↓ Version .md brute (pour NotebookLM)

Quand un score décide à votre place : le droit à l'explication des décisions automatisées

Une somme dérisoire, une question fondamentale

L'histoire commence par dix euros. En Autriche, une cliente souhaite souscrire un contrat de téléphonie mobile impliquant un paiement mensuel de dix euros. L'opérateur refuse. Il ne l'a pas examinée lui-même : il s'est appuyé sur une évaluation de solvabilité réalisée par voie entièrement automatisée par Dun & Bradstreet Austria, société spécialisée dans la notation du risque de crédit. La cliente demande alors ce que tout le monde demanderait : pourquoi. Et elle se heurte à ce que rencontrent des millions d'Européens chaque année — une décision sans motivation, produite par un système qu'aucun humain, ni chez l'opérateur ni chez le prestataire, n'est en mesure d'expliquer en termes compréhensibles.

Cette affaire minuscule a produit l'un des arrêts les plus structurants du droit européen des données. Elle est aujourd'hui au cœur d'un document que la CNIL a publié le 19 août 2026, intitulé « Le refus de crédit en questions », déclinaison à destination du grand public de la recommandation qu'elle a adoptée le 2 avril 2026 par la délibération n° 2026-047, publiée le 8 mai 2026 et qui abroge l'ancienne autorisation unique AU-005 de 2008. Le sujet, comme le note la Commission, « concerne un grand nombre de Français » et « a un fort impact pour les personnes concernées ».

Le point de départ : il n'existe pas de droit au crédit

Il faut poser d'emblée la limite. Le droit français ne connaît pas de droit au crédit. L'article 1101 du code civil consacre la liberté contractuelle : un établissement financier est libre de conclure ou non un prêt et de choisir son cocontractant. Symétriquement, le prêteur a l'obligation d'évaluer la solvabilité de l'emprunteur avant d'accorder un crédit à la consommation — c'est l'économie des articles L. 312-1 à L. 312-95 du code de la consommation — et il doit en principe consulter le fichier national des incidents de remboursement des crédits aux particuliers, le FICP, géré par la Banque de France en application de l'arrêté du 26 octobre 2010.

Le droit des données personnelles n'intervient donc pas pour forcer l'octroi du crédit. Il intervient pour encadrer la manière dont la décision est fabriquée, et pour garantir à la personne concernée qu'elle pourra la comprendre et la contester. C'est une distinction qu'il faut garder à l'esprit tout du long : le RGPD ne vous donne pas le crédit, il vous donne le dossier.

Premier verrou : le score est déjà une décision

Le premier réflexe des acteurs du secteur a longtemps consisté à découper la chaîne. Le prestataire de notation dit : je ne décide rien, je calcule un chiffre. La banque dit : je ne fais qu'utiliser un chiffre calculé par un tiers. Entre les deux, personne n'assume la décision automatisée, et l'article 22 du RGPD — qui confère le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant significativement la personne — reste lettre morte.

La Cour de justice de l'Union européenne a fermé ce verrou le 7 décembre 2023, dans l'affaire C-634/21, SCHUFA Holding (Scoring), à propos de la principale société d'information sur le crédit allemande. Elle y juge que l'établissement automatisé, par une telle société, d'une valeur de probabilité relative à la capacité d'une personne à honorer ses engagements de paiement constitue lui-même une décision au sens de l'article 22, paragraphe 1, dès lors que l'établissement, l'exécution ou la rupture de la relation contractuelle par le tiers destinataire dépend de manière déterminante de cette valeur. Le score cesse d'être un simple avis technique pour devenir l'acte juridiquement pertinent. Ni la banque ni le prestataire ne peuvent plus se renvoyer la responsabilité.

Second verrou : expliquer, ce n'est pas livrer l'algorithme

Restait la question du contenu de l'explication. L'article 15, paragraphe 1, sous h), du RGPD donne à toute personne le droit d'obtenir « des informations utiles concernant la logique sous-jacente » d'un traitement automatisé, « ainsi que l'importance et les conséquences prévues » de ce traitement. Formule élégante, et longtemps inopérante : que faut-il communiquer exactement ?

L'arrêt du 27 février 2025, affaire C-203/22, Dun & Bradstreet Austria, apporte la réponse. Le responsable du traitement doit décrire la procédure et les principes réellement appliqués, de telle sorte que la personne puisse comprendre quelles de ses données à caractère personnel ont été utilisées et de quelle manière elles l'ont été. La Cour indique une voie concrète : il peut notamment être approprié d'informer la personne de la mesure dans laquelle une variation des données prises en compte aurait conduit à un résultat différent. Et elle pose une exclusion nette : la simple communication d'un algorithme ne constitue pas une explication suffisamment concise et intelligible.

Cette double affirmation mérite d'être pesée. Elle signifie que la transparence exigée n'est pas celle du modèle, mais celle de la décision individuelle. Un établissement qui publierait l'architecture de son système, ses variables et ses pondérations n'aurait pas satisfait à son obligation ; un établissement qui expliquerait à Madame X que son taux d'endettement au-delà d'un certain seuil et un incident de paiement régularisé il y a dix-huit mois ont pesé de telle manière, et qu'une régularisation plus ancienne ou des revenus supérieurs de tel ordre auraient inversé le résultat, y satisfait. C'est ce que la littérature technique appelle une explication contrefactuelle.

Le secret des affaires ne ferme pas la porte, il déplace l'arbitre

L'objection attendue est celle du secret des affaires : expliquer finement une décision, c'est révéler la mécanique d'un modèle qui a coûté cher à construire. La Cour ne l'ignore pas et lui donne une place — mais pas celle d'un veto. Lorsque le responsable estime que l'information à fournir contient des données protégées de tiers ou des secrets d'affaires au sens de la directive (UE) 2016/943, il doit transmettre cette information à l'autorité de contrôle compétente ou à la juridiction saisie, à charge pour elles de mettre en balance les droits et intérêts en présence et de déterminer l'étendue du droit d'accès. Et la Cour précise que le RGPD s'oppose à une disposition nationale qui exclurait, par principe, le droit d'accès dès lors qu'un secret d'affaires serait compromis.

La CNIL reprend exactement cette logique dans sa publication du 19 août 2026 : le droit d'accès n'est pas absolu, l'établissement peut refuser de communiquer certaines informations couvertes par le secret des affaires, « cependant, ce refus ne doit pas être global et absolu ». L'établissement doit s'efforcer de faire droit à la demande dans la mesure du possible.

Ce que la CNIL ajoute côté français

La recommandation de 2026 et sa déclinaison grand public apportent plusieurs points opérationnels. Une personne peut demander à connaître son score, accompagné des informations permettant de le comprendre — par exemple les notes minimales et maximales pour obtenir le crédit — et ces informations doivent être précises et personnalisées, et non la simple répétition de ce qui lui a été transmis avant l'évaluation. Un refus fondé sur une inscription au FICP doit être porté à sa connaissance ; pour les autres fichiers, notamment le fichier central des chèques ou les fichiers internes de l'établissement, la CNIL recommande la même information sans qu'aucune obligation légale ne l'impose. Les incidents de paiement passés ne devraient pas être exploités au-delà de vingt-quatre mois après régularisation, sauf circonstances particulières, et un incident écarté par une décision de justice définitive ne peut plus être pris en compte. Les données d'une demande refusée émanant d'une personne non cliente peuvent être conservées six mois. Enfin, lorsqu'un établissement utilise un outil automatisé comme simple aide à la décision, en considérant donc n'être pas dans le champ de l'article 22, la CNIL recommande de documenter la portée de l'intervention humaine pour chaque octroi ou refus.

L'angle mort technique

C'est là que le juriste doit passer la main à l'ingénieur. Répondre à une demande d'accès conforme à l'arrêt C-203/22 suppose de pouvoir rejouer une décision passée : identifier la version du modèle en production ce jour-là, retrouver le vecteur de caractéristiques effectivement soumis, reproduire le calcul de façon déterministe, puis faire varier une ou plusieurs entrées pour établir le contrefactuel. Un système qui journalise uniquement le résultat — « refusé, score 412 » — en est incapable, quelle que soit la qualité de sa politique de confidentialité. La conformité se joue ici dans le schéma de données et la stratégie de versionnement, pas dans la documentation juridique. Ajoutons que l'annexe III, point 5, sous b), du règlement (UE) 2024/1689 sur l'intelligence artificielle classe les systèmes destinés à évaluer la solvabilité de personnes physiques ou à établir leur score de crédit parmi les usages à haut risque, avec les exigences de journalisation, de documentation technique et de maîtrise des biais qui s'y attachent — et l'on comprend que la même chaîne de traitement est désormais observée simultanément par trois corps de règles.

Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Choisissez l'angle qui correspond à ce que vous voulez entendre, et collez le paragraphe correspondant dans le champ de personnalisation de l'Audio Overview.

Angle 1 — Audit offensif d'une chaîne de scoring. Traite ce document comme une check-list d'audit destinée à un testeur. Déduis des exigences de l'arrêt C-203/22 les points de contrôle concrets à demander à un établissement : versionnement du modèle, conservation du vecteur de caractéristiques, capacité à rejouer une décision, production d'un contrefactuel, journalisation de l'intervention humaine. Pour chaque point, indique la preuve à réclamer et le signal d'échec correspondant.

Angle 2 — Architecture et API du droit d'accès. Concentre-toi sur l'implémentation. Explique quelle architecture de données permet de répondre à une demande fondée sur l'article 15, paragraphe 1, sous h), à l'échelle de millions de dossiers : modèle de stockage des inférences, immuabilité des enregistrements, séparation entre données de décision et secrets d'affaires extractibles pour l'autorité de contrôle, et interface d'exercice des droits. Discute des compromis de coût et de latence.

Angle 3 — Comparaison avec les régimes de sanction déjà couverts dans ce dépôt. Compare le régime applicable ici avec ceux traités dans les modules précédents de Droit Vivant : la sanction CNIL fondée sur l'obligation de sécurité (Free, 10 juillet 2026 ; France Travail, 5 août 2026), la responsabilité algorithmique des plateformes sous DSA (19 août 2026) et le régime de l'AI Act (2 août 2026). Montre en quoi le contentieux du scoring relève d'une logique de restitution individuelle plutôt que d'amende dissuasive, et ce que cela change pour la stratégie de conformité.

Angle 4 — Veille réglementaire automatisée. Aborde le sujet sous l'angle de l'outillage de veille. Identifie les sources à surveiller programmatiquement pour suivre ce dossier — flux de la CNIL, délibérations publiées sur Légifrance, arrêts de la CJUE par numéro d'affaire sur InfoCuria, lignes directrices du CEPD — et propose une méthode de détection des développements réellement nouveaux, en distinguant la publication pédagogique de la décision normative.

Angle 5 — Prospective contentieuse. Projette-toi à dix-huit mois. Explore les contentieux les plus probables : action d'un demandeur de crédit exigeant un contrefactuel, contestation de la qualification d'« intervention humaine » dans un dispositif d'aide à la décision, arbitrage d'une autorité de contrôle sur le périmètre du secret des affaires, et articulation entre la sanction RGPD et les obligations de l'annexe III de l'AI Act. Indique pour chacun les arguments des deux parties.