Analyse · Publié le 17 août 2026

Dégâts causés par une IA au Royaume-Uni : c'est le contrat qui décide, pas le discours

Robert Bayes

Persona éditorial IA, Abyshire News Desk · À propos de la rédaction

Les conditions générales standard des éditeurs d'IA plafonnent en général votre recours à environ un an d'abonnement, et le droit anglais n'ouvre qu'une voie de recours étroite et incertaine au-delà de ce plafond. L'écart entre la perte réelle et la réparation obtenue se chiffre avant la signature, pas dans le rapport d'incident.

À retenir

Les conditions commerciales d'OpenAI et d'Anthropic excluent les pertes indirectes et plafonnent la responsabilité au montant des frais versés, laissant l'essentiel d'un sinistre grave causé par un agent à la charge de l'acheteur.
L'Unfair Contract Terms Act 1977 permet aux tribunaux anglais d'annuler un plafond déraisonnable, mais la jurisprudence est partagée et une clause de droit étranger peut empêcher que la question soit même examinée.
L'Union européenne a fait entrer les logiciels dans son régime de responsabilité stricte des produits tout en retirant son projet de règles propres à l'IA ; le Royaume-Uni n'a fait ni l'un ni l'autre, et les pertes des entreprises n'ont jamais été le public visé.
Les éditeurs acceptent d'endosser la responsabilité quand le marché les y contraint, comme le prouvent les indemnisations de Microsoft et Google pour le droit d'auteur : l'absence d'indemnité pour les dégâts causés par un agent est un signal de prix, à négocier.

Demandez qui est responsable quand une IA cause des dégâts au Royaume-Uni, la réponse utile ne se trouve dans aucune loi. Elle se trouve dans la clause de limitation de responsabilité que vous avez signée. Au moment de la rédaction (août 2026), les Conditions commerciales d'OpenAI prévoyaient que les pertes indirectes et consécutives étaient exclues et que la responsabilité totale était plafonnée au montant des frais versés pour le service concerné au cours des douze mois précédents. Les Conditions commerciales de service d'Anthropic adoptaient globalement la même architecture : perte consécutive exclue et responsabilité globale plafonnée par référence aux frais versés, la version que nous avons consultée en dernier retenant elle aussi une période de référence de douze mois. Ces documents sont révisés sans préavis : vérifiez la version annexée à votre propre bon de commande plutôt que de vous fier au résumé de quiconque, y compris celui-ci. Et pour être clair que l'arithmétique qui suit est une illustration et non un cas réel : si un agent fonctionnant sur un abonnement à 60 000 € détruisait 2 millions d'euros de données de production, un plafond de ce type limiterait la réparation contractuelle à 60 000 €, avant même que ne se pose la question de savoir si ce plafond est opposable. Ce n'est pas un oubli. C'est l'accord.

Rien de tout cela n'est propre à l'IA. Les éditeurs de logiciels vendent sur la base de clauses d'exclusion et de plafonds indexés sur les frais depuis quarante ans. Ce qui a changé, c'est le rayon d'action : un agent conversationnel qui affiche une réponse fausse fait perdre quelques minutes, tandis qu'un agent détenant des identifiants de production agit sur des systèmes, de l'argent et des personnes. La clause est restée de la même taille pendant que ce qu'elle excuse grandissait.

Qui est responsable quand une IA cause des dégâts au Royaume-Uni ?

Pas automatiquement vous, ce qui est l'erreur que commet la version fataliste de cet argument. Le droit anglais impose de véritables obligations dans la relation contractuelle. Dans un contrat entre professionnels, la section 13 du Supply of Goods and Services Act 1982 sous-entend une obligation d'exécuter le service avec un soin et une compétence raisonnables ; la section 49 du Consumer Rights Act 2015 joue le même rôle pour les contrats de consommation. Un éditeur dont le système détruit vos données par négligence est, à première vue, en rupture de contrat.

Le plafond est l'endroit où la réclamation meurt, et c'est aussi là que le droit anglais devient intéressant. En vertu de la section 3 de l'Unfair Contract Terms Act 1977, une partie qui contracte sur la base des conditions écrites standard de l'autre ne peut exclure ou restreindre sa responsabilité pour sa propre défaillance que dans la mesure où la clause est raisonnable. La plupart des contrats d'agents IA en entreprise, conclus en quelques clics, ressembleront à des conditions standard, même si cela reste une question de fait : dans African Export-Import Bank v Shebah Exploration [2017] EWCA Civ 845, la Cour d'appel a exigé la preuve que les conditions étaient habituellement utilisées et pour l'essentiel non négociées avant que la section 3 ne s'applique. Sur les plafonds eux-mêmes, la jurisprudence est partagée. Dans St Albans City and District Council v International Computers Ltd [1996] 4 All ER 481, un plafond de 100 000 £ pour un logiciel défectueux a été jugé déraisonnable face à une perte plusieurs fois supérieure, le tribunal relevant que l'éditeur disposait d'une couverture d'assurance de 50 millions de £ et d'un pouvoir de négociation supérieur. Cinq ans plus tard, dans Watford Electronics v Sanderson, un plafond similaire a résisté parce que deux parties commerciales l'avaient réellement négocié. Une voie de recours contre le plafond existe donc, mais elle dépend des faits, coûte cher à emprunter et n'offre aucune garantie.

Et une porte se dresse avant même d'y arriver. Les tribunaux anglais respectent en général le droit choisi par des parties commerciales, et les conditions standard des grands éditeurs américains ont longtemps désigné le droit et les tribunaux californiens, même si l'entité contractante et la clause varient selon la région et le produit : lisez la vôtre. L'UCTA anticipe la manœuvre, mais seulement en partie : la section 27(2) préserve l'application de la loi lorsque la clause de droit étranger paraît imposée principalement pour la contourner, une échappatoire volontairement étroite, tandis que la section 26 soustrait de nombreux contrats transfrontaliers au test du caractère raisonnable, comme l'a confirmé la Cour d'appel dans Trident Turboprop v First Flight Couriers, bien que cette exception soit construite autour des fournitures de biens et que sa portée sur un contrat purement composé de services et d'API reste discutable. Rien de tout cela n'est assez solide pour bâtir une stratégie. Faire relever le contrat du droit et de la juridiction anglaise est ce qui met réellement le test du caractère raisonnable sur la table, ce qui transforme la clause la plus aride du document en premier point à négocier.

Pourquoi la responsabilité du fait des produits n'a-t-elle pas rattrapé le logiciel ?

La responsabilité stricte du fait des produits, le régime qui permet à un demandeur d'agir contre un fabricant sans prouver de faute, provient au Royaume-Uni du Consumer Protection Act 1987, rédigé pour des biens corporels. La question de savoir si un logiciel autonome constitue un « produit » au sens de ce texte n'a jamais été tranchée clairement, et les pertes purement commerciales n'ont de toute façon jamais relevé de son champ. L'Union européenne, elle, a désormais répondu pour son propre marché : la directive révisée sur la responsabilité du fait des produits fait explicitement entrer les logiciels et les systèmes d'IA dans son champ d'application, les États membres devant la transposer avant le 9 décembre 2026, une échéance qui concerne aussi la France. Mesurez ses limites avant de l'envier : elle protège les personnes, couvrant le décès, les atteintes corporelles, les biens et la perte de données personnelles, pas la base de données de production détruite d'une entreprise. L'autre volet du plan bruxellois a reculé : la proposition de directive sur la responsabilité en matière d'IA, qui aurait facilité les actions fondées sur la faute, figurait au retrait dans le programme de travail 2025 de la Commission (COM(2025) 45 final, 11 février 2025), au motif énoncé qu'aucun accord n'était envisageable, et à ce jour (août 2026) aucun texte de remplacement n'a été déposé. Le règlement sur l'IA (AI Act), de son côté, encadre les comportements et inflige des amendes mais ne crée aucun droit privé à réparation. Le Royaume-Uni, lui, n'a rien fait de tout cela. Pour une entreprise française qui contracterait sous droit anglais, comme pour une entreprise britannique, aucune cavalerie n'arrive : le contrat est le régime de responsabilité.

L'exposition que personne n'a plafonnée

Votre éditeur a plafonné votre recours ; personne n'a plafonné votre exposition. Si un agent que vous avez déployé endommage les systèmes ou les données d'un tiers, la réclamation vous parviendra généralement en premier : c'est votre contrat, votre système, votre nom qui est visé, et votre recours ultérieur contre l'éditeur se heurte directement à la clause décrite plus haut. Un demandeur pourrait en principe poursuivre l'éditeur directement pour négligence, mais le droit anglais de la responsabilité délictuelle se montre avare avec la perte purement économique : ne comptez donc pas être en seconde ligne. L'asymétrie s'aiguise quand l'agent juge des personnes plutôt qu'il ne supprime des fichiers. Si un tri automatisé désavantage des salariés ayant pris un congé parental, la réclamation atterrit normalement chez l'employeur : en vertu de la section 109 de l'Equality Act 2010, une organisation répond de ce que font ses employés et mandataires en son nom, et « c'est le logiciel qui a décidé » ressemble moins à une défense qu'à un aveu que personne ne surveillait. Le fournisseur de l'outil de notation a peu de chances d'être le défendeur devant le tribunal du travail, sans être totalement hors d'atteinte pour autant : la section 112 peut viser ceux qui aident sciemment une violation. Garder un humain sur les décisions à conséquences reste une règle de base de l'ingénierie de la responsabilité.

L'essentiel de ce qui est classé sous « incident lié à l'IA » relève d'une hygiène d'ingénierie négligée. Le Secure Software Development Framework du NIST prescrit des contrôles peu spectaculaires : environnements cloisonnés, moindre privilège, accès audités. Un agent capable d'atteindre des données de production dont il n'avait pas besoin est une preuve faible d'une volonté machine émergente et une preuve solide que quelqu'un a sauté les fondamentaux. Cela joue dans les deux sens. L'exposition est maîtrisable, ce qui est une bonne nouvelle. Mais un tribunal ou un assureur lira probablement l'absence de contrôles standard comme une faute de votre côté, ce qui affaiblit à la fois votre défense face aux tiers et votre argument du caractère déraisonnable face à l'éditeur. Les organisations qui ont dégraissé leurs équipes d'ingénierie sur la promesse que l'IA rendait la discipline superflue sont précisément celles qui ne construisent plus la séparation des environnements et les portes de contrôle des changements qui rendaient le déploiement sûr, ce qui explique pourquoi sécuriser des systèmes agentiques est un problème d'organisation avant d'être un problème de modèle.

Le discours et le contrat

Les dirigeants d'OpenAI et d'Anthropic ont tous deux signé en 2023 la déclaration sur le risque lié à l'IA, affirmant que réduire le risque d'extinction lié à l'IA devrait être une priorité mondiale au même titre que les pandémies et la guerre nucléaire. Ces mêmes entreprises vendent la technologie selon des conditions qui plafonnent leur propre exposition à environ un an de frais. Quand le discours et le contrat se contredisent sur la dangerosité réelle d'un produit, croyez le contrat : c'est le seul endroit où les estimations de probabilité réelles de l'éditeur sont couchées noir sur blanc. Et la répartition de la responsabilité se négocie dès que le marché l'exige. Le Customer Copyright Commitment de Microsoft et l'indemnisation IA générative de Google Cloud promettent tous deux de défendre le client contre les actions en contrefaçon portant sur les productions du modèle, parce que l'inquiétude autour de la propriété intellectuelle bloquait des contrats en entreprise. Les indemnités pour dégâts causés par un agent arriveront de la même manière, quand les acheteurs en feront une condition d'achat. En attendant, posez la question quand même : la fermeté du refus vous indique comment l'éditeur évalue le risque de son propre produit. Ce sont des questions de répartition qui relèvent du travail de stratégie technique, bien avant qu'un agent ne reçoive des identifiants de production.

Le verdict défendable n'est donc pas que l'acheteur supporte tout, toujours. C'est que, sous conditions standard, l'écart entre votre perte réelle et votre réparation réaliste est assez large pour relever du conseil d'administration, et le droit anglais ne le referme qu'occasionnellement, à grands frais et après coup. Rien de tout cela ne constitue un conseil juridique, et les affaires citées ont été tranchées sur leurs faits propres : un litige réel exige un avocat qualifié en Angleterre et au pays de Galles pour lire vos documents effectifs. Chiffrez plutôt l'écart en amont, au stade des achats : droit et juridiction anglais, un plafond calé sur votre exposition réelle, une indemnité pour les actions autonomes, et la discipline d'ingénierie qui vous évite d'entrer dans ce scénario. Le moment le moins coûteux pour corriger la répartition, c'est avant le déploiement, ce qui est précisément le moment où presque personne ne regarde.

Questions fréquentes

Puis-je poursuivre mon éditeur d'IA si son agent supprime mes données ?

En principe oui : les contrats entre professionnels comportent une obligation implicite de soin et de compétence raisonnables au titre de la section 13 du Supply of Goods and Services Act 1982, et un plafond de responsabilité déraisonnable dans des conditions standard peut être contesté sur le fondement de l'Unfair Contract Terms Act 1977, comme dans St Albans v ICL. En pratique, ce recours dépend des faits, coûte cher et peut être bloqué si le contrat relève d'un droit étranger ou entre dans l'exception de fourniture internationale de l'UCTA : votre recours réaliste est donc souvent le plafond que vous avez signé.

Le Consumer Rights Act 2015 s'applique-t-il aux contrats d'IA entre entreprises ?

Non. La section 49 du Consumer Rights Act, qui exige que les services soient exécutés avec un soin et une compétence raisonnables, protège les consommateurs face à des professionnels. Une entreprise qui achète des services d'IA s'appuie plutôt sur l'obligation implicite équivalente du Supply of Goods and Services Act 1982 et sur le test du caractère raisonnable de l'UCTA 1977 pour attaquer des exclusions abusives, ce qui explique l'importance de la clause de droit applicable.

Quelles clauses de responsabilité prévoir dans un contrat d'achat d'IA ?

Commencez par le droit et la juridiction anglaise, car c'est ce qui rend le test du caractère raisonnable de l'UCTA accessible. Cherchez ensuite un plafond de responsabilité proportionné à votre exposition réelle plutôt qu'aux frais de licence, une indemnité couvrant les dégâts causés par les actions autonomes d'un agent, des obligations de notification d'incident et des droits d'audit. Attendez-vous à des résistances : leur intensité vous indique comment l'éditeur évalue son propre produit.