Afficher le sommaire Masquer le sommaire
225 000 euros d’amende pour 228 morts. Le 21 mai 2026, la Cour d’appel de Paris a rendu un verdict que les familles des victimes du vol AF447 ont qualifié d’un seul mot : symbolique. Ce mot, prononcé dix-sept ans après les faits, dit quelque chose de précis sur la façon dont les acteurs de l’aviation répondent à leurs catastrophes et sur le temps qu’il leur faut pour agir. Depuis un demi-siècle, cinq avions ont contraint l’industrie à réécrire ses règles de sécurité. À chaque fois, les signaux d’alerte existaient avant le premier crash.
A LIRE AUSSI
Avion : les compagnies aériennes les plus dangereuses
Le 21 mai 2026, la Cour d’appel de Paris a déclaré Air France et Airbus coupables d’homicide involontaire pour le crash du vol AF447, disparu au-dessus de l’Atlantique en 2009 avec 228 personnes à bord. Chaque entité a été condamnée à 225 000 euros d’amende, le plafond prévu par la loi française pour les personnes morales dans ce type d’affaire. Les associations de familles de victimes ont qualifié ce verdict de « symbolique ». Dix-sept ans après les faits, ce mot traduit moins une satisfaction qu’un constat sur l’inadéquation des outils juridiques face à l’ampleur des responsabilités engagées.
Ce verdict est le dernier épisode d’une séquence qui court sur un demi-siècle. Cinq accidents. Cinq types de défaillances différents. Et à chaque fois, en remontant le fil des enquêtes, le même constat : les signaux existaient. Ils avaient été vus, parfois formellement documentés, souvent transmis aux autorités compétentes. Ils n’avaient pas été traités.
A LIRE AUSSI
Airbus face à un défi historique
1974 : la porte qui ne devait pas s’ouvrir
Le 3 mars 1974, le vol 981 de Turkish Airlines décolle de l’aéroport de Paris-Orly à destination de Londres, avec 346 personnes à bord d’un McDonnell Douglas DC-10. Neuf minutes après le décollage, à environ 3 300 mètres d’altitude, la porte cargo arrière gauche explose sous l’effet d’une décompression soudaine. L’effondrement du plancher de la cabine passagers tranche les câbles qui relient le cockpit aux gouvernes de l’appareil. L’avion s’écrase en forêt d’Ermenonville, dans l’Oise, à 783 km/h. Il n’y a aucun survivant.
C’est, à l’époque, le bilan le plus lourd de l’histoire de l’aviation civile. Aujourd’hui encore, le vol TK981 demeure le quatrième accident le plus meurtrier jamais survenu et le plus grave enregistré sur le sol français.
Ce qui rend cet accident particulièrement glaçant, c’est qu’il avait déjà eu lieu, ou presque. Le 12 juin 1972, moins de deux ans plus tôt, la porte cargo d’un DC-10 d’American Airlines s’était arrachée en plein vol au-dessus de Windsor, en Ontario. L’équipage avait réussi à récupérer l’appareil et à atterrir. Il n’y avait pas eu de mort. Le NTSB, le Bureau national américain de la sécurité des transports, avait adressé plusieurs recommandations à la FAA, l’autorité fédérale de l’aviation américaine, préconisant des modifications obligatoires sur l’ensemble de la flotte DC-10.
Ces directives n’ont jamais été émises. Les dirigeants de McDonnell Douglas ont fait pression sur la FAA pour qu’elle y renonce. À la place, le constructeur a été autorisé à diffuser un « service bulletin », un document de recommandation sans caractère obligatoire, que chaque compagnie et chaque sous-traitant pouvait appliquer ou ignorer. La porte du DC-10 de Turkish Airlines avait quitté Paris avec des modifications non correctement appliquées.
La FAA a réagi après Ermenonville avec une rapidité qu’elle n’avait pas eue avant. La directive de navigabilité AD 74-12-07, publiée en urgence, a imposé des modifications structurelles à toute la flotte mondiale de DC-10 avant le 1er décembre 1974 : refonte du mécanisme de verrouillage, ajout d’une fenêtre permettant de vérifier visuellement que la porte était bien fermée avant le décollage, révision complète du câblage des actionneurs. Le vol TK981 a posé pour la première fois, dans toute sa brutalité institutionnelle, la question de la responsabilité des constructeurs face aux signaux d’alerte délibérément ignorés.
1977 : 583 morts et une leçon sur les hiérarchies
Le 27 mars 1977, deux Boeing 747 entrent en collision sur la piste de l’aéroport Los Rodeos de Tenerife, dans un épais brouillard. Le bilan, 583 morts, en fait à ce jour la catastrophe aérienne la plus meurtrière de l’histoire toutes catégories confondues.
Les deux appareils avaient été détournés vers Tenerife après un attentat à la bombe à l’aéroport de Las Palmas, sur l’île de Gran Canaria. La piste principale de Los Rodeos était encombrée d’appareils en attente. Dans ces conditions, le commandant du vol KLM 4805, Jacob Veldhuyzen van Zanten, chef instructeur de la flotte 747 chez la compagnie néerlandaise et figure de référence internationale, a initié son décollage sans autorisation explicite de la tour de contrôle. Le Boeing de Pan Am n’avait pas encore quitté la piste. Les 248 occupants du KLM ont tous péri ; sur les 396 personnes à bord du Pan Am, 335 sont mortes et 61 ont survécu en s’échappant des décombres en feu.
Ce qui frappa le plus les enquêteurs n’était pas la séquence des erreurs, mais leur origine commune. Le mécanicien navigant de l’équipage KLM avait eu des doutes au moment du décollage. Il ne les avait pas exprimés. Van Zanten était non seulement son supérieur hiérarchique direct, mais l’un des pilotes les plus respectés de l’industrie. Les rapports d’enquête espagnol (1978) et néerlandais (1979) ont nommé ce phénomène le « gradient d’autorité » : dans un cockpit à la culture très hiérarchisée, un subordonné convaincu d’une erreur imminente n’osait pas contredire son commandant de bord.
La phraséologie radio avait aussi joué contre les équipages. Quand Van Zanten a annoncé « we are at take-off », la tour de contrôle avait interprété l’expression comme une mention de position, non comme l’annonce d’un décollage en cours. Des transmissions simultanées avaient parasité les fréquences au moment critique.
La réponse de l’industrie a pris la forme d’une révolution culturelle. Le Crew Resource Management, le CRM, littéralement la gestion des ressources humaines en vol, introduit à la fin des années 1970 dans le sillage direct de Tenerife, a transformé la philosophie de la coopération à bord : chaque membre d’équipage a non seulement le droit mais le devoir de s’exprimer face à une décision douteuse, quel que soit le grade de celui qui la prend. La phraséologie radio a été entièrement standardisée à l’échelle internationale : le mot « take-off » est depuis lors exclusivement réservé aux autorisations du contrôle aérien pour un décollage effectif. Des radars de sol ont été rendus obligatoires dans les grands aéroports. Des experts en sécurité aérienne estiment que ces réformes ont sauvé plus de 100 000 vies depuis leur introduction, même si ce chiffre ne fait pas l’objet d’un consensus méthodologique établi.
1996 : 200 bombes dans les réservoirs
Le 17 juillet 1996, le vol TWA 800, un Boeing 747-100, décolle de l’aéroport JFK de New York à destination de Paris avec 230 personnes à bord. Treize minutes après le décollage, l’appareil explose au-dessus de l’Atlantique, à la hauteur des côtes de Long Island. Il n’y a aucun survivant.
L’enquête conduite par le NTSB est l’une des plus longues et des plus minutieuses de l’histoire aéronautique américaine. Plus de 95 % des débris sont récupérés et reconstitués au sol. La conclusion, établie après plusieurs années de travail, désigne l’explosion du réservoir central d’ailes comme cause de la destruction de l’appareil. La cause probable : un court-circuit dans le câblage du système de jauge de carburant a permis à une tension excessive d’atteindre l’intérieur du réservoir, où un mélange air-vapeur de kérosène, surchauffé par les systèmes de climatisation de la cabine situés immédiatement en dessous, était devenu hautement inflammable. La source d’ignition exacte n’a jamais été formellement identifiée.
La FAA avait recensé 18 explosions de réservoirs de carburant dans l’aviation de transport depuis 1959. Aucune n’avait déclenché d’action réglementaire suffisante.
La FAA a institué deux comités d’experts, puis publié en 2001 la réglementation SFAR 88, un texte imposant aux constructeurs une revue exhaustive de tous les systèmes susceptibles de générer une étincelle à proximité des réservoirs. Bilan de cette revue : plus de 200 sources d’inflammation potentiellement non détectées ont été identifiées à travers les flottes mondiales en service. La réglementation a également créé deux nouveaux outils d’inspection obligatoire, contraignant les compagnies à maintenir scrupuleusement les configurations de sécurité certifiées de leurs réservoirs et à les vérifier à intervalles réguliers.
Le règlement sur la réduction de l’inflammabilité des réservoirs, adopté en 2008, a rendu obligatoire une technologie qui avait longtemps été jugée trop complexe et trop coûteuse : l’injection d’azote dans les réservoirs pour y neutraliser les vapeurs inflammables. Toutes les flottes concernées, 737, 747, 767, 777, A300, A310, A320, A330, A340, ont dû s’y conformer avant 2018. La FAA a publié au total 283 directives de navigabilité pour prévenir l’ignition de vapeurs combustibles dans et autour des réservoirs d’aéronefs.
2009 : les pilotes face à une machine qu’ils ne reconnaissaient plus
Le 1er juin 2009 à 23h14, l’Airbus A330-200 du vol Air France 447 quitte Rio de Janeiro pour Paris avec 228 personnes à bord. À 2h10 du matin, l’appareil disparaît des radars au-dessus de l’Atlantique équatorial. Les boîtes noires ne seront retrouvées qu’en mai 2011, à 3 900 mètres de profondeur, après deux ans de recherches internationales.
Le rapport final du Bureau d’Enquêtes et d’Analyses (BEA), publié le 5 juillet 2012, établit la séquence de la catastrophe et formule 41 recommandations de sécurité. L’élément déclencheur : le givrage des sondes Pitot, ces capteurs extérieurs qui mesurent la vitesse de l’avion par rapport à l’air, provoque la déconnexion du pilote automatique et la perte simultanée des indications de vitesse dans le cockpit. Face à des instruments contradictoires et à des alarmes multiples, les copilotes, dont aucun n’avait reçu de formation au pilotage manuel à haute altitude, n’ont pas réussi à stabiliser l’appareil. Selon les termes mêmes du BEA, l’équipage « ne comprit probablement jamais qu’il était confronté à un simple défaut des trois sources de mesure de vitesse ».
Airbus avait informé les autorités aéronautiques de problèmes liés à ce type de sonde dès 2002 au moins. Entre mai 2008 et mars 2009, Air France avait enregistré neuf incidents de givrage de ces capteurs sur ses long-courriers Airbus. La Direction générale de l’aviation civile française avait transmis ces informations à l’EASA, l’Agence européenne de la sécurité aérienne, équivalent européen de la FAA américaine. Le 30 mars 2009, l’EASA a répondu qu’aucun motif de sécurité ne justifiait un remplacement obligatoire. Soixante-deux jours plus tard, l’AF447 sombrait. L’EASA a interdit ces mêmes sondes cinq mois après la catastrophe.
La directive EASA AD 2009-0195, publiée en septembre 2009, a imposé le remplacement immédiat des sondes défectueuses sur l’ensemble de la flotte A330/A340. La FAA a publié une directive identique en parallèle. En 2014, l’EASA a étendu ces exigences à toute la famille A318/A319/A320/A321. L’ICAO, l’Organisation de l’aviation civile internationale, agence des Nations unies qui fixe les standards mondiaux du secteur, et l’EASA ont fait de la formation au pilotage manuel à haute altitude une exigence réglementaire pour tous les pilotes de ligne, incluant des exercices spécifiques en simulateur sur la gestion d’une perte des indications de vitesse. Les constructeurs ont été contraints de revoir la présentation des alertes cockpit pour réduire la surcharge cognitive des équipages confrontés à des alarmes simultanées.
Le verdict de mai 2026 a clos, sur le plan judiciaire, un dossier ouvert il y a dix-sept ans. Les 225 000 euros d’amende infligés à Air France et à Airbus représentent le maximum légal applicable aux personnes morales en France dans ce type d’affaire.
737 MAX : quand le certificat devient une fiction
Le 29 octobre 2018, le vol Lion Air 610 s’écrase en mer de Java, 13 minutes après son décollage de Jakarta. 189 morts. Le 10 mars 2019, le vol Ethiopian Airlines 302 s’écrase six minutes après son décollage d’Addis-Abeba. 157 morts. Trois cent quarante-six victimes en cinq mois, deux accidents quasi-identiques, un seul système en cause : le MCAS, Maneuvering Characteristics Augmentation System, un programme informatique embarqué chargé de corriger automatiquement la trajectoire de l’avion.
Ce système avait été conçu par Boeing pour compenser une tendance du 737 MAX à piquer du nez vers le haut, liée à la position plus avancée de ses nouveaux moteurs plus larges. Son fonctionnement reposait sur les données d’un seul capteur mesurant l’angle d’attaque de l’appareil, c’est-à-dire l’inclinaison du nez par rapport au vent relatif. En cas de défaillance de ce capteur unique, le MCAS abaissait automatiquement le nez de l’avion de façon répétée, avec une force croissante. Les équipages de Lion Air et d’Ethiopian Airlines avaient lutté contre ce mécanisme sans savoir ce qu’ils combattaient : le MCAS n’était mentionné dans aucun manuel de vol.
Une alarme permettant de détecter une incohérence entre les deux capteurs d’angle d’attaque de l’appareil, ce qui aurait pu alerter les pilotes d’une défaillance avant qu’elle ne devienne fatale, était disponible sur le 737 MAX. Elle était proposée en option payante. Elle n’avait pas été activée sur les deux appareils accidentés.
Les enquêtes ont établi que Boeing avait sciemment classé le MCAS comme système non critique lors de la certification, pour éviter qu’il soit soumis à un niveau de supervision réglementaire plus élevé. La FAA, de son côté, avait progressivement confié une large part de son pouvoir de certification aux constructeurs eux-mêmes : dans le cadre d’un dispositif appelé Organisation Designation Authorization, des ingénieurs employés par Boeing étaient autorisés à valider la conformité des avions Boeing au nom de la FAA. Ce système, justifié par l’expertise technique des constructeurs, avait supprimé en pratique une part essentielle du contrôle indépendant.
Le 13 mars 2019, deux jours après le crash d’Ethiopian, la FAA a ordonné l’immobilisation de toute la flotte mondiale de 737 MAX. Le clouage au sol a duré vingt mois. En novembre 2020, le Congrès américain a adopté l’Aircraft Certification, Safety, and Accountability Act, une législation bipartisane comptant plus de cent exigences distinctes de réforme. Parmi les mesures principales : l’obligation pour les constructeurs de transmettre à la FAA toutes les informations relatives aux systèmes capables d’agir sur les commandes de vol sans action du pilote ; l’obligation de fonder les analyses de sécurité sur des hypothèses réalistes concernant les réactions des équipages, et non sur des scénarios théoriques favorables ; le renforcement de la protection des lanceurs d’alerte chez les fabricants américains ; l’obligation de conduire des analyses de risques complètes pour toute modification de conception majeure.
La FAA a retiré à Boeing son droit d’auto-certification dès 2019. En septembre 2025, le constructeur a recouvré une partie de ses prérogatives, dans un cadre prévoyant une alternance hebdomadaire de certification entre ses équipes et la FAA. En novembre 2025, Boeing a évité une condamnation pénale aux États-Unis après l’abandon d’une procédure criminelle, dans des conditions qui ont suscité de vives controverses parmi les familles de victimes et plusieurs membres du Congrès. Le coût total de la crise dépasse désormais 20 milliards de dollars en indemnisations, arrêts de production et amendes. L’Europe et le Canada, qui acceptaient jusqu’alors les certifications FAA sans révision propre, ont annoncé qu’ils conduiraient désormais leurs propres évaluations indépendantes.
Une victime pour 27 millions de passagers
En 2024, le taux de mortalité dans l’aviation commerciale mondiale s’établissait à une victime pour 27 millions de passagers transportés, un niveau 17 fois inférieur à celui du début des années 1990. Dans le même temps, le trafic mondial a triplé pour atteindre 5 milliards de passagers.
Chacune des mesures qui ont rendu ce chiffre possible a une date, un numéro de règlement, et un accident pour origine. Deux cent quatre-vingt-trois directives de navigabilité après le TWA 800. Quarante et une recommandations du BEA après l’AF447. Plus de cent exigences législatives après le 737 MAX. Une réforme culturelle du cockpit initiée après Tenerife, aujourd’hui enseignée dans toutes les écoles de pilotage commerciales du monde. L’ICAO et l’EASA ont depuis lors multiplié les mécanismes de détection précoce et les programmes de signalement volontaire des incidents, permettant à des milliers de pilotes de documenter chaque année des situations anormales sans risque de sanctions. Ce que ces systèmes captent aujourd’hui, et la façon dont leurs alertes remontent jusqu’aux décideurs, sont des questions que les régulateurs suivent de près, et que les enquêteurs de tout futur accident majeur auront, à coup sûr, à rouvrir.
