Intelligence artificielle : allier conformité juridique et assurance

Vous éditez une solution SaaS avec un composant d’IA qui produit des recommandations. Un client se fie à l’une d’elles, subit un préjudice financier et vous met en cause.

La RC Pro couvre les dommages que vos prestations causent à vos clients. Trois points décident de ce qu’elle paiera :

• Votre plafond de responsabilité dans les conditions générales : l’assureur calibre le montant de garantie dessus. Sans plafond, l’exposition est théoriquement illimitée, et aucune garantie ne couvre l’illimité.
• Le montant de garantie : une enveloppe unique, partagée entre tous vos clients et tous les sinistres d’une année d’assurance, frais de défense souvent inclus. Un grand compte peut exiger bien plus qu’une PME : vérifiez les exigences RC Pro des contrats clients avant de signer.
• Les exclusions : les engagements contractuels qui dépassent la responsabilité légale (clause pénale au-delà du préjudice réellement subi, solidarité conventionnelle, renonciation à recours non approuvée) et les remises ou avoirs. Promettre l’exactitude des recommandations de l’IA peut créer une exposition que la police ne reprend pas.

La rédaction du contrat par un expert en droit du numérique fait ici toute la différence. Trois points méritent une attention particulière.

Le périmètre de la prestation. Le contrat doit définir ce que la solution fait et ne fait pas, en particulier lorsqu'elle intègre de l'IA. Par exemple : la solution fournit des suggestions, mais l'utilisateur reste responsable des décisions qu'il prend sur cette base. C'est sur cette définition du périmètre que reposent la qualification de l'obligation (moyens ou résultat) et l'étendue de la responsabilité.

L'obligation de moyens. Un contrat SaaS qui qualifie la prestation IA comme une obligation de moyens (mise à disposition d'un outil fonctionnel, sans garantie d'exactitude des résultats) et qui prévoit un plafond de responsabilité adapté, borne l'exposition de l'éditeur. Un contrat qui ne mentionne pas l'IA, ou qui promet implicitement des résultats fiables, laisse le juge apprécier la portée de l'engagement.

La cascade des exclusions. Les conditions d'utilisation des fournisseurs de modèles IA (OpenAI, Anthropic, Mistral) excluent toute garantie sur l'exactitude des sorties et plafonnent leur responsabilité à un montant limité (selon les fournisseurs, le montant payé au cours des six à douze derniers mois, ou un forfait de 100 € ou 100 $). Si l'éditeur n'a pas répercuté ces exclusions dans ses propres contrats clients, il absorbe seul le risque : son fournisseur d'IA est protégé par ses propres exclusions, son client lui demande des comptes, et rien dans le contrat ne le protège.

L'essentiel. Un contrat bien rédigé et adapté à l'activité IA permet de calibrer la couverture au juste niveau et de se défendre efficacement. Un contrat silencieux sur l'IA rend même la meilleure assurance insuffisante.

Un salarié saisit des données clients dans un outil d’IA générative (compte rendu, analyse de fichier, réponse commerciale). Aucun DPA n’a été signé avec le fournisseur et ses conditions n’ont pas été vérifiées : réutilisation pour l’entraînement, lieu d’hébergement ? Une fuite survient chez ce fournisseur.

Le contrat cyber répond sur deux plans :

• Les réclamations de tiers et les procédures de contrôle relèvent de la garantie Cyber Responsabilité.
• Vos frais propres (expertise informatique, notification, assistance, communication de crise) relèvent, dans Tech360, de l’option Cyber Dommages. Ils augmentent avec le nombre de personnes concernées.

Deux points décident ensuite de la prise en charge :

• La fuite survient chez le fournisseur, pas dans votre système. Les contrats définissent le système couvert, parfois étendu à celui d’un prestataire auquel vous avez externalisé l’exploitation. Un outil grand public souscrit en ligne n’entre pas toujours dans cette définition.
• L’assureur vérifie si vous aviez pris des précautions raisonnables : DPA, consignes d’usage données aux équipes.

Le RGPD impose de conclure un contrat de sous-traitance (DPA) avec tout fournisseur qui traite des données personnelles pour le compte de l'entreprise (article 28). Le DPA doit notamment préciser l'objet du traitement, les mesures de sécurité, les conditions de sous-traitance ultérieure, et prévoir que le sous-traitant ne traite les données que sur instruction documentée du responsable (article 28§3, point a).

Pour les outils d'IA, cette exigence a une implication concrète : le DPA doit exclure la réutilisation des données pour l'entraînement du modèle. La CNIL qualifie cette réutilisation comme une finalité distincte de celle pour laquelle les données ont été confiées, et sa fiche n° 3 sur les recommandations IA confirme que le fournisseur d'un agent conversationnel qui traite des données pour le compte d'un client est sous-traitant de ce traitement.

Ce DPA n'est pas toujours prévu. Avec certains abonnements, les fournisseurs d'IA ne proposent pas de DPA conforme au RGPD. Même avec un abonnement professionnel, les conditions contractuelles du fournisseur doivent être vérifiées : le DPA est-il disponible ? Couvre-t-il la non-réutilisation pour l'entraînement ? Prévoit-il un engagement de localisation des données ? Ces vérifications sont un préalable avant tout déploiement d'un outil d'IA dans l'entreprise.

L'absence de DPA expose l'entreprise à :

• une sanction CNIL pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 83§4 du RGPD),
• une obligation de notifier la CNIL dans les meilleurs délais, et si possible dans les 72 heures, après la découverte d'une violation de données susceptible de présenter un risque pour les personnes concernées (article 33),
• une obligation d'informer les personnes concernées lorsque le risque est élevé (article 34).

Sans DPA, l’entreprise fragilise sa position face à son assureur : un fournisseur d’IA non encadré est un risque qu’elle n’a pas cherché à maîtriser.

Avant tout déploiement, vérifiez les conditions du fournisseur et la présence d’un DPA conforme. C’est rapide, et cela protège la conformité au RGPD comme la relation avec l’assureur.

Vous êtes prestataire informatique. Un réseau de distribution vous confie un assistant conversationnel d’IA pour son site : vous intégrez un modèle via API, le paramétrez avec les données produits du client et le mettez en service.

Trois mois plus tard, l’assistant donne des informations erronées sur les caractéristiques de plusieurs produits. Le client subit retours et réclamations, puis se retourne contre vous.

Le client réclame réparation d’un préjudice commercial. Trois questions se posent :

1. Quelle garantie répond ? Les pertes du client sont des dommages immatériels sans dommage matériel à l’origine. Vérifiez que la RC Pro garantit les dommages immatériels non consécutifs et que votre activité déclarée (développement spécifique, intégration de logiciels) correspond à ce que vous faites. L’IA n’est pas une activité à déclarer.
2. Quelles exclusions s’appliquent ? Selon les contrats, les dommages apparus pendant la période d’essai et de mise en service, les frais de remplacement du produit et les remises ou avoirs sont exclus. La définition de la période d’essai et la date de recette du contrat client comptent ici.
3. Quelle est la cause ? Un défaut de conception ou de paramétrage relève de la RC Pro. Une intrusion ou une manipulation malveillante relève du volet cyber. Dans un contrat qui réunit les deux, la prise en charge ne dépend pas du choix entre deux polices, mais chaque garantie garde ses plafonds et franchises.

Deux réflexes : déclarer la réclamation dans le délai du contrat, jamais inférieur à cinq jours ouvrés (article L113-2 du Code des assurances), même sous la franchise, et conserver les traces de l’assistant (journaux, version du modèle, paramétrage).

En amont du sinistre, deux questions juridiques conditionnent l'exposition du prestataire.

La qualification au sens du Règlement IA. Le RIA distingue plusieurs rôles selon la position de l'entreprise dans la chaîne :

• si le prestataire développe l'assistant et le met en service sous son propre nom ou sa propre marque, il peut avoir le statut de fournisseur du système d'IA,
• s'il a intégré un modèle existant (via l'API d'un fournisseur tiers) dans une interface personnalisée qu'il commercialise sous sa marque, il est fournisseur en aval,
• si le système est déployé sous la marque du client, la qualification dépend des circonstances concrètes : qui détermine les finalités, qui contrôle le fonctionnement, qui en assume la responsabilité vis-à-vis des utilisateurs.

Dans tous les cas, ses obligations dépassent celles d'un simple prestataire de service informatique :

• garantir la maîtrise de l'IA par son personnel (article 4),
• respecter les obligations de transparence (article 50),
• et, si le système est classé à haut risque, se conformer à des exigences renforcées de documentation technique et d'évaluation de conformité.

Le contrat de prestation. Le contrat doit répartir les responsabilités : qui répond du contenu des réponses de l'assistant, le prestataire qui l'a configuré ou le client qui l'a mis en ligne ? Sans réponse dans le contrat, la charge se répartira devant le juge. Le traitement de données personnelles par l'assistant et les obligations de transparence (article 50 du Règlement IA : informer les utilisateurs qu'ils interagissent avec une IA) doivent aussi y figurer. Un assistant qui se présente comme un « conseiller » sans mentionner l'IA expose le prestataire et son client à des responsabilités complémentaires.

Quand une entreprise tech développe une solution IA pour un tiers, le contrat de prestation doit qualifier les rôles, répartir les responsabilités et prévoir les obligations de transparence. La couverture d'assurance doit être vérifiée pour s'assurer de la bonne adéquation entre la couverture et l'activité déclarée.