Et ce qu’elle devient avec l’IA
Introduction
Sept ans après mes premiers articles de vulgarisation précisant les encadrements, les peurs et les espoirs que l’intelligence artificielle suscitait, celle-ci est entrée dans notre quotidien et est devenue un instrument d’accélération d’acquisition des connaissances et nous l’espérons de la maîtrise de notre environnement social, économique et professionnel.
Les dirigeants sociaux, les chefs d’entreprises et entrepreneurs individuels, les DRH l’utilisent au quotidien.
L’intelligence artificielle (IA) est désormais un outil de gestion, un assistant personnel comme un autre afin d’améliorer la productivité, réduire les marges d’erreur dans tous les domaines : analyse de données, recrutement, facturation, logistique, relations clients.
Son usage destiné à produire un gain d’efficacité, ne doit pas faire oublier que chaque décision de chef d’entreprise de dirigeant l’engage, l’expose à un risque juridique.
Car l’IA ne décharge pas de la responsabilité managériale, elle en démultiplie les enjeux : conformité réglementaire, sécurité des traitements, fiabilité des décisions et en multiplie les risques lorsqu’un utilisateur malveillant s’en sert pour voler votre trésorerie ou vos clients.
L’objet de cet article est d’analyser, la responsabilité des dirigeants sociaux sous l’angle du droit des affaires, et d’y introduire un paramètre de réflexion sur les encadrements légaux et règlementaires récents de l’utilisation de l’IA - qu’elle soit subie ou décidée – qui devient elle aussi susceptible d’engager la responsabilité des dirigeants.
Il sera proposé des solutions contractuelles permettant d’en maîtriser les effets, tout en appelant les dirigeants à la plus extrême attention.
I. La responsabilité des dirigeants
A. Fondements juridiques classiques
Il n’est pas inutile de rappeler les trois domaines du droit où s’engage la responsabilité du chef d’entreprise notamment en matière de liquidation judiciaire mais également sur le plan civil ou social.
1. Le droit des sociétés précise (version depuis 2022) en son article L.651-2 alinéa 1 du Code de commerce :
« Lorsque la liquidation judiciaire d'une personne morale fait apparaître une insuffisance d'actif, le tribunal peut, en cas de faute de gestion ayant contribué à cette insuffisance d'actif, décider que le montant de cette insuffisance d'actif sera supporté, en tout ou en partie, par tous les dirigeants de droit ou de fait, ou par certains d'entre eux, ayant contribué à la faute de gestion. … »
A titre d’illustration et par extension certains choix stratégiques peuvent entrainer la destruction de l’outil de production (avec ou sans l’aide de l’IA) et c’est considéré comme une faute.
« .. 1°/ que la responsabilité du dirigeant de droit ou de fait au titre de l'insuffisance d'actif ne peut être engagée en cas de simple négligence dans la gestion de la société ; que le manquement de vigilance - à le supposer avéré - ne pouvait tout au plus constituer qu'une négligence insusceptible de caractériser une faute de gestion du dirigeant ; qu'en conséquence, en retenant une faute de gestion à l'encontre de M. [P] pour avoir "manqué de vigilance en engageant la société CDV dans une activité reposant sur un seul client sans trouver de moyen de garantir la pérennité des relations commerciales", la cour d'appel a violé l'article L. 651-2 du code de commerce ;… » Cass. com., 13 avril 2022, n° 20-20.137
L’article L.651-2 alinéa 2 du Code de commerce dispose pour sa part : ..« Toutefois, en cas de simple négligence du dirigeant de droit ou de fait dans la gestion de la personne morale, sa responsabilité au titre de l'insuffisance d'actif ne peut être engagée. »
En substance sera négligent le chef d’entreprise commandant une étude de marché « hors coûts « en oubliant d’en chiffrer le coût en investissements, ressources humaines et celui de l’exclusivité consentie sans garantie contractuelle suffisante (cf voir notre article la rupture anormale de contrats d’affaires) .Or cette étude dont le support logiciel et collecteur de données est désormais l’IA, aurait pu contenir ces paramètres.
Le dirigeant doit donc vérifier, contrôler, paramétrer, formater et recontrôler ses outils IA d’aide à la décision qui deviennent soit un accélérateur de prospérité soit une source de difficultés.
La responsabilité du dirigeant peut également être engagée non par une action mais par négligence passive.
La faute de gestion n’a pas encore été jugée sur le motif de n’avoir pas pris les mesures de sécurité nécessaires pour assurer la cyber sécurité des comptes bancaires de l’entreprise (escroquerie au dirigeant ou à la facturation, Business Email Compromise (BEC) - faux mails et vol de RIB -, phishings et autres).
Il n’en reste pas moins vrai que l’obligation de sécurisation des outils et des structures de l’entreprise relève du pouvoir décisionnaire du dirigeant qui doit en rendre compte, à défaut de sécurisation suffisante, au conseil d’administration de l’entreprise qui peut ou pourrait engager sa responsabilité, du fait d’une situation de précarité brutale à la suite d’un ( BEC) obérant sérieusement une trésorerie.
Cet incident malheureux peut entrainer la perte des soutiens bancaires. Il est clair que les conséquences non prévues ni prévisibles d’une attaque cyber peuvent être reprochées par de nombreux partenaires au dirigeant imprévoyant.
Comment faire face, sans péricliter, aux évolutions technologiques dont abusent les cybercriminels.
Les contrats d’assurances du risque cyber se développent et exigent du chef d’entreprise la mise en place de points de sécurité et de contrôle certes fastidieux mais indispensables.
Le contrat AXA CYBER RISQUE (je n’ai pas d’actions chez AXA mais son contrat est en accès libre : https://www.neotech-assurances.fr/wp-content/uploads/2018/03/967415_CyberSecure_CG.pdf
L’extrait ci-dessous en donne une définition du risque garanti :
« Article 2. Événements garantis Nous garantissons les frais ci-après définis résultant d’une Atteinte aux informations ayant pour origine : un acte de malveillance informatique (dont virus et déni de service), une erreur humaine, les effets du courant, et non consécutive à un dommage matériel. »
« Définitions des évènements garantis :
Acte de malveillance informatique : c’est le fait d’accéder ou de se maintenir, frauduleusement dans un système informatique ou le fait de supprimer, d’introduire ou de modifier frauduleusement, des données dans un système informatique ou le fait d’entraver, d’altérer ou de fausser frauduleusement, le fonctionnement d’un système informatique (suivant les articles du Code pénal 323.1 à 323.7). »
« Font partie de la malveillance informatique l’attaque par déni de service, ainsi que toutes infections informatiques de type virus, cheval de Troie, bombe logique,..., introduites clandestinement ou accidentellement dans le système informatique. »
« Déni de service : attaque délibérée de hackers (pirates informatiques) à l’encontre d’un site internet par la transmission volontaire d’un volume excessif de données, provoquant l’indisponibilité du site internet du fait de sa saturation de capacité. L’attaque par déni de service est un cas particulier d’Acte de malveillance informatique. »
« Erreur humaine : erreur ayant pour origine une maladresse, une négligence, une erreur de manipulation, de paramétrage, une entrée de commande erronée, un lancement de programme inadéquat, et ayant pour effet la perte ou l’altération des données ou informations assurées. »
« Effets du courant : effets du courant, de phénomènes électriques, d’un champ magnétique, conduisant à la perte ou l’altération de vos données informatiques (exemples : décharge électrostatique, effets de la foudre, perturbation électromagnétique, surtension, sous-tension, panne de courant, disjonction ou coupure brutale du courant...). »
Attention le fait générateur du sinistre ne doit pas être connu de l’assuré à la date de prise d’effet du contrat, à défaut la garantie sera refusée et le dirigeant restera seul face à ses actionnaires et ses clients pour des pertes qui seront la conséquence de ce qui sera qualifié de négligence ouvrant droit à dommages intérêts au profit des victimes ou entrainant une révocation pour faute et négligence, outre réparation du préjudice subi.
2. Droit civil : les articles 1240 et suivants du Code civil fondent la responsabilité délictuelle d’un dirigeant en cas de dommage causé.
Cela couvre de multiples aspects civils.
La Cour de cassation a notamment sanctionné l’aspiration de données clients et prospects d’une enseigne ayant développé un système soutenu par une base de données nominatives considérables dans un secteur concurrentiel, dont un tiers entendait profiter sans bourse délier et qui n’a pas hésité à aspirer une partie de la base de données.
La chambre civile (Cass. civ., 1re, 5 oct. 2022, n° 21-16.307) a sanctionné au regard d’investissement financiers et intellectuels investis sur une période de plusieurs années au titre de l’obtention d’un contenu et de sa vérification ainsi que de sa présentation sur la même période de plusieurs années l’auteur qui a procédé à l'extraction et à la réutilisation d'une partie substantielle de la sous-base de données « immobilier » du site *****.
La chambre civile a également ordonné, sous astreinte, la cessation de ces agissements, l’a condamné à verser à la société *****la somme de 50 000 euros en réparation de son préjudice financier et celle de 20 000 euros en réparation de son préjudice d'image, d'ordonner une mesure de publication et de rejeter ses autres demandes.
3. En Droit social la discrimination à l’embauche est prohibée et engage sa responsabilité, l’employeur qui sous couvert de statistiques, sélectionne ses recrues parmi les candidats sur d’autres critères que la compétence et sans rapport avec le poste proposé.
La Cour de cassation, civile, Chambre sociale, 14 décembre 2022, 21-19.628, Inédit confirme la condamnation de l’employeur à des dommages intérêts sur ce motif.
Cette décision retient que sous couvert de statistiques, l’employeur éliminait ou réduisait le nombre de salariés aux noms extra européens de manière organisée en fonction de la qualification du poste.
Evidement cela est interdit mais le recrutement assisté par l’IA peut exclure ou inclure (ne soyons pas systématiquement hostile à l’outil !) une tranche d’âge, un genre, un profil universitaire, un territoire cible pour approcher le profil « idéal ».
Sauf que c’est théorique et que le contact véritable doit permettre d’identifier les qualités et la personnalité du candidat.
L’employeur doit alors faire preuve de finesse dans son choix de retenir ou non un candidat et cela relève de sa propre décision.
Il n’y a pas de profil parfait même assisté par l’IA et le recrutement demeure souvent un pari sur des apparences, des modèles conventionnels et sur une rencontre de volontés de partager un destin qui emportera la décision.
Les juridictions sanctionnent ce qui est discriminant et non ce qui est qualifiant.
4. En Droit pénal : infractions liées à la fraude informatique ou cyber criminalité (art. 323-1 et s. C. pénal) ou à l’abus de biens sociaux (art. L.241-3, L.242-6 C. com.) peuvent trouver à s’appliquer si un dirigeant laisse se développer des usages contraires à l’intérêt social..
La fraude informatique s’entend lorsque un tiers s’introduit dans vos serveurs, pirate vos données clients pour les exploiter, les solliciter et les détourner de votre entreprise à leur profit, copie vos modèles originaux pour les exporter, les contrefaire et les distribuer avant vous.
Etre l’auteur d’un détournement de clientèle ou de contrefaçon de modèles voire de destruction des données du « Système de traitement automatisé de données » (STAD) victime d’une intrusion volontaire et non autorisée par le propriétaire, détenteur légitime du STAD est un délit pénal.
L’article 323-1 du Code pénal dispose : « le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données est puni de deux ans d'emprisonnement et de 60 000 € d'amende »
Il est certain que le dirigeant inquiet pour la survie de son entreprise sera tenté d’opérer des investigation dans les ateliers de la concurrence par le biais discret de logiciel espion, mais sa faute par cette pratique anticoncurrentielle sera rapidement démasquée et identifiée et pénalement sanctionnée qu’elle recouvre ou non la propriété intellectuelle..
Si la victime choisit la voie pénale, l’auteur des faits poursuivis encourt cet emprisonnement et cette amende en sus de dommages intérêts dus à la victime.
5. Les Ententes illicites altérant le jeu de la concurrence
Dans tous les cas, ces pratiques qui faussent la concurrence génèrent des dommages et engagent la responsabilité de leur auteur et la responsabilité du dirigeant.
Un mémoire particulièrement remarquable et documenté a été rédigé par Monsieur Fabio SENA de l’Ecole de Droit de l’université de Lausanne (Confédération Helvétique) sous la direction du Professeur Damiano CANAPA, sous le titre « Algorithmes, intelligence artificielle et ententes illicites en droit de la concurrence »
Source : https://api.unil.ch/iris/server/api/core/bitstreams/361a28e5-73d9-47b6-a313-915febc6e303/content
Monsieur Fabio SENA pose comme problématique majeure du 21° siècle la responsabilité de l’entreprise et donc de son dirigeant ou de ses décisionnaires.
Selon l’extrait ci-dessous Monsieur Fabio SENA rappelle que l’humain reste responsable et doit rester responsable et donc de la nécessité d’entraver la machine pour limiter l’imprévisible et du devoir de contrôle effectif de ces limitations.
Extrait page 41/49 et 30 du mémoire » En revanche, concernant les algorithmes dotés d'une IA, il s'agirait de distinguer s'il s'agit d'une technologie de machine learning ou de deep learning2-62. Dans le premier cas, ce qui est déterminant sont les paramètres techniques et les données utilisées par l'algorithme. Ces données auront un impact direct sur le résultat de l'algorithme. Il semble indubitable que l'entreprise puisse avoir un certain niveau de contrôle sur l'algorithme en ce qui concerne l'utilisation et le traitement des données.
En effet, en contrôlant les données qui alimentent l'algorithme et sa programmation, il en résulte un certain contrôle global sur ce dernier. Ainsi, il ne devrait être alimenté que par des données qui n'entraînent pas d'infraction au droit de la concurrence263. C'est pour cette raison que la commissaire européenne à la concurrence, Margrethe VESTAGER, a décrété qu'il était de la responsabilité des entreprises de programmer leurs algorithmes de telle sorte qu'ils ne puissent pas conclure d'accords illicites en matière de concurrence264. Il n'y a, de ce point de vue, peu de problèmes à imputer une responsabilité à l'entreprise pour les cas d'algorithmes de machine learning. »
« Toutefois, s'agissant des algorithmes de deep learning, les liens entre le logiciel et son détenteur s'affaiblissent. Les algorithmes avec un système de boîte noire rendent en effet impossible la compréhension de leur fonctionnement, si bien qu'après en avoir déterminé l'objectif, l'entreprise n'a plus aucune emprise sur eux. EZRACHI et STUCKE le précisent« les développeurs d'algorithmes ne sont pas nécessairement motivés par le fait de parvenir à une collusion tacite. Ils ne pourraient pas non plus prédire quand une collusion tacite naîtrait de l'utilisation des algorithmes sur le secteur, ni dans combien de temps ni quelle serait la probabilité que cela se produise »265. Aussi faible que soit le lien, il ne nous semble néanmoins pas souhaitable qu'un tel résultat reste acceptable et impuni, de sorte que les entreprises ne devraient pas être en mesure de nier leur responsabilité du seul fait qu'elles utilisent une technologie basée sur l'IA.. Margrethe VESTAGER, dans le même discours précité, avait ajouté, que les entreprises ne peuvent pas échapper à une responsabilité en se cachant derrière un programme informatique. « Elles doivent aussi savoir que lorsqu'elles décident d'utiliser un système automatisé, elles seront tenues pour responsable de ce qu'il fait »
Il est notoire et désormais indiscutable que les fautes, négligences dites classiques doivent désormais être considérées avec l’utilisation de l’IA comme facteur aggravant en cas de faute ou négligence
B. Face aux risques spécifiques liés à l’IA, le dirigeant a un devoir de vigilance
Qu’il s’agisse de :
Biais et erreurs algorithmiques, termes retenus lorsque des erreurs systématiques dans les algorithmes de machine learning produisent des résultats injustes ou discriminatoires. Ce phénomène reflète ou renforce souvent les préjugés socioéconomiques, ethniques et sexistes existants comme par exemple un recrutement automatisé produisant une discrimination ou une facturation erronée engageant la responsabilité directe de l’entreprise.
Non-conformité réglementaire : un traitement automatisé sans respect du RGPD (art. 22) ou des exigences du futur AI Act expose à des sanctions administratives lourdes.
A ce sujet « cet AI Act met particulièrement l'accent sur les petites et moyennes entreprises (PME). Ce groupe de parties prenantes est mentionné 38 fois dans la loi, contre 7 fois pour l'"industrie" et 11 fois pour la "société civile".
« Plus important encore, la loi européenne sur l'IA contient une série de mesures spécifiquement conçues pour soutenir et simplifier la mise en conformité des PME avec les règles de sécurité des produits de la loi sur l'IA. »
Source https://artificialintelligenceact.eu/fr/small-businesses-guide-to-the-ai-act/
Cybersécurité : un défaut de sécurisation d’un système d’IA, laissant place à une fraude, peut être assimilé à une négligence fautive.
À l’instar du devoir de vigilance sociétal (loi de 2017), se dessine une exigence de vigilance numérique avec un soutien institutionnel national et européen :
- vérification des conditions d’acquisition et d’utilisation d’outils d’IA,
- audit régulier et traçabilité des décisions assistées,
- conservation de la supervision humaine.
II. L’encadrement normatif européen et français
A. L’AI Act : un cadre de conformité gradué
L'acte AI de l'UE entre en vigueur le 1er août 2024, soit vingt jours après sa publication au Journal officiel de l'Union européenne le 12 juillet 2024.
Par conséquent, la nouvelle loi devient applicable le 2 août 2026, soit vingt-quatre mois après la date d'entrée en vigueur.
Le règlement européen sur l’IA instaure une classification par niveaux de risque :
- Inacceptable : systèmes interdits (ex. manipulation cognitive, notation sociale).
- Élevé : IA de recrutement, de gestion du personnel, de notation de crédit. Ces outils exigent documentation technique, gestion des données, supervision humaine.
- Limité et minimal : obligations allégées.
Les sanctions prévues atteignent 35 M€ ou 7 % du chiffre d’affaires mondial. Un dirigeant qui laisserait son entreprise utiliser une IA « à haut risque » sans respecter ces obligations s’exposerait à une critique sévère de gestion.
Le projet prévoit la création de bacs à sable réglementaires », où les autorités collaborent avec des entreprises pour tester des produits et des services innovants qui remettent en question les cadres juridiques déjà existants. En contre partie les entreprises participantes à ce processus bénéficient d'une exemption de certaines dispositions légales ou de procédures de conformité, ce qui leur permet de stimuler l'innovation. Abrégé du rapport OCDE 2023
Ces bacs à sable règlementaires sont présentés comme un scanner voire un IRM des IA en construction permettant d’identifier les anomalies ou risques de complexification
« un bac à sable réglementaire est un cadre qui permet aux fournisseurs de systèmes d'IA de développer, former, valider et tester légalement de nouveaux systèmes d'IA en suivant un plan de bac à sable convenu entre le fournisseur et l'autorité de surveillance.
« Ces bacs à sable peuvent être physiques, numériques ou hybrides. Les essais en conditions réelles peuvent également être facilités par le cadre des bacs à sable réglementaires pour l'IA. Les bacs à sable sont conçus pour soutenir l'innovation en permettant un environnement d'expérimentation contrôlé pour démontrer la conformité, en augmentant la sécurité juridique pour les innovateurs et les autorités, et en supprimant les obstacles à l'accès aux marchés pour les PME.
Source https://artificialintelligenceact.eu/fr/small-businesses-guide-to-the-ai-act/
Le titre 4 du texte définit les obligations de transparence pour certains systèmes d’IA
« Article 52
Obligations de transparence pour certains systèmes d’IA
1. Les fournisseurs veillent à ce que les systèmes d’IA destinés à interagir avec des personnes physiques soient conçus et développés de manière à ce que les personnes physiques soient informées qu’elles interagissent avec un système d’IA, sauf si cela ressort clairement des circonstances et du contexte d’utilisation. Cette obligation ne s’applique pas aux systèmes d’IA dont la loi autorise l'utilisation à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière, sauf si ces systèmes sont mis à la disposition du public pour permettre le signalement d'une infraction pénale.
2. Les utilisateurs d’un système de reconnaissance des émotions ou d’un système de catégorisation biométrique informent du fonctionnement du système les personnes physiques qui y sont exposées. Cette obligation ne s’applique pas aux systèmes d’IA de catégorisation biométrique dont la loi autorise l'utilisation à des fins de prévention et de détection des infractions pénales et d'enquêtes en la matière.
3. Les utilisateurs d’un système d’IA qui génère ou manipule des images ou des contenus audio ou vidéo présentant une ressemblance avec des personnes, des objets, des lieux ou d'autres entités ou événements existants et pouvant être perçus à tort comme authentiques ou véridiques («hypertrucage») précisent que les contenus ont été générés ou manipulés artificiellement.
Toutefois, le premier alinéa ne s’applique pas lorsque l’utilisation est autorisée par la loi à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière, ou lorsqu'elle est nécessaire à l’exercice du droit à la liberté »
Cela peut paraitre abstrait mais ce Règlement consitue le prochain socle légal d’étalonnage des fautes et négligences des dirigeants par les tribunaux, lesquels auront aussi un assistant IA qui participera à l’appréciations et qualification des actions des dirigeants
B. Le RGPD : articulation nécessaire
L’article 22 du RGPD interdit en principe les décisions automatisées produisant des effets juridiques sans intervention humaine significative.
- Obligations : information des personnes, droit à l’explication, consentement clair.
- Rôle du DPO : garantir la conformité des traitements.
Un dirigeant négligeant ces contraintes s’expose à une double responsabilité : vis-à-vis de l’autorité administrative (CNIL) et vis-à-vis des créanciers en cas de sanction financière.
C. Interaction avec le droit français des sociétés
L’absence de mise en conformité peut être qualifiée de faute de gestion.
La chambre commerciale de la Cour de cassation, très exigeante, a rappelé que l’approbation de décision par les associés ne purge pas la responsabilité du gérant (Cass. com., 18 déc. 2024). Appliqué à l’IA, un déploiement validé par les associés mais non conforme au droit européen ne protégera pas le dirigeant.
III. Solutions contractuelles pour une sécurisation de l’usage de l’IA
A. Contrats avec les fournisseurs de solutions IA
- Clauses de conformité réglementaire : obligation du fournisseur de respecter RGPD et AI Act.
- Garanties techniques : service level agreements (SLA), obligations de maintenance, explicabilité des décisions.
- Répartition de responsabilités : clauses précises pour éviter que l’entreprise assume seule les conséquences d’un défaut.
- Assurances : couverture cyber et assurance responsabilité civile liées à l’usage d’outils IA.
B. Relations avec clients, partenaires et salariés
- Transparence contractuelle : mention de l’usage de l’IA dans la prestation.
- Limitation de responsabilité : encadrer les risques liés aux résultats fournis par l’IA.
- Gestion de la preuve : mise en place de systèmes de traçabilité et d’archivage pour justifier a posteriori les choix.
- Formation des salariés : documenter l’usage de l’IA pour limiter le risque d’erreur imputable.
C. Gouvernance interne et bonnes pratiques
- Chartes éthiques : encadrement interne de l’usage de l’IA.
- Comités de conformité : contrôle périodique.
- Audit régulier : conformité technique et juridique.
- Anticipation des litiges : insertion de clauses de médiation ou d’arbitrage spécialisés.
Conclusion
L’IA ne constitue pas une exonération de responsabilité pour le dirigeant. Au contraire, elle est un facteur de risque aggravé : un mauvais choix assisté par IA ne sera jamais imputé à la machine mais au dirigeant qui l’a utilisée sans vigilance.
Les juges de la Cour de cassation, déjà sévères sur la faute de gestion en matière de comptabilité, de conventions défavorables ou de défaut de contrôle, appliqueront sans difficulté les mêmes principes à l’usage imprudent de l’IA.
Les entreprises doivent donc anticiper : conformité réglementaire, contractualisation rigoureuse, gouvernance interne. Seule une telle approche protègera le dirigeant et sécurisera la compétitivité de l’entreprise.
Il est certain qu’un assistant personnel IA n’exemptera pas l’entrepreneur qui optera pour une pratique déloyale ou une copie servile d’un modèle original mais si l’IA peut protéger d’erreurs de fautes alors il faudra aussi la concevoir avec une capacité à convaincre et rendre intelligible et sensible la frontière à ne point franchir sans qu’elle se transforme en inquisition attentatoire à la liberté, au libre arbitre et à la conscience de la faute.
Laure Trapé Avocat à Marseille
Télécharger la fiche pratique
