novembre 2023

LUMIÈRE SUR … les récents apports jurisprudentiels en garantie des vices cachés

Le Code civil met à la charge du vendeur plusieurs obligations parmi lesquelles on retrouve la garantie contre les vices cachés. Elle est définie à l’article 1641 du même code comme la garantie à laquelle est tenu le vendeur lorsque la chose vendue contient un défaut caché qui la rend impropre à l’usage auquel on la destine, ou qui diminue tellement cet usage que l’acheteur ne l’aurait pas acquise, ou n’en aurait donné qu’un moindre prix, s’il les avait connus.

Si la garantie des vices cachés existe depuis 1804 dans le Code civil, il reste encore des questions sans réponse concernant le régime juridique qu’on lui applique. Fort heureusement, la Cour de cassation est revenue sur certaines d’entre elles.

Par un arrêt du 5 juillet 2023 de la chambre commerciale[1], la Cour de cassation revient sur l’applicabilité de la présomption irréfragable de connaissance du vice caché et répond à la question de savoir si une telle présomption contrevient au droit fondamental à un procès équitable garanti par l’article 6 §1 de la Convention de sauvegarde des droits de l’Homme et des libertés fondamentales.

A l’occasion de quatre arrêts rendus le 21 juillet 2023 par la chambre mixte[2], la Cour de cassation revient sur la qualification du délai biennal consacré à l’article 1648 du Code civil et sur la très controversée existence d’un délai butoir dans lequel sera enfermé ledit délai biennal, ainsi que, s’il existe, sa durée et son point de départ, dans un souci d’unification de la jurisprudence, de protection des droits des consommateurs et face aux impératifs de la vie économique[3].

Ces décisions interviennent à un moment tout à fait opportun alors que la Chancellerie a publié il y a presque un an son projet de réforme du droit des contrats spéciaux et qu’une consultation publique a eu lieu jusqu’en novembre 2023[4]. Par cette série d’arrêts, on peut légitimement se demander si la Cour de cassation ne tenterait pas d’influencer le législateur, à la veille de l’adoption de la réforme.

I. La présomption irréfragable de connaissance du vice caché est-elle applicable lorsque l’acheteur est lui aussi un professionnel ?

En l’espèce, une société constate que le moteur du tracteur qu’elle a acquis et mis en circulation est affecté d’un vice caché. Elle assigne la société venderesse en résolution judiciaire du contrat de vente, ce qui est reconnu par les tribunaux de première instance puis la cour d’appel de Caen.

La société venderesse et son assureur se pourvoient en cassation et arguent que l’application qui est faite par les juridictions inférieures de la présomption irréfragable de connaissance du vice caché par le vendeur professionnel ne peut pas jouer dès lors que l’acquéreuse est elle-même un professionnel[5].

La Cour de cassation juge que la présomption irréfragable de connaissance par le vendeur professionnel du vice de la chose vendue joue même lorsque l’acheteur est lui-même un professionnel, conformément à une jurisprudence ancienne et constante (Cass. 1^er Civ., 21 nov. 1972, bull. n°257 ; Civ. Com., 19 mai 2021, n°19-18.230).

II. La présomption irréfragable de connaissance du vice porte-t-elle atteinte au droit de la preuve garanti par l’article 6 §1 de la Convention de sauvegarde des droits de l’Homme et des libertés fondamentales ?

Dans ce même arrêt, pour se soustraire à la présomption irréfragable de connaissance du vice de la chose vendue, le vendeur professionnel invoquait l’argument selon lequel cette présomption « méconnaît le droit au procès équitable garanti par l’article 6, §1, de la Convention, la règle de droit nationale portant une atteinte disproportionnée au droit à la preuve d’une partie »[6], d’autant plus alors que l’acheteur en l’espèce agissait dans l’exercice de sa propre activité professionnelle.

Toutefois, la Cour juge que ladite présomption a pour objet de « contraindre [le] vendeur, qui possède les compétences lui permettant d’apprécier les qualités et les défauts de la chose, à procéder à une vérification minutieuse de celle-ci avant la vente »[7] et répond donc « à l’objectif légitime de protection de l’acheteur qui ne dispose pas de ces mêmes compétences »[8]. La présomption irréfragable de connaissance du vice de la chose vendue par le vendeur professionnel est donc nécessaire pour parvenir audit objectif et ne porte pas une atteinte disproportionnée au droit du vendeur professionnel au procès équitable garantie par l’article 6 §1 de la Convention.

III. Le délai biennal de l’action en garantie des vices cachés est-il un délai de prescription ou de forclusion ?

Dans une volonté d’unification de la jurisprudence, la Cour de cassation revient sur la qualification du délai biennal dont on dispose pour engager une action en garantie des vices cachés.

Il existait une divergence de jurisprudence au sein même de la 3^e chambre civile de la Cour de cassation qui avait pu tantôt qualifier le délai de l’action en garantie des vices cachés de délai de forclusion[9], tantôt traiter ce délai comme un délai de prescription[10], laissant la doctrine perplexe[11].

La Cour de cassation réunie en chambre mixte met fin au débat en jugeant que le délai biennal prévu pour intenter une action en garantie en raison des vices cachés est un délai de prescription, qui peut donc être suspendu[12].

Pour ce faire, elle s’intéresse alors à la volonté du législateur[13]. Elle retient, d’une part, que les rapports accompagnant l’ordonnance n°2005-136 et le projet de loi de ratification font mention de l’existence d’un délai de prescription, et, d’autre part, que l’objectif poursuivi par le législateur est de permettre à tout acheteur, consommateur ou non, de bénéficier d’une réparation en nature, d’une diminution du prix ou de sa restitution lorsque la chose est affectée d’un vice caché, et que pour ce faire, l’acheteur doit être en mesure d’agir contre le vendeur dans un délai susceptible d’interruption et de suspension[14].

À la veille de la réforme du droit des contrats spéciaux, l’avant-projet de réforme du droit des contrats spéciaux rendu public par le ministère de la Justice ne qualifie pas explicitement le délai biennal de délai de prescription ou de forclusion[15]. Il faut espérer que, d’ici l’adoption de la réforme, le législateur consacre l’arrêt d’espèce rendu par la chambre mixte afin de mettre fin une bonne fois pour toutes à la controverse jurisprudentielle.

IV. L’action en garantie des vices cachés est-elle enfermée dans un délai butoir ? Le cas échéant, quels sont sa durée et son point de départ ?

La Cour de cassation, toujours réunie en chambre mixte, est aussi revenue sur l’existence d’un délai butoir au sein duquel est enfermée l’action en garantie des vices cachés, et, s’il existe, de la durée de ce délai et de son point de départ[16].

La Cour de cassation consacre l’existence d’un tel délai butoir dans lequel est enfermée l’action en garantie des vices cachés et revient sur la durée d’un tel délai et son point de départ.

Il existe un débat doctrinal et jurisprudentiel concernant le faire de savoir s’il faut encadrer l’action en garantie des vices cachés dans le délai butoir de vingt ans prévu à l’article 2232 du Code civil ou le délai butoir de cinq ans prévu à l’article L. 110-4 du Code de commerce.

La Cour de cassation considère que le délai de vingt ans de l’article 2232 du Code civil constitue le délai butoir de droit commun des actions civiles et commerciales au-delà duquel elles ne peuvent plus être exercées[17].

Par ailleurs, ce délai butoir court à compter de la naissance du droit, lequel est, en matière de garantie des vices cachés, le jour de la vente conclue par la partie recherchée en garantie[18].

L’avant-projet de réforme du droit des contrats spéciaux hésite toujours, quant à lui, sur la durée du délai butoir et prévoit deux options : une première de vingt ans à compter du jour de la naissance du droit, et une seconde de dix après la délivrance de la chose vendue[19]. Les arrêts de la chambre mixte de la Cour de cassation arrivent donc à point nommé, sans doute pour tenter d’influer sur la décision finale du législateur.

———-

[1] Cass. Com., 5 juill. 2023, n° 22-11.621.

[2] Cass. ch. mixte, 21 juill. 2023, n° 21-15.809 ; Cass. ch. mixte., 21 juill. 2023, n° 21-17.789 ; Cass. ch. mixte, 21 juill. 2023, n° 21-19.936 ; Cass. ch. mixte, 21 juill. 2023, n° 20-10.763.

[3] Communiqué de la Cour de cassation, « Vices cachés – dans quel délai l’action en garantie peut-elle être engagée ? », 21 septembre 2023.

[4] BRASSSAC L., « Réforme du droit des contrats spéciaux : ‘Nous avons conservé certains numéros emblématiques’ », Interview de Philippe Stoffel-Munck, président de la Commission ayant travaillée sur le projet de réforme du droit des contrats spéciaux, Dalloz Actualité, 30 septembre 2022.

[5] SERINET Y.-M., « Ventes entre professionnels et présomption de connaissance du vice affectant la chose objet du contrat », La Semaine Juridique Édition Générale n°28, LexisNexis, 17 juillet 20223, act. 866.

[6] Cass. Com., 5 juill. 2023, n° 22-11.621.

[7] Ibid.

[8] Ibid.

[9] Cass. 3^e civ., 10 nov. 2016, n°15-24.289 ; Cass. 3e civ., 5 janv. 2022, n°20-22.670.

[10] Cass. 3^e civ., 15 janv. 2017, n°15-12.605 ; Cass. 3e civ., 11 avr. 2018, n°17-14.091.

[11] MAZEAUD-LEVENEUR S., « Le délai biennal de la garantie des vices cachés : forclusion ou prescription ? », La Semaine Juridique Edition Générale, Dalloz, n°3, 24 janvier 2022, act. 89.

[12] Cass. ch. mixte, 21 juill. 2023, n° 21-15.809, pt. 21.

[13] DE ANDRADE N., « Du double délai pour agir en garantie des vices cachés : épilogue », Dalloz Actualité, 13 septembre 2023.

[14] Cass. ch. mixte, 21 juill. 2023, n° 21-15.809, pt. 17.

[15] ROBIN-SABARD O., « Avant-projet de réforme du droit des contrats spéciaux : vente – vices cachés », Le droit en débats, Dalloz Actualité, 11 juillet 2022.

[16] Communiqué de la Cour de cassation, « Vices cachés – dans quel délai l’action en garantie peut-elle être engagée ? », 21 septembre 2023.

[17] Cass. ch. mixte., 21 juill. 2023, n° 21-17.789, pt. 11 ; Cass. ch. mixte, 21 juill. 2023, n° 21-19.936, pt. 16 ; Cass. ch. mixte, 21 juill. 2023, n° 20-10.763, pt. 20.

[18] Cass. ch. mixte., 21 juill. 2023, n° 21-17.789, pt. 15 ; Cass. ch. mixte, 21 juill. 2023, n° 21-19.936, pt. 19 ; Cass. ch. mixte, 21 juill. 2023, n° 20-10.763, pt. 27.

[19] ROBIN-SABARD O., « Avant-projet de réforme du droit des contrats spéciaux : vente – vices cachés », Le droit en débats, Dalloz Actualité, 11 juillet 2022.

Les récents apports jurisprudentiels en garantie des vices cachés (1)

Les récents apports jurisprudentiels en garantie des vices cachés (2)

Les récents apports jurisprudentiels en garantie des vices cachés (3)

Les récents apports jurisprudentiels en garantie des vices cachés (4)

LUMIÈRE SUR … Les risques liés à la confidentialité des données utilisées pour l’entraînement des modèles d’Intelligence Artificielle

Partage d’un modèle d’intelligence artificielle : attention au risque de réidentification des données utilisées pour l’entraînement du modèle

Pour automatiser la pseudonymisation de ses décisions, la Cour de cassation est progressivement passée d’un moteur de règles[1] à un système d’intelligence artificielle reposant sur l’apprentissage automatique. Cette nouvelle approche est définie par la CNIL comme : « un champ d’études de l’intelligence artificielle qui vise à donner aux machines la capacité d’apprendre à partir de données, via des modèles mathématiques », soit un « procédé par lequel les informations pertinentes sont tirées d’un ensemble de données d’entraînement »[2].

Ainsi, ce changement de paradigme permet à la Cour de cassation de réaliser des gains de temps, et d’adapter son outil de pseudonymisation à une plus grande variété de contextes. Néanmoins, le recours aux modèles d’apprentissage automatique génère de nouveaux risques : notamment la potentielle réidentification des données personnelles ayant été utilisées pour l’entraînement de ce dernier.

Ainsi, le 31 janvier 2023, un justiciable a demandé à l’administration la communication du code source du logiciel, ainsi que le modèle d’intelligence artificielle en tant que tel, utilisé par la Cour de cassation afin de pseudonymiser ses décisions de justice avant leur publication. Si le code source du logiciel fait lui déjà l’objet d’une diffusion publique, le Président de la Cour a toutefois expressément refusé la communication du modèle d’intelligence artificielle entraîné.

Ainsi, l’avis rendu par la Commission d’accès aux documents administratifs (CADA) en date du 30 mars 2023[3] dernier consacre la possibilité d’obtenir la communication des modèles d’intelligence entraînés utilisés par l’administration (I.), sous réserve que cette communication ne permette pas à des tiers de procéder à la réidentification des données personnelles présentes dans les données d’entraînement du modèle (II.). Ainsi, il est nécessaire de garantir la confidentialité des données d’entraînement d’un modèle d’intelligence artificielle mis en production (III.).

1. Les modèles d’intelligence artificielle entraînés : des documents administratifs susceptibles d’être communiqués

Le modèle d’intelligence artificielle utilisé par la Cour de cassation est composé de deux modèles d’intelligence artificielle ayant chacun subi une phase d’apprentissage propre[4] :

Tout d’abord, un apprentissage non supervisé[5] d’un modèle de langage, qui permet d’obtenir des vecteurs multidimensionnels de mots, a été réalisé sur plus de 2 millions de décisions de justice ;
Puis, un apprentissage supervisé[6] d’un algorithme de reconnaissance d’entités nommées, qui est une sous-tâche du premier, a été réalisé sur plusieurs milliers de décisions annotés.

Dès lors, la Commission d’Accès aux Documents Administratifs[7] (ou « CADA ») considère que de tels modèles, même entraînés, revêtent le caractère de documents administratifs, et peuvent le cas échéant faire l’objet d’une communication[3].

Pour rappel, l’article L300-2[8] du code des relations entre le public et l’administration définit les documents administratifs comme « les documents produits ou reçus, dans le cadre de leur mission de service public, par l’État, les collectivités territoriales ainsi que par les autres personnes de droit public ou les personnes de droit privé chargées d’une telle mission » ; et ce, « quels que soient leur date, leur lieu de conservation, leur forme et leur support ».

2. Le risque de réidentification des données : l’extraction des données personnelles d’entraînement à partir d’un modèle d’intelligence artificielle

Le principe de libre communication des documents administratifs connaît certaines exceptions, notamment lorsque ces derniers sont susceptibles de porter atteinte à la protection de la vie privée d’une personne comme prévu par l’article L311-6 du code des relations entre le public et l’administration [9]. Le cas échéant, seule la personne concernée peut obtenir la communication des informations présentes dans ledit document.

En effet, il est possible dans certains cas de figure de reconstituer les données utilisées pour entraîner un modèle d’intelligence artificielle : le risque de réidentification des données personnelles utilisées pour entraîner le modèle. Ainsi, ce risque résulte :

De la structure de certains modèles d’intelligence artificielle qui conservent au sein de leurs paramètres les données d’entraînement dans leur forme initiale[10] ;
Mais également de certaines formes d’attaques, dont les attaques « par inversion du modèle »[11] qui visent spécifiquement à reconstruire le jeu de données ayant permis d’entraîner un modèle.

Or en l’espèce, le président de la Cour de cassation considère que les données pseudonymisées dans les décisions rendues publiques peuvent être reconstitués via des opérations de rétro-ingénierie, sur la base des paramètres de configuration des modèles entraînés. En outre, l’algorithme de reconnaissance des entités nommées est un modèle génératif[12] ayant la capacité de mémoriser les données d’entraînement. Par conséquent, la CADA en déduit que « en l’état actuel des connaissances scientifiques » le risque de réidentification des personnes figurant dans les décisions présente « un caractère suffisant de vraisemblance pour être tenu pour acquis ».

En effet, un attaquant disposant du modèle et de l’ensemble de ses paramètres (soit une attaque menée en mode « boîte blanche »[13]) aurait davantage de facilités à reconstituer les données occultées présentes dans les décisions pseudonymisées, dès lors que ces dernières font partie du jeu de données d’entraînement du modèle. Ainsi, un modèle d’intelligence artificielle sera d’autant plus performant lorsqu’il est confronté à ses propres données d’entraînement.

Ainsi, la CADA considère que la communication desdits modèles d’intelligence artificielle est de nature à porter atteinte à la protection de la vie privée d’autrui, en permettant à des tiers de reconstituer le jeu de données utilisé aux fins d’apprentissage du modèle. Par conséquent, ces derniers peuvent réidentifier les personnes concernées dans les décisions de la Cour de cassation pseudonymisées.

3. Les mesures afin de limiter les risques de réidentification des données d’entraînement

Lors du recours à un modèle d’apprentissage automatique, il est important de garantir la confidentialité des données ayant été utilisées afin d’entraîner le modèle, et de s’assurer que ces dernières ne soient pas rendues accessibles à des tiers (attaquants ou partenaires).

Le risque de réidentification des données d’entraînement doit donc être analysé en amont de la mise en production du modèle. En outre, il faut prendre en considération la structure du modèle ainsi que les différents scénarios d’attaque possibles. Cette analyse doit faire l’objet d’une documentation par le Responsable du traitement.

D’autre part, afin de limiter le risque, et selon le contexte, plusieurs mesures peuvent être envisagées, dont notamment :

Privilégier le recours à des types d’algorithmes ne conservant pas les données d’entraînement dans la structure du modèle.
Utiliser des données synthétiques[14] afin d’entraîner le modèle d’intelligence artificielle, dès lors que les données utilisées pour l’entraînement ne sont pas des données personnelles le risque de réidentification d’un individu est minimisé.
Recourir à des API[15] plutôt qu’au partage du modèle en tant que tel[16], et limiter la fréquence et la portée des requêtes afin d’empêcher les attaquants d’accéder aux données d’entraînement.
Brider la performance d’un modèle, ou en interdire les utilisations et applications, dans le cadre d’une tâche ou d’un contexte distinct.
Restreindre l’accès à certaines informations aux attaquants, dont par exemple le score de confiance associé à une décision donnée, en le remplaçant par une simple mention sans précisions supplémentaires.
Analyser l’ensemble des bibliothèques, et codes sources, utilisés afin de prévenir la présence de vulnérabilités, ou de failles de sécurité, permettant à des tiers de récupérer les données d’entraînement (notamment par le biais d’une porte dérobée).

-bibliographie

[1] Un logiciel permettant d’automatiser des décisions à l’aide d’une logique prédéfinie.

[2] CNIL, Glossaire de l’intelligence artificielle, consultable en ligne : https://www.cnil.fr/fr/definition/apprentissage-automatique#:~:text=L’apprentissage%20automatique%20(machine%20learning,donn%C3%A9es%2C%20via%20des%20mod%C3%A8les%20math%C3%A9matiques.

[3] CADA, Avis n°20230314 – Séance du 30/03/2023, consultable en ligne : https://www.cada.fr/20230314

[4] Cour de cassation, Moteur de pseudonymisation de la Cour de cassation, 14 Février 2023, https://github.com/Cour-de-cassation/moteurNER

[5] « L’apprentissage non supervisé est un procédé d’apprentissage automatique dans lequel l’algorithme utilise un jeu de données brutes et obtient un résultat en se fondant sur la détection de similarités entre certaines de ces données », CNIL, Glossaire de l’intelligence artificielle, consultable en ligne : https://www.cnil.fr/fr/definition/apprentissage-automatique#:~:text=L’apprentissage%20automatique%20(machine%20learning,donn%C3%A9es%2C%20via%20des%20mod%C3%A8les%20math%C3%A9matiques.

[6] « L’apprentissage supervisé est un procédé d’apprentissage automatique dans lequel l’algorithme s’entraîne à une tâche déterminée en utilisant un jeu de données assorties chacune d’une annotation indiquant le résultat attendu », CNIL, Glossaire de l’intelligence artificielle, consultable en ligne : https://www.cnil.fr/fr/definition/apprentissage-automatique#:~:text=L’apprentissage%20automatique%20(machine%20learning,donn%C3%A9es%2C%20via%20des%20mod%C3%A8les%20math%C3%A9matiques.

[7] La Commission d’accès aux documents administratifs est une autorité administrative indépendante créer par la loi no 78-753 du 17 juillet 1978 ayant pour mission de fournir des avis aux personnes dont les demandes de communications de documents détenus par l’administration ont fait l’objet d’un refus

[8] https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000033218936

[9] Article L311-6 1° du code des relations entre le public et l’administration : « Ne sont communicables qu’à l’intéressé les documents administratifs : 1° Dont la communication porterait atteinte à la protection de la vie privée », legifrance.gouv.fr/codes/article_lc/LEGIARTI000037269056

[10] A titre d’exemple, la CNIL cite : « les algorithmes de clustering k-NN et de classification SVM », Laboratoire Numérique d’Innovation de la CNIL, Dossier Sécurité des systèmes d’IA, Avril 2022, p. 20, consultable en ligne https://linc.cnil.fr/sites/linc/files/atoms/files/linc_cnil_dossier-securite-systemes-ia.pdf

[11] Dit également « model inversion attacks », Les attaques par inversion visent à extraire une représentation moyenne de chacune des classes sur lesquelles le modèle a été entrainé », Laboratoire Numérique d’Innovation de la CNIL, Dossier Sécurité des systèmes d’IA, Avril 2022, p. 20, consultable en ligne https://linc.cnil.fr/sites/linc/files/atoms/files/linc_cnil_dossier-securite-systemes-ia.pdf

[12] « Par opposition à un modèle discriminatif, le modèle génératif permet à la fois de générer de nouveaux exemples à partir des données d’entraînement et d’évaluer la probabilité qu’un nouvel exemple provienne ou ait été généré à partir des données d’entraînement », CNIL, Glossaire de l’Intelligence Artificielle https://www.cnil.fr/fr/definition/modele-generatif

[13] Contrairement à une attaque en mode « boîte noire » l’attaquant connaît ici de nombreuses informations sur le système d’IA : « la distribution des données ayant servi à l’apprentissage du modèle (potentiellement l’accès à certaines parties de celles-ci), l’architecture du modèle, l’algorithme d’optimisation utilisé, ainsi que certains paramètres (par exemples les poids et les biais d’un réseau de neurones) », Laboratoire Numérique d’Innovation de la CNIL, Dossier Sécurité des systèmes d’IA, Avril 2022, p. 20, consultable en ligne : https://linc.cnil.fr/sites/linc/files/atoms/files/linc_cnil_dossier-securite-systemes-ia.pdf]

[14] La synthèse de données est une technique visant à générer des données par le biais d’un modèle d’intelligence artificielle dédié répliquant les caractéristiques et les propriétés statistiques de données réelles tout en introduisant une part d’aléatoire. Ces données sont alors dénommées « données synthétiques », elles peuvent alors être des données anonymes au sens du RGPD et être utilisés afin d’entraîner un modèle d’intelligence artificielle. Voir en ce sens : Information Commissionner’s Office, Guidance on Privacy-enhancing technologies (PETs), 19 juin 2023, https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-sharing/privacy-enhancing-technologies/what-pets-are-there/synthetic-data/

[15] « Une API (application programming interface ou « interface de programmation d’application ») est une interface logicielle qui permet de « connecter » un logiciel ou un service à un autre logiciel ou service afin d’échanger des données et des fonctionnalités », CNIL, Glossaire, https://www.cnil.fr/fr/definition/interface-de-programmation-dapplication-api

[16] Information Commissionner’s Office, Guidance on AI And Data Proteciton, septembre 2023, consultable en ligne : https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/artificial-intelligence/guidance-on-ai-and-data-protection/how-should-we-assess-security-and-data-minimisation-in-ai/#whatsecurityrisks