Fuite de données liée à l'IA : le dirigeant est-il personnellement responsable ?

Dans la grande majorité des cas, c'est l'entreprise, en tant que responsable des données, qui est visée :

• Amende de la CNIL : les sanctions du RGPD visent l'entreprise, pas le dirigeant. Ne pas notifier une violation qui aurait dû l'être, par exemple, expose à une amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires.
• Réclamations des clients et partenaires : réparation du préjudice, rupture de contrat, pénalités prévues dans vos contrats.
• Poursuites pénales : une entreprise peut être déclarée pénalement responsable des infractions commises pour son compte par ses dirigeants (article 121-2 du Code pénal). L'amende est alors jusqu'à cinq fois celle prévue pour une personne, soit jusqu'à 1,5 million d'euros pour une infraction punie de 300 000 euros.
• Sanctions de l'AI Act, pour les manquements qui le concernent (pratiques interdites, transparence).

Le Code pénal prévoit plusieurs infractions liées aux données personnelles, qui peuvent viser le dirigeant lui-même s'il est celui qui décide (selon le récapitulatif de la CNIL ) :

• ne pas prendre les mesures de sécurité exigées par le RGPD : 5 ans d'emprisonnement et 300 000 € d'amende (article 226-17) ;
• ne pas notifier une violation de données à la CNIL : mêmes peines (article 226-17-1) ;
• divulguer des données à une personne non autorisée, avec atteinte à la considération ou à l'intimité des personnes : 5 ans et 300 000 €, ou 3 ans et 100 000 € si c'est par imprudence ou négligence. Les poursuites ne sont alors possibles que sur plainte de la victime (article 226-22).

En pratique, les poursuites pénales contre un dirigeant de petite entreprise pour ces faits sont rares. Le risque augmente nettement dans trois situations :

Dans une entreprise plus grande, une délégation de pouvoirs écrite à une personne compétente, qui dispose de l'autorité et des moyens nécessaires, peut transférer cette responsabilité. Dans une TPE, c'est rarement réaliste : le dirigeant reste en première ligne.

Le dirigeant d'une SARL, d'une SAS ou d'une SA peut aussi devoir réparer le préjudice causé par une faute de gestion :

• envers la société et ses associés, s'ils estiment que la faute leur a coûté (articles L. 223-22 et L. 227-8 du Code de commerce) ;
• envers un tiers, comme un client, seulement en cas de faute « séparable » de ses fonctions : une faute intentionnelle, d'une particulière gravité et incompatible avec l'exercice normal de ses fonctions ;
• en cas de liquidation judiciaire, il peut être condamné à combler tout ou partie de l'insuffisance d'actif si une faute de gestion y a contribué. Depuis 2016, une simple négligence ne suffit plus (article L. 651-2 du Code de commerce).

Les textes n'exigent pas l'absence d'incident : ils exigent que des mesures aient été prises. Ce qui compte, c'est de pouvoir le prouver :

1. Une charte IA écrite, datée, signée par les salariés et adoptée dans les formes.
2. Une formation courte, notée dans un registre : date, participants, contenu.
3. Des outils professionnels validés, avec un contrat de traitement des données.
4. Une procédure en cas d'incident : qui prévenir, sous quel délai, comment notifier la CNIL.
5. Un registre des violations, même vide.

Ces cinq éléments ne rendent pas intouchable. Mais ils montrent qu'il n'y a eu ni négligence, ni tolérance, ni dissimulation : c'est exactement ce qui fait la différence entre un incident et une faute.

• L'assurance responsabilité civile des dirigeants prend en charge, selon les contrats, les frais de défense et les dommages et intérêts liés à une faute de gestion. Les amendes pénales, elles, ne sont jamais assurables.
• L'assurance cyber couvre souvent les frais de gestion d'un incident : expertise, notification, information des clients, parfois la perte d'exploitation. La prise en charge des amendes administratives est très discutée en France : ne comptez pas dessus.
• Relisez vos contrats : beaucoup exigent de déclarer l'incident très vite, et certains excluent les usages non conformes à vos propres règles.

La directive européenne NIS 2 renforce la responsabilité des dirigeants en matière de cybersécurité, avec une obligation de formation, pour les entreprises de certains secteurs à partir de 50 salariés. En octobre 2026, la loi française qui doit la transposer n'était pas encore adoptée. Si votre entreprise travaille dans l'énergie, la santé, le numérique, les transports, l'eau ou l'agroalimentaire, suivez ce texte de près.