I. La responsabilité civile des dirigeants, socle d’un édifice normatif en mutation
A. L’architecture légale de la responsabilité des dirigeants de sociétés commerciales
Le droit positif soumet les dirigeants de sociétés commerciales à un régime de responsabilité dont l’armature, commune aux trois principales formes sociales, repose sur une triple infraction aux dispositions législatives ou réglementaires, aux violations des statuts et aux fautes commises dans leur gestion. L’article L. 223-22 du code de commerce, applicable aux gérants de société à responsabilité limitée, dispose que « les gérants sont responsables, individuellement ou solidairement, selon le cas, envers la société ou envers les tiers, soit des infractions aux dispositions législatives ou réglementaires applicables aux sociétés à responsabilité limitée, soit des violations des statuts, soit des fautes commises dans leur gestion ». Par un renvoi opéré par l’article L. 227-8 du même code, « les règles fixant la responsabilité des membres du conseil d’administration et du directoire des sociétés anonymes sont applicables au président et aux dirigeants de la société par actions simplifiée », cependant que l’article L. 225-251 édicte que « les administrateurs et le directeur général sont responsables individuellement ou solidairement selon le cas, envers la société ou envers les tiers, soit des infractions aux dispositions législatives ou réglementaires applicables aux sociétés anonymes, soit des violations des statuts, soit des fautes commises dans leur gestion ». Ce triptyque normatif dessine un standard unitaire de la responsabilité des mandataires sociaux, quelle que soit la forme juridique empruntée.
La chambre commerciale de la Cour de cassation a, dans un arrêt du 2 avril 2025, rappelé avec une particulière netteté les conditions d’engagement de cette responsabilité à l’égard des tiers. Elle énonce que, au visa de l’article L. 225-251 du code de commerce, « la responsabilité personnelle d’un dirigeant à l’égard des tiers ne peut être retenue que s’il a commis une faute détachable de ses fonctions et qu’il en est ainsi lorsque le dirigeant commet intentionnellement une faute d’une particulière gravité, incompatible avec l’exercice normal des fonctions sociales » (Cass. com., 2 avril 2025, n° 23-22.728). La cour d’appel de Rennes, dans un arrêt du 18 novembre 2025, a fait application de ce même standard en retenant que la société demanderesse fondait expressément ses prétentions sur l’article 1240 du code civil tout en faisant valoir que le dirigeant « aurait commis une faute détachable de ses fonctions de dirigeant, notion qui correspond à une condition de mise en cause de la responsabilité d’un dirigeant sur le fondement des dispositions du code de commerce » (CA Rennes, 18 novembre 2025, n° 24/06824).
Par un arrêt du 26 novembre 2025, la chambre commerciale a précisé, au visa de l’article L. 223-22 du code de commerce, que « la responsabilité personnelle d’un dirigeant de droit à l’égard des tiers ne peut être retenue que s’il a commis une faute séparable de ses fonctions. Il en est ainsi lorsque le dirigeant commet intentionnellement une faute d’une particulière gravité, incompatible avec l’exercice normal des fonctions sociales » (Cass. com., 26 novembre 2025, n° 24-21.022). La cour d’appel de Reims, dans un arrêt du 19 mai 2026, a synthétisé ce régime en rappelant tout à la fois que « selon l’article 1850 du code civil chaque gérant est responsable, individuellement envers la société et envers les tiers, soit des infractions aux lois et règlements, soit de la violation des statuts, soit des fautes commises dans sa gestion » et que « l’article L. 223-22 du code de commerce prévoit que les gérants sont responsables, individuellement ou solidairement, selon le cas, envers la société ou envers les tiers » (CA Reims, 19 mai 2026, n° 25/00405).
B. L’extension du périmètre des obligations pesant sur les dirigeants par l’effet de normes sectorielles
À ce socle législatif classique s’est progressivement superposé un ensemble de normes sectorielles qui, sans modifier formellement les textes fondateurs de la responsabilité des dirigeants, en étendent substantiellement le périmètre par l’adjonction d’obligations nouvelles de conformité, de vigilance et de transparence. L’article 1833 du code civil, dans sa rédaction issue de la loi n° 2019-486 du 22 mai 2019 relative à la croissance et la transformation des entreprises, dite loi PACTE, constitue le point d’ancrage de cette évolution en disposant que « la société est gérée dans son intérêt social, en prenant en considération les enjeux sociaux et environnementaux de son activité ». La chambre commerciale a, dans un arrêt du 26 novembre 2025, tiré les conséquences contentieuses de cette disposition en jugeant que « la décision du conseil d’administration d’une société anonyme ne peut être annulée pour abus de pouvoirs que s’il est démontré que cette décision est contraire à l’intérêt social et qu’elle a été prise dans l’intérêt exclusif de membres du conseil d’administration ou de toute autre personne déterminée, en particulier d’actionnaires » (Cass. com., 26 novembre 2025, n° 23-23.363, Publié au Bulletin et au Rapport).
La cour d’appel de Bordeaux, dans un arrêt du 5 janvier 2026, a fait application de ce texte en retenant que « il résulte de l’article 1833 du code civil que toute société doit avoir un objet licite et être constituée dans l’intérêt commun des associés, et que la société est gérée dans son intérêt social, en prenant en considération les enjeux sociaux et environnementaux de son activité » (CA Bordeaux, 5 janvier 2026, n° 24/00405). La cour d’appel de Montpellier, dans un arrêt du 21 juillet 2026, a réitéré cette formulation en précisant que « la conformité à l’intérêt social dépend de l’utilité de l’acte et de son opportunité vis-à-vis de la société et de ses membres » (CA Montpellier, 21 juillet 2026, n° 25/04252).
Par ailleurs, l’obligation de vigilance, qui innerve désormais le droit des sociétés, a été consacrée à l’échelle européenne par le Règlement général sur la protection des données et par la directive sur le devoir de vigilance des entreprises en matière de durabilité. La chambre commerciale de la Cour de cassation, dans un arrêt du 2 octobre 2024, a jugé qu’une banque « est tenue, en exécution de son obligation de vigilance, de vérifier leur régularité auprès du dirigeant, seule personne contractuellement habilitée à les valider, dès lors que les circonstances inhabituelles de passation des ordres laisse supposer une possible fraude au président » (Cass. com., 2 octobre 2024, n° 23-13.282, Publié au Bulletin). Cet arrêt, rendu en matière bancaire, illustre la tendance de fond à l’extension du devoir de vigilance comme standard de comportement attendu des opérateurs économiques et de leurs dirigeants. Ces évolutions, prises dans leur ensemble, dessinent un mouvement de fond vers une densification des obligations pesant sur les dirigeants, que l’entrée en vigueur du Règlement européen sur l’intelligence artificielle vient à la fois amplifier et systématiser.
II. L’émergence d’un standard de gouvernance renforcée par le Règlement sur l’intelligence artificielle
A. L’obligation de cartographie et de supervision des systèmes d’intelligence artificielle au sein de l’entreprise
Le Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, dit AI Act, a prévu une entrée en vigueur progressive de ses dispositions. Or, le 2 août 2026 marque une étape décisive de ce calendrier puisque les obligations de transparence deviennent exigibles et que le régime de sanctions est intégralement activé. Les manquements aux obligations des opérateurs exposent l’entreprise à des amendes administratives pouvant atteindre quinze millions d’euros ou trois pour cent du chiffre d’affaires annuel mondial, cependant que les pratiques prohibées sont sanctionnées à hauteur de trente-cinq millions d’euros ou sept pour cent du chiffre d’affaires annuel mondial. Le volet consacré aux systèmes à haut risque, quant à lui, a été reporté au 2 décembre 2027. Mais le changement de paradigme ne réside pas tant dans l’échelle des sanctions que dans le déplacement du centre de gravité de la gouvernance : l’intelligence artificielle cesse d’être un sujet exclusivement technique pour devenir un objet de gouvernance d’entreprise, dont le dirigeant doit personnellement répondre.
En effet, la diffusion des systèmes d’intelligence artificielle au sein des organisations s’est opérée, depuis l’apparition des modèles génératifs, selon des canaux qui échappaient largement au contrôle des instances dirigeantes. Un collaborateur ouvre un outil grand public depuis son navigateur, une direction métier souscrit un abonnement en deçà du seuil de validation de la direction des systèmes d’information, un éditeur active par défaut une fonctionnalité dans un logiciel déjà déployé, un prestataire externe traite les données de son client avec ses propres outils. Or, l’entrée en vigueur des obligations de transparence impose désormais aux dirigeants de disposer d’une cartographie exhaustive des systèmes d’intelligence artificielle utilisés dans leur entreprise, qu’ils aient été formellement adoptés ou non par les organes de gouvernance.
La question n’est plus de savoir si l’entreprise est concernée par le règlement, mais de déterminer quels systèmes d’intelligence artificielle y sont effectivement utilisés, quelles données leur sont confiées, quelles décisions ils influencent et qui en assure la supervision. Or, rares sont les entreprises capables, à ce jour, d’établir un tel inventaire. La difficulté de la conformité est moins juridique qu’organisationnelle : elle suppose de reprendre le contrôle d’usages qui se sont diffusés de manière rapide et décentralisée, sans que la direction générale en ait toujours été informée. Cette obligation de cartographie et de supervision, si elle n’est pas expressément prévue par les articles du code de commerce précités, engage néanmoins la responsabilité du dirigeant sur le fondement du premier alinéa de chacun de ces textes, qui sanctionne toute infraction aux dispositions législatives ou réglementaires.
B. Le risque juridictionnel et le renouvellement du standard de la faute de gestion
L’entrée en vigueur du Règlement sur l’intelligence artificielle ne constitue pas une menace théorique pour les dirigeants de sociétés commerciales. Le risque juridictionnel s’est d’ores et déjà matérialisé par deux décisions qui, sans se fonder sur l’AI Act lui-même, illustrent la manière dont le juge judiciaire appréhende l’introduction de l’intelligence artificielle dans l’entreprise. Le tribunal judiciaire de Nanterre a, le 14 février 2025, ordonné la suspension de cinq applications d’intelligence artificielle au motif que la phase pilote constituait déjà une mise en œuvre effective intervenue avant l’avis du comité social et économique. Le 21 mai 2026, la cour d’appel de Paris a jugé que la mise à disposition d’un assistant rédactionnel ainsi que l’encadrement de l’usage de ChatGPT relevaient de l’introduction d’une nouvelle technologie, appelant la consultation du comité social et économique à chaque étape, et que le déploiement poursuivi sans cette consultation caractérisait un trouble manifestement illicite justifiant suspension, astreinte et indemnisation. Un outil adopté par une direction métier peut donc être arrêté par un juge avant même d’avoir produit ses effets.
Dès lors, le défaut de supervision des systèmes d’intelligence artificielle déployés dans l’entreprise est susceptible de caractériser une faute de gestion au sens des articles L. 223-22, L. 225-251 et L. 227-8 du code de commerce. La particulière gravité du manquement, conjuguée à son caractère intentionnel ou, à tout le moins, délibérément négligent, pourrait être retenue par le juge pour qualifier une faute séparable des fonctions, engageant la responsabilité personnelle du dirigeant à l’égard des tiers sur le fondement de la jurisprudence précitée de la chambre commerciale. La Cour de justice de l’Union européenne a, par un arrêt du 13 février 2025, jugé que le plafond des amendes se calcule sur le chiffre d’affaires de l’entreprise au sens du droit de la concurrence, c’est-à-dire du groupe, ce qui accroît mécaniquement l’exposition financière des sociétés mères et de leurs dirigeants.
À cet égard, l’article 1833 du code civil, en imposant que la société soit gérée dans son intérêt social en prenant en considération les enjeux sociaux et environnementaux de son activité, fournit un fondement supplémentaire à l’obligation de gouvernance des systèmes d’intelligence artificielle. La méconnaissance par le dirigeant des risques juridiques, réputationnels et financiers liés à un déploiement non maîtrisé de l’intelligence artificielle au sein de l’entreprise pourrait être analysée comme une méconnaissance de l’intérêt social, dès lors que ces risques sont de nature à affecter la pérennité de l’entreprise et la valeur de son patrimoine. En conséquence, chaque projet de déploiement d’intelligence artificielle devrait rejoindre les procédures de gouvernance existantes, de la consultation du comité social et économique au document unique d’évaluation des risques professionnels, en passant par le contrôle interne, plutôt que d’en créer de nouvelles. La société qui sait quels outils circulent en son sein évalue un nouvel outil en quelques jours plutôt qu’en quelques semaines et se prémunit contre le double risque de la sanction administrative et de la suspension judiciaire.
Par ailleurs, le report du volet relatif aux systèmes à haut risque au 2 décembre 2027 ne doit pas être interprété comme un sursis. Le Comité européen de la protection des données et le Contrôleur européen de la protection des données ont relevé, en janvier 2026, que les systèmes déjà en service échappent au champ d’application du règlement : plus l’application des obligations relatives aux systèmes à haut risque est différée, plus nombreux seront les outils installés sans avoir jamais été confrontés aux exigences du règlement. Ce constat déplace le contrôle du régulateur vers l’entreprise elle-même, et vers le juge, renforçant d’autant l’exposition des dirigeants à une mise en cause de leur responsabilité civile sur le fondement des dispositions du code de commerce.
Conclusion
L’entrée en vigueur, le 2 août 2026, des obligations de transparence et du régime de sanctions du Règlement européen sur l’intelligence artificielle constitue, pour les dirigeants de sociétés commerciales, bien davantage qu’une strate réglementaire supplémentaire. Elle opère un déplacement du centre de gravité de la gouvernance d’entreprise, l’intelligence artificielle passant du statut d’objet d’innovation à celui d’objet de responsabilité. Or, ni les articles L. 223-22, L. 225-251 et L. 227-8 du code de commerce, ni la jurisprudence de la chambre commerciale relative à la faute séparable des fonctions, ni l’article 1833 du code civil dans sa rédaction issue de la loi PACTE, ne permettent au dirigeant de s’exonérer de cette responsabilité nouvelle en invoquant l’ignorance des usages déployés dans son entreprise. Dès lors, l’établissement d’une cartographie exhaustive des systèmes d’intelligence artificielle utilisés, l’identification des données qui leur sont confiées et la supervision des décisions qu’ils influencent constituent, pour les dirigeants, non pas une option de conformité, mais une obligation inhérente à leur mandat social, dont la méconnaissance engage leur responsabilité civile personnelle.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.