art. 22, § 1 — droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant de manière significative ; art. 22, § 3 — droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décisionart. 15, § 1, h) — droit d'accès aux « informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues » du traitement automatisé ; art. 15, § 4 — le droit d'obtenir une copie « ne porte pas atteinte aux droits et libertés d'autrui »art. 13, § 2, f) et art. 14, § 2, g) — même information à fournir en amont ; art. 16 — droit de rectification des données inexactesart. 1101 — liberté contractuelle : le prêteur reste libre de contracter ou nonart. L. 312-1 à L. 312-95 — crédit à la consommation, obligation d'évaluer la solvabilité de l'emprunteurn° 2026-047 du 2 avril 2026 (NOR CNIS2611643X, publiée le 8 mai 2026) — recommandation sur l'évaluation de la solvabilité dans le cadre de l'octroi de crédit ; abroge l'autorisation unique AU-005 (délibération n° 2008-198 du 9 juillet 2008)annexe III, point 5, b) — les systèmes d'IA destinés à évaluer la solvabilité de personnes physiques ou à établir leur score de crédit sont classés à haut risque (calendrier d'application modifié en 2026, voir le module du 2 août 2026)Le point de départ tient en une somme dérisoire. En Autriche, un opérateur de téléphonie mobile refuse à une cliente la conclusion d'un contrat impliquant un paiement mensuel de 10 euros, au motif que sa solvabilité serait insuffisante. L'opérateur ne l'a pas jugée lui-même : il s'est appuyé sur une évaluation réalisée par voie automatisée par Dun & Bradstreet Austria, société spécialisée dans ce type de notation. Une juridiction autrichienne juge, par une décision définitive, que l'entreprise a violé le RGPD faute d'avoir communiqué à la cliente des « informations utiles concernant la logique sous-jacente ». Restait à savoir ce que « utiles » veut dire concrètement — d'où le renvoi préjudiciel.
Par son arrêt du 27 février 2025 (affaire C-203/22, Dun & Bradstreet Austria), la Cour de justice de l'Union européenne répond que le responsable du traitement doit décrire « la procédure et les principes réellement appliqués » de telle sorte que la personne puisse comprendre quelles de ses données ont été utilisées et comment. La Cour ajoute deux précisions déterminantes : il peut être approprié d'indiquer dans quelle mesure une variation des données prises en compte aurait conduit à un résultat différent ; et « la simple communication d'un algorithme ne constitue pas une explication suffisamment concise et intelligible ». Enfin, lorsque le responsable estime que l'information contient des données de tiers ou des secrets d'affaires, il doit la transmettre à l'autorité de contrôle ou au juge, à charge pour eux de mettre en balance les intérêts ; le RGPD s'oppose à une disposition nationale qui exclurait par principe le droit d'accès dès qu'un secret d'affaires est invoqué.
Cet arrêt prolonge celui du 7 décembre 2023, C-634/21, SCHUFA Holding (Scoring) : l'établissement automatisé, par une société d'information sur le crédit, d'une valeur de probabilité relative à la capacité future de remboursement constitue lui-même une décision au sens de l'art. 22, § 1, dès lors que l'établissement, l'exécution ou la rupture de la relation contractuelle par le tiers destinataire dépend de manière déterminante de cette valeur. Autrement dit : la banque ne peut pas se retrancher derrière son prestataire, ni le prestataire derrière la banque.
C'est ce corpus que la CNIL a traduit en langage courant le 19 août 2026, en publiant « Le refus de crédit en questions », déclinaison grand public de sa recommandation adoptée par la délibération n° 2026-047 du 2 avril 2026. La Commission y rappelle que l'on peut demander à connaître son score, assorti des informations permettant de le comprendre — par exemple les notes minimales et maximales requises —, que ces informations doivent être « précises et personnalisées » et non la répétition de ce qui a déjà été communiqué, et que le refus fondé sur le secret des affaires « ne doit pas être global et absolu ». Elle rappelle aussi que le refus lié à une inscription au FICP doit être porté à la connaissance du demandeur, recommande de ne pas exploiter un incident de paiement au-delà de vingt-quatre mois, et invite les établissements à documenter la portée réelle de l'intervention humaine lorsqu'ils utilisent un outil automatisé en aide à la décision sans se placer, disent-ils, sous l'art. 22.
Le scoring est le cas d'école de la décision algorithmique de masse : invisible, silencieuse, sans motivation, et pourtant capable de fermer l'accès à un logement, à une voiture, voire à un forfait mobile à dix euros. Le droit européen n'a pas répondu en interdisant le calcul — il a répondu en imposant une charge de restitution. Et cette charge est bien plus exigeante qu'il n'y paraît : la Cour n'exige pas la transparence du modèle, elle exige l'intelligibilité de la décision individuelle. Publier des poids, un schéma d'architecture ou le code d'un gradient boosting ne satisfait pas l'art. 15, § 1, h). Ce que la Cour décrit — « dans quelle mesure une variation des données aurait conduit à un résultat différent » — est très exactement une explication contrefactuelle, produite pour un individu, pour une décision, à un instant donné.
Pour un praticien de la sécurité ou de l'automatisation, cela transforme une obligation de communication en exigence d'architecture, et donc en surface auditable. Rendre une explication contrefactuelle suppose de tracer la version du modèle qui a servi, de conserver le vecteur de features effectivement soumis, de rejouer le scoring de façon déterministe et de le faire pour chaque demandeur, sur toute la durée d'exercice des droits. Un pipeline qui ne journalise que la sortie — « refusé, score 412 » — est structurellement incapable de répondre à une demande d'accès : la non-conformité n'est pas dans la politique de confidentialité, elle est dans le schéma de la base. Trois autres points de contrôle se déduisent directement des textes cités. D'abord la frontière de l'article 22 : un « humain dans la boucle » qui valide 3 000 dossiers par jour sans pouvoir contredire le score n'est pas une intervention humaine, et la recommandation de la CNIL demande précisément de documenter sa portée réelle — c'est le genre d'affirmation qu'un audit peut confronter aux logs. Ensuite le cloisonnement du secret des affaires : puisque l'information litigieuse doit pouvoir être remise à l'autorité ou au juge, elle doit être extractible sur demande, ce qui suppose de savoir la produire sans reconstruire le système. Enfin les durées : vingt-quatre mois recommandés pour les incidents, six mois pour les données d'une demande refusée émanant d'un non-client — soit des règles de purge à implémenter, à tester et à prouver, pas des lignes dans une charte. Ajoutez que l'annexe III de l'AI Act range le scoring de crédit parmi les usages à haut risque, avec ses exigences de journalisation, de documentation technique et de gestion des biais, et l'on obtient un même objet — la chaîne de décision — regardé simultanément par le RGPD, par le règlement IA et par le droit de la consommation.