Les Dark Patterns face au droit : de la conception des plateformes à la manipulation par l'IA

Résumé : Les dark patterns (interfaces truquées) exploitent les biais cognitifs des utilisateurs pour fausser leurs choix. Désormais sanctionnés cumulativement par le Code de la consommation, le DSA, le RGPD et l'IA Act, ils exposent les entreprises à des amendes pouvant atteindre 6 % à 20% du chiffre d'affaires mondial. La conformité impose une logique de fairness by design.

‍

I. Les dark patterns : mécanismes cognitifs et répression en droit français

Dans une économie de l'attention où chaque point de conversion se monétise, les entreprises optimisent leurs parcours utilisateurs avec une ingénierie comportementale poussée. Théorisé en 2010 par le spécialiste UX Harry Brignull, le terme dark patterns désigne des choix de conception délibérément destinés à tromper, orienter ou contraindre l'utilisateur. Pour une DSI, une direction juridique ou un DPO, l'enjeu n'est plus cosmétique : il est devenu un poste de risque réglementaire de premier rang.

A. Comment les interfaces truquées exploitent-elles nos biais cognitifs ?

Les dark patterns ne relèvent jamais du hasard : ils instrumentalisent scientifiquement nos heuristiques décisionnelles, ces raccourcis mentaux mobilisés pour décider vite. En ligne, l'utilisateur focalisé sur un objectif précis (un « état chaud ») devient particulièrement perméable à une architecture de choix orientée.

Les principales typologies — et leur qualification juridique— peuvent être cartographiées ainsi :

B. Quelles sanctions le Code de la consommation prévoit-il ?

Faute de définition légale autonome du « dark pattern » endroit français, ces interfaces sont saisies par le régime des pratiques commerciales déloyales (articles L. 121-1 et suivants du Code de la consommation).

Le dark pattern est qualifié de pratique commerciale trompeuse lorsqu'il repose sur des allégations fausses (faux avis, fausse urgence) ou omet une information substantielle. Il bascule en pratique commerciale agressive lorsque l'interface altère la liberté de choix par sollicitations répétées (harcèlement) ou obstacles disproportionnés.

Le quantum est dissuasif. La personne morale encourt une amende de 1 500 000 €, pouvant être portée à 10 % du chiffre d'affaires moyen annuel — voire à 50 % des dépenses engagées pour la pratique illicite. Depuis e 12 mai 2024, l'article L. 132-2 du Code de la consommation porte cette amende à 3 750 000 € pour les infractions commises en ligne. À l'échelle internationale, l'affaire Amazon illustre le risque : la FTC a infligé 2,5milliards de dollars à Amazon dans une affaire de dark patterns.

Pour aller plus loin :retrouvez les textes de référence (Code de la consommation, DSA, IA Act) dans notre Base légale IT/IP.

II. L'arsenal européen face aux plateformes et aux dérives de l'IA

Le législateur européen a saisi la dimension systémique du risque en ciblant explicitement les dark patterns dans son corpus réglementaire récent. Pour un C-Level ou un RSSI, la difficulté tient à la superposition des régimes : un même bandeau de consentement peut engager simultanément trois autorités distinctes.

A. DSA, DMA et RGPD : qu'impose l'« équité by design » ?

L'article 25 du DSA prohibe désormais la conception, l'organisation ou l'exploitation d'interfaces de manière à tromper ou manipuler les destinataires du service. Comme le rappelle l'UFC-Que Choisir, les fournisseurs de plateformes en ligne ne peuvent concevoir leurs interfaces de façon à entraver substantiellement la capacité des utilisateurs à prendre des décisions libres et éclairées. La sanction est lourde : la Commission européenne peut infliger des amendes allant jusqu'à 6 % du chiffre d'affaires mondial de l'entreprise concernée, complétées en cas de manquements répétés par une restriction temporaire d'accès au service.

Le Digital Markets Act (DMA) complète le dispositif via une règle anti-contournement (article 13) interdisant aux contrôleurs d'accès de recourir aux dark patterns, sous peine d'amendes pouvant atteindre 10 % du CA mondial (articles 30-31), portées à 20 % en cas de récidive.

Ces régimes renforcent le RGPD, qui exige un consentement libre, spécifique, éclairé et univoque. Le principe de privacy by design (article 25 RGPD) entre en collision frontale avec les bandeaux cookies déséquilibrés. La CNIL a ainsi sanctionné de grands acteurs (jusqu'à150 M€) pour avoir rendu le refus des cookies plus complexe que leur acceptation.

B. L'IA Act sanctionne-t-il la manipulation par l'intelligence artificielle ?

L'essor de l'IA générative reconfigure la physionomie des dark patterns. Les éditeurs imposent l'adoption de dispositifs d'IA par la proéminence visuelle, des réglages par défaut défavorables (IA activée d'office, désactivation laborieuse) et une narration trompeuse (métaphore de la « magie » ou de « l'assistant parfait » ) qui occulte l'empreinte énergétique et environnementale de ces technologies.

L'Union a répliqué avec l'IA Act. Son article 5 prohibe les systèmes recourant à des techniques subliminales, délibérément manipulatrices ou trompeuses. Le texte interdit, comme le souligne l'analyse de l'UFC-Que Choisir, les systèmes d'IA déployant des techniques manipulatrices ayant pour effet de fausser sensiblement le comportement d'une personne en altérant sa capacité à prendre une décision éclairée. Sont également prohibés les systèmes exploitant les vulnérabilités liées à l'âge, au handicap ou à la situation socio-économique.

Conclusion : contrôler la conformité de ses interfaces devient un enjeu stratégique

Le droit consacre désormais une obligation transversale d'équité dès la conception (fairness by design). Pour les organisations, la cartographie des interfaces n'est plus une option : tout dispositif d'IA, tout tunnel de conversion et tout bandeau de consentement doit être audité au prisme cumulé de la DGCCRF, de la CNIL et des autorités de surveillance du DSA et de l'IA Act. Le risque n'est plus théorique : il est financier, réputationnel et, désormais, structurant .

Vous souhaitez en savoir plus et découvrir notre expertise en matière de modèles d'affaires numériques? contacter nous en cliquant ICI.