Article 22 RGPD et AI Act : scoring, notation sociale et décision automatisée

« Est-ce que noter mes clients est interdit ? » Non, et c’est écrit noir sur blanc dans les lignes directrices de la Commission. Ce qui rend le sujet difficile, c’est que trois régimes distincts se superposent sur la même opération, avec trois dates et trois logiques. Et depuis deux ans, le premier d’entre eux, l’article 22 du RGPD, a pris un relief nouveau : la Cour de justice a jugé qu’un score de crédit peut être une décision automatisée, et une autorité européenne a sanctionné Uber de près de 825 millions d’euros pour des décisions prises sans intervention humaine.

Que dit l’article 22 RGPD sur la décision automatisée ?

Qu’une personne a le droit de ne pas faire l’objet d’une décision prise par une machine seule, quand cette décision compte. Le texte tient en quatre paragraphes, et chacun pèse.

Le principe et ses trois exceptions

Le premier paragraphe pose le droit :

La personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire.

Deux mots portent tout. « Exclusivement » : une décision où un humain intervient n’est pas visée ; la sanction Uber, plus bas, porte sur une absence totale d’intervention. « Significative » : le considérant 71 du RGPD cite « le rejet automatique d’une demande de crédit en ligne ou des pratiques de recrutement en ligne sans aucune intervention humaine » ; la désactivation d’un compte professionnel, dans l’affaire Uber, en est un troisième exemple.

Le deuxième paragraphe ouvre trois exceptions. La décision échappe au principe si elle est nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne et le responsable du traitement (a) ; si elle est autorisée par le droit de l’Union ou d’un État membre, avec des mesures de sauvegarde (b) ; ou si elle est fondée sur le consentement explicite de la personne (c).

Les garanties : intervention humaine, point de vue, contestation

Dans les cas du contrat et du consentement, le troisième paragraphe impose des garanties minimales :

Dans les cas visés au paragraphe 2, points a) et c), le responsable du traitement met en œuvre des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée, au moins du droit de la personne concernée d’obtenir une intervention humaine de la part du responsable du traitement, d’exprimer son point de vue et de contester la décision.

Trois droits, au minimum, et le premier est celui que la sanction Uber a pris en défaut : une intervention humaine sur demande. Le quatrième paragraphe interdit de fonder ces décisions sur des données sensibles de l’article 9, sauf consentement explicite ou intérêt public important, avec des mesures de sauvegarde.

Un score de crédit est-il une décision ? L’arrêt SCHUFA du 7 décembre 2023

C’est la question que tout le monde se posait, et la Cour de justice de l’Union européenne y a répondu dans l’affaire C-634/21. SCHUFA, société allemande d’informations commerciales, calcule des scores de solvabilité qu’elle vend aux banques. Elle ne décide rien ; la banque décide. L’article 22 s’applique-t-il quand même au score ?

La Cour dit pour droit que l’article 22, paragraphe 1 :

doit être interprété en ce sens que : l’établissement automatisé, par une société fournissant des informations commerciales, d’une valeur de probabilité fondée sur des données à caractère personnel relatives à une personne et concernant la capacité de celle-ci à honorer des engagements de paiement à l’avenir constitue une « décision individuelle automatisée », au sens de cette disposition, lorsque dépend de manière déterminante de cette valeur de probabilité le fait qu’une tierce partie, à laquelle ladite valeur de probabilité est communiquée, établisse, exécute ou mette fin à une relation contractuelle avec cette personne.

Ce que cela change : le score lui-même peut être la décision, pas seulement l’usage qu’en fait le client. La condition est le poids que le tiers lui donne, « de manière déterminante ». Un prestataire de scoring qui se croyait hors de l’article 22 parce qu’il ne décide pas doit désormais regarder comment ses clients utilisent sa note. Et un établissement qui suit mécaniquement le score d’un tiers fait entrer ce tiers dans le régime de l’article 22, avec ses garanties.

Le droit à l’explication : l’arrêt Dun & Bradstreet du 27 février 2025

Deuxième question tranchée, affaire C-203/22 : que doit-on expliquer à la personne qui demande comment son score a été calculé ? L’article 15, paragraphe 1, point h) du RGPD lui donne accès, en cas de décision automatisée, à « des informations utiles concernant la logique sous-jacente ». La Cour précise ce que cela veut dire :

la personne concernée peut exiger du responsable du traitement, au titre des « informations utiles concernant la logique sous-jacente », que celui-ci lui explique, au moyen d’informations pertinentes et d’une façon concise, transparente, compréhensible et aisément accessible, la procédure et les principes concrètement appliqués pour exploiter, par la voie automatisée, les données à caractère personnel relatives à cette personne aux fins d’en obtenir un résultat déterminé, tel un profil de solvabilité.

Et sur l’objection classique du secret d’affaires, la Cour ne laisse pas le responsable arbitre : s’il estime que les informations contiennent des secrets d’affaires ou des données de tiers, il les communique à l’autorité de contrôle ou au juge, à qui il revient de pondérer les droits en cause. Le secret d’affaires n’est pas une réponse à la personne ; c’est un argument devant l’autorité.

Uber, 825 millions d’euros : l’intervention humaine qui manquait

Le 21 août 2026, l’autorité néerlandaise de protection des données a infligé une amende de 824 990 000 euros à Uber B.V. et Uber Technologies Inc. pour des décisions de désactivation de comptes de chauffeurs prises de 2018 à 2022 sans aucune intervention humaine : désactivations temporaires pour soupçon de fraude, temporaires ou définitives pour notes clients trop basses. Ces décisions privent le chauffeur de courses et de revenus : elles l’affectent de manière significative, au sens de l’article 22.

Trois précisions que les commentaires omettent. Ce n’est pas la CNIL qui a sanctionné : l’autorité néerlandaise est chef de file parce que l’établissement principal d’Uber est à Amsterdam ; la CNIL a coopéré dans le cadre du guichet unique du RGPD, sur une plainte collective portée en France par la Ligue des droits de l’Homme pour plus de 170 chauffeurs, et a relayé la décision le 24 août 2026. C’est la troisième amende du même dossier, après 10 millions d’euros le 11 décembre 2023 pour défaut d’information et 290 millions le 22 juillet 2024 pour transferts hors Union. Et la décision peut faire l’objet d’un recours devant le juge néerlandais : elle n’est pas définitive.

Ce que l’affaire enseigne à toute organisation qui laisse un modèle écarter des personnes : la question n’est pas de savoir si l’algorithme est bon, mais si quelqu’un peut, sur demande, reprendre la décision.

Le scoring est-il interdit par l’AI Act ?

Non, pas en tant que tel, et l’interdiction de l’article 5 est plus étroite qu’on ne la présente. Elle ne vise pas la notation, elle vise la note sociale : une évaluation fondée sur le comportement social ou des caractéristiques personnelles, qui conduit ensuite à un traitement préjudiciable ou défavorable dans un contexte dissocié, ou injustifié au regard du comportement. Sans cette conséquence, il n’y a pas d’interdiction.

Trois conditions cumulatives

Le texte de l’article 5, paragraphe 1, point c) vise :

« la mise sur le marché, la mise en service ou l’utilisation de systèmes d’IA pour l’évaluation ou la classification de personnes physiques ou de groupes de personnes au cours d’une période donnée en fonction de leur comportement social ou de caractéristiques personnelles ou de personnalité connues, déduites ou prédites, la note sociale conduisant à l’une ou l’autre des situations suivantes, ou aux deux : i) le traitement préjudiciable ou défavorable de certaines personnes physiques ou de groupes de personnes dans des contextes sociaux dissociés du contexte dans lequel les données ont été générées ou collectées à l’origine ; ii) le traitement préjudiciable ou défavorable de certaines personnes ou de groupes de personnes, qui est injustifié ou disproportionné par rapport à leur comportement social ou à la gravité de celui-ci ; »

Trois conditions doivent être réunies simultanément : une mise sur le marché, une mise en service ou une utilisation ; une évaluation ou une classification de personnes fondée sur leur comportement social ou sur des caractéristiques personnelles ; et un traitement défavorable relevant du i), du ii), ou des deux.

C’est la troisième condition qui décide, et c’est là que la lecture dérape. Les deux branches i) et ii) ne sont pas cumulatives entre elles : les lignes directrices de la Commission précisent que « ces conditions sont alternatives et peuvent également s’appliquer conjointement ». Il suffit donc qu’une seule soit remplie. Mais elles ajoutent immédiatement, au même point, que « de nombreuses pratiques de notation et d’évaluation fondées sur l’IA risquent de ne pas les respecter et donc de ne pas relever du champ d’application de l’interdiction ».

Défavorable n’est pas préjudiciable

La distinction est capitale et rarement rapportée. Les lignes directrices définissent le traitement défavorable comme le fait d’être « traité de manière moins favorable que d’autres sans nécessairement subir un préjudice ou un dommage particulier », en donnant pour exemple les personnes « isolées pour faire l’objet de contrôles supplémentaires en cas de soupçon de fraude ». Le traitement préjudiciable, lui, suppose un préjudice effectif.

Deux conséquences pratiques. La première : un simple ciblage pour contrôle renforcé suffit à caractériser le traitement, sans qu’aucun dommage n’ait à être démontré. La seconde, contre-intuitive : accorder un avantage entre aussi dans le champ, puisque les lignes directrices indiquent que l’interdiction « peut également couvrir les cas dans lesquels des subventions ou un traitement préférentiel sont accordés », dès lors que cela implique un traitement moins favorable des autres.

Ce qui fait basculer : la provenance des données et la proportion

Ni le fait de noter, ni la sévérité de la note. Ce qui fait basculer, c’est la provenance des données, des informations issues d’un contexte social sans rapport avec la décision, et la proportion entre le traitement infligé et le comportement observé. Un scoring de crédit fondé sur des données financières reste licite ; le même score nourri d’habitudes sociales ne l’est plus.

Les lignes directrices donnent des exemples des deux côtés. Du côté interdit : un outil fiscal de sélection des déclarations à contrôler qui mobilise, à côté des revenus et des actifs, « des données dissociées, telles que les habitudes sociales des contribuables ou leurs connexions internet » ; une notation du risque de fraude d’un allocataire fondée sur le fait d’« avoir un conjoint d’une certaine nationalité ou origine ethnique » ; une compagnie d’assurance-vie qui collecte auprès d’une banque des données de dépenses sans rapport avec l’éligibilité pour fixer la prime.

Du côté licite : un scoring de crédit fondé « sur les revenus et les dépenses du client et d’autres données financières et économiques », s’il est pertinent et respecte le droit de la consommation ; une détection de fraude reposant sur « le comportement transactionnel et les métadonnées dans le contexte des services » ; une assurance auto télématique qui majore la prime pour conduite dangereuse, « à condition que l’augmentation de la prime soit proportionnée au comportement risqué du conducteur ».

Le test opérationnel tient en une question : chaque variable du modèle est-elle rattachable au contexte dans lequel la décision est prise ? Une variable importée d’un autre contexte social, sans lien démontrable avec l’objet de l’évaluation, est le point de bascule.

Deux précisions utiles. Une note produite par un tiers compte : elles citent le cas d’une autorité publique qui achète une note de solvabilité à un prestataire spécialisé. Et la note issue de l’IA n’a pas à être la cause unique du traitement, mais « les résultats de l’IA doivent jouer un rôle suffisamment important dans l’élaboration de la notation sociale ». L’intervention d’un agent humain ne neutralise donc rien à elle seule.

Un score de solvabilité est-il à haut risque ?

Oui, c’est le point 5 b) de l’annexe III, qui vise les systèmes destinés à être utilisés pour évaluer la solvabilité de personnes physiques ou établir leur note de crédit, à l’exception des systèmes utilisés à des fins de détection de fraudes financières. Le projet de lignes directrices sur la classification, toujours un projet au 5 novembre 2026, apporte quatre précisions qui décident du périmètre.

La tarification n’est pas la solvabilité, sauf intégration

an AI system intended to be used for pricing is not covered by the use case listed in point 5(b) of Annex III, even if it relies on data obtained from a creditworthiness assessment or credit-scoring. However, an AI system which combines the two functionalities in one system in an integrated process (assessing the creditworthiness of natural persons and the credit pricing) will qualify as such a high-risk use case.

L’exception de fraude est étroite

Le projet indique que la détection de fraude doit être « the main intended use of the AI system, preceding all other purposes ». Une fonction de détection greffée sur un moteur de scoring ne fait pas entrer l’ensemble dans l’exception.

Le piège de la lutte contre le blanchiment

Le projet écrit que les systèmes de lutte contre le blanchiment de capitaux et le financement du terrorisme ne sont pas couverts par l’exception de fraude, ces activités relevant d’une autre législation. Lu jusque-là, on conclut à l’inverse de ce que le texte dit. La suite du même point précise que ces systèmes sont hors champ dans la mesure où leur destination ne couvre pas l’évaluation de la solvabilité, et qu’ils ne deviennent à haut risque au titre du point 5 b) que s’ils sont fonctionnellement liés à une telle évaluation et destinés simultanément à celle-ci.

Tous les services financiers ne sont pas essentiels

Le projet raisonne d’abord par le positif, et sa formule est ouverte : « Besides the determination of access to financial resources, only financial services equal or similar to the following services should be considered as essential private services ». La liste des services essentiels n’est donc pas fermée, elle s’étend par analogie, et le projet y rattache en outre les services financiers publics.

Il donne à l’inverse cinq exemples de services financiers non essentiels : « the acquisition of stocks and securities; access to margin trading; access to complex financial instruments; premium credit cards; and special loans, such as leisure/travel loans. »

Et il ajoute qu’il revient au fournisseur de démontrer à l’autorité de surveillance du marché que son système est destiné exclusivement à ces usages, et qu’un système destiné aux deux est à haut risque.

Et la tarification en assurance vie ou santé ?

Oui pour la vie et la santé, non pour l’automobile et l’habitation, et sans exception pour la fraude. Le point 5 c) de l’annexe III vise l’évaluation des risques et la tarification en assurance-vie et en assurance maladie. Le projet en trace le périmètre : les classes d’assurance vie, l’assurance dépendance privée de longue durée, les produits de retraite individuels dans la mesure où ils pèsent significativement sur les ressources à la retraite, et l’assurance emprunteur « since they constitute life insurance regardless of their function as payment protection insurance ». Les branches non-vie de l’annexe I de la directive 2009/138/CE en sont exclues, sauf les points 1 et 2 de sa section A, que le projet rattache à l’assurance maladie : les risques d’« accident, including industrial injury and occupational diseases, as well as sickness ». Le projet cite l’assurance automobile et l’assurance habitation parmi les exclusions.

Une phrase suffit à mesurer l’écart avec le point 5 b) :

In contrast to the use case listed in point 5(b) of Annex III, point 5(c) does not provide an exception for fraud detection.

Autrement dit, ce qui sauve un dispositif antifraude en crédit ne le sauve pas en assurance vie ou santé.

Quelle obligation le scoring a-t-il en propre ?

L’analyse d’impact sur les droits fondamentaux de l’article 27, due même par un déployeur privé. Sur la plupart des cas de l’annexe III, elle ne pèse que sur les organismes de droit public et sur les entités privées fournissant des services publics. Le scoring fait exception : elle est due par tous les déployeurs des systèmes des points 5 b) et 5 c).

Elle est réalisée avant la première utilisation, ses résultats sont notifiés à l’autorité de surveillance du marché, et elle couvre notamment les processus concernés, les catégories de personnes exposées, les risques spécifiques de préjudice et la mise en œuvre du contrôle humain. Si une partie de ce travail est déjà faite dans l’analyse d’impact relative à la protection des données de l’article 35 du RGPD, l’article 27 permet d’y renvoyer ou d’en intégrer les parties pertinentes. Il ne permet pas de s’en dispenser.

→ Les deux analyses d’impact

Article 22 RGPD et article 86 de l’AI Act : deux droits, aucune hiérarchie

Aucun texte ne règle l’articulation des deux, et il faut le dire comme tel. L’article 22 du RGPD encadre la décision automatisée avec ses garanties propres. L’article 86 de l’AI Act ouvre un droit à l’explication, à un seuil élevé.

Ce que l’article 86 ouvre, et à qui

Il vise la personne « faisant l’objet d’une décision prise par un déployeur sur la base des sorties d’un système d’IA à haut risque mentionné à l’annexe III, à l’exception des systèmes énumérés au point 2 de ladite annexe », et exige une décision « qui produit des effets juridiques ou affecte significativement cette personne de façon similaire d’une manière qu’elle considère comme ayant des conséquences négatives sur sa santé, sa sécurité ou ses droits fondamentaux ». Le droit porte alors sur « le rôle du système d’IA dans la procédure décisionnelle et sur les principaux éléments de la décision prise ».

Un score de solvabilité du point 5 b) est dans le champ ; la décision de la banque fondée dessus aussi, si elle produit des effets juridiques.

La clause de subsidiarité, question ouverte

L’article 86, paragraphe 3 précise seulement qu’il « ne s’applique que dans la mesure où le droit visé au paragraphe 1 n’est pas prévu par ailleurs dans le droit de l’Union ». Aucune source officielle ne dit ce que cette clause emporte au regard de l’article 22 du RGPD et de l’article 15, paragraphe 1, point h), tel que lu par l’arrêt Dun & Bradstreet. En pratique, il faut traiter les deux obligations comme distinctes, et ne pas présenter l’une comme absorbant l’autre.

Deux rappels du même ordre. Le fait d’être fournisseur au sens de l’article 3, point 3 de l’AI Act ne dit rien de la qualification de responsable de traitement ou de sous-traitant au sens du RGPD : les deux qualifications se déterminent séparément. Et l’obligation d’informer les personnes de l’article 26, paragraphe 11 ne se confond pas avec l’information des articles 12 à 14 du RGPD : deux fondements, deux contenus.

→ Ce que la CNIL dit du croisement RGPD et AI Act

À quelles dates ces obligations s’appliquent-elles ?

L’article 22 du RGPD s’applique depuis le 25 mai 2018. L’interdiction de l’article 5 de l’AI Act depuis le 2 février 2025. Les obligations haut risque de l’annexe III au 2 décembre 2027.

Les sections 1, 2 et 3 du chapitre III, à l’exception de l’article 6, paragraphe 5, s’appliquent au 2 décembre 2027 pour les systèmes classés au titre de l’annexe III. L’article 111, paragraphe 2 exonère les systèmes mis sur le marché ou mis en service avant cette date, tant qu’ils ne subissent pas d’importantes modifications de leur conception. Le projet de lignes directrices confirme expressément que ce régime joue pour les systèmes des établissements financiers.

Mais l’interdiction de l’article 5 est exigible depuis le 2 février 2025, et les paragraphes 1 et 2 de l’article 111 s’ouvrent l’un et l’autre par la réserve des pratiques interdites. Un moteur de scoring hérité dont les variables importent des données de contextes sociaux dissociés n’est pas couvert par l’antériorité. Et l’article 22 du RGPD, lui, n’a jamais connu de régime transitoire : la sanction Uber porte sur des faits de 2018 à 2022.

→ Le calendrier complet de l’AI Act

Les six questions à trancher avant tout le reste

La décision est-elle exclusivement automatisée ? Si personne ne peut la reprendre sur demande, l’article 22 s’applique dans toute sa rigueur, et Uber dit ce que cela coûte.

Quelles variables le modèle consomme-t-il, et d’où viennent-elles ? C’est la question qui décide de l’article 5, et la seule à laquelle une entreprise doit pouvoir répondre par écrit.

Le système évalue-t-il la solvabilité, ou seulement la tarification ? Et s’il fait les deux, sont-ce deux systèmes distincts ou un processus intégré ?

Une fonction antifraude est-elle la destination principale, antérieure à toute autre ? Sinon, l’exception du point 5 b) ne joue pas.

Le service est-il essentiel ? Un crédit à la consommation l’est ; une carte de crédit haut de gamme figure dans la liste des non-essentiels du projet.

L’analyse d’impact de l’article 27 est-elle engagée ? Sur les points 5 b) et 5 c), elle est due même par un déployeur privé.

Sur quoi cette page s’appuie

Les articles 15 et 22 du règlement (UE) 2016/679 ; les arrêts de la Cour de justice de l’Union européenne du 7 décembre 2023, affaire C-634/21 (SCHUFA Holding), et du 27 février 2025, affaire C-203/22 (Dun & Bradstreet Austria), lus intégralement sur EUR-Lex ; la décision de l’autorité néerlandaise de protection des données du 21 août 2026 à l’encontre d’Uber, telle que relayée par la CNIL le 24 août 2026. Les articles 5, 6, 26, 27, 86 et 111 et l’annexe III, point 5, du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744. Le texte qui fait foi reste celui publié au Journal officiel, la version consolidée n’ayant qu’une valeur documentaire. Les lignes directrices de la Commission sur les pratiques interdites, adoptées le 29 juillet 2025 sous la référence C(2025) 5052 final, et le projet de lignes directrices sur la classification des systèmes à haut risque, mis en ligne le 19 mai 2026 et non adopté au 5 novembre 2026, en anglais uniquement : ce que ce projet propose n’est jamais présenté ici comme du droit acquis.

Sources. Règlement (UE) 2016/679, articles 15 et 22, arrêt C-634/21, SCHUFA, arrêt C-203/22, Dun & Bradstreet, CNIL, sanction de près de 825 millions d’euros à l’encontre d’Uber, règlement (UE) 2024/1689, version consolidée au 27 juillet 2026, règlement (UE) 2026/1744, lignes directrices sur les pratiques interdites, projet de lignes directrices sur la classification des systèmes à haut risque, consultés le 5 novembre 2026.

Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.