La responsabilité du fait des produits au Québec et l’intelligence artificielle : un nouveau monde? (Bulletin 1 de 2)

Introduction

L’omniprésence de l’intelligence artificielle (l’ « IA ») était un phénomène autrefois réservé aux romans de science-fiction, mais l’évolution rapide de technologies faisant appel à l’IA dans les dernières années et l’engouement généré par les capacités impressionnantes du logiciel ChatGPT nous laissent penser que cette fiction pourrait bientôt devenir une réalité. L’IA est une technologie excitante qui est en train de révolutionner plusieurs industries, mais elle comporte nécessairement certains risques et défis uniques auxquels les gouvernements et les juristes devront réfléchir et s’adapter rapidement.

Or, bien que l’IA est déjà intégrée dans plusieurs produits et services utilisés par les consommateurs et les entreprises (ex. : robots industriels, assistant virtuel pour le service à la clientèle, algorithmes des médiaux sociaux, véhicules autonomes, etc.), il n’existe, à ce jour, pas de règles spécifiques de droit civil concernant les systèmes d’IA au Québec.

Toutefois, soulignons que le gouvernement fédéral a pris l’initiative de proposer un projet de loi visant à encadrer les activités de développement et de mise en marché de l’IA au Canada, soit le projet de loi C-27 édictant la Loi sur l’intelligence artificielle et les données (la « LIAD »), laquelle viendrait réglementer la conception, le développement et l’utilisation des systèmes d’IA dans le secteur privé relativement au commerce interprovincial et international, principalement en vue d’atténuer les risques de préjudice liés aux systèmes « à incidence élevée »^[1].

Bien que la LIAD prévoirait des sanctions pénales pour les personnes agissant de façon irresponsable dans le développement, la commercialisation ou l’utilisation des systèmes d’IA  et qu’il soit possible de penser que la violation d’une norme prévue par la LIAD pourrait constituer une faute civile, il reste que les tribunaux saisis de disputes civiles liés à l’IA au Québec devront faire appel aux principes de responsabilité civile découlant de la législation provinciale et de la jurisprudence pour trancher les litiges civils. Cela découle notamment du fait que l’article 92(13)1 de la Loi constitutionnelle de 1867 accorde au gouvernement provincial l’autorité exclusive de légiférer dans les matières liées à la propriété et les droits civils dans la province, même si le gouvernement fédéral peut adopter des lois ayant un impact sur le commerce dans le domaine privé en vertu de ses propres compétences, notamment en matière de trafic et du commerce, de défense nationale, de droits d’auteurs et de droit criminel.

Or, à ce jour, le seul règlement adopté par le législateur québécois concernant l’IA qui contient certaines règles en matière de responsabilité civile est le Projet pilote relatif aux autobus et aux minibus autonomes^[2], lequel prévoit certaines obligations pour les fabricants, distributeurs ou exploitants d’autobus et minibus autonomes qui participent au projet pilote mis en place par le Gouvernement du Québec. Il va sans dire que la portée de ce règlement est très spécifique et limitée.

En conséquence et en attendant l’adoption de lois et règlements visant à encadrer le développement et la mise en marché de systèmes d’IA de façon spécifique, les tribunaux saisis de recours en responsabilité civile impliquant un système d’IA continueront de se tourner vers le cadre juridique existant. Au Québec, ces recours pourraient être fondés sur les règles prévues par le Code civil du Québec (le « C.c.Q. ») et la Loi sur la protection du consommateur en matière de responsabilité du fait des produits (la « L.p.c. »)^[3], et ce, bien que l’IA soulève certaines questions qui ne cadrent pas aisément avec les principes existants qui, pour la plupart, ont été établis bien avant la création d’internet.

Même si on peut s’attendre à ce que les entreprises impliquées dans la mise en marchée de systèmes d’IA incluent des clauses de limitation de responsabilité, des exclusions de garantie et des mises en garde quant aux risques liés à l’utilisation de leur système dans leurs documents contractuels, une compréhension des principes pertinentes et uniques en matière de responsabilité du fait des produits susceptibles de s’appliquer est particulièrement importante dans la mesure où plusieurs de ces principes sont d’ordre public et ne peuvent être exclus par des clauses contractuelles.

Sans prétendre avoir une boule de cristal nous permettant de prédire l’avenir, nous discuterons de certains des enjeux spécifiques à l’IA liés aux principes prévus par les lois du Québec en matière de responsabilité du fabricant en vue d’anticiper et minimiser les risques de litiges.

Est-ce que la commercialisation d’un système d’IA peut être considérée comme la vente d’un « bien » ou d’un « produit » ?

Dans la mesure où les utilisations possibles de l’IA sont innombrables, la qualification d’un système d’IA comme un « bien » ou un « produit » dépendra nécessairement des faits propres à chaque cas. Dans la plupart des cas, il y aura lieu de distinguer les systèmes d’IA intégrés à des biens physiques (ex. : voiture autonome) aux systèmes d’IA intégrés à des logiciels.

Si nous prenons l’exemple d’une voiture autonome, il sera vraisemblablement considéré que le système de conduite autonome, aussi impressionnant et sophistiqué soit-il, n’est qu’une fonctionnalité additionnelle d’un véhicule qui contient plusieurs autres systèmes automatisés (ex.: systèmes pour la gestion des émissions, systèmes de freinage ABS, etc.). Ainsi, la vente d’un bien physique intégrant un système d’IA sera assujettie aux règles prévues par le C.c.Q et la L.p.c. comme le serait la vente de tout autre bien physique.

Par contre, dans les cas où le système d’IA est utilisé dans un logiciel mis à la disposition d’un client qui est libre de l’utiliser selon certaines modalités en échange de paiements périodiques, il sera normalement question d’un contrat de licence.^[4] Ce type de contrat se distingue du contrat de vente dans la mesure où la partie qui accorde la licence ne cède généralement pas ses droits de propriété intellectuelle sur son logiciel à l’utilisateur, mais accorde plutôt un droit d’usage à l’utilisateur selon certaines conditions. En ce sens, le contrat de licence s’apparente davantage au contrat de louage qu’au contrat de vente. Puisque ce type de contrat est considéré comme un contrat innommé en droit civil québécois, il n’est pas assujetti aux règles spécifiques au contrats de vente, incluant les fameuses garanties légales de qualité prévues par le C.c.Q. et la L.p.c.

Dans les  cas où le système d’IA n’est utilisé que comme un outil pour faciliter l’exécution de services fournis aux clients (ex. : assistant virtuel pour le service à la clientèle, réseaux sociaux, etc.), il sera généralement question d’un contrat de service. Similairement, la responsabilité d’un développeur qui offre des services de consultation et d’intégration d’un logiciel utilisant l’IA développé sur mesure pour les activités de l’entreprise de son client devra normalement être évaluée à la lumière des obligations découlant de son contrat de service, et, dans les cas où le développeur se réserve les droits de propriété intellectuelle sur la solution, du contrat de licence.

Malgré ce qui précède, soulignons qu’un jugement récent de la Cour supérieure ayant autorisé une action collective contre les développeurs du jeu vidéo Fortnite (la « décision Fortnite »), laquelle est notamment fondée sur la prétention des demandeurs que les défendeurs auraient conçus un jeu créant une « dépendance », suggère que les principes en matière de responsabilité du fabricant prévus par le C.c.Q. et la L.p.c. pourraient s’appliquer à un jeu vidéo puisque le jeu serait un « bien » au sens des articles 899 et 907 du Code civil du Québec^[5]. Soulignons toutefois que ce jugement n’a pas valeur de précédent à ce stade puisque le tribunal ne s’est pas encore prononcé sur cette question au stade du mérite. Il s’agit de la première fois qu’un tribunal québécois suggère que les développeurs de logiciels ou de jeux vidéos pourraient être astreints aux mêmes obligations et responsabilités que les fabricants de biens physiques en matière de vice caché ou de défauts de sécurité, incluant en cas de manquement au devoir d’aviser les utilisateurs des risques inhérents à l’utilisation de leurs biens^[6].

Étonnamment, le concept de « bien » n'est pas définit par la C.c.Q. ou la L.p.c. et les tribunaux ont, à ce jour, eu peu d’occasion d’établir les limites de ce concept au domaine du numérique. Les biens incorporels comprennent l’ensemble des droits personnels susceptibles de faire partie du patrimoine d’une personne, notamment les droits de créance des droits de créances, les droits de propriété intellectuelle^[7]. Un bien doit être « isolé » et susceptible d’appropriation^[8]. Il appert donc qu’il sera rarement possible de considérer les développeurs et vendeurs de logiciels responsables à l’égard de leurs clients sous l’angle de la responsabilité du fait des produits, notamment en raison l’absence de cession des droits de propriété intellectuels sur le logiciel et du support actif requis de la part du développeur pour garder le logiciel en service et effectuer des mises à jour.

Au surplus et même s’il était considéré qu’un logiciel est un « bien », il n’est pas clair qu’un développeur de logiciel ou de jeu vidéo peut être considéré comme un « fabricant »» au sens du C.c.Q. et de la L.p.c. La L.p.c. définit un fabricant comme étant « une personne qui fait le commerce d’assembler, de produire ou de transformer des biens »^[9]. Cette définition a été retenue par certaines décisions impliquant la responsabilité du fabricant en vertu du C.c.Q^[10]. Les tribunaux prennent notamment en compte le niveau d’implication du défendeur dans la conception du produit pour déterminer s’il peut être considéré comme un fabricant^[11].

Sans surprise, l’analyse de la qualification d’une entreprise ayant vendu ou effectuer des travaux sur des biens à titre de fabricant, distributeur, entrepreneur ou prestataire de services, a généralement été effectuée en fonction de biens physiques. Leur application à des logiciels, des jeux vidéos ou d’autres systèmes informatiques n’a pas fait l’objet d’une analyse détaillée par les tribunaux et demeure nébuleuse. Toutefois, la Cour d’appel dans l’affaire Ferme avicole Héva inc. c. Coopérative fédérée de Québec (portion assurée)^[12], a considéré qu’un producteur agricole, pour les fins de la présomption de connaissance d’un vice caché, devait être considéré comme un fabricant, et ce, même si ses activités ne cadraient pas avec la définition classique de ce concept considérant leur niveau de contrôle sur les activités de production, l’impact de leurs décisions sur la qualité du produit et le rôle de premier plan qu’ils occupent en matière de sécurité alimentaire. Il est concevable qu’un raisonnement similaire pourrait être appliqué aux développeurs de logiciels ou de jeux vidéos pour leur attribuer le statut de fabricant ou distributeur.

Dans tous les cas et malgré les nombreuses questions découlant de l’application difficile des principes généraux discutés précédemment aux technologies nouvelles et émergentes dans le domaine de l’IA, rappelons que les développeurs, vendeurs et utilisateurs de systèmes d’IA pourront engager leur responsabilité s’ils contreviennent aux obligations découlant d’un contrat^[13], à leur devoir général de ne pas causer préjudice à autrui^[14] ou à des droits fondamentaux prévus par la Charte québécois des droits et libertés de la personne (la « Charte »)^[15]. Malgré toutes les nuances légales discutées précédemment quant à la qualification du rôle joué par un développeur d’un système d’IA, il est fort probable que les personnes se croyant victime du mauvais fonctionnement d’un système d’IA tenteront de tenir ses développeurs responsables des dommages subis. Face à de telles poursuites, les développeurs augmenteront leurs chances de succès s’ils sont en mesure de prouver s’être conformé aux normes réglementaires applicables et avoir avisé les utilisateurs des limites, risques et dangers liés à l’utilisation de leur système.

Responsabilité pour les défauts de sécurité et l’obligation de divulguer les risques liés à l’utilisation du produit

Tel que discuté dans la section précédente, les fabricants et toutes les autres parties impliquées dans la chaîne de distribution de biens intégrant des systèmes d’IA seront tenus de réparer les préjudices causés à des tiers par un défaut de sécurité^[16]. En vertu du C.c.Q.^[17], il y a défaut de sécurité lorsque compte tenu de toutes les circonstances, le bien n’offre pas la sécurité à laquelle on est normalement en droit de s’attendre, notamment en raison d’un vice de conception ou de fabrication du bien, ou encore d’indications suffisantes quant aux risques et dangers qu’il comporte ou quant aux moyens de s’en prémunir. Malgré toutes les précautions qui pourraient être prises par les développeurs afin de réduire les risques d’accident, les biens physiques faisant usage de l’IA comporteront nécessairement des risques qui devront être adéquatement identifiés et clairement divulgués aux utilisateurs.

À la lumière des exigences du C.c.Q., les tribunaux considéreront probablement qu’un système d’IA intégré dans un produit physique doit comprendre certains mécanismes de sécurité pour protéger les usagers et le public des risques liés au mauvais fonctionnement ou à un usage malveillant du système.

Considérant l’absence de normes de sécurité spécifiques pour les systèmes d’IA et dans un contexte où même les développeurs se questionnent encore quant aux mécanismes de sécurité qui devraient être incorporés dans leurs systèmes pour éviter des préjudices physiques, des informations fausses ou la violation de droits fondamentaux, il est très difficile de prédire comment les tribunaux aborderont ces enjeux. De part la nouveauté et la complexité de ces systèmes, on peut penser que les tribunaux pourraient être peu enclins à reconnaître l’existence d’un défaut de sécurité lié à un système d’IA en l’absence d’une preuve d’expert.

En l’absence de normes de sécurité contraignantes, les tribunaux et les experts voudront possiblement se référer à des normes adoptées par des gouvernements, des organismes d’autoréglementation ou des regroupements de grandes entreprises du domaine de l’IA pour définir les contours de l’obligation générale de ne pas nuire à autrui incombant aux développeurs, vendeurs et utilisateurs de systèmes d’IA dans le contexte de recours en responsabilité civile. Par exemple, les tribunaux pourraient s’inspirer de la Déclaration de Montréal pour un développement responsable de l’intelligence artificielle (la « Déclaration Montréal »), laquelle énonce plusieurs principes éthiques qui devraient gouverner les activités de développement et d’utilisation des systèmes d’IA selon ses auteurs. À ce jour, la Déclaration de Montréal a été signée par plus de 200 organismes et entreprises, dont plusieurs entreprises privées ayant des activités dans le domaine de l’IA^[18]. Vraisemblablement, le défaut d’une personne ayant volontairement adhéré à un énoncé de principes comme la Déclaration de Montréal pourrait être pris en compte pour déterminer si sa conduite constitue une faute susceptible d’engager sa responsabilité civile pour les dommages résultants d’une telle faute.

S’il est envisageable que des processus d’approbation et des normes de sécurité contraignantes seront implantés pour les systèmes d’IA avant que leur mise en marché soit permise dans des domaines d’activités déjà réglementés (ex. : véhicules automobiles, domaine de la santé, etc.), l’avènement de ces normes n’évacuera pas l’incertitude entourant la responsabilité des fabricants de ces biens pour les défauts de sécurité. Tel que réitéré par la Cour d’appel dans Imperial Tobacco Canada ltée c. Conseil québécois sur le tabac et la santé^[19], un fabricant qui respecte les normes n’est pas de ce seul fait libéré de son devoir de renseignement ou tenu pour s’en être acquitté, pas plus qu’il n’est libéré de la responsabilité qui peut lui échoir advenant que l’information donnée, même conforme auxdites normes, ne révèle pas de manière exacte, compréhensible et complète le danger inhérent au produit.

En conséquence, les fabricants de produits intégrant des systèmes d’IA, comme tout autre fabricant, devront apporter un grand soin dans la rédaction des avis contenus dans la documentation contractuelle, le manuel de l’utilisateur et l’étiquetage pour s’assurer que les risques associés à l’utilisation de leurs produits et les moyens de s’en prémunir sont divulgués de façon complète et adéquate.

Notons que la LIAD obligerait les promoteurs de systèmes d’IA offerts au public à publier sur un site web accessible au public une description du système qui prévoirait notamment les éléments suivants :

1. l’utilisation qui en est faite;
2. le contenu qu’il génère, les prédictions ou recommandations qu’il fait ou les décisions qu’il prend;
3. les mesures d’atténuation mises en place conformément à l’article 8 de la LIAD pour à cerner, évaluer et atténuer les risques de préjudice ou de résultats biaisés que pourrait entraîner l’utilisation du système d’intelligence artificielle;
4. tout autre renseignement prévu par règlement;

Sans constituer un guide exhaustif des renseignements qui devraient être divulgués aux utilisateurs de systèmes d’IA en fonction des exigences du droit civil québécois, ces règles proposées peuvent donner un avant-goût de la portée de l’obligation de renseignement incombant aux fabricants de biens intégrants des systèmes d’IA.