Les mois écoulés ont été particulièrement pauvres en actualités liées à la responsabilité – la perspective, bien que dépourvue de date, d’une réforme de la matière, bride probablement la créativité de la jurisprudence. Cette chronique se focalise par conséquent sur quelques innovations du législateur interne – dispositions relatives à la responsabilité de la loi bioéthique, texte sur le protoxyde d’azote – et présente par ailleurs la proposition de règlement du législateur européen à propos de l’intelligence artificielle.

1 L. n° 2021-1017, 2 août 2021, relative à la bioéthique. 2 Cons. const., 29 juill. 202, n° 2021-821 DC. 2Loi relative à la bioéthique. En matière de responsabilité, la loi relative à la bioéthique1 se borne pour l’essentiel à renuméroter ou à clarifier quelques dispositions – le Conseil constitutionnel n’a pas été saisi de ces aspects2. Le principe de l’irresponsabilité du donneur de gamètes dans le cadre d’une procréation médicalement assistée (PMA) figure à l’article 342-9 (aujourd’hui, art. 311-19) est engagée la responsabilité de « celui qui, après avoir consenti à l’assistance médicale à la procréation, ne reconnaît pas l’enfant qui en est issu » (art. 342-13, aujourd’hui art.311-20). Est encore ajouté, en écho, dans ce même article 342-13, que « la femme qui, après avoir consenti à l’assistance médicale à la procréation, fait obstacle à la remise à l’officier de l’état civil de la reconnaissance conjointe » engage sa responsabilité. Si l’acceptation du principe de telles responsabilités ne pose pas de difficultés, la détermination du quantum de la réparation est extrêmement difficile.

3 L. n° 2021-695, 1er juin 2021, tendant à prévenir les usages dangereux du protoxyde d’azote. 4 Art. L. 3611-3 CSP. 5 Art. L. 3611-1 CSP, 15 000 € d’amende. 6 Art. L. 3621-1 CSP. 7 Art. 1245-3 C. civ. 3Usages dangereux du protoxyde d’azote et autres produits à effets psychoactifs. Une loi du 1er juin 2021 vise à « prévenir les usages dangereux du protoxyde d’azote »3, ce gaz hilarant détourné de ses usages industriels, culinaires (siphons à chantilly), médicaux, etc. Elle en prohibe la vente aux mineurs4, et encadre la vente aux majeurs. Si la chose peut sembler assez anodine, il convient toutefois de remarquer qu’est créé dans le Code de la santé publique un embryon de régime pour les usages détournés et dangereux de produits de consommation courante – ce qui va bien au-delà du titre de la loi (aucun exemple n’est donné, mais il faut certainement inclure les solvants, les colles, et bien d’autres produits chimiques). Ainsi est incriminé le fait de « provoquer un mineur à faire un usage détourné d’un produit de consommation courante pour en obtenir des effets psychoactifs »5. Il apparaît probable que le protoxyde d’azote soit rejoint par d’autres molécules dans les années à venir. La responsabilité civile est concernée dans la mesure où est prévue sur les emballages une mention de la dangerosité des usages détournés6. Or, en matière de responsabilité du fait des produits défectueux, le défaut de sécurité du produit peut dépendre de sa présentation7, notamment des mentions de dangerosité : l’insuffisance des mentions pourrait ainsi caractériser le défaut du produit. L’attention portée aux usages dangereux et détournés des produits de consommation courante devrait inciter les producteurs de tels produits, sans attendre l’adoption de textes particuliers, à mettre en garde les utilisateurs contre les dangers de ces détournements, afin de ne pas courir le risque d’une interprétation extensive de la notion de défaut de présentation.

8 « Tesla et son Autopilot visés par une enquête après une série de onze accidents aux États-Unis », (...) 9 Proposition de règlement du Parlement européen et du Conseil établissant des règles harmonisées co (...) 4Systèmes d’intelligence artificielle. Dans un contexte où la presse généraliste a rendu compte des actions judiciaires menées contre un constructeur automobile en raison des accidents dans lesquels étaient impliqués ses véhicules pour partie pilotés par un système d’intelligence artificielle (IA)8, une proposition de règlement européen9 est parue, qui parachève de nombreuses études diligentées sur le sujet. Il n’est évidemment pas question de faire ici un commentaire de l’intégralité de ce document, fort d’un long exposé des motifs, d’annexes et d’un corps dense. L’analyse sera strictement limitée aux dispositions relatives à la responsabilité. Le risque apparaît comme un concept central, que ce soit pour classer les systèmes d’intelligence artificielle (I), ou bien prévenir, voire réparer, les dommages qui pourraient en résulter (II).

# I. Une classification des systèmes d’intelligence artificielle essentiellement fondée sur le risque

10 V. la lumineuse analyse de C. Thibierge, « Avenir de la responsabilité, responsabilité de l’avenir (...) 11 Sénat, juill. 2020. 5La notion de risque est devenue la figure tutélaire qui préside aux évolutions de la responsabilité civile, depuis le déclin de la faute au soir du xixe siècle. La prévention ou la précaution lui font écho et enjoignent à la matière de se transformer, d’une responsabilité tournée vers le passé à une responsabilité tournée vers l’avenir10. Un aboutissement du phénomène pourrait se trouver dans la proposition de loi portant réforme de la responsabilité civile11, dans laquelle l’article 1238 fait entrer les dépenses préventives dans le préjudice réparable, et l’article 1268 autorise le juge à prendre des mesures préventives, ou à faire cesser un trouble illicite. Autre exemple de compénétration du risque et de la responsabilité, les articles L. 160-1 et suivants du Code de l’environnement, transposant une directive européenne sur la responsabilité environnementale, qui, d’une part, assimilent les dommages et la menace imminente de dommages et, d’autre part, érigent, à l’article L. 161-1, le risque (d’atteinte grave à la santé humaine) en dommage. Pour le dire autrement, la responsabilité, lato sensu, est désormais un outil de gestion du risque.

12 Proposition de règlement, Exposé des motifs, 5.2.2 ; et le considérant n° 14. 6La proposition de règlement européen concernant l’intelligence artificielle semble pousser cette logique à son paroxysme. Le risque devient le paramètre amenant à une distinction entre les IA interdites parce que créant un risque inacceptable, celles qui sont réglementées en raison de leur risque élevé, et celles qui ne le sont pas en ce que le risque créé est faible ou minimal12. Évidemment, la responsabilité en cas de dommages causés par une IA ne se fera pas sur les mêmes fondements selon la catégorie d’IA en cause. Là où le simple fait de mettre sur le marché ou d’utiliser une IA interdite engage une responsabilité pour faute, qui ne sera guère susceptible d’être combattue utilement en invoquant une cause d’exonération, le dommage qui serait causé par une IA autorisée entre dans le cadre des dispositions relatives à la responsabilité prévues par ce texte.

13 Cette attention aux potentielles atteintes aux libertés fondamentales par l’IA était un axe fort d (...) 14 Proposition de règlement, cons. n° 4. 15 Proposition de règlement, cons. n° 14. 16 Résolution du Parlement européen du 20 octobre 2020 contenant des recommandations à la Commission (...) 7La proposition, qui ne néglige pas les aspects positifs de l’IA, n’oublie pas non plus son côté obscur. Elle considère que « l’intelligence artificielle peut générer des risques et porter atteinte aux intérêts et droits publics protégés par le droit de l’Union13. Le préjudice causé peut être matériel ou immatériel »14. Elle ajoute qu’« il convient de suivre une approche clairement définie fondée sur les risques »15. Cela rappelle la résolution du Parlement européen relative aux aspects éthiques de l’IA, qui avait estimé que : « Toute personne physique ou morale a le droit de demander réparation pour des torts ou des préjudices occasionnés par le développement, le déploiement et l’utilisation de l’intelligence artificielle, de la robotique et des technologies connexes à haut risque, y compris les logiciels, les données et les algorithmes utilisés ou produits par ces technologies, en violation du droit de l’Union et des obligations énoncées dans le présent règlement »16.

17 Résolution du Parlement européen du 20 octobre 2020 contenant des recommandations à la Commission (...) 8Ceci exposé, il est légitime de s’attendre à ce que la partie plus normative de la proposition de règlement interdise ou réglemente certaines pratiques en matière d’IA en présumant que certaines applications font courir des risques inacceptables ou élevés. L’appréciation ex ante et l’évaluation des risques, fondées sur des critères objectifs, étaient souhaitées par le Parlement européen17. Ce dernier voulait que l’appréciation du risque soit le fait du législateur européen qui, face à l’incertitude quant à l’étendue et à la nature exacte des dommages pouvant être causés par une mauvaise utilisation de l’IA, aurait interdit ou réglementé certaines pratiques en raison de leur risque intrinsèque potentiel. Une telle démarche de précaution semblait parfaitement logique dans une situation où le recul manque.

18 B. Pedroletti, « En Chine, le “crédit social” des citoyens fait passer les devoirs avant les droit (...) 19 Proposition de règlement, cons. n° 5. 9C’est pourtant une tout autre voie qu’emprunte la proposition de règlement. Selon son article 5, qui indique les pratiques interdites, une IA « qui a recours à des techniques subliminales au-dessous du seuil de conscience pour altérer substantiellement son comportement » (on pense aux fameuses, mais contestées, publicités subliminales) n’est pas interdite en tant que telle, mais seulement si elle « cause ou est susceptible de causer un préjudice physique ou psychologique à cette personne ou à un tiers ». De même, exploiter par l’IA les vulnérabilités dues à l’âge ou au handicap n’est interdit qu’en cas de dommage ou de risque de dommage. Encore, les systèmes d’IA mis en service par ou pour les pouvoirs publics et « destinés à évaluer ou à établir un classement de la fiabilité de personnes physiques » (on pense au crédit social du système chinois18) ne sont interdits que dans la mesure où ils conduisent à un traitement préjudiciable « dans des contextes sociaux dissociés du contexte dans lequel les données ont été générées ou collectées à l’origine » ou « injustifié ou disproportionné par rapport à leur comportement social ou à la gravité de celui-ci ». Ce dernier exemple illustre l’idée selon laquelle une large marge de manœuvre est finalement laissée aux États utilisateurs des systèmes d’IA, ce qui est encore plus évident avec l’utilisation de systèmes d’identification biométrique à distance en temps réel, qui si elle semble encadrée, bénéficie en réalité de larges dérogations19.

20 Notamment par le Sénat, qui estime que les IA avec risque inacceptable sont purement et simplement (...) 10Pour ce qui est des deux premières pratiques (l’altération substantielle du comportement par le recours à des techniques subliminales, et l’exploitation des vulnérabilités dues à l’âge ou au handicap), il pourrait être objecté que, nécessairement, un risque de dommage existe, ce qui les condamne de facto. Si tel était le cas, alors il aurait été plus lisible de les interdire purement et simplement – il s’agit de la lecture qui en est parfois faite20. En l’état actuel de la proposition, l’appréciation de l’existence d’un risque lié à ces pratiques est renvoyée finalement au juge, qui ne pourra que réagir après le déploiement d’une IA interdite, la preuve de l’existence d’un risque ou d’un dommage devant être faite, ce qui ne sera pas chose aisée. Les dispositions normatives du texte sont donc, dans son état actuel, très en deçà des ambitions affichées.

Pour ce qui est des systèmes d’IA à haut risque, l’article 6 de la proposition permet de les qualifier de deux manières. La première, qui pourrait être qualifiée d’incidente, rassemble des produits ou composants de sécurité de produits visés par certains textes européens, lorsqu’il y a une évaluation de la conformité par un tiers en vue de sa mise sur le marché (sont ainsi visés notamment les jouets, bateaux de plaisance, installations à câble, équipements de protection individuelle, dispositifs médicaux de diagnostic in vitro…). La seconde, qui pourrait être qualifiée de principale, est le renvoi à une annexe, l’annexe III, qui consiste en un long inventaire de différents domaines, allant de l’évaluation des étudiants à la prise de décision de licenciement, de l’évaluation de l’éligibilité des personnes aux prestations sociales à la détermination du risque de récidive pénale, de l’analyse de l’état émotionnel d’une personne migrante à l’application de la loi à un ensemble concret de faits.

21 C. Crichton, « Projet de règlement sur l’IA (II) : une approche fondée sur les risques », D. 4 mai (...) 12Les systèmes à risque faible ne sont pas définis : il s’agit donc de la catégorie résiduelle. Certes, d’aucuns estiment qu’elle est réduite à la portion congrue21. Néanmoins, une application d’IA n’entrant pas dans les listes limitatives des systèmes à haut risque à risque inacceptable est par défaut une application à risque faible, dont la mise en œuvre est très libre. Là encore, un hiatus existe entre les ambitions de la proposition de règlement affichées dans l’exposé des motifs et les règles qu’elle contient.

# II. La prévention des risques et la réparation de leur réalisation

À de nombreux égards, il existe une filiation entre l’esprit de la directive du 25 juillet 1985 relative aux produits défectueux et celui de la proposition de règlement. Il apparaît, notamment, que l’une et l’autre poursuivent des objectifs semblables. L’une et l’autre font également du risque un étalon. Cela étant, 36 ans séparent les deux textes. À la différence des rédacteurs de la directive de 1985, ceux du présent règlement disposent d’un certain recul sur l’appréhension juridique des risques à l’échelle européenne. Dès lors, il n’est guère surprenant de constater des différences. La plus notable d’entre elles réside certainement dans l’accent qui est mis sur la prévention des risques. Seuls les risques jugés les plus importants, c’est-à-dire ceux auxquels exposent les systèmes d’IA à haut risque, font l’objet d’une attention particulière (A). Lorsque la prévention ne permet pas d’échapper à leur réalisation, le risque réalisé, source de dommage, pourra faire l’objet d’une réparation (B).

## A. La prévention des risques auxquels exposent les systèmes d’intelligence artificielle

De façon assez classique, la prévention des « hauts risques » s’exerce en amont et en aval de la commercialisation des systèmes d’IA. En amont, des procédures d’évaluation préalables à une mise sur le marché sont instaurées (1). En aval, une obligation de vigilance est imposée à différents acteurs (2). La survenance d’un dommage pourrait révéler une insuffisance de ces mesures préventives et donner lieu à l’engagement d’une responsabilité.

### 1. En amont de la commercialisation du système d’intelligence artificielle à haut risque

22 Art. 43. 23 Cons. 64, art. 24. 24 Art. 340, al. 2, TFUE. 15L’évaluation de la conformité des systèmes d’IA à haut risque est confiée au fournisseur22. Le texte justifie ce rôle central par le fait que le fournisseur est le plus à même d’apprécier les risques auxquels ces systèmes exposent23. Cela pourrait faire peser sur lui une responsabilité importante. Cela étant, ce dernier se contente de s’assurer de la conformité du système d’IA avec des normes dont il est étranger à l’adoption. En cas de dommage, la question de la responsabilité des autorités ayant adopté ces normes pourrait donc se poser, en l’occurrence celle de la Commission européenne. Cette responsabilité n’est pas simple à mettre en œuvre. En effet, elle suppose la démonstration d’une faute de la Commission dans l’exercice de son activité normative24.

25 Art. 44. 16Selon la procédure choisie ou applicable, un organisme notifié, choisi par le fournisseur, pourra s’adjoindre à la procédure d’évaluation. Il lui reviendra alors de délivrer un certificat25. Cette intervention aura pour effet soit de conduire à un partage de responsabilité en cas de dommage, soit à un déplacement du centre de gravité de cette responsabilité.

26 Art. 47. 17Par dérogation, une autorité de surveillance du marché peut autoriser la mise sur le marché d’un système d’IA à haut risque sans que celui-ci fasse l’objet d’une procédure d’évaluation. Seuls des motifs exceptionnels, tenant à des questions de sécurité publique, de protection de la vie ou de la santé humaines, de l’environnement, de l’industrie ou d’infrastructures d’importance majeure, peuvent justifier une telle dérogation26. Dans cette hypothèse, en cas de dommage, c’est logiquement l’autorité de surveillance qui devrait assumer la charge de la réparation, contrepartie du risque qu’elle a pris.

### 2. En aval de la commercialisation du système d’intelligence artificielle à haut risque

En aval de la commercialisation, la prévention des risques repose essentiellement sur deux acteurs : le fournisseur et les autorités nationales. À ces deux acteurs centraux s’ajoutent l’importateur, le distributeur et l’utilisateur, dont le rôle ne peut être occulté. Ils constituent une sorte de filet de sécurité.

27 Art. 9. 28 Art. 62. 29 Il est défini comme celui qui est susceptible de nuire à la santé et à la sécurité des personnes e (...) 30 Art. 22. 19Le fournisseur est l’acteur central de la prévention des risques. Il se voit imposer différentes obligations. Un système de gestion des risques est créé27, semblable aux systèmes de pharmacovigilance ou matériovigilance en matière de médicaments ou de dispositifs médicaux. C’est essentiellement le fournisseur qui alimentera ce système de vigilance, au travers, notamment, de la satisfaction de son obligation de notification28. Par ailleurs, en présence d’un risque au niveau national29, connu du fournisseur, la proposition de règlement impose à ce dernier d’informer les autorités nationales compétentes et l’organisme notifié qui serait intervenu30. Dans l’un ou l’autre des cas, il semble que ce ne soit pas une obligation de vigilance qui soit mise à la charge du fournisseur, celui-ci n’ayant manifestement pas d’obligation de se montrer proactif il doit simplement se montrer réactif en présence d’un risque connu.

31 Art. 23 et 64. 20Outre le fournisseur, les autorités nationales compétentes jouent un rôle déterminant dans la prévention des risques. Afin de mener à bien leur mission, aucun secret industriel ne pourra leur être opposé. Elles peuvent donc solliciter du fournisseur toute information jugée utile, et celui-ci est tenu de coopérer avec elles31.

À ces deux acteurs, s’ajoutent l’importateur, le distributeur et, enfin, l’utilisateur, qui interviennent successivement.

32 Art. 26.1. 33 Art. R. 5211-25 CSP. Art. 53.1 du Règl. 2017/745, 5 avr. 2017. 34 Art. 26.2. 35 Art. 26.2. 22L’importateur se voit imposer une obligation de vigilance. Celle-ci lui impose de s’assurer que le fournisseur du système d’IA à haut risque a suivi la procédure appropriée d’évaluation de conformité32. Il s’agira vraisemblablement d’un simple contrôle du dossier, sur la base des déclarations du fournisseur. Le rôle de l’importateur peut être comparé à celui des organismes notifiés en matière de dispositifs médicaux, dont le rôle est de s’assurer que les producteurs ont correctement respecté les normes applicables33. Cette obligation de vigilance se double d’une obligation de mise en conformité préalable à la mise sur le marché. L’importateur doit différer la mise sur le marché du système d’IA à haut risque lorsqu’il soupçonne un défaut de conformité au règlement. Il lui appartient également de procéder lui-même à la mise en conformité34. Enfin, en présence d’un défaut de conformité qui présente un « risque national », l’importateur est tenu d’informer le fournisseur et les autorités de surveillance35.

36 Art. 27.1 et 27.2. 23Vient ensuite le distributeur. En matière de systèmes d’IA à haut risque, il lui revient de procéder à diverses vérifications, telles que l’existence du marquage CE, de la documentation et de la notice d’utilisation requises. Surtout, le distributeur doit s’assurer que le fournisseur et l’importateur du système, selon le cas, ont respecté les obligations énoncées dans le présent règlement. De la même façon que l’importateur, le distributeur doit différer la mise sur le marché du système d’IA à haut risque lorsqu’il soupçonne un défaut de conformité au règlement. Ici encore, il lui appartient également de procéder lui-même à la mise en conformité36.

37 Art. 29.1 et 29.4. 24Mais la véritable originalité de la proposition de règlement réside dans l’existence d’obligations imposées aux utilisateurs de systèmes d’IA à haut risque. À la différence de la directive relative aux produits défectueux, tout ne repose pas sur le producteur. Il apparaît notamment que celui-ci n’a pas à anticiper un éventuel usage détourné de son système. Au contraire, l’utilisateur doit participer activement à la prévention des risques. Parmi ses obligations figurent l’utilisation conforme du système d’IA à sa notice d’utilisation, la surveillance ou encore l’information à l’égard du distributeur ou du fournisseur lorsqu’il suspecte l’existence d’un risque37.

## B. La réparation de la réalisation des risques auxquels exposent les systèmes d’intelligence artificielle

En cas de dommage, il convient de déterminer tant l’identité du responsable que le fondement de sa responsabilité.

S’agissant des débiteurs de réparation, les acteurs participant à la prévention des risques étant multiples, on pourrait craindre une véritable dispersion des responsabilités en cas de dommage. Cela serait particulièrement préjudiciable pour les victimes, contraintes de multiplier les actions pour obtenir la réparation intégrale de leur dommage. Cela étant, le système adopté par la proposition de règlement s’apparente à une course de relais. Les acteurs interviennent les uns après les autres, le suivant contrôlant l’action menée par le précédent. La responsabilité pourrait donc se déplacer au fur et à mesure de la progression du contrôle.

38 Cons. 53. 27S’agissant du fondement de la responsabilité, le régime de responsabilité applicable est fonction du type de systèmes d’IA. Une fois encore, c’est le risque qui sert de curseur. Pour les systèmes d’IA à haut risque, une responsabilité objective est instituée. La responsabilité de la mise sur le marché ou en service du système d’IA à haut risque est imputée au fournisseur, quand bien même il serait étranger à la conception ou au développement du système38. On peut toutefois imaginer qu’une action soit par la suite exercée par le fournisseur, sur lequel la responsabilité est canalisée par principe.

Pour les autres systèmes d’IA, c’est une responsabilité pour faute ou, comme le permet le droit français, une responsabilité objective, qui sera applicable. Le fait des choses ou encore la responsabilité du fait des produits défectueux pourraient être envisagés. C’est au stade d’éventuels recours subrogatoires que la responsabilité du fait des produits défectueux est envisagée par la résolution adoptée par le Parlement le 20 octobre 2020. En effet, lorsque « l’opérateur », c’est-à-dire le fournisseur, indemnise la victime, il peut engager une action en responsabilité contre le producteur sur le fondement des produits défectueux.

À supposer qu’il soit adopté en l’état, ce texte aura besoin d’être précisé par la jurisprudence cependant, sa seule existence témoigne d’une évolution de la responsabilité vers un outil de gestion des risques.