Le logiciel devient un produit UE

Une échéance discrète, des conséquences qui le sont moins

Au 9 décembre 2026, chaque État membre de l'UE devra avoir transposé la nouvelle directive sur la responsabilité du fait des produits défectueux — la directive (UE) 2024/2853. Elle remplace un texte de 1985 conçu pour les grille-pain et les pièces automobiles, et elle opère un changement qui devrait retenir l'attention de quiconque écrit du code.

Le logiciel est désormais un produit.

Pas seulement le logiciel embarqué dans une machine. Le logiciel tout court : applications autonomes, firmware, apps mobiles, systèmes d'IA, fichiers de fabrication numérique, et logiciel fourni sous forme de service. S'il est mis sur le marché de l'UE ou mis en service après le 9 décembre 2026, il relève d'un régime de responsabilité sans faute : la personne lésée n'a pas à démontrer votre négligence. Elle doit établir que le produit était défectueux, qu'elle a subi un dommage, et le lien entre les deux.

C'est une bête différente des échéances de conformité qui occupent d'ordinaire ces colonnes. Le Cyber Resilience Act, NIS2 ou l'AI Act sont réglementaires : une autorité publique les fait appliquer. La responsabilité du fait des produits, elle, est privée. Elle arrive sous forme d'assignation, à l'initiative d'un client, devant un tribunal national.

« Nous ne sommes pas dans l'UE » ne règle pas la question

Monaco n'est pas un État membre de l'Union européenne, et les directives européennes ne s'appliquent pas d'elles-mêmes en Principauté. L'appartenance de Monaco au territoire fiscal français en matière de TVA est un sujet distinct, sans incidence sur l'analyse ici — une nuance qu'il vaut la peine de garder nette, tant les deux sont confondus.

Ce qui compte est le même critère que pour le Cyber Resilience Act : le lieu de mise sur le marché du produit, pas le lieu d'immatriculation de l'entreprise.

La directive est construite pour qu'un consommateur lésé dans l'UE ait toujours un interlocuteur à poursuivre au sein de l'Union. Lorsque le fabricant est établi hors UE, la responsabilité descend une cascade :

• l'importateur qui met le produit sur le marché de l'Union ;
• le mandataire du fabricant établi dans l'Union ;
• un prestataire de services d'exécution des commandes, si aucun fabricant, importateur ou mandataire n'est identifiable dans l'UE ;
• un distributeur, s'il ne parvient pas à désigner l'opérateur responsable dans le mois suivant la demande ;
• une plateforme en ligne, dans des cas définis où elle présente le produit comme le sien ou ne communique pas l'identité du fournisseur.

Pour un éditeur monégasque, la lecture pratique est simple : la demande ne vous visera peut-être pas directement, mais elle visera quelqu'un avec qui vous avez un contrat — et ce contrat la fera très probablement remonter jusqu'à vous. Les accords rédigés avant cette directive répartissent rarement ce risque de manière explicite. C'est pourquoi le travail utile est ici souvent contractuel avant d'être technique.

Ce qui rend un logiciel « défectueux »

La directive énumère les facteurs que le juge apprécie, et plusieurs visent directement le numérique :

• l'effet des mises à jour sur le produit, y compris celles que vous fournissez après le lancement ;
• l'absence de mises à jour de sécurité lorsque leur fourniture reste sous votre contrôle ;
• le non-respect d'exigences de sécurité des produits ou de cybersécurité — un manquement au Cyber Resilience Act peut ainsi servir d'élément de preuve du caractère défectueux ;
• la capacité du produit à continuer d'apprendre après son déploiement, formulation qui vise l'apprentissage automatique.

Deux conséquences. D'abord, « c'était conforme à la livraison » n'est plus une réponse suffisante : si vous conservez la capacité de corriger et que vous ne le faites pas, cette inaction entre dans l'appréciation. Ensuite, quiconque modifie substantiellement un produit après sa mise sur le marché peut être assimilé au fabricant pour les défauts issus de cette modification. La maintenance et le support de site cessent d'être une ligne budgétaire de confort pour devenir un élément de votre exposition juridique.

Les logiciels libres et open source développés et fournis en dehors d'une activité commerciale sont exclus. L'exclusion est plus étroite qu'il n'y paraît : dès lors qu'ils sont monétisés, ou fournis en échange de données personnelles au-delà de ce qu'exigent la sécurité et la compatibilité, ils peuvent réintégrer le champ.

Ce qui peut être réclamé

Les chefs de préjudice indemnisables ont été élargis :

• décès et dommages corporels, y compris les atteintes à la santé psychologique médicalement reconnues ;
• dommages aux biens, hors le produit défectueux lui-même et les biens exclusivement professionnels ;
• destruction ou altération de données non utilisées à des fins professionnelles.

Ce troisième point est nouveau et concerne directement tout éditeur de logiciel grand public. Le préjudice économique pur, l'atteinte à la vie privée en tant que telle et la discrimination restent hors du champ de la directive.

L'ancien seuil de 500 € pour les dommages matériels disparaît, et il n'existe aucun plafond d'indemnisation. Le demandeur est également aidé dans la preuve : le juge national peut ordonner la production de pièces, et lorsque la complexité technique ou scientifique rend la preuve excessivement difficile, il peut appliquer des présomptions réfragables de défectuosité ou de causalité. L'action se prescrit par trois ans à compter de la connaissance du dommage, avec un délai butoir de dix ans à compter de la mise sur le marché — porté à vingt-cinq ans pour les dommages corporels à révélation tardive.

Qui est concerné à Monaco, et qui ne l'est pas

La plupart des entreprises monégasques ne sont pas visées. Une page de réservation de restaurant, un site institutionnel, la vitrine d'un gestionnaire de patrimoine : le développement web courant ne devient pas un produit soumis à responsabilité sans faute au seul motif qu'il est en ligne.

Celles qui doivent regarder sérieusement :

• tout éditeur publiant une application mobile ou bureau auprès d'utilisateurs européens ;
• tout vendeur de matériel connecté accompagné d'un logiciel — bien représenté à Monaco dans le yachting, le bâtiment intelligent et le contrôle d'accès ;
• tout acteur livrant un produit doté de fonctions d'IA à des clients de l'UE, lorsque l'automatisation par IA est passée de l'outil interne au produit entre les mains du client ;
• tout marchand vendant des biens physiques dans l'UE via son propre canal e-commerce, la directive couvrant aussi les produits classiques.

Quatre choses à faire avant décembre

1. Écrivez ce que vous mettez sur le marché européen : produits, forme, pays. Pour la majorité des entreprises monégasques, la réponse sera « rien » — et elle mérite d'être documentée.
2. Identifiez votre opérateur dans l'UE et relisez le contrat. Importateur, mandataire ou plateforme : qui supporte le risque produit ? Renégociez maintenant plutôt qu'après une réclamation.
3. Vérifiez votre assurance. Une garantie rédigée sous le régime de 1985 n'envisage peut-être ni le logiciel, ni la perte de données, ni une traîne de vingt-cinq ans. Posez la question à votre courtier par écrit.
4. Formalisez votre engagement de correctifs. Durée de support, rythme des mises à jour, traitement des vulnérabilités : définissez-les et prouvez que vous les tenez. C'est votre meilleure preuve de non-défectuosité — et cela relève de votre plan produit, pas d’un ticket d’exploitation.

Une réserve honnête : il s'agit d'une directive, non d'un règlement. Le détail qui vous liera dépendra de la loi de transposition de chaque État membre, et ces textes différeront. Le droit monégasque régit vos propres contrats et sa propre responsabilité de manière autonome. Lorsque la réponse engage votre feuille de route produit, votre assurance ou votre accès au marché européen, faites-la valider par un avocat. Rien de ce qui précède ne constitue un conseil juridique.

Si vous concevez à Monaco des logiciels ou des produits connectés vendus à des clients européens, c'est l'année pour savoir où vous en êtes — avant que quelqu'un d'autre ne s'en charge. Contactez-nous et nous ferons le point avec vous.