Erreur de l'IA : qui est responsable dans votre PME ?

La question arrive toujours de la même façon, et jamais en réunion de direction. Elle arrive un mardi après-midi, quand un client rappelle pour dire que le chiffre qu'on lui a envoyé est faux, que le délai annoncé n'existe pas, ou que la clause qu'on lui a citée n'est pas dans son contrat. Puis quelqu'un dit la phrase : « c'est l'IA qui l'a écrit ». Et à cet instant, tout le monde comprend en même temps que personne ne sait ce que cette phrase change juridiquement.

La réponse est décevante et rassurante à la fois : elle ne change presque rien. Le droit français dispose déjà de tout ce qu'il faut pour traiter une erreur commise avec un outil, et il n'a pas attendu l'IA générative pour le faire. Ce qui change, en revanche, c'est la vitesse à laquelle une PME peut produire une erreur, la confiance avec laquelle elle la transmet, et le fait qu'elle laisse une trace écrite. Cet article fait le point sur l'état du droit au 27 juillet 2026, sur ce que votre assurance couvre probablement, et sur les gestes qui déplacent réellement le risque. Il complète notre guide d'ensemble de l'IA en PME sur son versant le plus inconfortable.

Trois scénarios qui arrivent vraiment

Avant le droit, les faits. Voici trois situations génériques, du type de celles qu'on rencontre dans une PME de vingt à cent salariés. Aucune ne décrit un client réel : ce sont des cas d'école, construits pour isoler la question juridique.

• Le devis parti trop vite. Un chargé d'affaires demande à un assistant d'IA de reprendre un devis type et d'y appliquer un tarif. L'outil recopie une remise qui figurait dans l'ancien document. Le devis part, le client l'accepte, et la commande est signée 8 % sous le prix de revient. Le client n'a rien fait de mal, et il tient un document signé par vous.
• La réponse fausse au client. Un assistant de service client, branché sur la documentation interne, annonce à un client un délai de rétractation qui n'existe pas dans vos conditions générales. Le client s'organise là-dessus, subit un préjudice, et vous écrit. Le passage litigieux vient d'une page de documentation périmée que personne n'avait retirée.
• La note d'analyse qui invente. Un collaborateur fait résumer par l'IA un contrat de sous-traitance et transmet la synthèse à son client, qui prend une décision dessus. Deux clauses de la synthèse n'existent pas dans le contrat. Le sujet est le même que celui traité dans notre méthode d'analyse d'un contrat avec l'IA, avec la vérification en moins.

Ces trois cas ont un point commun qui décide de tout : dans aucun des trois l'outil n'a agi seul. Un humain a demandé, un humain a lu — ou n'a pas lu — et un humain a envoyé. C'est cette chaîne que le droit regarde, et c'est pourquoi la phrase « c'est l'IA qui l'a écrit » n'ouvre aucune porte de sortie.

Pourquoi « c'est l'IA qui s'est trompée » ne veut rien dire

Un système d'IA n'a pas de personnalité juridique. Il ne possède rien, ne s'engage à rien, ne peut être assigné devant aucun tribunal et n'a pas de patrimoine sur lequel exécuter une condamnation. L'idée d'une « personnalité électronique » a été discutée au Parlement européen à la fin des années 2010 ; elle n'a jamais été retenue, et aucun texte en vigueur ne la consacre. Juridiquement, un modèle de langage est un outil, au même titre qu'un tableur — un tableur dont les erreurs sont simplement plus difficiles à repérer, parce qu'elles sont bien écrites.

La conséquence est directe. Quand une erreur cause un dommage, le droit ne cherche pas « qui a fait l'erreur » au sens matériel, il cherche quelle personne — physique ou morale — répond de cette erreur. Et il trouve toujours quelqu'un. Dans une PME, ce quelqu'un est presque toujours l'entreprise elle-même.

Cette logique n'est pas propre à l'IA, et c'est précisément ce qui la rend solide. Un commercial qui se trompe de prix engage son employeur depuis toujours. Un logiciel de facturation mal paramétré n'a jamais dispensé personne de payer ce qu'il devait. L'IA générative n'a pas créé un régime nouveau : elle a industrialisé la production d'affirmations plausibles, ce qui déplace le problème du droit vers l'organisation. Nous détaillons ce basculement dans les sept erreurs qui plombent un projet d'IA en PME.

Qui répond de quoi : les quatre fondements

Quatre textes du Code civil suffisent à couvrir presque toutes les situations. Les connaître évite les deux erreurs symétriques : croire qu'on est démuni, et croire qu'on est couvert.

• Envers votre client : la responsabilité contractuelle. Vous avez promis une prestation. Le moyen employé pour la produire ne modifie pas la promesse. Si le résultat livré est erroné, c'est un manquement contractuel, et l'outil utilisé est indifférent au débat.
• Envers un tiers : l'article 1240. « Tout fait quelconque de l'homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » C'est le socle de la responsabilité délictuelle, et il n'a pas besoin d'être adapté.
• Du fait de vos salariés : l'article 1242, alinéa 5. Sont responsables « les maîtres et les commettants, du dommage causé par leurs domestiques et préposés dans les fonctions auxquelles ils les ont employés ». Autrement dit : dès que le salarié agissait dans le cadre de sa mission, c'est l'employeur qui répond devant la victime.
• Du fait d'un produit : les articles 1245 et suivants. « Le producteur est responsable du dommage causé par un défaut de son produit, qu'il soit ou non lié par un contrat avec la victime. » C'est le seul fondement qui vise le fournisseur de l'outil — et le plus étroit, comme nous le verrons.

Le tableau ci-dessous replace les trois scénarios du début dans cette grille, et ajoute la seule colonne qui intéresse un dirigeant : ce qui, concrètement, réduit l'exposition.

Grille établie au 27 juillet 2026 sur le Code civil en vigueur et la directive (UE) 2024/2853 (voir sources). Elle ne remplace pas l'analyse d'un avocat sur une situation donnée.

Le précédent Air Canada, et pourquoi il voyage

Il existe une décision qui a fait le tour du monde professionnel, et qui mérite d'être racontée exactement, parce qu'elle est souvent déformée. Elle n'est pas française, elle porte sur une somme dérisoire, et c'est pourtant la meilleure illustration disponible du raisonnement qui s'appliquerait chez nous.

Dans l'affaire Moffatt c. Air Canada (2024 BCCRT 149), tranchée en février 2024 par le tribunal de résolution civile de Colombie-Britannique, un passager avait interrogé l'agent conversationnel du site de la compagnie sur les tarifs de deuil. Le robot lui avait indiqué qu'il pouvait demander le tarif réduit après l'achat de son billet. C'était faux : la politique réelle de la compagnie, publiée sur une autre page du même site, l'excluait. Le passager a acheté au tarif plein, demandé le remboursement de la différence, et s'est vu opposer un refus.

Air Canada a présenté deux arguments qu'on entend encore dans les salles de réunion. Le premier : le robot serait une entité distincte, responsable de ses propres réponses. Le second : l'information exacte figurait ailleurs sur le site, et le client aurait dû aller la vérifier. Les deux ont été écartés. Le tribunal a retenu une negligent misrepresentation — une information inexacte donnée en manquant au devoir de diligence — en relevant qu'Air Canada « n'a pas pris les précautions raisonnables pour s'assurer que son agent conversationnel était exact », et que ce dernier « n'est qu'une partie du site d'Air Canada ». Le passager a obtenu un peu plus de huit cents dollars canadiens.

Le montant est anecdotique ; le principe ne l'est pas. Deux enseignements se transposent tels quels en droit français. D'abord, vous êtes engagé par ce que dit votre robot, exactement comme vous l'êtes par ce que dit un salarié à l'accueil. Ensuite, publier l'information exacte ailleurs ne vous exonère pas : on ne peut pas opposer à un client la charge de vérifier ce que l'entreprise lui a affirmé. Si vous exploitez un assistant en contact avec vos clients, ce point commande votre paramétrage bien plus que la qualité du modèle : voyez notre méthode de service client assisté par l'IA, et, pour le canal qui se répand le plus vite en PME, ce que coûte réellement un agent IA sur WhatsApp.

Un mot sur les hallucinations en contexte professionnel, puisque le sujet est le même. Deux avocats new-yorkais ont été sanctionnés en juin 2023 pour avoir déposé des écritures citant des décisions inexistantes, produites par ChatGPT. Là encore, la sanction n'a pas frappé l'outil : elle a frappé les professionnels qui n'avaient pas vérifié. C'est la même règle, appliquée à un métier où l'obligation de vérifier est explicite.

La directive qui devait vous aider a été retirée

Voici le point où la plupart des articles français sont périmés, et il faut le dire nettement. Beaucoup de contenus publiés depuis 2023 annoncent une future directive européenne sur la responsabilité en matière d'intelligence artificielle, censée faciliter l'action des victimes. Cette directive n'existera pas.

La proposition, présentée le 28 septembre 2022 sous la référence 2022/0303(COD), a été abandonnée. La Commission a annoncé son intention de la retirer dans son programme de travail pour 2025, et le retrait a été formellement publié au Journal officiel de l'Union européenne le 6 octobre 2025, sous la référence C/2025/5423. La fiche du Parlement européen qui suit ce dossier porte désormais la mention « Withdrawn ». Le motif invoqué : l'absence d'accord prévisible entre les colégislateurs, dans un contexte de simplification réglementaire — la même dynamique qui a produit le Digital Omnibus dont nous détaillons les effets dans le calendrier réel de l'AI Act après l'Omnibus.

Ce que ce texte devait apporter mérite d'être connu, parce que son absence dessine exactement votre situation. Il prévoyait notamment une présomption de causalité au bénéfice de la victime dans certains cas, et un mécanisme d'accès forcé aux éléments de preuve détenus par le fournisseur du système. Ces deux dispositifs répondaient à un problème réel : quand un modèle se trompe, la victime n'a aucun moyen de démontrer pourquoi, puisque tout ce qui expliquerait l'erreur est chez le fournisseur.

Rien de cela n'est entré dans le droit. Résultat : la charge de la preuve reste entière et classique. En matière de produits défectueux, l'article 1245-8 du Code civil est explicite — « le demandeur doit prouver le dommage, le défaut et le lien de causalité entre le défaut et le dommage ». Pour une PME, cela se traduit en une phrase : attaquer le fournisseur d'un modèle est théoriquement possible et pratiquement très difficile. Mieux vaut organiser la vérification que compter sur un recours.

Poursuivre le fournisseur : ce qui est possible

Une porte reste ouverte, plus étroite qu'on ne l'imagine. La directive (UE) 2024/2853 du 23 octobre 2024, qui remplace le régime de responsabilité du fait des produits défectueux de 1985, fait explicitement entrer les logiciels dans la définition du produit — y compris lorsqu'ils sont fournis seuls, indépendamment du support et du mode de livraison. Les États membres doivent l'avoir transposée au plus tard le 9 décembre 2026. Elle s'appliquera aux produits mis sur le marché après cette date.

Trois limites en réduisent fortement la portée pour une PME utilisatrice.

• Elle vise le fabricant, pas l'utilisateur professionnel. Si vous vous contentez d'utiliser un outil du marché, ce texte ne crée aucune obligation nouvelle à votre charge. En revanche, si vous intégrez une IA dans un produit que vous mettez sur le marché sous votre marque, la question change de camp — c'est le premier réflexe à avoir avant de revendre quoi que ce soit, et l'un des points de l'arbitrage entre développer un outil et former ses équipes.
• Elle ne répare pas le préjudice purement économique. Les chefs de préjudice couverts sont la mort, les atteintes à l'intégrité de la personne, les dommages aux biens et la destruction ou l'altération de données — cette dernière étant une nouveauté importante pour le logiciel. Le contrat que vous avez perdu parce qu'un modèle a inventé un chiffre n'entre dans aucune de ces cases.
• Le logiciel libre fourni à titre non commercial est hors champ. Ce qui, incidemment, mérite d'être posé sur la table quand on envisage d'héberger ses propres modèles en interne.

Reste donc, pour le préjudice économique, le seul terrain vraiment utile : votre contrat avec le fournisseur. Et là, une asymétrie doit être connue. En droit français, les clauses qui écartent ou limitent la responsabilité du fait des produits défectueux sont « interdites et réputées non écrites » (article 1245-14 du Code civil) — mais cette prohibition souffre une exception entre professionnels pour les dommages aux biens qui ne sont pas à usage privé. Autrement dit : les plafonds de responsabilité que vous signez dans les conditions d'un éditeur de logiciel ont, en pratique, de bonnes chances de tenir. C'est une raison de les lire, et c'est l'une des questions à poser à un prestataire IA avant de signer.

Deux délais, enfin, qu'il faut avoir en tête, parce qu'ils gouvernent la durée pendant laquelle il faut être capable de reconstituer ce qui s'est passé.

Votre salarié s'est trompé : que pouvez-vous faire ?

C'est la question la plus fréquente et la plus mal posée. Elle mélange deux plans qu'il faut séparer.

Premier plan : devant la victime. L'article 1242, alinéa 5, joue à plein. Dès lors que le salarié agissait dans les fonctions auxquelles il a été employé, c'est l'entreprise qui répond. Vous ne pouvez pas renvoyer votre client vers votre collaborateur, et il serait maladroit d'essayer. Le salarié reste, en principe, à l'abri de l'action de la victime tant qu'il n'est pas sorti des limites de sa mission.

Second plan : dans la relation de travail. Là, votre pouvoir disciplinaire existe — mais il suppose un manquement à une obligation qui existait avant l'erreur. Et c'est exactement là que beaucoup de PME découvrent leur point faible. Si aucune consigne écrite ne dit ce qui peut être confié à un outil d'IA, si personne n'a été formé, et si l'entreprise a laissé s'installer l'usage sans rien dire, sur quoi fonder la sanction ? Une tolérance prolongée affaiblit considérablement la position de l'employeur.

Il faut ajouter une distinction que les dirigeants font rarement spontanément : l'erreur n'est pas la faute. Se tromper fait partie du travail. Ce qui peut être fautif, c'est de ne pas avoir vérifié ce qu'on devait vérifier, ou d'avoir versé dans un outil grand public des données qu'une consigne interdisait d'y mettre. Le second cas est le plus sérieux, parce qu'il touche au RGPD et pas seulement à la qualité — sujet que nous traitons dans notre guide de ce qu'une PME peut confier à ChatGPT.

La séquence saine est donc inverse de celle qu'on adopte sous le coup de l'agacement. Elle commence par écrire la règle : c'est tout l'objet de la politique IA d'une page. Elle continue par la formation, qui est aussi une obligation européenne de moyens depuis février 2025, comme nous l'expliquons dans notre analyse de la formation IA obligatoire. Et elle se termine, seulement alors, par le rappel à l'ordre proportionné. Sans les deux premières étapes, la troisième est une prise de risque supplémentaire.

Un dernier point, souvent négligé : si vos équipes utilisent déjà l'IA sans que vous l'ayez décidé — et c'est statistiquement le cas —, vous êtes exposé sans le savoir et sans aucune trace. C'est le sujet du shadow AI en PME, et c'est la première chose à cartographier avant même de parler de responsabilité.

Votre assurance couvre-t-elle une erreur de l'IA ?

Personne ne peut répondre à cette question à votre place, et méfiez-vous de qui le prétend : la réponse est dans votre contrat, pas dans un article. Ce qu'on peut faire, c'est vous dire où regarder et quoi demander.

Le point de départ est plutôt favorable. La responsabilité civile professionnelle couvre classiquement les fautes non intentionnelles commises dans l'exercice de l'activité déclarée. Une erreur produite avec l'aide d'un outil reste une erreur professionnelle : il n'y a pas de raison structurelle pour qu'elle sorte du champ. Le risque réel n'est donc pas l'exclusion frontale — les contrats excluant explicitement « l'IA » sont rares — mais la zone grise : la qualification du fait générateur, l'articulation avec la garantie cyber, et le sort des dommages immatériels non consécutifs.

Le marché bouge, et c'est le signe le plus utile. Des assureurs commencent à isoler le risque algorithmique et à le traiter dans des garanties dédiées, souvent adossées à une couverture cyber : Hiscox, par exemple, décrit dans une note publiée en avril 2025 et mise à jour en mars 2026 une offre couvrant les erreurs algorithmiques à hauteur de plusieurs millions d'euros, aux côtés des attaques visant les modèles et des contentieux de discrimination. Nous citons cet exemple pour ce qu'il est — la communication d'un assureur, pas un état du marché — mais il dit quelque chose de vrai : si des garanties spécifiques apparaissent, c'est que les contrats standard ne traitent pas le sujet explicitement.

Tu es juriste d'entreprise, spécialiste des contrats d'assurance de responsabilité professionnelle.
But : préparer un courriel court à mon courtier pour obtenir une réponse écrite, sans jargon inutile.
Contexte : PME de [effectif] salariés, activité [activité déclarée]. Mes équipes utilisent des outils
d'IA générative grand public pour [usages : rédaction client, analyse de documents, réponses SAV].
Aucun de ces outils ne prend de décision automatisée sur une personne.
Rédige un courriel qui demande, point par point, une confirmation écrite sur :
1. l'inclusion des erreurs commises avec l'aide d'un outil d'IA générative dans la garantie RC pro ;
2. la liste nominative des exclusions susceptibles de s'y appliquer ;
3. le traitement des dommages immatériels non consécutifs ;
4. l'articulation entre la RC pro et une éventuelle garantie cyber ;
5. les obligations de prévention dont dépendrait la garantie (traçabilité, validation humaine).
Forme : 200 mots maximum, ton professionnel neutre, une question par puce, et une demande
explicite de réponse écrite plutôt que téléphonique.

Deux réflexes complètent la démarche. D'abord, la déclaration d'activité : si l'IA vous a conduit à élargir ce que vous vendez, votre contrat décrit peut-être une activité qui n'est plus tout à fait la vôtre. Ensuite, la prévention conditionne souvent la garantie : les assureurs regardent la traçabilité et la validation humaine, ce qui rejoint exactement le socle décrit dans notre socle de sécurité pour une PME sans DSI.

Les cinq gestes qui déplacent le risque

Le droit, on l'a vu, ne vous offre pas d'échappatoire. En revanche, l'organisation déplace réellement le risque — en réduisant la probabilité de l'erreur, et en vous rendant capable de démontrer votre diligence. Cinq gestes suffisent, et aucun ne demande de budget.

• Nommer les sorties à risque, pas les outils. Ne cherchez pas à réglementer « l'IA » : listez les cinq ou six documents qui, en sortant de chez vous, engagent l'entreprise. Un prix, un délai, un engagement contractuel, un avis technique, une réponse réglementaire. Ceux-là passent par un humain qui signe. Le reste peut circuler librement.
• Exiger une trace de vérification, pas une déclaration de bonne foi. Une mention datée dans le dossier — « chiffres recoupés avec la grille tarifaire du [date], par [initiales] » — vaut mieux qu'une procédure de dix pages. C'est ce que produit un vrai contrôle humain, et c'est ce qu'un assureur ou un juge regardera.
• Dire quand un interlocuteur parle à une machine. C'est une obligation de transparence européenne applicable au 2 août 2026, et c'est aussi la meilleure protection pratique : un client averti vérifie, un client trompé réclame. Le détail des échéances est dans notre calendrier de l'AI Act.
• Tenir les sources à jour, et savoir qui en répond. Le scénario Air Canada est un problème de documentation périmée avant d'être un problème d'IA. Si vous branchez un assistant sur vos documents, la propreté du corpus devient une question de responsabilité : voyez la méthode pour brancher l'IA sur vos documents internes.
• Confier le suivi à quelqu'un, nommément. Une responsabilité diffuse ne produit ni règle, ni trace, ni revue. C'est la fonction décrite dans notre fiche du référent IA en PME — une demi-journée par mois, pas un poste.

Ces cinq gestes ont un effet secondaire utile. Ils constituent, presque sans effort, le dossier que vous voudriez avoir sous la main le jour où un client contesterait. Et ils s'inscrivent naturellement dans le suivi décrit dans le tableau de bord du dirigeant, à côté des indicateurs d'usage.

Ce qu'on ne sait pas encore, et qu'il faut assumer

Un article honnête sur ce sujet doit finir par ses trous, parce qu'ils sont nombreux et qu'un dirigeant a besoin de savoir où s'arrête le solide.

• Il n'existe pas, à notre connaissance, de décision française publiée tranchant la responsabilité d'une entreprise pour une erreur produite par une IA générative dans une relation commerciale. Le raisonnement exposé ici découle de textes en vigueur et de leur application ordinaire, pas d'une jurisprudence établie sur ce cas précis.
• La transposition française de la directive (UE) 2024/2853 n'est pas connue dans son détail à la date de cet article. L'échéance est le 9 décembre 2026 ; les arbitrages nationaux, notamment sur les seuils et sur les dommages aux données, restent à lire.
• L'articulation entre l'AI Act et la responsabilité civile est indirecte. Le règlement crée des obligations administratives — contrôle humain, journaux, information des salariés — dont le non-respect peut servir de preuve de négligence. Mais il n'organise aucune réparation au profit d'une victime, et personne ne peut dire aujourd'hui quel poids un juge français donnera à un manquement à l'article 26.
• Nous n'avons pas pu établir l'état réel du marché de l'assurance. Aucune donnée publique consolidée ne dit quelle proportion des contrats RC pro français exclut ou couvre explicitement le risque algorithmique. Les éléments cités plus haut viennent d'un assureur et ne valent que pour lui.

Ce qui, en creux, donne la conclusion pratique. Dans un domaine où le contentieux n'est pas encore balisé, la meilleure position n'est pas juridique : elle est organisationnelle. Une entreprise capable de montrer qu'elle a écrit ses règles, formé ses équipes et tracé ses vérifications se défend bien, quel que soit le fondement invoqué contre elle. Une entreprise qui découvre l'usage de l'IA le jour du litige se défend mal, même avec un bon avocat. C'est précisément ce que construisent nos formations IA pour les équipes de PME et, pour les dirigeants, le parcours direction. Si vous ne savez pas où vous en êtes, le test de maturité IA situe votre point de départ en dix minutes, et le lexique du dirigeant désamorce le vocabulaire.

Un avertissement pour finir, qui vaut engagement de notre part. Cet article décrit l'état de textes à une date, sources à l'appui. Il ne remplace pas l'analyse d'un avocat sur votre situation, et il ne tranche pas les points que nous avons signalés comme incertains. Dès qu'un dommage est constitué, ou qu'un client formule une réclamation écrite, faites-vous conseiller avant de répondre : ce que vous écrivez à ce moment-là pèsera plus lourd que tout ce qui précède.