L’intelligence artificielle est désormais utilisée pour prospecter, recruter, analyser des contrats, prévoir la trésorerie, répondre aux clients ou orienter une décision commerciale. Le sujet n’est plus seulement technique. Le 9 juin 2026, l’Autorité des marchés financiers a annoncé qu’elle consacrerait une étude de son rapport sur le gouvernement d’entreprise à la manière dont les conseils d’administration et de surveillance appréhendent les risques liés à l’intelligence artificielle, à la cybersécurité et à la géopolitique. Le 4 août 2026, elle a également publié une version refondue de sa recommandation sur le gouvernement d’entreprise et la rémunération des dirigeants des sociétés cotées. Ces actualités donnent un relief particulier à une question pratique : que doit décider un conseil lorsqu’une société déploie un outil d’IA, et quelles preuves doit-il conserver pour démontrer que la décision a été préparée, contrôlée et suivie ? La réponse dépend de la forme sociale, du niveau de risque, des données utilisées et des conséquences économiques du projet. Une erreur d’algorithme ne suffit pas, à elle seule, à engager la responsabilité d’un dirigeant. En revanche, une mise en production sans analyse, sans contrôle humain, sans encadrement contractuel ou sans réaction à un signal d’alerte peut devenir une faute de gestion. Les règles applicables aux sociétés anonymes, aux sociétés par actions simplifiées et aux SARL doivent donc être articulées avec le règlement européen sur l’intelligence artificielle, le RGPD et les contrats conclus avec les fournisseurs.
I. Comment le conseil d’administration doit-il encadrer l’intelligence artificielle de la société ?
A. Quelles décisions faut-il inscrire à l’ordre du jour avant un déploiement d’IA ?
La première étape consiste à qualifier le projet. Un outil qui résume des réunions internes ne présente pas le même niveau d’exposition qu’un système qui sélectionne des candidats, attribue une note à un client, refuse un crédit, fixe un prix, pilote un stock stratégique ou produit des informations financières destinées au marché. La société doit identifier le rôle qu’elle occupe : utilisatrice d’un système fourni par un tiers, fournisseur d’un outil commercialisé sous sa marque, intégrateur d’un service ou responsable d’un traitement de données personnelles. La documentation du fournisseur ne suffit pas à répondre à cette question.
Le point de départ du droit des sociétés se trouve dans l’article 1833 du code civil. Le texte dispose que « Toute société doit avoir un objet licite et être constituée dans l’intérêt commun des associés. La société est gérée dans son intérêt social, en prenant en considération les enjeux sociaux et environnementaux de son activité. » Pour un projet d’intelligence artificielle, l’intérêt social ne se réduit pas au gain de productivité annoncé par le fournisseur. Il inclut la continuité de l’activité, la sécurité des données, la qualité de la relation avec les clients, la protection des salariés, la réputation de la société et la capacité à expliquer une décision importante.
Dans une société anonyme à conseil d’administration, l’article L. 225-35 du code de commerce prévoit que « Le conseil d’administration détermine les orientations de l’activité de la société et veille à leur mise en oeuvre, conformément à son intérêt social, en considérant les enjeux sociaux et environnementaux de son activité. » Le même article ajoute que le conseil « se saisit de toute question intéressant la bonne marche de la société et règle par ses délibérations les affaires qui la concernent » et qu’il « procède aux contrôles et vérifications qu’il juge opportuns ». Un investissement significatif dans un outil d’IA, une externalisation d’une fonction sensible ou une automatisation qui modifie le rapport avec les clients peut donc justifier une délibération spécifique.
Cette règle ne signifie pas que le conseil doit voter chaque abonnement à un logiciel. Elle impose une appréciation proportionnée. Le conseil peut déléguer la mise en œuvre opérationnelle à la direction générale, mais il doit connaître les limites de cette délégation, les informations qui remontent périodiquement et les décisions qui restent réservées à l’organe collectif. Une politique générale d’usage ne remplace pas une délibération lorsque l’outil modifie substantiellement le modèle économique, l’organisation du travail, la sécurité informatique ou la relation avec les actionnaires.
La résolution préparée pour le conseil doit répondre à plusieurs questions. Quel problème la société cherche-t-elle à résoudre ? Quelle décision sera influencée par la sortie du système ? Qui pourra contester ou corriger cette sortie ? Quelles données entreront dans l’outil ? Où seront-elles hébergées ? Le fournisseur peut-il les réutiliser pour entraîner son modèle ? Quel est le coût total, y compris l’audit, la formation, la sécurisation et la réversibilité ? Quel événement déclenchera une suspension ? Une réponse vague à ces questions laisse la société sans trace exploitable si un dommage survient.
Le conseil doit aussi distinguer les décisions d’orientation et les décisions d’exécution. L’orientation peut consister à autoriser une expérimentation limitée sur des données anonymisées, à prioriser un usage interne ou à interdire toute décision entièrement automatisée dans un domaine sensible. L’exécution comprend la sélection du fournisseur, la configuration, la recette, la mise en production et le suivi des incidents. Cette séparation permet de savoir qui a décidé quoi, à quelle date et à partir de quels documents.
L’article 1835 du code civil prévoit que « Les statuts doivent être établis par écrit » et qu’ils déterminent notamment « les modalités de son fonctionnement ». Il ajoute que « Les statuts peuvent préciser une raison d’être, constituée des principes dont la société se dote et pour le respect desquels elle entend affecter des moyens dans la réalisation de son activité. » Une société qui a inscrit une raison d’être liée à la confiance, à la protection des personnes ou à la sobriété numérique doit vérifier que le projet d’IA reste cohérent avec cette orientation. La raison d’être ne constitue pas un slogan détaché des décisions d’investissement.
Pour une société cotée, l’actualité de l’AMF sur l’intelligence artificielle, la cybersécurité et la géopolitique est un signal de gouvernance. L’Autorité annonce qu’elle examinera l’organisation, les compétences des instances dirigeantes, les dispositifs de gestion des risques et l’information publique. La démarche ne crée pas, à elle seule, une nouvelle obligation générale applicable à toutes les entreprises. Elle montre cependant le niveau de documentation attendu pour une société qui s’adresse au marché : le conseil doit pouvoir expliquer comment il a identifié le risque, choisi les compétences nécessaires et surveillé le dispositif.
Le règlement européen sur l’intelligence artificielle doit être intégré à cette cartographie selon le rôle et le niveau de risque du système. Le texte officiel est accessible sur EUR-Lex, règlement (UE) 2024/1689. Un déploiement qui concerne le recrutement, l’évaluation des travailleurs, l’accès à un service essentiel, la sécurité d’un produit ou une décision ayant un effet important sur une personne ne peut pas être traité comme un simple outil de rédaction. La société doit déterminer les exigences qui la concernent, la personne responsable de la conformité et la preuve de la supervision humaine.
Le RGPD doit être examiné en parallèle lorsque l’outil reçoit des données relatives à des clients, salariés, candidats, dirigeants ou partenaires identifiables. Les principes de finalité, de minimisation, de sécurité et de transparence demeurent applicables. Les références officielles aux articles du règlement (UE) 2016/679 doivent être rapprochées de la configuration réelle du service. Une décision de conseil qui autorise un outil sans savoir si les données sont conservées, transférées ou réutilisées est trop générale pour constituer un contrôle sérieux.
Une décision robuste peut être structurée autour de huit engagements : établir un inventaire des usages, classer les systèmes par niveau de risque, désigner un responsable interne, limiter les données accessibles, imposer une validation humaine, tester la fiabilité des résultats, organiser la remontée des incidents et prévoir une sortie du contrat. Le conseil peut demander un rapport trimestriel comprenant les incidents, les taux d’erreur connus, les changements de modèle, les accès accordés, les réclamations et les mesures correctrices. Le but n’est pas de transformer les administrateurs en ingénieurs, mais de leur donner une information qui leur permette d’exercer leur mission.
Le conseil doit enfin se méfier des indicateurs exclusivement commerciaux. Une hausse du taux de conversion ne prouve pas que l’outil respecte le droit. Un gain de temps ne mesure pas le coût d’un contentieux, d’une fuite de données ou d’une décision discriminatoire. Les indicateurs doivent couvrir la qualité, la sécurité, les droits des personnes, la traçabilité, la réversibilité et la continuité du service. Pour un système critique, une clause contractuelle de suspension et un plan manuel de secours ont une valeur comparable à la performance annoncée.
B. Quels documents et quels votes permettent de prouver un contrôle sérieux ?
La gouvernance d’un projet d’IA se prouve par un dossier, pas par une déclaration générale. Avant la réunion, les administrateurs doivent recevoir une note exposant le cas d’usage, le périmètre des données, les risques, les alternatives, le fournisseur pressenti, le coût et le calendrier. Les annexes peuvent comprendre une analyse de sécurité, une analyse d’impact relative aux données, une matrice des responsabilités, le projet de contrat, les résultats d’un test contradictoire et la liste des décisions qui resteront humaines.
Le procès-verbal doit indiquer la question examinée, les informations remises, les réserves exprimées, les administrateurs présents ou représentés, le résultat du vote et la mission confiée à la direction. Une formule comme « le conseil prend acte du projet d’IA » ne permet pas de savoir si une autorisation a été donnée, si une limite a été posée ou si une vérification a été demandée. Une résolution précise peut, au contraire, autoriser une phase pilote, interdire l’utilisation de données identifiantes, imposer un audit avant production et prévoir une nouvelle délibération au-delà d’un seuil financier.
L’article L. 225-37 du code de commerce rappelle que « Le conseil d’administration ne délibère valablement que si la moitié au moins de ses membres sont présents. » Il organise aussi la participation par un moyen de télécommunication permettant l’identification et la participation effective, ainsi que, sous conditions statutaires, la consultation écrite des administrateurs, y compris par voie électronique. Il précise enfin que « Les administrateurs, ainsi que toute personne appelée à assister aux réunions du conseil d’administration, sont tenus à la discrétion » pour les informations confidentielles données comme telles par le président.
Ces règles prennent une importance particulière lorsque la séance traite d’un modèle, d’un jeu de données ou d’un incident de sécurité. Les documents ne doivent pas circuler sans précaution dans un outil d’IA utilisé pour préparer la réunion. Le secrétaire du conseil doit conserver la version transmise, les destinataires, les éventuelles corrections et la version approuvée. Un administrateur qui reçoit une information incomplète doit pouvoir demander un complément et faire inscrire sa demande au procès-verbal. La traçabilité du débat protège la société comme les membres du conseil.
Le choix du fournisseur doit faire l’objet d’une analyse indépendante lorsque celui-ci est lié à un administrateur, à un dirigeant, à un actionnaire important ou à une société du groupe. L’article L. 225-38 du code de commerce prévoit que toute convention intervenant directement ou par personne interposée entre la société et certaines personnes liées « doit être soumise à l’autorisation préalable du conseil d’administration ». Le texte exige une motivation « en justifiant de l’intérêt de la convention pour la société, notamment en précisant les conditions financières qui y sont attachées ».
La convention avec un fournisseur d’IA peut entrer dans ce régime si le lien personnel ou capitalistique prévu par le texte est caractérisé. La question se pose aussi pour une licence, une prestation d’intégration, un contrat d’hébergement ou une cession de données négocié par une société contrôlée. Le conseil doit alors comparer les conditions du marché, documenter l’intérêt de la convention, identifier les risques de dépendance et vérifier la propriété des résultats. Une approbation collective ne dispense pas de cette analyse.
L’article L. 225-40 du code de commerce ajoute que « La personne directement ou indirectement intéressée à la convention est tenue d’informer le conseil dès qu’elle a connaissance d’une convention à laquelle l’article L. 225-38 est applicable. » Elle « ne peut prendre part ni aux délibérations ni au vote sur l’autorisation sollicitée ». Le procès-verbal doit refléter cette abstention et la majorité doit être calculée sans les actions de la personne intéressée lorsque le texte le prévoit. Cette étape est souvent oubliée lorsque le projet est présenté comme une simple opération technologique.
Le rapport sur le gouvernement d’entreprise peut également porter la trace de l’organisation et des contrôles. L’article L. 225-37-4 du code de commerce impose notamment la liste des mandats, certaines conventions, les délégations d’augmentation de capital et le choix du mode de direction. Pour les sociétés auxquelles ce régime s’applique, le conseil doit veiller à la cohérence entre le rapport public, les procédures internes et les décisions effectivement prises. Une information publique qui affirme que les risques sont contrôlés alors que le dossier interne ne contient ni test ni suivi peut aggraver la difficulté.
Dans une société à directoire et conseil de surveillance, la répartition est différente. L’article L. 225-68 du code de commerce prévoit que « Le conseil de surveillance exerce le contrôle permanent de la gestion de la société par le directoire. » Il peut opérer les vérifications qu’il juge opportuns et se faire communiquer les documents nécessaires. Le projet d’IA doit donc être adressé à l’organe compétent selon les statuts et la nature de l’autorisation recherchée. Une confusion entre le directoire, le conseil de surveillance et l’assemblée peut fragiliser la décision.
La Cour de cassation fournit un précédent utile même s’il ne porte pas sur l’intelligence artificielle. Dans l’arrêt du 5 avril 2018, pourvoi n° 16-23.365, la chambre commerciale a examiné le choix d’un prestataire informatique, le coût d’un logiciel qui avait été multiplié par sept et l’absence de livraison. La décision relève qu’un projet mal défini, confié malgré des alertes et maintenu malgré les manquements du cocontractant, pouvait caractériser une faute. La Cour écrit que la cour d’appel « a pu décider que M. X… avait commis une faute de gestion ».
La portée de cet arrêt doit être correctement comprise. Il ne pose pas une obligation de résultat technologique et ne rend pas le dirigeant responsable de toute panne. Il montre que le risque se déplace vers la méthode de décision lorsque des signaux objectifs sont ignorés : projet sans besoin défini, fournisseur insuffisamment évalué, dépassement majeur du coût, absence de livraison et maintien du contrat malgré les alertes. Les mêmes signaux peuvent exister dans un projet d’IA : résultats incohérents, données d’entraînement non documentées, incidents répétés, sous-traitants inconnus ou promesses commerciales impossibles à vérifier.
La direction doit conserver les éléments qui permettent de comprendre pourquoi une décision a été maintenue. Un tableau de suivi doit faire apparaître l’incident, sa date, son impact, la personne qui l’a reçu, l’analyse réalisée, la décision prise et la date de clôture. La société peut prévoir un comité de suivi associant direction juridique, sécurité informatique, métiers, ressources humaines et protection des données. Le conseil ne reçoit pas chaque alerte technique, mais il doit recevoir celles qui dépassent les seuils prévus par la politique adoptée.
Les administrateurs peuvent aussi demander un audit avant une extension du périmètre. L’audit doit être adapté au risque : test de robustesse, vérification des droits sur les données, revue des accès, contrôle des journaux, examen du contrat, vérification de la capacité de reprise et simulation d’un résultat erroné. Une certification commerciale du fournisseur ne remplace pas un examen de la configuration propre à la société. Le conseil doit savoir si l’outil a été paramétré avec les mêmes données et les mêmes contraintes que celles de l’entreprise.
La formation doit être documentée. Les utilisateurs doivent savoir ce qu’ils peuvent saisir, ce qu’ils doivent vérifier, ce qu’ils ne peuvent pas déléguer et comment signaler une sortie anormale. Les administrateurs doivent recevoir une information suffisante pour interroger la direction sans se contenter d’un vocabulaire technique. Une résolution peut demander un rapport annuel sur la compétence des équipes, la sous-traitance, les incidents et l’évolution des usages. Cette exigence est cohérente avec le rôle de contrôle du conseil sans transformer la formation en formalité abstraite.
II. Quelle responsabilité pour le dirigeant et quels recours pour les associés ?
A. Quand l’usage de l’IA devient-il une faute de gestion ou un manquement engageant la société ?
La responsabilité ne naît pas du seul fait qu’un système d’IA a produit une erreur. L’analyse porte sur le comportement de la société ou du dirigeant avant, pendant et après le déploiement. Le juge peut examiner la nature de la décision, les informations disponibles à la date du choix, les alertes reçues, les compétences mobilisées, les mesures de contrôle, la gravité du dommage et la réaction de la direction. L’incertitude technologique est prise en compte, mais elle ne justifie pas une absence totale de méthode.
Pour une société anonyme, l’article L. 225-251 du code de commerce dispose que « Les administrateurs et le directeur général sont responsables individuellement ou solidairement selon le cas, envers la société ou envers les tiers, soit des infractions aux dispositions législatives ou réglementaires applicables aux sociétés anonymes, soit des violations des statuts, soit des fautes commises dans leur gestion. » Le texte ajoute que, si plusieurs personnes ont coopéré aux mêmes faits, le tribunal détermine la part contributive de chacun.
Un premier niveau concerne la responsabilité envers la société. Elle peut être recherchée lorsque la décision d’acheter, de déployer ou de maintenir un système a causé un dommage au patrimoine social. Le coût d’un contrat inutile, la perte d’un client, une amende, une indemnisation, une interruption d’activité ou les dépenses rendues nécessaires par une fuite de données peuvent constituer un préjudice, à condition d’établir la faute et le lien de causalité. La société ne doit pas confondre le coût normal d’une expérimentation avec une perte résultant d’un manquement évitable.
Un deuxième niveau concerne les tiers. Un client peut reprocher à la société une information fausse, une décision discriminatoire, une atteinte à ses données ou un manquement contractuel. Un salarié ou un candidat peut contester l’usage d’un outil qui influence son évaluation ou son recrutement. Un actionnaire peut invoquer une information financière inexacte ou une décision qui a porté atteinte à ses droits propres. La société répond d’abord des actes accomplis dans son intérêt ou sous sa représentation, sans que la responsabilité personnelle de l’administrateur soit automatique.
Dans une SAS, l’article L. 227-6 du code de commerce prévoit que « La société est représentée à l’égard des tiers par un président désigné dans les conditions prévues par les statuts. » Les statuts peuvent prévoir les conditions dans lesquelles un directeur général ou un directeur général délégué exerce certains pouvoirs. La question de la responsabilité dépend donc de l’organisation statutaire, des délégations et du rôle réellement joué. Le président qui laisse un outil sensible fonctionner sans contrôle peut être exposé, mais un dirigeant qui a alerté le conseil et demandé une suspension ne se trouve pas dans la même situation.
Dans une SARL, l’article L. 223-22 du code de commerce prévoit la responsabilité des gérants pour les infractions, les violations des statuts et les fautes commises dans leur gestion. Il reconnaît aussi aux associés la possibilité « d’intenter l’action sociale en responsabilité contre les gérants », en plus de l’action qui répare leur préjudice personnel. La forme sociale modifie donc l’organe concerné, mais la question de fond reste la même : qui a décidé, qui savait, qui pouvait agir et quelle mesure a été prise après l’alerte ?
L’article 1240 du code civil rappelle que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Ce texte peut compléter l’analyse lorsqu’un tiers recherche la réparation d’un dommage qui lui est propre. Il faut alors identifier un fait fautif, un dommage certain et un lien de causalité. Une simple critique d’un modèle ou une déception commerciale ne suffit pas sans preuve d’une obligation violée ou d’un comportement fautif.
Plusieurs situations peuvent signaler une faute de gestion. La société peut avoir déployé un outil sans connaître son fournisseur réel, accepté une réutilisation des données incompatible avec le projet, laissé une décision financière se prendre sans validation humaine, supprimé les contrôles existants pour réduire les coûts, ignoré une alerte de sécurité, dissimulé un incident au conseil ou continué à utiliser un système dont les résultats étaient manifestement incohérents. La qualification dépendra des circonstances, mais ces faits doivent déclencher une analyse et une trace interne.
La faute peut aussi résulter d’une information publique excessive. Une société ne doit pas présenter un système comme fiable, autonome ou conforme si les tests ne permettent pas de le soutenir. Une communication financière qui attribue une amélioration à l’IA sans pouvoir la documenter peut être critiquée par les investisseurs. Dans les sociétés cotées, la mise à jour du document AMF DOC-2012-02 du 4 août 2026 rappelle l’importance d’une doctrine de gouvernance adaptée à l’évolution des pratiques. Les recommandations de l’AMF ne remplacent pas la loi, mais elles peuvent éclairer le niveau de transparence attendu d’un émetteur.
Le régime des entreprises en difficulté impose une prudence particulière. Si une société entre en liquidation et qu’une insuffisance d’actif apparaît, l’article L. 651-2 du code de commerce permet de mettre tout ou partie de cette insuffisance à la charge des dirigeants en cas de faute de gestion ayant contribué au déficit. Le même texte prévoit toutefois que « Toutefois, en cas de simple négligence du dirigeant de droit ou de fait dans la gestion de la personne morale, sa responsabilité au titre de l’insuffisance d’actif ne peut être engagée. » Il faut donc distinguer la mauvaise décision isolée, la simple négligence et le comportement fautif qui a contribué à la dégradation.
La chambre commerciale l’a précisé dans l’arrêt du 2 octobre 2024, pourvoi n° 23-15.995. La Cour rappelle que la loi « écarte, en cas de simple négligence dans la gestion de la société, la responsabilité du dirigeant au titre de l’insuffisance d’actif ». Elle censure une décision qui s’était fondée sur des éléments comptables insuffisants, jugés « impropres à caractériser, à la charge de M. [B], des fautes qui ne soient pas une simple négligence dans la gestion de la société ». Cette décision protège contre une responsabilité automatique, mais elle ne protège pas un dirigeant qui a ignoré des alertes précises ou organisé une fuite en avant.
Le rapprochement entre les deux arrêts est utile. En 2018, le maintien d’un projet informatique très dégradé malgré des alertes et un dépassement majeur a pu caractériser une faute de gestion. En 2024, des insuffisances comptables non expliquées ne suffisaient pas à écarter la protection de la simple négligence. Pour un projet d’IA, la preuve doit donc porter sur les faits précis : rapports d’incident, avertissements, tests, décisions du conseil, réponses du fournisseur, demandes de correction et conséquences du maintien. Une formule générale sur le manque de prudence ne remplace pas cette démonstration.
La société doit également examiner les intérêts en présence lorsque le fournisseur appartient à un groupe, à un dirigeant ou à un actionnaire. Une convention non déclarée peut créer un risque distinct de la mauvaise performance de l’outil. Le conseil doit comparer les prix, les garanties, la propriété des données, la durée d’engagement, la réversibilité et les limites de responsabilité. Le prix le plus bas n’est pas nécessairement le meilleur choix si le contrat permet une réutilisation illimitée des données ou exclut toute assistance après incident.
La décision doit être réévaluée à chaque changement significatif : nouveau modèle, extension à une nouvelle catégorie de personnes, accès à une nouvelle base de données, transfert hors de l’Union européenne, modification du fournisseur, incident de sécurité, réclamation répétée ou changement de réglementation. Une autorisation donnée pour un pilote sur données anonymisées ne couvre pas automatiquement un déploiement sur dossiers salariés ou fichiers clients. Le périmètre de la décision doit rester aligné sur le périmètre réel de l’usage.
Après un incident, la direction doit éviter deux réactions opposées : supprimer les traces ou accuser immédiatement l’algorithme. Elle doit préserver les journaux, suspendre le cas d’usage si le dommage continue, informer les personnes compétentes, qualifier l’incident, rechercher les contrats applicables et préparer une note au conseil. Si une notification à une autorité, à un client ou à un assureur est nécessaire, son contenu doit être vérifié à partir des faits établis. Une déclaration imprécise peut créer une contradiction ultérieure.
La responsabilité peut être atténuée par une organisation réelle : séparation des accès, contrôle humain, revue juridique, audit indépendant, formation, procédure d’escalade, assurance adaptée et décision documentée. Aucun de ces éléments ne crée une immunité. Ils montrent toutefois que la société a pris le risque au sérieux et qu’elle a réagi dans un délai cohérent. La qualité de la gouvernance se mesure aussi après l’incident, lorsque la direction doit choisir entre continuer, corriger, suspendre ou abandonner l’outil.
B. Que peuvent faire les associés ou les actionnaires après un incident d’IA ?
Un associé qui soupçonne une mauvaise gouvernance doit d’abord qualifier l’atteinte. Demande-t-il réparation d’une perte personnelle ? Défend-il l’intérêt de la société ? Cherche-t-il à obtenir les documents avant de choisir une action ? Conteste-t-il une décision collective ? Ces objectifs ne reposent pas sur les mêmes textes et ne désignent pas toujours le même défendeur. Une action présentée comme une demande individuelle peut être irrecevable si elle réclame en réalité la réparation du préjudice subi par la société.
L’article 31 du code de procédure civile dispose que « L’action est ouverte à tous ceux qui ont un intérêt légitime au succès ou au rejet d’une prétention », sous réserve des cas où la loi attribue le droit d’agir à des personnes qualifiées. Dans une SARL, l’article L. 223-22 organise l’action sociale des associés contre le gérant. Dans une société anonyme, l’action sociale contre les administrateurs obéit à des règles propres, et l’actionnaire doit vérifier les conditions de représentation, de mise en cause et de prescription.
La première demande utile peut porter sur la communication des pièces. L’associé peut demander les statuts, les procès-verbaux d’assemblée, les rapports disponibles, les conventions, les informations remises au conseil et les éléments relatifs à une décision qui affecte directement ses droits. La demande doit rester ciblée. Elle doit identifier l’outil, la période, la décision, les catégories de données, l’incident et le lien avec le préjudice allégué. Une demande générale visant tout le système informatique de la société sera plus difficile à justifier qu’une demande portant sur le dossier de décision et les journaux d’un cas précis.
Lorsque la preuve risque de disparaître, l’article 145 du code de procédure civile permet de demander une mesure d’instruction avant tout procès. Le texte prévoit que « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé. » La demande doit expliquer le litige futur possible, les faits à établir, les documents visés et le motif légitime. Elle ne doit pas devenir une recherche indéterminée dans les données de l’entreprise.
La mesure peut viser un prestataire, un hébergeur ou une société du groupe si les pièces nécessaires se trouvent chez lui, sous réserve des règles de compétence et de secret. L’associé doit identifier les documents avec suffisamment de précision : contrat de licence, cahier des charges, rapport de test, version du modèle, registre des incidents, procès-verbal, échange d’alerte ou décision de suspension. La demande peut prévoir des garanties de confidentialité et un accès limité aux seuls éléments utiles. Une expertise technique et une analyse juridique doivent être articulées, car la performance du modèle ne répond pas à la question de la qualité pour agir.
Une urgence peut justifier un référé. L’article 835 du code de procédure civile permet au président du tribunal judiciaire de prescrire, même en présence d’une contestation sérieuse, les mesures conservatoires ou de remise en état nécessaires pour prévenir un dommage imminent ou faire cesser un trouble manifestement illicite. Ce texte peut être discuté lorsque la société continue une décision automatisée qui expose des personnes, détruit des preuves, diffuse une information manifestement fausse ou refuse une mesure immédiate indispensable.
Le référé ne tranche pas toujours la responsabilité au fond. Il peut suspendre un usage, ordonner la conservation d’un support, imposer une mesure technique ou accorder une provision lorsque l’obligation n’est pas sérieusement contestable. Le demandeur doit démontrer l’urgence et proportionner sa demande. Une interdiction générale de tout outil d’IA sera plus difficile à justifier qu’une suspension d’un module précis, le temps d’un audit ou d’une expertise.
Les actionnaires d’une société anonyme doivent aussi surveiller la tenue de l’assemblée et le contenu des rapports. L’article L. 225-100 du code de commerce prévoit que l’assemblée générale ordinaire est réunie au moins une fois par an et permet à tout actionnaire de saisir le président du tribunal compétent statuant en référé si elle n’a pas été réunie dans le délai légal, afin d’enjoindre aux dirigeants de la convoquer ou de désigner un mandataire. Le défaut de réunion n’est pas la seule réponse à un incident d’IA, mais une décision importante ne doit pas être soustraite durablement à l’information des associés.
Le rapport sur le gouvernement d’entreprise peut être examiné pour vérifier la cohérence entre l’organisation annoncée et les pratiques réelles. Une société cotée qui décrit une supervision des risques émergents doit pouvoir identifier les organes compétents, les compétences présentes, les comités consultés et les contrôles effectués. Un actionnaire peut demander des explications en assemblée et conserver ses questions, les réponses et les documents diffusés. Ces éléments peuvent devenir utiles dans une action ultérieure, sans transformer une question d’assemblée en preuve automatique d’une faute.
À Paris et en Île-de-France, le choix du juge dépend de la nature de la demande, de la forme sociale, du siège de la société, du contrat et du défendeur. Le tribunal de commerce de Paris peut être concerné par un litige commercial, tandis qu’une demande de référé devant le tribunal judiciaire ou une demande visant un droit non commercial peut relever d’une autre juridiction. L’article 145 offre, lorsque ses conditions sont remplies, le choix entre la juridiction susceptible de connaître du fond et celle du lieu où la mesure doit être exécutée. Le siège parisien d’un groupe ne suffit pas à lui seul : le dossier doit rattacher la mesure et le litige à la compétence pertinente.
Le dossier préparé pour une audience en Île-de-France doit contenir la preuve de la qualité d’associé ou d’actionnaire, les statuts et pactes applicables, la chronologie de l’usage d’IA, les demandes adressées à la société, les réponses reçues, les documents conservés et l’urgence démontrée. Une société doit, de son côté, pouvoir produire la résolution, la note adressée aux administrateurs, le contrat, les audits, le registre des incidents et la décision prise après l’alerte. Le commissaire de justice peut être sollicité pour dater une page ou un contenu accessible, mais le constat ne remplace pas l’analyse du préjudice.
Une démarche utile suit un ordre simple :
- identifier l’outil, la société qui l’utilise, le fournisseur et la décision affectée ;
- qualifier le préjudice comme social, personnel ou mixte ;
- adresser une demande écrite et ciblée de conservation et de communication ;
- préserver les preuves numériques sans modifier les fichiers originaux ;
- vérifier la convention de fournisseur, les délégations et les éventuels conflits d’intérêts ;
- choisir entre négociation, demande d’expertise, référé, action sociale ou action personnelle ;
- fixer un calendrier de prescription et de notification avec les pièces nécessaires ;
- informer l’assemblée ou le conseil lorsqu’une décision collective est requise.
L’associé ne doit pas se contenter d’un rapport technique illisible. Il doit demander une explication sur la décision concrète : quelle donnée a été utilisée, quel résultat a été produit, qui l’a validé, quelle conséquence a suivi et quelle correction a été proposée. Le dirigeant ne doit pas non plus répondre que l’outil est fourni par un tiers. Le fournisseur peut avoir une responsabilité contractuelle ou réglementaire, mais la société reste responsable de l’usage qu’elle a organisé auprès de ses clients, salariés et partenaires.
Une action en responsabilité doit enfin chiffrer le dommage. Pour la société, il peut s’agir d’un surcoût, d’une perte de marge, de frais de remédiation, d’une indemnisation ou d’une atteinte démontrée à un actif. Pour un associé, il faut établir le préjudice personnel distinct de la baisse de valeur des titres qui ne fait que refléter le dommage social. Le lien entre l’usage d’IA et la perte doit être démontré par les données disponibles, les décisions prises, les résultats comparables et la chronologie des événements.
La prudence vaut aussi pour la communication publique du litige. Un associé qui publie une accusation non vérifiée peut exposer sa propre responsabilité. Une société qui menace un demandeur sans préserver les pièces peut aggraver la situation. Les échanges doivent distinguer les faits établis, les hypothèses à vérifier et les mesures prises. Cette discipline est particulièrement importante dans un contexte parisien où une actualité sectorielle ou une contestation d’actionnaire peut rapidement être reprise par des partenaires, investisseurs ou salariés.
La gouvernance d’une intelligence artificielle est donc un objet de droit des sociétés avant d’être une simple question de logiciel. Le conseil détermine le niveau de risque acceptable, la direction met en œuvre le dispositif, les organes de contrôle vérifient les informations, les associés disposent de voies d’accès aux documents et le juge peut ordonner une mesure probatoire ou conservatoire. La responsabilité se construit sur les décisions, les alertes et les preuves plutôt que sur le caractère spectaculaire ou non de la technologie.
Besoin d’un avis rapide sur votre dossier
Consultation téléphonique en 48 heures avec un avocat du cabinet pour analyser un projet d’IA, une décision du conseil ou un incident impliquant la société.
Un premier échange permet d’identifier les organes compétents, les pièces à préserver, les risques de responsabilité et la procédure utile.
Appelez le cabinet au 06 46 60 58 22 ou utilisez le formulaire de contact. Le cabinet intervient à Paris et en Île-de-France.
Conclusion
Le déploiement d’une intelligence artificielle ne peut pas être traité comme une dépense informatique ordinaire lorsque l’outil influence la stratégie, les salariés, les clients, les données ou l’information financière. Dans une société anonyme, l’article L. 225-35 du code de commerce donne au conseil d’administration une mission d’orientation, de contrôle et de vérification. Dans une SAS ou une SARL, les statuts, le rôle du président ou du gérant et les règles propres aux associés déterminent l’organe qui doit agir. Dans toutes les formes sociales, l’intérêt social, la sécurité, la loyauté et la traçabilité doivent guider la décision.
Le dossier à conserver doit raconter la décision : besoin identifié, alternatives, fournisseur, données, tests, validation humaine, contrat, conflits d’intérêts, formation, incidents et corrections. Les arrêts du 5 avril 2018 et du 2 octobre 2024 montrent à la fois le risque d’une gestion informatique maintenue malgré des alertes et la protection attachée à la simple négligence lorsqu’aucune faute caractérisée n’est établie. Après un incident, les associés peuvent demander des explications, préserver les preuves, solliciter une expertise ou saisir le juge en référé selon leur intérêt et la nature du préjudice. La technologie évoluera encore ; une gouvernance documentée permet à la société d’évoluer avec elle sans abandonner la responsabilité de ses décisions.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.