Peut-on faire l'objet d'une décision prise uniquement par une machine ?

Profilage et décision automatisée

Le RGPD distingue deux notions liées. Le profilage, défini à l'article 4, est toute forme de traitement automatisé consistant à utiliser des données pour évaluer certains aspects personnels d'une personne, notamment pour analyser ou prédire son rendement au travail, sa situation économique, sa santé, ses préférences, sa fiabilité, son comportement ou sa localisation. La décision individuelle automatisée est une décision prise à l'égard d'une personne par des moyens technologiques, sans intervention humaine significative. Un profilage peut servir à une décision automatisée, mais pas nécessairement ; à l'inverse, une décision automatisée peut reposer sur de simples règles sans profilage.

Le principe de l'article 22

L'article 22 dispose que la personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire. Le CEPD lit ce texte comme une interdiction de principe, et non comme un simple droit à exercer. Sont visés par exemple le refus automatique d'un crédit en ligne, le rejet d'une candidature par un logiciel sans examen humain, la résiliation automatique d'un contrat ou une tarification discriminante appliquée sans contrôle.

L'arrêt SCHUFA

Dans son arrêt du 7 décembre 2023 (affaire C-634/21), la Cour de justice a jugé que l'établissement automatisé d'un score de solvabilité par une agence de notation constitue lui-même une décision au sens de l'article 22 lorsque ce score joue un rôle déterminant dans la décision d'un tiers, comme une banque, d'accorder ou non un crédit. Cette lecture large étend la protection aux maillons amont de la chaîne de décision. La Cour a ensuite précisé, dans un arrêt du 27 février 2025 (affaire C-203/22), que la personne a droit à une explication de la procédure et des principes effectivement appliqués, compréhensible pour elle, sans que le secret des affaires puisse justifier un refus pur et simple.

Les trois exceptions

Une décision entièrement automatisée reste possible si elle est nécessaire à la conclusion ou à l'exécution d'un contrat entre la personne et le responsable, si elle est autorisée par le droit de l'Union ou d'un État membre avec des garanties appropriées, ou si elle est fondée sur le consentement explicite de la personne. Dans les cas du contrat et du consentement, le responsable doit au minimum garantir à la personne le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision. Les décisions fondées sur des données sensibles ne sont admises qu'avec le consentement explicite ou pour un motif d'intérêt public important, avec des garanties renforcées.

Une intervention humaine réelle

Pour échapper à l'article 22, l'intervention humaine doit être significative : une personne ayant l'autorité et la compétence pour modifier la décision doit examiner effectivement le dossier. Un salarié qui valide mécaniquement toutes les propositions d'un logiciel ne transforme pas une décision automatisée en décision humaine. C'est un point d'attention pour les outils de tri de CV, de détection de fraude ou d'évaluation des salariés fondés sur l'intelligence artificielle.

La transparence

Les articles 13, 14 et 15 imposent d'informer la personne de l'existence d'une prise de décision automatisée, y compris un profilage, et de lui fournir des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues du traitement. Il ne s'agit pas de communiquer le code source, mais d'expliquer de façon compréhensible les critères pris en compte et leur poids. Les traitements de ce type nécessitent presque toujours une analyse d'impact.

Le lien avec l'intelligence artificielle

Le règlement européen sur l'intelligence artificielle (règlement (UE) 2024/1689) ajoute ses propres exigences pour les systèmes à haut risque, comme ceux utilisés pour le recrutement ou l'accès au crédit, notamment un contrôle humain et une documentation technique. Ces règles se cumulent avec celles du RGPD sans les remplacer. Le guide sur le RGPD et l'intelligence artificielle fait le point sur cette articulation et sur le calendrier d'application.

Profilage et décision automatisée : définitions

L'article 4 définit le profilage comme toute forme de traitement automatisé consistant à utiliser des données personnelles pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant son rendement au travail, sa situation économique, sa santé, ses préférences personnelles, ses intérêts, sa fiabilité, son comportement, sa localisation ou ses déplacements. La décision fondée exclusivement sur un traitement automatisé est une décision prise sans intervention humaine significative. Les deux notions se recoupent sans se confondre : un profilage peut servir à éclairer une décision prise par un humain, et une décision automatisée peut être prise sans profilage, par exemple lorsqu'un système refuse automatiquement une demande incomplète. L'article 22 vise les décisions exclusivement automatisées qui produisent des effets juridiques ou affectent la personne de manière significative de façon similaire.

Des effets juridiques ou significatifs

L'article 22 ne vise pas toutes les décisions automatisées, mais seulement celles qui produisent des effets juridiques, comme la résiliation d'un contrat, le refus d'une prestation sociale ou le refus d'entrée sur un territoire, ou des effets significatifs similaires, comme le refus automatique d'un crédit en ligne, le rejet d'une candidature par un logiciel de tri sans examen humain, une tarification discriminante ou l'exclusion d'une plateforme. Les lignes directrices européennes précisent qu'une publicité ciblée n'a généralement pas d'effet significatif, sauf lorsqu'elle est particulièrement intrusive, exploite des vulnérabilités ou conduit à exclure certaines personnes d'offres importantes. L'appréciation se fait au cas par cas, en tenant compte de l'impact concret sur la situation de la personne.

Les garanties dans les cas autorisés

Lorsqu'une décision automatisée est autorisée parce qu'elle est nécessaire à un contrat ou fondée sur le consentement explicite, l'article 22, paragraphe 3, impose des mesures appropriées pour la sauvegarde des droits de la personne, au minimum le droit d'obtenir une intervention humaine de la part du responsable, d'exprimer son point de vue et de contester la décision. Lorsque la décision est autorisée par un texte, ce dernier doit prévoir des garanties équivalentes. Le considérant 71 ajoute le droit d'obtenir une explication de la décision prise à l'issue de ce type d'évaluation. Les décisions automatisées ne peuvent pas être fondées sur des données sensibles, sauf consentement explicite ou intérêt public important, avec des garanties appropriées.

Les décisions automatisées dans le secteur public

En France, la loi Informatique et Libertés et le Code des relations entre le public et l'administration encadrent les décisions administratives individuelles prises sur le fondement d'un traitement algorithmique. Elles doivent comporter une mention explicite informant l'intéressé de l'usage d'un algorithme, et l'administration doit communiquer, à sa demande, les règles définissant ce traitement et les principales caractéristiques de sa mise en œuvre, comme le degré et le mode de contribution du traitement à la décision, les données traitées et leurs sources, les paramètres et leur pondération. Une décision administrative individuelle ne peut être prise exclusivement par un algorithme que si le responsable maîtrise le traitement et ses évolutions, et jamais sur la base de données sensibles. Le Conseil constitutionnel a validé ce dispositif en 2018, en imposant que l'administration soit en mesure d'expliquer en détail le fonctionnement de l'algorithme.

Parcoursup et les algorithmes locaux

La plateforme Parcoursup d'accès à l'enseignement supérieur a donné lieu à un débat sur la transparence des algorithmes. La loi a prévu que les établissements pouvaient ne pas communiquer les critères de leurs algorithmes locaux de classement aux candidats, au nom du secret des délibérations des jurys, tout en permettant au candidat d'obtenir les motifs de la décision le concernant. Le Conseil constitutionnel a jugé en 2020 que les établissements devaient publier, à l'issue de la procédure, les critères utilisés pour l'examen des candidatures, y compris lorsqu'ils recourent à des traitements algorithmiques. Cet exemple illustre l'équilibre recherché entre transparence et autonomie des décideurs.

Le recrutement assisté par algorithme

Les outils de recrutement intègrent de plus en plus de fonctions automatisées : tri des CV par mots-clés, tests en ligne notés automatiquement, analyse des entretiens vidéo, classement des candidats par un score de correspondance. Lorsque ces outils écartent des candidats sans examen humain, ils relèvent de l'article 22 et doivent respecter ses conditions. La CNIL rappelle que le recruteur doit informer les candidats de l'usage de ces outils, en expliquer la logique, veiller à l'absence de biais discriminatoires et garantir une intervention humaine réelle. Le Code du travail impose par ailleurs que les méthodes et techniques d'aide au recrutement soient pertinentes au regard de la finalité poursuivie et portées à la connaissance des candidats. Le règlement européen sur l'intelligence artificielle classe les systèmes d'IA utilisés pour le recrutement et la sélection parmi les systèmes à haut risque, soumis à des exigences renforcées.

Le crédit et l'assurance

Les établissements de crédit et les assureurs recourent largement aux scores pour évaluer le risque. Depuis l'arrêt SCHUFA, un score établi par un tiers et déterminant pour la décision d'octroi relève de l'article 22. Les établissements doivent donc s'assurer que la décision finale comporte une intervention humaine réelle, ou que l'une des exceptions s'applique, et fournir une explication compréhensible des facteurs qui ont influencé le score. La directive européenne sur le crédit aux consommateurs de 2023, à transposer d'ici fin 2025 et applicable à partir de novembre 2026, renforce ces exigences en imposant notamment le droit d'obtenir une intervention humaine et une explication claire de l'évaluation de solvabilité lorsqu'elle repose sur un traitement automatisé. Les assureurs, de leur côté, doivent veiller à ce que leurs modèles de tarification n'utilisent pas de critères discriminatoires, comme le sexe, interdit pour la tarification depuis l'arrêt Test-Achats de 2011.

Les plateformes de travail

Les plateformes numériques de travail, comme les services de livraison ou de transport de personnes, gèrent leurs travailleurs au moyen d'algorithmes qui attribuent les courses, évaluent les performances et peuvent suspendre les comptes. Plusieurs juridictions européennes ont jugé que certaines de ces décisions relevaient de l'article 22, notamment les désactivations automatiques de comptes. La directive européenne relative à l'amélioration des conditions de travail dans le cadre du travail via une plateforme, adoptée en 2024 et à transposer d'ici décembre 2026, encadre spécifiquement la gestion algorithmique : interdiction de traiter certaines données, comme l'état émotionnel ou les conversations privées, information des travailleurs sur les systèmes automatisés, surveillance humaine et droit d'obtenir une explication et un réexamen des décisions importantes.

Une intervention humaine qui compte vraiment

Pour échapper à l'interdiction de l'article 22, l'intervention humaine doit être significative. Les lignes directrices européennes précisent qu'un humain qui se contente de valider systématiquement les résultats produits par un système, sans pouvoir ni compétence pour les modifier, ne constitue pas une intervention réelle. La personne qui intervient doit disposer de l'autorité et de la compétence pour changer la décision, examiner toutes les données pertinentes, y compris celles fournies par la personne concernée, et ne pas être soumise à une pression telle qu'elle suivrait mécaniquement la recommandation de l'algorithme. Ce phénomène, appelé biais d'automatisation, est bien documenté : face à une recommandation chiffrée, les décideurs tendent à s'y conformer. Former les personnes et mesurer le taux de décisions modifiées permet de vérifier que l'intervention est réelle.

Les biais et la discrimination

Les algorithmes peuvent reproduire ou amplifier des discriminations présentes dans les données d'entraînement. Un outil de recrutement entraîné sur l'historique des embauches d'une entreprise peut ainsi défavoriser les femmes si celles-ci étaient sous-représentées dans le passé. Un score de crédit peut pénaliser indirectement certains quartiers, ce qui revient à discriminer selon l'origine. Le Défenseur des droits et la CNIL ont publié en 2020 un rapport commun alertant sur ces risques et recommandant des audits réguliers des algorithmes. Le RGPD impose de prendre des mesures pour éviter les effets discriminatoires (considérant 71), et le droit de la non-discrimination s'applique pleinement aux décisions automatisées.

Exercer ses droits face à une décision automatisée

Une personne qui pense avoir fait l'objet d'une décision automatisée peut demander à l'organisme de confirmer l'existence de ce traitement, d'expliquer la logique sous-jacente et les principaux facteurs de la décision, d'obtenir une intervention humaine, de présenter son point de vue et de contester la décision. Elle peut combiner cette démarche avec une demande d'accès à ses données, afin de vérifier les informations utilisées. En cas de refus ou de réponse insuffisante, elle peut saisir la CNIL. La Cour de justice a jugé en 2025 que l'explication doit permettre à la personne de comprendre et de contester la décision, ce qui exclut la simple communication d'une formule mathématique complexe ou d'un jargon technique.

Décisions automatisées et règlement sur l'IA

Le règlement européen sur l'intelligence artificielle complète l'article 22 sans le remplacer. Il interdit certaines pratiques depuis le 2 février 2025, comme la notation sociale par les autorités publiques, l'exploitation des vulnérabilités des personnes ou la reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement, sauf pour des raisons médicales ou de sécurité. Il impose des obligations aux fournisseurs et aux déployeurs de systèmes à haut risque, dont ceux utilisés pour l'accès à l'emploi, à l'éducation, aux services essentiels comme le crédit ou l'assurance, ou aux prestations publiques : gestion des risques, qualité des données, documentation, transparence, contrôle humain et robustesse. Le règlement 2026/1744, adopté dans le cadre de la simplification numérique, a reporté au 2 décembre 2027 l'application des obligations relatives aux systèmes à haut risque de l'annexe III. Il prévoit aussi un droit à l'explication des décisions individuelles prises sur la base de ces systèmes, qui s'ajoute aux droits du RGPD.

Les obligations du responsable qui automatise

Un organisme qui recourt à des décisions automatisées doit d'abord vérifier si elles relèvent de l'article 22 et, le cas échéant, si l'une des exceptions s'applique. Il doit mener une analyse d'impact, la décision automatisée avec effet juridique ou similaire figurant parmi les critères de risque élevé. Il doit informer les personnes, en amont, de l'existence de la décision automatisée, de la logique sous-jacente et des conséquences envisagées. Il doit organiser un circuit d'intervention humaine, de recueil du point de vue et de contestation, avec des délais raisonnables. Il doit enfin tester régulièrement le système pour détecter les erreurs et les biais, et documenter ces vérifications. Ces obligations sont plus simples à respecter lorsqu'elles sont intégrées dès la conception du système.