Éditeur SaaS : responsable sans faute du logiciel mis sur le marché dès le 9 décembre 2026 ?
La directive 2024/2853 range le SaaS parmi les produits à partir du 9 décembre 2026 : quelles victimes, quels dommages, quelles clauses tombent, quoi vérifier.
- La directive (UE) 2024/2853 du 23 octobre 2024, publiée au Journal officiel de l'Union européenne le 18 novembre 2024, s'appliquera aux produits mis sur le marché ou mis en service à partir du 9 décembre 2026 (article 2, paragraphe 1, dans sa version rectifiée le 7 mai 2026) et range expressément les logiciels parmi les produits, y compris en mode SaaS (article 4, point 1, et considérant 13).
- Une personne physique pourra obtenir réparation sans prouver de faute pour trois dommages : la mort ou les lésions corporelles, les dommages aux biens non exclusivement professionnels, la destruction ou la corruption de données non professionnelles (article 6).
- Aucune clause ne peut limiter ou exclure cette responsabilité à l'égard de la victime (article 15), et l'éditeur qui garde le contrôle des mises à jour ne peut pas invoquer un défaut apparu après la mise en ligne lorsqu'il tient au logiciel (article 11, paragraphe 2).
- Le 12 mai 2026, le ministère de la Justice a indiqué qu'un texte dédié de transposition était envisagé ; à la consultation de Légifrance du 14 octobre 2026, les articles 1245 à 1245-17 du code civil sont toujours dans leur version en vigueur depuis le 1er octobre 2016.
- La victime disposera de 3 ans pour agir à compter du moment où elle a connu, ou aurait dû raisonnablement connaître, le dommage, le défaut et le responsable, dans la limite de 10 ans après la mise sur le marché ou la mise en service, portée à 25 ans pour certaines lésions corporelles à latence (articles 16 et 17).
La réponse courte : oui, envers les personnes physiques
Oui, mais seulement une personne physique, et pour trois types de dommages. La directive (UE) 2024/2853 range expressément le logiciel, y compris fourni en SaaS, parmi les « produits » relevant d'une responsabilité sans faute, pour tout produit mis sur le marché ou mis en service à partir du 9 décembre 2026. La victime devra prouver le défaut, le dommage et le lien de causalité, mais pas votre faute, pour une mort ou une lésion corporelle (psychologique médicalement reconnue comprise), un dommage à un bien non exclusivement professionnel ou la destruction de données non professionnelles. Votre client entreprise reste sur le terrain contractuel et, à la consultation de Légifrance du 14 octobre 2026, le code civil n'a pas encore été modifié pour transposer la directive.
Ce que dit la directive (UE) 2024/2853
La directive abroge la directive 85/374/CEE « avec effet au 9 décembre 2026 » (article 21) et s'appliquera aux produits mis sur le marché ou mis en service à partir du 9 décembre 2026 (article 2, paragraphe 1, rectifié le 7 mai 2026). L'article 4, point 1, définit le produit :
« […] comprend l'électricité, les fichiers de fabrication numériques, les matières premières et les logiciels »
Directive (UE) 2024/2853, article 4, point 1
Le considérant 13 vise votre modèle : le logiciel est un produit quel que soit son mode de fourniture, y compris « dans le cadre d'un modèle de logiciel en tant que service », et son développeur, fournisseur de système d'IA compris, est un fabricant.
- Le gratuit compte : la fourniture « à titre onéreux ou gratuit » dans le cadre d'une activité commerciale est visée (article 4, point 7), y compris contre des données personnelles exploitées au-delà de la sécurité, de la compatibilité ou de l'interopérabilité (considérant 14). Les logiciels libres et ouverts développés ou fournis hors activité commerciale sont exclus (article 2, paragraphe 2).
- Le contrôle après la mise en ligne : l'éditeur capable de fournir des mises à jour garde le « contrôle » du produit (article 4, point 5) et ne peut pas plaider un défaut apparu plus tard s'il tient au logiciel, à une mise à jour ou à l'absence d'une mise à jour de sécurité nécessaire (article 11, paragraphe 2).
- La preuve facilitée : le juge peut ordonner la divulgation de vos éléments de preuve (article 9) ; le défaut est présumé si vous ne les produisez pas ou en cas de « dysfonctionnement manifeste » (article 10). Il présume aussi défaut ou causalité si, malgré la divulgation, la victime subit des « difficultés excessives » de preuve liées à la complexité technique et rend probable le défaut ou le lien causal ; vous pouvez renverser ces présomptions (article 10, paragraphes 4 et 5).
Ce qui change pour un éditeur SaaS : cinq situations de terrain
Les pertes purement économiques ne déclenchent pas, à elles seules, ce régime (considérant 24), et une fuite de données, distincte d'une destruction ou d'une corruption, reste régie par le RGPD (considérant 20). Appliqué à des cas types fictifs :
| Situation | Dommage | Régime 2024/2853 ? |
|---|---|---|
| Logiciel de cabinet médical : une mise à jour inverse deux unités de dosage, un patient est hospitalisé | Lésion corporelle | Oui, si le défaut est établi ; le patient n'est pas votre client |
| SaaS de pilotage du chauffage : une consigne erronée provoque un dégât des eaux dans 300 logements | Biens personnels des occupants (mobilier, effets) | Oui pour ces biens, si le défaut est établi ; non pour les biens que le bailleur utilise exclusivement à titre professionnel (article 6) |
| Stockage de photos : une migration corrompt les albums de 12 000 abonnés particuliers | Données non professionnelles | Oui si une perte est établie ; pas de perte matérielle automatique si les données se récupèrent sans frais (considérant 20) |
| SDK intégré à une borne de recharge : une surchauffe incendie un garage privé | Bien privé | Oui, comme fabricant du composant (article 8), solidairement avec le fabricant de la borne (article 12) |
| SaaS comptable : un bug efface les écritures d'une PME | Données professionnelles d'une société | Non : responsabilité contractuelle |
En marque blanche, votre partenaire qui appose son nom devient lui aussi fabricant (article 4, point 10), avec une action récursoire entre vous (article 14).
Calendrier : qui, quand, quoi
| Qui | Quand | Quoi |
|---|---|---|
| Journal officiel de l'UE | 18 novembre 2024 | Publication ; entrée en vigueur le vingtième jour suivant (article 23) |
| Journal officiel de l'UE | 7 mai 2026 | Rectificatif de l'article 2, paragraphe 1 : « après le 8 décembre 2026 » remplace « après le 9 décembre 2026 » |
| Ministère de la Justice | 12 mai 2026 | Réponse à la question écrite n° 11448 : les dispositions des articles 1245 à 1245-17 du code civil « devront être modifiées » ; « un texte dédié est envisagé à ce stade » |
| Code civil (Légifrance) | 14 octobre 2026 (consultation) | Articles 1245 à 1245-17 dans leur version en vigueur depuis le 1er octobre 2016 : la transposition n'y figure pas encore |
| États membres | 9 décembre 2026 | Date limite de transposition (article 22) |
| Victime | 3 ans, 10 ans | 3 ans à compter de la connaissance, réelle ou raisonnablement attendue, du dommage, du défaut et du responsable (article 16) ; forclusion à 10 ans, 25 ans pour une lésion corporelle à latence (article 17) |
Le point incertain pour un SaaS. Selon le considérant 40, un produit substantiellement modifié par une mise à jour est considéré comme mis à disposition au moment de cette modification, et un nouveau délai de 10 ans court alors (considérant 58). Une mise à jour déployée à partir du 9 décembre 2026 qui répond à la définition de la modification substantielle (article 4, point 18 : changement de performance ou de destination non prévu dans l'évaluation initiale des risques et qui crée ou aggrave un danger) pourrait donc relever du nouveau régime, même si le service existait avant. Son application aux mises à jour d'un SaaS reste à préciser.
L'angle responsabilité et assurance
Ce régime s'ajoute à votre responsabilité contractuelle (article 2, paragraphe 4) et change l'échelle du risque : un seul défaut dans une version déployée chez tous vos clients peut atteindre des milliers d'utilisateurs finaux. Lorsque la faille constitue un défaut, l'acte d'un pirate ne réduit pas votre responsabilité (article 13, paragraphe 1) ; seule la faute de la victime, par exemple ne pas installer par négligence une mise à jour qui aurait évité le dommage, peut la réduire (article 13, paragraphe 2, et considérant 55).
Un contrat construit autour de la faute professionnelle ne répond pas forcément à un régime sans faute. Avant le 9 décembre 2026, relisez votre RC Pro avec ces questions :
- L'activité déclarée mentionne-t-elle l'édition de logiciels en SaaS et les usages sensibles de vos clients (santé, sécurité, pilotage d'équipements) ?
- Le contrat comporte-t-il une garantie RC produits ou « après livraison » visant les produits défectueux, pas seulement la faute professionnelle ?
- Dommages corporels après mise en ligne, dommages aux biens de tiers, reconstitution de données de tiers : sont-ils garantis, avec quels plafonds et franchises ?
- Comment la clause de sinistre sériel traite-t-elle un défaut unique touchant des milliers de victimes ?
- Le déclenchement de la garantie et la garantie subséquente tiennent-ils face à des réclamations possibles pendant 10 ans ?
Seules les conditions générales et particulières de votre contrat déterminent ce qui est garanti. La gestion d'un incident informatique relève, elle, d'une assurance cyber.
Ce qu'il faut faire maintenant
- Cartographier les fonctions qui peuvent atteindre une personne physique : données de santé affichées, équipements pilotés, données privées stockées.
- Dater et documenter chaque version (journal des déploiements, critères internes de « modification substantielle », tests de sécurité) et conserver ces pièces au moins 10 ans : elles serviront en cas de demande de divulgation (article 9).
- Formaliser la politique de mises à jour de sécurité (article 11, paragraphe 2).
- Revoir vos contrats d'intégration (marque blanche, SDK, API). Une micro ou petite entreprise dont le logiciel est intégré comme composant peut convenir que l'intégrateur renonce à son recours contre elle (article 12, paragraphe 2).
- Recenser vos briques tierces, logiciels libres compris : intégrées à votre offre commerciale, vous en répondez comme fabricant (considérant 15).
- Interroger votre assureur ou votre courtier et suivre le texte français, dont le Gouvernement qualifie le respect du calendrier de « priorité » (réponse du 12 mai 2026).
Pour les autres risques de votre activité, consultez la fiche Édition de logiciels en mode SaaS.
Questions fréquentes
Non. Le droit à réparation de la directive (UE) 2024/2853 est réservé aux personnes physiques (article 5). Une société cliente qui perd ses données ou son chiffre d'affaires reste sur le terrain contractuel. Les données utilisées, même de manière non exclusive, à des fins professionnelles sont exclues (considérant 22), comme les biens utilisés exclusivement à des fins professionnelles (article 6). En revanche, le salarié de votre client blessé à cause d'un défaut de votre logiciel est une personne physique et peut agir.
Pour un produit mis sur le marché avant le 9 décembre 2026, la directive 85/374/CEE, transposée aux articles 1245 et suivants du code civil, continue de s'appliquer (article 21). Une mise à jour déployée à partir de cette date qui répond à la définition de la modification substantielle (article 4, point 18) est traitée comme une nouvelle mise à disposition (considérant 40) : elle pourrait relever du nouveau régime. Son application à un SaaS reste à préciser par le texte français et par les juges.
Non, pas à l'égard de la victime. L'article 15 de la directive (UE) 2024/2853 interdit toute limitation ou exclusion de cette responsabilité par une clause contractuelle ou par le droit national, et l'article 1245-14 du code civil répute déjà non écrites les clauses de ce type, sous une exception limitée entre professionnels. Vos CGU régissent la relation avec votre client professionnel, mais elles ne peuvent pas servir à limiter votre responsabilité envers une personne physique lésée.
Pas automatiquement. Si la faille rend le logiciel défectueux (une vulnérabilité de cybersécurité peut suffire : article 7 et considérant 32), l'acte du pirate ne réduit pas votre responsabilité (article 13, paragraphe 1), et l'absence d'une mise à jour de sécurité nécessaire empêche de vous exonérer (article 11, paragraphe 2). Sans défaut, ou pour un dommage autre que les trois de l'article 6, ce régime ne s'applique pas. Seule la faute de la victime, ou d'une personne dont elle répond, peut réduire votre responsabilité (article 13, paragraphe 2).
Sources et textes de référence
- Directive (UE) 2024/2853 du Parlement européen et du Conseil du 23 octobre 2024 relative à la responsabilité du fait des produits défectueux et abrogeant la directive 85/374/CEE (JO L, 18.11.2024) : articles 2, 4 à 17 et 21 à 23, considérants 13 à 58
- Rectificatif à la directive (UE) 2024/2853 (article 2, paragraphe 1 : « après le 8 décembre 2026 »), JO L, 2026/90364, 7.5.2026
- Question écrite n° 11448 (17e législature) sur les délais de transposition de la directive (UE) 2024/2853, réponse du ministère de la Justice publiée au JO le 12 mai 2026
- Code civil, articles 1245 à 1245-17 (responsabilité du fait des produits défectueux), version en vigueur
Textes et dates vérifiés le 14 octobre 2026.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Édition de logiciels en mode SaaS — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Édition de logiciels en mode SaaS →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.