Décision automatisée, scoring et IA : ce que le RGPD impose aux entreprises
Pourquoi la décision automatisée par IA concentre l'attention des régulateurs
Un algorithme refuse un crédit immobilier en 3 secondes. Un modèle de scoring monte le tarif d'une assurance auto sans intervention humaine. Un outil RH écarte automatiquement 80 % des candidatures. Ces situations, désormais banales, soulèvent une question juridique centrale : à quel moment une décision est-elle « entièrement automatisée » au sens du RGPD, et quelles obligations cela génère-t-il pour les organisations ?
L'article 22 du RGPD constitue le texte de référence. Il est complété, depuis 2024, par l'AI Act européen qui introduit une couche supplémentaire d'exigences pour les systèmes d'IA dits « à haut risque ». DPO, RSSI et responsables conformité doivent maîtriser les deux textes pour sécuriser leurs dispositifs.
Ce que dit exactement l'article 22 du RGPD
L'article 22 pose un principe fort : toute personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques la concernant ou l'affectant de manière significative.
Les trois conditions cumulatives déclenchant l'article 22
- Décision exclusivement automatisée : aucun être humain n'intervient de manière substantielle dans le processus décisionnel final.
- Effet juridique ou significatif : refus de crédit, tarification différenciée, résiliation de contrat, rejet de candidature, modification de droits sociaux.
- Traitement de données personnelles : le scoring repose nécessairement sur des données identifiantes ou indirectement identifiantes.
Si les trois conditions sont réunies, le traitement est en principe interdit, sauf à entrer dans l'une des trois exceptions légales : consentement explicite, nécessité contractuelle, ou autorisation légale spécifique.
Quand l'intervention humaine est-elle réelle ?
C'est ici que la pratique diverge souvent de la théorie. Un agent qui valide mécaniquement la décision de l'algorithme sans pouvoir la remettre en cause ne constitue pas une intervention humaine substantielle selon les lignes directrices du CEPD (WP251). L'humain doit disposer d'une autorité réelle, d'un accès aux données sous-jacentes et d'une capacité effective à déroger au résultat algorithmique.
Secteurs concernés : crédit, assurance, scoring RH
Le crédit et le scoring financier
Les établissements de crédit utilisent depuis longtemps des modèles de scoring pour évaluer la solvabilité. Lorsque l'octroi ou le refus de prêt repose entièrement sur ce score, l'article 22 s'applique. La CNIL a rappelé en 2023 que la banque doit informer le client de l'existence d'un traitement automatisé, lui fournir des informations sur la logique du scoring et lui permettre d'obtenir une révision humaine.
Exemple concret : un refus de crédit à la consommation généré par scoring doit s'accompagner d'une notice explicative mentionnant les principales variables prises en compte (taux d'endettement, historique de paiement) et les voies de recours disponibles.
L'assurance et la tarification algorithmique
La tarification dynamique en assurance auto ou santé, fondée sur des données télémétriques ou comportementales, peut constituer une décision significative au sens de l'article 22. L'assureur doit veiller à documenter la base légale retenue (contrat ou consentement), prévoir un droit d'opposition opérationnel et s'assurer que l'explication fournie à l'assuré est intelligible — pas seulement formelle.
Le scoring RH et le recrutement
Les ATS (Applicant Tracking Systems) intégrant des scores d'adéquation automatisés tombent clairement dans le champ de l'article 22 lorsqu'ils filtrent les candidatures sans revue humaine effective. La CNIL a déjà sanctionné des pratiques de profilage RH insuffisamment encadrées. L'AI Act classe par ailleurs les systèmes d'IA utilisés dans le recrutement comme systèmes à haut risque, imposant des exigences de transparence, de robustesse et de supervision humaine.
Les obligations concrètes pour les organisations
1. Information claire et accessible
La politique de confidentialité doit mentionner explicitement l'existence de traitements automatisés, leur finalité, la logique sous-jacente et les conséquences envisagées. Une mention générique ne suffit pas.
2. Droit à l'explication et à la révision humaine
Toute personne concernée peut demander une explication sur la décision et obtenir qu'un être humain compétent la réexamine. Ce droit doit être exercé dans un délai raisonnable et sans frais disproportionnés.
3. Analyse d'impact (AIPD)
Les traitements visés par l'article 22 figurent sur la liste des traitements nécessitant une AIPD obligatoire. L'analyse doit évaluer les risques de discrimination, de biais algorithmique et de violation de droits fondamentaux.
4. Mesures anti-discrimination et audit des biais
L'AI Act impose aux systèmes à haut risque des tests de robustesse et des audits réguliers. Pour les DPO, cela se traduit par la mise en place de procédures de détection des biais (par genre, origine, âge) et de documentation des résultats dans le registre de traitements.
5. Gouvernance et traçabilité
Chaque décision automatisée doit être traçable : version du modèle utilisé, données d'entrée, score produit, décision finale, intervention humaine éventuelle. Cette traçabilité est indispensable en cas de contrôle CNIL ou de litige.
AI Act et article 22 RGPD : articulation pratique
L'AI Act ne remplace pas le RGPD : il s'y superpose. Un système de scoring crédit sera soumis simultanément à l'article 22 (droits individuels) et aux obligations AI Act pour systèmes à haut risque (documentation technique, enregistrement dans la base de données EU, supervision humaine, gestion des incidents). Les équipes conformité doivent cartographier leurs systèmes d'IA à l'aune des deux référentiels et éviter de traiter les deux textes en silos.
Chez Yvoria AI, nous accompagnons les organisations dans cette double lecture réglementaire : cartographie des décisions automatisées, qualification AI Act, AIPD et mise en conformité opérationnelle.
FAQ
Un scoring de crédit est-il toujours soumis à l'article 22 du RGPD ?
Oui, si la décision d'octroi ou de refus repose exclusivement sur le score algorithmique sans intervention humaine substantielle. Dans ce cas, la banque doit informer le client, lui fournir une explication sur la logique utilisée et lui permettre de demander une révision humaine.
Quelle est la différence entre une décision automatisée et une aide à la décision ?
L'aide à la décision produit une recommandation qu'un humain évalue librement avant de décider. La décision automatisée exclut toute intervention humaine réelle. Si l'humain valide systématiquement l'algorithme sans pouvoir déroger, le CEPD considère que la décision reste automatisée.
L'AI Act s'applique-t-il aux mêmes systèmes que l'article 22 RGPD ?
Pas exactement. L'AI Act cible les systèmes à haut risque (crédit, assurance, RH, éducation…) selon une classification propre, indépendante du critère d'exclusivité de l'article 22. Les deux textes peuvent s'appliquer simultanément, ce qui impose une conformité cumulée.
Une AIPD est-elle obligatoire pour tout traitement de scoring ?
Oui, dès lors que le scoring entre dans le champ de l'article 22 ou qu'il porte sur des données sensibles. La CNIL liste explicitement le profilage automatisé parmi les traitements nécessitant une analyse d'impact préalable.
Comment prouver qu'une intervention humaine est réelle et non fictive ?
L'humain doit disposer d'un accès effectif aux données ayant conduit à la décision, d'une formation lui permettant de l'interpréter, et d'une autorité formelle pour la modifier. La traçabilité des révisions (nombre, taux de modification, justifications) constitue la preuve documentaire à conserver.