Avocat intelligence artificielle à Paris : le contrat de l'outil d'IA et le règlement IA de la PME.

Oui, dès qu'elle l'emploie dans son activité professionnelle. Le règlement (UE) 2024/1689 appelle déployeur la personne qui utilise un système d'IA sous sa propre autorité, seul l'usage personnel non professionnel étant exclu (article 3, point 4). Une PME qui ouvre un assistant de rédaction à ses équipes, place un agent conversationnel sur son site ou confie à un logiciel le classement de demandes entre dans cette catégorie, même si elle n'a conçu aucun modèle. Ses obligations varient ensuite selon l'usage. Toute entreprise doit écarter les pratiques interdites par l'article 5, applicables depuis le 2 février 2025 à l'exception des interdictions ajoutées par le règlement de 2026, applicables le 2 décembre 2026, et prendre des mesures pour développer la maîtrise de l'IA chez les personnes qui se servent de l'outil (article 4, dans sa rédaction issue du règlement (UE) 2026/1744). Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026 : le déployeur signale par exemple les hypertrucages produits avec le système ; seul le marquage incombant aux fournisseurs de systèmes génératifs mis sur le marché avant cette date bénéficie d'un délai jusqu'au 2 décembre 2026. Les obligations de l'article 26, qui portent sur le respect de la notice, le contrôle humain, la surveillance et la conservation des journaux, ne visent que les systèmes à haut risque et s'appliqueront à ceux de l'annexe III à partir du 2 décembre 2027, sous réserve du régime transitoire de l'article 111, paragraphe 2, pour les systèmes déjà mis sur le marché ou en service, qui ne sont en principe concernés qu'en cas de modification importante de leur conception. Pour une PME, chaque amende administrative est plafonnée au plus faible des deux montants prévus, pourcentage du chiffre d'affaires ou somme fixe (article 99, paragraphe 6). Le cabinet dresse la liste des usages et rattache chacun à la règle qui le gouverne.

Six clauses demandent une lecture attentive. La description du service d'abord, avec les fonctions promises, les langues, les volumes et les intégrations, car c'est à elle que l'on mesurera ensuite l'inexécution. Le niveau de service ensuite : disponibilité, délai de rétablissement, pénalités. La clause de responsabilité, qui fixe souvent un plafond égal à quelques mois de redevances et exclut les préjudices indirects. Le sort des données : le fournisseur peut-il réutiliser les contenus de l'entreprise pour améliorer ses modèles, où sont-ils hébergés, quels sous-traitants interviennent. La propriété et l'usage des sorties générées, que règlent les conditions d'utilisation de l'outil. La sortie enfin : durée, préavis, restitution et suppression des données.

Les conditions générales acceptées par un clic ou visées dans le bon de commande lient l'entreprise si elle en a eu connaissance et les a acceptées ; en cas de discordance, les conditions particulières l'emportent (article 1119 du code civil). La négociation passe donc utilement par des conditions particulières ou un avenant. Si la PME envisage de devenir elle-même fournisseur d'un système à haut risque qui intègre l'outil d'un tiers, l'article 25, paragraphe 4, du règlement IA prévoit un accord écrit avec ce tiers sur les informations, l'accès technique et l'assistance nécessaires à sa conformité. Cette règle relève des obligations du chapitre III, applicables aux systèmes de l'annexe III à partir du 2 décembre 2027 (article 113) : mieux vaut l'anticiper dès la négociation. Le cabinet rapproche chaque clause de l'usage réel prévu, puis propose les modifications utiles.

Souvent, oui, lorsque la clause n'atteint pas le cœur du contrat. Le débiteur ne répond que des dommages prévus ou prévisibles lors de la conclusion, sauf faute lourde ou dolosive (article 1231-3 du code civil), et une clause qui prive de sa substance l'obligation essentielle est réputée non écrite (article 1170). Deux arrêts montrent la ligne de partage. Dans un litige d'hébergement où les sauvegardes s'étaient révélées inexploitables, la cour d'appel de Versailles a retenu le manquement de l'hébergeur mais appliqué le plafond de trois mois de facturation, en jugeant que la limitation acceptée « ne vient pas contredire son obligation essentielle » (CA Versailles, 12e ch., 19 mai 2022, n° 20/05106) ; le client n'a obtenu que 8 497,20 euros de dommages-intérêts, avec l'annulation d'une facture. La décision lui est défavorable sur la demande d'écarter le plafond. À l'inverse, la cour d'appel de Paris a réputé non écrite la clause qui ramenait l'engagement d'un télésurveilleur à une obligation de moyens, en rappelant que « Lorsque l'obligation non exécutée ou imparfaitement exécutée est l'obligation essentielle du contrat, elle revêt la nature d'une obligation de résultat » (CA Paris, pôle 5 ch. 11, 17 avril 2026, n° 23/05693) ; elle a alloué 92 921,96 euros. Pour un outil d'IA, tout dépend de la manière dont le contrat décrit la prestation essentielle : disponibilité, sécurité des données, fonctions annoncées. Le cabinet vérifie cette rédaction avant la signature et, en cas de litige, discute l'opposabilité et la portée du plafond.

Rarement, et ce point échappe à beaucoup d'entreprises. L'article 1171 du code civil répute non écrite, dans un contrat d'adhésion, la clause non négociable qui crée un déséquilibre significatif. La chambre commerciale réserve pourtant ce texte aux contrats qui échappent au droit des pratiques restrictives de concurrence : « L'article 1171 du code civil, interprété à la lumière de ces travaux, ne s'applique donc pas aux contrats conclus par une personne exerçant des activités de production, de distribution ou de services, excepté si l'application de l'article L. 442-6, I, 2°, du code de commerce à ces contrats est exclue par une autre disposition » (Cass. com., 23 septembre 2026, n° 24-20.775). Elle avait déjà statué en ce sens le 13 mai 2026 pour un prestataire de transport (Cass. com., 13 mai 2026, n° 24-17.137). Un éditeur de logiciel ou un fournisseur de service d'IA exerce une activité de services. La PME agit alors sur le fondement de l'article L. 442-1, I, 2°, du code de commerce, qui engage la responsabilité de celui qui soumet ou tente de soumettre l'autre partie à des obligations créant un déséquilibre significatif et l'oblige à réparer le préjudice. Pour la location financière conclue avec un établissement de crédit ou une société de financement, dont les opérations de banque échappent au droit des pratiques restrictives, la Cour de cassation applique l'article 1171, mais elle a validé une clause résolutoire non réciproque au motif que « le défaut de réciprocité de la clause résolutoire de plein droit pour inexécution du contrat prévue à l'article 12, a) des conditions générales se justifie par la nature des obligations auxquelles sont respectivement tenues les parties » (Cass. com., 26 janvier 2022, n° 20-16.782). Le cabinet identifie d'abord la qualité du cocontractant, puis le fondement réellement disponible.

Oui, lorsque le client n'est pas lui-même spécialiste. L'article 1112-1 du code civil impose de communiquer l'information déterminante que l'autre partie ignore légitimement, et les parties ne peuvent ni limiter ni exclure ce devoir. Les juges en tirent une obligation de conseil propre aux contrats informatiques. La cour d'appel de Lyon rappelle que « le prestataire informatique est tenu d'une obligation de renseignement et de conseil envers un client dépourvu de toute compétence en la matière » (CA Lyon, 3e ch. A, 28 mai 2025, n° 21/08394) ; elle a confirmé l'annulation d'un contrat de progiciel signé sans que le prestataire se soit informé des besoins, tout en rejetant les dommages-intérêts demandés pour le préjudice économique. Le tribunal des activités économiques de Nanterre a jugé qu'un éditeur « devait s'assurer de la bonne adéquation du logiciel aux besoins exprimés, même s'ils n'étaient que verbaux » (TAE Nanterre, 3e ch., 27 novembre 2025, n° 2025F00432) et a prononcé la résolution avec restitution des factures. Cette obligation ne dispense pas le client d'exprimer ses besoins, et un écrit en facilite la preuve. Pour un outil d'IA, ces besoins tiennent à la langue, au secteur, au volume de données, à la confidentialité et à l'intégration avec les logiciels existants. Le cabinet aide à les formaliser avant la signature, puis s'appuie sur ces écrits si l'outil se révèle inadapté.

Le choix dépend de ce que l'entreprise peut prouver. Si son consentement a été vicié, par exemple par une erreur sur les qualités essentielles de la prestation (article 1132 du code civil), l'annulation peut être demandée ; le manquement au devoir d'information n'y conduit que si les conditions des vices du consentement sont réunies (article 1112-1, dernier alinéa). La cour d'appel de Paris a ainsi annulé la vente d'une solution de visioconférence incompatible avec les pare-feu des clients de l'acheteur, en relevant qu'« à défaut de cahier des charges, c'est à la société Abaques qu'il appartenait de s'informer » (CA Paris, pôle 5 ch. 10, 18 juin 2026, n° 23/07694) ; elle a constaté la caducité du contrat de location financière qui en dépendait. Si le fournisseur n'a pas livré ce qu'il devait, que l'outil ait été inadapté dès la signature ou qu'il ait mal fonctionné ensuite, la voie est celle de l'inexécution : suspension de sa propre prestation, réduction du prix, résolution et dommages-intérêts (article 1217), la résolution supposant une inexécution suffisamment grave (article 1224). Dans les deux cas, la preuve se construit pendant l'exécution : tickets, captures datées, comptes rendus, échanges écrits. Si la cause technique est discutée, une mesure d'instruction avant procès peut être demandée lorsqu'il existe un motif légitime de conserver ou d'établir la preuve des faits (article 145 du code de procédure civile). Le cabinet commence en général par une mise en demeure qui fixe les griefs et le délai de correction.

D'abord ce que prévoit le contrat, qu'il faut relire avant de résilier, dans les limites des règles impératives. Beaucoup de conditions générales prévoient un export possible pendant le contrat, puis une suppression définitive à la date d'effet de la résiliation. La cour d'appel de Paris a refusé une expertise demandée par une entreprise dont les sauvegardes avaient été supprimées : le contrat annonçait cette suppression, ne mettait aucun archivage à la charge du prestataire, et la cliente, informée, avait « disposé de plusieurs mois pour organiser via son nouveau prestataire la reprise de l'ensemble de ses données sauvegardées » (CA Paris, pôle 1 ch. 2, 9 avril 2026, n° 25/11299). La décision est défavorable au client, condamné en outre à verser 5 000 euros au titre des frais de procédure. Lorsque le service relève des services de traitement de données au sens du règlement (UE) 2023/2854 sur les données, applicable depuis le 12 septembre 2025, le contrat doit prévoir une période d'au moins trente jours pour la récupération des données, puis leur effacement intégral une fois le changement de fournisseur achevé (article 25, paragraphe 2, points g et h). Pour un outil d'IA, la question s'élargit : historiques de conversation, documents chargés, paramétrages et agents construits sur la plateforme disposent-ils d'un format d'export utilisable ? Le fournisseur conserve-t-il des copies, et les a-t-il employées pour ses modèles ? Lorsque des données personnelles sont en cause, le contrat de sous-traitance prévoit qu'au terme de la prestation, le sous-traitant les supprime ou les renvoie, au choix du responsable du traitement, et détruit les copies existantes (article 28, paragraphe 3, point g, du RGPD). Le cabinet fait négocier une clause de réversibilité précise et, en fin de contrat, organise l'export avant toute notification, puis le contrôle de la restitution ou de la suppression convenue au terme de la prestation.

Souvent, lorsqu'il traite pour le compte de l'entreprise les données personnelles qu'elle lui confie : courriels, fichiers clients, candidatures, enregistrements. Le responsable du traitement ne peut alors recourir qu'à un sous-traitant présentant des garanties suffisantes, et la relation est régie par un contrat qui fixe l'objet, la durée, la nature et la finalité du traitement, les catégories de données et de personnes, et qui oblige le sous-traitant à n'agir que sur instruction documentée, y compris pour les transferts hors de l'Union (article 28 du RGPD). Le sous-traitant ne recrute pas un autre sous-traitant sans autorisation écrite du responsable. La difficulté propre à l'IA tient à la réutilisation : le sous-traitant qui détermine lui-même les finalités et les moyens d'un traitement, en violation du règlement, est considéré comme responsable de ce traitement (article 28, paragraphe 10). Les paramètres qui autorisent le fournisseur à employer les contenus de l'entreprise pour améliorer ses modèles méritent donc un examen distinct. Lorsqu'un usage est susceptible d'engendrer un risque élevé pour les personnes, l'analyse d'impact de l'article 35 du RGPD s'impose ; le règlement (UE) 2026/1744 permet au déployeur tenu d'une analyse d'impact sur les droits fondamentaux d'y renvoyer aux sections pertinentes de cette analyse. Le cabinet vérifie l'accord de traitement proposé par le fournisseur, les options de réutilisation et la liste des sous-traitants ultérieurs.

Lorsque l'entreprise compte au moins cinquante salariés, l'introduction de nouvelles technologies figure parmi les sujets sur lesquels le comité social et économique est informé et consulté (article L. 2312-8 du code du travail). La cour d'appel de Paris a confirmé la suspension d'un assistant de rédaction interne et de ChatGPT jusqu'à la clôture de la consultation, en jugeant qu'« Il importe peu que des outils IA aient été utilisés antérieurement par les salariés eux-mêmes, dès lors qu'aucune consultation préalable n'était intervenue » (CA Paris, pôle 1 ch. 2, 21 mai 2026, n° 25/13232) ; l'employeur a aussi été condamné à une provision de 5 000 euros. Le tribunal judiciaire de Paris, statuant selon la procédure accélérée au fond, a donné raison à l'employeur sur une autre question, celle de l'expertise : il a annulé la délibération par laquelle un CSE désignait un expert sur le déploiement de Copilot, présenté comme une expérimentation de quatre mois ouverte aux volontaires, en retenant qu'« une augmentation de la productivité ne peut être considérée en soi comme étant génératrice de risques pour la santé et la sécurité des salariés » (TJ Paris, procédure accélérée au fond, 10 février 2026, n° 25/57412). Le tribunal a exigé que le CSE établisse un projet important au sens de l'article L. 2315-94, ce qu'il n'a pas fait. Les deux décisions se complètent sans se contredire. La PME a intérêt à décrire l'outil, ses usages, les postes concernés et le calendrier, puis à ouvrir la consultation avant la mise à disposition. Le cabinet prépare ce document d'information et le calendrier de la procédure.

La qualification change lorsque l'entreprise cesse de seulement utiliser l'outil. Le règlement (UE) 2024/1689 vise comme fournisseur celui qui développe ou fait développer un système d'IA, puis le place sur le marché, ou le met en service, sous son propre nom ou sa propre marque, à titre onéreux ou gratuit (article 3, point 3). Une PME qui fait concevoir par un prestataire un outil sur mesure à partir d'un modèle existant, puis l'exploite sous sa marque, peut donc devenir fournisseur. L'article 25 ajoute trois cas propres aux systèmes à haut risque : commercialiser sous son nom un système à haut risque déjà sur le marché, apporter une modification substantielle à un système à haut risque qui le demeure, ou changer la destination d'un système qui n'était pas à haut risque, même à usage général, de sorte qu'il le devienne. Ces règles figurent au chapitre III, section 3, qui s'appliquera aux systèmes de l'annexe III à partir du 2 décembre 2027 (article 113). Une entreprise qui branche un assistant généraliste sur la présélection de candidatures pour la proposer à ses clients peut entrer dans cette dernière hypothèse. Dans ces cas, le fournisseur initial cessera d'être considéré comme fournisseur de ce système. Dans la rédaction issue du règlement (UE) 2026/1744, il devra coopérer avec le nouveau fournisseur en mettant à disposition une documentation technique suffisante, en l'informant des limitations et modes de défaillance connus et en lui donnant un accès technique ciblé, sauf s'il avait clairement exclu cette transformation. Le contrat conclu avec lui a donc intérêt à prévoir ces éléments avant le projet. Le cabinet revoit la qualification à chaque changement d'usage.

Le règlement n'impose ni diplôme ni certification. Dans sa rédaction issue du règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, l'article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour développer la maîtrise de l'IA de leur personnel et des autres personnes qui font fonctionner ou utilisent les systèmes pour leur compte. Ces mesures tiennent compte des connaissances techniques, de l'expérience et de la formation de chacun, du contexte d'utilisation et des personnes à l'égard desquelles le système sera employé. Le texte précise qu'il n'oblige pas à atteindre un niveau déterminé de maîtrise pour chaque individu. La Commission et les États membres soutiennent ces efforts, en particulier ceux des PME, et la Commission publie des exemples pratiques sur une plateforme d'information. Concrètement, une PME documente des actions proportionnées : session de prise en main, consignes sur les données confidentielles et personnelles, règles de vérification des sorties avant tout usage externe, désignation d'un référent. Ces pièces servent aussi devant le CSE et dans un litige avec un client à qui une sortie erronée aurait été transmise. Elles montrent que l'entreprise a encadré l'usage plutôt que de le subir. Le cabinet rédige la charte d'usage et le plan de maîtrise de l'IA adaptés à la taille de l'entreprise et aux outils qu'elle emploie.

Oui, sur deux terrains. Le premier est celui du logiciel ou du modèle intégré : la Cour de cassation juge que « dans le cas d'une d'atteinte portée à ses droits d'auteur, le titulaire, ne bénéficiant pas des garanties prévues aux articles 7 et 13 de la directive 2004/48 s'il agit sur le fondement de la responsabilité contractuelle, est recevable à agir en contrefaçon » (Cass. 1re civ., 5 octobre 2022, n° 21-15.386). Lorsque le logiciel est protégé par le droit d'auteur et que le dépassement de la licence, qu'il s'agisse du nombre d'utilisateurs, de l'usage commercial ou de la redistribution, porte atteinte à ces droits, la PME s'expose donc à une action en contrefaçon et pas seulement à une réclamation contractuelle. L'arrêt concerne un programme d'ordinateur ; il ne se prononce pas sur la protection d'un modèle d'IA. Le second terrain concerne les contenus générés. Le juge des référés du tribunal judiciaire de Paris a ordonné à un hébergeur de communiquer les données d'identification de l'éditeur d'une chaîne vidéo qui diffusait une voix générée par IA présentée comme celle d'un comédien, en relevant qu'il statuait « en l'absence de loi spéciale ou de jurisprudence européenne ou française qualifiant ou excluant la qualification de reproduction l'utilisation de prestations d'artistes-interprètes pour générer une voix par une intelligence artificielle » (TJ Paris, réf., 2 juillet 2026, n° 26/53258) ; l'action en contrefaçon de droits voisins n'était pas manifestement vouée à l'échec. Cette mesure probatoire ne tranche pas le fond. Pour une entreprise qui produit des publicités, des voix ou des visuels avec un outil génératif, la prudence consiste à vérifier les conditions d'utilisation de l'outil, les autorisations des personnes reproduites et la mention exigée par l'article 50 du règlement IA pour les hypertrucages. Le cabinet contrôle ces points avant la diffusion.