Produits défectueux : le logiciel inclus après le 9 décembre 2026

Produits défectueux : le logiciel entre dans la définition

La directive (UE) 2024/2853 du 23 octobre 2024, lue sur EUR-Lex en version française le 15 septembre 2026, remplace la directive 85/374/CEE. Sa définition du produit vise tout meuble, et « le terme comprend l'électricité, les fichiers de fabrication numériques, les matières premières et les logiciels ». Elle s'applique « aux produits mis sur le marché ou mis en service après le 9 décembre 2026 ».

Le considérant 13 précise que le logiciel est un produit « quel que soit son mode de fourniture ou d'utilisation », qu'il soit installé sur un appareil, accessible en nuage ou fourni dans le cadre d'un modèle de logiciel en tant que service. Les informations, elles, ne sont pas un produit, comme le contenu de fichiers numériques tels que « les fichiers médias, les livres électroniques ».

Les logiciels libres et ouverts développés ou fournis en dehors d'une activité commerciale sont exclus. Mais un produit fourni dans le cadre d'une activité commerciale entre dans le champ, à titre onéreux ou gratuit, selon le considérant 26.

Qui répond du défaut

Le fabricant est celui qui met au point, fabrique ou produit un produit, ou qui le fait concevoir et se présente comme son fabricant en y apposant son nom ou sa marque. Le fabricant d'un composant répond aussi du défaut lorsque ce composant, y compris un service numérique connexe, a été intégré sous le contrôle du fabricant du produit.

Celui qui modifie substantiellement un produit hors du contrôle du fabricant et le remet sur le marché devient fabricant. Si aucun opérateur responsable établi dans l'Union ne peut être identifié, le distributeur répond lorsqu'il n'en désigne pas un dans un délai d'un mois après la demande de la victime, règle étendue sous conditions aux plateformes en ligne.

Quand un logiciel est-il défectueux

« Un produit est considéré comme défectueux lorsqu'il n'offre pas la sécurité à laquelle une personne peut légitimement s'attendre ou qui est requise par le droit de l'Union ou le droit national. » L'article 7 cite parmi les circonstances la capacité du produit à poursuivre son apprentissage après sa mise sur le marché, l'effet des produits interconnectés et les exigences de sécurité, y compris les exigences de cybersécurité pertinentes pour la sécurité.

À l'inverse, un produit n'est pas défectueux au seul motif qu'une version plus perfectionnée ou une mise à jour a été publiée depuis. Les obligations de signalement des failles sont sur notre page sur le règlement cyberrésilience.

Mises à jour : pas d'exonération sous le contrôle du fabricant

L'article 11 énumère les exonérations, dont le fait que le défaut n'existait probablement pas lors de la mise sur le marché, ou que l'état objectif des connaissances scientifiques et techniques ne permettait pas de le déceler. Mais le paragraphe 2 ferme la première porte lorsque le défaut, resté sous le contrôle du fabricant, est dû à un service connexe, à « des logiciels, y compris des mises à jour ou mises à niveau logicielles », à « une absence de mises à jour ou de mises à niveau logicielles nécessaires au maintien de la sécurité » ou à une modification substantielle.

Pour un éditeur, un correctif de sécurité non publié devient donc un sujet de responsabilité, pas seulement de maintenance. La gestion des correctifs côté utilisateur est sur notre page sur les mises à jour des logiciels.

Dommages couverts et délais

Le droit à réparation couvre la mort et les lésions corporelles, y compris l'atteinte médicalement reconnue à la santé psychologique, le dommage aux biens et la destruction ou la corruption de données. Il exclut le produit défectueux lui-même, « des biens utilisés exclusivement à des fins professionnelles », et les données utilisées à des fins professionnelles : une entreprise victime d'un logiciel défectueux ne peut pas s'en servir pour ses données de travail.

Ce que cette page ne dit pas

Elle ne traite pas des dispositions françaises de transposition, attendues au plus tard le 9 décembre 2026 et que nous n'avons pas lues, ni des règles de divulgation des preuves et de présomption des articles 9 et 10, ni de l'assurance. Directive lue sur EUR-Lex le 15 septembre 2026.