qui obtient un accès à une base de données doit être lié par un contrat selon l’article 15 du règlement sur la protection de la vie privée (sécurité des données), 5777-2017 (תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017). Le transfert vers un serveur à l’étranger est soumis au règlement sur la protection de la vie privée (transfert de données vers des bases de données situées hors des frontières de l’État), 5761-2001 (תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001) (articles 1–3).

Les avocats, les comptables agréés (CPA) et les médecins qui saisissent des informations de clients dans un outil d’IA risquent de violer à la fois leurs obligations de secret professionnel et la loi sur la protection de la vie privée. La difficulté : la plupart des grands fournisseurs d’IA reposent sur un cloud situé à l’étranger, et leurs conditions d’utilisation ont des conséquences directes sur le respect de la loi israélienne.

Et quel est l’effet sur la sécurité des données ? Selon l’article 17(a) de la loi sur la protection de la vie privée, le responsable de la base de données et le détenteur qui traite des informations pour son compte sont chacun responsables de la sécurité des informations de la base. La saisie d’informations de la base dans un outil d’IA externe peut être considérée comme un traitement par l’intermédiaire d’un détenteur. Il est donc conseillé de mettre à jour le document de définition de la base de données, qui doit mentionner le traitement par un détenteur et le transfert d’informations hors des frontières de l’État (article 2(a)(4) et (5) du règlement sur la sécurité des données), et d’examiner à l’avance les risques du contrat (article 15(a)(1)). Une fuite d’une base soumise à un niveau de sécurité moyen ou élevé peut constituer un « incident de sécurité grave », qui impose une notification immédiate à l’Autorité de protection de la vie privée (article 11(d)).

Ce que fait Israël — et ce qu’il fera bientôt

En 2026, Israël n’impose pas de licence particulière pour les solutions d’IA générative. Dans un document de politique de décembre 2023, le ministère de l’Innovation, de la Science et de la Technologie et le ministère de la Justice ont estimé qu’il n’y a pas lieu, à ce stade, d’adopter une loi-cadre transversale, et que chaque régulateur examinera la réglementation dans son domaine. L’Autorité de protection de la vie privée a publié le 28 avril 2025 un projet de directive sur l’application de la loi sur la protection de la vie privée aux systèmes d’intelligence artificielle. Le ministère de la Justice a publié en décembre 2022 un avis sur l’apprentissage automatique à partir de contenus protégés. Il n’existe pas, pour l’instant, de « loi israélienne sur l’IA ».

Les entreprises qui adoptent l’IA maintenant se créeront un avantage si elles documentent : les sources de données, la chaîne de responsabilité, les contrôles de qualité et le mécanisme de contrôle humain. Ce sont aussi les sujets sur lesquels se concentrent les réglementations existantes, comme l’AI Act.