CyberCoverInsightComprendre le marché de l'assurance cyber.

RÉGLEMENTATION

Responsabilité civile liée à l'intelligence artificielle : qui paie le dommage et quelle police répond

01 nov. 2026 · Mis à jour 01 nov. 2026 · 11 min de lecture

Par la rédaction de CyberCoverInsight · avec l'appui de l'IA

Product liabilitySilent cyber

En l'absence de directive européenne dédiée, le dommage causé par un système d'intelligence artificielle relève du droit civil national, de la nouvelle directive sur les produits défectueux, du règlement sur l'IA et, en Italie, de la loi 132/2025 et du décret législatif 160/2026. Une lecture du point de vue de ceux qui assument le risque cyber : où tombe la responsabilité, quelles polices sont exposées, où le marché exclut et quelles questions poser lors des renouvellements.

Analyse · 1er novembre 2026 · mise à jour le 2 novembre 2026 avec le décret législatif 160/2026 · par cybercoverinsurance

Un système d'intelligence artificielle se trompe dans un devis, écarte un candidat, propose un traitement erroné ou invente un précédent dans une consultation juridique. Le dommage est réel, mais qui en répond ? Pour celui qui assume le risque, la question en cache une autre, plus pratique : quelle police paie, et quelqu'un l'a-t-il tarifée ?

La réponse courte : l'Europe n'a pas de règle unique sur la responsabilité liée à l'intelligence artificielle. Le dommage se répartit entre quatre sources différentes, et chacune pousse le risque vers une police différente. Le principal risque pour un portefeuille n'est pas une nouvelle responsabilité, mais l'exposition restée implicite dans les garanties existantes.

Dans le texte, « article » désigne une règle contraignante ; « considérant » désigne les paragraphes introductifs qui expliquent comment la lire.

En bref

  • La directive européenne sur la responsabilité en matière d'intelligence artificielle a été retirée : la Commission l'a décidé le 16 juillet 2025 et l'avis a été publié au Journal officiel de l'UE le 6 octobre 2025.
  • Depuis le 9 décembre 2026, le logiciel, y compris les systèmes d'intelligence artificielle, est un produit au sens de la directive (UE) 2024/2853 : responsabilité sans faute du fabricant envers les personnes physiques.
  • Le règlement sur l'IA ne régit pas l'indemnisation, mais fixe les obligations dont la violation devient la preuve de la faute. Les règles applicables aux systèmes à haut risque de l'annexe III sont reportées au 2 décembre 2027.
  • En Italie, la loi 132/2025 oblige les professionnels à informer leurs clients de l'usage de l'intelligence artificielle et confirme que la responsabilité leur reste.
  • Depuis le 30 septembre 2026, le décret législatif italien 160/2026 présume le lien de causalité en cas de violation des obligations du règlement sur l'IA et permet à la victime d'agir directement contre l'assureur de responsabilité civile.
  • Aux États-Unis, le marché exclut le risque : depuis le 1er janvier 2026, il existe des exclusions standard pour l'intelligence artificielle générative en responsabilité civile générale.

Le cadre : quatre sources, aucune règle unique

1. La directive qui n'a pas vu le jour

En 2022, la Commission européenne a proposé une directive sur la responsabilité en matière d'intelligence artificielle (COM(2022)496), avec des présomptions en faveur de la victime et des obligations de divulgation des éléments de preuve. La Commission a décidé de la retirer le 16 juillet 2025 ; l'avis a été publié le 6 octobre 2025 (EAPIL). Le dommage lié à l'intelligence artificielle reste donc régi par le droit national de chaque État.

2. Le droit civil national : l'exemple italien

Faute de règles spécifiques, les règles générales s'appliquent. En Italie, s'il existe un contrat entre la victime et l'utilisateur de l'intelligence artificielle, la responsabilité est contractuelle et le débiteur répond de l'inexécution, sauf à prouver qu'elle ne lui est pas imputable (article 1218 du Code civil). À l'égard des tiers s'applique l'article 2043, qui exige une faute intentionnelle ou une négligence. La doctrine débat de l'application de l'article 2050 sur les activités dangereuses, qui ferait peser sur l'utilisateur la charge de prouver qu'il a pris toutes les mesures propres à éviter le dommage (Studio Cataldi). Il n'existe pas encore de jurisprudence établie.

Depuis le 30 septembre 2026 s'y ajoute le décret législatif n° 160 du 9 septembre 2026, pris en application de la loi 132/2025 (PG Legal). Le décret ne crée pas de nouvelle responsabilité sans faute, mais il déplace la charge de la preuve. En cas de violation des obligations du règlement sur l'IA, le lien de causalité entre la violation et le dommage est présumé, sauf preuve contraire (article 18). La conformité au règlement sur l'IA, même certifiée, ne suffit pas à elle seule à exclure la responsabilité (article 19). Le juge peut en outre ordonner au fournisseur ou à l'utilisateur de produire les journaux et la documentation technique du système (Lavorosì).

3. La directive sur les produits défectueux

Depuis le 9 décembre 2026, la directive (UE) 2024/2853 s'applique aux produits mis sur le marché à partir de cette date et inclut le logiciel dans la définition du produit (article 4). Un système d'intelligence artificielle entre dans cette définition. Trois éléments pèsent particulièrement (EUR-Lex) :

  • pour apprécier si un produit est défectueux, sa capacité à continuer d'apprendre après sa mise sur le marché est prise en compte (article 7) ;
  • le juge peut présumer le défaut ou le lien de causalité lorsque la complexité technique rend la preuve excessivement difficile pour la victime (article 10) ;
  • seules les personnes physiques peuvent agir ; une entreprise lésée reste sur le terrain contractuel.

Le sujet est traité en détail dans l'analyse du logiciel comme produit.

4. Le règlement sur l'IA et la loi italienne

Le règlement (UE) 2024/1689, dit règlement sur l'IA, ne régit pas l'indemnisation. Il fixe en revanche des obligations pour ceux qui développent des systèmes d'intelligence artificielle (fournisseurs) et pour ceux qui les utilisent dans leur activité (déployeurs). Pour les systèmes à haut risque, le déployeur doit les utiliser conformément à la notice, confier leur contrôle à des personnes compétentes, en surveiller le fonctionnement et conserver les journaux qu'ils génèrent (article 26). Dans un procès civil, la violation de ces obligations devient l'argument le plus simple pour démontrer la faute.

Le règlement (UE) 2026/1744, qui modifie le règlement sur l'IA, a déplacé les échéances : les obligations relatives aux systèmes à haut risque de l'annexe III, comme le recrutement et l'évaluation de la solvabilité, s'appliquent à partir du 2 décembre 2027 ; celles de l'annexe I, comme les dispositifs médicaux et les machines, à partir du 2 août 2028 (Orrick). Les obligations de transparence de l'article 50, par exemple informer une personne qu'elle interagit avec un système d'intelligence artificielle, s'appliquent depuis le 2 août 2026 (Gibson Dunn).

En Italie, la loi n° 132 du 23 septembre 2025, en vigueur depuis le 10 octobre 2025, ajoute une règle pour les professions intellectuelles (Normattiva). L'article 13 n'admet l'intelligence artificielle que comme outil d'appui, le travail intellectuel du professionnel devant rester prépondérant, et impose d'informer clairement le client des systèmes utilisés (Studio Pizzano). La conséquence pour la responsabilité professionnelle est directe : l'erreur produite par un système d'intelligence artificielle est une erreur du professionnel.

Où le risque tombe dans les polices

Responsabilité civile professionnelle et tech E&O. C'est la police la plus exposée. La consultation erronée, le code défectueux, le conseil généré en partie par un modèle sont des erreurs professionnelles comme les autres. La plupart des contrats ne mentionnent pas l'intelligence artificielle : la garantie existe jusqu'à ce que quelqu'un la conteste.

Responsabilité civile produits. Depuis le 9 décembre 2026, celui qui intègre un modèle dans un produit ou un logiciel vendu en Europe répond sans faute envers les personnes physiques lésées. Pour l'assureur de fabricants d'appareils, de machines ou de logiciels, le système d'intelligence artificielle devient un composant à évaluer comme les autres.

Responsabilité civile générale. Couvre les dommages corporels et matériels causés aux tiers. Aux États-Unis, Verisk a introduit à partir de janvier 2026 trois exclusions facultatives pour l'intelligence artificielle générative (CG 40 47, CG 40 48 et CG 35 08) en responsabilité civile générale et produits (IndependentAgent).

Cyber. Répond lorsque le dommage passe par un incident de sécurité : fuite de données via un assistant fondé sur l'intelligence artificielle, accès non autorisé via un modèle compromis, fraude par deepfake. Elle ne répond pas à l'erreur du modèle en tant que telle, qui n'est pas un incident de sécurité.

D&O. Entre en jeu lorsque l'usage de l'intelligence artificielle devient un choix de gouvernance : obligations du règlement sur l'IA ignorées, déclarations inexactes au marché sur les capacités de ses propres systèmes.

Le marché évolue dans deux directions

La première est l'exclusion. Selon une analyse du Center for Strategic and International Studies du 4 septembre 2026, plus de 60 groupes d'assurance dommages américains ont déposé des exclusions pour l'intelligence artificielle en 2026, et une proposition de W.R. Berkley exclut les sinistres liés à « toute utilisation réelle ou alléguée » de l'intelligence artificielle (CSIS). La même source cite une enquête de la Lloyd's Market Association selon laquelle les assureurs savent peu de chose de l'usage que leurs assurés font de l'intelligence artificielle.

La seconde est la garantie explicite. Des produits dédiés existent : Munich Re propose depuis 2018 une garantie liée à la performance du modèle, Armilla, avec la capacité de syndicats du Lloyd's, couvre erreurs et hallucinations jusqu'à 25 millions de dollars par assuré, et CFC a intégré en juin 2026 des garanties explicites pour l'intelligence artificielle dans sept lignes de produits (CSIS).

Le schéma rappelle celui du cyber silencieux après 2019, lorsque le Lloyd's a demandé à chaque syndicat de déclarer si une police incluait ou excluait le risque cyber. Le marché italien n'a pas encore franchi ce pas pour l'intelligence artificielle.

Ce que cela signifie pour la souscription

Le silence est le risque principal. Une police qui ne mentionne pas l'intelligence artificielle ne l'exclut pas, mais ne la tarifie pas non plus. Dans un portefeuille de RC professionnelle ou tech E&O, l'exposition croît avec l'adoption par les clients sans que la prime ne le reflète.

Le cumul vient des fournisseurs. De nombreuses entreprises utilisent les mêmes quelques modèles de fondation et les mêmes plateformes. Une erreur systématique ou une mise à jour défectueuse d'un modèle très répandu peut produire des sinistres similaires chez de nombreux assurés sur la même période. C'est le même schéma que le cumul cloud, appliqué à un composant moins visible.

La documentation décide du sinistre. Avec les présomptions de la directive sur les produits défectueux et les obligations du règlement sur l'IA, celui qui ne conserve pas les journaux, ne sait pas quelle version du modèle a produit un résultat et n'a désigné personne pour le contrôle aura du mal à se défendre. La qualité de la gouvernance devient un facteur de gravité du sinistre, pas seulement de fréquence.

L'action directe amène l'assureur au procès. L'article 20 du décret législatif italien 160/2026 permet à la victime de demander au responsable, même avant le procès, s'il existe une police de responsabilité civile couvrant le dommage, avec une réponse sous 30 jours, et d'agir directement contre l'assureur dans la limite du plafond de garantie (PG Legal). L'assureur peut opposer les exceptions contractuelles antérieures au sinistre et, s'il paie, se retourner contre son assuré dans la mesure où la police lui aurait permis de refuser ou de réduire le paiement. Pour une police de RC professionnelle ou générale qui ne mentionne pas l'intelligence artificielle, la garantie implicite est mise à l'épreuve en justice, avec l'assureur comme défendeur.

Les professions sont le premier banc d'essai. Avec l'article 13 de la loi 132/2025, le professionnel italien qui n'a pas informé son client part avec un désavantage dans un litige. Pour l'assureur d'avocats, d'experts-comptables, d'ingénieurs et de consultants, l'information du client est un document à demander.

Impact pour les assureursMoyen

Le dommage lié à l'intelligence artificielle se concentre aujourd'hui sur la RC professionnelle et la tech E&O avec des garanties restées implicites, et devient plus facile à prouver, en Italie depuis le 30 septembre 2026 avec le décret législatif 160/2026 et en Europe à partir du 9 décembre 2026 avec la directive sur les produits défectueux ; le volume de sinistres en Italie n'est pas encore mesurable.

Sources

Retour à la rubrique Réglementation