Logiciel défectueux : ce dont vous répondez au 9 décembre 2026 - Blog Alpha Digital

Le 9 décembre 2026, une règle européenne change de périmètre : un logiciel devient un produit, au même titre qu’une perceuse ou une bouteille en verre. Si un logiciel que vous vendez, ou qui fait fonctionner ce que vous vendez, blesse quelqu’un ou détruit ses affaires, cette personne peut demander réparation sans avoir à prouver la moindre faute de votre part. Il lui suffit de prouver le dommage, le défaut, et le lien entre les deux. La règle vise ce qui est mis sur le marché après cette date, pas votre catalogue existant. Voici qui elle désigne, pour quels dommages, pendant combien d’années, et ce qu’elle change dans vos contrats.

Un logiciel est un produit, et ce n’est plus une question d’interprétation

Le texte est la directive européenne du 23 octobre 2024 sur la responsabilité du fait des produits défectueux. Elle remplace celle de 1985, qui datait d’un monde où un produit était forcément un objet qu’on pouvait faire tomber par terre.

Son article 4 définit désormais le produit comme « tout meuble, même s’il est incorporé dans un autre meuble ou dans un immeuble ou interconnecté avec celui-ci », et précise que « le terme comprend l’électricité, les fichiers de fabrication numériques, les matières premières et les logiciels ».

Peu importe la façon dont vous le livrez. Le texte vise le logiciel installé sur un appareil, celui auquel on accède par un réseau, celui qui tourne ailleurs et que vous facturez à l’abonnement. Le mode de fourniture ne change rien.

Trois précisions comptent autant que la règle elle-même :

Un service numérique dont dépend votre produit en fait partie. L’article 4 appelle service connexe « un service numérique qui est intégré à un produit ou interconnecté avec celui-ci de telle sorte que son absence empêcherait le produit d’exécuter une ou plusieurs de ses fonctions ». Ce service est traité comme un composant du produit.
Le contenu n’est pas un produit. Un fichier, un livre numérique, un fichier vidéo, le simple code source d’un logiciel : la responsabilité du fait des produits ne les vise pas. Un fichier de fabrication numérique, celui qui pilote une machine ou une imprimante tridimensionnelle, oui.
Le logiciel libre échappe au texte, mais pas celui qui l’intègre. L’article 2 écarte « les logiciels libres et ouverts qui sont développés ou fournis en dehors du cadre d’une activité commerciale ». Si vous reprenez un de ces composants dans ce que vous vendez, c’est vous qui en répondez, pas celui qui l’a écrit gratuitement.

Si votre activité repose sur un outil fait pour vous et vendu sous votre nom, la question n’est donc plus de savoir si le texte vous concerne, mais de savoir à partir de quand.

Ce qui se répare, et ce qui ne se répare pas

Première chose à comprendre, parce qu’elle inverse l’intuition : ce régime protège des personnes physiques, pas des entreprises. Il crée un risque du côté de ce que vous vendez, pas un droit du côté de ce que vous achetez.

Ce qui se répare	Ce qui ne se répare pas
La mort et les lésions corporelles, « y compris l’atteinte médicalement reconnue à la santé psychologique »	Le produit défectueux lui-même
Les dommages causés aux biens d’une personne physique, y compris les biens à usage mixte	« Des biens utilisés exclusivement à des fins professionnelles »
« La destruction ou la corruption de données qui ne sont pas utilisées à des fins professionnelles »	Les données utilisées à des fins professionnelles, même partiellement
Les pertes immatérielles, douleurs et souffrances comprises, dans la mesure où le droit national les indemnise	Les pertes purement économiques, les atteintes à la vie privée, les discriminations

Deux conséquences pratiques. Si un logiciel défectueux efface les fichiers de votre société, ce texte ne vous sert à rien : vos recours sont contractuels. En revanche, s’il efface les photos d’un de vos clients particuliers, il vous vise directement.

La directive ne fixe aucun montant minimal de dommage, et aucun plafond d’indemnisation. Son article 3 interdit par ailleurs aux États d’adopter « des dispositions plus strictes ou plus souples » : ce que vous lisez ici est ce qui s’appliquera en France, quelle que soit la rédaction française retenue.

Qui peut être mis en cause, et dans quel ordre

La liste des responsables s’allonge, et elle se lit comme une cascade : la victime remonte jusqu’à ce qu’elle trouve quelqu’un en Europe.

Qui	Quand sa responsabilité est engagée
Le fabricant du produit	Toujours, y compris pour un composant défectueux intégré sous son contrôle
Le fabricant d’un composant	Quand son composant a été intégré sous le contrôle du fabricant du produit et a causé le défaut
L’importateur, ou le mandataire du fabricant dans l’Union	Quand le fabricant est établi hors de l’Union
Le prestataire qui entrepose, emballe, étiquette ou expédie	En l’absence d’importateur ou de mandataire établi dans l’Union
Le distributeur	S’il ne désigne pas un responsable établi dans l’Union dans un délai d’un mois après la demande
La place de marché en ligne	Dans les mêmes conditions que le distributeur, quand elle laisse croire qu’elle vend elle-même

Le point qui surprend le plus les dirigeants est ailleurs, dans la définition du fabricant. Est fabricant celui qui met au point le produit, mais aussi celui qui le fait concevoir par un tiers et qui, « en apposant sur ce produit son nom, sa marque ou d’autres caractéristiques distinctives, se présente comme son fabricant ».

Vous n’avez pas écrit une ligne de code, votre prestataire a tout fait, mais c’est votre marque sur le produit : vous êtes fabricant. C’est exactement la même logique que celle du règlement européen sur la cyberrésilience et de son signalement en 24 heures, et ce n’est pas un hasard : les deux textes se répondent.

Dernier cas, celui de la reprise. Celui qui modifie substantiellement un produit hors du contrôle du fabricant d’origine, puis le remet sur le marché, « est considéré comme un fabricant de ce produit ». Une modification substantielle peut se faire par une simple mise à niveau logicielle.

L’absence de correctif de sécurité vous ferme la porte de sortie

Le texte prévoit sept causes d’exonération. La plus utilisée dans l’ancien régime consistait à prouver que le défaut n’existait pas au moment de la mise sur le marché, ou qu’il est apparu après. L’article 11 la conserve, puis la referme pour tout ce qui est numérique.

Cette exonération ne joue pas lorsque le défaut est dû, dès lors que ces éléments sont sous le contrôle du fabricant :

à un service connexe ;
à « des logiciels, y compris des mises à jour ou mises à niveau logicielles » ;
à « une absence de mises à jour ou de mises à niveau logicielles nécessaires au maintien de la sécurité » ;
à une modification substantielle du produit.

Le mot décisif est « contrôle ». La directive considère que le produit reste sous le contrôle du fabricant dès lors que celui-ci « a la capacité de fournir lui-même ou par l’intermédiaire d’un tiers des mises à jour ou des mises à niveau logicielles ». Autrement dit : tant que vous pouvez corriger, vous répondez de ne pas l’avoir fait.

Deux autres critères d’appréciation du défaut méritent d’être lus par quiconque vend un produit qui évolue après la vente. L’article 7 impose de tenir compte des « exigences de cybersécurité pertinentes pour la sécurité », et de « l’effet sur le produit de toute capacité à poursuivre son apprentissage ou à acquérir de nouvelles caractéristiques après sa mise sur le marché ou sa mise en service ». Cette dernière ligne vise les outils qui apprennent, et elle prolonge ce que le règlement européen sur l’intelligence artificielle a déjà mis sur la table.

Combien de temps vous restez exposé

Trois durées, qui ne se remplacent pas mais se superposent.

Durée	Ce qu’elle fait	À partir de quand elle court
3 ans	Délai de prescription de l’action	Le jour où la victime a connu ou aurait dû connaître le dommage, le défaut et l’identité du responsable, les trois réunis
10 ans	Extinction du droit à réparation	La mise sur le marché ou la mise en service du produit
25 ans	Extinction, en cas de lésions corporelles restées latentes	La mise sur le marché ou la mise en service du produit

Le détail qui coûte cher : pour un produit substantiellement modifié, les dix ans repartent à la date à laquelle il a été remis à disposition après modification. Une version majeure qui change la destination de votre produit ne prolonge pas votre exposition d’un jour, elle la fait redémarrer à zéro.

La preuve n’est plus de votre côté

L’ancien régime reposait sur un équilibre simple : c’est à la victime de prouver. Il reste vrai, mais il est désormais assorti de quatre mécanismes qui jouent contre le professionnel.

D’abord, la divulgation. Si le demandeur présente « des faits et des éléments de preuve suffisants pour étayer la plausibilité de sa demande », le juge peut vous ordonner de produire les éléments pertinents que vous détenez. Vos secrets d’affaires restent protégés, le juge devant prendre les mesures nécessaires pour en préserver la confidentialité, mais l’accès n’est plus refusé par principe.

Ensuite, trois présomptions de défaut. Le juge présume le défaut si vous ne divulguez pas les éléments demandés, si le demandeur démontre le non-respect d’exigences obligatoires de sécurité destinées à éviter précisément ce dommage, ou en cas de « dysfonctionnement manifeste » lors d’une utilisation raisonnablement prévisible.

Enfin, la présomption de complexité. Quand le demandeur fait face à « des difficultés excessives, notamment en raison de la complexité technique ou scientifique » pour prouver le défaut ou le lien de causalité, il lui suffit de démontrer que c’est probable. Le juge présume le reste.

Toutes ces présomptions se renversent : le texte le dit expressément. Mais elles se renversent avec des pièces, et les pièces se constituent avant le litige, pas pendant. Versions livrées, tests passés, alertes reçues, décisions prises et datées : ce qui n’est pas consigné n’existera pas devant un juge.

Vos contrats ne vous protégeront pas de la victime

Une clause limitative de responsabilité ne sert à rien ici. L’article 15 impose que la responsabilité « ne soit pas limitée ou exclue à l’égard de la personne lésée par une disposition contractuelle ou par le droit national ». Face à la victime, votre contrat ne pèse rien.

Entre professionnels, en revanche, tout se joue au contrat. Plusieurs responsables du même dommage le sont solidairement, et celui qui a indemnisé peut se retourner contre les autres. Sauf sur un point, discret et lourd de conséquences : le fabricant qui intègre un composant logiciel perd son recours contre celui qui l’a fourni lorsque ce fournisseur était une microentreprise ou une petite entreprise au moment de la mise sur le marché du composant, et qu’il a accepté par contrat de renoncer à ce recours.

Lisez cette clause dans les deux sens. Si vous êtes le petit éditeur, c’est une protection que vous pouvez négocier. Si vous intégrez le composant d’un petit éditeur et que vous signez cette renonciation, vous gardez tout le risque.

Ce que la France n’a pas encore écrit, et pourquoi ça ne vous dispense pas

Le régime actuel vit aux articles 1245 à 1245-17 du code civil, qui transposaient la directive de 1985. Ces articles devront être modifiés.

Interrogé par un député sur le calendrier, le ministère de la Justice a répondu au Journal officiel du 12 mai 2026 que les travaux de transposition ont été engagés dès la publication du texte en décembre 2024, qu’un groupe de travail interministériel a été constitué sous le pilotage de la direction des affaires civiles et du sceau, que des consultations sectorielles étaient prévues au premier trimestre 2026, et qu’« un texte dédié est envisagé à ce stade ».

Attendre ce texte français ne vous apprendra rien de plus sur le fond. La directive est d’harmonisation maximale : le législateur français n’a pas la main pour l’adoucir. Le seul point encore ouvert est le sort de l’exonération pour risque de développement, celle qui permet de se dégager quand l’état des connaissances scientifiques ne permettait pas de déceler le défaut. Un État peut la neutraliser. S’il conserve une mesure déjà en vigueur, il doit la notifier à la Commission au plus tard le 9 décembre 2026. S’il veut en créer une nouvelle, elle doit rester limitée à des catégories de produits précises, être justifiée par un objectif d’intérêt public, et passer par une notification préalable.

Les cinq décisions à prendre avant le 9 décembre

Faire la liste de ce qui porte votre nom. Tout ce que vous vendez qui contient du logiciel, ou qui a besoin d’un service pour fonctionner, vous désigne comme fabricant, même si un prestataire l’a construit.
Écrire combien de temps vous corrigez. Pour chaque produit : quelles versions vous maintenez, jusqu’à quand, et ce que vous faites d’une faille sur une version que vous ne maintenez plus. Un engagement écrit vaut mieux qu’un silence qui sera lu contre vous.
Reprendre les contrats de vos prestataires. Qui répond de quoi, qui alerte qui, sous quel délai, et qui fournit les éléments si un juge les demande. Vérifiez au passage si vous avez signé une renonciation au recours.
Consigner ce qui se passe. Ce qui est livré, quand, testé comment, et quelles alertes vous avez reçues. C’est ce qui vous permettra de renverser une présomption.
Faire le point avec votre assureur. Ce que ce texte rend indemnisable, la destruction de données personnelles notamment, n’est pas forcément ce que votre contrat de responsabilité civile couvre aujourd’hui.

Si vous ne savez pas par où commencer, un état des lieux de vos outils répond d’abord à la seule question qui compte ici : dans tout ce que vous vendez, qu’est-ce qui contient du logiciel et porte votre nom.

Ce que ça change pour votre décision

Rien avant le 9 décembre 2026, et tout après pour ce qui sera mis sur le marché à partir de cette date. Un dirigeant qui vend un produit contenant du logiciel a trois mois pour décider ce qu’il maintient, pendant combien de temps, et ce qu’il écrit dans ses contrats. Un dirigeant qui achète un outil pour son usage interne n’a rien à craindre de ce texte, mais tout à gagner à demander à son fournisseur ce qu’il compte corriger et jusqu’à quand : à partir du 9 décembre, la question a une valeur juridique.

Sources et références

Directive (UE) 2024/2853 du Parlement européen et du Conseil du 23 octobre 2024 relative à la responsabilité du fait des produits défectueux et abrogeant la directive 85/374/CEE du Conseil, Journal officiel de l’Union européenne du 18 novembre 2024. Articles 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 15, 16, 17, 18, 21 et 22, et considérants 13, 14, 15, 16, 17, 18, 19 et 20. Consultée le 27 août 2026.
Question écrite n° 11448 de M. Sacha Houlié et réponse du ministère de la Justice, Assemblée nationale, question publiée au Journal officiel du 9 décembre 2025 et réponse publiée au Journal officiel du 12 mai 2026, page 4170.

Questions fréquentes

Mon logiciel est vendu depuis des années. Suis-je concerné ?

Pas pour ce qui est déjà sur le marché. La directive s’applique aux produits mis sur le marché ou mis en service après le 9 décembre 2026, et la directive de 1985 continue de s’appliquer à ceux qui l’ont été avant. Attention toutefois à la modification substantielle : si vous livrez après cette date une version qui change la destination du produit ou son profil de risque, elle est traitée comme un produit nouveau, avec un délai de dix ans qui repart de zéro.

Un logiciel défectueux a détruit les fichiers de mon entreprise. Puis-je demander réparation à ce titre ?

Non. Ce régime n’indemnise que des personnes physiques, et il exclut expressément les biens utilisés exclusivement à des fins professionnelles ainsi que les données utilisées à des fins professionnelles, même de manière non exclusive. Vos recours contre votre fournisseur restent contractuels, et ils ne sont pas affectés par ce texte.

C’est mon prestataire qui a écrit le logiciel. N’est-ce pas à lui de répondre ?

Les deux peuvent être mis en cause. Vous êtes fabricant dès lors que le produit porte votre nom ou votre marque. Le fabricant d’un composant défectueux répond aussi du sien lorsqu’il a été intégré sous votre contrôle. Celui qui a indemnisé la victime peut ensuite se retourner contre l’autre, sauf s’il a signé une renonciation à ce recours au profit d’un fournisseur microentreprise ou petite entreprise.

Mes conditions générales limitent ma responsabilité. Est-ce que ça tient ?

Pas à l’égard de la victime. Le texte impose que la responsabilité ne soit ni limitée ni exclue par une clause du contrat. Ces clauses gardent en revanche leur utilité entre professionnels, pour répartir la charge finale entre vous et vos fournisseurs.

Combien de temps dois-je fournir des correctifs de sécurité ?

La directive ne fixe aucune durée. Elle dit seulement que l’absence de mises à jour nécessaires au maintien de la sécurité vous prive de l’exonération, dès lors qu’elles sont sous votre contrôle, et que vous en gardez le contrôle tant que vous avez la capacité de les fournir. La durée de vie attendue du produit fait partie des éléments retenus pour apprécier la sécurité qu’on pouvait légitimement en attendre. En pratique, un engagement écrit et tenu vaut mieux qu’une absence d’engagement.

Je fais développer un outil pour mon usage interne, je ne le vends pas. Suis-je visé ?

Le texte vise les produits mis sur le marché ou mis en service, la mise en service désignant la première utilisation dans l’Union dans un cadre commercial pour un produit qui n’a pas été mis sur le marché avant. Un outil interne peut donc entrer dans le champ. Reste que le régime n’indemnise que des personnes physiques et exclut les biens comme les données à usage professionnel : un outil qui ne sort pas de vos murs a peu d’occasions de causer un dommage réparable à ce titre. Si votre outil touche directement des personnes, salariés ou clients particuliers, la question mérite d’être posée à un avocat.