Cybersécurité automobile : jusqu’où s’étend la responsabilité des fabricants?

Clés intelligentes et attaques-relais : une action collective contre des fabricants automobiles 

Le demandeur, dont le véhicule Toyota équipé d’une clé intelligente a été volé en 2022, allègue avoir été victime d’une attaque-relais. Cette méthode consiste à capter et à relayer le signal de la clé afin de s’introduire dans le véhicule sans effraction physique apparente. Le voleur aurait ensuite utilisé le port OBD, un dispositif permettant notamment d’accéder à certains systèmes du véhicule, pour faire démarrer le moteur. 

Selon le demandeur, les fabricants n’auraient pas adéquatement informé les consommateurs des risques associés à cette technologie ni sécurisé l’accès au port OBD, qui peut être utilisé pour reprogrammer des clés et démarrer le véhicule. 

La demande visait initialement 18 fabricants automobiles. La Cour supérieure a autorisé partiellement l’action collective contre 13 d’entre eux. Cinq fabricants ont été exclus, notamment en raison de la preuve présentée quant aux mesures de sécurité de leurs véhicules ou de l’absence de démonstration de faute à leur égard. 

Cybersécurité automobile : quelles obligations pour les fabricants? 

L’affaire soulève une question centrale : un fabricant peut-il être tenu responsable lorsque la technologie intégrée à son produit présente une faille de sécurité susceptible d’être exploitée par des criminels? 

Le demandeur s’appuie notamment sur le Code civil du Québec et la Loi sur la protection du consommateur. Ces règles concernent entre autres la sécurité d’un bien, son utilisation normale et l’information importante qui doit être communiquée aux consommateurs. 

À cette étape du dossier, la Cour estime que les arguments présentés sont suffisamment sérieux pour permettre à certaines de ces questions d’être débattues. Elle rappelle notamment que le système de verrouillage d’une voiture peut constituer une information importante à communiquer au consommateur. 

Une nuance demeure toutefois essentielle : autoriser une action collective ne signifie pas que la responsabilité des fabricants est établie. À cette étape, la Cour détermine essentiellement si les conditions permettant à l’action collective de suivre son cours sont réunies. Les questions concernant une éventuelle faute des fabricants ou un défaut de sécurité des clés intelligentes devront être tranchées au fond. 

Le rôle des voleurs écarte-t-il la responsabilité potentielle des fabricants? 

Le fait que le vol soit commis par des criminels soulève une autre question : un fabricant pourrait-il néanmoins avoir contribué aux dommages si une vulnérabilité technologique de son produit a facilité le vol? 

Les fabricants soutiennent que les groupes criminels organisés seraient la principale cause de l’augmentation des vols de véhicules, indépendamment des failles de sécurité alléguées des clés intelligentes et des ports OBD. Le demandeur soutient pour sa part que les fabricants auraient pu contribuer aux dommages. 

La Cour ne tranche pas cette question à ce stade. Elle estime plutôt que les arguments soulevés sont suffisamment sérieux pour permettre à l’action collective de suivre son cours. La question d’une éventuelle responsabilité partagée entre les voleurs et les fabricants devra être examinée au fond.

Intelligence artificielle et preuve : quelle valeur pour une traduction réalisée par IA? 

La décision aborde également un enjeu particulièrement actuel : l’utilisation de l’intelligence artificielle pour traduire un document présenté devant un tribunal. 

Le demandeur s’appuyait notamment sur une étude de l’Allgemeiner Deutscher Automobil-Club (ADAC) portant sur les failles de sécurité des systèmes de clés intelligentes. Rédigée en allemand, cette étude avait été traduite en français à l’aide d’un moteur d’intelligence artificielle. La traduction avait ensuite été révisée par un avocat du demandeur afin d’en faciliter la compréhension. 

Les fabricants se sont opposés à l’utilisation de cette étude, soutenant qu’une traduction certifiée était nécessaire. La Cour rejette cette objection. Elle conclut que, dans les circonstances, l’absence de traduction certifiée ne rend pas automatiquement le document inadmissible et que la question porte plutôt sur la preuve de son contenu. Elle rappelle également que l’utilisation de l’intelligence artificielle n’est pas interdite devant les tribunaux. 

Comme aucune preuve concrète n’a été présentée pour remettre en question la fidélité de la traduction, la Cour accepte l’étude de l’ADAC aux fins de la demande d’autorisation. 

Comme le soulignent Annie-Claude Trudeau et Ariane Boyer, la décision de première instance pourrait créer un précédent quant à l’utilisation en preuve d’une traduction non certifiée réalisée à l’aide de l’intelligence artificielle. Cet aspect du jugement fait toutefois partie des questions soulevées en appel par les fabricants. 

Responsabilité des fabricants et cybercriminalité : quels enseignements retenir? 

Bien qu’elle soit encore au stade de l’autorisation, la décision de première instance soulève des questions importantes quant à la responsabilité des fabricants face aux nouvelles formes de criminalité technologique.  

Comme le soulignent les auteures, elle envoie notamment un message aux fabricants quant à leur degré de vigilance et à leur devoir d’information envers les consommateurs face à ces nouveaux risques. 

Dans un contexte où les risques technologiques évoluent rapidement, BCF accompagne les entreprises dans la gestion de leurs enjeux de cybersécurité, de confidentialité et de protection des données, notamment afin de les aider à mieux cerner les risques et à mettre en place des pratiques adaptées à leur réalité. 

Pour approfondir les enjeux soulevés par cette décision, consultez l’analyse complète de la décision Lacroix c. Toyota d’Annie-Claude Trudeau et d’Ariane Boyer, publié dans Repères, Éditions Yvon Blais, en juin 2026 (EYB2026REP3949).