En bref
- Le code produit par l'IA seule n'est probablement pas protégé par le droit d'auteur européen. Ce qui compte, ce sont les choix humains, et il faut pouvoir les prouver.
- Ne comptez pas sur le seul paiement pour devenir propriétaire d'un développement. Faites-vous céder les droits par écrit, chaque droit nommé, avec son étendue, sa destination, son lieu et sa durée.
- Exigez la remise du code source, de la documentation et des accès. Vérifiez aussi si votre logiciel relève du règlement européen sur la cybersécurité des produits.
Vous faites développer un logiciel pour votre entreprise. Votre prestataire écrit une partie du code avec l'intelligence artificielle. Trois questions se posent : ce code est-il protégé ? À qui appartient-il ? Que faut-il lire dans le contrat avant de signer ?
Cet article s'appuie sur le droit européen. Il informe, il ne remplace pas l'avis d'un avocat. Faites relire les clauses par un conseil du pays dont le droit régit votre contrat.
Droit d'auteur et IA : le critère d'originalité
Une directive européenne de 2009 oblige chaque pays de l'Union à protéger les logiciels par le droit d'auteur, comme des œuvres littéraires. Elle y inclut le matériel de conception préparatoire (directive 2009/24/CE, article 1). Mais un logiciel n'est protégé que s'il est original, c'est-à-dire s'il est la création intellectuelle propre à son auteur. Aucun autre critère ne s'applique.
L'auteur, selon la même directive, est en principe la personne physique, ou le groupe de personnes, qui a créé le programme (article 2). Le code produit par l'IA seule n'est donc probablement pas protégé.
Ce que cela change pour vous : la valeur juridique de votre logiciel tient à l'apport humain. Le cahier des charges, l'architecture (la façon dont le logiciel est organisé), les choix faits en route, la relecture et la réécriture du code doivent laisser une trace écrite. L'historique des versions en fait partie : c'est le registre qui garde chaque modification du code, avec sa date et son auteur.
Les conditions des fournisseurs d'IA : à qui reviennent les résultats
Votre prestataire utilise un outil d'IA aux conditions de son fournisseur. Ces conditions lient le fournisseur et votre prestataire : vous n'y êtes pas partie.
Prenons Anthropic, l'éditeur de Claude. Ses conditions commerciales (version du 17 juin 2025) prévoient que son client, ici votre prestataire, possède les résultats produits, « to the extent permitted by applicable law » : dans la mesure où la loi le permet. Anthropic lui cède aussi ses droits sur ces résultats, « (if any) » : s'il en a. Un fournisseur ne peut pas céder un droit d'auteur qui n'existe pas. C'est ensuite à votre prestataire de vous céder ce qu'il détient.
Ces conditions prévoient aussi qu'Anthropic défend son client, pour un usage payant, si un tiers prétend que les résultats portent atteinte à sa propriété intellectuelle. Cette protection ne joue pas, entre autres, quand le client a modifié les résultats ou les a combinés avec des éléments qu'Anthropic n'a pas fournis. Or un logiciel sur mesure mêle presque toujours du code relu, modifié et assemblé avec d'autres briques.
L'outil de développement Claude Code relève des conditions commerciales pour les offres Team, Enterprise et l'API, mais des conditions grand public pour les offres Free, Pro et Max (page juridique de Claude Code). Les conditions grand public (version du 8 octobre 2025, publiée sur le site d'Anthropic et consultée le 13 octobre 2026) cèdent elles aussi les droits éventuels d'Anthropic sur les résultats, mais ne prévoient pas cette défense contre les réclamations de tiers. Demandez donc à votre prestataire quel outil il utilise, avec quelle offre, et ce que ces conditions disent des résultats.
Le contrat de cession : nommer chaque droit, son territoire et sa durée
Ne comptez pas sur le seul paiement. Pour les logiciels, la même directive prévoit que les droits sur un programme créé par un salarié dans ses fonctions reviennent à son employeur, sauf contrat contraire (article 2). Les droits sur le code écrit par les salariés de votre prestataire reviennent donc, en principe, à votre prestataire. Pour les recevoir, il faut une cession.
Faites-la par écrit, et nommez chaque droit cédé, avec son étendue, sa destination, son lieu et sa durée. Les conditions de forme exactes, surtout quand votre prestataire est une société et non l'auteur lui-même, sont à vérifier avec votre conseil. Cette précision reste la façon la plus sûre de savoir exactement ce que vous recevez.
Pour un logiciel, les droits à nommer sont ceux que la directive réserve à l'auteur (article 4) :
- la reproduction du logiciel, en tout ou partie ;
- la traduction, l'adaptation, l'arrangement ou toute autre modification ;
- toute forme de distribution au public, y compris la location.
Une phrase comme « le client devient propriétaire du logiciel » reste trop vague : elle ne dit pas quels droits vous recevez, ni pour quels usages. Une bonne clause nomme chaque droit, ses usages, son territoire (le monde entier, par exemple) et sa durée (toute la durée de protection prévue par la loi, par exemple). Elle couvre le code source, le logiciel prêt à fonctionner, la documentation et les documents de conception.
Ajoutez deux garanties. D'abord, le prestataire détient bien les droits de tous ceux qui ont écrit le code : ses salariés, mais aussi ses sous-traitants et ses indépendants. Il ne peut pas vous céder plus qu'il n'a. Ensuite, il déclare tous les éléments de tiers intégrés au logiciel, en particulier les composants libres (open source), chacun avec sa licence.
Réversibilité : code source, documentation et accès d'hébergement remis au client
La réversibilité, c'est votre capacité à changer de prestataire ou à reprendre la main sans repartir de zéro. Posséder les droits ne sert à rien si vous n'avez pas le code.
Le contrat doit prévoir la remise :
- du code source complet, avec son historique des versions ;
- de la documentation : installation, organisation du logiciel, choix qui ont guidé le développement ;
- des accès : hébergement, nom de domaine, comptes des services utilisés, sauvegardes.
Fixez le moment (à chaque livraison et en fin de contrat), le format et le délai. Par exemple, une PME de 40 salariés qui fait développer un outil de planning de chantiers doit pouvoir confier sa maintenance à un autre prestataire le jour où elle le décide.
Chez Kendu Intelligence, ce qui vous est remis à la livraison d'un logiciel sur mesure (code source, documentation, accès d'hébergement) est précisé dans votre devis.
Cyber Resilience Act : selon la Commission, une application web utilisée dans le navigateur n'est pas concernée, une application installée peut l'être
Le Cyber Resilience Act (CRA, règlement (UE) 2024/2847) impose des règles de cybersécurité aux « produits comportant des éléments numériques ». Ses obligations principales s'appliquent à partir du 11 décembre 2027 (Commission européenne). Depuis le 11 septembre 2026, le fabricant d'un produit concerné doit déjà signaler les failles activement exploitées et les incidents graves qui touchent la sécurité du produit. Il les adresse à l'équipe nationale de réponse aux incidents (CSIRT) du pays de son établissement principal ; l'ENISA, l'agence de l'UE pour la cybersécurité, les reçoit en même temps (Commission européenne).
Le sur-mesure n'est pas exclu par principe. Les lignes directrices publiées par la Commission le 27 juillet 2026 rappellent, d'après le Guide bleu, que la mise sur le marché s'apprécie produit par produit, qu'il soit fabriqué à l'unité ou en série (point 11).
Ces lignes directrices donnent des exemples utiles (exemples 3 à 5) :
- une application web utilisée uniquement dans un navigateur n'est pas un produit au sens du CRA ; elle n'entre dans son champ que si elle sert au fonctionnement d'un produit qui en est un ;
- une application mobile téléchargée et installée sur le téléphone, ou une application de bureau installée sur l'ordinateur, en est un. Elle peut alors relever du CRA si elle est mise sur le marché dans le cadre d'une activité commerciale.
Attention aux cas intermédiaires. Pour la Commission, tout dépend de l'endroit où le logiciel s'exécute : un logiciel fourni à l'utilisateur et qui fonctionne sur son propre système informatique peut entrer dans le champ (point 20). Autre exemple : une entreprise qui remet à un client, sous licence, le code source d'une plateforme interne met ce code sur le marché, même si le client doit encore l'adapter (exemple 7). Votre application web sera installée sur vos serveurs, ou son code source vous sera remis ? Posez la question à votre prestataire et à votre conseil. Ces lignes directrices ne sont pas contraignantes : seule la Cour de justice interprète le règlement avec autorité (point 8).
Les cinq clauses à vérifier avant de signer
- La cession des droits : écrite, chaque droit nommé, avec son étendue, sa destination, son lieu et sa durée ; et la garantie que le prestataire détient les droits de tous ceux qui ont écrit le code.
- La trace de l'apport humain : cahier des charges validé, choix, relectures et historique des versions, remis avec le code.
- L'outil d'IA : quel outil, quelle offre, à qui reviennent les résultats ; la liste des composants de tiers et de leurs licences.
- La réversibilité : code source, documentation et accès remis, avec un moment, un format et un délai.
- La sécurité : application web, application installée, hébergement chez vous ou remise du code source ? Qui surveille et corrige les failles, et pendant combien de temps ?
Pour aller plus loin
- Comment nous construisons un logiciel dont vous proposez le budget : Logiciel sur mesure.
- Où vont vos données et comment nous les protégeons : Données et sécurité.
- Les étapes, du cahier des charges validé à la livraison : Notre méthode.
- Pour nous décrire votre projet : nous contacter.