Arrêt SCHUFA

Définition

Décision de la Cour de justice de l’Union européenne du 7 décembre 2023 jugeant que l’établissement automatisé d’un score de probabilité de remboursement constitue une décision individuelle automatisée au sens de l’article 22 du RGPD, dès lors qu’un tiers fonde de manière déterminante sa décision sur ce score.

Pourquoi c’est important

La Cour a précisé que l’article 22 pose une interdiction de principe que le responsable de traitement doit respecter de sa propre initiative, sans attendre une réclamation. Elle anticipe presque mot pour mot l’exigence de supervision humaine de l’article 14 de l’AI Act — avec deux ans d’avance sur son calendrier.

Exemple concret

Une banque qui suit systématiquement le score d’un prestataire sans réexamen prend une décision « exclusivement automatisée », malgré la présence formelle d’un agent au dossier.

Le producteur du score est concerné

SCHUFA ne prête pas et ne décide de rien : elle transmet un chiffre. C’est pourtant l’établissement du score lui-même que la Cour qualifie de décision automatisée. Une fintech qui vend un moteur de scoring, un éditeur d’ATS qui classe des candidatures, un prestataire qui note des dossiers pour ses clients entrent potentiellement dans le champ.

Au-delà du crédit

L’article 22 vise tout traitement automatisé à effet significatif : tri de candidatures, tarification d’assurance, instruction d’une aide publique. Le test posé par la Cour — l’humain décide-t-il réellement, ou suit-il systématiquement la machine ? — s’y applique à l’identique. Il se tranche par un taux d’écart, pas par un organigramme.

Dans une banque ou une assurance, l’article 22 n’arrive jamais seul : le régime prudentiel applicable fait du fournisseur du moteur un prestataire TIC, à inscrire au registre remis à l’ACPR.

Lien avec SiyadAI

SiyadAI recense les systèmes d’IA réellement utilisés, y compris ceux que personne n’a déclarés, et en tient un registre vivant — le point de départ de toute qualification. Le journal recommandation / décision, lui, vit dans l’application qui décide : c’est elle qu’il faut instrumenter.