Responsabilité du fait des produits médicaux : aperçu de la nouvelle loi
La nouvelle loi sur la responsabilité du fait des produits renforce la responsabilité du fait des produits pour les logiciels intégrés aux dispositifs médicaux. Plus les systèmes numériques continuent d'apprendre ou de recevoir des mises à jour après leur mise sur le marché, plus la question suivante prend de l'importance : risque lié au développement ou contrôle du fabricant ? C'est précisément cette distinction qui déterminera à l'avenir la responsabilité en matière de dispositifs médicaux.
Teilen Sie diesen Beitrag:
Teilen Sie diesen Beitrag:
Aperçu de la nouvelle directive européenne relative à la responsabilité du fait des produits
La nouvelle directive sur la responsabilité du fait des produits remplace la directive 85/374/CEE et, par là même, un régime de responsabilité dont les fondements remontent essentiellement à une époque antérieure à celle des logiciels, des services cloud et des algorithmes d’auto-apprentissage. Le principe fondamental reste inchangé : la responsabilité du fait des produits reste objective. Une victime n’est pas tenue de prouver la faute du fabricant, mais doit démontrer la défectuosité du produit, le préjudice subi et le lien de causalité. C’est le cadre qui l’entoure qui a été modernisé, ce qui a des répercussions particulièrement importantes sur les dispositifs médicaux.
Notion élargie de « produit » : conformément à l’article 4 de la directive européenne relative à la responsabilité du fait des produits, les logiciels, les fichiers de fabrication numériques et les matières premières sont expressément considérés comme des produits. Pour les dispositifs médicaux, cela signifie que les logiciels autonomes, les logiciels embarqués, les applications et les systèmes d’intelligence artificielle relèvent directement du champ d’application de la directive, qu’ils soient fournis sur un support de données, sous forme de téléchargement ou en tant que service.
Élargissement du cercle des responsables : l’article 8 mentionne, outre le fabricant, notamment les fabricants de composants, les importateurs, les mandataires, les prestataires de services de logistique et, à titre subsidiaire, les distributeurs ainsi que les plateformes en ligne. Toute personne qui modifie de manière substantielle un dispositif médical avant de le mettre à disposition peut également être tenue responsable en tant que fabricant.
Notion élargie de préjudice : conformément à l’article 6, sont indemnisables le décès et les lésions corporelles, y compris les atteintes à la santé mentale reconnues sur le plan médical, les dommages matériels ainsi que la destruction ou l’altération de données qui ne sont pas utilisées exclusivement à des fins professionnelles. La franchise antérieure de 500 euros en cas de dommages matériels est supprimée, de même que la possibilité d’un plafond national de responsabilité.
La nouvelle loi sur la responsabilité du fait des produits : sa transposition en droit allemand
En Allemagne, la directive est transposée par la loi relative à la modernisation du droit de la responsabilité du fait des produits. Il s’agit de la première réforme globale de la loi sur la responsabilité du fait des produits depuis 1989 et, à ce titre, du changement le plus important du droit allemand en matière de responsabilité du fait des produits auquel les fabricants de dispositifs médicaux ont été confrontés au cours des trois dernières décennies. Le projet de loi du gouvernement est disponible depuis février 2026 (BT-Drs. 21/4297) ; après la première lecture en mars 2026 et l’audition devant la commission des affaires juridiques, la procédure parlementaire est toujours en cours. Elle doit être achevée au plus tard le 9 décembre 2026.
Concrètement, cela signifie que la nouvelle loi sur la responsabilité du fait des produits reprend les dispositions de la directive européenne relative à la responsabilité du fait des produits, mais précise à plusieurs égards la marge de manœuvre nationale, notamment en matière de procédure, de protection des secrets d’affaires dans le cadre de la divulgation d’informations et de la détermination des dommages-intérêts pour préjudice moral. Les fabricants devraient donc suivre de près la version définitive de la loi sur la responsabilité du fait des produits et ne pas fonder leurs procédures uniquement sur le texte de la directive. Toutefois, ceux qui planifient d’ores et déjà sur la base de la directive ne travaillent pas pour rien : l’essentiel du contenu – la notion de défaut, l’allègement de la charge de la preuve, les obligations de divulgation et les délais – est défini par le droit européen et se retrouvera dans le droit national.
Responsabilité en matière de dispositifs médicaux : conforme au RDM, mais tout de même responsable ?
Ceux qui ont réussi à faire valider la conformité de leur dispositif médical par un organisme notifié se croient souvent à l’abri. C’est précisément là que réside l’erreur la plus courante en matière de responsabilité liée aux dispositifs médicaux.
C’est aux tribunaux civils qu’il appartient de déterminer de manière indépendante si un produit présente un défaut au sens du droit de la responsabilité civile. Conformément à l’article 7 de la directive, le critère déterminant est de savoir si le produit offrait le niveau de sécurité auquel le grand public pouvait légitimement s’attendre, ce qui s’apprécie au regard d’une série de circonstances, parmi lesquelles figurent expressément les exigences pertinentes en matière de sécurité des produits et les interventions des autorités compétentes. La conformité au RDM et un avis favorable de l’organisme notifié constituent donc des indices de poids en faveur du fabricant dans le cadre de cette évaluation. Elles n’ont toutefois pas d’effet contraignant ni d’effet d’exonération de responsabilité.
En conclusion, cela signifie qu’un dispositif médical peut, d’un point de vue formel, avoir été commercialisé légalement pendant des années et être néanmoins considéré a posteriori comme défectueux, par exemple parce que l’état des connaissances scientifiques et techniques a évolué, parce que des produits comparables offrent désormais un niveau de sécurité plus élevé ou parce qu’un risque connu n’a pas été systématiquement minimisé. L’évaluation de la conformité est un instantané réglementaire, et non une garantie de non-responsabilité.
Risques de responsabilité tout au long du cycle de vie du produit
Un changement de perspective essentiel concerne le moment qui importe. La sécurité n’est plus considérée uniquement comme un instantané au moment de la mise sur le marché, mais comme une mission continue tout au long du cycle de vie du produit.
Cela ressort clairement des exonérations de responsabilité prévues à l’article 11. L’exception classique relative au risque de développement – à savoir que le défaut n’était pas détectable selon l’état des connaissances scientifiques et techniques au moment de la mise sur le marché – est en principe maintenue. Elle ne s’applique toutefois pas lorsque le défaut résulte d’une circonstance qui reste sous le contrôle du fabricant : par exemple, une mise à jour ou une mise à niveau logicielle, un service associé ou une mise à jour qui aurait été nécessaire et qui n’a pas été effectuée.
Ainsi, une surveillance insuffisante du produit, l’absence de mises à jour de sécurité ou des mesures de minimisation des risques prises trop tardivement peuvent avoir des conséquences directes en matière de responsabilité. La gestion des risques, la surveillance post-commercialisation, le suivi clinique post-commercialisation (PMCF) et la vigilance – qui constituent de toute façon des obligations essentielles au titre du RDM – occupent ainsi une place encore plus centrale, car elles influent désormais indirectement sur la responsabilité civile. Quiconque collecte des données de surveillance post-commercialisation (PMS) sans les analyser, ou identifie des tendances sans en tirer de mesures, ne se expose pas seulement à une constatation réglementaire, mais aussi à un risque de responsabilité documenté.
La documentation devient un facteur de responsabilité
Responsabilité du fait des produits concernant les logiciels et l’IA dans les dispositifs médicaux
La situation s’aggrave encore davantage pour les dispositifs médicaux basés sur des logiciels et l’IA. La responsabilité du fait des produits pour les logiciels était controversée sous l’ancienne législation ; elle est désormais expressément réglementée. Les algorithmes adaptatifs, les mises à jour continues et une forte dépendance à l’égard de la qualité des données créent parallèlement des sources d’erreurs qui n’existaient pas dans le droit classique de la responsabilité du fait des produits. L’article 7 énumère expressément les circonstances caractéristiques de cette catégorie de produits : les effets de la capacité d’apprentissage d’un produit, les effets d’autres produits dont le produit dépend raisonnablement, ainsi que les exigences pertinentes en matière de cybersécurité.
Cela revêt notamment une importance pratique pour :
- des données d’entraînement insuffisamment validées ou non représentatives ;
- dérive algorithmique et baisses de performances en conditions réelles ;
- des mises à jour de sécurité et de fonctionnalités manquantes ou tardives ;
- une surveillance insuffisante du comportement en conditions réelles et de la qualité du modèle ;
- interfaces avec des systèmes tiers, des services cloud et des sources de données.
La cybersécurité en tant que facteur de responsabilité
Dans le nouveau régime de responsabilité, la cybersécurité n’est plus une simple question informatique, mais un élément de la notion de défaut : une vulnérabilité qui compromet la finalité ou la sécurité d’un dispositif médical peut constituer un défaut au sens de la responsabilité du fait des produits. Pour les fabricants, cela signifie qu’ils doivent documenter leurs processus de cybersécurité – gestion des failles, cycles de correctifs et de mises à jour, divulgation coordonnée des vulnérabilités, surveillance – de manière à ce qu’ils puissent servir de preuve d’une diligence raisonnable en cas de litige. Quiconque ne corrige pas une vulnérabilité connue risque ainsi de perdre le droit de faire valoir l’exception relative au risque de développement.
À cela s’ajoute le fait que plusieurs cadres réglementaires s’appliquent de manière concomitante aux systèmes d’IA : le RDM, le règlement (UE) n° 2024/1689 relatif à l’IA et la directive sur la responsabilité du fait des produits adoptent des approches différentes, mais s’appuient sur les mêmes éléments de preuve. Il est judicieux de mettre en place le suivi des performances après la mise sur le marché, la gestion des mises à jour et la documentation relative à la cybersécurité de manière à ce qu’ils puissent être utilisés dans ces trois contextes.
Délais, périodes de transition et périodes de prolongation
Sur le plan temporel, cette délimitation est clairement définie ; sur le plan économique, elle a des conséquences considérables :
- Les nouvelles règles s’appliquent aux produits mis sur le marché ou mis en service après le 9 décembre 2026.
- Pour les dispositifs médicaux mis à disposition antérieurement, la loi sur la responsabilité du fait des produits, fondée sur la directive 85/374/CEE, reste applicable.
- Conformément à l’article 16, les droits s’éteignent en principe trois ans après la prise de connaissance du préjudice, du défaut et de l’opérateur économique responsable.
- Conformément à l’article 17, les actions en responsabilité s’éteignent dix ans après la mise sur le marché. En cas de dommages corporels qui ne se manifestent qu’ultérieurement (dommages différés), le délai maximal est porté à 25 ans.
Pour les dispositifs médicaux dont les cycles de commercialisation sont longs et les implants destinés à rester longtemps dans l’organisme, le délai de 25 ans implique que la documentation et la traçabilité doivent rester disponibles bien au-delà du cycle de vie du produit. Les stratégies d’archivage, les formats de données et les responsabilités doivent être évalués à l’aune de cette exigence, même en cas de cession de gammes de produits, de changement de fournisseur ou de migration de systèmes.
Conclusion
Le message central de la nouvelle directive sur la responsabilité du fait des produits est le suivant : la conformité formelle ne suffit plus à elle seule. Les fabricants ont tout intérêt à associer plus étroitement, à l’avenir, la conformité réglementaire, la gestion des risques, la surveillance post-commercialisation et la documentation permettant d’établir une responsabilité, plutôt que de les traiter comme des domaines d’activité distincts. Concrètement, il est recommandé de prêter attention à six points :
- Analyse des écarts : quels dispositifs médicaux seront mis sur le marché pour la première fois ou à nouveau après le 9 décembre 2026 – et relèveront-ils ainsi de la nouvelle loi sur la responsabilité du fait des produits ?
- Gestion des mises à jour et du cycle de vie : les responsabilités, les délais et les critères de déclenchement des mises à jour de sécurité et fonctionnelles sont-ils définis et documentés ?
- Efficacité des systèmes de gestion des incidents (PMS) et de vigilance : les tendances identifiées conduisent-elles de manière vérifiable à la mise en œuvre de mesures – et cette chaîne de causalité est-elle visible dans les dossiers ?
- Qualité de la documentation : la chaîne de traçabilité est-elle structurée de manière à résister à une divulgation judiciaire – cohérente, versionnée, justifiée de manière compréhensible ?
- Logiciels et cybersécurité : la gestion des vulnérabilités, la mise à disposition des mises à jour et le suivi des performances après la mise sur le marché sont-ils réglementés pour chaque produit logiciel ?
- Assurance et archivage : les montants de couverture, les périodes de responsabilité civile postérieure et les délais de conservation sont-ils adaptés aux durées maximales de dix et 25 ans respectivement ?
Ce qui est désormais déterminant, ce n’est plus seulement qu’un dispositif médical réponde à toutes les exigences lors de sa mise sur le marché, mais que sa sécurité soit surveillée, évaluée et documentée de manière traçable tout au long de son cycle de vie. Quiconque met en place ces processus de manière rigoureuse et dès le début se trouve, en cas d’incident, nettement mieux préparé, non seulement sur le plan réglementaire, mais aussi en matière de responsabilité civile.
