Rappel produit à cause d'un firmware : qui paie la série entière ?

En tant qu'ingénieur systèmes embarqués, vous travaillez sur l'unité : un calculateur, un firmware, une carte. Mais votre client, lui, raisonne en série. Le calculateur que vous avez développé part en production et se retrouve intégré dans 12 000 dispositifs avant qu'un comportement anormal soit détecté sur le terrain.

C'est toute la singularité du risque embarqué : contrairement à un développeur web dont le bug n'affecte qu'une instance corrigeable à chaud, votre erreur est gravée dans des objets physiques déjà distribués. Un dépassement de buffer, une gestion incorrecte d'un cas limite sur un capteur, un défaut de watchdog qui ne redémarre pas le système au bon moment : la cause est unitaire, la conséquence est industrielle.

Prenons un cas concret et chiffré. Vous livrez le firmware d'un calculateur de gestion thermique pour un équipementier. Une condition de course (race condition) provoque, dans 0,8 % des cas et après plusieurs semaines de fonctionnement, un blocage du contrôle de température. Le produit fini reste sûr — pas de risque corporel — mais il tombe en panne prématurément. L'équipementier décide un rappel préventif de la série concernée : 9 500 unités.

Le réflexe est de croire que « réparer le bug » suffit. C'est l'inverse : corriger le firmware est la partie la moins chère. Le coût d'un rappel se concentre sur la logistique du retour à la normale. Voici la décomposition typique d'un rappel sur produit embarqué :

On atteint vite 700 000 à 900 000 € pour une série moyenne. Or, l'ingénieur ayant facturé sa prestation 45 000 € se retrouve face à une réclamation cent fois supérieure à ses honoraires. C'est exactement cette disproportion que l'assurance vient absorber.

C'est le point que la plupart des ingénieurs découvrent trop tard. Une RC Professionnelle standard couvre les dommages causés à des tiers par votre faute : si le dispositif défaillant blesse quelqu'un ou endommage un autre bien, c'est pris en charge.

Mais les frais de rappel eux-mêmes — le coût de retirer, reflasher et remettre en circulation les produits — relèvent d'une garantie distincte, souvent appelée « frais de retrait de produits » ou « product recall ». Sans cette extension, votre assureur peut refuser la facture logistique en arguant qu'il ne s'agit pas d'un dommage à un tiers mais d'une mesure de prévention décidée par le client.

Deux briques sont donc à vérifier impérativement dans votre contrat :

• La RC du fait des produits et systèmes livrés : couvre les conséquences dommageables d'un dispositif défectueux après livraison, y compris en série.
• L'extension frais de retrait / préjudices immatériels : couvre les coûts de la campagne de rappel et les pertes financières du client qui ne découlent pas d'un dommage matériel direct.

Un firmware n'est pas un livrable « immatériel » comme un rapport : il agit dans le monde physique. Votre assurance doit donc raisonner « produit », pas seulement « prestation intellectuelle ».

Face à une réclamation, votre responsabilité réelle dépend de votre capacité à prouver ce que vous avez livré, quand, et dans quel état. Un ingénieur embarqué qui gère rigoureusement ses versions divise par deux son exposition.

1. Versionnez et signez vos livrables. Chaque build de firmware doit porter un identifiant unique, un hash et une date. Si le rappel concerne la v2.3 et que vous avez livré la v2.4 corrigée, la preuve change tout.
2. Documentez les conditions de validation. Le cahier de tests que vous avez exécuté, les cas couverts et ceux explicitement hors périmètre délimitent votre obligation.
3. Tracez les responsabilités d'intégration. Si le défaut vient de la façon dont le client a intégré votre firmware (paramètres modifiés, hardware différent du spécifié), la responsabilité se partage.

Cette discipline n'est pas que défensive : elle conditionne aussi la rapidité avec laquelle l'assureur et l'expert pourront circonscrire le périmètre du rappel — donc son coût.

Les donneurs d'ordre industriels imposent des clauses lourdes. Avant d'accepter une mission qui finira dans un produit de série, passez ces points au crible :

• Plafond de responsabilité. Le contrat plafonne-t-il votre responsabilité, ou vous laisse-t-il exposé sans limite ? Un plafond aligné sur vos honoraires (ou un multiple raisonnable) est négociable.
• Clause de rappel. Qui décide du rappel et qui en supporte les frais ? Refusez les clauses qui vous font porter 100 % des frais d'une décision prise unilatéralement par le client.
• Cohérence avec votre assurance. Vos plafonds de garantie doivent couvrir, au moins partiellement, les montants évoqués ci-dessus. Une RC Pro avec frais de retrait et un plafond adapté au secteur (automobile, médical, industriel) est le minimum.

Si votre prestation touche aussi le traitement de données ou des dispositifs connectés, ajoutez le volet cyber : un système embarqué communicant expose à des risques d'intrusion qui relèvent d'une assurance cyber dédiée. Et retrouvez l'ensemble des garanties pensées pour votre activité sur la page assurance ingénieur systèmes embarqués.