Produits défectueux : le logiciel et l'IA couverts après le 9 décembre

Ce qu'il faut retenir

• Le logiciel devient un produit. La directive (UE) 2024/2853 soumet les logiciels, micrologiciels et systèmes d'IA à la responsabilité sans faute, pour les produits mis sur le marché ou mis en service après le 9 décembre 2026.
• Seules les personnes physiques sont indemnisées. Biens à usage exclusivement professionnel et données professionnelles sont exclus. Le cas qui compte est la blessure d'un opérateur par une machine pilotée par un logiciel.
• Le contrôle ne s'arrête plus à la livraison. Tant que vous pouvez fournir des mises à jour, le produit reste sous votre contrôle : vous ne pouvez plus plaider qu'un défaut causé par une mise à jour est apparu après la vente.
• La preuve devient plus facile pour la victime. Le juge pourra ordonner la divulgation de vos éléments de preuve ; à défaut, le défaut est présumé.
• Au 16 octobre 2026, aucun texte français de transposition n'est publié. Versions, journaux de mises à jour et dossiers de conception se constituent dès maintenant : l'action reste ouverte dix ans après la mise sur le marché.

Responsabilité du fait des produits défectueux : qu'est-ce qui change le 9 décembre 2026 ?

La responsabilité du fait des produits défectueux est une responsabilité sans faute : la victime prouve le défaut, le dommage et le lien de causalité, pas une faute du fabricant. En France, elle figure aux articles 1245 à 1245-17 du Code civil, issus de la directive européenne de 1985. Ce texte ne cite pas le logiciel : le produit y est « tout bien meuble » (article 1245-2).

La directive (UE) 2024/2853 du 23 octobre 2024, publiée au Journal officiel de l'Union le 18 novembre 2024, abroge celle de 1985 au 9 décembre 2026. L'ancienne continue de s'appliquer aux produits mis sur le marché ou mis en service avant cette date (article 21) ; la nouvelle vise ceux mis sur le marché ou mis en service après le 9 décembre 2026 (article 2). C'est la date de mise sur le marché de chaque produit qui décide du régime, pas celle de l'accident. Le texte est d'harmonisation maximale : les États ne peuvent ni durcir ni assouplir ses règles, sauf là où il le prévoit (article 3).

Directive 2024/2853 : où en est la transposition en France ?

La transposition est due au plus tard le 9 décembre 2026 (article 22). Interrogé par le député Sacha Houlié (question écrite n° 11448), le ministère de la Justice a répondu le 12 mai 2026 que les travaux avaient commencé en décembre 2024, avec des consultations sectorielles prévues au premier trimestre 2026. Il précisait qu'« un texte dédié est envisagé à ce stade ».

Au 16 octobre 2026, nous n'avons trouvé ni projet de loi de transposition déposé au Parlement, ni texte publié au Journal officiel. Le fond change peu pour autant : la directive étant d'harmonisation maximale, l'essentiel de l'équilibre du régime a été élaboré lors des négociations européennes, souligne le ministère.

Aucun texte européen propre à l'IA ne s'y ajoute : la Commission européenne a retiré le 6 octobre 2025 sa proposition de directive sur la responsabilité en matière d'IA. Pour un produit qui intègre de l'IA, la directive 2024/2853 reste le texte européen de référence, à côté du droit commun.

Le logiciel est-il un produit ? Ce que dit la directive

Oui. L'article 4 inclut les logiciels dans la définition du produit. Le considérant 13 cite les systèmes d'exploitation, les micrologiciels, les applications et les systèmes d'IA, qu'ils soient installés sur un appareil, accessibles en nuage ou fournis en SaaS. Le fournisseur d'un système d'IA au sens de l'AI Act est un fabricant.

Trois précisions pour un industriel :

• Ce qui n'est pas un produit : le contenu d'un fichier numérique ou le simple code source (considérant 13), et le logiciel libre fourni hors de toute activité commerciale (article 2). Mais le fabricant qui intègre ce logiciel libre dans un produit vendu répond de ses défauts (considérant 15).
• Les fichiers de fabrication numérique sont des produits : un fichier qui pilote une fraiseuse, un tour ou une imprimante 3D (considérant 16). Le sous-traitant qui les fournit dans le cadre de son activité est concerné.
• Les services connexes sont des composants : un service numérique sans lequel le produit ne remplit pas une de ses fonctions, comme un service en ligne qui surveille et régule l'équipement, s'il est sous le contrôle du fabricant (article 4, considérant 17).

Est fabricant celui qui fabrique le produit, le fait concevoir ou fabriquer, y appose sa marque, ou le produit pour son propre usage (article 4). Une PME qui fait développer le logiciel de sa machine par un prestataire, puis la vend sous sa marque, est le fabricant de l'ensemble.

Qui peut demander réparation, et pour quels dommages ?

Seule une personne physique a droit à réparation (article 5) ; un assureur ou un organisme subrogé dans ses droits peut agir à sa place. Trois types de dommages sont couverts (article 6) :

1. la mort ou les lésions corporelles, y compris l'atteinte médicalement reconnue à la santé psychologique ;
2. les dommages aux biens, sauf le produit défectueux lui-même et les biens utilisés exclusivement à des fins professionnelles ; un bien à usage mixte reste couvert (considérant 25) ;
3. la destruction ou la corruption de données non professionnelles ; même un usage professionnel partiel les exclut (considérant 22).

Les pertes purement économiques ne déclenchent pas, à elles seules, cette responsabilité (considérant 24). Un client industriel dont la production s'arrête à cause d'un bogue agira donc sur le terrain du contrat, que la directive laisse intact (article 2).

Le cas qui compte est la blessure d'une personne : opérateur, technicien de maintenance, visiteur. Au travail, la Sécurité sociale indemnise d'abord l'accident ; mais quand la lésion est imputable à une autre personne que l'employeur, la victime garde son action contre elle et la caisse peut se faire rembourser ses prestations (article L454-1 du Code de la sécurité sociale). Le fabricant de la machine est cette autre personne.

Un point reste ouvert. Le Code civil actuel couvre les dommages aux biens supérieurs à 500 €, usage professionnel compris ; il admet seulement des clauses limitatives entre professionnels pour les biens qui ne servent pas principalement à un usage privé (article 1245-14). La directive ne prévoit plus de seuil et exclut les biens à usage exclusivement professionnel. Comment le texte français traitera cet écart n'est pas connu au 16 octobre 2026.

Responsabilité du logiciel : quatre cas de PME industrielle

Ces situations sont des exemples illustratifs, pas des cas clients. Elles supposent un produit mis sur le marché après le 9 décembre 2026.

Cas 1 : une machine pilotée par un micrologiciel

Une PME construit des cellules de palettisation dont un sous-traitant écrit une partie du micrologiciel. Une erreur de logique de sécurité relance le bras pendant une intervention ; un opérateur du client est blessé.

Le constructeur répond de la machine entière, logiciel intégré compris (article 8). Le sous-traitant, fabricant d'un composant défectueux, peut aussi être poursuivi, et les deux peuvent être tenus solidairement responsables (article 12). Il s'exonère s'il prouve que le défaut vient de la conception de la machine ou des instructions reçues (article 11). Aucune clause ne limite la responsabilité envers la victime (article 15). Entre vous, le recours suit le droit national (article 14), sauf si l'éditeur du composant logiciel est une micro ou petite entreprise et que vous y avez renoncé par contrat (article 12).

Le règlement Machines 2023/1230, applicable aux machines mises sur le marché à partir du 20 janvier 2027, ajoute de la traçabilité : la machine identifie les logiciels nécessaires à son fonctionnement sûr, garde la preuve de toute modification (annexe III, point 1.1.9) et active pendant cinq ans le journal des versions de logiciels de sécurité téléchargées (point 1.2.1), à produire sur demande motivée d'une autorité. Or la directive cite, parmi les cas de présomption de défaut, le produit privé des moyens d'enregistrer son fonctionnement exigés par la loi (considérant 46).

Cas 2 : une mise à jour à distance

Le même constructeur pousse à distance une mise à jour qui raccourcit les cycles. Tant qu'il peut fournir des mises à jour, le produit reste sous son contrôle (article 4, considérant 19).

L'exonération tirée d'un défaut apparu après la mise sur le marché ne joue plus quand le défaut vient d'un logiciel, d'une mise à jour ou de l'absence d'une mise à jour nécessaire au maintien de la sécurité, sous le contrôle du fabricant (article 11). La directive n'impose pas de fournir des mises à jour, et le fabricant ne répond pas de l'absence d'une mise à jour qu'il a fournie et que le propriétaire n'a pas installée (considérant 51) ; si la victime a elle-même négligé de l'installer, la responsabilité du fabricant peut être réduite (article 13, considérant 55).

Deux conséquences moins visibles :

• Une mise à jour peut créer un produit neuf. Quand une mise à jour, ou l'apprentissage continu d'un système d'IA, modifie substantiellement le produit, celui-ci est réputé mis à disposition ou en service à ce moment (considérant 40), et un nouveau délai de dix ans commence (article 17). Une machine vendue avant le 9 décembre 2026, puis modifiée substantiellement après cette date, pourrait ainsi entrer dans le nouveau régime : c'est notre lecture, à valider avec votre conseil.
• Le rétrofit fait de vous un fabricant. Celui qui modifie substantiellement un produit hors du contrôle de son fabricant, puis le met à disposition ou en service, est considéré comme fabricant (article 8), sauf pour un défaut d'une partie non modifiée (article 11). Ajouter une caméra et un modèle de vision à une presse ancienne, puis la remettre en service, peut vous placer dans ce cas si la modification crée un danger ou augmente un risque au point d'imposer de nouvelles protections (article 3 du règlement Machines).

Cas 3 : un modèle d'IA intégré au produit

Un fabricant d'équipements ajoute un modèle de vision qui détecte une main en zone dangereuse et arrête la machine. Le modèle échoue ; un opérateur est blessé.

Le modèle est un logiciel, donc un produit ou un composant (considérant 13). Le juge tient compte de la capacité du produit à poursuivre son apprentissage et, pour un produit destiné à prévenir un dommage, de tout manquement à cette fin (article 7). Le fabricant d'un produit capable d'un comportement inattendu reste responsable de ce comportement (considérant 32). Si vous intégrez un modèle sous licence libre fourni hors activité commerciale, son développeur échappe à la directive ; vous, non (article 2, considérant 15).

Le juge présume aussi le défaut ou le lien de causalité quand la victime se heurte à des difficultés excessives dues à la complexité technique et montre que le défaut ou le lien de causalité est probable (article 10). Le considérant 48 cite l'apprentissage automatique et l'explication du fonctionnement interne d'un système d'IA. Vous pouvez renverser la présomption, avec vos propres éléments.

Pour une machine au comportement auto-évolutif, le règlement Machines impose d'enregistrer les données de décision des fonctions de sécurité logicielles et de les garder un an (annexe III, point 1.2.1). Pour une IA composant de sécurité d'une machine, les exigences de l'AI Act, dont la journalisation (article 12), passeront par des actes délégués du règlement Machines, applicables au plus tard le 2 août 2028 (règlement 2026/1744).

Et l'application livrée à un client ?

Une application de planification ou de suivi qualité livrée à un industriel est un logiciel, donc un produit, même en SaaS. Mais un arrêt de production ou des données professionnelles corrompues sont des dommages exclus : ce cas relève de la responsabilité contractuelle. La directive ne redevient pertinente que si l'application peut blesser quelqu'un, par exemple en envoyant des consignes à un équipement, ou endommager les biens ou les données privés d'un particulier. Pour situer votre outil, voyez ce qu'est une application métier.

Charge de la preuve : ce que le juge pourra exiger du fabricant

La victime doit toujours prouver défaut, dommage et lien de causalité (article 10). La directive l'aide de deux façons, en plus des difficultés excessives vues au cas 3.

La divulgation (article 9). Si le demandeur rend sa demande plausible, le juge peut ordonner au fabricant de divulguer les éléments de preuve pertinents, dans la limite du nécessaire et du proportionné, en protégeant les secrets d'affaires, et sous une forme « facilement accessible et compréhensible ». Ces preuves comprennent les documents que le défendeur doit créer en rassemblant ou en classant les éléments disponibles (considérant 42).

Les présomptions (article 10). Le défaut est présumé si le fabricant ne divulgue pas, si le produit méconnaît une exigence de sécurité obligatoire destinée à prévenir ce dommage, ou en cas de dysfonctionnement manifeste lors d'une utilisation raisonnablement prévisible. Le lien de causalité est présumé quand le défaut est établi et le dommage compatible avec ce défaut.

S'y ajoutent une prescription de trois ans à compter de la connaissance du dommage, du défaut et du responsable (article 16), et un délai butoir de dix ans après la mise sur le marché, vingt-cinq ans pour une lésion corporelle d'apparition lente (article 17). Un historique de versions introuvable joue donc contre vous.

Que conserver dès maintenant pour un produit à logiciel ou à IA ?

Ce que vous ne consignez pas en 2027 n'existera pas en 2035. Six éléments :

1. L'inventaire des produits : logiciels embarqués, modèles d'IA, services connectés, composants libres, fournisseur des mises à jour, date de mise sur le marché.
2. L'historique des versions : chaque version livrée, sa date, son contenu, ses tests et les machines, par numéro de série, qui l'ont reçue.
3. Le journal des mises à jour : ce qui a été proposé, installé ou refusé, et quand. La preuve qu'une mise à jour de sécurité fournie n'a pas été installée peut servir votre défense (considérant 51).
4. Le dossier de conception et d'analyse des risques : l'AMDEC, les limites des fonctions de sécurité, et pour un modèle d'IA, sa version et les données qui ont servi à le valider.
5. La politique de mises à jour de sécurité : comment vous détectez une vulnérabilité et livrez un correctif. Depuis le 11 septembre 2026, le règlement sur la cyberrésilience (UE) 2024/2847 impose déjà aux fabricants de produits comportant des éléments numériques de signaler les vulnérabilités activement exploitées et les incidents graves (article 14) ; l'essentiel du texte s'applique le 11 décembre 2027.
6. Les contrats et l'assurance : recours envers vos fournisseurs de logiciels et de modèles, obligations de mise à jour chez vos clients, et couverture du logiciel et de l'IA par votre responsabilité civile produits, à vérifier avec votre courtier.

Quel impact concret pour un fabricant ou un éditeur ?

• Constructeur de machines à logiciel embarqué : vous êtes le plus exposé, parce que vos produits peuvent blesser. Pouvez-vous dire quelle version de micrologiciel tourne sur chaque machine livrée depuis cinq ans ? Si la réponse dépend d'un tableur tenu à la main ou de la mémoire d'un technicien, c'est le premier chantier.
• Éditeur de logiciel embarqué ou sous-traitant : vous devenez fabricant d'un composant. Relisez vos clauses de recours ; une micro ou petite entreprise peut négocier la renonciation prévue à l'article 12.

Ce chantier ne demande pas de remplacer votre ERP ou votre GMAO, mais de relier ce qu'ils savent déjà (numéros de série, interventions, livraisons) aux versions de logiciel. Un audit IA et data peut commencer par cette cartographie : logiciels et modèles embarqués, canaux de mise à jour, journaux existants et manques. Quand l'outil manque, un registre des versions par numéro de série et un journal des mises à jour se construisent en outil métier sur mesure, branché sur vos logiciels existants.

Les limites : ce qui reste incertain au 16 octobre 2026

• Le texte français n'est pas connu : la rédaction du Code civil, les pertes immatérielles laissées au droit national (article 6) et l'éventuel maintien d'une responsabilité pour risque de développement (article 18).
• La mise à jour substantielle d'un produit ancien : notre lecture des considérants 39, 40 et 58 reste à confirmer.
• La pratique des juges sur la divulgation et les présomptions ne se dessinera qu'avec les premières décisions ; celles des cours d'appel et de cassation devenues définitives devront être publiées (article 19).
• Cet article décrit un texte ; il ne remplace ni votre avocat ni votre assureur.

Conclusion : la traçabilité du logiciel devient une pièce du dossier de responsabilité

La directive 2024/2853 ne rend pas chaque éditeur responsable de tout : elle protège des personnes physiques contre des dommages précis et laisse les pertes entre entreprises au contrat. Mais pour un fabricant dont la machine embarque du logiciel ou de l'IA, le risque change de nature : le produit reste sous votre contrôle tant que vous le mettez à jour, et ce que vous ne savez pas documenter peut être présumé contre vous.

Les produits mis sur le marché après le 9 décembre 2026 en relèvent, avec ou sans texte français à cette date. Leur traçabilité se prépare maintenant.

Lire aussi : Data Act : les obligations des fabricants depuis le 12 septembre 2026

Sources

• EUR-Lex — Directive (UE) 2024/2853 relative à la responsabilité du fait des produits défectueux, articles 2 à 22 et considérants 13 à 58 (JO L du 18/11/2024)
• Assemblée nationale — Question écrite n° 11448 de M. Sacha Houlié et réponse du ministère de la Justice (réponse publiée au JO le 12/05/2026)
• Légifrance — Code civil, articles 1245 à 1245-17 et décret n° 2005-113, article 1 (seuil de 500 €) (versions en vigueur au 16/10/2026)
• Légifrance — Code de la sécurité sociale, article L454-1 (version en vigueur depuis le 01/01/2018)
• EUR-Lex — Règlement (UE) 2023/1230 sur les machines, article 3 et annexe III (JO L 165 du 29/06/2023) et rectificatif fixant l'application au 20 janvier 2027 (JO L 169 du 04/07/2023)
• EUR-Lex — Règlement (UE) 2024/1689 sur l'intelligence artificielle, article 12 (JO L du 12/07/2024) et règlement (UE) 2026/1744, omnibus numérique sur l'IA, article 3 (JO L du 24/07/2026)
• EUR-Lex — Règlement (UE) 2024/2847 sur la cyberrésilience, articles 14 et 71 (JO L du 20/11/2024)
• Parlement européen, Observatoire législatif — Procédure 2022/0303(COD), directive sur la responsabilité en matière d'IA (proposition retirée par la Commission le 06/10/2025)

Savez-vous quelle version de logiciel tourne sur chaque machine que vous avez livrée ? Pourriez-vous produire devant un juge l'historique de ses mises à jour ? Parlons-en : nous vous aidons à cartographier vos logiciels et modèles embarqués, puis à mettre en production l'outil de traçabilité qui vous manque.