Guide
Article 22 du RGPD : IA, scoring et décision automatisée
Quand un score calculé par une IA devient une décision automatisée interdite, et ce qu'il faut expliquer : arrêts SCHUFA (2023) et Dun & Bradstreet (2025).
Mis à jour le
L'article 22 du RGPD (règlement général sur la protection des données) donne à toute personne le droit de ne pas faire l'objet « d'une décision fondée exclusivement sur un traitement automatisé », profilage compris, qui produit des effets juridiques la concernant ou l'affecte de manière significative de façon similaire. Pour une équipe qui intègre un modèle d'IA dans un processus de décision (crédit, recrutement, tarification, accès à un service), deux questions se posent : à partir de quand le score du modèle est-il « la décision » ? et que doit-on expliquer à la personne ? La Cour de justice de l'Union européenne a répondu à l'une et à l'autre.
Ce que dit l'article 22
| Paragraphe | Contenu |
|---|---|
| 1 | Droit de ne pas faire l'objet d'une décision exclusivement automatisée produisant des effets juridiques ou significatifs similaires |
| 2 | Trois exceptions : décision nécessaire à la conclusion ou à l'exécution d'un contrat, autorisée par le droit de l'Union ou d'un État membre avec des garanties, ou fondée sur le consentement explicite |
| 3 | Pour le contrat et le consentement : garanties, dont au moins le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester |
| 4 | Pas de décision de ce type fondée sur des données sensibles, sauf consentement explicite ou intérêt public important, avec garanties |
L'article 15, paragraphe 1, point h, complète : en cas de décision automatisée, la personne a droit à des informations utiles sur la logique sous-jacente, et sur les conséquences prévues du traitement.
Le score peut être la décision : l'arrêt SCHUFA
Le 07/12/2023 (affaire C-634/21), la Cour a jugé qu'un score de solvabilité calculé par une société d'informations commerciales doit être considéré comme une « décision individuelle automatisée » en principe interdite, pour autant que ses clients, tels que des banques, lui accordent un rôle déterminant dans l'octroi d'un crédit.
Conséquence pour l'architecture d'un système : l'éditeur d'un modèle qui produit un score ne peut pas se reposer sur l'idée que « c'est le client qui décide ». Si, en pratique, le score emporte la décision, l'article 22 s'applique. Ce qui compte, c'est le rôle réel du score dans le processus.
Le droit à une explication : l'arrêt Dun & Bradstreet
Le 27/02/2025 (affaire C-203/22), la Cour a précisé ce qu'il faut expliquer après une évaluation de solvabilité automatisée. Le responsable doit décrire « la procédure et les principes concrètement appliqués » de façon que la personne comprenne quelles de ses données ont été utilisées, et comment. La Cour indique qu'il pourrait être adéquat de dire dans quelle mesure une variation des données prises en compte aurait conduit à un résultat différent. En revanche, communiquer l'algorithme ne serait pas une explication assez concise et compréhensible. Si l'explication touche à des secrets d'affaires ou à des données de tiers, ces éléments sont transmis à l'autorité de contrôle ou au juge, qui pèse les intérêts.
Ce que cela change dans la conception
- Cartographier les décisions. Pour chaque sortie du modèle, noter qui l'utilise, pour décider quoi, et avec quel poids réel.
- Une intervention humaine réelle. Un humain qui valide systématiquement le score sans pouvoir s'en écarter ne retire pas le caractère automatisé. La CNIL (Commission nationale de l'informatique et des libertés) range d'ailleurs parmi les risques propres à l'IA la décision automatisée par biais d'automatisation, quand l'agent ne peut pas s'écarter du système sans préjudice.
- Prévoir l'explication dès le départ. Pouvoir dire quelles données ont pesé et ce qui aurait changé le résultat suppose des outils d'explicabilité et la conservation des entrées utilisées pour chaque décision.
- Un circuit de contestation. Point de contact, délai de réponse, réexamen par une personne habilitée.
- Les données sensibles à l'écart des variables du modèle, sauf exception de l'article 22, paragraphe 4.
- L'analyse d'impact. Pour les traitements de la liste CNIL qui impliquent du profilage ou une décision automatisée, la CNIL indique qu'« une AIPD est toujours requise », c'est-à-dire une analyse d'impact relative à la protection des données (voir l'AIPD d'un projet d'IA).
Et l'assistant conversationnel ?
Un assistant qui répond à des questions ne prend en général pas de décision au sens de l'article 22. La question se pose s'il refuse un service, classe une demande comme irrecevable ou fixe un prix sans intervention humaine. Le cas d'un assistant sur un site web est traité dans chatbot et décision automatisée. Pour un système de recrutement ou de crédit, le règlement européen sur l'IA ajoute ses propres règles (voir l'IA à haut risque).
Ces arrêts sont résumés d'après les communiqués de la Cour, qui n'engagent pas la Cour. La qualification d'un processus de décision précis relève d'un juriste ou de votre délégué à la protection des données.
Questions fréquentes
Un score produit par un modèle et transmis à un client est-il une décision automatisée ?
Il peut l'être. Dans l'arrêt SCHUFA du 07/12/2023, la Cour de justice a jugé qu'un score de solvabilité est une décision individuelle automatisée dès lors que le client qui le reçoit lui accorde un rôle déterminant.
Faut-il communiquer l'algorithme pour expliquer une décision automatisée ?
Non. Selon l'arrêt Dun & Bradstreet du 27/02/2025, la simple communication d'un algorithme ne serait pas une explication suffisamment concise et compréhensible. Il faut décrire la procédure et les principes appliqués.
Sources
Pages consultées pour écrire cet article :