Adoptée le 23 octobre 2024, publiée au Journal officiel de l’Union européenne le 18 novembre 2024 et entrée en vigueur le 8 décembre 2024, la nouvelle directive sur la responsabilité du fait des produits défectueux modernise en profondeur un régime inchangé dans ses grands équilibres depuis 1985. Les États membres disposent de deux ans pour la transposer et, surtout, le nouveau cadre s’appliquera aux produits mis en circulation après le 9 décembre 2026.

Harmonisation maximale oblige, les États membres ne pourront, sauf rares marges prévues, ni durcir ni assouplir le régime au-delà du texte. La directive encourage aussi la création de fonds d’indemnisation sectoriels lorsqu’aucun responsable solvable ne peut être actionné : un signal fort pour les sinistres de masse. Et sans attendre !!

Un principe inchangé, mais une ambition claire : adapter le droit aux technologies

Le socle demeure celui de la responsabilité sans faute du producteur : la victime doit établir l’existence d’un dommage, un défaut de sécurité du produit et un lien de causalité entre les deux. Ce triptyque, qui structurait déjà la directive de 1985, reste le point d’entrée de tout contentieux. La réforme ne bouleverse donc pas la philosophie du régime ; elle cherche plutôt à lever les obstacles probatoires et à élargir le champ des situations couvertes, en particulier lorsque le produit est technologique, connecté ou fondé sur l’intelligence artificielle.

Des « produits » plus nombreux : logiciels, mises à jour, IA et services numériques

La principale évolution tient à la définition même du produit. Là où le texte de 1985 visait les biens meubles corporels, la directive de 2024 intègre les biens incorporels et vise explicitement les logiciels, leurs mises à jour, l’IA et certains services numériques associés. Concrètement, un robot, un drone, un système domestique intelligent ou une application intégrant des fonctionnalités d’apprentissage automatique sont susceptibles d’entrer dans le champ de la responsabilité du fait des produits défectueux. L’électricité, déjà considérée comme un produit en jurisprudence, voit par ailleurs son inclusion confirmée.

Un bémol important a été prévu pour préserver l’innovation ouverte : les logiciels open source fournis sans finalité commerciale sont exclus. À l’inverse, dès lors qu’un logiciel ou une IA est proposé contre rémunération ou dans un cadre commercial, il s’agit bien d’un « produit » au sens de la directive.

Des dommages indemnisables élargis : santé psychologique et données

Le texte actualise aussi la notion de dommage réparable. D’une part, les atteintes à la santé psychologique médicalement reconnues entrent expressément dans le champ des dommages corporels. D’autre part, la destruction, la perte ou la corruption de données, lorsqu’elles ne sont pas utilisées exclusivement à des fins professionnelles, deviennent indemnisables. Ce dernier point est majeur : il reflète la place des données dans la vie quotidienne et ouvre la voie à des actions liées à des incidents numériques (pannes, cyberattaques, dysfonctionnements d’objets connectés) lorsqu’un défaut de sécurité du produit est invoqué.

Qui peut être responsable ? Une chaîne d’acteurs plus large

La directive élargit la liste des personnes susceptibles d’être mises en cause. Au-delà du fabricant, du producteur de composants, de l’importateur ou du fournisseur, de nouveaux acteurs sont expressément visés : mandataires établis dans l’UE agissant au nom d’un fabricant, prestataires de services d’exécution des commandes (entreposage, conditionnement, étiquetage, expédition) et distributeurs. S’ajoute enfin toute personne qui modifie substantiellement un produit en dehors du contrôle du fabricant. Cette extension s’inscrit dans une économie où la fabrication, la mise à disposition et l’évolution du produit reposent souvent sur plusieurs intervenants.

La directive 2024/2853 annonce une sinistralité plus digitale : données perdues, objets connectés, IA, mises à jour et cyberrisques s’invitent au cœur du contentieux produit

Le défaut de sécurité à l’épreuve de l’écosystème numérique

La définition générale du défaut demeure : le produit est défectueux lorsqu’il n’offre pas la sécurité à laquelle une personne peut légitimement s’attendre. Mais l’appréciation se modernise. La directive invite à tenir compte de facteurs propres aux technologies actuelles : capacité du produit à évoluer après sa mise en circulation, influence des mises à jour, interactions avec d’autres produits, ainsi que risques extrinsèques liés à l’écosystème numérique, notamment en matière de cybersécurité et d’interconnexion. Ces éléments sont appelés à jouer un rôle central dans l’évaluation d’un défaut sur un produit connecté ou piloté par logiciel.

La vraie rupture : la preuve devient un enjeu moins insurmontable

L’apport le plus concret de la réforme concerne les règles de preuve. D’abord, un mécanisme de divulgation permet au demandeur de solliciter du juge qu’il ordonne au producteur de communiquer des éléments de preuve pertinents et proportionnés. L’inspiration est assumée : il s’agit d’une forme de « disclosure » adaptée au contentieux européen, sous le contrôle du juge et avec des garanties renforcées de protection du secret des affaires et des informations confidentielles.

Ensuite, la directive introduit des présomptions visant la défectuosité et/ou le lien de causalité. Elles peuvent jouer notamment en cas de manquement du défendeur à l’obligation de divulgation, de non-conformité à des exigences de sécurité prévues par le droit de l’UE, ou encore lorsque le dommage résulte d’un dysfonctionnement manifeste lors d’un usage raisonnablement prévisible. Le juge peut également admettre une présomption lorsque la victime fait face à des difficultés excessives, liées à la complexité technique ou scientifique du produit. Ces présomptions restent simples : le défendeur pourra les renverser, mais le débat probatoire se trouve nettement rééquilibré.

Exonérations, prescription : continuités et ajustements

Les causes d’exonération historiques sont maintenues, en particulier l’exonération liée à l’état des connaissances scientifiques et techniques au moment de la mise en circulation (le « risque de développement »), désormais harmonisée au niveau européen sauf exceptions prévues par le texte. Le délai de prescription de trois ans est conservé, ainsi que le délai butoir de dix ans, avec une extension à vingt-cinq ans en cas de lésions corporelles latentes.

Anticiper dès maintenant : l’enjeu de la conformité et de la traçabilité

Pour les fabricants et acteurs de la chaîne d’approvisionnement, la directive appelle à renforcer la gouvernance du produit sur tout son cycle de vie : documentation technique, traçabilité des mises à jour, gestion des vulnérabilités, procédures de réponse aux incidents et conservation des éléments utiles à une éventuelle divulgation. Pour les assureurs, l’élargissement des produits, des dommages et des responsables potentiels annonce une sinistralité plus « digitale », et une attention accrue aux risques de cyber, de données et d’IA.

La directive fixe une échéance claire : les États membres ont jusqu’au 9 décembre 2026 pour transposer le texte. En 2026, l’enjeu devient donc moins celui du calendrier que celui du contenu des transpositions nationales, dont le suivi est central pour anticiper les impacts sectoriels.