La directive sur la responsabilité civile en matière d'IA est un instrument juridique proposé par la Commission européenne le 28 septembre 2022. Elle vise à harmoniser les règles de responsabilité civile au sein de l'Union européenne pour les dommages causés par les systèmes d'intelligence artificielle. La directive complète la loi sur l'IA de l'UE, qui se concentre sur la réglementation des exigences relatives aux systèmes d'IA, en abordant la question de savoir qui porte la responsabilité juridique lorsqu'un système d'IA cause un préjudice. Elle ne crée pas un régime de responsabilité stricte, mais ajuste plutôt les règles de procédure afin d'alléger la charge de la preuve pour les victimes dans les réclamations liées à l'IA.
La proposition fait partie de la stratégie numérique plus large de la Commission, qui vise à instaurer la confiance dans l'IA en garantissant que les personnes lésées par les systèmes d'IA disposent d'une voie réaliste vers une indemnisation. La directive s'applique aux réclamations de responsabilité contractuelle et non contractuelle, couvrant un large éventail d'applications de l'IA, des dispositifs médicaux aux véhicules autonomes. Elle est conçue pour fonctionner en parallèle avec les cadres nationaux de responsabilité existants, tels que les règles de responsabilité du fait des produits, plutôt que de les remplacer entièrement.
Contexte et cadre législatif
L'Union européenne élabore un cadre réglementaire complet pour l'IA depuis la fin des années 2010. La loi sur l'IA, proposée pour la première fois en avril 2021, établit des exigences fondées sur les risques pour les systèmes d'IA, notamment des obligations de transparence et de surveillance humaine. Cependant, la loi sur l'IA ne traite pas de la responsabilité civile - elle fixe des règles sur la manière dont les systèmes d'IA doivent être construits et utilisés, mais pas sur qui paie pour les dommages qu'ils causent. La directive sur la responsabilité en matière d'IA comble cette lacune en créant une approche harmonisée des réclamations en responsabilité dans tous les États membres.
La directive a été élaborée à la suite d'une résolution du Parlement européen de 2020 appelant à un cadre de responsabilité moderne pour l'IA. La Commission a mené une évaluation d'impact qui a identifié des lacunes importantes dans les lois nationales existantes, qui laissaient souvent les victimes dans l'incapacité de prouver le lien de causalité lorsque des systèmes d'IA étaient impliqués. La proposition répond également au déploiement croissant de systèmes de Machine learning dans des secteurs critiques, où leurs processus décisionnels opaques rendent les réclamations juridiques traditionnelles difficiles.
Le processus législatif est en cours depuis la publication de la proposition. La commission des affaires juridiques du Parlement européen examine le texte, et les négociations devraient se poursuivre jusqu'en 2024 et 2025. La directive est étroitement liée à la loi sur l'IA, et sa forme finale dépendra de l'issue de ces négociations parallèles.
Dispositions clés
La directive introduit deux mécanismes principaux pour relever les défis de la responsabilité en matière d'IA. Premièrement, elle crée une présomption réfutable de causalité dans les cas où un demandeur peut démontrer que la faute d'un système d'IA a causé le préjudice. Cette présomption s'applique lorsque le demandeur montre que le défendeur n'a pas respecté une obligation légale, telle que celles prévues par la loi sur l'IA, et que le préjudice est une conséquence plausible de ce manquement. Le défendeur peut réfuter la présomption en prouvant que le préjudice a été causé par d'autres facteurs.
Deuxièmement, la directive accorde aux demandeurs le droit de demander la divulgation de preuves pertinentes aux fournisseurs ou aux utilisateurs de systèmes d'IA. Ce droit est limité à ce qui est nécessaire et proportionné pour la réclamation, et il protège les secrets commerciaux et les informations confidentielles. Les tribunaux ne peuvent ordonner la divulgation que lorsque le demandeur a présenté des faits suffisants pour étayer la plausibilité de sa réclamation. Les preuves peuvent inclure les données d'entraînement, les paramètres du modèle et les journaux du système, qui sont souvent essentiels pour établir le lien de causalité.
La directive clarifie également la responsabilité des différents acteurs de la chaîne de valeur de l'IA. Elle distingue le fournisseur d'un système d'IA, l'utilisateur qui le déploie, et l'importateur ou le distributeur dans certains cas. La présomption de causalité peut s'appliquer à l'une de ces parties, selon qui avait le contrôle sur l'aspect pertinent du système. Pour les systèmes d'IA à haut risque, la directive s'aligne sur les obligations de la loi sur l'IA, ce qui signifie que le non-respect de ces obligations peut déclencher la présomption.
Champ d'application et exclusions
La directive s'applique aux réclamations pour dommages causés par les systèmes d'IA, y compris les préjudices physiques, les dommages matériels et les pertes économiques. Elle couvre à la fois les comportements intentionnels et négligents, mais elle ne crée pas de responsabilité stricte - les demandeurs doivent toujours prouver une faute ou une violation légale. La proposition exclut explicitement les réclamations découlant de dommages nucléaires, les accidents de la route couverts par les régimes nationaux d'assurance automobile, et certains autres domaines déjà réglementés par des lois spécifiques de l'UE.
La directive s'applique aux systèmes d'IA tels que définis dans la loi sur l'IA, qui inclut les logiciels capables de générer des résultats tels que des prédictions, des recommandations ou des décisions. Cette définition couvre un large éventail de technologies, y compris les modèles de Generative AI et les systèmes de Large language model. Cependant, la directive ne s'applique pas aux systèmes d'IA utilisés exclusivement à des fins militaires, de sécurité nationale ou de sécurité publique, qui relèvent de la compétence de l'UE.
La proposition inclut également un délai de prescription de trois ans pour introduire une réclamation, à compter de la date à laquelle le demandeur a pris connaissance ou aurait dû prendre connaissance du préjudice et du lien de causalité. Cela s'aligne sur la pratique courante dans les États membres de l'UE, mais fournit une base uniforme à travers l'union.
Relation avec la directive sur la responsabilité du fait des produits
La directive sur la responsabilité en matière d'IA fonctionne en parallèle avec la directive existante sur la responsabilité du fait des produits, qui a été révisée en parallèle. La directive sur la responsabilité du fait des produits couvre les réclamations pour produits défectueux, y compris les logiciels, sous un régime de responsabilité stricte - les demandeurs n'ont pas besoin de prouver une faute, seulement que le produit était défectueux et a causé un préjudice. La directive sur la responsabilité en matière d'IA complète cela en couvrant les cas où le préjudice découle de l'utilisation d'un système d'IA plutôt que d'un défaut du produit lui-même.
Par exemple, si un dispositif médical alimenté par l'IA fonctionne mal en raison d'un défaut de fabrication, la directive sur la responsabilité du fait des produits s'applique. Si le préjudice résulte de la manière dont le système d'IA a été entraîné ou utilisé, comme une prise de décision biaisée, la directive sur la responsabilité en matière d'IA peut s'appliquer. Les deux directives sont conçues pour être mutuellement exclusives, la directive sur la responsabilité en matière d'IA ne s'appliquant que lorsque la directive sur la responsabilité du fait des produits ne s'applique pas.
La Commission a souligné que la directive sur la responsabilité en matière d'IA ne modifie pas les principes fondamentaux du droit national de la responsabilité. Elle n'harmonise pas la définition de la faute ni le calcul des dommages, qui restent régis par les lois des États membres. Au lieu de cela, elle se concentre sur les règles de procédure qui facilitent l'accès à la justice pour les victimes dans les affaires liées à l'IA.
Impact sur les développeurs et les déployeurs d'IA
La directive impose de nouvelles obligations aux fournisseurs et aux utilisateurs de systèmes d'IA, notamment en ce qui concerne la conservation des preuves et la documentation. Les fournisseurs doivent conserver des enregistrements qui peuvent être utilisés dans le cadre de procédures judiciaires, y compris des informations sur la conception du système, les données d'entraînement et les paramètres opérationnels. Cette exigence s'aligne sur les obligations de documentation de la loi sur l'IA, mais ajoute une dimension spécifique à la responsabilité.
Pour les développeurs d'IA, la directive crée une incitation à mettre en œuvre des processus de test et de surveillance robustes. La présomption de causalité signifie qu'un manquement aux exigences de la loi sur l'IA peut transférer la charge de la preuve au défendeur, facilitant ainsi le succès des demandeurs. Cela peut encourager l'adoption de techniques telles que le Model Pruning et d'autres méthodes qui améliorent la transparence du système, ainsi que des pratiques plus rigoureuses de Data Augmentation pour réduire les biais.
La directive affecte également les utilisateurs d'IA, y compris les entreprises qui déploient des systèmes d'IA dans leurs opérations. Les utilisateurs peuvent être tenus responsables s'ils ne supervisent pas correctement le système ou s'ils l'utilisent d'une manière qui viole les obligations légales. La directive encourage les utilisateurs à maintenir des politiques claires pour le déploiement de l'IA, y compris des mécanismes de surveillance humaine et des procédures de signalement des incidents.
Critiques et débats
La proposition a suscité d'importants débats parmi les parties prenantes. Les organisations de consommateurs ont accueilli favorablement la directive comme une étape vers la protection des victimes, mais elles soutiennent qu'elle ne va pas assez loin. Certaines ont appelé à un régime de responsabilité stricte pour les systèmes d'IA à haut risque, ce qui éliminerait la nécessité de prouver une faute. La Commission a rejeté cette approche, arguant qu'elle étoufferait l'innovation et imposerait des coûts excessifs aux développeurs d'IA.
Les groupes industriels ont exprimé des préoccupations concernant la charge de la divulgation des preuves, en particulier en ce qui concerne les secrets commerciaux. La directive comprend des garanties, telles que la supervision judiciaire et des mesures de confidentialité, mais certaines entreprises soutiennent que le risque d'exposer des informations propriétaires reste trop élevé. Le texte final pourrait inclure des protections supplémentaires pour les fournisseurs d'IA, comme la possibilité de soumettre des preuves sous forme de résumé.
Les juristes ont également débattu de la présomption de causalité, qui constitue une rupture avec le droit de la responsabilité civile délictuelle traditionnel dans de nombreux États membres. Certains soutiennent que la présomption est trop large et pourrait conduire à des réclamations frivoles, tandis que d'autres affirment qu'elle est nécessaire pour résoudre le problème de la "boîte noire" des systèmes d'IA. Le Parlement européen a proposé des amendements pour clarifier la portée de la présomption et pour garantir qu'elle ne s'applique qu'aux systèmes d'IA à haut risque.
Statut actuel et prochaines étapes
En 2024, la directive sur la responsabilité en matière d'IA reste en cours de négociation. Le Parlement européen et le Conseil de l'Union européenne travaillent sur leurs positions respectives, et les discussions en trilogue devraient commencer une fois que les deux institutions auront convenu de leurs amendements. La directive est étroitement liée à la loi sur l'IA, qui a été adoptée en mars 2024, et les règles finales en matière de responsabilité devront s'aligner sur les exigences de la loi sur l'IA.
La Commission a indiqué que la directive devrait être transposée dans le droit national dans les deux ans suivant son adoption. Ce calendrier mettrait la directive en vigueur dans la plupart des États membres d'ici 2026 ou 2027, selon le calendrier législatif final. La Commission s'est également engagée à suivre la mise en œuvre de la directive et pourrait proposer des révisions en fonction de l'expérience.
La directive fait partie d'une tendance mondiale plus large vers la réglementation de la responsabilité en matière d'IA. D'autres juridictions, notamment les États-Unis et la Chine, développent leurs propres approches de la responsabilité en matière d'IA. Le cadre de l'UE est susceptible d'influencer ces efforts, en particulier dans des domaines tels que la divulgation des preuves et la présomption de causalité. L'issue du processus législatif aura donc des implications au-delà de l'Union européenne, façonnant les normes mondiales en matière de responsabilité pour l'IA.