Un refus de crédit peut tenir à une valeur produite en quelques secondes, alors que la personne concernée ignore parfois quelles données ont pesé dans le calcul. Le cas de SCHUFA a placé cette opacité au cœur du débat européen sur le scoring automatisé.
La Cour de justice de l’Union européenne a tranché en décembre 2023 : un score transmis à une banque peut relever des règles encadrant les décisions entièrement automatisées si celle-ci s’appuie fortement dessus. Pour comprendre ce que cette décision change, il faut distinguer le profilage, l’explicabilité des décisions et les recours accessibles aux personnes concernées.
A retenir :
- Droit à l’information sur les données et la logique du score
- Examen du rôle réel des décisions automatisées
- Possibilité de contester une évaluation aux effets importants
- Responsabilité partagée entre agence et établissement prêteur
Scoring automatisé et RGPD : ce que l’affaire SCHUFA a clarifié
Cette clarification découle d’un litige concret : un score de solvabilité transmis par SCHUFA a contribué au refus d’un crédit. La personne concernée avait demandé l’accès aux données et leur effacement, mais n’avait reçu que des explications générales sur la méthode.
Du profilage à une décision ayant des effets importants
Le RGPD définit le profilage comme l’utilisation automatisée de données personnelles pour évaluer certains aspects d’une personne, notamment sa situation économique. Un score qui estime la capacité future à rembourser un prêt entre dans cette logique, puisqu’il déduit un risque à partir d’informations antérieures.
Selon la Cour de justice, le calcul du score peut constituer lui-même une décision automatisée lorsque le prêteur lui accorde un rôle déterminant. La banque ne peut donc pas nécessairement écarter l’article 22 du RGPD en affirmant que l’agence externe n’a fourni qu’une recommandation.
Selon le règlement, l’article 22 encadre les décisions fondées exclusivement sur un traitement automatisé lorsqu’elles produisent des effets juridiques ou affectent significativement une personne. Le refus d’un crédit peut avoir de telles conséquences, même si chaque situation doit être examinée selon ses circonstances.
Pour une personne comme Nadia, qui découvre un refus sans connaître les critères employés, cette distinction n’est pas théorique. Elle détermine quels renseignements demander et si une intervention humaine réelle peut être sollicitée.
Les effets du scoring dépendent donc moins de son nom que de la place qu’il occupe dans la décision finale.
Repères juridiques du dossier :
- Profilage : évaluation automatisée d’aspects personnels
- Décision automatisée : traitement sans intervention humaine déterminante
- Effet significatif : conséquence importante pour la personne
- Score externalisé : résultat fourni à un autre responsable du traitement
Élément
Rôle dans le dossier
Enjeu pour la personne
Données personnelles
Entrées du calcul du score
Comprendre les informations utilisées
Score de solvabilité
Estimation du risque de remboursement
Contester une évaluation erronée
Agence de scoring
Produit une valeur de probabilité
Obtenir des explications utiles
Établissement prêteur
Décide de l’octroi du crédit
Identifier le rôle de l’intervention humaine
Transparence algorithmique : accéder aux critères du score
Une fois le rôle du score établi, l’enjeu devient l’accès à une information assez précise pour comprendre son influence. Une formule mathématique publiée ne suffit pas forcément si la personne ne peut pas saisir pourquoi son résultat a été défavorable.
Droit à l’information et explicabilité des décisions
Selon la Cour de justice, le droit d’accès prévu par le RGPD comprend des renseignements utiles sur la logique sous-jacente, ainsi que sur l’importance et les conséquences prévues du traitement. Dans le contexte d’un score, cela suppose des explications concrètes sur les catégories de facteurs prises en compte et leur poids général.
La transparence algorithmique ne signifie pas nécessairement remettre le code source ou dévoiler chaque détail technique. Elle doit toutefois permettre à la personne de comprendre les raisons du résultat, de vérifier l’exactitude des données et, le cas échéant, de contester la décision.
Secret des affaires et protection des données
Le secret des affaires ne dispense pas automatiquement une organisation de répondre aux demandes d’accès. Le RGPD prévoit que les droits et libertés d’autrui, notamment les secrets commerciaux, doivent être pris en compte, sans vider le droit à l’information de son utilité.
Dans la pratique, une réponse exploitable peut décrire les grandes familles de données, leur rôle dans l’évaluation et les conséquences attendues. La Protection des données exige aussi de vérifier que des informations obsolètes, inexactes ou attribuées à tort ne pénalisent pas un demandeur.
Éléments à demander à l’organisme :
- Les données personnelles effectivement utilisées
- Les facteurs déterminants et leur importance générale
- La logique ayant conduit au résultat concerné
- Les conséquences prévues pour la demande de crédit
Une explication utile transforme ainsi une réponse abstraite en éléments vérifiables, sans exiger la divulgation intégrale d’un outil propriétaire.
Demande
Information recherchée
Utilité pratique
Accès aux données
Informations personnelles traitées
Repérer une erreur ou une omission
Logique du score
Facteurs et rôle général dans l’évaluation
Comprendre le résultat obtenu
Conséquences du traitement
Effets prévus sur la décision de crédit
Évaluer l’impact de l’automatisation
Réexamen humain
Possibilité de présenter des observations
Faire réévaluer une situation individuelle
Biais algorithmiques et gouvernance des algorithmes dans le crédit
Quand les critères deviennent plus lisibles, une autre question apparaît : le système évalue-t-il chaque dossier de façon pertinente et contrôlable ? La gouvernance des algorithmes doit encadrer les données, les tests et les responsabilités, y compris lorsque plusieurs organismes interviennent.
Contrôler les biais et les données utilisées
Un modèle peut reproduire des inégalités présentes dans ses données ou pénaliser indirectement certains profils. Les biais algorithmiques ne se repèrent pas uniquement dans le code : ils peuvent apparaître dans la sélection des variables, la qualité des dossiers historiques ou la façon d’interpréter un résultat.
Une banque peut, par exemple, examiner si des informations anciennes continuent d’influencer excessivement l’évaluation d’un client dont la situation a changé. Cette vérification relève de l’Éthique numérique, mais aussi de la conformité : l’Intelligence artificielle ne retire pas aux responsables leurs obligations de contrôle.
Répartir la responsabilité entre prestataire et prêteur
Le recours à un fournisseur externe ne fait pas disparaître la responsabilité des organisations dans leurs propres rôles. La Responsabilité des systèmes suppose de documenter qui choisit les données, qui calcule le score, qui l’interprète et qui prend effectivement la décision envers le demandeur.
Un contrôle humain n’est utile que si la personne chargée de l’examen peut considérer le contexte et modifier le résultat, plutôt que valider mécaniquement une recommandation. Cette capacité doit être réelle, traçable et accompagnée d’une procédure permettant à l’emprunteur de faire valoir des éléments nouveaux.
Mesures de gouvernance à documenter :
- Contrôle de la qualité et de l’actualité des données
- Tests réguliers des écarts de traitement
- Rôles distincts entre fournisseur et établissement prêteur
- Voie de réexamen humain réellement accessible
Selon le RGPD, les garanties associées à une décision automatisée peuvent inclure la possibilité d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision. Pour les acteurs du crédit, ces garanties donnent une portée concrète à la transparence et à la protection des personnes.
Le cadre européen ne condamne pas le scoring en soi : il exige que son influence soit compréhensible, contestable et placée sous une responsabilité identifiable.
Source : Cour de justice de l’Union européenne, « SCHUFA Holding (Scoring) », arrêt C-634/21, 7 décembre 2023 ; Parlement européen et Conseil, « Règlement (UE) 2016/679 », 27 avril 2016.
