Accueil › Médiathèque › Comprendre la responsabilité numérique

Médiathèque · Comprendre

Comprendre la responsabilité numérique

Qui répond de quoi lorsque la technologie est en cause

C’est la question que pose toute situation numérique lorsqu’un risque doit être prévenu, qu’une obligation doit être respectée, qu’un manquement apparaît ou qu’un préjudice survient : qui doit agir, qui répond de quoi, devant qui et sur quel fondement ?

Un système recommande, classe, filtre ou décide. Un service tombe. Une donnée fuite. Un contenu circule. Dans chacun de ces cas, plusieurs acteurs peuvent avoir pris part à la chaîne : celui qui a conçu, celui qui a fourni, celui qui a déployé, celui qui héberge, celui qui organise le service ou celui qui prend la décision. Aucune règle unique ne désigne d’avance celui qui répondra.

C’est cette répartition des obligations et des responsabilités qui organise cette page.

Ce que recouvre la responsabilité numérique

L’expression peut être utilisée dans deux sens qu’il vaut mieux distinguer.

Le premier est juridique : répondre d’un dommage causé, d’une obligation inexécutée, d’une atteinte commise ou d’un manquement. Il renvoie à des fondements identifiés — responsabilité contractuelle, responsabilité extracontractuelle, responsabilité du fait des produits, responsabilité pénale ou responsabilité administrative — selon la situation.

Le second relève de la gouvernance : la manière dont une organisation identifie les risques, conduit ses projets numériques, documente ses choix et rend compte de leurs effets.

Ces deux dimensions se rejoignent en pratique. Les obligations de prévention, la gouvernance, la documentation et les choix de conception interviennent en amont ; lorsqu’un manquement ou un dommage survient, ces mêmes éléments peuvent entrer dans l’analyse du contrôle, de la sanction ou de la responsabilité.

Elle conduit à examiner ce qui devait être prévenu, qui devait agir, quelles obligations s’imposaient à chaque acteur et, lorsque le risque se réalise, dans quelles conditions un manquement peut être sanctionné ou un préjudice réparé.

Qui répond de quoi ?

Le droit du numérique ne crée pas un responsable unique. Il attribue des rôles, impose des obligations propres à certains acteurs et articule plusieurs régimes.

Le concepteur et le fournisseur peuvent être soumis à des obligations liées à ce qu’ils conçoivent, fournissent ou mettent sur le marché : conformité, sécurité, documentation ou information, selon le produit, le service et le rôle juridique qu’ils occupent.

Le déployeur — l’organisation qui utilise un outil dans son activité — peut répondre des conditions dans lesquelles il l’utilise : choix du système, finalité poursuivie, information des personnes concernées, paramétrage ou surveillance humaine lorsque ces exigences sont applicables. Un système peut être conforme dans sa conception et devenir problématique par l’usage qui en est fait. Inversement, un mauvais usage n’exclut pas nécessairement qu’une obligation propre au concepteur ou au fournisseur soit également en cause.

Les intermédiaires et plateformes relèvent de régimes qui varient selon la nature du service et le rôle qu’ils exercent. Pour certains contenus de tiers, les conditions d’exonération de responsabilité prévues par le droit des services numériques demeurent déterminantes. Mais leurs obligations ne se limitent pas au traitement des contenus signalés : selon leur catégorie et leur taille, les services peuvent également être soumis à des obligations de diligence, de transparence, de conception ou de gestion des risques systémiques.

L’employeur et l’administration sont également soumis à des règles propres lorsqu’ils utilisent des technologies dans l’exercice de leurs pouvoirs. Les outils numériques n’effacent ni les obligations attachées à la relation de travail, ni celles qui encadrent l’action administrative.

Une même situation fait donc souvent intervenir plusieurs acteurs et plusieurs régimes. L’analyse consiste à reconstituer la chaîne, identifier les obligations applicables à chaque maillon et déterminer les conséquences juridiques de leur éventuelle méconnaissance.

Ce qui s’organise avant l’incident

La responsabilité se prépare. C’est souvent la part la plus utile du travail juridique, parce qu’elle intervient au moment où il est encore possible d’agir.

Trois leviers reviennent dans de nombreux projets numériques.

Le contrat répartit les obligations entre les acteurs de la chaîne : périmètre de la prestation, niveaux de service, sécurité, sous-traitance, propriété des développements, réversibilité ou limites de responsabilité. Ce que le contrat n’a pas suffisamment organisé peut devenir, au moment de l’incident, une question d’interprétation, de preuve et de responsabilité.

La documentation conditionne la preuve. Analyses d’impact, registres, journaux, procès-verbaux de recette, décisions de gouvernance et échanges avec le fournisseur peuvent permettre d’établir ce qui a été prévu, décidé, contrôlé ou corrigé.

L’organisation interne détermine enfin si les mesures annoncées existent réellement. Une surveillance humaine, par exemple, ne se réduit pas à une mention dans une procédure : son effectivité dépend du système concerné, des compétences de la personne désignée et des moyens dont elle dispose.

Prévenir un risque et réparer un préjudice : deux fonctions différentes

Le droit peut intervenir avant qu’un dommage ne soit démontré.

Certaines réglementations imposent d’identifier des risques, de les prévenir ou de les atténuer. Leur méconnaissance peut faire l’objet de contrôles, de mesures correctrices ou de sanctions dans les conditions prévues par les textes.

La réparation répond à une autre question : une personne a-t-elle subi un préjudice et les conditions du régime de responsabilité applicable permettent-elles d’en obtenir réparation ?

Les deux niveaux peuvent toutefois se rejoindre. Lorsqu’un risque qui devait être prévenu se réalise, l’absence ou l’insuffisance des mesures attendues peut devenir, selon le régime applicable, un élément de l’analyse de la responsabilité.

Quand le risque dépasse une personne : les risques systémiques

Certaines technologies ne produisent pas seulement des effets individuels. Leur conception, leur fonctionnement ou leur diffusion à grande échelle peuvent affecter des groupes, des droits fondamentaux ou le fonctionnement de la société.

Le règlement sur les services numériques (DSA) donne une traduction juridique particulièrement nette de cette dimension. Pour les très grandes plateformes en ligne et les très grands moteurs de recherche en ligne, il impose d’évaluer et d’atténuer des catégories de risques systémiques (règlement (UE) 2022/2065, articles 34 et 35). Cette obligation ne s’applique donc pas indistinctement à toutes les plateformes : la désignation relève de la Commission européenne, au-delà d’un seuil de destinataires actifs mensuels dans l’Union (article 33).

Les droits fondamentaux et la non-discrimination

Les risques systémiques peuvent résulter d’effets négatifs réels ou prévisibles sur l’exercice des droits fondamentaux. Le DSA vise notamment la dignité humaine, la liberté d’expression et d’information, la vie privée, la protection des données, le droit à la non-discrimination, les droits de l’enfant et la protection des consommateurs (article 34, paragraphe 1, point b).

Une discrimination ne devient pas « systémique » du seul fait qu’un algorithme intervient. L’enjeu est d’identifier si la conception ou le fonctionnement du service, notamment ses systèmes algorithmiques, est susceptible de produire ou d’amplifier à grande échelle des effets négatifs sur ces droits.

La santé, le bien-être et les violences sexistes

Le DSA vise également les conséquences négatives graves sur le bien-être physique et mental des personnes, ainsi que la protection de la santé publique et des mineurs. La même catégorie de risque vise les violences sexistes (article 34, paragraphe 1, point d). La conception des interfaces et des systèmes de recommandation peut être pertinente lorsque, par exemple, elle favorise une exposition répétée à certains contenus ou des comportements de dépendance.

Cette logique est particulièrement importante pour les mineurs : le risque peut tenir non seulement au contenu lui-même, mais aussi à la manière dont le service le recommande, l’amplifie ou organise l’engagement.

Le débat démocratique et les processus électoraux

Les effets négatifs réels ou prévisibles sur le discours civique, les processus électoraux et la sécurité publique font également partie des risques systémiques identifiés par le DSA (article 34, paragraphe 1, point c). La question juridique ne porte donc pas uniquement sur le caractère licite ou illicite d’un contenu pris isolément : elle peut aussi concerner les mécanismes de recommandation, d’amplification, de publicité ou de manipulation qui structurent sa diffusion.

Prévenir des effets collectifs

Cette approche illustre une évolution importante de la responsabilité numérique : le droit n’attend pas nécessairement qu’un préjudice individuel soit établi pour imposer une démarche de prévention. Les acteurs soumis à ces obligations doivent évaluer certains risques liés au fonctionnement de leurs services et mettre en place des mesures d’atténuation raisonnables, proportionnées et efficaces.

Le risque systémique ne constitue toutefois pas, à lui seul, un régime de responsabilité civile. L’obligation d’évaluer et d’atténuer un risque relève d’abord de la régulation. Si un préjudice survient, la question de sa réparation obéit aux conditions du régime de responsabilité applicable.

Du côté de la personne : quels leviers ?

La responsabilité a un second versant : les droits et recours de la personne concernée.

Selon la situation et le régime applicable, une personne peut notamment demander l’accès à certaines informations, contester une décision, obtenir dans certains cas une intervention humaine, demander la cessation d’une atteinte, exercer ses droits sur ses données, saisir une autorité compétente ou agir en réparation.

Ces leviers supposent d’identifier le bon fondement, l’interlocuteur compétent et les délais applicables. La preuve doit également être préservée suffisamment tôt : dans un environnement numérique, un contenu peut être supprimé, un compte modifié ou une interface évoluer rapidement.

Un cadre qui se déploie par étapes

Les règles européennes du numérique ne sont pas toutes entrées en application au même moment. Plusieurs textes comportent des calendriers, des dispositions transitoires ou des obligations qui deviennent applicables par étapes.

La date des faits, de la mise sur le marché, de la mise en service ou du déploiement peut modifier le régime applicable selon le texte concerné. Les dispositions transitoires doivent donc être examinées au cas par cas.

Pour certains systèmes et services, la conformité s’inscrit en outre dans la durée : mises à jour, évolution des usages, nouveaux risques ou modification du cadre juridique peuvent imposer une réévaluation.

Suivi des échéances et des évolutions réglementaires : les actualités du cabinet

Ce que cela change pour vous

Pour une organisation, la question utile n’est pas seulement « suis-je responsable ? », mais « de quoi puis-je avoir à répondre, devant qui, et qu’ai-je organisé pour prévenir le risque et pouvoir justifier mes choix ? ». La réponse se construit dans les contrats, la documentation, la gouvernance et l’organisation interne, bien avant le premier incident.

Pour une personne, la question utile n’est pas seulement « ai-je un droit ? », mais « quel levier puis-je exercer, dans quel délai et avec quelle preuve ? ». La réponse peut se jouer dès les premières heures lorsque les éléments numériques sont susceptibles de disparaître.

Prendre en compte les droits des personnes dès la conception contribue aussi à construire des dispositifs numériques juridiquement plus robustes — face au contrôle d’une autorité, au contentieux et aux attentes de leurs utilisateurs.