Les cyberattaques se multiplient et leurs conséquences dépassent désormais largement les systèmes informatiques. Début octobre 2026, une cyberattaque touchant des systèmes de réfrigération du fabricant Danfoss a perturbé plusieurs centaines de supermarchés français, entraînant la destruction de marchandises et d’importantes pertes financières. Pour la seule enseigne Intermarché, les pertes ont été évaluées à plusieurs dizaines de millions d’euros, illustrant les conséquences économiques qu’une attaque informatique peut entraîner sur les activités des entreprises (1).

Les attaques ayant visé Octave en 2024 et Harvest en 2025 peuvent également illustrer les risques liés à cette dépendance aux fournisseurs de logiciels.

Ces incidents rappellent à quel point une cyberattaque peut compromettre directement l’activité d’une entreprise. Lorsqu’elle touche un éditeur de logiciels ou un prestataire informatique, ses conséquences peuvent notamment se répercuter sur l’ensemble de ses clients, parfois privés d’outils indispensables à leur activité.

Face à ces risques de dépendance, la directive européenne NIS 2 renforce les exigences en matière de continuité d’activité et de sécurité de la chaîne d’approvisionnement, invitant les organisations concernées à mieux anticiper les conséquences d’une défaillance de leurs prestataires technologiques.

Dans ce contexte, l’entiercement logiciel peut constituer l’un des moyens de répondre aux exigences de résilience portées par NIS 2, en contribuant à anticiper certaines situations de défaillance d’un fournisseur et à préserver, sous conditions, l’accès aux éléments nécessaires à l’utilisation et à la maintenance d’un logiciel.

Les points clés à retenir sur l’entiercement logiciel et la continuité d’activité

• Une cyberattaque contre un fournisseur de logiciels peut perturber l’activité de nombreux clients.
• La dépendance aux prestataires de logiciel représente un risque à intégrer dans les stratégies de continuité d’activité.
• La directive NIS 2 renforce les exigences relatives à la gestion des risques cyber et à la sécurité des fournisseurs.
• L’entiercement logiciel permet d’organiser la conservation des éléments techniques d’un logiciel auprès d’un tiers de confiance. Il complète les mesures de cybersécurité et les plans de continuité d’activité, sans s’y substituer.

 

1. Cyberattaques : quand la défaillance d’un fournisseur de logiciel affecte ses clients

La dépendance des entreprises aux solutions logicielles crée de nouveaux risques opérationnels. Lorsqu’un fournisseur subit une cyberattaque, les conséquences peuvent dépasser son propre système d’information et toucher directement les activités de ses clients. Plusieurs incidents récents illustrent les effets de cette interdépendance.

Octave et Harvest : deux exemples de cyberattaques aux conséquences étendues

En août 2024, Octave, fournisseur de solutions informatiques notamment utilisées dans le secteur de la distribution du livre, a subi une cyberattaque ayant perturbé les services de plusieurs de ses clients, dépendant de ses outils pour leurs opérations quotidiennes. (2)

Quelques mois plus tard, le 27 février 2025, Harvest, éditeur de logiciels destinés aux professionnels du patrimoine et de la finance, a été victime d’une attaque par rançongiciel. L’incident a entraîné des interruptions de services pour ses utilisateurs, avant une remise en fonctionnement progressive au cours du mois de mars. (3)

Ces événements mettent en évidence un risque commun : la compromission d’un fournisseur peut provoquer une interruption d’activité chez ses clients, même lorsque leurs propres systèmes d’information n’ont pas été directement attaqués.

Une dépendance logicielle à intégrer dans la gestion des risques

De nombreuses organisations s’appuient sur des logiciels métiers pour gérer leurs opérations, leurs données et leurs relations clients. Cette dépendance est particulièrement marquée lorsque les solutions sont fournies en mode SaaS (Software as a Service) et que leur fonctionnement repose sur des infrastructures administrées par un prestataire.

Une indisponibilité prolongée peut alors compromettre l’accès aux applications, retarder certaines opérations ou empêcher l’exécution d’obligations contractuelles.

La gestion des risques cyber ne peut donc se limiter à la protection des infrastructures internes. Elle doit également intégrer les conséquences d’une interruption chez un fournisseur.

Une question se pose alors : comment une organisation peut-elle maintenir ses activités lorsqu’un prestataire logiciel ne peut plus assurer son service ou sa maintenance ?

 

2. NIS 2 : anticiper les risques fournisseurs pour renforcer la continuité d’activité

La multiplication des cyberattaques visant les prestataires numériques souligne la nécessité d’intégrer les dépendances technologiques dans les stratégies de cybersécurité. Une interruption chez un fournisseur peut compromettre le fonctionnement de plusieurs organisations, indépendamment de la sécurité de leurs propres infrastructures.

C’est notamment pour répondre à ces risques que la directive européenne NIS 2 (4) renforce les exigences en matière de gestion des risques cyber, en accordant une attention particulière à la continuité d’activité et à la sécurité de la chaîne d’approvisionnement.

La continuité d’activité, une exigence de la directive NIS 2

La directive NIS 2 vise à renforcer le niveau de cybersécurité des organisations relevant de son champ d’application et leur capacité à faire face aux incidents susceptibles de perturber leurs activités.

Son article 21(4) prévoit notamment la mise en œuvre de mesures techniques, opérationnelles et organisationnelles adaptées aux risques identifiés.

Parmi ces mesures figurent la continuité d’activité, la gestion des sauvegardes, la reprise après sinistre et la gestion de crise.

L’objectif est de permettre aux organisations concernées de mieux anticiper les interruptions, d’en limiter les conséquences et de préparer la reprise de leurs opérations.

Cette démarche suppose notamment d’identifier les logiciels indispensables au fonctionnement de l’entreprise et d’évaluer les conséquences de leur indisponibilité prolongée.

La sécurité des fournisseurs, un enjeu majeur de NIS 2

Au-delà des mesures de sécurité internes, la directive accorde une attention particulière à la sécurité de la chaîne d’approvisionnement, c’est-à-dire aux risques associés aux fournisseurs et prestataires dont dépend une organisation.

L’article 21, paragraphe 2, point d), de la directive NIS 2 (5) prévoit expressément la prise en compte des aspects de sécurité concernant les relations avec les fournisseurs et prestataires directs.

Une cyberattaque affectant un éditeur de logiciels peut ainsi devenir un risque opérationnel pour ses clients, même lorsque ces derniers disposent de mesures de cybersécurité adaptées.

La gestion des risques doit donc intégrer les dépendances technologiques et les scénarios de défaillance des fournisseurs.

Pour les organisations concernées par NIS 2, cela implique notamment de s’interroger sur leur capacité à maintenir leurs activités lorsqu’un prestataire ne peut plus assurer la disponibilité ou la maintenance d’un logiciel.

 

3. L’entiercement logiciel : un dispositif pour anticiper la défaillance d’un fournisseur

Face aux risques de dépendance technologique, les organisations peuvent mettre en place différents dispositifs destinés à préserver leur continuité d’activité. Parmi eux, l’entiercement logiciel permet d’anticiper certaines situations dans lesquelles un fournisseur ne serait plus en mesure d’assurer ses engagements.

En organisant contractuellement l’accès aux éléments techniques d’un logiciel, il contribue à limiter les conséquences d’une défaillance prolongée.

Organiser un accès aux éléments nécessaires à la maintenance du logiciel

L’entiercement logiciel consiste, pour un éditeur ou fournisseur, à confier à un tiers de confiance des éléments techniques relatifs à sa solution, au bénéfice d’un ou plusieurs clients désignés.

Ces éléments peuvent comprendre le code source, la documentation technique, les dépendances logicielles et les informations nécessaires à l’installation, à la configuration ou à la maintenance.

Un contrat définit les conditions dans lesquelles le bénéficiaire peut demander l’accès aux éléments déposés : cessation d’activité du fournisseur, arrêt de la maintenance ou encore panne bloquante ou indisponibilité prolongée du logiciel, notamment à la suite d’une cyberattaque, lorsque ces situations ont été expressément prévues au contrat et que les conditions d’accès sont réunies.

L’objectif est de permettre au client, dans les conditions contractuelles définies, de poursuivre l’utilisation et de faire assurer la maintenance du logiciel, notamment par ses propres équipes ou un prestataire tiers.

Un dispositif complémentaire aux mesures de cybersécurité

Dans le contexte d’une cyberattaque, l’entiercement présente un intérêt particulier lorsqu’un incident entraîne une incapacité durable du fournisseur à remplir ses engagements.

Toutefois, une cyberattaque ne déclenche pas automatiquement l’accès aux éléments entiercés. Celui-ci dépend des conditions prévues au contrat.

De même, la disponibilité du code source ne suffit pas nécessairement à remettre un service en fonctionnement. La reprise peut nécessiter des infrastructures, des données sauvegardées, des compétences techniques et un environnement d’exploitation adapté.

L’efficacité du dispositif repose donc sur plusieurs précautions : définir précisément les événements ouvrant droit à l’accès, prévoir des mises à jour régulières du dépôt et s’assurer que les éléments conservés permettent une exploitation effective du logiciel.

L’entiercement ne constitue pas une obligation imposée par NIS 2, mais peut contribuer à une stratégie plus large de continuité d’activité et de maîtrise des risques fournisseurs.

L’APP, tiers de confiance au service de la continuité logicielle

L’Agence pour la Protection des Programmes (APP) accompagne les éditeurs et leurs clients dans la mise en place de dispositifs d’entiercement adaptés à leurs besoins.

En assurant la conservation des éléments déposés et en encadrant contractuellement les conditions de leur accès, l’APP contribue à sécuriser les relations entre fournisseurs et utilisateurs de logiciels.

Selon les besoins, différents niveaux de dépôt permettent également de renforcer les vérifications portant sur les éléments confiés.

Pour les organisations dépendantes de solutions logicielles indispensables à leur activité, l’entiercement constitue ainsi un levier de préparation à la défaillance d’un fournisseur, à intégrer aux côtés des sauvegardes, des plans de reprise et des autres mesures de résilience.

 

Anticiper les défaillances pour mieux préserver la continuité d’activité

Les cyberattaques visant les fournisseurs de logiciels rappellent que la résilience d’une organisation dépend également de celle de ses partenaires technologiques.

En renforçant les exigences relatives à la continuité d’activité et à la sécurité de la chaîne d’approvisionnement, NIS 2 encourage les organisations à mieux identifier et anticiper leurs dépendances technologiques.

Dans cette démarche, l’entiercement logiciel proposé par l’APP contribue à organiser, en amont, les conditions d’accès aux éléments nécessaires à la poursuite de l’utilisation et de la maintenance d’un logiciel en cas de défaillance du fournisseur.

Un dispositif complémentaire pour renforcer la maîtrise des risques et mieux préparer les organisations aux conséquences d’une interruption prolongée de leurs services numériques.

 

Sources

1. Cyberattaque des systèmes frigorifiques (2026) :
   Associated Press – French cybersecurity authority warns attack may be ongoing as stores scramble to restock.
2. Cyberattaque Octave (2024) :
   LeMagIT – Les clients d’Octave victimes des effets d’une cyberattaque.
3. Cyberattaque Harvest (2025) :
   ANACOFI – Cyberattaque Harvest.
4. Directive NIS 2 :
   Directive (UE) 2022/2555, article 21.
5. Directive NIS 2 :
   Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022, article 21, § 2, d).

Cyberattaque Danfoss (2026) :
Le Parisien – Cyberattaque contre les réfrigérateurs : le patron des magasins U fait un premier bilan.

Alors que la directive NIS2 n’est pas encore transposée dans l’ensemble des États membres, la Commission européenne a publié, le 20 janvier 2026, une proposition de directive visant à la modifier. Explications.

Les cyberattaques se multiplient et touchent désormais des organisations de toute taille, publiques comme privées, tandis que le cadre réglementaire de cybersécurité devient toujours plus dense, technique… et instable. C’est dans ce contexte que la Commission européenne a publié, le 20 janvier 2026, une proposition de directive^[1] visant à modifier la directive (UE) 2022/2555, dite directive « NIS2 », dans le cadre de la révision du règlement (UE) 2019/881 relatif à la cybersécurité (Cybersecurity Act 2).

La démarche peut surprendre : la directive NIS2 n’est pas encore transposée dans l’ensemble des États membres — y compris en France — que sa révision est déjà engagée. Pour la Commission européenne, cette modification se justifie par les difficultés d’application rencontrées par les entités concernées, notamment l’incertitude entourant le champ d’application du texte, ou encore la complexité des obligations de notification d’incident. La proposition ne comporte que cinq articles. Elle n’en amorce pas moins plusieurs évolutions majeures du régime NIS2.

 

Les points clés à retenir

• Une révision anticipée de NIS 2 : la Commission européenne propose de modifier la directive alors que sa transposition reste inachevée dans plusieurs États membres, dont la France.
• Un champ d’application clarifié et élargi : la proposition vise à faciliter l’identification des entités concernées et à intégrer de nouvelles catégories d’acteurs.
• Des obligations renforcées en cas de ransomware : les organisations devront transmettre des informations plus détaillées sur les attaques, notamment sur les éventuels paiements de rançon.
• Une simplification des démarches de conformité : le texte prévoit une harmonisation des exigences documentaires, une reconnaissance des certifications et un rôle accru de l’ENISA.
• Une anticipation des menaces quantiques : les États membres sont encouragés à préparer leur transition vers la cryptographie post-quantique pour renforcer la protection des données sensibles.

 

1- Le champ d’application NIS2 précisé et étendu à de nouveaux acteurs

En pratique, la principale difficulté d’application de la directive NIS2 tient à la détermination des entités concernées, et notamment à l’identification des organisations susceptibles d’être qualifiées d’« entités essentielles » ou d’« entités importantes ». Ces qualifications reposent en effet aujourd’hui sur un faisceau de critères (taille, secteur d’activité, criticité), dont l’interprétation demeure incertaine. Consciente de cette difficulté, l’Agence nationale de la sécurité des systèmes d’information (Anssi), autorité nationale compétente désignée pour la mise en œuvre de la directive NIS2 en France, propose par ailleurs un questionnaire d’auto-évaluation afin d’accompagner les organisations dans cette démarche de qualification^[2].

Dans cette optique de simplification et de réduction des coûts de conformité, le projet introduit une nouvelle catégorie d’acteurs, les « small mid-cap enterprises »^[3]. Ces entreprises, dès lors qu’elles exercent une activité relevant d’un secteur figurant à l’annexe I de la directive NIS2, seraient automatiquement qualifiées d’entités importantes. La Commission cherche ainsi à réduire les incertitudes d’interprétation qui ont conduit de nombreuses organisations à réaliser des analyses juridiques lourdes pour déterminer leur statut.

Par ailleurs, la proposition étend explicitement le champ d’application de la directive à plusieurs catégories d’acteurs indépendamment de leur taille. Seraient ainsi inclus les fournisseurs de portefeuilles européens d’identité numérique^[4], qualifiés d’entités essentielles, ainsi que les services dits « European Business Wallets ». Entreraient également dans le périmètre les exploitants d’infrastructures sous-marines de transmission de données, y compris lorsque l’entité exploitante ne répond pas, par ailleurs, aux critères classiques d’assujettissement. Ces ajouts confirment une évolution de NIS2 : la criticité d’une entité se détermine désormais davantage par son impact sur la continuité des services numériques que par sa taille.

 

2- Attaque par ransomware: une obligation d’information renforcée

Les attaques par ransomware comptent parmi les incidents les plus fréquents, notamment dans des secteurs sensibles comme la santé. La proposition de directive modifie l’article 23 de la directive NIS2 pour y ajouter une obligation renforcée d’information pesant sur les organismes en cas d’attaque par ransomware. Les organismes devront indiquer dans leur notification initiale si une attaque par ransomware a été détectée, son vecteur d’intrusion et les mesures d’atténuation mises en œuvre. Le nouveau paragraphe 13 est quant à lui plus sensible. Sur demande du CSIRT^[5], l’entité devra indiquer si une rançon a été exigée, identifier son auteur lorsqu’il est connu, et préciser si un paiement a été effectué, ainsi que, le cas échéant, son montant, ses modalités et l’identité du destinataire ou du bénéficiaire final.

La notification d’incident évolue ainsi vers un véritable outil d’investigation administrative : les autorités ne cherchent plus seulement à être informées de l’attaque, mais également à en comprendre les mécanismes et les modalités de financement, avec pour objectif le démantèlement des groupes criminels.

 

3- Une logique de simplification administrative pour l’écosystème concerné et accroissement du rôle de l’ENISA

La proposition de directive vise explicitement à réduire la charge administrative pesant sur les entités essentielles et importantes ainsi que sur leurs sous-traitants. D’une part, la Commission européenne entend encadrer les exigences documentaires imposées aux sous-traitants, aujourd’hui confrontés à une multiplication de questionnaires de sécurité et d’exigences contractuelles hétérogènes, en annonçant la publication de lignes directrices précisant un niveau approprié de détails et de format des demandes d’informations. D’autre part, afin d’éviter la répétition de démarches de conformité pour les groupes opérant dans plusieurs États membres, le texte introduit un mécanisme fondé sur la reconnaissance d’une certification, permettant aux entités concernées de ne plus avoir à justifier séparément leur conformité auprès de chaque autorité nationale compétente. Par ces deux leviers (harmonisation des exigences et reconnaissance mutuelle fondée sur la certification), la Commission cherche à alléger la pression normative globale sur les organisations soumises à la directive NIS2 comme sur leurs sous-traitants.

Enfin, dans la même logique d’harmonisation, la Commission prévoit d’élargir les compétences de l’ENISA, l’Agence de l’Union européenne pour la cybersécurité. Le nouvel article 37a lui confierait notamment la capacité d’analyser les risques cyber transfrontaliers affectant les entités essentielles et importantes, d’établir des rapports d’évaluation et d’élaborer des lignes directrices sur cette base. L’objectif est de renforcer la coordination européenne afin de permettre une réaction plus rapide et cohérente face aux incidents affectant plusieurs États membres.

 

4- Dans la continuité de l’Anssi : le développement d’une cryptographie résistante aux menaces quantiques

Selon la Commission européenne, les attaques dites HNDL (« Harvest now – decrypt later »), consistant à collecter aujourd’hui des données chiffrées afin de pouvoir les déchiffrer ultérieurement, ainsi que les perspectives d’attaques liées au développement de l’informatique quantique, justifient d’engager dès à présent la transition vers une cryptographie post-quantique (Post-Quantum Cryptography – PQC).

La proposition de directive invite ainsi les États membres à intégrer, au sein de leur stratégie nationale de cybersécurité, des politiques de migration vers la PQC. Il s’agit d’anticiper un risque futur mais crédible, susceptible d’affecter des données sensibles, notamment industrielles, financières ou de santé.

Concrètement, ces politiques devraient s’accompagner d’outils permettant d’évaluer l’exposition des actifs cryptographiques aux capacités futures des ordinateurs quantiques. Elles impliqueraient également l’élaboration de plans de migration, la conduite d’expérimentations et le déploiement progressif de solutions de cryptographie post-quantique au sein des applications et des réseaux.

Ces orientations doivent s’articuler avec les travaux européens existants, en particulier la feuille de route coordonnée adoptée en juin 2025 par le groupe de coopération NIS, qui fixe un calendrier indicatif de transition : migration des cas d’usage critiques à l’horizon 2030, puis des usages de sensibilité moyenne ou faible d’ici 2035.

Cette approche rejoint les recommandations déjà formulées par l’Anssi^[6], laquelle préconise, pour les systèmes destinés à protéger durablement des informations — notamment au-delà de 2030 — la définition d’une stratégie de transition progressive et, lorsque cela est pertinent, le recours à des mécanismes hybrides intégrant des briques post-quantiques.

La proposition confirme ainsi une évolution de la politique européenne de cybersécurité : au-delà de la gestion des incidents actuels, elle intègre la préparation aux menaces futures.

En conclusion, au-delà d’un simple ajustement technique, cette initiative révèle une tension désormais classique du droit de la cybersécurité : concilier un niveau élevé d’exigence en matière de sécurité avec la capacité des organisations à appliquer la norme en pratique.

L’initiative est louable, et vise clairement à corriger certaines lourdeurs administratives de NIS2, mais son calendrier interroge, alors même que la directive n’est pas encore transposée dans plusieurs États membres, dont la France. Dans l’intervalle, les acteurs devront continuer à se conformer au cadre actuel tout en anticipant ses évolutions. Plus que jamais, l’enjeu sera d’adopter une lecture pragmatique des textes afin que la conformité ne devienne pas un frein à leurs activités.

 

Sources

1. Commission européenne, Proposition de directive du Parlement européen et du Conseil modifiant la directive (UE) 2022/2555 en ce qui concerne des mesures de simplification et l’alignement avec la proposition de règlement relatif à la cybersécurité (Cybersecurity Act 2), 20 janvier 2026.
2. Anssi, Simulateur NIS 2 : questionnaire d’auto-évaluation.
3. Commission européenne, Commission Recommendation (EU) 2025/1099 of 21 May 2025 on the definition of small mid-cap enterprises.
4. « European Digital Identity Wallets », tels que définis dans le règlement (UE) n° 910/2014.
5. Computer Security Incident Response Team, l’équipe chargée de la gestion et de la coordination des incidents de cybersécurité ; en France, le CSIRT national est le CERT-FR, opéré par l’Anssi.
6. Anssi, Avis sur la migration vers la cryptographie post-quantique.

 

À propos de l’auteur

Alexandra Iteanu est avocate au Barreau de Paris et responsable du pôle Data et RGPD du cabinet ITEANU Avocats. Elle est spécialisé dans les domaines du numérique,  de la cybersécurité, de la data  et de l’IA.

Le premier article de cette série a montré que les juridictions recherchent les choix créatifs qui traduisent l’intervention intellectuelle de leur auteur, une question qui prend une dimension nouvelle avec le développement des créations assistées par intelligence artificielle.

Une difficulté demeure toutefois : comment établir et conserver, dans la durée, les éléments permettant de retracer ces choix ?

Cette question prend une importance particulière dans les environnements numériques, où les créations évoluent par versions successives, échanges entre collaborateurs, corrections ou encore interventions d’outils d’intelligence artificielle. Les informations utiles à la démonstration de l’originalité existent souvent, mais elles sont dispersées entre différents outils et rarement organisées dans une perspective probatoire.

L’enjeu n’est donc plus seulement de conserver une version finale d’une œuvre. Il consiste à documenter, au fil de la création, les différentes étapes qui permettent de comprendre comment celle-ci s’est progressivement construite et, notamment lorsqu’une IA est utilisée, de rendre plus lisibles les choix effectivement réalisés par l’auteur.

 

Les points clés à retenir

• Les créations numériques produisent naturellement des traces tout au long de leur élaboration.
• Ces traces permettent de documenter les choix créatifs qui fondent la protection par le droit d’auteur.
• Avec l’utilisation croissante de l’intelligence artificielle, documenter le processus créatif permet de mieux distinguer les interventions de l’outil des choix effectivement réalisés par l’auteur.
• L’horodatage qualifié contribue à renforcer la démonstration de l’existence d’une œuvre et de sa chronologie².
• La journalisation du processus de création permet de conserver une chronologie fiable des choix créatifs et de renforcer la preuve du droit d’auteur, en particulier pour les créations assistées par intelligence artificielle.

 

Documenter la création plutôt que conserver uniquement son résultat

Les créations numériques résultent d’une succession d’étapes qui aboutissent à la version finale.

Les événements de création deviennent des éléments de preuve

Chaque projet génère de nombreux événements : création d’une première version, modification d’un document, validation d’une fonctionnalité, ajout d’un module, restructuration d’un texte ou encore intégration d’une proposition issue d’un outil d’intelligence artificielle.

Pris isolément, ces événements présentent un intérêt limité. Ensemble, ils permettent de retracer le déroulement d’un projet et de comprendre la succession des choix qui ont conduit à la création finale.

Cette approche rejoint l’idée développée dans les deux premiers articles de cette série : une création numérique se construit progressivement et, dans le cas d’un logiciel, sont même en constante évolution. Les traces laissées au cours de cette évolution permettent d’en restituer le processus et de mieux comprendre les décisions qui la caractérisent.

Une mémoire fiable du processus créatif

La difficulté tient au fait que ces informations sont rarement conservées de manière organisée, souvent par ignorance de leur valeur probatoire. Les versions sont remplacées, certains échanges disparaissent, les environnements de développement évoluent et les documents de travail sont progressivement supprimés.

Or, ce sont précisément ces éléments qui permettent de reconstituer le cheminement intellectuel d’un projet lorsqu’un différend survient, et d’apporter des éléments de preuve d’originalité.

Constituer une mémoire fiable de la création ne consiste donc pas à archiver l’ensemble des documents produits. L’objectif est d’identifier les événements significatifs du processus créatif, démontrant un apport propre de l’auteur, et de préserver leur chronologie afin de pouvoir démontrer, le moment venu, comment une œuvre s’est construite et convaincre un juge de son originalité.

 

L’horodatage qualifié renforce la crédibilité de la démonstration

Documenter le processus créatif suppose de pouvoir associer chaque étape significative à une chronologie fiable. C’est précisément le rôle que peut jouer l’horodatage qualifié, en apportant une date certaine aux différents événements de création².

Il ne constitue pas un droit de propriété intellectuelle et ne crée pas, à lui seul, de protection. En revanche, il contribue à renforcer la valeur probatoire des éléments qui retracent l’élaboration d’une œuvre.

Dater les étapes significatives de la création

L’horodatage permet d’attester qu’un document, une version de logiciel, une documentation technique ou tout autre élément existait à une date donnée.

Appliqué de manière ponctuelle, il permet de démontrer l’existence d’une version déterminée. Utilisé tout au long du projet, il restitue une journalisation continue des différentes étapes de la création.

Cette approche présente un intérêt particulier lorsque plusieurs personnes interviennent sur un même projet ou lorsque celui-ci évolue pendant une longue période. Elle permet de replacer chaque version dans son contexte et de suivre l’évolution du travail réalisé.

Rendre plus lisibles les choix humains

L’intérêt de cette démarche ne réside pas uniquement dans la date associée à un document.

Lorsque plusieurs événements de création sont documentés, ils permettent de visualiser la succession des arbitrages ayant conduit au résultat final : restructuration d’un logiciel, réorganisation d’un contenu, validation d’une architecture, enrichissement d’une proposition générée par un outil d’intelligence artificielle ou abandon de certaines pistes de travail.

Pris ensemble, ces éléments rendent plus lisible la chaîne de décisions humaines qui sous-tend la création. Ils ne démontrent pas, à eux seuls, l’originalité de l’œuvre, mais ils facilitent la compréhension du processus ayant conduit à son élaboration.

Les créations assistées par IA renforcent l’intérêt de cette démarche

L’utilisation d’outils d’intelligence artificielle accentue encore cette nécessité.

Les prompts, les versions intermédiaires, les corrections, les validations ou les réécritures témoignent des interventions successives réalisées par le développeur ou le créateur. Lorsqu’ils sont documentés au fil de la création, via horodatage et archivage, ces éléments permettent de distinguer plus facilement les propositions issues de l’outil des choix effectivement opérés par la personne qui revendique la qualité d’auteur.

L’horodatage ne répond donc pas à lui seul aux questions soulevées par les créations assistées par intelligence artificielle. En revanche, il participe à la constitution d’un faisceau d’éléments probants susceptibles d’éclairer le rôle des interventions humaines dans le processus créatif.

 

Vers une gouvernance de la preuve du droit d’auteur

Les entreprises produisent aujourd’hui une grande diversité d’actifs numériques : logiciels, contenus éditoriaux, documentations techniques, bases de données, créations graphiques, musiques élaborées avec l’assistance d’outils d’intelligence artificielle.

La protection de ces actifs ne peut plus reposer uniquement sur des démarches engagées lorsqu’un litige apparaît. Elle conduit à intégrer la question de la preuve dès les premières étapes de la création.

Journaliser le processus de création pour mieux documenter la preuve

Dans cette perspective, journaliser le processus de création consiste à conserver, au fil du projet, les événements significatifs qui jalonnent son élaboration.

Il ne s’agit pas d’archiver systématiquement l’ensemble des documents produits, mais d’identifier les étapes qui traduisent les principaux choix réalisés : versions importantes, validations, restructurations, évolutions du code, modifications substantielles ou intégration de nouveaux contenus.

Cette démarche permet de constituer progressivement une mémoire fiable du projet et de restituer, si nécessaire, la chronologie des décisions ayant conduit à la création finale.

Une approche adaptée aux enjeux actuels de la propriété intellectuelle

Les deux premiers articles de cette série ont montré que les juridictions recherchent les choix créatifs qui traduisent l’intervention intellectuelle de l’auteur pour en défendre ou valider le droit. Pour les convaincre, il faut donc avoir anticipé le litige et documenté au fil de l’évolution de la création les éléments susceptibles d’être acceptés comme une preuve d’originalité.

Dans un environnement où les créations sont de plus en plus collaboratives et assistées par intelligence artificielle, cette journalisation devient un véritable outil de gouvernance des actifs immatériels. Elle facilite la constitution de preuves d’originalité, documente la part de l’intervention humaine vs machine, préparant ainsi plus efficacement un éventuel contentieux.

 

La preuve du droit d’auteur s’inscrit désormais dans le processus de création

Les principes du droit d’auteur demeurent inchangés malgré le bouleversement technologique que vivent nos sociétés avec l’avènement de l’intelligence artificielle. Une œuvre est protégée par le droit d’auteur lorsqu’elle est datée, originale c’est-à-dire lorsqu’elle traduit les choix créatifs de son auteur et produite par une personne physique¹. En revanche, les modes contemporains de création conduisent à porter une attention nouvelle à la manière dont ces choix sont documentés.

La preuve ne se construit plus uniquement au moment où survient un différend. Elle doit s’élaborer progressivement, au rythme des différentes étapes de développement du projet. Cette approche permet de conserver une mémoire fiable de la création, de mieux restituer la chronologie des événements et de rendre plus lisibles les interventions humaines qui fondent la protection juridique.

La journalisation du processus de création, associée à des mécanismes d’horodatage qualifié, s’inscrit pleinement dans cette logique. Cette approche permet de documenter de manière continue les différentes étapes d’un projet et de renforcer la démonstration des choix humains qui fondent la protection par les droits d’auteur.

C’est dans cette logique que l’APP travaille actuellement au développement de son Journal de création. Cette nouvelle solution a pour objectif de vous permettre de tracer et documenter les différentes étapes de vos processus de création ou de développement, notamment afin de mieux conserver la chronologie des contributions et des choix humains réalisés au cours d’un projet.

Vous souhaitez en savoir plus sur le Journal de création ? Laissez-nous vos coordonnées !

 

Références

Textes

1. Code de la propriété intellectuelle, notamment les articles L.111-1 et suivants :
   consulter le Code de la propriété intellectuelle sur Légifrance
   
2. Règlement (UE) n° 910/2014 du 23 juillet 2014 (eIDAS) relatif à l’identification électronique et aux services de confiance pour les transactions électroniques :
   consulter le règlement eIDAS sur EUR-Lex
   

La protection d’une œuvre ne dépend ni du temps consacré à sa réalisation, ni des investissements qu’elle a mobilisés. Elle repose sur un critère juridique unique : son originalité.

Cette notion est commune à l’ensemble des œuvres protégées par le droit d’auteur. Son appréciation peut toutefois s’avérer plus délicate pour certaines créations, notamment les logiciels ou les créations assistées par IA, où les choix de leur auteur sont parfois moins immédiatement perceptibles.

La jurisprudence européenne apporte aujourd’hui un cadre d’analyse largement harmonisé. Les juridictions recherchent avant tout les choix libres et créatifs qui traduisent l’intervention intellectuelle de l’auteur. Cette approche prend une importance particulière à mesure que les outils d’intelligence artificielle s’intègrent aux processus de création.

 

Les points clés à retenir

• L’originalité constitue la condition de protection par le droit d’auteur.
• Les juridictions recherchent les choix libres et créatifs de l’auteur, et non le seul investissement réalisé.
• Cette approche est désormais largement harmonisée au niveau européen.
• Les logiciels et les créations assistées par IA rendent ces choix plus difficiles à identifier.
• La démonstration de l’originalité repose sur un ensemble d’éléments permettant de comprendre le processus de création.

 

Les choix créatifs au cœur de l’originalité

Au sens courant, la notion d’originalité est parfois assimilée à la nouveauté, à la qualité d’une œuvre ou encore à l’importance des moyens mis en œuvre pour la réaliser. En droit d’auteur, ces critères ne sont pourtant pas pris en considération. La protection repose sur la capacité d’une création à traduire une démarche intellectuelle propre à son auteur.

L’effort ne suffit pas à caractériser l’originalité

La réalisation d’un logiciel, d’une base de données ou d’une œuvre complexe peut mobiliser des ressources considérables. Cet investissement, aussi important soit-il, ne suffit pour autant pas à justifier l’originalité de l’œuvre et donc sa protection par le droit d’auteur.

La Cour de justice de l’Union européenne rappelle ainsi de manière constante que la protection ne récompense ni le travail accompli ni les moyens engagés, mais l’expression d’une création intellectuelle propre à son auteur¹.

L’arrêt Football Dataco illustre cette approche en précisant que les efforts consacrés à la constitution d’une base de données ne permettent pas, à eux seuls, de caractériser son originalité³.

Les choix libres et créatifs : le critère retenu par la jurisprudence européenne

La notion de création intellectuelle propre à son auteur, consacrée par l’arrêt Infopaq, constitue aujourd’hui le point de référence de l’appréciation de l’originalité¹.

Quelques années plus tard, l’arrêt Painer est venu préciser cette approche en indiquant que l’originalité résulte des choix libres et créatifs opérés par l’auteur au cours du processus de création².

L’analyse ne porte donc pas uniquement sur le résultat obtenu. Elle conduit à s’interroger sur les décisions qui ont permis à la création de prendre sa forme définitive : sélection entre plusieurs possibilités, organisation d’un contenu, arbitrages techniques ou esthétiques, ou encore combinaison volontaire de différents éléments.

 

Une lecture désormais harmonisée de l’originalité en Europe

La jurisprudence de la Cour de justice de l’Union européenne a progressivement contribué à harmoniser les critères d’appréciation de l’originalité. Si les traditions juridiques nationales conservent leurs spécificités, elles convergent aujourd’hui vers une même conception : une œuvre est protégée lorsqu’elle exprime les choix créatifs de son auteur.

Cette évolution offre un cadre plus lisible aux entreprises qui développent des actifs numériques appelés à circuler dans plusieurs États membres de l’Union européenne.

Une convergence progressive des approches nationales

En France, la jurisprudence continue de faire référence à l’empreinte de la personnalité de l’auteur. Cette formule, bien connue des praticiens, s’inscrit désormais dans le prolongement de la jurisprudence européenne, qui met l’accent sur la création intellectuelle propre à son auteur.

Cette convergence se retrouve également dans le reste de l’Europe. Les formulations peuvent varier d’un État à l’autre, mais la logique demeure identique : le droit d’auteur protège une démarche créative, et non une simple idée, une méthode ou un investissement.

Le cas particulier des logiciels

Cette analyse revêt une importance particulière pour les logiciels.

L’originalité d’un programme n’est généralement pas perceptible à la seule lecture du résultat final. Le juge doit apprécier les choix réalisés au cours de sa conception : architecture générale, organisation du code, sélection entre plusieurs solutions techniques ou structuration des fonctionnalités.

Cette difficulté est connue de longue date. En France, l’arrêt Pachot a reconnu que le logiciel pouvait bénéficier de la protection par le droit d’auteur, sous réserve qu’il traduise un apport intellectuel propre à son auteur⁵. Depuis lors, les contentieux relatifs aux logiciels montrent que la démonstration de l’originalité suppose souvent de rendre visibles des choix qui ne ressortent pas immédiatement de la seule version finale du programme.

Cette problématique dépasse aujourd’hui le seul domaine du logiciel. Les créations assistées par IA soulèvent des interrogations comparables : lorsque l’outil intervient dans le processus de création, comment identifier les décisions qui traduisent réellement l’apport de l’auteur ?

 

Les créations assistées par IA renforcent l’intérêt de documenter les choix créatifs

L’utilisation d’outils d’intelligence artificielle ne modifie pas les critères de protection du droit d’auteur. Les juridictions continuent d’apprécier l’originalité au regard de l’intervention intellectuelle de l’auteur. En revanche, ces nouveaux modes de création rendent parfois plus difficile la mise en évidence des choix qui fondent cette protection.

La preuve est libre, mais elle doit convaincre

En matière de droit d’auteur, la preuve est libre. Mais aucun document pris isolément ne permet d’établir à lui seul l’originalité d’une œuvre.

Les juridictions apprécient au contraire un ensemble d’éléments convergents : documents préparatoires, versions intermédiaires, échanges entre collaborateurs, historiques de développement ou tout autre élément permettant de comprendre le processus créatif. C’est ce que les praticiens qualifient de faisceau d’indices.

Cette approche prend une importance particulière pour les créations numériques, dont l’élaboration repose rarement sur un acte unique. L’originalité s’apprécie alors au regard d’une succession de décisions qui, ensemble, traduisent la contribution intellectuelle de leur auteur.

Rendre visibles les choix créatifs

L’essor de l’intelligence artificielle renforce l’intérêt de cette approche. Lorsque plusieurs propositions sont générées, modifiées puis combinées, le résultat final ne suffit pas toujours à comprendre quelles décisions relèvent effectivement de l’utilisateur.

La démonstration de l’originalité consiste alors à rendre visibles les choix humains, vs ceux de la machine, intervenus au cours de la création : sélection d’une proposition, réécriture d’un contenu, restructuration d’un développement logiciel, abandon de certaines pistes ou validation de versions successives.

Il ne s’agit pas de démontrer si l’intelligence artificielle a été utilisée ou non. L’enjeu est d’identifier les décisions qui traduisent l’intervention intellectuelle de la personne revendiquant la qualité d’auteur.

 

L’originalité se démontre autant qu’elle s’apprécie

Les créations assistées par intelligence artificielle n’ont pas conduit à redéfinir l’originalité en droit d’auteur. Les critères demeurent identiques : une œuvre est protégée lorsqu’elle traduit des choix libres et créatifs imputables à une ou plusieurs personne(s) physique(s). Une œuvre développée à 100 % par l’IA ne pourra ainsi jamais bénéficier de la protection par le droit d’auteur. La question s’arbitre différemment dans le cas d’une œuvre créée par l’humain avec assistance de l’IA.

Ces nouveaux modes de création rendent le choix humain moins immédiatement perceptible. Plus le processus créatif est complexe, plus il devient donc utile de pouvoir en retracer les différentes étapes afin de comprendre comment l’œuvre s’est construite et de pouvoir expliquer en cas de litige quels sont les choix créatifs faits par l’homme d’une part et d’autre part pouvoir prouver que l’œuvre a été majoritairement créée par l’homme.

Le deuxième article de cette série montrera comment une documentation continue du processus de création, associée à des mécanismes d’horodatage, permet de renforcer la preuve du droit d’auteur et de rendre plus lisibles les choix qui fondent l’originalité.

Références

Textes

• Code de la propriété intellectuelle, notamment les articles L.111-1 et suivants :
  consulter le texte sur Légifrance

Jurisprudence

1. CJUE, 16 juillet 2009, Infopaq International A/S c. Danske Dagblades Forening, C-5/08.
   
2. CJUE, 1er décembre 2011, Eva-Maria Painer, C-145/10.
   
3. CJUE, 1er mars 2012, Football Dataco Ltd e.a., C-604/10.
   
4. CJUE, 11 juin 2020, SI et Brompton Bicycle Ltd c. Chedech/Get2Get, C-833/18.
5. Cour de cassation, Assemblée plénière, 7 mars 1986, Pachot, n° 83-10.477.
   

L’intelligence artificielle utilisée dans le processus de saisie et de tri probatoire ouvre de réelles perspectives et peut accroître l’efficacité du procès. Si le recours à l’article 145 du CPC est d’une efficacité redoutable, il comporte des risques d’intrusion dans la sphère informationnelle des entreprises saisies. La protection du secret des affaires permet de trouver un meilleur équilibre entre les exigences du procès équitable et la protection légitime des informations sensibles.

Les points clés à retenir sur l’IA et les saisies fondées sur l’article 145 du CPC

• L’article 145 du CPC permet d’obtenir avant tout procès des mesures destinées à conserver ou établir des preuves.
• Ces saisies peuvent porter sur des volumes importants de données et exposer des informations couvertes par le secret des affaires.
• L’intelligence artificielle peut faciliter le tri, la classification, la déduplication et l’identification des documents sensibles.
• Elle peut contribuer à renforcer la proportionnalité des mesures et à accélérer le tri contradictoire.
• Son utilisation doit rester encadrée par des exigences de transparence, de traçabilité, de contradictoire et de validation humaine.
• Le juge doit demeurer maître du procédé et l’utilisation de l’IA doit également tenir compte du RGPD et du règlement européen sur l’intelligence artificielle.

 

La preuve, élément cardinal du procès civil, suppose un délicat équilibre entre l’intérêt légitime du demandeur à établir ses droits et la protection des prérogatives d’autrui, particulièrement celles attachées aux secrets professionnels, économiques et industriels.

L’article 145 du Code de procédure civile illustre cette tension. Texte au champ d’application particulièrement large, il autorise toute mesure d’instruction légalement admissible, ordonnée avant tout procès, dès lors qu’un motif légitime justifie de conserver ou d’établir la preuve de faits dont pourrait dépendre la solution d’un litige.

Si l’efficacité du dispositif n’est plus à démontrer, – il constitue, en pratique, l’un des outils probatoires les plus mobilisés dans les contentieux d’affaires, qu’il s’agisse de concurrence déloyale, de débauchage massif, de pratiques restrictives, de contrefaçon ou encore de contentieux post-acquisition -, sa mise en œuvre comporte une dimension intrusive significative.

La saisie de documents au siège ou aux domiciles de personnes physiques, l’accès aux courriels professionnels, l’extraction de données serveur ou la copie de disques durs viennent matériellement perturber l’activité d’entreprises tierces ou adverses, et peuvent permettre la captation massive d’informations qui, pour la plupart, échappent à l’objet du litige envisagé. C’est précisément à ce point névralgique que la loi n° 2018-670 du 30 juillet 2018, transposant la directive (UE) 2016/943 du Parlement européen et du Conseil du 8 juin 2016, est venue introduire un cadre protecteur du secret des affaires.

Les articles L. 151-1 et suivants du Code de commerce définissent ce secret, en précisent les conditions et organisent, avec les articles R. 153-1 et suivants, une procédure de mise sous séquestre et de tri contradictoire spécifique pour les pièces saisies susceptibles d’en être couvertes.

Loin de neutraliser l’article 145, ce dispositif vient en compléter la mécanique probatoire en exigeant, au stade de l’autorisation comme au stade de l’exécution, une appréciation fine de la proportionnalité des opérations. C’est dans ce contexte que l’émergence d’outils d’intelligence artificielle (IA) appliqués aux opérations de saisie et de tri documentaire interpelle. L’IA offre des capacités de tri, de filtrage et d’analyse documentaire qui peuvent transformer la conduite des saisies probatoires fondées sur l’article 145.

Comment, dès lors, l’introduction de ces technologies dans la chaîne probatoire peut-elle contribuer à une meilleure conciliation entre l’effectivité du droit à la preuve, garanti notamment par l’article 6, paragraphe 1, de la Convention européenne des droits de l’homme, et la protection du secret des affaires, élevée par le droit de l’Union au rang d’objectif autonome ?

L’analyse de l’apport de l’IA aux saisies fondées sur l’article 145 du Code de procédure civile commande de partir du cadre juridique applicable, avant d’examiner les contributions concrètes des outils algorithmiques, puis d’évaluer en quoi ils peuvent renforcer la conciliation des intérêts en présence, à condition que soient strictement définies les conditions, limites et garanties de leur usage.

 

1. Le cadre juridique des saisies probatoires et l’enjeu du secret des affaires

1.1. L’article 145 du CPC : un instrument probatoire à fort potentiel intrusif

L’article 145 du code de procédure civile autorise toute mesure d’instruction légalement admissible ordonnée avant tout procès. Trois conditions cumulatives doivent être réunies : l’existence d’un motif légitime, l’absence de procès au fond, et le caractère légalement admissible de la mesure sollicitée.

Le motif légitime, défini de manière constante par la Cour de cassation, suppose la démonstration d’un litige potentiel dont l’objet et le fondement juridique sont suffisamment caractérisés pour justifier que soient prises des mesures probatoires. Il ne saurait toutefois excéder le cadre de la simple plausibilité : le demandeur n’a pas à prouver l’existence d’une faute, mais à établir une probabilité suffisante de litige. Cette condition s’apprécie au regard des éléments fournis dans la requête, qui doivent permettre au juge d’identifier l’objet de la mesure et de vérifier qu’elle ne tend pas à une simple recherche exploratoire.

La condition relative au caractère légalement admissible des mesures sollicitées a connu, ces deux dernières décennies, une réelle densification. La jurisprudence veille à ce que les mesures ordonnées soient circonscrites dans leur objet, leur durée, leur portée et la nature des éléments recueillis.

Cette exigence de proportionnalité a vu son intensité s’accroître à mesure que la jurisprudence européenne et constitutionnelle a affermi le contrôle exercé sur les ingérences dans le droit au respect de la vie privée, le droit de propriété et le droit au respect du domicile. Concrètement, le juge, généralement le président du tribunal de commerce ou du tribunal judiciaire, statuant sur requête au visa des articles 493 et suivants du CPC, autorise un commissaire de justice à se transporter dans des locaux désignés pour y procéder à diverses mesures : copies de documents papier ou numériques, captures d’écran, extractions de boîtes mail, copies de disques durs ou de serveurs, voire audition de personnes. Ces opérations s’accompagnent fréquemment de la désignation d’un expert technique, notamment informatique, et donnent lieu à la rédaction d’un procès-verbal détaillé.

Le caractère non contradictoire de l’autorisation initiale, qui constitue la dérogation au principe posé par les articles 14 et 16 du CPC, exige du juge un contrôle particulier des circonstances justifiant cette dérogation, conformément à la lecture rigoureuse retenue par la jurisprudence des articles 493 et 875 du même code. Le juge doit, dans l’ordonnance, motiver expressément les raisons pour lesquelles la mesure ne peut être prise contradictoirement. Cette exigence, longtemps appréciée de manière souple, s’est considérablement renforcée dans la période récente, sous l’effet conjugué du contrôle de proportionnalité et de l’attention portée à la préservation du contradictoire.

Pour articuler le secret avec l’effectivité de la mesure, la pratique a généralisé la technique du séquestre : les documents saisis ne sont pas immédiatement remis au demandeur, mais placés sous la garde du commissaire de justice ou d’un tiers désigné. La mainlevée du séquestre suppose une intervention ultérieure du juge, le plus souvent en référé, qui se prononce sur les contestations éventuelles élevées par la personne saisie.

C’est à ce stade que se concentrent les véritables débats : pertinence des pièces saisies, opposabilité du secret des affaires, du secret professionnel ou de la vie privée, modalités de communication aux parties.

1.2. La protection du secret des affaires : un contre-pouvoir nécessaire

L’article L. 151-1 du code de commerce définit le secret des affaires comme toute information qui n’est pas généralement connue ou aisément accessible, revêt une valeur économique du fait de son caractère secret, et fait l’objet de mesures de protection raisonnables. La transposition de la directive (UE) 2016/943 a doté le juge français d’instruments procéduraux permettant de protéger ce secret tout au long de l’instance. Les articles L. 151-4 à L. 151-6 définissent les comportements constitutifs d’atteinte au secret, tandis que l’article L. 152-1 organise les modalités de la réparation.

Le législateur français a fait le choix d’insérer le régime de protection dans le code de commerce et de privilégier des dispositifs procéduraux flexibles, permettant au juge d’adapter son office à la diversité des situations rencontrées. Ce choix s’accommode particulièrement bien des outils technologiques modernes, qui offrent une granularité inédite dans le traitement des informations.

L’article R. 153-1 du code de commerce organise la procédure suivante : lorsqu’il est demandé qu’une pièce dont la confidentialité au titre du secret des affaires est revendiquée soit communiquée ou produite, le juge peut prendre toute mesure pour préserver cette confidentialité. Il peut notamment ordonner la mise sous séquestre provisoire de la pièce et l’examen contradictoire restreint de son contenu.

Selon les articles R. 153-3 et suivants, le juge peut décider de ne communiquer la pièce à toutes les parties qu’en une version non confidentielle ou un résumé, ou d’en limiter l’accès à certaines personnes désignées. Cette procédure, qui s’articule avec l’article 145 du CPC, repose sur une logique de tri : il faut, parmi la masse des documents saisis, identifier ceux qui revêtent une portée probatoire utile, ceux qui sont étrangers au litige et doivent être restitués, et ceux qui, tout en étant pertinents, contiennent des informations couvertes par le secret des affaires et nécessitent un traitement spécifique — résumé, occultation, restriction du cercle de communication, voire constitution d’un cercle de confiance limité aux conseils des parties.

Le secret des affaires n’est pas, en droit français, un secret absolu opposable au juge. Il cède devant l’exigence d’un procès équitable et la nécessité, pour une partie, de faire valoir ses droits. Le juge dispose toutefois d’un pouvoir de modulation considérable, qu’il exerce au cas par cas, en tenant compte de la nature des pièces, de leur pertinence, de l’étendue de la confidentialité revendiquée et des intérêts en présence.

La complexité de cet exercice de pondération, parfois conduit sur des centaines de milliers de documents, justifie pleinement la réflexion sur l’apport de technologies de tri intelligent.

L’articulation entre l’article 145 du CPC et le régime du secret des affaires impose en effet aux acteurs du procès une appréciation parfois méthodologiquement vertigineuse : il ne s’agit pas seulement de décider quelles pièces sont communicables, mais de procéder à un tri délicat sur de très grands volumes, dans des délais courts, sous la pression de l’enjeu économique et avec la conscience que toute erreur peut emporter un préjudice irréparable, qu’il s’agisse d’une divulgation prohibée ou d’un défaut probatoire.

2. Les apports de l’intelligence artificielle dans la gestion des saisies probatoires

2.1. Une typologie d’outils mobilisables

Avant d’examiner les usages, il convient de préciser les outils d’IA susceptibles d’être mobilisés dans le cadre d’une saisie fondée sur l’article 145 du CPC. Cinq familles principales se distinguent :

Recherche par mots-clés enrichie et recherche sémantique

Historiquement, la sélection des documents saisis repose sur des requêtes par mots-clés, le plus souvent fournies dans la requête initiale et reprises dans l’ordonnance. L’IA, et notamment les techniques de traitement automatique du langage (TAL) reposant sur des plongements lexicaux (word embeddings) ou des modèles transformeurs, permet désormais une recherche sémantique : au lieu de simplement rechercher l’occurrence d’un terme, l’algorithme identifie les documents traitant d’un concept ou d’un sujet, même lorsque la terminologie diverge. Cette capacité est particulièrement précieuse lorsque les acteurs de l’entreprise saisie utilisent un vocabulaire technique, un jargon interne, des acronymes ou des contournements terminologiques.

Classification automatique et clustering

Les techniques de classification supervisée — qui exigent un corpus d’entraînement préalable — permettent d’apprendre à un modèle à distinguer des catégories de documents : pertinent / non pertinent, confidentiel / non confidentiel, technique / commercial / juridique, etc. Le clustering, technique non supervisée, regroupe spontanément les documents par proximité thématique, offrant au commissaire de justice et aux parties une vue d’ensemble structurée de la masse documentaire. Ces deux approches sont souvent combinées : le clustering permet une exploration initiale, la classification une qualification ciblée.

Détection d’entités nommées et extraction d’information

La détection d’entités nommées (Named Entity Recognition, NER) repère automatiquement les noms de personnes, sociétés, lieux, dates, montants, numéros de contrats ou d’identification, etc. Combinée à l’extraction de relations, elle peut permettre d’identifier des mentions de clients, de partenaires, de fournisseurs ou de salariés non visés par le litige, ainsi que des éléments potentiellement sensibles tels que des chiffres financiers, des données à caractère personnel ou des informations stratégiques.

Déduplication, near-duplication et threading

Les outils de déduplication exacte (par hash) éliminent les doublons stricts, tandis que la Near-Duplicate Detection identifie les versions successives d’un même document, les chaînes de courriels et leurs réponses, ou les pièces jointes répétées. Cette fonctionnalité peut réduire significativement le volume des documents soumis au tri ultérieur. Sur un disque dur professionnel comportant plusieurs centaines de milliers de fichiers, il n’est pas rare que la déduplication permette de ramener le corpus utile à une fraction modeste de l’ensemble initial.

Revue prédictive (predictive coding / TAR)

Connue dans la pratique anglo-saxonne sous le nom de Technology Assisted Review, la revue prédictive consiste à entraîner, à partir d’un échantillon revu manuellement, un modèle capable d’attribuer à chaque document non revu une probabilité de pertinence ou de sensibilité.

2.2. Les apports concrets pour le tri probatoire

Le premier apport, sans doute le plus tangible, tient à la capacité de l’IA à réduire le volume des documents effectivement examinés sans pour autant restreindre artificiellement le champ de la mesure ordonnée.

Là où une saisie sur disque dur d’un cadre dirigeant peut générer plusieurs centaines de milliers, voire plusieurs millions de fichiers — comprenant courriels, archives, documents bureautiques, fichiers PDF, fichiers techniques et données système —, la combinaison de la déduplication, de la détection des fichiers systèmes inutiles, du filtrage par dates et expéditeurs, puis de la classification automatique, permet de circonscrire le corpus à examiner à une fraction de l’ensemble initial.

L’autorisation judiciaire fixe en général le champ matériel et temporel de la mesure (par exemple : documents échangés entre M. X et la société Y entre le 1er janvier 2024 et la date de la saisie, relatifs à un projet déterminé).

L’IA peut concrètement aider à ne retenir, dans la masse saisie, que les documents répondant à ces critères, tout en signalant les documents proches du périmètre qui pourraient faire l’objet d’une discussion contradictoire. Au-delà du tri sur la pertinence, l’IA peut être paramétrée pour identifier les documents susceptibles de contenir des informations couvertes par le secret des affaires : pièces relatives aux savoir-faire industriels, données financières non publiées, listes de clientèle, marges, conditions commerciales sensibles, ou encore informations relatives à des tiers.

Cette identification anticipée facilite considérablement la mise en œuvre ultérieure de la procédure prévue par l’article R. 153-1 du code de commerce. L’IA permet également d’établir des cartographies fines : documents potentiellement couverts par le secret professionnel de l’avocat, données à caractère personnel relevant du Règlement (UE) 2016/679 (RGPD), communications entre l’entreprise saisie et des tiers non-parties au litige (clients, fournisseurs, salariés, partenaires), correspondance avec les autorités publiques, etc. Cette cartographie nourrit utilement la discussion contradictoire ultérieure et offre au juge une grille de lecture structurée des points de friction probable.

Enfin, un atout déterminant de l’usage de l’IA réside dans la traçabilité des opérations : les outils modernes enregistrent les requêtes, les paramètres utilisés, les décisions d’inclusion ou d’exclusion, voire les motivations algorithmiques. Cette piste d’audit est précieuse à la fois pour le juge appelé à statuer sur d’éventuelles contestations et pour les parties souhaitant vérifier la régularité du tri. Elle constitue, dans le contexte français, un élément central de légitimation du procédé vis-à-vis des exigences procédurales fondamentales.

L’IA au service d’une meilleure conciliation entre droit à la preuve et protection du secret des affaires

2.3. L’IA comme instrument de proportionnalité

L’exigence jurisprudentielle de circonscription des mesures de saisie, qui se traduit pratiquement par la définition précise du champ temporel, des destinataires, des mots-clés et des supports concernés, peine, en pratique, à se traduire au stade matériel de l’exécution.

Le commissaire de justice, confronté à la nécessité de saisir efficacement avant que les preuves ne disparaissent, opère souvent une captation large, charge ultérieurement au juge du séquestre de procéder au tri. L’IA permet de modifier cette logique en intégrant le tri dans le processus même de la saisie ou immédiatement après celle-ci.

L’apport est double. D’une part, sur le terrain de la requête, le demandeur peut désormais décrire avec précision les modalités algorithmiques du tri envisagé, ce qui renforce la conviction du juge quant au caractère proportionné de la mesure. D’autre part, sur le terrain de l’exécution, le commissaire de justice peut, dès la saisie, opérer un premier filtrage automatisé qui réduit immédiatement le volume des données extraites et limite, en conséquence, l’ampleur de l’atteinte portée au patrimoine informationnel de la personne saisie.

L’examen des décisions rendues sur le terrain de l’article 145 du CPC fait apparaître une attention croissante portée par les juridictions à la démonstration de la proportionnalité. Le recours à l’IA, en ce qu’il permet d’objectiver les paramètres de tri, peut nourrir cette démonstration.

Une requête bien construite décrira non seulement les destinataires et les mots-clés, mais aussi le mode opératoire algorithmique : type de modèle utilisé, taxonomie de catégories, seuils de probabilité, modalités de validation humaine. Une telle précision est de nature à renforcer la légitimité de la mesure et à faciliter le contrôle exercé par le juge. Elle permet, en particulier, de répondre par anticipation aux objections que la partie saisie pourrait élever lors d’une instance en rétractation ou en mainlevée du séquestre, fondée sur le caractère prétendument exploratoire ou disproportionné de la saisie.

Le séquestre lui-même peut tirer profit des techniques d’IA : indexation automatique des pièces, mise à disposition d’un environnement de revue sécurisé permettant aux parties et à leurs conseils d’examiner, dans un cadre confidentiel et tracé, les documents litigieux. Certaines plateformes permettent d’organiser des data rooms sécurisées auxquelles seuls des avocats désignés ont accès, avec des restrictions de téléchargement, d’impression et d’export. Cette ingénierie procédurale, longtemps réservée aux dossiers les plus complexes, devient progressivement accessible à un éventail plus large de contentieux.

L’IA dans la phase contradictoire et de tri (article R. 153-1 du code de commerce)

L’IA peut considérablement accélérer la mise en œuvre de la procédure de tri contradictoire prévue par l’article R. 153-1 du Code de commerce. Plutôt que d’imposer aux parties un examen pièce à pièce, le pré-tri permet de présenter les documents par catégories homogènes : pièces clairement pertinentes et non sensibles, pièces non pertinentes à restituer, pièces pertinentes mais potentiellement protégées, pièces relevant manifestement de tiers. Cette structuration réduit la tentation, parfois observée, d’un examen rapide et superficiel d’un volume écrasant de documents.

L’article R. 153-3 du code de commerce envisage la communication de versions non confidentielles ou de résumés. Les outils de caviardage automatique, fondés sur la détection d’entités nommées et la reconnaissance de motifs sensibles, peuvent grandement faciliter cette opération. Ces outils ne dispensent évidemment pas d’une validation humaine, mais ils proposent une première occultation cohérente, traçable et reproductible. Cette dernière qualité est essentielle : un caviardage humain, opéré par plusieurs collaborateurs sur des centaines de documents, est inévitablement entaché d’incohérences que l’algorithme permet d’éviter.

Les saisies de l’article 145, lorsqu’elles portent sur des volumes documentaires importants, peuvent donner lieu à des procédures de tri qui s’étalent sur plusieurs mois. Cette durée est préjudiciable à toutes les parties : au demandeur qui ne peut faire valoir ses droits, à la personne saisie dont l’activité est perturbée et dont les frais s’accumulent, et au juge dont les ressources sont sollicitées de manière disproportionnée.

L’IA, en automatisant les tâches répétitives de tri, peut réduire significativement ces délais et permettre une concentration des moyens humains sur les pièces effectivement litigieuses.

2.4. Les conditions d’un usage probant et loyal de l’IA

L’article 9 du CPC impose à chaque partie de prouver, conformément à la loi, les faits nécessaires au succès de sa prétention. Cette obligation s’accompagne, en jurisprudence, d’un principe de loyauté probatoire qui prohibe le recours à des modes de preuve déloyaux. L’usage de l’IA dans le cadre d’une saisie probatoire doit s’inscrire dans le respect de ce principe : il ne saurait conduire à une capture déloyale d’informations, ni à une présentation tronquée des résultats du tri.

Pour être loyal, l’usage de l’IA suppose la transparence : description du modèle utilisé, du corpus d’entraînement le cas échéant, des critères de tri, des seuils de décision. Cette transparence est exigible tant à l’égard du juge, qui doit pouvoir apprécier la régularité du procédé, qu’à l’égard de la partie adverse, qui doit pouvoir contester les choix opérés. Cette exigence ne saurait toutefois se traduire par une divulgation intégrale du code source de modèles commerciaux, dont la confidentialité est elle-même parfois protégée ; un équilibre raisonnable peut être trouvé dans la communication d’une documentation technique fonctionnelle, accompagnée d’une description des paramètres utilisés pour le dossier en cause.

L’IA ne saurait fonctionner comme une boîte noire. Toute décision d’inclusion ou d’exclusion d’un document du périmètre probatoire doit pouvoir être discutée contradictoirement. En pratique, cela suppose la conservation des journaux d’opérations, la possibilité pour le juge ou les parties de solliciter une vérification par échantillonnage, et la mise en place de procédures de réexamen en cas de doute.

Cette validation contradictoire constitue, en réalité, l’équivalent moderne du débat sur la pertinence des pièces. Les plateformes modernes de revue documentaire offrent des fonctionnalités avancées de logging : enregistrement des requêtes, des décisions, des paramètres, des utilisateurs, des horodatages.

Ces journaux constituent un élément clé de la sécurité juridique du procédé. Leur conservation, leur format et leurs modalités de production en justice méritent une réflexion dédiée, qui pourrait utilement faire l’objet de protocoles entre les professionnels concernés. L’usage de ces outils suppose une montée en compétence des commissaires de justice, des experts, des avocats et des magistrats.

Le règlement (UE) 2016/679 (RGPD) trouve à s’appliquer dès lors que les documents saisis comportent des données à caractère personnel — ce qui est presque toujours le cas en matière commerciale.

L’analyse algorithmique de ces documents doit reposer sur une base légale identifiée (le plus souvent l’intérêt légitime ou l’exécution d’une mission d’intérêt public lorsque les opérations sont conduites sous autorité judiciaire) et respecter les principes de minimisation, de sécurité et de limitation de la conservation.

Le règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, dit règlement IA, dont l’entrée en application est échelonnée, classe certains usages de l’IA en matière de justice parmi les systèmes à haut risque.

L’usage d’outils algorithmiques dans le cadre des saisies probatoires devra, à mesure que ce règlement déploiera ses effets, s’inscrire dans le respect des obligations de transparence, de robustesse, de traçabilité et de surveillance humaine qu’il édicte.

 

3. Les limites, risques et garanties nécessaires

3.1. Les risques techniques

Les modèles de langage à grande échelle, et plus particulièrement les modèles génératifs, sont susceptibles de produire des résultats erronés, voire fabriqués. Si cette difficulté concerne surtout les usages génératifs (synthèses, résumés, propositions de qualification), elle invite à la prudence : le résultat d’un modèle d’IA ne saurait être tenu pour fiable sans validation humaine, particulièrement lorsque le périmètre probatoire est en cause.

Les techniques de classification supervisée et la détection d’entités nommées, plus matures et mieux évaluées, demeurent plus sûres que les usages génératifs ouverts. Les modèles supervisés reflètent les biais de leur corpus d’entraînement. Un modèle entraîné majoritairement sur des contentieux de propriété intellectuelle pourra mal performer sur un contentieux de pratiques restrictives de concurrence.

La transposition d’outils éprouvés dans un domaine vers un autre suppose une revalidation systématique.

Le recours à des plateformes d’IA, notamment lorsqu’elles s’appuient sur des modèles hébergés à l’étranger, soulève la question de la confidentialité des informations traitées. Le respect du secret professionnel des avocats, du secret des affaires, des secrets industriels et de défense, et plus largement de la souveraineté numérique, impose de privilégier des solutions hébergées sur le territoire de l’Union européenne, voire en environnement souverain. Le risque d’application extraterritoriale de législations étrangères, en particulier américaines, justifie une vigilance accrue lors du choix des prestataires. La conservation indéfinie des données saisies pose des questions tant au regard du RGPD qu’au regard du droit interne.

La fin du litige doit normalement entraîner la destruction des données saisies non utilisées, et l’auditabilité de cette destruction doit être garantie. Sur ce point, les outils d’IA peuvent également jouer un rôle : traçabilité des opérations de purge, attestation de destruction, identification systématique des documents à conserver pour de éventuelles instances futures.

3.2. Les risques procéduraux

Le principal risque procédural tient à l’opacité éventuelle du procédé. Si la partie adverse ne peut comprendre, ni contester, les motifs algorithmiques d’inclusion ou d’exclusion d’un document, le principe du contradictoire est compromis. La jurisprudence européenne, attentive à l’effectivité du contradictoire et à l’égalité des armes consacrée par l’article 6 de la Convention européenne des droits de l’homme, devra à terme se saisir de cette question.

Le présage d’une régulation prétoriale est d’autant plus prévisible que les enjeux économiques concernés sont élevés.

Le juge demeure souverain ; le commissaire de justice, l’expert et les avocats sont des auxiliaires de justice. L’IA ne saurait se substituer à leur appréciation, mais seulement assister leur travail. Toute délégation excessive — qui ferait, par exemple, dépendre la solution d’une contestation d’un seul score algorithmique — porterait atteinte à l’office du juge et méconnaitrait le principe selon lequel la justice est rendue par des humains au bénéfice d’humains.

Comment qualifier juridiquement l’IA mobilisée dans le cadre d’une saisie : simple outil technique, technique d’expertise, ou auxiliaire procédural sui generis ? La doctrine commence à se saisir de cette question, dont la réponse aura des incidences sur le régime de responsabilité, sur les modalités de contestation et sur les garanties exigibles. La qualification retenue déterminera notamment le régime applicable aux erreurs de l’IA et la répartition des responsabilités entre le concepteur du modèle, l’opérateur (commissaire de justice ou prestataire technique) et la partie qui en sollicite l’usage.

Les garanties indispensables

Le juge doit demeurer maître du procédé. Cela implique qu’il vérifie, dans l’ordonnance sur requête, la pertinence des paramètres techniques proposés, et qu’il puisse, au stade du séquestre et du tri, ordonner toute mesure correctrice qu’il estime nécessaire. Il pourra notamment exiger la communication de la documentation technique, la production des journaux d’opérations, la réalisation de vérifications par échantillonnage, voire le recours à un expert indépendant pour apprécier la fiabilité du dispositif.

Le contradictoire suppose la possibilité, pour chaque partie, de discuter les choix algorithmiques. Cela peut se traduire par la communication, en début de procédure de tri, des paramètres utilisés, par la possibilité de solliciter des contre-expertises et par la production des journaux d’opérations en cas de contestation.

L’élaboration de protocoles de tri, négociés entre les parties et homologués par le juge, constitue à cet égard une pratique en plein essor qui mérite d’être encouragée. L’élaboration de standards techniques, qu’il s’agisse de protocoles de conservation, de formats d’exportation des logs ou de modalités de validation des modèles, contribuera à la sécurité juridique du procédé.

Le Règlement (UE) 2024/1689 produira, dans les années à venir, des effets significatifs sur l’usage de l’IA dans le contexte juridictionnel. Ses dispositions sur les systèmes à haut risque, sur les obligations de transparence, sur le marquage de conformité et sur la surveillance humaine viendront structurer une pratique aujourd’hui largement empirique.

Il appartiendra à la jurisprudence, française et européenne, de préciser les conditions de loyauté, de proportionnalité et de respect du contradictoire applicables à ces nouveaux outils, et d’articuler les exigences techniques avec les principes fondamentaux du procès civil.

 

Conclusion

L’article 145 du CPC constitue, à raison, l’un des instruments probatoires les plus puissants du droit français. Sa large amplitude lui confère une efficacité considérable, qui s’accompagne toutefois d’une potentielle intrusion massive dans la sphère informationnelle des entreprises saisies.La loi du 30 juillet 2018, en consacrant la protection du secret des affaires, a doté le juge d’instruments procéduraux essentiels pour réguler cette intrusion sans en compromettre l’effectivité.L’introduction de l’intelligence artificielle dans le processus de saisie et de tri probatoire ouvre de réelles perspectives. En permettant un tri précoce, ciblé, traçable et reproductible, l’IA peut concrétiser l’exigence de proportionnalité jusqu’ici souvent abstraite, et faciliter la mise en œuvre du tri contradictoire prévu par l’article R. 153-1 du code de commerce. Elle peut, en somme, contribuer à un meilleur équilibre entre les exigences du procès équitable et la protection légitime des informations sensibles.Cet apport ne sera toutefois pleinement bénéfique que si l’usage de l’IA est strictement encadré : transparence, loyauté, contradictoire, auditabilité, validation humaine, encadrement par le juge et formation des acteurs. À défaut, l’IA risquerait de dévoyer le procédé en substituant une opacité algorithmique à l’opacité matérielle qu’elle prétend dissiper. C’est donc dans une perspective d’enrichissement, et non de remplacement, des techniques traditionnelles que l’IA doit trouver sa place dans la saisie probatoire fondée sur l’article 145 du CPC.Le législateur, le juge, les auxiliaires de justice et les parties ont chacun un rôle à jouer pour que se construise, par étapes, un régime à la fois exigeant et adaptable. Le règlement européen sur l’intelligence artificielle, articulé avec le RGPD, constitue le cadre transversal qui structurera cette construction.Au-delà du contentieux probatoire, c’est plus largement la modernisation de la pratique civile et commerciale qui se joue ici. L’intelligence artificielle, lorsqu’elle est mise au service d’objectifs procéduraux clairement identifiés et entourée de garanties suffisantes, peut accroître l’efficacité du procès sans amoindrir les droits fondamentaux des parties. C’est dans cette voie, exigeante et raisonnée, que devrait s’engager la pratique de l’article 145 dans les années à venir.

 

À propos de l’auteur

Nicolas Herzog est Associé fondateur du Cabinet H2O Avocats.

---

Rédigé avec l’assistance d’un outil d’IA

Alexandre Fievée se penche sur la question de savoir si un enregistrement audio d’un entretien peut être réalisé sans que les personnes présentes à cet entretien en soient informées et aient donné leur consentement.

 

Les points clés à retenir sur l’enregistrement audio clandestin

• Le RGPD prévoit six bases légales permettant de fonder un traitement de données personnelles.
• Le consentement doit être libre, spécifique, éclairé et univoque.
• L’intérêt légitime suppose que le traitement soit nécessaire à l’objectif poursuivi.
• Le responsable du traitement doit vérifier qu’il n’existe pas de moyen moins intrusif pour la vie privée.
• Les attentes raisonnables des personnes concernées doivent être prises en compte.
• Les enregistrements audio secrets sont en principe illégaux et ne sont admissibles que dans des cas exceptionnels.

 

Les bases légales applicables à un enregistrement audio

« La base légale d’un traitement est ce qui autorise légalement sa mise en œuvre, ce qui donne le droit à un organisme de collecter ou d’utiliser des données personnelles »¹, indique la CNIL. On parle également de « fondement juridique » ou de « base juridique » du traitement. L’article 6 du RGPD énumère six bases légales : le consentement de la personne concernée ; le contrat ; l’obligation légale ; la sauvegarde des intérêts vitaux ; l’intérêt public et l’intérêt légitime. Il convient de préciser qu’il n’existe aucune hiérarchie entre les différentes bases légales. « Par exemple, le consentement ne prévaut pas sur les autres bases légales. La base légale appropriée doit être déterminée par le responsable du traitement de manière adaptée à la situation et au type de traitement, au cas par cas », rappelle la CNIL².

Le consentement : une base légale strictement encadrée

Le consentement est l’une des six bases légales. Mais pour qu’il soit mobilisé, il faut qu’il remplisse plusieurs conditions. Il doit être : libre (il ne doit pas être contraint ni influencé ; la personne doit se voir offrir un choix réel, sans avoir à subir de conséquences négatives en cas de refus) ; spécifique (il n’est lié qu’à un seul traitement, une finalité déterminée ; éclairé (il doit être accompagné d’un certain nombre d’informations communiquées à la personne avant qu’elle ne consente) ; et univoque (il doit être donné par une déclaration ou tout autre acte positif clair ; aucune ambiguïté quant à l’expression du consentement ne peut demeurer).

L’intérêt légitime peut-il justifier un enregistrement clandestin ?

L’intérêt légitime est une autre des six bases légales qui peut être utilisée pour fonder un traitement nécessaire à la satisfaction des intérêts du responsable du traitement. Toutefois, il ne peut être retenu que si le traitement satisfait à la condition de « nécessité ». « L’organisme doit vérifier que le traitement de données qu’il envisage permet effectivement d’atteindre l’objectif poursuivi, et non, en réalité, d’autres objectifs, précise la CNIL. Il doit également s’assurer qu’il n’existe pas de moyen moins intrusif pour la vie privé d’atteindre cet objectif que de mettre en œuvre le traitement envisagé (par exemple un dispositif ne traitant pas de données personnelles, ou un traitement différent plus protecteur de la vie privée). »³ Par ailleurs, il ne doit pas porter une atteinte importante aux droits et intérêts des personnes concernées. Le recours à cette base légale suppose donc que les intérêts poursuivis par l’organisme ne créent pas de déséquilibre au détriment des droits et intérêts des personnes dont les données sont traitées. Pour apprécier cet équilibre, il doit notamment tenir compte, dans la pondération entre son intérêt légitime et les droits et intérêts des personnes, de leurs « attentes raisonnables ». « Cette prise en compte est essentielle s’agissant de traitements qui peuvent être mis en œuvre sans le consentement préalable des personnes : en l’absence d’un acte positif et explicite de leur part, l’intérêt légitime requiert de ne pas surprendre les personnes dans les modalités de mise en œuvre comme dans les conséquences du traitement »⁴, précise la Cnil.

 

L’enregistrement clandestin devant les juridictions autrichiennes

Les principes du RGPD offrent un cadre d’analyse permettant d’apprécier la licéité d’un enregistrement audio réalisé à l’insu des personnes concernées. Une récente décision de la Cour administrative fédérale autrichienne illustre concrètement la manière dont ces différentes bases légales sont appréciées lorsqu’un tel enregistrement est utilisé pour justifier une prétention en justice.

L’affaire⁵

Dans le cadre de la présentation de ses services numériques, une agence de publicité avait organisé une réunion de travail dans les locaux d’un cabinet médical. A la suite de cet entretien, l’agence adressa une note d’honoraires, qui fut immédiatement contestée par le cabinet médical. Afin d’établir la réalité de la prestation, l’agence communiqua un enregistrement de la conversation qui avait eu lieu lors de cet entretien. Considérant que cet enregistrement est illicite car réalisé au mépris des règles du RGPD (absence d’information préalable et absence de consentement), le cabinet médical déposa une plainte auprès de l’autorité autrichienne de protection des données. Une amende administrative a été infligée à l’agence de publicité, qui a fait appel de la décision.

La question de la base légale du traitement se posait au cas d’espèce.

Pourquoi la Cour écarte l’intérêt légitime

Tout comme l’autorité de protection des données, la Cour fédérale autrichienne a estimé que l’agence de publicité ne pouvait pas se fonder sur son intérêt légitime (article 6.1 f)), dès lors que cette dernière ne fournissait aucune indication permettant de conclure, d’une part, que les données collectées étaient nécessaires à la réalisation de l’objectif visé et, d’autre part, qu’il n’existait pas de moyens moins intrusifs pour y parvenir. Elle précise : « Pour qu’un traitement de données soit licite aux fins de la défense contre des prétentions juridiques, encore faut-il que ces prétentions soient prévisibles. (…) il doit exister un état de nécessité en matière de preuve, ce qui n’était pas le cas en l’espèce. » Et de conclure : « Les enregistrements audio secrets sont en principe illégaux et ne sont admissibles que dans des cas exceptionnels. »

Pourquoi le consentement a également été rejeté

La plaignante fondait également son traitement sur le consentement, expliquant qu’avaient été remis au cours de l’entretien des documents contractuels indiquant que « dans un souci d’amélioration de la qualité, le [client] consent à l’enregistrement de tous les entretiens (…) ». Par ailleurs, elle soutenait que l’agence avait été informée oralement d’un tel enregistrement, ce que cette dernière contestait. Partant, la Cour a estimé que les conditions du consentement n’étaient pas respectées et a précisé : « Lorsque le consentement du traitement des données à caractère personnel est subordonné à la conclusion d’un contrat, il convient en principe de considérer que le consentement n’est pas donné librement, à moins que des circonstances particulières ne plaident en faveur du caractère libre du consentement au regard de la protection des données. De telles circonstances ne sont pas réunies en l’espèce. » Le recours contre la décision de l’autorité autrichienne de protection des données a donc été rejeté par la Cour fédérale.

 

Quelles recommandations ?

Cette solution n’est pas surprenante. L’enregistrement clandestin ne devrait pas, au regard des principes du RGPD, pouvoir être licite. En d’autres termes, faute de consentement de l’interlocuteur, l’enregistrement devrait être considéré de facto comme illicite. Toutefois, la Cour fédérale envisage une hypothèse de licéité hors consentement : celle de « l’état de nécessité » du responsable du traitement. Ce dernier pourrait alors se prévaloir de son intérêt légitime, mais à condition toutefois que la situation reste exceptionnelle et, on le suppose, qu’il ait informé son interlocuteur du dispositif d’enregistrement. A n’en pas douter, les situations vont se multiplier dans les prochaines semaines avec notamment la démocratisation des outils de dernière génération, comme les lunettes connectées. A suivre…

À propos de l’auteur

Alexandre Fiévée est avocat associé au sein du cabinet DERRIENNIC associés. Il intervient principalement en protection des données personnelles, droit du numérique, propriété intellectuelle et nouvelles technologies.

 

Sources

1. https://www.cnil.fr/fr/definition/base-legale.
2. https://www.cnil.fr/fr/les-bases-legales/liceite-essentiel-sur-les-bases-legales.
3. https://www.cnil.fr/fr/les-bases-legales/interet-legitime.
4. https://www.cnil.fr/fr/les-bases-legales/interet-legitime
5. Cour administrative fédérale (Autriche), W298 2323263-1/11E, 24 mars 2026.

Chez un éditeur de logiciel le code source constitue souvent l’actif le plus stratégique de l’entreprise. Pourtant, sa valeur ne dépend pas uniquement de ses performances techniques ou de son potentiel commercial. Elle repose également sur la capacité de l’entreprise à démontrer qu’elle détient les droits nécessaires pour l’exploiter, le faire évoluer et le commercialiser.

Or, un logiciel est rarement développé de manière linéaire. Au fil de son cycle de vie, de nouveaux développeurs rejoignent le projet, des prestataires interviennent, des bibliothèques open source sont intégrées, des API sont ajoutées et de nouvelles fonctionnalités sont développées. Cette évolution permanente peut progressivement rendre plus difficile l’identification de l’origine des composants du logiciel et des droits qui leur sont attachés.

L‘audit de la PI du logiciel permet précisément de dresser un état des lieux du logiciel, de vérifier que les droits sont correctement sécurisés et d’identifier les éventuels points de vigilance avant qu’ils ne deviennent un frein à son exploitation ou à sa valorisation.

 

Les points clés à retenir sur l’audit de propriété intellectuelle d’un logiciel

• Un audit permet d’identifier les risques de propriété intellectuelle liés à un logiciel.
• Il dresse un état des lieux des actifs qui composent le logiciel.
• Il identifie les risques liés aux composants tiers et à l’open source.
• Il facilite les levées de fonds, les cessions et les opérations de croissance.
• Il permet de définir les actions nécessaires pour mieux protéger et valoriser le logiciel

 

Pourquoi réaliser un audit de propriété intellectuelle d’un logiciel ?

L’audit de propriété intellectuelle va permettre de vérifier que l’entreprise maîtrise l’ensemble des éléments qui composent son logiciel et qu’elle peut en justifier l’exploitation et en défendre ses droits.

Cette démarche devient particulièrement importante à mesure que le logiciel évolue et grossit, ou en anticipation d’une cession. Chaque nouvelle version peut intégrer de nouveaux développements, de nouveaux contributeurs ou des composants tiers. Sans suivi, il devient plus difficile de déterminer précisément qui détient les droits sur chaque élément et quelles obligations s’imposent à l’entreprise.

L’audit de propriété intellectuelle permet de cartographier les actifs qui composent le logiciel au fil de ses évolutions. Cette vision d’ensemble facilite ensuite l’identification et la gestion des risques de propriété intellectuelle.

Sécuriser un actif stratégique

Pour une entreprise éditrice, un logiciel représente bien plus qu’un produit : il constitue un actif immatériel susceptible de générer des revenus, d’attirer des investisseurs ou d’augmenter la valeur de l’entreprise.

Avant une levée de fonds, une cession ou un partenariat stratégique, il est fréquent que les investisseurs réalisent une due diligence afin d’évaluer la qualité des actifs de propriété intellectuelle. Un audit réalisé en amont permet d’identifier les éventuelles anomalies et de mettre en œuvre les actions correctives nécessaires avant qu’elles ne ralentissent les négociations.

Anticiper les risques tout au long du cycle de vie du logiciel

Les difficultés ne proviennent pas uniquement des développements récents. Elles peuvent résulter de décisions prises plusieurs années auparavant : intervention d’un prestataire sans cession de droits, intégration d’une bibliothèque dont la licence n’a jamais été analysée ou disparition des preuves de création et de date des premières versions.

En réalisant un audit de manière régulière, l’entreprise conserve une vision claire de son patrimoine logiciel et limite le risque de découvrir ces difficultés au moment où elles auront les conséquences les plus importantes.

Que vérifie concrètement un audit de propriété intellectuelle d’un logiciel ?

L’entiercement logiciel est aujourd’hui un mécanisme largement utilisé pour sécuriser les relations entre fournisseurs de logiciels et entreprises utilisatrices. Lorsqu’un logiciel devient indispensable à l’activité d’une organisation, la question de sa maintenance, de son évolution et de sa disponibilité dans le temps devient un enjeu contractuel majeur.

Les contrats d’entiercement, parfois aussi appelés contrats d’escrow, permettent précisément d’anticiper certaines situations de défaillance et de prévoir l’accès à des éléments stratégiques, tels que le code source ou la documentation technique. Entre escrow agreement, clause d’accès, dépôt vérifié ou encore libération du code source, les notions employées sont nombreuses et parfois confondues.

Ce glossaire a pour objectif de clarifier les principaux termes utilisés dans les contrats d’entiercement logiciel.

 

Les points clés à retenir sur l’entiercement

• L’entiercement logiciel, ou escrow agreement, vise à sécuriser la continuité d’exploitation d’un logiciel.
• Les dispositifs d’entiercement s’appliquent aussi bien aux logiciels on premise qu’aux solutions SaaS.
• Le mécanisme repose sur trois acteurs principaux : le fournisseur, le bénéficiaire et le tiers de confiance.
• Plusieurs niveaux de vérification de dépôt peuvent être mis en place selon les besoins des parties.
• L’accès aux éléments déposés est strictement encadré par le contrat.
• La libération du code source n’entraîne pas un transfert de propriété intellectuelle.

 

Entiercement logiciel et SaaS escrow : comprendre les deux grands modèles

Avant d’aborder les notions contractuelles de l’entiercement, il convient de distinguer les deux principaux environnements dans lesquels ces mécanismes sont utilisés.

Escrow de logiciel on premise

Un logiciel on premise est installé directement sur les serveurs ou les infrastructures du client. Dans ce modèle, l’entreprise conserve la maîtrise de son environnement d’exploitation.

L’entiercement a principalement pour objet de sécuriser l’accès au code source et à la documentation technique afin de permettre la poursuite de l’exploitation ou de la maintenance du logiciel en cas de défaillance du fournisseur.

SaaS escrow

Le SaaS escrow désigne l’application des mécanismes d’entiercement aux logiciels hébergés dans le cloud.

Dans ce modèle, la continuité d’activité dépend souvent d’éléments complémentaires au code source : procédures d’exploitation, documentation, paramètres techniques ou composants liés à l’environnement d’hébergement. Le SaaS escrow vise à sécuriser l’accès à ces éléments lorsque le service devient déterminant pour son utilisateur.

Pour aller plus loin : SaaS Escrow : comprendre le contrat d’entiercement pour les logiciels cloud.

Réversibilité des données

La réversibilité des données correspond à la capacité pour un utilisateur de récupérer ses données dans un format exploitable lorsqu’il quitte un service ou lorsque celui-ci n’est plus disponible.

Dans un environnement SaaS, cette notion est souvent complémentaire à l’entiercement logiciel. En effet, disposer du code source ne suffit pas toujours à assurer la continuité d’activité si les données ne peuvent pas être récupérées.

Pour aller plus loin : Les clauses de réversibilité : un cadre juridique majeur.

 

Les notions contractuelles de l’entiercement

Les contrats d’entiercement reposent sur plusieurs mécanismes juridiques permettant d’organiser le dépôt, la conservation et les conditions d’accès aux éléments logiciels.

Entiercement logiciel (escrow agreement)

L’entiercement logiciel, également appelé escrow agreement, est un mécanisme contractuel permettant de déposer auprès d’un tiers de confiance les éléments nécessaires à l’exploitation ou à la maintenance d’un logiciel et de définir dans quelles conditions ce logiciel placé sous séquestre peut être récupéré par le bénéficiaire.

L’objectif est de garantir la continuité d’activité du bénéficiaire lorsque certaines situations prévues au contrat surviennent, tout en préservant les droits de propriété intellectuelle du fournisseur.

Pour aller plus loin : Escrow agreement : c’est quoi ?

Contrat tripartite d’entiercement

Le contrat tripartite d’entiercement associe trois parties : le fournisseur, le bénéficiaire et le tiers de confiance.

Cette formule permet de définir dans un document unique les modalités de dépôt, les cas d’accès et les obligations respectives de chacun.

Il s’agit généralement de la formule offrant le niveau de sécurité le plus élevé pour les parties. En effet, le tiers de confiance est directement partie au contrat et s’engage sur certaines obligations liées à la gestion de l’entiercement, notamment le suivi des mises à jour du dépôt et le renouvellement de l’abonnement associé au contrat. Ce suivi contribue à garantir que les éléments déposés restent à jour et mobilisables lorsque les conditions d’accès prévues au contrat sont réunies.

Contrat bipartite

Le contrat bipartite d’entiercement est conclu entre le fournisseur et le bénéficiaire. Le tiers de confiance n’est pas signataire du contrat ; il intervient uniquement en qualité de dépositaire des éléments remis dans le cadre de l’entiercement.

Les parties définissent elles-mêmes les conditions d’accès au dépôt et les modalités de fonctionnement du contrat. Contrairement au contrat tripartite, le suivi des mises à jour du dépôt relève principalement des parties, en particulier du bénéficiaire. Le tiers de confiance conserve les dépôts et met en œuvre la procédure d’accès selon les conditions prévues au contrat.

Clause d’accès

La clause d’accès est une disposition contractuelle intégrée au contrat commercial conclu entre le fournisseur et son ou ses bénéficiaires. Elle permet de préciser l’existence d’un dépôt auprès d’un tiers de confiance et de définir les conditions dans lesquelles les bénéficiaires pourront y accéder.

Contrairement au contrat tripartite d’entiercement, le tiers de confiance n’est pas partie à l’accord et ne participe pas à sa rédaction. Il appartient aux parties de définir clairement les conditions d’accès afin d’éviter toute difficulté d’interprétation en cas de demande de libération du dépôt.

Pour aller plus loin : Clause d’accès : FAQ complète pour sécuriser l’accès aux dépôts logiciels.

 

Les acteurs de l’entiercement

Le fonctionnement d’un contrat d’entiercement repose sur plusieurs acteurs dont les rôles sont complémentaires.

Fournisseur / éditeur de logiciel

Le fournisseur ou éditeur de logiciel est la partie qui développe, commercialise ou maintient le logiciel.

Même lorsqu’un dépôt de code source est réalisé dans le cadre d’un contrat d’entiercement, il demeure titulaire des droits de propriété intellectuelle attachés au logiciel.

Bénéficiaire de l’entiercement

Le bénéficiaire est la personne morale qui bénéficie de la protection offerte par l’entiercement.

Il s’agit généralement du client, licencié ou utilisateur dont l’activité dépend du logiciel concerné.

Tiers de confiance (tiers séquestre)

Le tiers de confiance, également appelé tiers séquestre, est l’organisme indépendant chargé de recevoir, conserver et administrer les dépôts.

Son rôle consiste à assurer la confidentialité des éléments déposés, leur conservation sécurisée et le respect des procédures de restitution prévues au contrat.

 

Les dépôts de code source et les niveaux de contrôle

Tous les dépôts ne présentent pas le même niveau de vérification. Selon les besoins des parties, différents niveaux de contrôle peuvent être mis en place.

Dépôt standard

Le dépôt standard consiste à archiver de manière sécurisée les éléments transmis par le déposant.

Il permet notamment d’obtenir un certificat de dépôt attestant de l’antériorité des éléments déposés, sans vérification de leur contenu.

Dépôt vérifié

Le dépôt vérifié est fréquemment utilisé dans le cadre d’un contrat d’entiercement.

Il permet de vérifier la nature des fichiers déposés, leur lisibilité et leur intégrité au moyen d’empreintes numériques. Il apporte ainsi une meilleure visibilité sur le contenu exact du dépôt.

Dépôt contrôlé

Le dépôt contrôlé constitue le niveau de vérification le plus avancé.

Il inclut notamment l’exécution du logiciel à partir du code source déposé ainsi qu’un contrôle de la cohérence de la documentation fournie. Son objectif est de s’assurer que le logiciel pourra effectivement être repris et exploité en cas de défaillance du fournisseur. Le contrôle du dépôt est réalisé par un agent assermenté missionné par le tiers de confiance.

Comparatif des différents niveaux de dépôt

 

Les conditions d’accès aux éléments déposés

Le dépôt de code source dans le cadre d’un entiercement n’a d’intérêt que si les modalités d’accès au code sont clairement définies et peuvent être mises en œuvre lorsque cela devient nécessaire.

Défaillance du fournisseur

La défaillance du fournisseur désigne toute situation dans laquelle celui-ci n’est plus en mesure d’assurer ses obligations contractuelles.

Elle peut notamment résulter d’une liquidation judiciaire, d’une cessation d’activité ou d’un abandon durable de la maintenance du logiciel.

Cas d’accès

Les cas d’accès correspondent aux événements définis par les parties permettant au bénéficiaire de demander l’accès aux éléments déposés.

Ils doivent être formulés avec précision dans le contrat d’entiercement ou dans la clause d’accès afin d’éviter toute difficulté d’interprétation.

Conditions de libération

Les conditions de libération regroupent les critères que le bénéficiaire doit démontrer pour obtenir l’accès aux éléments déposés.

Elles encadrent juridiquement la procédure de remise du dépôt.

Libération du code source

La libération du code source désigne la remise au bénéficiaire des éléments déposés lorsque les conditions prévues au contrat sont réunies.

Cette procédure permet d’assurer la continuité d’exploitation du logiciel. Elle ne constitue pas un transfert de propriété intellectuelle, mais un droit d’usage limité aux situations prévues par le contrat.

Pour aller plus loin : Libération du code source dans un contrat d’entiercement.

 

Pourquoi l’entiercement logiciel est devenu un outil de gouvernance des actifs numériques ?

La dépendance croissante des organisations à leurs logiciels et à leurs prestataires numériques a profondément renforcé les enjeux de continuité d’activité.

Dans ce contexte, l’entiercement logiciel constitue aujourd’hui un outil de gouvernance permettant de mieux maîtriser le risque fournisseur, d’anticiper les situations de rupture et de sécuriser l’exploitation des actifs numériques stratégiques.

 

L’APP, tiers de confiance pour vos contrats d’entiercement

Depuis plus de quarante ans, l’Agence pour la Protection des Programmes (APP) accompagne les entreprises, éditeurs de logiciels et utilisateurs dans la protection et la sécurisation de leurs actifs numériques.

En qualité de tiers de confiance, l’APP propose plusieurs solutions d’entiercement logiciel adaptées aux besoins des parties, au type de logiciel, on premise ou SaaS, incluant des niveaux de dépôt standard, vérifié ou contrôlé.

Découvrez ci-dessous les solutions d’entiercement proposées par l’APP.

 

Coup d’envoi des soldes d’été 2026, les e-commerçants entrent dans une période stratégique en matière de réductions de prix.
Black Friday, ventes privées, outlet, archives, fêtes des mères et des pères : les opérations promotionnelles se sont multipliées tout au long de l’année, au point de devenir un mode de commercialisation quasi permanent pour certaines enseignes. Cette inflation d’offres déclenche mécaniquement une intensification des contrôles de la DGCCRF.

Décryptage du régime juridique applicable et des bonnes pratiques à mettre œuvre.

 

Les points clés à retenir sur les soldes et les promotions en ligne

• Soldes et promotions répondent à des régimes juridiques distincts : les soldes sont strictement encadrés par le Code de commerce, tandis que les promotions peuvent être organisées toute l’année sous certaines conditions.
• Toute réduction de prix doit reposer sur un avantage économique réel pour le consommateur et ne pas créer une impression trompeuse d’urgence ou de rareté.
• Le prix de référence constitue le principal point de vigilance : sauf exceptions, il correspond au prix le plus bas pratiqué au cours des 30 jours précédant la réduction.
• L’utilisation du terme « soldes » est réservée aux périodes légales et ne peut être employée en dehors des dates fixées par la réglementation.
• Les contrôles de la DGCCRF se renforcent, notamment à l’encontre des acteurs du e-commerce recourant à des remises permanentes ou à des prix de référence inexacts.
• Les sanctions peuvent être particulièrement élevées, avec des amendes pouvant atteindre plusieurs millions d’euros et une publication des décisions de sanction.
• La conformité repose sur l’anticipation : qualification des opérations, traçabilité des prix, archivage des historiques tarifaires et contrôle des supports de communication sont devenus indispensables.

 

1. Liberté des prix & protection du consommateur

Le droit français repose sur le principe fondamental de la liberté des prix. Les tarifs sont déterminés par le libre jeu de la concurrence sur le marché. Ce principe doit néanmoins cohabiter avec l’enjeu de protection du consommateur, particulièrement important lors des ventes à distance.

C’est la raison pour laquelle le e-commerçant qui cible des consommateurs résidant en France¹ – doit respecter l’ensemble des obligations imposées par le Code de la consommation : obligation d’information précontractuelle, mise en œuvre de l’exercice du droit de rétractation, adhésion à un médiateur de la consommation… Ces exigences demeurent pleinement applicables y compris durant la période spécifique des soldes.

2. Soldes et promotions : deux régimes juridiques distincts

La première erreur consiste à traiter indifféremment soldes et promotions. Bien qu’elles partagent certaines obligations, ces opérations sont régis par deux régimes juridiques distincts.

Les soldes : un régime d’exception strictement et temporellement encadré

Les soldes répondent à l’article L.310-3 du Code de commerce et obéissent à une logique précise : l’écoulement accéléré de marchandises en stock, sur des périodes imposées (deux fois par an, aux dates fixées par arrêté ministériel). De cet objectif découlent plusieurs règles structurantes :

Première contrainte, qui est déterminante pour les cybermarchands : les produits annoncés comme soldés doivent avoir été proposés à la vente et payés depuis au moins un mois avant le début des soldes. Autrement dit, aucun réapprovisionnement spécifique n’est admis. Concrètement, il est désormais trop tard pour constituer un stock dédié aux soldes d’été : la marchandise éligible est déjà figée.

Deuxième particularité : la revente à perte est exceptionnellement autorisée pendant les soldes — dérogation majeure au principe d’interdiction qui prévaut le reste de l’année.

Troisième volet, la publicité est strictement encadrée. Le e-commerçant ne peut pas employer le terme « soldes » ou tout dérivé en dehors des périodes imposées. Comme dans une vitrine d’une boutique physique, aucune référence aux soldes ne peut figurer sur le site avant ou après les dates officielles : ni bannière en page d’accueil, ni mention sur les fiches produits. Pendant la période des soldes, le consommateur doit pouvoir distinguer clairement les produits soldés des autres, y compris en ligne : affichage spécifique, catégories dédiées dans les menus, code couleurs sur les fiches produits etc… Enfin, le client doit ensuite comprendre le prix soldé, et pouvoir déterminer le prix de référence (Cf. Infra)

Les promotions : toute l’année, mais sous double condition

Toute réduction de prix proposée en dehors des périodes de soldes est une promotion. Pas de période imposée, mais la revente à perte y est interdite. Pour être licite, une promotion doit réunir deux conditions cumulatives.

Première condition : le caractère temporaire de la réduction. L’opération promotionnelle doit être limitée dans le temps. La logique est claire : si un produit est proposé « en promotion » en permanence, ce n’est plus une offre spéciale, c’est son prix habituel. Présenter un tel prix comme une réduction limitée relève de la pratique commerciale trompeuse, car elle biaise la décision du consommateur en générant un sentiment d’urgence injustifié — l’incitant à l’achat compulsif.

A titre d’exemple, sur le marché de la literie, la Cour d’appel de Paris (2 avril 2025, n° 23/05696) a condamné une politique de codes promotionnels quasi permanents au point que plus de 92 % des ventes étaient réalisées « en promotion ». Le tout assorti de comptes à rebours réinitialisés à chaque retour de l’internaute sur le site. La Cour a relevé que ces promotions, structurellement permanentes, étaient présentées comme des offres limitées, et que le compte à rebours aggravait la tromperie en créant artificiellement l’urgence. Elle a considéré que cet acteur de la literie devait indemniser son concurrent à hauteur a de 2 millions d’euros en réparation de son préjudice économique résultant des pratiques commerciales déloyales s’agissant de la mise en œuvre d’une politique de promotions illicites, lesdites pratiques ayant eu pour but de capter indûment des clients et donc des parts de marché.

Deuxième condition : le caractère promotionnel du prix. L’avantage consenti doit être sincère : la réduction s’apprécie par rapport au prix antérieur effectif, et non à un prix artificiellement gonflé. Le consommateur doit retirer un gain économique réel.

3. Le prix de référence : le défi majeur de la conformité

L’identification et la présentation du prix de référence correct constituent un enjeu majeur de conformité en matière de commerce électronique, tant pour les soldes que pour toutes les opérations promotionnelles.

L’évolution du cadre juridique

Ce prix de référence a connu une histoire mouvementée avant de se stabiliser. L’arrêté du 31 décembre 2008² imposait son indication mais en retenait une définition stricte, jugée trop restrictive en 2014 par la CJUE³ concernant la législation belge. L’arrêté du 11 mars 2015⁴ a alors supprimé la définition du prix de référence, se contentant d’exiger que toute réduction de prix était licite sous réserve qu’elle ne constitue pas une pratique commerciale déloyale. En pratique, il n’était pas facile pour les e-commerçants d’identifier ce qu’était un prix « loyal » et encore moins de le prouver en cas de contrôle.

Ces difficultés, conjuguées à la croissance exponentielle des réductions de prix, ont conduit à une adaptation du cadre juridique.

La règle des 30 jours

L’ordonnance du 22 décembre 2021⁵, transposant la directive « Omnibus » et applicable depuis le 28 mai 2022, a rétabli une règle objective, codifiée à l’article L.112-1-1 du Code de la consommation. Désormais, toute annonce de réduction doit indiquer le prix antérieur, défini comme le prix le plus bas pratiqué par le professionnel à l’égard de tous les consommateurs au cours des trente derniers jours précédant l’application de la réduction. L’objectif est double : empêcher le gonflement artificiel du prix de départ et éviter d’induire le consommateur en erreur sur l’ampleur réelle de la remise.

Les exceptions au prix antérieur

Trois exceptions doivent être soulignées D’abord, les produits périssables menacés d’altération rapide, c’est-à-dire les produits alimentaires ayant une Date Limite de Consommation. Ensuite, en cas de réductions successives pendant une période déterminée, le prix antérieur est celui pratique avant l’application de la première réduction de prix. Enfin ne sont pas concernées, les comparaisons avec le prix d’un autre professionnel.

Les opérations concernées et les zones grises

La qualification de l’opération appelle une analyse au cas par cas. Sont concernées les annonces du type « 10 € de réduction », « 20 % de réduction » ou les formulations littérales (« prix soldé », « offre spéciale », « offre Black Friday »). Échappent en revanche au régime du prix antérieur l’offre de bienvenue (« -10 % sur votre premier achat »), les offres conditionnelles (« -30 % sur le 2e article ») et les réductions non ouvertes à tous les consommateurs (anniversaire client, programme de fidélité). Une zone grise demeure : que se passe-t-il lorsque le consommateur peut ouvrir un compte fidélité simultanément, en deux clics, au moment même où l’offre lui est présentée ? Est-ce qu’il s’agit réellement d’une « réduction personnalisée » échappant à l’affichage du prix de référence ?

4. Risques à identifier & sanctions encourues

Le non-respect de ces règles constitue une pratique commerciale trompeuse⁶, assortie de sanctions pénales lourdes : jusqu’à deux ans d’emprisonnement (porté à trois ans en cas de contrats conclus, cinq ans lorsque le délit est commis en ligne) et des amendes pouvant aller jusqu’à 1,5 millions d’euros pour les personnes morales (voire 3,75 millions d’euros lorsque la pratique est commise en ligne). Ces montant forfaitaires peuvent être substitués par une amende proportionnelle pouvant atteindre 10 % du chiffre d’affaires, ou 50 % des dépenses engagées pour réaliser la pratique. S’y ajoutent des peines complémentaires : interdiction d’exercer, affichage ou diffusion de la décision.

Un arrêt rendu en 2024 par la CJUE⁷ vient complexifier l’analyse : une annonce de réduction non conforme à l’article L.112-1-1 doit être tenue pour illicite indépendamment de son caractère trompeur. Or le droit français qualifie expressément ces manquements de pratiques commerciales trompeuses, pénalement sanctionnables. Les deux régimes ne sont donc pas étanches, et cette articulation appelle sans doute des clarifications à venir.

Les sanctions prononcées par la DGCCRF — et rendues publiques — donnent la mesure du risque. Showroomprivé.com : amende transactionnelle de 600 000 € (11 juillet 2023) pour des prix de référence trompeurs. SHEIN : 40 millions d’euros (3 juillet 2025) pour tromperie sur la réalité des réductions et sur la portée d’allégations environnementales. PrettyLittleThing : 1,3 million d’euros (23 septembre 2025), les contrôles ayant révélé que de nombreuses annonces n’offraient aucune baisse réelle, affichaient une baisse inférieure à celle annoncée, voire dissimulaient des hausses de prix.

5. Quelles sont les bonnes pratiques ?

Face à ce niveau d’exigence, la conformité se construit en amont, autour de plusieurs leviers :

• Qualifier chaque opération : s’agit-il bien d’une « annonce de réduction de prix » au sens de l’article L.112-1-1, et relève-t-elle du régime des soldes ou des promotions ?
• Sensibiliser les équipes sur les enjeux juridiques associés à ces opérations de réductions de prix ?
• Contrôler : auditer le calcul du prix de référence et vérifier les mentions et affichages obligatoires, au titre de l’information précontractuelle.
• Documenter : tracer le prix antérieur, archiver et historiser les prix pratiqués sur les trente jours glissants — c’est là que se joue la charge de la preuve en cas de contrôle.

Les réductions de prix doivent ainsi être préparées en amont par les cybermarchands et sécurisées juridiquement. Au-delà de la protection de la boutique en ligne contre des sanctions administratives et judiciaires, pratiquer des réductions de prix conformes aux exigences légales renforce la confiance des clients et participe à la réussite commerciale et au développement de l’activité.

 

 

A propos de l’auteure

Rachel Ruimy est avocat d’affaires dans les domaines du droit de la propriété intellectuelle, du droit de la consommation et du droit des nouvelles technologies chez NODAL Avocats.

 

Notes

1. Et ce même s’il est établi en dehors du territoire national
2. Arrêté du 31 décembre 2008 relatif aux annonces de réduction de prix à l’égard du consommateur
3. CJUE 10 juillet 2014, aff. C-421/12
4. Arrêté du 11 mars 2015 relatif aux annonces de réduction de prix à l’égard du consommateur
5. Ordonnance n° 2021-1734 du 22 décembre 2021 transposant la directive 2019/2161 du Parlement européen et du Conseil du 27 novembre 2019 et relative à une meilleure application et une modernisation des règles de l’Union en matière de protection des consommateurs
6. Articles L.121-2 et suivants du Code de la consommation
7. CJUE 26 sept. 2024, aff. C-330/23

 

Le cadre juridique existant semble suffisant pour lutter contre la montée en puissance de la désinformation par IA sur internet, à condition qu’il soit mis en œuvre rapidement, de façon rigoureuse et coordonnée par les juridictions, les plateformes et les autorités publiques.

Les points clés à retenir sur la désinformation par intelligence artificielle

• Les outils de génération vidéo par IA permettent aujourd’hui de produire des contenus particulièrement réalistes et difficiles à identifier.
• Les campagnes de désinformation reposant sur des contenus générés artificiellement se multiplient dans les domaines politique, médiatique et géopolitique.
• Plusieurs mécanismes juridiques peuvent déjà être mobilisés en droit français : droit de la presse, usurpation d’identité, atteinte à la représentation d’une personne ou manipulation de l’information.
• Le Digital Services Act (DSA) impose aux grandes plateformes des obligations renforcées de transparence, de modération et de gestion des risques systémiques.
• La loi SREN et l’IA Act renforcent progressivement l’encadrement des contenus générés par intelligence artificielle.
• L’enjeu principal réside désormais dans l’application effective de ces dispositifs par les autorités publiques, les juridictions et les plateformes.

Une nouvelle génération d’outils au service de la désinformation

La lutte contre la désinformation en ligne a été érigée en sujet prioritaire par la Présidence, qui a même évoqué une possible « labellisation des médias »¹. Cette lutte revêt un enjeu de plus en plus fort, avec l’intensification et le perfectionnement des méthodes de désinformation par le biais de vidéos générées par intelligence artificielle.

Des contenus synthétiques de plus en plus crédibles

Des avancées technologiques importantes brouillent les frontières avec le réel. Sora 2, Veo 3, Grok… beaucoup de services de création de vidéos par IA se distinguent désormais par leur capacité à mieux prendre en charge les mouvements corporels, les jeux de lumières et les ambiances sonores, rendant ainsi les sorties vidéo bien plus réalistes que les modèles précédents.

Malgré leur format court (les vidéos générées durent environ 8 à 15 secondes) ces outils ont rapidement été utilisés comme outils de désinformation. Brouillant les frontières entre le monde réel et le monde numérique, il devient de plus en plus compliqué de reconnaître les signes qu’une vidéo a été créée par une intelligence artificielle. Certaines vidéos générées véhiculent ainsi de faux discours politiques, de fausses arrestations ou encore de faux faits divers. Ces messages délibérément erronés perpétuent des désinformations sur des sujets politiques importants et peuvent viser à déstabiliser l’opinion publique.

Pourtant, ces actions sont considérées par la plupart de leurs conditions générales d’utilisation comme non acceptables. Par exemple, concernant Veo 3, il est notamment interdit de générer du contenu trompeur, violent, haineux ou violant les droits de propriété intellectuelle. Il est également stipulé qu’il est interdit de faire croire que les vidéos générées par Veo 3 sont de vraies vidéos. Veo 3, comme les autres services bloquent ainsi certaines requêtes, par exemple liées aux problématiques migratoires et à la violence². Pourtant, les garde-fous techniques ne sont pas suffisants, et ces vidéos prolifèrent sur la toile.

L’essor des campagnes de manipulation informationnelle

Ces outils sont au cœur des stratégies de désinformation et de déstabilisation à l’échelle nationale et internationale. En matière de politique interne par exemple, c’est le projet de l’autoroute A89 qui a été visé, par une fausse vidéo décrédibilisant les arguments écologiques et sociaux des opposants à ce projet³.

En matière d’ingérence étrangère, un groupe nommé Storm-1516, actif depuis au moins fin 2023 a mené des dizaines de campagnes informationnelles (77 au moins documentées début 2025) ciblant la France, l’Ukraine, et d’autres pays occidentaux⁴. Plusieurs faux récits ont totalisé, entre décembre 2024 et mars 2025, 55,8 millions de vues pour près de 39 000 publications sur les réseaux sociaux. Parmi elles : un ancien élève accusait Brigitte Macron (épouse du président) d’abus sexuels, la vidéo utilisait un visage reconstruit par IA ; un « militant islamiste » menaçait de s’attaquer à des symboles en France ; un faux « clip » d’une jeune femme se prétendant « nièce de Marine Le Pen » — « Amandine Le Pen » ; diffusait en période électorale, une vidéo truquée simulant un « bulletin d’information » d’un grand média (ou broadcast) prétendant qu’un pays étranger (Ukraine) aurait préparé un assassinat contre Emmanuel Macron.

Quels moyens juridiques de lutte existent concrètement ?

Face à la multiplication des contenus générés par intelligence artificielle, plusieurs mécanismes juridiques peuvent déjà être mobilisés. Certains sont anciens et reposent sur le droit de la presse, tandis que d’autres ont été créés ou renforcés pour répondre aux nouveaux usages numériques.

Les infractions de presse face aux fausses informations

En premier lieu, les infractions de presse. Ces vidéos générées par l’Intelligence artificielle peuvent être qualifiées en premier lieu de délit contre la chose publique, au sens de l’article 27 de la loi du 29 juillet 1881 sur la liberté de la presse, qui vise à réprimer « la publication, la diffusion ou la reproduction, par quelque moyen que ce soit, de nouvelles fausses, de pièces fabriquées, falsifiées ou mensongèrement attribuées à des tiers lorsque, faites de mauvaise foi » elles sont susceptibles de « troubler la paix publique ».

Une application limitée par les difficultés probatoires

Concernant les auteurs physiques, l’élément moral requis, l’intention, est particulièrement difficile à caractériser, car il faut démontrer que les relayeurs ont su qu’ils partageaient de fausses vidéos ou informations. Les diffuseurs originaux sont quant à eux souvent anonymes, utilisent de faux comptes et des infrastructures étrangères. Cette disposition est donc difficile à mobiliser en pratique, au profit des infractions de presse classiques (diffamation et injure).

L’exemple de la plainte de Reporters sans frontières contre X

Concernant les plateformes, ce fondement est mobilisé en septembre 2024 dans sa plainte par Reporter Sans Frontières⁵ contre la plateforme X, à qui il est reproché d’avoir laissé en ligne, malgré des signalements répétés, des contenus usurpant l’identité de l’ONG ainsi que d’un de ses directeurs et diffusant des informations mensongères sur la présence de néonazis en Ukraine. Mais aussi contre l’auteur du premier post identifié ayant relayé cette vidéo pour diffamation et s’agissant d’un « deep fake », pour usurpation d’identité⁶.

Le Digital Services Act (DSA)

La responsabilité des auteurs de contenus ne constitue toutefois qu’une partie de la réponse juridique. Le législateur européen a également choisi d’imposer des obligations renforcées aux plateformes numériques afin de limiter la propagation de contenus illicites ou trompeurs.

Des obligations renforcées de transparence et de modération

Surtout, cette plainte s’appuie sur la violation de la réglementation européenne en la matière, le Digital Services Act, entré en vigueur le 16 novembre 2022 imposant de nombreuses obligations aux plateformes en la matière, en particulier de transparence et de modération.

Auditionné dans le cadre d’une procédure formelle de la Commission européenne contre la plateforme X le 18 décembre 2023, RSF a souligné l’inefficacité du mécanisme mis en place par X en vertu du Règlement européen sur les services numériques, ainsi que le caractère trompeur des coches bleues censées garantir une forme de transparence et d’authenticité sur les comptes qui ont pourtant maintenus des contenus signalés comme mensongers.

Dans cet élan, la Commission européenne a rendu le 5 décembre 2025, la première décision d’application du Digital Services Act (DSA) en sanctionnant X d’une amende de 120 millions d’euros pour manquement à des obligations de transparence et de non-conception trompeuse. Les griefs principaux retenus sont : l’usage trompeur du « blue check » (coche bleue) en tant que design trompeur exposant les utilisateurs à de l’usurpation d’identité, voire de l’escroquerie⁷ ; le manque de transparence de son registre public de publicité (ad repository) ; le refus d’accès aux données publiques pour chercheurs (obstacles empêchant les chercheurs d’accéder aux métriques de visibilité)⁸. La Commission détaille également le calendrier de mise en conformité et l’obligation pour X de proposer en 60 jours un plan pour corriger les manquements.

Les obligations particulières des très grandes plateformes

Il est également important de rappeler que X a été désignée par la Commission européenne comme « une très grande plateforme en ligne », à l’instar d’autres réseaux sociaux comme Instagram, Snapchat ou Facebook⁹. Ainsi, la plateforme est tenue de recenser, d’analyser et d’évaluer de manière diligente tout risque systémique – contenus illicites, atteintes aux droits fondamentaux, à la sécurité publique et aux procédures électorales – au sein de l’Union découlant de la conception ou du fonctionnement de leurs services et de leurs systèmes connexes, ou de l’utilisation qui en est faite. Une telle plateforme est ainsi tenue de mettre en place des mesures d’atténuation raisonnables, proportionnées et efficaces, adaptées aux risques systémiques spécifiques recensés¹⁰.

Loi SREN et atteinte à la représentation d’une personne

Les deepfakes et autres contenus générés artificiellement ont conduit le législateur français à créer de nouvelles infractions spécifiquement adaptées à ces usages.

Afin de lutter contre ce phénomène, la loi SREN¹¹ punit désormais d’un an d’emprisonnement et de 15 000 euros d’amende le fait de porter à la connaissance du public ou d’un tiers le « contenu visuel ou sonore généré par un traitement algorithmique et représentant l’image ou les paroles d’une personne » sans l’autorisation de la personne concernée et qui n’apparaît pas à l’évidence comme un contenu généré par l’IA ou sur lequel l’utilisation de l’IA n’est pas expressément mentionnée. Cette sanction est portée à 45 000 euros d’amende et deux ans d’emprisonnement en cas d’utilisation d’un service de communication en ligne¹². La loi a introduit dans le code pénal une sanction similaire autonome en ce qui concerne les contenus à caractère sexuel générés par l’IA¹³.

Loi de lutte contre la manipulation de l’information

Au-delà des mécanismes de responsabilité pénale, le législateur a également instauré des procédures destinées à préserver la sincérité du débat démocratique et des scrutins électoraux.

Une procédure d’urgence en période électorale

La loi du 22 décembre 2018 relative à la lutte contre la manipulation de l’information a instauré pour les grandes plateformes de partage de contenus un devoir de coopération en matière de lutte contre la manipulation de l’information, dont une composante centrale est la mise en œuvre de mesures pour : « lutter contre la diffusion de fausses informations susceptibles de troubler l’ordre public ou d’altérer la sincérité d’un des scrutins. »

L’article L 163-2 du code électoral est le pilier de ce dispositif « anti fake news » et permet en période électorale de faire cesser en référé, dans les 48 heures à compter de la saisine, la diffusion de fausses informations lorsqu’elles sont diffusées de manière délibérée, artificielle ou automatisée et massive et qu’elles sont de nature à altérer la sincérité du scrutin.

Un champ d’application limité dans le temps

Cet article est particulièrement adapté s’agissant de fausses vidéos générées par l’intelligence artificielle et les manipulations en période électorale sur les réseaux sociaux. Il se borne cependant à la seule période électorale, à savoir « trois mois précédant le premier jour du mois d’élections générales et jusqu’à la date du tour de scrutin où celles-ci sont acquises ».

IA Act et transparence

Enfin, l’IA Act¹⁴ contient des dispositions en matière de transparence applicables en août 2026, qui prévoient que les fournisseurs de systèmes d’IA veillent à ce que les résultats, y compris les vidéos, soient marqués dans un format lisible par une machine et détectables comme étant générés ou manipulés artificiellement. Un projet de code de conduite¹⁵ est ainsi en cours d’élaboration pour permettre sa mise en œuvre en particulier par les déployeurs d’IA qui auront l’obligation d’identifier les contenus générés par l’IA¹⁶, en particulier les grandes plateformes et réseaux sociaux.

Un cadre juridique désormais complet, mais encore peu éprouvé

Face à la montée en puissance des outils d’intelligence artificielle et à leur potentiel d’amplification de la désinformation, le cadre juridique existant et à venir semble suffisant pour préserver les enjeux démocratiques. Il appelle désormais à une mise en œuvre rapide, rigoureuse et coordonnée que ce soit par les juridictions, les plateformes et les autorités publiques. En effet, le DSA a commencé à s’appliquer le 25 août 2023 et seule une décision – certes conséquente – a été prise à ce jour par la Commission européenne le 5 décembre 2025 contre la plateforme X. Concernant la plainte de RSF, celle-ci a été déposée le 18 décembre 2023 et n’a pas encore abouti sur une décision¹⁷. Quant à l’Arcom, elle a nommé sept associations comme signaleurs de confiance au sens du DSA, permettant à leurs signalements d’être pris en compte prioritairement par les plateformes. Il faut encourager et étendre cette démarche, même si ce rôle n’est pas facile à acquérir puisqu’il nécessite de disposer d’une “expertise et de compétences particulières aux fins de détecter, d’identifier et de notifier des contenus illicites”, comme le rappelle une décision administrative de l’Arcom visant au rejet de l’attribution de rôle de signaleur de confiance à une association¹⁸, dont la contestation a été rejetée par le Conseil d’Etat¹⁹.

L’Arcom s’est d’ailleurs vu confier des pouvoirs renforcés²⁰ pour veiller à l’application du DSA en matière de transmission d’informations, de contrôle, d’injonctions et de saisine de l’autorité judiciaire.

La préservation de la sincérité du débat public, particulièrement à l’approche des échéances électorales à venir, dépendra de cette capacité collective à appliquer le cadre existant pour maîtriser les dérives informationnelles et à résister à la pression des Etats-Unis pour le déréguler.

À propos des auteurs

Benjamin Labyod est Responsable du Département des affaires juridiques du GIP Pix. Tiphaine Delacroix-Gouin est juriste au sein du GIP Pix. Constitué entre l’État, l’ANSSI, l’ANCT, le CNAM, le CNED et l’Université de Strasbourg (UOH), le GIP Pix a pour mission d’évaluer et de certifier les compétences numériques, tout en contribuant à l’émergence d’un standard de référence dans une logique de bien commun.

Notes et références

1. Prise de parole du chef de l’Etat, Emmanuel Macron, au lycée Gambetta d’Arras, le 19 novembre 2025.
2. Time, Andrew R. Chow et Billy Perrigo, « Google’s Veo 3 Can Make Deepfakes of Conflict, Riots, More », 03/05/2025.
3. Vert, Théo Mouraby, « Deepfake : une vidéo truquée utilise les progrès de l’intelligence artificielle pour décrédibiliser les opposants à l’A69 », 18/07/2025.
4. Rapport SGDSN / VIGINUM – Analyse du mode opératoire informationnel russe Storm-1516, mai 2025.
5. RSF porte plainte contre X (ex-Twitter) pour diffusion de fausses informations et usurpation d’identité.
6. Art. 226-4-1 du code pénal. Depuis, d’autres dispositions pénales, spécifiques, ont été introduites par la loi SREN, elles sont décrites plus loin.
7. Article 25 paragraphe 1 du DSA.
8. Article 40 paragraphe 12 du DSA.
9. Supervision of the designated very large online platforms and search engines under DSA.
10. Article 34, paragraphes 1 et 2, et article 35, paragraphe 1 du DSA.
11. Loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique, dite « loi SREN ».
12. Article 226-8 du Code pénal.
13. Article 226-8-1 du Code pénal.
14. IA Act – règlement (UE) 2024/1689 établissant des règles harmonisées sur l’intelligence artificielle – article 50.
15. Code of Practice on marking and labelling of AI-generated content.
16. IA Act – Article 50 (§4) : “Deployers of an AI system that generates or manipulates image, audio or video content constituting a deep fake, shall disclose that the content has been artificially generated or manipulated (…).”
17. A notre connaissance au moment de la rédaction de notre article.
18. Décision Arcom du 11 décembre 2024.
19. CE, 17 octobre 2025, n° 501359.
20. Articles 9-1 et 9-2 de la Loi pour la confiance dans l’économie numérique issus de la loi SREN et leur décret d’application au sein du Décret n° 2024-1255 du 30 décembre 2024.