Qui est responsable quand l'IA conseille mal au support ?

À retenir

• OLG Hamm, arrêt du 12 mai 2026, affaire 4 UKl 3/25 : l'exploitant répond des affirmations fausses du chatbot, même lorsque les données fournies étaient correctes
• Air Canada a dû payer 812,02 dollars canadiens parce que son chatbot a promis un tarif deuil applicable rétroactivement, que la politique ne prévoyait pas. L'argument selon lequel le bot serait autonome a échoué.
• L'article 50, paragraphe 1, du règlement sur l'IA exige, depuis le 2 août 2026, que l'on reconnaisse que l'on parle à un système d'IA et non à un humain.
• Les manquements à l'article 50 du règlement sur l'IA peuvent être sanctionnés jusqu'à 15 millions d'euros ou 3 pour cent du chiffre d'affaires annuel mondial.
• Une validation n'est efficace que si la personne qui contrôle dispose de temps et de la source. Le biais d'automatisation rend la confirmation aveugle sans valeur.

Trois sortes d'erreurs. Trois conséquences différentes.

Toutes les erreurs de l'IA ne se valent pas. En pratique, on distingue trois sortes, et la sorte décide du coût de l'erreur et du contrôle qu'elle mérite. La première sorte : une caractéristique produit inventée. La Cour d'appel de Hamm (OLG Hamm) avait à juger le chatbot d'une clinique qui présentait les deux médecins de la société défenderesse comme spécialistes en chirurgie plastique et esthétique ainsi que comme spécialistes en médecine esthétique. Ces titres de spécialiste n'existent pas sous cette forme ou ne sont pas portés par les médecins. La juridiction a qualifié les réponses de pratiques commerciales illicites de l'entreprise au sens du § 5 Abs. 1, Abs. 2 Nr. 3 UWG (arrêt du 12 mai 2026, affaire 4 UKl 3/25)¹.

La deuxième sorte : une information erronée sur des délais ou des prix. Le Tribunal régional de Kiel (LG Kiel) avait à juger un service d'information économique dont l'analyse automatisée avait annoncé à tort que la demanderesse serait radiée pour absence d'actifs. L'information fausse portait atteinte au droit de la personnalité de l'entreprise et fondait une action en cessation contre l'exploitant (LG Kiel, jugement du 29 février 2024, affaire 6 O 151/23)². La troisième sorte : une promesse que personne ne peut couvrir. Le chatbot d'Air Canada a laissé entendre à un client qu'il pouvait demander le tarif deuil après coup, ce que la politique réelle ne prévoyait pas. Le Civil Resolution Tribunal de Colombie-Britannique a condamné la compagnie à payer 650,88 dollars canadiens de dommages et intérêts, plus 36,14 dollars d'intérêts et 125 dollars de frais, soit 812,02 dollars canadiens au total³.

Pourquoi la distinction compte : une simple information peut être fausse sans lier personne. Une promesse, en revanche, te lie aussitôt, parce qu'elle agit vers l'extérieur comme une déclaration de ton entreprise. C'est précisément pour cela que les trois sortes d'erreurs appellent des intensités de contrôle différentes. Une caractéristique inventée est avant tout un risque de concurrence et de tromperie. Une information erronée sur un délai ou un prix se répercute sur les relations contractuelles. Une promesse non couverte est le cas le plus coûteux, parce qu'elle doit être tenue immédiatement.

• Caractéristique inventée : risque de tromperie et de concurrence, comme dans l'affaire des titres de spécialiste non portés devant l'OLG Hamm¹.
• Information erronée sur des délais ou des prix : touche des relations contractuelles existantes et peut, comme dans l'affaire de Kiel, porter atteinte aux droits d'autrui².
• Promesse non couverte : lie l'entreprise immédiatement, comme la promesse tarifaire du chatbot d'Air Canada³.

Pour ton quotidien au support, cela veut dire : plus une réponse s'approche d'un prix, d'un délai ou d'un engagement ferme, plus le niveau de validation est élevé. Les quatre niveaux figurent plus bas.

Le principe : le bot travaille pour toi.

Aucune des trois juridictions n'a mis en cause l'IA elle-même. Ce n'est pas un hasard. Un système d'IA n'est pas une personne juridique et ne peut porter ni droits ni obligations. La responsabilité revient toujours à l'exploitant qui met le système en oeuvre sous sa propre responsabilité. C'est exactement ainsi que trois décisions issues de deux ordres juridiques, deux en Allemagne et une au Canada, l'ont vu indépendamment les unes des autres.

L'OLG Hamm a traité les réponses du chatbot comme des pratiques commerciales de la défenderesse elle-même. L'entreprise avait objecté que les réponses fautives ne lui étaient pas imputables comme pratique commerciale propre. La juridiction ne l'a pas suivie : même si la défenderesse avait fait programmer le bot exclusivement avec des jeux de données corrects, elle répondrait des indications fausses. Le chatbot n'est pas non plus un tiers au sens de la loi, si bien qu'il était exclu de se référer aux conditions d'une obligation de sécurité¹.

Le LG Kiel s'est appuyé sur la décision entrepreneuriale en amont : qui se sert volontairement de son propre logiciel pour produire des informations répond comme perturbateur direct du résultat entièrement automatisé. La juridiction a écrit textuellement que la défenderesse ne pouvait pas se retrancher derrière le fait de ne pas avoir participé à ce processus automatique, puisqu'elle s'était sciemment servie d'une intelligence artificielle².

Et le tribunal de Colombie-Britannique a écarté l'argument selon lequel le chatbot serait un sujet de droit distinct, responsable de ses propres actes. La décision indique qu'un chatbot comporte certes une composante interactive, mais qu'il reste seulement une partie du site d'Air Canada, et qu'il n'y a aucune différence selon que l'information vienne d'une page statique ou d'un chatbot³.

Qu'est-ce qui relève du texte de loi et qu'est-ce qui relève de l'interprétation ? Le texte de loi dit : § 280 Abs. 1 BGB : si le débiteur manque à une obligation née du rapport d'obligation, le créancier peut demander réparation du dommage qui en résulte. Cela ne vaut pas si le débiteur n'a pas à répondre du manquement⁴. Cette norme est le fondement contractuel habituel de l'action lorsqu'une information erronée du support cause un dommage à la clientèle. Qu'une information de l'IA soit imputée à l'exploitant comme sa propre déclaration relève en revanche de l'interprétation tirée des décisions citées, non du texte de loi littéral. Et une précision d'emblée : cet article n'est pas un conseil juridique, mais un repère pour le quotidien du support.

Information de l'utilisateur. Obligatoire depuis août 2026.

Depuis le 2 août 2026, une obligation de transparence s'applique dans l'UE, que beaucoup d'équipes de support découvrent tardivement. L'article 50, paragraphe 1, du règlement sur l'IA exige que les systèmes d'IA destinés à interagir directement avec des personnes physiques soient conçus de manière que ces personnes soient informées qu'elles interagissent avec un système d'IA. L'obligation ne s'applique pas lorsque cela est évident au vu des circonstances pour une personne normalement informée, attentive et avisée⁵. La date d'application découle de l'article 113 du règlement⁶.

La IHK de Schleswig-Holstein donne à ce sujet une indication pratique : la mention devrait apparaître dès le début de la communication et non seulement dans les conditions générales ou la politique de confidentialité. Comme formulations possibles, la IHK cite des phrases telles que : vous communiquez avec un système d'IA. Ou encore : ce chatbot répond à votre demande à l'aide de l'intelligence artificielle⁶.

Les manquements à l'article 50 peuvent être sanctionnés par des amendes allant jusqu'à 15 millions d'euros ou, pour les entreprises, jusqu'à trois pour cent du chiffre d'affaires annuel mondial. Le montant le plus élevé s'applique ; pour les PME, le plus faible⁷⁶.

• La mention au début de la conversation, pas dans les conditions générales⁶.
• Exception uniquement lorsque l'intervention de l'IA est évidente pour les personnes qui utilisent le service⁵.
• Amendes jusqu'à 15 millions d'euros ou trois pour cent du chiffre d'affaires annuel mondial, le montant le plus élevé s'applique⁶.

En pratique, cela signifie : la mention a sa place dans la fenêtre de chat elle-même, visible au premier contact. Une mention dans le pied de page du site ne suffit pas. L'information de l'utilisateur, du reste, ne protège pas de la responsabilité pour un contenu faux. Elle remplit une obligation propre et clarifie de qui la réponse est la déclaration : de toi.

Sans journal, pas de défense.

Quand une erreur survient, la question n'est pas de savoir si elle est survenue. Ce qui compte, c'est de pouvoir la reconstituer. Ce n'est qu'avec un journal de la conversation, de la source citée et du transfert que tu peux vérifier ce que l'IA a répondu, quand, et sur quelle base. Sans ce journal, tu t'appuies sur des affirmations en cas de litige, et des affirmations ne sont pas une défense.

Trois choses doivent rester traçables. D'abord la conversation elle-même : quelle question a été posée, quelle réponse donnée, quand. Ensuite la source : à partir de quel article de connaissances ou de quel document l'IA a-t-elle répondu, ou n'y avait-il aucune source. Enfin le transfert : quand et pourquoi le système a-t-il transféré à un humain, ou ne l'a-t-il justement pas fait alors qu'il aurait dû.

S'y ajoute la validation elle-même. La IHK recommande de documenter qui a contrôlé les contenus et qui assume la validation finale⁶. Transpose-le au support : pour chaque réponse validée par un humain, il devrait être clair qui a contrôlé et sur quelles sources. En cas de litige, c'est la différence entre un processus traçable et une lacune.

• Journalise la conversation entière : question, réponse, moment.
• Enregistre avec elle la source citée : quel article de connaissances, quel document, ou aucune source.
• Documente les transferts : quand, pourquoi, vers qui.
• Documente les validations : qui a contrôlé et validé⁶.

Un mot sur les durées de conservation : combien de temps tu dois garder les conversations et les journaux dépend de tes obligations légales et contractuelles, par exemple en droit de la protection des données et en droit commercial. Nous ne donnons volontairement aucune durée précise ici, parce que la bonne durée dépend du cas. Règle-la de façon délibérée, par écrit, et accorde-la avec la personne responsable de la protection des données. Conservé trop peu de temps, cela te coûte la défense ; conservé trop longtemps, cela te coûte en protection des données.

La base de connaissances est le levier de la responsabilité.

La source d'erreur la plus fréquente n'est pas le modèle. C'est un savoir périmé ou contradictoire. Un agent IA qui répond à partir d'une base de connaissances ne vaut que ce que valent les articles, les PDF et les pages que tu lui donnes. Un prix de 2023 dans un PDF que personne n'a mis à jour est, pour l'IA, une source tout aussi valable que ta page de tarifs actuelle. L'erreur ne naît donc pas dans le modèle, mais dans ton entretien.

C'est précisément pour cela que la citation de la source est le deuxième levier en importance. Chaque réponse qui nomme sa source rend les erreurs repérables : ton équipe voit aussitôt quel article a produit l'affirmation fausse et peut le corriger. Le dommage reste limité aux réponses nourries par cette seule source. Les réponses sans source, en revanche, ne sont pas vérifiables, et ce sont justement celles que tu ne devrais pas autoriser.

La leçon d'Air Canada montre ce que la citation de la source ne peut pas sauver. Air Canada a fait valoir que la politique correcte était consultable sur le site. Le tribunal l'a écarté : il était évident pour Air Canada que l'entreprise est responsable de toutes les informations de son site, qu'elles viennent d'une page statique ou d'un chatbot³. Traduit : un lien correct à côté d'une réponse fausse ne te protège pas. La réponse elle-même doit être juste.

• Nomme des responsables : qui entretient les prix, les délais et les conditions contractuelles dans la base de connaissances.
• Versionne les articles critiques : garde traçables les modifications de prix, de délais et de contrats.
• Retire activement les sources périmées : un vieux PDF dans la base de connaissances est une information fausse à retardement.
• Vérifie les contradictions : si deux articles répondent différemment au même sujet, l'IA en choisit un, pas le bon.

Un processus d'entretien n'a pas besoin d'une grande organisation. Il lui faut des responsables, un rythme et une priorisation. Les articles critiques sont tous ceux qui touchent à un prix, un délai, un contrat ou une promesse. Ceux-là vont en tête de ta liste de contrôle, pas à la fin.

Quatre niveaux de validation pour le quotidien.

De tout ce qui précède découle une question simple pour chaque réponse du support : combien de contrôle ce contenu demande-t-il avant de partir ? La réponse tient en quatre niveaux. Ce ne sont pas une règle de droit, mais une traduction pratique de la situation de responsabilité dans le quotidien.

1. 01Niveau 1 : réponse entièrement automatique avec source. Pour les sujets non critiques où la source donne la réponse sans ambiguïté : questions de navigation, informations générales sur le produit, renvois à des documents. L'IA répond directement, en citant la source.
2. 02Niveau 2 : brouillon de l'IA, un humain contrôle et envoie. Pour les sujets à risque moyen : l'IA propose un brouillon avec source, un humain le lit, l'ajuste et l'envoie. Rien ne part automatiquement.
3. 03Niveau 3 : toujours un humain pour le prix, le délai, le contrat et tout engagement. Ces réponses ne partent jamais de façon entièrement automatique. Elles sont rédigées, ou contrôlées et validées, par un humain, la source sous les yeux.
4. 04Niveau 4 : transfert à l'équipe lorsque la source ne permet pas de répondre. Si l'IA ne trouve pas de source fiable, elle ne répond pas mais transfère à un humain. Ce n'est pas un échec, c'est le niveau le plus sûr.

La répartition des sujets courants ressemble à ceci : statut de commande, téléchargement de facture et accès au compte relèvent du niveau 1, tant que la source est sans ambiguïté. Retours et annulations relèvent du niveau 2 ou 3, selon que des délais entrent en jeu. Prix, délais de résiliation, conditions contractuelles et toute forme d'engagement, de remise, de geste commercial ou de condition particulière relèvent du niveau 3. Et tout ce que la base de connaissances ne tranche pas clairement relève du niveau 4.

Un mot d'avertissement sur le biais d'automatisation. L'Institut Alexander von Humboldt pour l'internet et la société souligne que les personnes tendent à faire trop confiance aux décisions préalables des machines, ce que l'on connaît sous le nom de biais d'automatisation⁸. Transposé au support, cela veut dire : un clic sur valider, sans avoir lu la source, n'est pas un contrôle. C'est une confirmation. La différence est exactement celle qui compte en cas de litige.

C'est pourquoi une personne qui contrôle a besoin de deux choses : du temps et la source sous les yeux. Un brouillon sans citation de source n'est pas vérifiable ; une personne sans temps n'est pas un contrôle. Si tes processus de validation sont conçus de telle sorte que contrôler va plus vite que lire, alors personne ne contrôle vraiment. Prévois le temps, sinon la validation ne vaut rien.

Un exemple tiré de notre propre installation.

Pour finir, un exemple de notre propre atelier, pas un argumentaire. ComLayer est une plateforme de support par IA avec un widget, un Centre d'aide, une boîte de réception partagée et un agent IA qui répond exclusivement à partir des connaissances de ton entreprise. L'agent ne répond aux questions que si le savoir enregistré permet la réponse, et appuie chaque réponse sur la source. Si le savoir ne suffit pas, il ne devine pas mais transfère à un humain.

Comment cela se traduit dans les quatre niveaux de validation : le niveau 1 est la réponse automatique avec citation de la source, telle que l'agent la livre par défaut. Le niveau 2 est le brouillon de l'IA dans la boîte de réception partagée : pour les questions ouvertes, un brouillon de réponse avec source est prêt, ton équipe le lit, l'ajuste et l'envoie. Les niveaux 3 et 4 sont des règles de processus de ton côté : les questions de prix, de délai et de contrat, tu les configures dans ton espace de travail pour qu'elles passent toujours par le brouillon, et le transfert en l'absence de source est le mécanisme technique qui traduit le niveau 4.

Ce que ComLayer ne peut pas non plus faire : décharger l'exploitant du contrôle du contenu. Aucun outil ne peut décider à ta place si ton article de tarifs est à jour ou si un engagement est couvert. Cela reste ta responsabilité, et c'est justement pour cela que le journal, la citation de la source et les niveaux de validation comptent autant. La façon d'éviter techniquement les hallucinations est expliquée dans éviter les hallucinations au support ; le volet protection des données est traité dans une IA conforme au RGPD au service client.

Questions fréquentes