La plainte déposée le 11 mai 2026 contre OpenAI devant la juridiction fédérale de Floride, après la fusillade survenue en avril 2025 sur le campus de Florida State University, marque un tournant dans le contentieux de la responsabilité des éditeurs d’intelligence artificielle. Si les faits allégués concernent le droit américain, leurs conséquences juridiques intéressent directement les dirigeants d’entreprises technologiques françaises et européennes qui développent ou déploient des systèmes d’IA générative.
La plainte allègue que l’agent conversationnel ChatGPT a entretenu plus de 16 000 interactions avec le tireur présumé sur une période de dix-huit mois, lui fournissant des conseils sur le choix des armes, les horaires de fréquentation du campus et les stratégies susceptibles de maximiser l’attention médiatique. Phoenix Ikner, le tireur présumé, bénéficie de la présomption d’innocence. L’analyse qui suit porte sur les obligations du dirigeant d’entreprise au regard du droit français, sans préjuger de l’issue de la procédure américaine.
I. Le risque juridique du dirigeant d’une entreprise éditrice d’intelligence artificielle
A. La responsabilité civile du producteur au sens des articles 1245 et suivants du code civil
L’article 1245 du code civil dispose que le producteur est responsable du dommage causé par un défaut de son produit, qu’il soit ou non lié par un contrat avec la victime (article 1245 du code civil). Cette responsabilité de plein droit ne requiert pas la démonstration d’une faute. Le demandeur doit prouver le dommage, le défaut du produit et le lien de causalité entre les deux.
L’article 1245-3 du code civil précise qu’un produit est défectueux lorsqu’il n’offre pas la sécurité à laquelle on peut légitimement s’attendre, compte tenu de la présentation du produit, de l’usage qui peut en être raisonnablement attendu et du moment de sa mise en circulation (article 1245-3 du code civil). L’appréciation du défaut s’effectue donc au regard des attentes légitimes de l’utilisateur, et non au regard de la seule conformité technique du produit.
La nouvelle directive (UE) 2024/2853 du 23 octobre 2024 relative à la responsabilité du fait des produits défectueux, dont la transposition est attendue avant le 9 décembre 2026, inclut explicitement les logiciels et les systèmes d’intelligence artificielle dans la définition du produit. Cette extension du champ d’application crée pour le dirigeant d’une entreprise éditrice d’IA une obligation de vigilance renforcée sur la sécurité de ses produits. La directive prévoit en outre un renversement de la charge de la preuve en faveur de la victime lorsque le producteur ne communique pas les éléments techniques pertinents relatifs au fonctionnement du système.
La Cour de cassation a déjà retenu une conception large du défaut de sécurité. Dans l’arrêt Monsanto du 21 octobre 2020, la première chambre civile a jugé qu’un produit dont l’étiquetage ne comportait aucune mise en garde sur la dangerosité particulière de certaines opérations ne présentait pas la sécurité à laquelle on pouvait légitimement s’attendre (Cass. 1re civ., 21 octobre 2020, n° 19-18.689, publié au Bulletin et au Rapport). Le défaut résidait dans l’insuffisance de l’information fournie à l’utilisateur sur les risques associés à l’utilisation du produit, et non dans la composition du produit lui-même.
Transposée au secteur de l’IA, cette jurisprudence impose au dirigeant de s’assurer que son produit dispose de garde-fous techniques suffisants pour empêcher la génération de contenus manifestement dangereux. L’absence de système de détection des conversations à caractère criminel, l’absence de blocage automatique et l’absence d’alerte aux autorités pourraient caractériser un défaut de sécurité du produit engageant la responsabilité de plein droit du producteur.
B. La responsabilité civile personnelle du dirigeant
Au-delà de la responsabilité de la société, le dirigeant peut engager sa responsabilité civile personnelle lorsqu’il a commis une faute séparable de ses fonctions. La Cour de cassation retient cette qualification lorsque le dirigeant a commis intentionnellement une faute d’une particulière gravité incompatible avec l’exercice normal des fonctions sociales. La chambre commerciale exige la réunion de trois conditions cumulatives : le caractère intentionnel de la faute, sa particulière gravité et son incompatibilité avec l’exercice normal des fonctions de direction.
Le dirigeant qui décide sciemment de ne pas investir dans les systèmes de modération et de sécurité de l’agent conversationnel, alors que le risque d’usage criminel est documenté et connu par les équipes techniques de l’entreprise, pourrait voir sa responsabilité personnelle engagée sur ce fondement. Cette situation concerne tant les dirigeants des grands éditeurs internationaux que ceux des entreprises françaises de taille intermédiaire qui intègrent des modèles de langage dans leurs produits commerciaux sans mettre en place de couche de sécurité supplémentaire.
C. La responsabilité pénale du dirigeant et de la personne morale
L’article 121-2 du code pénal prévoit que les personnes morales sont responsables pénalement des infractions commises, pour leur compte, par leurs organes ou représentants. La chambre criminelle de la Cour de cassation a retenu la responsabilité pénale de la société Lafarge pour financement d’entreprise terroriste, aux motifs que la société ne pouvait ignorer le caractère terroriste de l’organisation à laquelle elle versait des fonds (Cass. crim., 7 septembre 2021, n° 19-87.367, publié au Bulletin). La Cour a retenu qu’il suffisait que la société sache que les fonds fournis étaient destinés à être utilisés par l’entreprise terroriste en vue de commettre un acte terroriste.
Le dirigeant d’une entreprise éditrice d’IA s’expose personnellement aux poursuites en cas de mise en danger délibérée de la personne d’autrui, incriminée par l’article 223-1 du code pénal. Ce délit suppose la violation manifestement délibérée d’une obligation particulière de prudence ou de sécurité imposée par la loi ou le règlement, qui expose directement autrui à un risque immédiat de mort ou de blessures graves. Le règlement (UE) 2024/1689 sur l’intelligence artificielle (AI Act) impose précisément de telles obligations de prudence et de sécurité aux fournisseurs de systèmes d’IA.
Les sanctions encourues par la personne morale sont considérables : amende quintuplée par rapport à celle prévue pour les personnes physiques, dissolution, placement sous surveillance judiciaire, interdiction d’exercer l’activité ayant servi à commettre l’infraction, exclusion des marchés publics et fermeture des établissements ayant servi à commettre les faits.
II. Les obligations du dirigeant au regard du règlement européen sur l’intelligence artificielle
A. Les obligations de gestion des risques et de documentation
Le règlement (UE) 2024/1689 du 13 juin 2024 impose aux fournisseurs de systèmes d’IA à haut risque la mise en place d’un système de gestion des risques comprenant l’identification des risques connus et raisonnablement prévisibles, l’évaluation de ces risques et l’adoption de mesures appropriées pour les traiter. Les fournisseurs de modèles d’IA à usage général sont soumis à des obligations spécifiques de transparence, de documentation technique et de respect du droit d’auteur.
Le dirigeant doit s’assurer que ces obligations sont effectivement mises en œuvre au sein de l’entreprise. Le défaut de conformité expose la société à des sanctions administratives pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les violations les plus graves, 15 millions d’euros ou 3 % pour les violations des autres obligations, et 7,5 millions d’euros ou 1 % pour la fourniture d’informations inexactes.
B. L’obligation de surveillance post-commercialisation
Le règlement impose également une surveillance continue du système d’IA après sa mise sur le marché. Le fournisseur doit collecter et analyser les données relatives aux performances du système, évaluer sa conformité aux exigences réglementaires tout au long de son cycle de vie et prendre les mesures correctives appropriées lorsqu’un risque nouveau est identifié. Le dirigeant qui néglige cette surveillance continue engage la responsabilité de la société et s’expose personnellement à des poursuites.
Dans le contexte de l’affaire OpenAI, cette obligation signifie que le dirigeant ne peut se contenter de déployer des garde-fous au moment de la mise en circulation du produit. Il doit maintenir un dispositif de veille permanent sur les usages détournés du système, actualiser les filtres de sécurité en fonction des nouvelles menaces identifiées et alerter les autorités compétentes lorsque des conversations à caractère manifestement criminel sont détectées par les systèmes de modération de l’entreprise.
III. Les stratégies de protection du dirigeant
A. La gouvernance interne et la traçabilité des décisions
Le dirigeant d’une entreprise éditrice d’IA doit mettre en place un cadre de gouvernance interne documenté et vérifiable. Ce cadre comprend la désignation d’un responsable de la conformité IA au sein de l’entreprise, la mise en place d’un comité d’éthique et de sécurité chargé d’évaluer les risques liés aux usages du produit, et la documentation systématique des décisions prises en matière de sécurité du système.
La traçabilité des décisions est essentielle en cas de contentieux. Le dirigeant qui peut démontrer qu’il a identifié les risques, évalué les mesures disponibles, choisi les garde-fous les plus appropriés et documenté ses décisions se place dans une position de défense significativement plus favorable que celui qui n’a mis en place aucun dispositif de prévention ou dont les décisions n’ont laissé aucune trace écrite.
B. L’assurance et la couverture contractuelle du risque
Les polices d’assurance responsabilité civile professionnelle classiques ne couvrent pas nécessairement les dommages résultant d’un défaut d’un système d’intelligence artificielle. Le dirigeant doit vérifier l’étendue de sa couverture et, le cas échéant, souscrire une police spécifique couvrant le risque IA. La directive (UE) 2024/2853 pourrait à terme imposer une obligation d’assurance pour les fournisseurs de systèmes d’IA présentant un risque élevé.
Les entreprises qui intègrent des modèles de langage tiers dans leurs propres produits doivent anticiper le risque de recours en garantie dans le cadre de leur contentieux commercial. Le contrat de licence conclu avec le fournisseur du modèle de langage doit prévoir des clauses de garantie, d’indemnisation et de limitation de responsabilité adaptées au risque spécifique de l’IA générative. Le dirigeant qui néglige cette précaution contractuelle expose sa société à supporter seule les conséquences financières d’un contentieux en responsabilité des produits défectueux.
IV. Enseignements pratiques
L’affaire OpenAI constitue un signal d’alerte pour l’ensemble des entreprises du secteur de l’intelligence artificielle, des grands éditeurs internationaux aux start-ups françaises qui intègrent des modèles de langage dans leurs solutions. Le cadre juridique français et européen impose au dirigeant une vigilance accrue sur la sécurité de ses produits, la conformité réglementaire et la gouvernance interne de l’entreprise. L’entrée en application progressive du règlement sur l’intelligence artificielle et la transposition de la directive sur la responsabilité des produits défectueux avant la fin de l’année 2026 renforceront encore ces obligations.
Pour une analyse approfondie de la transposition pénale de cette affaire au droit français, incluant l’examen de la complicité, de la provocation et du régime des hébergeurs, consultez notre article principal : ChatGPT et la fusillade de Florida State University : la responsabilité de l’éditeur d’intelligence artificielle au regard du droit français.
Phoenix Ikner est présumé innocent des faits qui lui sont reprochés. La plainte déposée contre OpenAI est une action civile dont le bien-fondé reste à établir. L’analyse qui précède porte sur les obligations du dirigeant d’entreprise en droit français, non sur la culpabilité des parties.
Références
Textes :
Article 1245 du code civil, Légifrance
Article 1245-3 du code civil, Légifrance
Article 121-2 du code pénal, Légifrance
Règlement (UE) 2024/1689 du 13 juin 2024 (AI Act)
Directive (UE) 2024/2853 du 23 octobre 2024 (responsabilité des produits défectueux)
Jurisprudences :
Cass. crim., 7 septembre 2021, n° 19-87.367, publié au Bulletin (Lafarge), Cour de cassation
Cass. 1re civ., 21 octobre 2020, n° 19-18.689, publié au Bulletin et au Rapport (Monsanto), Cour de cassation
Besoin d’un avis rapide sur votre dossier
Vous êtes dirigeant d’une entreprise technologique et vous souhaitez évaluer votre exposition aux risques liés à l’intelligence artificielle, ou vous êtes victime d’un dommage causé par un système d’IA, contactez le cabinet Kohen Avocats pour un premier échange confidentiel.
Téléphone : 06 46 60 58 22
Formulaire de contact