IA et gouvernance : la responsabilité personnelle des dirigeants face aux algorithmes

Par Me Agathe FLORENT, avocate au barreau de Paris, et Me Linda DENFER-KADIRI, avocate au barreau de Lille – article paru dans la Gazette Nord-Pas-de-Calais n°21, rubrique « Paroles d'experts – Professions du chiffre et du droit ».

L'arrivée des systèmes d'IA dans l'entreprise ne déplace pas le centre de gravité de la responsabilité. En revanche, elle reconfigure la diligence attendue du dirigeant, qui doit à la fois organiser la traçabilité de l'opération, la supervision humaine et la maîtrise des risques, sous peine de voir sa gouvernance qualifiée de défaillante.

I. L'imputabilité juridique demeure humaine : l'IA n'est ni organe ni écran

Le droit positif ne reconnaît pas l'algorithme comme sujet de droit : la responsabilité se rattache aux personnes qui sont titulaires de la personnalité juridique. Dans le cadre d'une entreprise, la responsabilité est directement rattachée au dirigeant, qu'il soit de droit ou de fait¹.

S'agissant plus particulièrement de la responsabilité personnelle du dirigeant à l'égard des tiers, elle demeure gouvernée par la démonstration d'une faute séparable de ses fonctions, définie comme « une faute intentionnelle d'une particulière gravité incompatible avec l'exercice normal des fonctions »². Appliqué à l'IA, ce cadre invite à distinguer la simple erreur d'outil – qui ne suffit pas à caractériser une faute séparable des fonctions de dirigeant – de la décision de déployer, maintenir et/ou exploiter un système sans garde-fous, en dépit d'alertes internes, en l'absence de documentation ou sans supervision aucune. En effet, un tel comportement n'est pas celui d'un dirigeant assurant une gestion précautionneuse de son activité. En d'autres termes, c'est moins « l'intelligence » de la machine qui est jugée que la connaissance et l'acceptation du risque par le dirigeant.

II. Les risques juridiques structurants : opacité, absence de base légale, défaillance de gouvernance

A) L'opacité algorithmique : transparence des critères sans divulgation du code

Dans sa décision relative à Parcoursup, le Conseil d'État a posé une distinction importante entre l'obligation d'expliciter des critères et modalités d'examen, et l'absence d'obligation de communiquer les traitements algorithmiques eux-mêmes ou leur code source à des tiers (CE, 15 juill. 2020, n° 433296). Ainsi, cette logique parvient à un équilibre entre rendre auditable la décision sans pour autant imposer une transparence absolue du code utilisé. Par raisonnement analogique, l'enjeu de gouvernance consisterait à organiser une explicabilité opérationnelle et non nécessairement une divulgation intégrale (qui s'avérerait d'ailleurs nuisible aux secrets des affaires), et c'est l'absence d'explicabilité qui pourrait être à l'origine de l'engagement de la responsabilité du dirigeant en cas de dommages subis par un tiers du fait de l'utilisation de l'IA.

B) Le risque d'illégalité « par défaut de base légale » : le signal de la CAA de Nantes

La CAA de Nantes³ a annulé une délibération municipale relative à l'intégration de développements d'IA à son système de vidéosurveillance permettant à la ville de réaliser un classement automatique des piétons selon des typologies (taille, forme, habillement, etc.). Pour ce faire, la ville s'était fondée sur le silence du législateur concernant l'autorisation de traitements algorithmiques systématiques et automatisés d'images en espace public. Cette décision s'apparente à un avertissement méthodologique : de cet arrêt, les dirigeants doivent retenir que l'innovation algorithmique ne crée pas, par elle-même, son régime de licéité. Dès lors, l'absence de fondement explicite devient un risque autonome de gouvernance qui doit être appréhendé et traité par le dirigeant afin d'éviter toute mise en cause.

III. Vers un standard de « dirigeant numériquement prudent » : l'AI Act comme matrice de gouvernance

Le règlement (UE) 2024/1689 du 13 juin 2024 dit « l'AI Act », présenté comme le premier cadre juridique mondial dédié à l'IA, doit être considéré par les dirigeants comme un véritable référentiel en matière d'IA et de gouvernance leur permettant d'assurer la conformité de leurs activités impliquant l'IA. En effet, le règlement classifie objectivement les systèmes d'IA par niveau de risques (risques inacceptables, hauts risques, risques spécifiques, risques systémiques) et met en place une gradation des obligations en fonction des différents niveaux. Ainsi, chaque dirigeant devra procéder à une cartographie de ses systèmes d'IA pour identifier leur catégorie puis mettre en place les obligations prescrites par le règlement. À titre d'illustration, pour les systèmes à haut risque, il est notamment fait état d'exigences de documentation, de traçabilité, de gestion des risques et d'un contrôle humain organisé avant la mise sur le marché ou en service⁴. Dès lors, le dirigeant qui assurera une conformité maximale de ses activités à l'AI Act diminuera d'autant le risque de voir sa responsabilité personnelle engagée.

Le mouvement est net : la gouvernance de l'IA tend à devenir un attribut de la bonne administration de l'entreprise. À mesure que le cadre juridique se renforce, le dirigeant qui « ne veut pas savoir » expose sa responsabilité personnelle. La figure émergente est celle d'un dirigeant non pas expert technique mais numériquement prudent et architecte des preuves : il organise l'auditabilité de l'algorithme, la chaîne de validation et la possibilité de contredire la machine.