Avocat Industrie et Manufacture : sécuriser les données, les savoir-faire et les produits
Le droit du numérique au service de l'industrie et de la manufacture
Données industrielles, secret des affaires, cybersécurité des systèmes de production, conformité et responsabilité des produits, propriété intellectuelle et contrats : le cabinet Haas Avocats accompagne fabricants, ETI et sous-traitants industriels dans la sécurisation juridique de leur activité.
30 ans d’expérience en droit du numérique et de la propriété intellectuelle.
L'industrie face à la montée en puissance du droit du numérique
L’industrie manufacturière relève de plusieurs corps de règles du droit du numérique qui se cumulent. La donnée des machines connectées est encadrée par le règlement (UE) 2023/2854, dit Data Act ; les procédés de fabrication par le secret des affaires (loi du 30 juillet 2018, article L.151-1 du code de commerce) ; la sécurité des systèmes de production par la directive (UE) 2022/2555, dite NIS 2 ; la mise sur le marché des produits par la directive (UE) 2024/2853 sur la responsabilité du fait des produits défectueux, applicable aux produits mis sur le marché à compter du 9 décembre 2026. Concevoir, fabriquer ou connecter suppose désormais d’articuler ces régimes en amont.
L’usine produit de la donnée en continu : capteurs, automates et équipements connectés alimentent la maintenance prédictive et les services vendus autour des machines. Ces données non personnelles ont longtemps échappé à tout cadre. Le règlement (UE) 2023/2854 impose au fabricant d’équipements connectés de donner à l’utilisateur accès aux données qu’il génère et d’en organiser le partage, ce qui transforme une question technique en question contractuelle. En parallèle, la valeur de l’entreprise réside dans des actifs rarement couverts par un titre : procédés, plans, formulations. Le secret des affaires (article L.151-1 du code de commerce) les protège s’ils sont tenus secrets et dotés de mesures de protection raisonnables, et le secret de fabrique (article L.621-1 du code de la propriété intellectuelle) en sanctionne pénalement la divulgation, comme l’a jugé la Cour de cassation à propos des plans d’une machine détournés par d’anciens salariés (chambre criminelle, 19 septembre 2006).
La cybersécurité est devenue une obligation légale assortie de sanctions. La directive (UE) 2022/2555 étend la gestion du risque cyber et la notification des incidents à un large périmètre d’acteurs industriels et remonte les chaînes d’approvisionnement, tandis que le règlement sur la cyberrésilience impose des exigences de sécurité dès la conception des produits comportant des éléments numériques, condition d’accès au marché européen. La responsabilité des produits connaît, elle, sa réforme la plus profonde depuis quarante ans : la directive (UE) 2024/2853 intègre les logiciels et les systèmes d’intelligence artificielle dans la notion de produit et rééquilibre la charge de la preuve au bénéfice de la victime. Un équipement qui embarque une intelligence artificielle relève en outre du règlement (UE) 2024/1689, qui qualifie de systèmes à haut risque certaines IA intégrées aux machines.
Ces régimes ne se traitent pas isolément : une même machine connectée peut relever du Data Act pour ses données, du secret des affaires pour son procédé, de NIS 2 pour sa sécurité et de la directive produits pour sa responsabilité. Le cabinet Haas Avocats, fort de plus de 30 ans d’expérience en droit du numérique et de la propriété intellectuelle, accompagne fabricants, entreprises de taille intermédiaire et sous-traitants industriels dans l’articulation de ces textes, de la sécurisation contractuelle à la défense contentieuse.
7 domaines d'expertise pour l'industrie et la manufacture
01
Secret des affaires et savoir-faire
Procédés de fabrication, plans et méthodes éprouvées sont rarement couverts par un titre et restent exposés au départ d’un salarié ou à la sous-traitance. La loi du 30 juillet 2018, codifiée à l’article L.151-1 du code de commerce, les protège dès lors qu’ils sont tenus secrets et couverts par des mesures raisonnables. Le secret de fabrique, réprimé à l’article L.621-1 du code de la propriété intellectuelle, en sanctionne pénalement la divulgation.
02
Contrats industriels et fournisseurs
La chaîne industrielle repose sur des contrats de R&D, de sous-traitance et de transfert de technologie, encadrés notamment par la loi n° 75-1334 du 31 décembre 1975 relative à la sous-traitance. La propriété des résultats et des données de projet doit être réglée en amont, sous peine de blocage lors de l’industrialisation. Les clauses de confidentialité conditionnent la protection du savoir-faire partagé.
03
Données industrielles et donnée machine
Les données générées par les équipements connectés relèvent du règlement (UE) 2023/2854, dit Data Act, qui impose au fabricant de donner à l’utilisateur accès aux données qu’il produit et d’en organiser le partage. Ces données non personnelles n’appartiennent à personne au sens classique, mais leur maîtrise se joue dans les contrats. L’enjeu est de sécuriser cet accès sans céder la valeur d’usage.
04
Cybersécurité des systèmes de production
La directive (UE) 2022/2555, dite NIS 2, classe une large part des acteurs industriels parmi les entités essentielles ou importantes, avec gestion du risque cyber, notification des incidents et responsabilité des dirigeants. Le règlement sur la cyberrésilience ajoute des exigences de sécurité dès la conception des produits comportant des éléments numériques. Les environnements OT, longtemps isolés, entrent dans le périmètre.
05
Intelligence artificielle et robotique
Le règlement (UE) 2024/1689 sur l’intelligence artificielle qualifie de systèmes à haut risque certaines IA intégrées aux machines et aux robots industriels, avec des obligations de conformité préalables à la mise sur le marché. La maintenance prédictive et le pilotage autonome de la production soulèvent des questions de responsabilité. L’articulation avec la réglementation applicable aux machines devient déterminante.
06
Conformité et responsabilité des produits
La directive (UE) 2024/2853 réforme la responsabilité du fait des produits défectueux pour les produits mis sur le marché à compter du 9 décembre 2026. Elle intègre les logiciels et les systèmes d’intelligence artificielle dans la notion de produit et allège la charge de la preuve pesant sur la victime. Un équipement à logiciel embarqué voit son exposition redéfinie.
07
Marques, droit d'auteur et logiciel
Les marques de gammes et de produits, le droit d’auteur sur les logiciels embarqués (article L.112-2 du code de la propriété intellectuelle) et la documentation technique constituent des actifs opposables aux tiers. Leur protection suppose des dépôts bien construits et une traçabilité des créations. En cas d’atteinte, l’action en contrefaçon reste le levier central.
Sécurisez votre activité en industrie et manufacture avec le cabinet Haas Avocats
Comment Haas Avocats accompagne les fabricants, ETI et sous-traitants industriels
Secret des affaires et savoir-faire industriel
Protéger vos procédés de fabrication et constituer la preuve
Une information relève du secret des affaires lorsqu’elle réunit les trois conditions cumulatives de l’article L.151-1 du code de commerce : ne pas être connue ou aisément accessible pour les professionnels du secteur, tirer une valeur commerciale de son caractère secret, et faire l’objet de mesures de protection raisonnables de la part de son détenteur. La troisième condition est décisive : sans traçabilité des mesures prises, la protection s’effondre devant le juge. En cas de contentieux, l’article R.153-3 du code de commerce permet de restreindre l’accès à une pièce couverte par le secret, et les mesures d’instruction préventives de l’article 145 du code de procédure civile ne sont ordonnées que si elles sont légitimes, nécessaires et proportionnées.
La protection ne se déclenche pas d’elle-même. Un procédé, une formulation ou une méthode ne sont défendables que si l’entreprise démontre les avoir traités comme des secrets, ce qui suppose une organisation dédiée : classification des informations par niveau de criticité, accords de confidentialité avec les partenaires, clauses spécifiques dans les contrats de travail et de sous-traitance, marquage des documents stratégiques, restriction des accès. Cette logique de confidentialité dès la conception vise en priorité les points de fuite propres à l’industrie, le départ d’un salarié vers un concurrent et la R&D partagée avec un fournisseur. Elle connaît une limite qu’il faut intégrer : la protection ne peut pas interdire à un ancien salarié d’exploiter l’expérience et les compétences honnêtement acquises, elle sanctionne l’appropriation déloyale, pas la mobilité.
Lorsque l’atteinte est constituée, le détenteur peut obtenir en référé l’interdiction, la destruction ou la confiscation des objets issus de la violation, et des dommages et intérêts qui intègrent les bénéfices réalisés par l’auteur, y compris les économies d’investissement qu’il a retirées de la captation, sur le fondement des articles L.152-1 et suivants du code de commerce. Mais le même contentieux expose le secret au droit à la preuve de l’adversaire, qui peut demander la communication de pièces. Tout se joue alors sur une documentation constituée en amont, celle qui prouve à la fois l’existence du secret et le sérieux des mesures prises, et qui permet d’en refuser ou d’en encadrer la divulgation. Le secret des affaires se gagne avant le litige, dans les archives, pas pendant.
Le cabinet construit cette documentation à valeur probatoire avec l’industriel, de la politique de confidentialité jusqu’à la stratégie de preuve mobilisable en cas d’atteinte.
Livrables types
Politique et charte de confidentialité · classification des informations sensibles par niveau de criticité · accords de confidentialité et clauses dédiées dans les contrats de travail, de sous-traitance et de R&D · bible du savoir-faire à valeur probatoire · procédures de marquage et de restriction d’accès · actions en référé et au fond en cas de captation · requêtes de protection du secret devant le juge · sensibilisation des équipes exposées.
Propriété des résultats et contrats fournisseurs
Cession, sous-traitance et rééquilibrage contractuel
La réalisation d’un développement ou d’une étude spécifique n’emporte pas cession automatique des droits au profit de celui qui la finance : la propriété des résultats suppose une clause de cession conforme au formalisme de l’article L.131-3 du code de la propriété intellectuelle. Dans la sous-traitance industrielle, la loi n° 75-1334 du 31 décembre 1975 ouvre au sous-traitant une action directe en paiement contre le maître d’ouvrage. Un contrat déséquilibré expose à la neutralisation des clauses créant un déséquilibre significatif dans un contrat d’adhésion (article 1171 du code civil) et à réparation en cas de rupture brutale d’une relation commerciale établie (article L.442-1 du code de commerce). La confidentialité, pour protéger le savoir-faire partagé, doit être stipulée de manière à survivre au terme du contrat.
Une règle prend souvent les industriels de court : payer un développement ne rend pas propriétaire de ce qu’il produit. Sans clause de cession rédigée selon le formalisme légal, l’entreprise qui finance des travaux spécifiques, un logiciel de pilotage, une étude, un plan, n’en obtient qu’un droit d’usage implicite, la titularité restant au prestataire qui peut la revaloriser ailleurs. La même exigence vaut pour la documentation technique et les livrables de co-développement, dont la propriété et les conditions de réutilisation se règlent ligne à ligne. À cette question de titularité s’ajoute celle de la sortie : une clause de réversibilité organise la récupération des données et le transfert de connaissances vers un autre prestataire, faute de quoi la fin d’un contrat peut immobiliser une ligne de production. La sous-traitance obéit en outre à son régime propre, où la loi de 1975 protège le sous-traitant par une action directe et fait remonter les obligations le long de la chaîne.
L’équilibre du contrat est le second front. Beaucoup d’accords fournisseurs se présentent comme des contrats d’adhésion imposés par la partie forte, et le rééquilibrage passe par le contrôle des clauses limitatives de responsabilité, la qualification des engagements en obligation de moyen ou de résultat, et la sanction du déséquilibre significatif ou de la rupture brutale. Le transfert de technologie ajoute une strate de droit de la concurrence, le règlement européen d’exemption applicable aux accords de transfert de technologie fixant les limites des clauses de licence entre entreprises. Une frontière nouvelle se dessine enfin, celle des commandes passées par des systèmes autonomes : lorsqu’un agent logiciel conclut ou déclenche un contrat sans intervention humaine, la question du consentement et de l’imputation se pose au regard de l’article 1128 du code civil, et appelle un cadrage contractuel anticipé plutôt qu’un contentieux subi.
Sous la direction de Gérard Haas, le cabinet négocie et verrouille ces chaînes contractuelles, de la cession des résultats jusqu’aux dispositifs de commande automatisés.
Livrables types
Rédaction et négociation des contrats de R&D, de co-développement et de sous-traitance · clauses de cession et de titularité des résultats conformes au formalisme légal · clauses de réversibilité et de transfert de connaissances · accords de confidentialité survivant au contrat · audit des clauses limitatives de responsabilité et des niveaux de service · encadrement des licences et accords de transfert de technologie · cadrage juridique des dispositifs de commande automatisés et des agents contractuels · traitement des ruptures de relations commerciales établies.
Données des produits connectés et Data Act
Accès, partage et clauses abusives entre entreprises
Le règlement (UE) 2023/2854, dit Data Act, s’applique depuis le 12 septembre 2025 aux données générées par les produits connectés et les services associés. Son article 3 impose au détenteur de données de les rendre accessibles à l’utilisateur, gratuitement et dans un format lisible par machine, et de l’informer avant la vente du type de données produites. Son article 5 ouvre à l’utilisateur un droit de partage vers un tiers de son choix, à des conditions équitables, raisonnables et non discriminatoires. L’obligation de conception permettant cet accès vise les produits mis sur le marché à compter du 12 septembre 2026.
Un fabricant de machines a longtemps maîtrisé les données de ses équipements par le simple fait qu’il en détenait le matériel et le logiciel. Le Data Act rompt cette exclusivité de fait : le client industriel qui exploite la machine peut désormais exiger l’accès aux données de fonctionnement et demander leur transmission à un prestataire de maintenance concurrent ou à un éditeur tiers. Cette bascule oblige à repenser l’architecture contractuelle qui entoure la vente et la location d’équipements, car un modèle économique fondé sur la rétention des données d’usage devient juridiquement fragile. La conformité ne se règle pas au moment d’une demande d’accès, elle se prépare dès la conception du produit et la rédaction des conditions de vente.
Le règlement introduit par ailleurs un contrôle des clauses abusives dans les contrats entre entreprises portant sur l’accès et l’usage des données. Une clause qui prive l’utilisateur de ses droits ou en restreint la portée est réputée non contraignante, ce qui peut neutraliser des stipulations déjà signées et impose un audit des contrats-cadres et des conditions générales en cours. Ce partage obligatoire n’efface pas la protection du secret des affaires ni celle des données à caractère personnel, qui restent régies par leur cadre propre lorsque les flux les mêlent : la donnée doit circuler sans livrer les procédés confidentiels ni contrevenir au RGPD, équilibre qui se construit par des clauses de sauvegarde adaptées. Pour les bases de données structurées issues de cette collecte, le droit du producteur de base de données de l’article L.341-1 du code de la propriété intellectuelle offre un levier complémentaire de maîtrise.
Le cabinet aide les industriels à transformer cette contrainte d’ouverture en cadre contractuel maîtrisé, de la conception du produit à la gestion des demandes d’accès.
Livrables types
Cartographie des flux de données produits et services connexes · rédaction et refonte des clauses de données dans les conditions de vente et les contrats de maintenance · mise en place d’accords de partage conformes aux conditions équitables, raisonnables et non discriminatoires · clauses de sauvegarde du secret des affaires et des données personnelles dans les échanges · conventions de licence de base de données · accompagnement des demandes d’accès et des relations avec les destinataires tiers · audit de conformité des contrats-cadres en cours.
Systèmes de production et normes cyber
NIS 2, CRA et sécurité de la chaîne d’approvisionnement
La directive (UE) 2022/2555, dite NIS 2, distingue entités essentielles et entités importantes et vise les acteurs atteignant le seuil de la moyenne entreprise, au moins 50 salariés ou plus de 10 millions d’euros de chiffre d’affaires et de bilan, dans dix-huit secteurs dont l’industrie manufacturière. Son article 21 impose des mesures de gestion des risques couvrant notamment la sécurité de la chaîne d’approvisionnement, son article 23 un régime de signalement en trois temps : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois auprès de l’autorité nationale, l’ANSSI. La transposition en droit français est portée par la loi dite Résilience, qui reprend cette classification.
L’atelier a longtemps vécu à l’écart du réseau, sur des équipements conçus pour durer et non pour être corrigés. La convergence des systèmes industriels et informatiques a effacé cette frontière et exposé des automates et des lignes de production que l’on ne met pas à jour comme un parc bureautique. La conformité suppose donc de traiter un existant technique contraint, tout en satisfaisant des obligations documentaires et de signalement à délais courts, dont le non-respect engage l’entreprise. Une part du travail est déjà faite pour qui a structuré sa sécurité au titre de l’article 32 du RGPD, qui exige des mesures techniques et organisationnelles adaptées, socle réutilisable pour NIS 2. L’obligation de sécurité de la chaîne d’approvisionnement produit par ailleurs un effet de cascade : un donneur d’ordre assujetti répercute ses exigences sur ses fournisseurs par des clauses et des audits, si bien que des sous-traitants pourtant hors seuil doivent s’aligner pour rester référencés.
La question qui décide de la conformité réelle est celle du pilotage interne. Confier la cybersécurité au directeur des systèmes d’information le place en position de juge de ses propres arbitrages, et le responsable de la sécurité reste partie prenante du dispositif qu’il déploie : la répartition des rôles entre direction informatique, sécurité et délégué à la protection des données conditionne la solidité du dispositif en cas de contrôle. À cette obligation qui pèse sur l’entité s’ajoute celle qui pèse sur les produits. Le règlement sur la cyberrésilience impose une gestion des vulnérabilités sur tout le cycle de vie des produits comportant des éléments numériques et rend fabricant, importateur et distributeur coresponsables, avec des sanctions pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial. Un industriel qui vend des machines connectées relève ainsi des deux régimes à la fois, celui de son organisation et celui de ses produits.
Le cabinet, sous la direction de Gérard Haas, documente la conformité cyber des industriels avant qu’un incident ou un contrôle ne l’éprouve.
Livrables types
Audit d’assujettissement et de maturité au regard de NIS 2 · désignation et cadrage du référent cybersécurité et de la répartition des rôles · trames de déclaration d’incident et procédures internes de remontée · clauses de sécurité et d’audit opposables aux sous-traitants · mise en conformité des produits comportant des éléments numériques au titre du règlement sur la cyberrésilience · gestion juridique de crise après attaque, dans les relations avec l’ANSSI et sur le volet assurantiel · articulation des obligations avec le RGPD.
Déployer l'IA et la robotique industrielles
Sécuriser vos lignes de production et vos systèmes robotisés
Le règlement (UE) 2024/1689 sur l’intelligence artificielle classe comme à haut risque, au titre de son article 6, l’IA utilisée comme composant de sécurité d’un produit couvert par la législation d’harmonisation de son annexe I, dont le règlement (UE) 2023/1230 sur les machines applicable à compter du 20 janvier 2027. Un tel système impose au fournisseur un socle d’obligations avant marquage CE : gestion des risques (article 9), gouvernance des données d’entraînement (article 10), documentation technique (article 11), journalisation des événements (article 12), surveillance humaine (article 14), robustesse et cybersécurité (article 15). Le déployeur qui exploite l’IA en production porte des obligations propres, distinctes de celles du fournisseur. Le projet de directive européenne sur la responsabilité civile de l’IA ayant été abandonné en février 2025, la réparation des dommages relève du droit commun et du régime des produits défectueux.
La première analyse, celle qui commande tout le reste, est la qualification. Une IA qui décide seule d’écarter une pièce sur une ligne de contrôle, ou qui pilote la trajectoire d’une machine mobile, agit comme un composant de sécurité et bascule en principe dans le haut risque, avec la charge de conformité correspondante. Le règlement Machines renforce cette logique en rangeant désormais le logiciel assurant une fonction de sécurité parmi les composants de sécurité, et en retirant, pour les machines les plus sensibles, la possibilité de s’auto-certifier par simple application d’une norme. À l’inverse, un système qui se borne à recommander un réordonnancement validé par un opérateur reste à faible enjeu. Le régime applicable à l’IA intégrée à des produits déjà certifiés est par ailleurs en cours de réaménagement par le paquet de simplification européen, ce qui rend l’analyse de qualification d’autant plus utile qu’elle conditionne l’ampleur réelle des obligations.
La robotique collaborative pose la même question sous un autre jour : un cobot partage l’espace de l’opérateur, et la fonction qui garantit sa sécurité devient un composant soumis à évaluation. Côté réparation, l’abandon d’un régime spécifique laisse la victime sur le terrain du droit commun, responsabilité du fait des choses de l’article 1242 du code civil, responsabilité pour faute de l’article 1240, complétées par le régime rénové des produits défectueux. D’où un point d’appui souvent négligé : la journalisation exigée par l’article 12 du règlement sur l’IA, conçue pour la conformité, constitue aussi la trace qui départagera les responsabilités le jour d’un incident. Documenter la surveillance humaine et les données d’entraînement sert la mise en conformité et la défense d’un même mouvement.
Le cabinet accompagne les industriels sur cette qualification et sur la construction du dossier de conformité, avant l’intégration de l’IA dans les équipements.
Livrables types
Inventaire et classification des systèmes d’IA de l’usine par niveau de risque · dossier de conformité des systèmes à haut risque (gouvernance des données, surveillance humaine, robustesse) · répartition des rôles entre fournisseur et déployeur · articulation de la conformité IA avec le marquage CE des machines · analyse d’impact pour les systèmes affectant les travailleurs · répartition contractuelle des responsabilités liées aux systèmes d’IA · veille sur l’évolution du régime haut risque.
Exposition avant et après mise sur le marché
Responsabilité produit, obligation de mise à jour et économie circulaire
Sous le régime actuel, issu de la directive 85/374/CEE et des articles 1245 et suivants du code civil, un produit est défectueux s’il n’offre pas la sécurité à laquelle on peut légitimement s’attendre, et le fabricant peut s’exonérer au titre du risque de développement. La directive (UE) 2024/2853, applicable aux produits mis sur le marché à compter du 9 décembre 2026, resserre cette exonération : elle tombe lorsque la défectuosité provient d’une mise à jour, de l’absence de mise à jour de sécurité nécessaire ou d’une modification substantielle restée sous le contrôle du fabricant (article 11). Celui qui modifie substantiellement un produit hors du contrôle du fabricant en devient responsable comme fabricant (article 8), et le délai de forclusion peut atteindre vingt-cinq ans pour les lésions à apparition lente (article 17). La conformité à la mise sur le marché reste, elle, gouvernée par le règlement (UE) 2023/988 sur la sécurité générale des produits.
Le régime hérité de 1985 raisonnait sur un objet figé : le producteur pouvait invoquer l’état des connaissances au moment de la mise en circulation, et la réparation ne couvrait pas l’atteinte au produit défectueux lui-même, seulement les dommages qu’il causait par ailleurs. Le nouveau texte adopte une appréciation dynamique du défaut, adaptée à des machines dont le comportement évolue par mises à jour. Concrètement, un équipement dont le logiciel de sécurité n’est pas maintenu peut devenir défectueux du seul fait de cette carence, et le fabricant ne peut plus se retrancher derrière l’antériorité de la mise en circulation. L’obligation d’entretien logiciel cesse d’être un simple sujet de conformité technique pour devenir un poste de responsabilité civile, sur toute la base installée.
Le cercle des responsables s’élargit au-delà du fabricant, jusqu’à l’importateur, au mandataire et surtout à l’opérateur qui reconditionne ou transforme un produit : une ligne de remanufacturing qui modifie substantiellement un équipement en assume la responsabilité comme si elle l’avait fabriqué, enjeu direct pour les acteurs de l’économie circulaire. La preuve, ensuite, se joue différemment : la victime qui rend sa demande plausible peut obtenir du juge la divulgation des éléments techniques détenus par le défendeur (article 9), et une présomption de défectuosité joue lorsque la complexité technique rend la preuve directe excessivement difficile. La distinction entre produit et service garde toutefois sa portée, un simple service ne relevant pas du régime, comme la Cour de justice l’a jugé à propos d’un conseil erroné publié dans un journal (affaire C-65/20), ligne de partage qui commande la qualification des systèmes intégrant de l’intelligence artificielle.
Dirigé par Gérard Haas, le cabinet aide les fabricants à mesurer cette exposition et à réorganiser leur documentation contractuelle et technique avant l’échéance de bascule.
Livrables types
Audit d’exposition au nouveau régime de responsabilité du fait des produits · revue des clauses de garantie, de limitation de responsabilité et de recours dans les contrats de fourniture · cartographie des obligations de maintien de sécurité logicielle et de leur traçabilité · qualification des opérations de reconditionnement au regard de la modification substantielle · conformité des notices et de la documentation technique au titre de la sécurité générale des produits · stratégie assurantielle et gestion de crise produit · défense en cas d’action en réparation.
Logiciels embarqués et marques industrielles
Droit d’auteur, open source et propriété intellectuelle des produits
Le logiciel intégré à une machine ou à un produit est protégé par le droit d’auteur au titre de l’article L.112-2, 13° du code de la propriété intellectuelle, à condition de démontrer son originalité, la preuve incombant à celui qui revendique le droit. Les fonctionnalités et les algorithmes en sont exclus, seuls le code et le matériel de conception préparatoire sont couverts (Cour de cassation, 1re chambre civile, 14 novembre 2013). Les droits patrimoniaux sur un logiciel écrit par des salariés dans l’exercice de leurs fonctions sont dévolus de plein droit à l’employeur (article L.113-9 du même code), règle qui ne joue pas pour un prestataire externe. La marque protège pour sa part l’identité des gammes et produits, par un dépôt national ou une marque de l’Union européenne gérée par l’EUIPO.
Pour un industriel dont les équipements embarquent du code, la protection par le droit d’auteur naît sans formalité mais reste fragile tant qu’elle n’est pas prouvée. L’originalité doit être caractérisée par des éléments concrets, choix d’écriture, structure du programme, matériel de conception, et non par la description des fonctions, sous peine de voir l’action en contrefaçon rejetée faute de qualité à agir. Deux réflexes en découlent. D’abord verrouiller la titularité : la dévolution automatique de l’article L.113-9 sécurise le code produit en interne, mais le développement confié à un sous-traitant suppose une cession expresse, à défaut de quoi l’industriel exploite un logiciel dont il n’est pas propriétaire. Ensuite constituer la preuve en amont, par un dépôt auprès d’un tiers de confiance qui date le code et établit la paternité, condition d’efficacité de toute action fondée sur l’article L.122-6 du code de la propriété intellectuelle.
L’usine logicielle moderne assemble aussi des composants open source, dont l’usage n’est jamais libre de droits. La violation d’une licence, y compris libre, constitue une contrefaçon et non un simple manquement contractuel, comme la Cour de cassation l’a établi le 5 octobre 2022 avant que la Cour d’appel de Paris ne condamne Orange pour l’intégration non conforme d’une bibliothèque sous licence GNU GPL (14 février 2024). Certaines licences à effet copyleft peuvent en outre contaminer le logiciel propriétaire distribué avec elles, ce qui impose une cartographie des dépendances avant toute mise sur le marché d’un produit connecté. Sur le versant des signes distinctifs, la marque sécurise l’identité commerciale des gammes industrielles : le dépôt, national ou au titre du règlement (UE) 2017/1001 sur la marque de l’Union européenne, ouvre le monopole et l’action en contrefaçon, à condition d’être construit sur des classes pertinentes et assorti d’une surveillance des dépôts concurrents.
Le cabinet structure cette protection de l’écriture du code jusqu’au portefeuille de marques, en s’appuyant sur son agrément de mandataire auprès de l’EUIPO.
Livrables types
Dépôt probatoire des codes sources auprès d’un tiers de confiance · audit des composants open source et des obligations de licence du firmware · cartographie des dépendances logicielles et mise en conformité copyleft · clauses de titularité et de cession dans les contrats de développement · stratégie de dépôt et de classes de marques · surveillance des signes distinctifs et des noms de domaine · contentieux de la contrefaçon de logiciel et de marque.
Pourquoi choisir Haas Avocats pour votre activité industrielle
Une double compétence en droit du numérique et en propriété intellectuelle
Depuis plus de 30 ans, le cabinet travaille sur les deux axes dont un industriel a besoin simultanément, le droit du numérique et celui de la propriété intellectuelle. Élu Cabinet innovant de l’année et distingué en Numérique et Tech au Palmarès du Droit 2026, il est également mandataire agréé auprès de l’EUIPO pour la protection des marques de l’Union européenne.
Une référence reconnue en données et en cybersécurité
Les obligations industrielles les plus lourdes, du Data Act à NIS 2, se jouent sur la donnée et la sécurité des systèmes. Le cabinet y est distingué, médaillé d’or en Protection des données personnelles et Cybersécurité au Palmarès du Droit 2026 et référencé au classement Legal 500 EMEA 2026 dans la catégorie Firm to Watch.
Des départements dédiés pour des dossiers qui croisent plusieurs matières
Un dossier industriel appelle rarement une seule spécialité. Les départements dédiés du cabinet, dont son pôle data et son département cybersécurité, permettent un traitement coordonné du dossier, avec un interlocuteur unique plutôt qu’une addition de conseils isolés.
Du conseil au contentieux, un accompagnement continu
L’intervention couvre l’audit et la rédaction en amont jusqu’à la défense en cas de litige ou de contrôle, complétée par un volet formation certifié Qualiopi. Le cabinet appartient par ailleurs au réseau GESICA, qui étend sa capacité d’intervention sur le territoire.
Questions fréquentes des industriels sur le droit du numérique et de la propriété intellectuelle
Un ancien salarié peut-il réutiliser le savoir-faire acquis chez moi pour un concurrent ?
Il peut réutiliser librement son expérience et ses compétences professionnelles, mais pas s’approprier des informations couvertes par le secret des affaires. La ligne de partage tient à l’article L.151-1 du code de commerce : une information secrète, à valeur commerciale et protégée par des mesures raisonnables reste protégée, alors que le savoir-faire général du salarié lui appartient. Sécuriser cette frontière suppose des clauses contractuelles précises et, le cas échéant, une clause de non-concurrence distincte, à défaut de quoi la mobilité prime.
Faut-il déposer un savoir-faire pour le protéger ?
Non, le secret des affaires ne s’acquiert par aucun dépôt ni enregistrement, à la différence d’une marque ou d’un brevet. La protection naît des mesures de protection raisonnables mises en place par l’entreprise, condition posée par l’article L.151-1 du code de commerce. Un dépôt probatoire, par enveloppe Soleau auprès de l’INPI ou constat d’huissier, ne crée pas le droit mais date le savoir-faire et sert de preuve en cas de litige.
Que se passe-t-il si un partenaire rompt brutalement une relation commerciale établie ?
La rupture brutale d’une relation commerciale établie ouvre droit à réparation même si le contrat le permettait, dès lors qu’un préavis suffisant n’a pas été respecté, sur le fondement de l’article L.442-1 du code de commerce. La durée du préavis s’apprécie notamment au regard de l’ancienneté de la relation et de l’état de dépendance économique. Un industriel qui subit ou envisage une telle rupture a intérêt à faire évaluer le préavis dû avant d’agir.
Mon client peut-il refuser que je protège un secret de fabrication dans les données de la machine ?
Le partage des données imposé par le règlement (UE) 2023/2854, dit Data Act, ne fait pas disparaître le secret des affaires, mais il ne permet pas non plus de refuser l’accès par principe. Le détenteur des données peut prendre des mesures de sauvegarde proportionnées pour préserver un secret de fabrication lors du partage, dans les conditions prévues par le règlement. L’équilibre se construit par des clauses techniques et contractuelles qui laissent circuler la donnée utile sans livrer le procédé.
Mon entreprise industrielle est-elle soumise à la responsabilité de ses dirigeants au titre de NIS 2 ?
Oui, la directive (UE) 2022/2555, dite NIS 2, engage les organes de direction, qui doivent approuver les mesures de gestion des risques, en superviser la mise en œuvre et suivre une formation, au titre de son article 20. Un manquement peut donc être imputé au niveau de la direction, et non seulement à l’entreprise. Cette responsabilité rend décisive la répartition documentée des rôles entre direction informatique, sécurité et protection des données.
À partir de quand dois-je fournir des mises à jour de sécurité sur mes produits connectés ?
Un fabricant de produits comportant des éléments numériques doit assurer la sécurité et la gestion des vulnérabilités sur tout leur cycle de vie, au titre du règlement sur la cyberrésilience. Cette obligation rejoint la responsabilité civile : sous la directive (UE) 2024/2853, applicable aux produits mis sur le marché à compter du 9 décembre 2026, l’absence de mise à jour de sécurité nécessaire peut caractériser un défaut (article 11). Le maintien logiciel devient ainsi à la fois une exigence de conformité et un poste de responsabilité.
L'intelligence artificielle que j'intègre à mes machines est-elle un système à haut risque ?
Elle l’est en principe lorsqu’elle sert de composant de sécurité d’une machine couverte par la législation d’harmonisation de l’Union, au titre de l’article 6 du règlement (UE) 2024/1689 sur l’intelligence artificielle. Ce régime a toutefois été réaménagé par le paquet de simplification numérique européen pour les produits déjà soumis à une évaluation de conformité CE par tierce partie, ce qui rend l’analyse de qualification indispensable au cas par cas. C’est cette qualification qui détermine l’ampleur réelle des obligations à satisfaire.
Qui est responsable si un robot industriel cause un dommage ?
En l’absence de régime européen spécifique, le projet de directive sur la responsabilité de l’intelligence artificielle ayant été abandonné en février 2025, la réparation relève du droit commun et du régime des produits défectueux. Peuvent être mobilisés la responsabilité du fait des choses de l’article 1242 du code civil, la responsabilité pour faute de l’article 1240, et la directive (UE) 2024/2853 sur les produits défectueux. L’imputation dépend de la cause du dommage, défaut du produit, faute d’exploitation ou défaut de surveillance.
Le reconditionnement d'un équipement engage-t-il ma responsabilité de fabricant ?
Oui, celui qui modifie substantiellement un produit hors du contrôle du fabricant d’origine est considéré comme fabricant et en assume la responsabilité, au titre de l’article 8 de la directive (UE) 2024/2853, applicable aux produits mis sur le marché à compter du 9 décembre 2026. Cet enjeu concerne directement les acteurs du reconditionnement et de l’économie circulaire. Qualifier en amont ce qui relève d’une modification substantielle permet d’anticiper le transfert de responsabilité.
Comment protéger la marque d'une gamme de produits dans toute l'Europe ?
Sécuriser votre activité industrielle avec Haas Avocats
Données de production, savoir-faire, cybersécurité, conformité des produits, intelligence artificielle et contrats fournisseurs relèvent aujourd’hui de régimes juridiques qui se cumulent et évoluent vite. Plus l’analyse est menée tôt, plus elle devient un levier de sécurisation plutôt qu’une contrainte subie après un incident ou un contrôle. Fort de plus de 30 ans d’expérience en droit du numérique et de la propriété intellectuelle, le cabinet accompagne les industriels de l’audit à la défense, sur l’ensemble de ces sujets.