Une entreprise peut-elle être poursuivie pour une fuite causée par du code généré ?

Introduction

Une fuite de données trouvant son origine dans une vulnérabilité du code expose sur trois terrains simultanés. L’origine du code n’en modifie aucun.

Le premier terrain : l’obligation de sécurité

Le responsable de traitement met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque.

L’appréciation tient compte de l’état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques.

Une vulnérabilité élémentaire, détectable par des outils standard, caractérise un manquement à cette obligation.

L’origine du code est indifférente : ce qui est examiné, ce sont les mesures mises en œuvre pour détecter et corriger.

L’effet aggravant de l’absence de vérification

Le recours à un outil génératif, sans revue humaine ni contrôle automatisé, ne constitue pas une circonstance atténuante.

Il caractérise au contraire une absence de diligence, l’état des connaissances et les conditions des outils rappelant la nécessité de vérifier.

Une organisation qui produit du code rapidement sans adapter ses contrôles augmente le volume à vérifier tout en réduisant la vérification : cette configuration est difficile à défendre.

Les sanctions administratives

Le manquement à l’obligation de sécurité expose à une amende pouvant atteindre dix millions d’euros ou deux pour cent du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

En pratique, l’autorité française prononce l’essentiel de ses sanctions par une procédure simplifiée, dont le montant est plafonné à vingt mille euros, ce qui rend la sanction plus fréquente que spectaculaire.

Les critères de modulation incluent le caractère délibéré ou négligent du manquement, les mesures prises pour atténuer le dommage, le degré de responsabilité compte tenu des mesures mises en œuvre et le degré de coopération.

Ces critères placent la documentation des mesures préexistantes au centre de la défense.

Le deuxième terrain : l’action des personnes concernées

Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a droit à réparation.

Trois conditions : un manquement, un dommage réel, un lien de causalité.

Le préjudice moral, notamment la crainte fondée d’un usage abusif des données, est indemnisable lorsqu’il est établi.

Les montants individuels demeurent modestes, mais leur agrégation dans une action collective change l’ordre de grandeur.

Le responsable est exonéré s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable, exonération rarement admise en présence d’une faille.

Le troisième terrain : la responsabilité contractuelle

Les clients invoqueront les engagements de sécurité, le niveau de service et, le cas échéant, une résiliation pour manquement.

Les plafonds de responsabilité négociés s’appliquent, sauf faute lourde ou clause privant l’obligation essentielle de sa substance.

Les clients structurés ont fréquemment négocié un plafond rehaussé pour les manquements en matière de données : ce plafond s’applique alors.

Les obligations de notification

Notification de la violation à l’autorité de contrôle dans les soixante-douze heures suivant la prise de connaissance, pour les traitements dont l’organisation est responsable.

Notification aux clients responsables de traitement, dans le délai contractuel, pour les traitements dont elle est sous-traitante.

Information des personnes en cas de risque élevé.

Signalement des vulnérabilités activement exploitées, pour les produits relevant du règlement européen sur la cyberrésilience, dont les obligations sont applicables depuis le 11 septembre 2026.

Le respect de ces échéances influe directement sur l’appréciation ultérieure.

La défense

Elle repose sur la démonstration des mesures appropriées mises en œuvre avant l’incident.

Chaîne de vérification documentée : analyse statique, analyse des dépendances, tests de sécurité.

Revue humaine, tracée, en particulier sur les fonctions sensibles.

Politique de correction des vulnérabilités, avec délais respectés.

Charte encadrant l’usage des outils.

Gestion de crise conforme, avec notification dans les délais.

Cette documentation est le seul élément susceptible d’atténuer la responsabilité.

Les mesures préventives

Adapter les contrôles au volume produit : une production accélérée suppose une vérification renforcée, non allégée.

Concentrer la revue humaine sur les fonctions sensibles.

Intégrer le blocage sur vulnérabilité critique dans la chaîne de construction.

Maintenir un inventaire des dépendances et surveiller leurs vulnérabilités.

Tester la procédure de gestion d’incident.

Adapter les contrôles au volume produit

Produire plus vite sans vérifier davantage est la configuration la plus exposée. Notre expertise RGPD et protection des données personnelles accompagne ces dispositifs.

En résumé

• L’origine du code n’atténue pas l’obligation de sécurité, appréciée sur les mesures mises en œuvre.
• L’absence de vérification aggrave l’appréciation de la faute.
• Trois terrains : sanction administrative, action des personnes concernées, responsabilité contractuelle.
• Le respect des échéances de notification influe directement sur l’appréciation.
• La documentation des mesures préexistantes est le seul élément d’atténuation.